摘要：?在數(shù)字化轉(zhuǎn)型的浪潮下，無(wú)論哪種云的形態(tài)，都是企業(yè)戰(zhàn)略轉(zhuǎn)型的機(jī)遇。隨著越來(lái)越多的數(shù)據(jù)變得在線，作為云服務(wù)商，不能只滿足提供“點(diǎn)”上的數(shù)據(jù)保護(hù)技術(shù)，而需要為客戶提供一整套的數(shù)據(jù)安全架構(gòu)方案。在近日舉辦的2018天府國(guó)際網(wǎng)絡(luò)安全高峰論壇上，阿里云資深安全專家黃瑞瑞提出了從底層云平臺(tái)到上層云上環(huán)境的整體云上數(shù)據(jù)安全架構(gòu)方案。

阿里云資深安全專家黃瑞瑞

本方案的目標(biāo)是為用戶提供從底層云平臺(tái)數(shù)據(jù)安全到上層的云上環(huán)境保護(hù)，并標(biāo)明各層次模塊，讓用戶可以像建房子一樣，一層層的搭建可信的在云上數(shù)據(jù)的安全保護(hù)。在各橫向?qū)哟文K之外，云上數(shù)據(jù)安全也需要縱向的認(rèn)證、授權(quán)、訪問(wèn)控制和日志審計(jì)功能，從而為客戶提供可控和合規(guī)的云上數(shù)據(jù)安全保護(hù)方案。

云上數(shù)據(jù)保護(hù)方案

整體而言，云上的數(shù)據(jù)安全保護(hù)方案需要做到三點(diǎn)原則：可信、可控、合規(guī)。換言之，只有在可信和可控的云上環(huán)境中，提供合規(guī)的數(shù)據(jù)安全保護(hù)方案才能真正做到為客戶提供最頂級(jí)的數(shù)據(jù)保護(hù)。會(huì)上，黃瑞瑞針對(duì)這三點(diǎn)原則做出了針對(duì)性的技術(shù)介紹和討論。

阿里云在云平臺(tái)層面為客戶提供默認(rèn)高安全等級(jí)的基礎(chǔ)設(shè)施能力，使客戶可以放心的將數(shù)據(jù)存放和計(jì)算在可信的云平臺(tái)上。值得特別指出的是，阿里云在云平臺(tái)層面會(huì)對(duì)硬件和固件的安全進(jìn)行加固和掃描，并使用TPM2.0技術(shù)來(lái)提供可信的度量和證明云平臺(tái)底層的安全計(jì)算環(huán)境。同時(shí)阿里云具備基于硬件加密機(jī)（HSM）和芯片級(jí)別（SGX ）的安全計(jì)算能力。

阿里云基礎(chǔ)設(shè)施安全能力

在云產(chǎn)品層面，數(shù)據(jù)安全主要體現(xiàn)在云產(chǎn)品提供可信的數(shù)據(jù)加密能力、備份能力和校驗(yàn)?zāi)芰?。?huì)上，黃瑞瑞對(duì)于云產(chǎn)品的加密能力進(jìn)行了針對(duì)性的講解，并向參會(huì)嘉賓特別介紹了阿里云的全鏈路加密能力。全鏈路加密顧名思義是指針對(duì)數(shù)據(jù)加密在傳輸鏈路，以及計(jì)算和存儲(chǔ)節(jié)點(diǎn)提供對(duì)應(yīng)的業(yè)界高級(jí)別加密能力。傳輸加密主要依賴SSL/TLS加密并提供AES256強(qiáng)度的加密保護(hù)。計(jì)算節(jié)點(diǎn)中阿里云在2017年即開(kāi)始提供芯片級(jí)SGX加密計(jì)算環(huán)境（在提供SGX能力的云廠商中，阿里云為亞洲第一、世界第二提供此能力的廠商）。在存儲(chǔ)加密環(huán)節(jié)，阿里云不但能提供高強(qiáng)度（AES256）的數(shù)據(jù)落盤(pán)加密能力，更通過(guò)密鑰管理服務(wù)（KMS）提供用戶自帶密鑰（BYOK）功能。聯(lián)合KMS密鑰管理，阿里云可以為用戶提供全鏈路的數(shù)據(jù)加密保護(hù)。

數(shù)據(jù)全鏈路加密

整體來(lái)說(shuō)，數(shù)據(jù)加密操作流程是明文數(shù)據(jù)經(jīng)由國(guó)際國(guó)內(nèi)公認(rèn)的安全算法計(jì)算得出數(shù)據(jù)密文。在加密操作中，被安全保護(hù)和管理的密鑰是加密保護(hù)的充分而必要的條件。換言之，控制了密鑰，也就控制了整體加密操作的主動(dòng)權(quán)。早在2015年阿里云就在業(yè)內(nèi)首個(gè)發(fā)起“數(shù)據(jù)保護(hù)倡議”，并在倡議中明確用戶數(shù)據(jù)所有權(quán)歸屬用戶，云計(jì)算平臺(tái)不得擅自移作它用。因此，用戶自帶密鑰（BYOK）功能是阿里云致力于保護(hù)用戶隱私和將數(shù)據(jù)控制權(quán)進(jìn)一步交給客戶的重要技術(shù)手段。由于用戶自帶主密鑰為用戶資源，而任何調(diào)用需通過(guò)用戶授權(quán)（通過(guò)阿里云RAM服務(wù)），用戶對(duì)于加密后數(shù)據(jù)的使用有了完全自主的控制權(quán)和主動(dòng)權(quán)。同時(shí)，任何對(duì)于用戶資源的調(diào)用都會(huì)在日志審計(jì)中完整的顯示出來(lái)，因此加密后數(shù)據(jù)的云上使用透明性也有了更好的保障。

在云上數(shù)據(jù)安全保護(hù)層面，黃瑞瑞提出了敏感數(shù)據(jù)保護(hù)的三個(gè)技術(shù)點(diǎn)，包括分類分級(jí)（敏感數(shù)據(jù)鑒別）、訪問(wèn)控制和防泄漏能力。在分類分級(jí)技術(shù)點(diǎn)中，今天的正態(tài)規(guī)則引擎雖然能識(shí)別規(guī)則的敏感數(shù)據(jù)格式，但針對(duì)日益嚴(yán)格的用戶隱私保護(hù)需求和法律法規(guī)，人工智能（AI）引擎也必須被高效的利用起來(lái)。今天的AI引擎可以和規(guī)則引擎相配合，利用規(guī)則引擎的低誤報(bào)率來(lái)降低其誤報(bào)率并在規(guī)則引擎的基礎(chǔ)上提供更加智能的數(shù)據(jù)鑒別能力。當(dāng)敏感數(shù)據(jù)被鑒別出來(lái)后，云服務(wù)應(yīng)當(dāng)提供細(xì)粒度的訪問(wèn)控制，尤其應(yīng)提供在用戶屬性基礎(chǔ)上針對(duì)數(shù)據(jù)本身敏感屬性的訪問(wèn)控制能力。最后，敏感數(shù)據(jù)的防泄漏能力必須在網(wǎng)絡(luò)、終端和應(yīng)用各個(gè)層面完整的提供。整體而言，云上數(shù)據(jù)安全保護(hù)應(yīng)當(dāng)提供從鑒別數(shù)據(jù)、控制數(shù)據(jù)訪問(wèn)和防止泄露能力上提供全面的保護(hù)。

敏感數(shù)據(jù)保護(hù)的三個(gè)技術(shù)點(diǎn)

在阿里云提供了可信和可控的數(shù)據(jù)保護(hù)技術(shù)手段的前提下，更進(jìn)一步獲得了中國(guó)和國(guó)際上的各大權(quán)威合規(guī)認(rèn)證。目前阿里云已經(jīng)成為合規(guī)資質(zhì)最全的亞太云服務(wù)提供商，是亞太首家獲得德國(guó)C5和ISO27001認(rèn)證的企業(yè)，中國(guó)首家獲得MTCS Level3和ISO 20000認(rèn)證的企業(yè)，并為世界互聯(lián)網(wǎng)大會(huì)、G20峰會(huì)、“一帶一路”高峰論壇等多個(gè)國(guó)際重大活動(dòng)，提供高等級(jí)網(wǎng)絡(luò)安全護(hù)航。

阿里云獲得的合規(guī)認(rèn)證

阿里云的安全使命是將云上安全做到極致，提供更堅(jiān)固，更強(qiáng)壯的安全能力給用戶堅(jiān)實(shí)的后盾，解放用戶使其能專注本身的業(yè)務(wù)問(wèn)題。尤其在數(shù)據(jù)保護(hù)層面，必須為用戶提供最有力的全面安全保護(hù)能力。“我們的目標(biāo)是當(dāng)用戶考慮上云時(shí)，不再考慮由于安全能否上云，而是確認(rèn)正是因?yàn)榘踩仨毶显啤！秉S瑞瑞最后表示。

原文鏈接