企業(yè)數(shù)據(jù)安全怎么做？騰訊云專家給你5條建議

引言

數(shù)據(jù)安全對(duì)企業(yè)生存發(fā)展舉足輕重，數(shù)據(jù)資產(chǎn)的外泄、破壞都會(huì)導(dǎo)致無(wú)可挽回的經(jīng)濟(jì)損失和核心競(jìng)爭(zhēng)力缺失。而絕大多數(shù)中小企業(yè)注重業(yè)務(wù)的快速發(fā)展，往往忽略了數(shù)據(jù)安全重要性。近年來(lái)，企業(yè)由于自身的安全防護(hù)機(jī)制不嚴(yán)謹(jǐn)，數(shù)據(jù)安全事件頻發(fā)。拋開(kāi)事件本身的人為因素不談，如何從技術(shù)角度避免重蹈覆轍，才是我們需要深度剖析的。

哪些方面存在安全威脅

數(shù)據(jù)安全是企業(yè)CIO、CTO、IT管理員以及老板在選擇IT產(chǎn)品時(shí)最需要考慮的問(wèn)題之一。在云時(shí)代，公有云，私有云或者IDC哪個(gè)選擇更加安全？

對(duì)于這個(gè)問(wèn)題，很多人的存在一個(gè)認(rèn)知誤區(qū)：認(rèn)為只有硬件是自己的，里面的數(shù)據(jù)才是自主可控的，才是最安全的。其實(shí)不然！數(shù)據(jù)本身和實(shí)物有很大的區(qū)別，數(shù)據(jù)是由二進(jìn)制的0和1構(gòu)成，數(shù)據(jù)載體資產(chǎn)歸屬并不能決定數(shù)據(jù)安全與否，因?yàn)閿?shù)據(jù)的泄露或者改動(dòng)根本不需要成本，只需要一次網(wǎng)絡(luò)的傳輸就完成了。

其次，一個(gè)安全事件的背后，往往涉及技術(shù)、流程、人等因素。比如，如果技術(shù)選型不當(dāng)，數(shù)據(jù)沒(méi)有物理備份或者異地備份，往往會(huì)造成不可恢復(fù)的影響；制度與流程方面給予單人權(quán)限過(guò)高，且不說(shuō)惡意破壞，誤操作也是致命的；人為因素的影響（比如誤操作），小到崩潰一個(gè)服務(wù)器，大到刪除核心數(shù)據(jù)庫(kù)，這些都不是網(wǎng)上一笑了之的段子而是切實(shí)發(fā)生過(guò)的案例。當(dāng)然，也存在外部的威脅，比如黑客入侵，友商的惡意網(wǎng)絡(luò)攻擊等。

所以，無(wú)論是把業(yè)務(wù)部署在自有的IDC，還是托管IDC里，只要暴露在公網(wǎng)下，也都是存在威脅。一臺(tái)設(shè)備無(wú)論托管在IDC中，還是部署在公有云，只要是有公網(wǎng)入口的服務(wù)器，業(yè)務(wù)的安全都需要投入大量資源與精力去保障維護(hù)。

如何避免發(fā)生數(shù)據(jù)安全事故

數(shù)據(jù)安全保障的原則很多，道理都懂，為什么很多企業(yè)依舊發(fā)生了數(shù)據(jù)安全事故？實(shí)際上，由于企業(yè)自身技術(shù)實(shí)力，管理水平，以及IT資源方面投入等因素，其實(shí)是很難完整實(shí)現(xiàn)數(shù)據(jù)安全策略的。

以分布式存儲(chǔ)系統(tǒng)建設(shè)為例，開(kāi)源和自建的成本都不小，采用開(kāi)源方案（如Ceph，GlusterFS等）維護(hù)一套幾十臺(tái)服務(wù)器的集群，至少需要1-2名資深存儲(chǔ)工程師，且要對(duì)全棧技術(shù)細(xì)節(jié)了熟于心，國(guó)內(nèi)也找不出幾個(gè)人，數(shù)據(jù)丟失風(fēng)險(xiǎn)不小。同樣，要能維護(hù)好一套數(shù)據(jù)庫(kù)的生產(chǎn)和備份集群，對(duì)普通DBA的要求也不低。選擇商業(yè)私有化部署的產(chǎn)品，動(dòng)輒幾十萬(wàn)的投入也是部分企業(yè)難以接受的。

1.數(shù)據(jù)庫(kù)的安全策略

目前企業(yè)的數(shù)據(jù)庫(kù)有自建數(shù)據(jù)庫(kù)和云數(shù)據(jù)庫(kù)兩種。作為企業(yè)的重要資產(chǎn)，哪種選擇才能讓數(shù)據(jù)更安全？這里的建議是無(wú)論是自建還是使用云產(chǎn)品都要做好備份。

對(duì)于已經(jīng)投產(chǎn)的自建數(shù)據(jù)庫(kù)，應(yīng)急方案是把“通過(guò)binlog或者其他備份文件進(jìn)行恢復(fù)的詳細(xì)步驟”制定成預(yù)案，并且定期演練，保證問(wèn)題真正發(fā)生時(shí)能夠迅速跑通。另外，需要與第三方的專業(yè)數(shù)據(jù)恢復(fù)公司保持聯(lián)系，如果備份文件也被刪除，至少還有從磁盤恢復(fù)數(shù)據(jù)的能力。針對(duì)云服務(wù)器建立數(shù)據(jù)庫(kù)的場(chǎng)景，需要結(jié)合云廠商提供的定期云盤快照功能來(lái)做數(shù)據(jù)恢復(fù)。不必過(guò)于擔(dān)心云數(shù)據(jù)庫(kù)丟失數(shù)據(jù)的問(wèn)題（責(zé)任方在云廠商的，云廠商會(huì)根據(jù)協(xié)議賠付），用戶只需關(guān)心如何熟練掌握云上數(shù)據(jù)庫(kù)回檔的方法。

相比自建數(shù)據(jù)庫(kù)，云數(shù)據(jù)庫(kù)在運(yùn)維簡(jiǎn)便性、安全性、性價(jià)比方面優(yōu)勢(shì)明顯：結(jié)合冷備和binlog，云數(shù)據(jù)庫(kù)可以提供7-732天內(nèi)任意時(shí)間點(diǎn)數(shù)據(jù)回檔能力。在數(shù)據(jù)遭遇被極端破壞的情況下，可以直接使用云數(shù)據(jù)庫(kù)的回檔功能，將數(shù)據(jù)恢復(fù)到被破壞時(shí)間點(diǎn)之前。

2.快照、快照，云主機(jī)要定期快照

快照是指數(shù)據(jù)集合在某個(gè)時(shí)間點(diǎn)（拷貝開(kāi)始的時(shí)間點(diǎn)）的完整拷貝或者鏡像，當(dāng)生產(chǎn)系統(tǒng)數(shù)據(jù)丟失時(shí)，可通過(guò)快照完整恢復(fù)，這也是業(yè)界一種重要的數(shù)據(jù)容災(zāi)手段。

快照對(duì)生產(chǎn)系統(tǒng)的milestone進(jìn)行備份，通過(guò)對(duì)指定云硬盤進(jìn)行完全可用的拷貝，使該備份獨(dú)立于云硬盤的生命周期?？煺瞻ㄓ脖P在拷貝開(kāi)始時(shí)間點(diǎn)的數(shù)據(jù)，并且不占據(jù)用戶的存儲(chǔ)空間。騰訊云的做法是，以冗余的方式把用戶創(chuàng)建的快照存儲(chǔ)在對(duì)象存儲(chǔ)中，進(jìn)一步確保備份的可靠性。快照是增量備份的，這意味著快照僅保存更改的數(shù)據(jù)，這樣不僅縮短創(chuàng)建快照所需的時(shí)間，且可以節(jié)省存儲(chǔ)成本。

3.做好云賬號(hào)權(quán)限管控

云賬號(hào)管理權(quán)限管控，可以幫助客戶安全管理騰訊云賬戶下的資源的訪問(wèn)權(quán)限。用戶通過(guò)CAM創(chuàng)建、管理和銷毀用戶(組)，并使用身份管理和策略管理控制其他用戶使用云資源的權(quán)限，使云賬戶下的資源訪問(wèn)權(quán)限粒度可控，降低誤操作或非必要操作引起的數(shù)據(jù)損壞、丟失的風(fēng)險(xiǎn)。

CAM可支持權(quán)限清晰、安全可控方案：比如，在主賬號(hào)里創(chuàng)建子賬號(hào)，給子賬號(hào)分配主賬號(hào)下資源的管理權(quán)限，而不需要分享主賬號(hào)的相關(guān)的身份憑證。

另外，可以針對(duì)不同的資源，授權(quán)給不同的人以不同的訪問(wèn)權(quán)限。例如，可以允許某些子賬號(hào)擁有某個(gè)COS存儲(chǔ)桶的讀權(quán)限，而另外一些子賬號(hào)或者主賬號(hào)擁有某個(gè)COS存儲(chǔ)對(duì)象的寫(xiě)權(quán)限等，從而做到精細(xì)化的權(quán)限管理。當(dāng)然，這里的資源、訪問(wèn)權(quán)限、用戶都可以批量打包。

4.對(duì)重要數(shù)據(jù)實(shí)施分級(jí)管理并做好加密

在數(shù)據(jù)安全保護(hù)層面，從網(wǎng)絡(luò)為中心轉(zhuǎn)向以數(shù)據(jù)為中心的全生命周期保護(hù)策略。即實(shí)施數(shù)據(jù)分類分級(jí)，對(duì)數(shù)據(jù)生命周期狀態(tài)進(jìn)行梳理，根據(jù)不同的數(shù)據(jù)敏感等級(jí)以及數(shù)據(jù)使用狀態(tài)，統(tǒng)籌規(guī)劃相應(yīng)的數(shù)據(jù)加密、脫敏、審計(jì)等數(shù)據(jù)保護(hù)策略，確保數(shù)據(jù)安全全程可控。針對(duì)影響業(yè)務(wù)運(yùn)營(yíng)的核心重要數(shù)據(jù)，應(yīng)在數(shù)據(jù)的產(chǎn)生、流動(dòng)、存儲(chǔ)、使用及銷毀過(guò)程中應(yīng)用密碼技術(shù)進(jìn)行保護(hù)，并實(shí)施資源級(jí)細(xì)粒度的身份認(rèn)證和訪問(wèn)控制，防止外部黑客攻擊以及內(nèi)部的非授權(quán)人員訪問(wèn)帶來(lái)的業(yè)務(wù)數(shù)據(jù)安全問(wèn)題。

5.建立全生命周期的數(shù)據(jù)安全防護(hù)

數(shù)據(jù)生命周期涵蓋數(shù)據(jù)的創(chuàng)建、存儲(chǔ)、使用、共享、歸檔到銷毀等多個(gè)階段，面對(duì)來(lái)自外部攻擊，內(nèi)部泄露與大數(shù)據(jù)共享等多方面的威脅。不同威脅的防護(hù)手段千差萬(wàn)別。

·針對(duì)外部攻擊，采用身份認(rèn)證，數(shù)據(jù)庫(kù)審計(jì)，加密網(wǎng)關(guān)保護(hù)核心數(shù)據(jù)不受外部攻擊的威脅；

·針對(duì)內(nèi)部數(shù)據(jù)泄露，采用4A與DLP等安全能力，全面保護(hù)企業(yè)運(yùn)維，辦公，數(shù)據(jù)分析等場(chǎng)景的數(shù)據(jù)防泄漏風(fēng)險(xiǎn)；

·針對(duì)大數(shù)據(jù)共享中的數(shù)據(jù)泄露問(wèn)題，建設(shè)脫敏，水印，加密，審計(jì)與權(quán)限管控等安全能力。

因此，企業(yè)需要從整體上梳理風(fēng)險(xiǎn)點(diǎn)，進(jìn)而進(jìn)行統(tǒng)籌和聯(lián)動(dòng)防御。并對(duì)外部、內(nèi)部、大數(shù)據(jù)等不同場(chǎng)景建設(shè)不同解決方案。

堡壘機(jī)作為云上數(shù)據(jù)運(yùn)維的統(tǒng)一入口，具備賬號(hào)權(quán)限管理、密碼管理、命令管理能力。能夠?yàn)閿r截絕大多數(shù)越權(quán)操作、刪庫(kù)等惡意命令執(zhí)行方面的風(fēng)險(xiǎn)。由于采用了集中式管理模式，運(yùn)維人員必須通過(guò)堡壘機(jī)統(tǒng)一認(rèn)證后才能操作服務(wù)器與數(shù)據(jù)庫(kù)。因此只要在堡壘機(jī)設(shè)置好安全策略，即可實(shí)現(xiàn)阻斷，將數(shù)據(jù)丟失風(fēng)險(xiǎn)大幅度降低。

公有云對(duì)數(shù)據(jù)安全保障措施有哪些

在全面上云的趨勢(shì)下，云計(jì)算廠商在多年的實(shí)踐中積累了豐富的數(shù)據(jù)安全防護(hù)經(jīng)驗(yàn)，并正在通過(guò)產(chǎn)品化輸出到公有云上，企業(yè)用戶可以拿來(lái)即用。

1.云硬盤CBS提供實(shí)時(shí)快照、秒級(jí)恢復(fù)能力

騰訊云硬盤采用分布式塊存儲(chǔ)架構(gòu)，每個(gè)數(shù)據(jù)塊在可用區(qū)都有3副本，可以規(guī)避物理磁盤，宕機(jī)故障導(dǎo)致的數(shù)據(jù)損壞。另外，通過(guò)云硬盤的快照技術(shù)，可以實(shí)現(xiàn)數(shù)據(jù)“秒級(jí)”恢復(fù)到一小時(shí)內(nèi)的狀態(tài)。

2.云對(duì)象存儲(chǔ)COS版本回退，異地災(zāi)備

對(duì)象存儲(chǔ)COS可以開(kāi)啟版本控制功能，實(shí)現(xiàn)對(duì)象存儲(chǔ)的版本控制，開(kāi)啟版本控制配置后，刪除操作等同于新增一項(xiàng)刪除標(biāo)記；可以通過(guò)指定版本號(hào)訪問(wèn)過(guò)去任意版本的數(shù)據(jù)，可實(shí)現(xiàn)數(shù)據(jù)的回滾操作，解決數(shù)據(jù)誤刪和覆蓋的風(fēng)險(xiǎn)。

此外，對(duì)象存儲(chǔ)還提供了跨地域復(fù)制的功能，幫助用戶將所有增量文件通過(guò)專線復(fù)制到其他城市的數(shù)據(jù)中心，實(shí)現(xiàn)異地容災(zāi)的作用。當(dāng)主存儲(chǔ)桶中的數(shù)據(jù)被刪除時(shí)，可從備份存儲(chǔ)桶中通過(guò)批量拷貝的方式恢復(fù)數(shù)據(jù)。

3.云數(shù)據(jù)庫(kù)CDB為結(jié)構(gòu)化數(shù)據(jù)提供靈活可靠的災(zāi)備

云數(shù)據(jù)庫(kù)CDB在實(shí)現(xiàn)服務(wù)高可用的架構(gòu)情況下，也實(shí)現(xiàn)了豐富的數(shù)據(jù)備份和恢復(fù)功能，確保數(shù)據(jù)能回滾到任意時(shí)間線。同時(shí)，所有高可用實(shí)例，默認(rèn)開(kāi)啟7天內(nèi)數(shù)據(jù)備份和實(shí)例回收站保留策略，確保人為誤操作，能得到保底的數(shù)據(jù)恢復(fù)。此外，通過(guò)對(duì)實(shí)例配置異地災(zāi)備實(shí)例，CDB實(shí)時(shí)進(jìn)行數(shù)據(jù)復(fù)制，可以輕松實(shí)現(xiàn)數(shù)據(jù)異地災(zāi)備，規(guī)避區(qū)域性故障帶來(lái)的數(shù)據(jù)丟失風(fēng)險(xiǎn)。

4.騰訊云數(shù)據(jù)產(chǎn)品系列低門檻實(shí)現(xiàn)安全監(jiān)控與審計(jì)

騰訊云數(shù)據(jù)安全產(chǎn)品系列可以實(shí)現(xiàn)對(duì)安全事件的全面監(jiān)控、告警、事后審計(jì)等功能。騰訊云堡壘機(jī)結(jié)合人工智能技術(shù)，為企業(yè)提供運(yùn)維人員操作審計(jì)，對(duì)異常行為進(jìn)行告警，防止內(nèi)部數(shù)據(jù)泄密。

5.CAM云權(quán)限管理為云上資產(chǎn)合理建立權(quán)限控制制度

對(duì)上云企業(yè)來(lái)說(shuō)，賬號(hào)安全和資源合理授權(quán)是構(gòu)筑立體防護(hù)體系的第一道門鎖。云上資源管理的授權(quán)應(yīng)該規(guī)避如下風(fēng)險(xiǎn)：

·使用騰訊云云主賬號(hào)進(jìn)行日常操作

·為員工建了子賬號(hào)，但是授權(quán)過(guò)大

·對(duì)高權(quán)限子賬號(hào)用戶和高危操作沒(méi)有訪問(wèn)條件控制

·沒(méi)有定期審計(jì)用戶的權(quán)限和登錄信息

·缺乏權(quán)限的管理制度和流程

這里以COS的數(shù)據(jù)訪問(wèn)權(quán)限控制為例：為公司中的不同團(tuán)隊(duì)授予子賬戶，通過(guò)訪問(wèn)方式、賬戶權(quán)限隔離來(lái)分級(jí)控制不同賬戶的資源操作范圍。高危操作（如刪除數(shù)據(jù)）權(quán)限可剖離出來(lái)，僅允許控制臺(tái)操作，同時(shí)通過(guò)MFA校驗(yàn)來(lái)進(jìn)行二次認(rèn)證。

結(jié)語(yǔ)

近年來(lái)層出不窮的數(shù)據(jù)安全事件中，既有黑客的攻擊，更有內(nèi)部工作人員的信息販賣、離職員工的刪庫(kù)、開(kāi)發(fā)測(cè)試人員誤操作等多種原因，這些事件可以折射出一個(gè)道理：僅僅依靠單點(diǎn)防護(hù)難以達(dá)到真正的安全防護(hù)效果，而構(gòu)建基于全生命周期的安全防護(hù)成為必然選擇。

值得一提的是，企業(yè)上云大潮的趨勢(shì)下，討論數(shù)據(jù)安全絕大部分要從云環(huán)境出發(fā)，云原生的數(shù)據(jù)保護(hù)技術(shù)和策略也將成為當(dāng)下及未來(lái)的主要手段。