腾讯数据安全解决方案白皮书（2020版）_19页_923kb

腾讯数据安全解决方案白皮书（2020版）总结

核心内容概述

腾讯数据安全解决方案白皮书系统性地分析了当前企业数据安全面临的主要问题，并结合腾讯安全在数据安全领域的实践经验，提出了数据安全体系建设的思路和方法。白皮书强调数据安全是信息化体系中的关键环节，涉及法律法规、技术措施、管理流程等多个层面，其建设应以体系化、模块化和生态化为方向。

主要观点

• 数据安全是企业信息安全体系中的核心部分，其建设是一项复杂且持续的工程，不能仅依赖技术手段，还需结合制度规范和管理流程。
• 随着大数据应用的发展，数据资产清册、管理责任划分、制度规范、数据交换管理、安全技术整合和审计能力成为企业数据安全建设中最迫切需要解决的问题。
• 数据安全体系建设应围绕数据全生命周期，覆盖数据采集、存储、传输、共享、使用、销毁等阶段。
• 数据安全技术应与业务深度融合，实现统一管理、统一调用，形成安全能力池，避免安全能力孤岛。
• 数据安全工作应通过构建数据安全感知能力，实现对数据使用行为的监控、识别和审计，提升安全防护的主动性和准确性。

关键信息

一、国内法律法规现状

• 《民法典》、《刑法》、《网络安全法》等法律明确了个人信息保护和数据安全的基本原则、义务和责任。
• 各行业主管单位也陆续出台了相关法规，如《电信和互联网用户个人信息保护规定》《儿童个人信息网络保护规定》等。
• 《个人信息保护法》《数据安全法》等法律正在立法过程中，将与《网络安全法》共同构建我国数据安全法律体系。

二、腾讯数据安全实践

• 腾讯参与多项国家标准制定，包括《个人信息安全规范》《大数据服务安全能力要求》《大数据安全管理指南》等。
• 腾讯牵头制定《移动应用软件开发工具包（SDK）安全使用规范》等行业标准，推动数据安全在底层应用中的规范化。
• 腾讯安全以“让数据遵规守序”为理念，联合生态伙伴共同构建数据安全体系。

三、亟需解决的数据安全问题

1. 数据资产清册问题

   • 资产状况不清
   • 访问状况不清
   • 权限状况不清

2. 管理责任不清

   • 数据资产未认责
   • 管理角色职责边界模糊

3. 制度不完善

   • 制度规范未落实或难落实
   • 缺少稽核手段

4. 数据交换管理混乱

   • 交换方式和接口未标准化，导致功能重复、调用复杂、多点登录等问题

5. 安全技术措施零散

   • 数据安全产品功能分散，无法形成联动机制
   • 安全能力孤岛，不利于统一管理

6. 审计能力不足

   • 无法有效识别和阻断APT等高级威胁
   • 安全事件响应能力不足

四、数据安全工作思路

• 工作目标

  • 让数据流动遵守秩序
  • 实现防泄露、防篡改、防滥用

• 总体思路

  • 构建六大核心能力：数据资产管理能力、数据安全运营能力、数据业务安全管控能力、数据支撑环境安全管控能力、数据运维安全管控能力、数据安全感知能力
  • 覆盖数据全生命周期及关键数据场景，形成系统化、模块化的数据安全体系

五、数据安全能力建设

1. 数据资产管理能力

   • 基础在于数据资产清册，需借助自动化工具提升效率和准确性
   • 支持敏感数据识别、数据分类分级、资产变化监控等

2. 数据安全运营能力

   • 建立专业运营体系，实现数据安全工作与业务持续同步
   • 提升安全管理能力与安全防护能力

3. 数据业务安全管控能力

   • 需将数据安全技术融合到业务流程中，避免重复建设、性能下降等问题
   • 建立统一的公共资源池，以服务形式贯穿数据生命周期

4. 数据支撑环境安全管控能力

   • 对数据库和大数据组件进行安全加固
   • 实现访问控制、安全扫描、配置核查等

5. 数据运维安全管控能力

   • 重点管控高权限人员，实现授权审批、违规识别与阻断、高危操作提示与阻断、数据遮蔽等
   • 支持静态授权和动态授权，管控粒度可细化至语句级

6. 数据安全感知能力

   • 依赖监控与审计，实现安全规则识别、告警、可视化展现等
   • 支持日志采集、日志分析、行为画像、UEBA（用户实体行为分析）等技术

六、关键数据安全技术

1. 敏感数据识别和脱敏技术

   • 通过关键字、正则表达式、机器学习等技术识别敏感数据
   • 提供多种脱敏算法，包括加密、失真、可逆置换等
   • 支持对敏感数据的自动化识别和处理

2. 数据泄露防护技术

   • 采用身份认证、进程监控、日志分析、安全审计等技术手段
   • 通过网络流量分析、文档指纹、人工智能等技术监控敏感数据流动
   • 向智能化、动态化、协同化方向发展

3. 结构化数据库安全技术

   • 分为事前、事中、事后三类防护措施
   • 事前：漏洞扫描
   • 事中：数据库防火墙、加密、脱敏
   • 事后：审计、水印、态势感知

4. 大数据平台安全技术

   • 需统一身份认证、访问控制、安全审计、数据加密等能力
   • 解决开源平台在安全机制上的不足，如身份认证、访问控制、密钥管理等

5. 同态加密和安全多方计算

   • 同态加密支持对加密数据进行处理，保障数据隐私
   • 安全多方计算实现多方协同计算，保护数据不被暴露
   • 两者均适用于大数据环境下的数据安全需求

结语

数据安全已从边缘防护转向纵深防护，从边界控制转向主路控制。随着数据应用场景的不断扩展，数据安全的复杂性与重要性日益凸显。腾讯数据安全解决方案通过构建体系化、模块化的数据安全能力，为企事业单位提供全面的数据安全建设思路和技术支持，助力企业在合规与安全之间找到平衡点。