嘶吼RoarTalk云上密码应用最佳实践——为云海漫步保驾护航随着企业上云和数字化转型升级的深化

随着企业上云和数字化转型升级的深化，数据正在成为企业的核心资产之一，在生产过程中发挥的价值越来越大。而数据安全也成为广大企业和云服务商共同关注的话题之一。
近年来，国内外大规模数据泄露事件频发，数据资产的外泄、破坏都会导致企业无可挽回的经济损失和核心竞争力缺失，数据安全环境日趋复杂。而等保2.0和密码法的相继出台，也对数据安全尤其是加密算法和密码测评提出了更加严格的要求。
数据安全问题既是技术问题，也是管理问题，需要一套行之有效的数据管理策略。针对目前企业现状，腾讯云数据安全服务负责人姬生利在国际信息系统审计协会（ISACA）组织的在线公开课中分享了主题《云上密码应用最佳实践》，从密码技术角度剖析了当前国内密码应用现状以及企业数据安全面临的难题，并介绍了腾讯安全在云上密码应用中的最佳实践。
"难做、难用、难管"密码应用核心三难如何解决？
数据显示，全球平均每天有上千万条数据被泄露，其中只有2%的数据经过加密，在泄露后未造成损失。由于不安全的配置、源代码泄露及硬编码等内部威胁导致数据泄露事件频发，而做好数据加密和敏感凭据的管理，能有效降低数据泄露带来的风险。
但是，密码技术在使用过程中面临着三大难题，所谓"三难"就是指"难做、难用、难管" 。密码产业人才短缺，开发门槛高，密码行业尚处于产业规模化发展的初期阶段是"难做"；密码算法、密码产品、密码应用三者明显脱节，用户需要大量的开发工作，因此"难用"；密码应用分散，行业缺乏统一化标准，密码技术应用及运维管理工作复杂，故而"难管。 "
为了解决密码应用的"三难" ，在直播中，姬生利首先针对数据合规和治理、访问监控和响应等方面从数据的产生和获取、使用、存储、传输、退役和销毁等几个维度，指出数据安全生命周期风险及防护四个方面的关键难点——数据的分类、治理和策略；数据在传输、存储、使用过程中的全生命周期加密技术；密钥管理；数据安全事件的监测分析。
从开发运营的过程来分析数据泄露风险，可以归纳系统四个阶段面临的挑战。开发阶段，意识疏忽泄露源代码中包含的敏感凭据和密钥；测试阶段，暴露高风险的测试数据库访问端口和弱账号；集成交付阶段，临时环境中的数据访问端口，薄弱配置导致的安全问题；生产和运营阶段，账号口令泄露、破解、弱口令，缺乏保护的隐私数据和密钥。又从应用服务的构成深度解析数据泄露风险并提出解决方案。

文章图片
（腾讯云数据安全中台)
为此，腾讯安全云鼎实验室提出以"腾讯云数据安全中台"为中心，打造端到端的云数据全生命周期安全体系，以数据加密软硬件系统（CloudHSM/SEM）、密钥管理系统（KMS）、凭据管理系统（SSM）以及云数据加密代理网关（CDEB）为核心，将密码运算、密码技术及密码产品以服务化、组件化的方式输出，并无缝集成至腾讯云产品中，实现从数据获取、事务处理及检索、数据分析与服务，数据访问与消费过程中的安全防护，针对性地解决"三难"问题。
云上密码应用最佳实践，多维度助力数据加密
云数据安全中台对应了各种基础设施，云上密码应用做出一系列最佳实践。
密钥管理系统KMS——提供全生命周期的密钥管理和数据加解密服务
密钥即为钥匙，使用加密算法需要使用密钥管理系统（KMS）来对密钥进行统一管理。运用算法的公开性和密钥的保密性特点，有效规避在应用密码技术进行对称或非对称加密时，密钥的丢失导致数据的密文不再安全等问题。
针对密钥权限的管控、加密算法库的依赖、国密算法的改造、数据密钥的策略管理、私钥的安全性管控、密钥材料的信任、密钥所有权等一系列问题， KMS根据敏感数据、高性能本地数据、非对称密钥、BYOK（BringYourOwnKey）、白盒加密等方面都提出了有效可行的解决方案。