2021年9月2日，36氪“WISE2021企业服务生态峰会”在上海新发展亚太JW万豪酒店举办，在峰会现场，数十位企服行业大咖、投资机构代表们将围绕“企服新浪潮”，共同寻找中国企业的成长新动力，以及中国企服市场的未来趋势与挑战。
当前中国经济进入转型关键期，中国企业固有的发展模式正在发生转变，降本增效正在成为几乎所有企业的共同选择。企业服务也由此成为了中国商业市场上炙手可热的新赛道，国际巨头、科技企业与企服新势力们纷纷瞄准企业市场，力图在这里寻找第二增长曲线。
在WISE2021企业服务生态峰会上，云安全总经理李滨以“新时代数据安全和隐私保护的挑战与实践”为主题分享了腾讯在云数据安全、企业数据安全方面的探索、思考和实践。李滨表示，在今天的企业服务中，数据已经成为生产力的核心要素。在万物互联、数实融合的大背景下，我们面对一系列新环境、新技术、新业务带来的新挑战，对数据安全的保障也成为企业发展过程中的关键命题。
腾讯云安全总经理李滨
以下为嘉宾演讲实录，经36氪编辑整理：
李滨：各位嘉宾大家好！我是来自腾讯云安全的李滨，今天为大家带来在云数据安全、企业数据安全方面的探索、思考和实践。
本来今天我的主题是“在新时代面对数据安全的挑战”，最终没有作为主标题输出。因为新时代的概念，在过去十年二十年一直在反复提起，可以说我们每天都处在一个新时代。但是从最近的五年，尤其最近的两三年，大家对于新时代这个概念逐渐清晰，特别是新的，对我们的影响越来越感同身受。近几年来，党和国家一直在提倡一个概念，用大家耳熟能详的一句话就是——“我们处在一个百年未有之大变局"，这句话最早出现在2018年，它的作用并不仅仅是作为宣传口号，而是未来新时代的开篇序目。
近两年来大家对新时代有非常多深切的感触，因此，我将我们当前所处的新时代、新环境总结为三句话，来阐明我们今天为什么处于新时代：
第一，今天处在新的环境下，新环境有几方面的因素，一方面由于科技的发展、经济的发展带来的整个国际形势上的博弈的重大的变化。国际形势的变化对于我们的经济、科技以及日常生活，都将产生非常大潜移默化的影响；二是由于去年以来的突出事件——全球的疫情，对我们的生产生活方式乃至工作生活各个方面带来非常多新的变化；三是国内以及国外在整个经济金融，尤其是整个信息化领域法规监管各方面的变化，整体上法规监管对于整个安全、数据、信息化各方面的管理是日趋严格，这些对我们整个企业的经营，我们的生活，我们的生产带来一些影响。
第二，新时代更早一些就是产生的一些特征，新技术产生的影响。新时代早期特征是技术产生的影响，从五六年以前开始，我们的云计算、大数据开始进入我们的生产生活的视野，这几年区块链、人工智能，IoT、5G慢慢成为我们整个金融活动一部分。新技术对业务生产带来便利的同时，也带来了新的挑战。
第三，由于新的环境、新技术的其实导致我们在产业上面也发生了非常多的新的变化。总结而言，新的产业变化就是两句话：一是万物互联，包括产业互联网、工业互联网都是在这个趋势下的新的产物；二是数实融合，在过去十年更多处于消费互联网的阶段，整个经济偏向虚拟化经济、纯数字经济，线上经济为主。这个时代基本上正在发生交替，未来包括现在一些新的比较热门的概念，如元宇宙、数字孪生，数实融合，5G、IoT对我们整个生产生活将产生大的影响。未来而言，在整体生产生活中，数实融合会进一步成为主要方式。
无论是新环境、新技术、新产业，我们讲的主题有SaaS、云计算、企业服务，其中一个核心命题是无论如何都无法绕过，那就是——数据。
在今天数据已经成为生产力的核心要素，同样对数据安全的保障也成为制约或者刺激企业发展的一个核心的关键命题。怎么做好数据安全，使数据在生活中发挥更大的价值？在今天的时代，从技术、环境、业务上，面临一些挑战，今天把一些挑战总结为三个方面：
首先，在企业数据安全方面面临一个外部攻击的重大挑战。我们每年跟踪整个全球的信息安全、网络安全领域的攻击态势，包括有哪些威胁主体会对我们企业数据或者国家安全产生威胁；分析他们会用什么样的手段或者工具进行攻击，主要攻击的目标是哪些？针对这些问题做出应对，全球范围以内有哪些相应的法律法规标准给我们做出指导，并且做出规范。
演讲PPT
如图所示，可以发现有两个关键数据，这张图在2020年刷新的时候采取美国的一份报告，现在全球范围以内具备国家级别攻击力量的黑客组织大概有40多个，国家级别的黑客攻击。再往下就是无政府主义黑客，商业间谍、有组织犯罪，国内的典型的体现“薅羊毛”，黑灰产也是占到整个商业数据攻击的主流。在整个利用的趋势或者攻击目标上，企业的数据这几年以来在逐步的成为他们攻击的核心目标。
根据我们收集的信息，在2018年的时候，全球有近30亿条数据被泄露，2019年这个数据大概是50亿条，到2020年全球每年泄露的数据在被公开的信息已经达到百亿条以上。这样的发展趋势下，今天数据安全以及我们企业的商业数据，用户的个人隐私等等，都成为企业可能潜在遭受重大风险非常重要的方面。
其次，作为应对，全球各个地区的国家政府等等有发现了这方面的严峻形势，尤其像国内在今年，在去年今年以来陆续发布一系列法律法规对于数据安全以及用户个人信息，以及相关信息系统安全等等发布一系列的法律法规管制规定。从前几年的《网络安全法》，到2019年发布了《密码法》，最近两个月《数据安全法》和《个人信息保护法》。基本上今天在整个网络空间领域关于网络空间安全的法律法规基本已经健全，而这些法律基本上从因年年底到明年年初全部交付实施，后续对于网络空间安全、数据安全的监管处于非常严格的状态。除国内的应对状态外，在国外也陆续发布，欧洲《一般数据保护法》（GDPR），美国有相应的法律，东南亚去年和今年也陆续发布一系列的法律，所以数据安全这个领域法律合规会成为另外一个重要的约束和驱动力。
这里简单的介绍几个核心法律的要求，这几年发布的几个法律，今年6月份发布了《数据安全法》主要界定企业的数据安全的责任，数据安全后面就是如果是用企业所拥有的数据安全，数据产生了泄露或者造成损失，企业自身的分享和损失外，也要承担一定的法律责任，这是它的主要界定。《个人信息保护法》在这个月刚刚发布，它主要界定企业在用户的个人信息、隐私、敏感数据方面的保护责任。另外，企业服务相关的两个重要的法律，首先是《密码法》，它是在2018年底发布，主要界定了国产化密码的地位，因为密码技术在整个数据安全的保护技术里面是处于核心的技术，从去年开始国内基本上在以政务和金融两个领域开始作为起端，在强烈的推广国产化密码的应用，这对于企业以后的经营也会产生比较大的影响。最后，如果发展到一定的规模，比较大规模的企业服务或者SaaS化的服务商，可能会受到《关键基础设施保护条例》的影响，界定在业务的可用性、安全性方面有一定的责任。
最后，新技术的时代，新技术和新架构带来的演进带来的挑战。我们前面看到在今天的时代我们提了非常多的新技术，比如说5G、IoT、物联网、人工智能，最基础核心的云计算、大数据。这些新技术的导入的过程中，其实我们业面临非常大的挑战，比如说云计算、大数据带来有几个最核心的挑战：
1、对企业的管理机制带来挑战。传统IT架构，IT资产所有权和业务单元是一致的，物理的控制权，成本模型也都是一致的。今天采用这样的订阅模式、租户模式，比如说PaaS、SaaS的模式，会产生这样一个权限模糊的分离。在今天SaaS和PaaS下面，我们所有的物理资产、信息资产所有权可能是属于云服务商或者服务商提供，它的数据所有权又是在用户这一侧，用户更多的是具备他的使用权和管理权，这里会产生比较复杂的管理模型和流程上的一个变革。
2、今天涉及到的数据量越来越大，拥有的算力越来越高，算力本身的提高，数据量的增大，本身对于我们数据安全的保护会产生非常大的挑战。以前数据量很小，只有一两个数据库，可能是GB级别的数据，可以做全文加密，性能不会有太大的影响。现在面临很多的挑战可能是几百TB甚至PB级别数据，采取安全机制管理，我们企业的数据效率，生产效率受大比较大的制约，保护机制无法应用，如果不保护，会造成内外部各种风险非常大的影响。这是在算力的提升，数据量的提升上本身对于企业进行数据安全保护带来的挑战和制约。
3、云计算、物联网、边缘计算新技术演进，本身对业务有很快的提升，新技术会带来新的风险面，这些风险面对于传统的技术架构思维的一些挑战。最后计算环境的变化也会对我们带来新的问题。下面是我们对这些问题的思考和探索。在今天的新时代下，整个企业做数据安全保护面临五个风险面：
- 来自外部的风险，如黑客攻击等，这两年来越来越多的案例，勒索病毒，利用企业资源进行挖矿，这样潜在攻击行为越来越多，对企业造成非常大的经济损失；
- 企业本身对于数据的使用管理面临合规以及治理风险，如果企业今天拥有这些数据，但是没有管好，本身就会带来非常大的合规治理方面的约束和风险；
- 很多企业尤其像运用或者建立建设SaaS化这样服务过程中，会面临数据的交换、共享，这个时候当你的数据传输到第三方的时候，它可能是管理规范和基础设施和你不一致，这个时候会面临潜在的一个第三方的风险。比如说像前几年比较热门的案例，脸书由于违反了欧洲的GDPR面临几十亿美金的罚款，当时他的主要的原因就是把大量的数据交由第三方分析机构进行分析处理，但是没有尽到相应保护责任，当企业和第三方发生数据交互的时候也要关注这方面的风险；
- 企业内部的风险，包括内部人员进行数据的舞弊、滥用，因为权限控制人员意识疏忽导致内部的风险，大型企业受到勒索病毒的攻击，导致整个企业的生产瘫痪的案例不胜枚举；
- 底层的基础设施服务商带来潜在的这样一些衍生风险。
企业面临这么大的内外部安全风险，在管理上其实又面临非常大的一些困难，我们可以看到在这里列出据在企业生产过程中产生流动的全生命周期的环节，从企业数据的产生或者获取，到他的中间环节，包括数据的存储、使用、传输，到数据不用以后，还有数据的归档、退役、销毁，包括六个关键的环节。每个环节里面涉及到的数据的基础设施又不一样，同时面临复杂保护机制，存储安全里面涉及到访问控制，数据安全、备份安全，这些数据对于业务人员比较难理解，这么长环节里面，涉及到这么多复杂的机制，一定会产生核心的困难点，企业数据安全处理的时候中面临的四个核心难点：
1. 怎么知道数据在哪里？往哪里去？这是数据识别发现分类分级治理策略；
2. 知道数据在哪里以后，怎么进行有效保护？一般数据有效保护措施，像访问控制，加密，加密是核心的问题。但是又由于前面说的技术制约，加密技术在今天非常难用，而且效率比较低下，所以如何用好这样一些安全机制进行管理，这是第二个技术的挑战，包括像密钥的管理以及在不同的生产业务环节进行合适的加密或者数据安全的处理；
3. 在过程中数据一直在流动，怎么知道数据哪些环节发生哪些问题，这些行为是合理还是违规的？
4. 对于全流程过程中的数据访问事件的监控和分析。
针对这样一些难点，我们会给用户提供一些解决方案，我们也积累了一些经验，这张图是关注在数据流动，开发运营过程中会带来数据安全问题。我们在2019年底的时候发现整个企业数据安全管理过程中有非常重要的泄露面，就是我们的开发人员往往把非常重要的敏感凭据，像数据库访问帐号嵌入到代码里面，采用云模式开发，随手传到云上，连数据访问的凭据传出去，这是非常重要的风险面，我们做了监控工具，自动的联动GIthub官方，分钟级发生泄露事件，并且向用户告警，最后得出一个数据，在去年全年我们仅仅在开发测试过程中由于开发人员对密钥的泄露这一个行为导致的在腾讯云上的用户潜在的风险，我们最终为用户挽回潜在损失4.5个亿，因为这个发生的泄露近千起。
在整个企业全流程数据安全管控中，除了开发者的环境，包括人员的直接接触，办公网络的环境，包括网上黑客攻击的风险面，整个泄露的风险更大，我们制定一整套的数据安全管控的实践。最早期需要建立整个体系内各个组织的分工，包括我们有明确安全团队的责任，应用和开发团队的责任，合规审计团队的责任，大家协力共建组织安全。我们首先明确数据的识别和分类分级，清晰的通过工具和方法识别，企业到底有哪些数据，重要等级怎么样，存在哪些应用系统，应该扩散的范围是什么？通过这个制定治理策略，包括针对相关业务相应敏感数据的管控，进行治理策略，最后进行相应技术管控，在什么地方允许传播的范围在哪些，哪里加密，哪里解密，哪里脱敏，对信息识别进行控制。在过程中积累一定的安全机制和基础措施，通过基础设施的沉淀提供向上能力的覆盖。
在过程中我们也有一些核心的积累，包括在腾讯云上目前积累了这样数据安全能力的矩阵，包括像以VPC以及网络隔离为基础的数据虚拟隔离，以CAM为核心的数据和用户身份的健全和隔离，还有最核心的就是我们的云数据安全中台。
因为前面提到在整个数据安全全生命周期过程中涉及到非常多的设施，比如，在云上做这样一个SaaS化的业务系统，可能涉及到数据获取一类的服务，也会涉及到数据分析，涉及大数据的服务，最后涉及到存储。在这么多应用过程中，怎么简化部署我们的安全机制起到最有效，最好性价比的保护？我们建立这样一个腾讯云安全数据中台，这里是整个中台的一个完整的示图，主要核心把各项底层安全能力，数据的加密、密钥的托管、数据的脱敏、敏感数据的识别等等这样一些核心能力，通过PaaS化或者SaaS化的服务能力向上提供，这样保证我们用户对于数据安全的管控一键可以开启，随取随用的能力。以上是我们对于新时代数据安全和隐私保护的探索和实践的一些个人见解和分享，谢谢大家。
36氪APP让一部分人先看到未来