2020版腾讯数据安全解决方案白皮书_19页_907kb

报告摘要

腾讯数据安全解决方案白皮书（2020版）总结

核心内容概述

本白皮书由腾讯安全专家咨询中心、腾讯云数据安全团队和腾讯标准管理中心联合编写，旨在帮助企业理解和构建数据安全体系。文档聚焦于当前数据安全面临的挑战与解决方案，提出数据安全应从体系化建设出发，结合技术与管理手段，形成完整的数据安全能力框架。

主要观点

数据安全是企业信息化建设中的重要环节，需构建系统化的数据安全体系。
数据安全问题日益复杂，需通过制度、技术、管理等多方面协同解决。
数据安全能力应覆盖数据全生命周期，包括采集、存储、传输、共享、使用、销毁等环节。
数据安全技术需不断演进，融合人工智能、大数据分析、加密等技术手段，提升防护能力。
数据安全生态建设至关重要，需联合各方共同推动数据安全合规与有序流动。

关键信息

1. 数据安全问题

数据资产清册问题：缺乏对数据资产的全面梳理，难以掌握资产状态、访问状况和权限状况。
管理责任不清：数据资产归属不明确，角色职责边界模糊，影响安全事件的追责与管理。
制度不完善：制度规范未能有效落实，缺少稽核手段，导致安全措施执行不到位。
数据交换管理混乱：接口不规范，数据共享方式缺乏统一管理，造成系统复杂性上升。
安全技术措施零散：各数据安全产品功能分散，难以形成统一的防护体系。
审计能力不足：传统审计手段难以发现高级攻击行为，如APT和“心脏滴血”攻击。

2. 数据安全工作思路

工作目标：
- 让数据流动遵守秩序，确保数据在共享和使用过程中可控。
- 防止数据泄露、篡改和滥用，保障数据安全和业务稳定。
总体思路：
- 构建涵盖六大模块的数据安全能力体系：数据资产管理能力、数据安全运营能力、数据业务安全管控能力、数据支撑环境安全管控能力、数据运维安全管控能力、数据安全感知能力。
- 数据安全能力需覆盖数据全生命周期及重要数据场景，实现从被动防御向主动防护的转变。

3. 数据安全能力建设

数据资产管理能力：
- 通过自动化工具和人工结合方式提升数据资产梳理效率。
- 发现高频资产、静默资产、僵尸库等，提升数据资产的管理水平。
数据安全运营能力：
- 建立完善的数据安全运营体系，实现安全工作与业务流程的融合。
- 通过专业团队和工具平台，提升安全响应速度和处理能力。
数据业务安全管控能力：
- 需将数据安全技术融入业务流程，避免因独立部署造成性能下降和运维成本增加。
- 通过统一管理、统一调用，形成公共资源池，实现对数据生命周期的全面管控。
数据支撑环境安全管控能力：
- 对数据库和大数据平台进行安全加固，配合安全技术实现访问控制。
- 定期开展安全扫描和配置核查，保障数据资产的安全性和可用性。
数据运维安全管控能力：
- 对高权限人员进行重点管控，包括授权审批、违规识别与阻断、高危操作提示与阻断。
- 实现细粒度权限管理，支持静态授权和动态授权，管控粒度达到语句级。
数据安全感知能力：
- 依赖监控与审计，实现对数据安全风险的及时发现和响应。
- 工具平台需具备日志采集、汇总与分析、规则识别、告警和可视化展现五大能力。

4. 关键数据安全技术

敏感数据识别和脱敏技术：
- 通过关键字、字典、正则表达式等方式识别敏感数据。
- 引入人工智能和机器学习技术，提升识别效率和准确率。
- 脱敏技术分为加密、失真和可逆置换三类，适用于不同场景。
数据泄露防护技术：
- 采用身份认证、进程监控、日志分析和安全审计等手段。
- 利用网络流量分析、文档指纹、人工智能等技术监控数据流动。
- 智能化趋势明显，实现数据分层、分级保护和终端、网络、云端协同管控。
结构化数据库安全技术：
- 包括事前风险评估（漏洞扫描）、事中安全管控（防火墙、加密、脱敏）和事后分析追溯（审计、水印）。
- 数据库水印技术用于事后追责，增强数据安全态势感知能力。
大数据平台安全技术：
- 针对身份认证、访问控制、安全审计和密钥管理等薄弱环节提出解决方案。
- 推荐集中身份管理、统一授权机制、细粒度访问控制、统一安全审计等策略。
同态加密和安全多方计算：
- 同态加密允许对加密数据进行处理，结果与明文一致，适用于隐私保护场景。
- 安全多方计算保障多个参与方在不暴露数据前提下协同计算，适合大数据合作场景。

总结

本白皮书系统梳理了当前企业数据安全建设中的关键问题，并提出了数据安全能力图谱的六大模块，构建了数据安全能力体系。同时，结合法律法规背景，强调数据安全建设需与制度、技术、管理多方面协同，形成统一、高效、可扩展的安全防护机制。腾讯在数据安全标准制定和关键技术研发方面发挥重要作用，推动数据安全生态的建立与完善。

展开完整摘要