企业数据安全风险和国内密码应用现状

　　随着企业上云和数字化转型升级的深化，数据正在成为企业的核心资产之一，在生产过程中发挥的价值越来越大。

　　近几年大规模的数据泄露事件频发，外部威胁和内部威胁左右夹击，由内部威胁带来的大规模数据泄露事件越来越多，不安全的配置、源代码泄露及硬编码都有可能造成数据泄露，企业业务数据安全面临严峻挑战。

　　业务安全挑战：

　　提供数据传输、数据存储等过程中的机密性和完整性的保护；

　　完善的密钥生命周期管理，保证密钥产生和运算过程的安全；

　　保护金融支付、电子政务、身份认证等业务过程的安全。

　　安全合规要求：

　　另一方面，《密码法》、《网络安全法》、网络安全等级保护2.0，以及相关行业安全规范对数据安全保护以及数据加密做出明确规定。

　　满足外部合规需求，如密码法应用要求、等保安全合规建设等，系统安全标准 PCI DSS、SOC、第三方支付认证等；

　　满足内部审计管理策略。

　　二、密码常用技术简介

　　常用的密码技术包括以下几种：

　　1）非对称加密：RSA、ECC、SM2等。

　　2）对称加密：AES、SM4、3DES（开始弃用）、DES（已弃用）等。

　　3）杂凑/哈希/散列：SHA-1（2017年攻破）、SHA-2、SHA-3、SM3、MD5（已弃用）。

　　4）数字签名：将非对称密钥反过来使用，私钥签名，公钥验证。

　　其中SM算法是指中国商用密码算法。从合规审计的要求和加密安全强度的方面考虑，建议选择使用以下加密算法：

　　1）海外地区用户：针对海外地区用户数据使用RSA2048、AES256、SHA-2/SHA-3 等国际算法；

　　2）国内地区用户：针对国内地区用户数据使用SM2、SM3、SM4商用密码算法。

　　三、企业数据安全面临的难题

　　1. 从数据安全生命周期看风险及防护关键难点

　　2. 从开发运营过程看数据泄露风险

　　开发：意识疏忽泄露源代码中包含的敏感凭据和密钥。

　　测试：暴露高风险的测试数据库访问端口和弱账号等。

　　部署/交付：临时环境中的数据访问端口，薄弱配置导致的安全问题。

　　生产/运营：账号口令泄露、破解、弱口令，缺乏保护的隐私数据和密钥。

　　3. 从应用服务的构成看数据泄露风险

　　数据从产生、传输、存储、处理，到共享展示，每一个环节都存在数据泄露的风险，涉及数据安全保障：

　　本地敏感数据存储安全、网络通道的安全、配置文件和硬编码敏感信息的安全、密钥的安全管理、云上数据的存储安全、金融支付等敏感应用的安全合规问题、数据的共享、展示脱敏的问题等等。

　　4. 云架构下数据加密及密钥管理的挑战

　　（1）云数据全生命周期保护

　　数据分级与治理，确保云上敏感数据从生产、存储、流动、使用到销毁等数据全生命周期的加密策略的应用。

　　（2）云产品数据加密及密钥管理

　　云产品，如云硬盘、云存储、云数据库等精细化数据加密保护，密钥策略集中管控、安全分发、多租户隔离等挑战。

　　（3）密码方案云环境适配

　　传统密钥管理系统方案与云平台架构难以融合，合规化硬件密码机部署困难，多租户管理、权限管控困难，接口不适配等。

　　（4）密钥权限租户主管控

　　云数据加密与密钥管理分离，密钥全生命周期由租户自主管控，包括密钥访问身份与策略管控、密钥材料、加密算法等。

　　四、腾讯云数据安全中台

　　针对以上安全挑战，腾讯提出“云数据安全中台”，打造端到端的云数据全生命周期安全体系，以数据加密软硬件系统（CloudHSM/SEM）、密钥管理系统（KMS）、凭据管理系统（SSM）以及云数据加密代理网关（CDEB）为核心，将密码运算、密码技术及密码产品以服务化、组件化的方式输出，并无缝集成至腾讯云产品中，实现从数据获取、事务处理及检索、数据分析与服务，数据访问与消费过程中的安全防护与合规化的密码应用。

　　云数据安全中台让用户得以使用最小的工作量，极简地实现对云上数据的加密保护。密钥管理系统KMS和云产品无缝集成，并提供极简的加密API和SDK服务，用户只需要开通相应的服务，无需关系加密的细节，即可实现透明的云上数据加解密。

　　通过数据安全中台的解决方案，可以在各个环节解决这些数据安全风险的问题，例如客户端本地敏感数据的存储，通过 SDK 结合KMS进行数据的加解密。不同服务之间的调用， API 密钥的保管可以使用白盒密钥解决，配置文件敏感信息可以通过凭据管理系统进行很好的管理。

　　五、云上数据安全应用最佳实践

　　1. 密钥管理系统 KMS

　　对于云上数据安全应用方案，需要保管的核心内容就是密钥，密钥存放在硬编码配置文件里面，是写在代码里面的，这种情况下配置文件泄漏或者代码泄漏，密钥也会随之泄漏，密钥的丢失导致数据的密文不再安全，因此使用加密算法需要使用密钥管理系统（KMS）来对密钥进行统一管理。

　　另外，密钥的强度和随机性也是安全的重要因素之一，使用软件产生的伪随机数的安全度要低于专用硬件加密机生成的真随机数，这也是我们数据加密密钥需要使用KMS的原因之一。

　　KMS是云平台和产品合规的基础安全组件，海外用户需要满足FIPS-140-2标准，国内用户需要支持国密。一般的密钥管理系统提供以下特性：

　　基于硬件加密机的真随机数；

　　密钥的权限细粒度管控；

　　密钥的自动轮换；

　　密钥生命周期的管理（创建、开启、禁用、计划删除、销毁等）；

　　自有密钥的导入；

　　多级密钥管理。

　　用户根密钥的创建、管理等操作都将在合规的 HSM 硬件中进行，腾讯云在内的任何人都无法获取到您的明文主密钥。

　　（1）安全合规的密钥保障

　　KMS 控制台操作简单，用户可自动创建密钥的类型，密钥轮换的启停、密钥的启用、计划删除等等。

　　密钥有自己的生命周期，从状态上可以看到，创建一个密钥后，开启的状态就是可用的状态，如果发现一个密钥出现了泄漏的问题，管理员可以立即关掉，让所有的数据都不能进行解密。

　　最小粒度进行授权，KMS与腾讯云访问管理集成可进行资源级别的授权，通过CAM身份管理和策略管理控制哪些账户、哪些角色可以访问或管理敏感密钥。首先管理员在 KMS 创建一个子账号，不同子账号分配给不同的应用，根据不同应用的特点可以进行授权。