周杰，现任杭州美创科技有限公司CTO、副总裁。从事数据安全领域研究开发十余年，熟悉零信任、攻击链、持续自适应风险信任评估等理论体系。在云管端的数据安全产品开发方面有着多年的实践，积累了大量经验。目前是云安全联盟大中华区（CSA GCR）零信任专家、认证讲师，保持和NIST、GARTNER等机构的紧密联系，紧跟数据安全理论技术的最新动态。多次参加安在、ISC、CSA、数据安全、信创等大会，并作主题演讲，推动数据安全理念、技术。代表公司参与了数据库防火墙、数据脱敏、数据共享、数据备份等产品的标准制定及修订。
随着社会信息化的提高，数据被视为新的资产，是政府企业实现收益的新生产力，具有重大商业价值，也因此被黑客窥探、觊觎，而5G、云计算等新兴技术的广泛应用，打破了传统网络安全防护边界，随之而来的数据泄漏事件屡屡发生，保护数据安全成为数字化转型关键时期的重点研究问题。基于零信任安全机制和技术框架，再度思考数据安全治理体系，不仅解决了数据流动中的全链路防护，也提升了数据安全保护水平。
美创科技周杰在2020云安全联盟大中华区大会上与大家分享《零信任助力数据流动》的主题演讲，CSA大中华区围绕“基于零信任基础的数据安全治理”，对周总进行了采访，对此进一步展开讨论。
数据成为新资产 引发诸多安全挑战
随着数据和算法的发展，社会对于资产的形态产生了全新的变化。数据是流动的、多样的、复杂的，而持续更新的数据具有更大的价值。数据价值不仅体现在现有的数据，更在于未来持续更新扩充该类数据的能力。过去几年间，数据泄露事件层出不穷，社会各界对于数据安全的关注度与日俱增。数据安全这一问题已成为企业资产安全性、个人隐私安全性，甚至社会公共安全的核心问题。
今年是数字化转型的关键时期，政企机构在云迁移过程中存在着诸多挑战，数字化转型也势必是一个淘汰老旧系统的过程，企业应如何保障自身数据流转过程中的网络安全？
政企用户IT设施上云、办公设备移动化的过程中，打破原本静态的安全边界模式，原有的资源数据中心即物理边界在现阶段已经不适用，原本固定的边界变成了现在的虚拟边界。
在此背景下，而边界的圈定要从两个角度出发，一是数据资产，以资产的角度出发任何一份数据、电脑、其他终端设备全部可以抽象成资产的概念，以此来圈定是谁、哪台终端设备访问数据，从资产角度出发我们可以发现每一份资产都有特定的行为模式；二是自身访问控制，IT架构可以确定谁可以访问，也就是常说的“白名单”机制，因为数据库的固有访问模式可能已经确定了访问边界，囊括何种类型的业务系统、用户角色、数据返回值等均可大致圈定动态的范围。
因为全面考虑流动数据安全防护，从资产本身的视角出发，着力于敏感数据的发现、分类分级，围绕着资产属性设计完整的数据安全体系。
以零信任为指导的数据安全体系设计
早在NIST发布的《实现零信任架构（草案）》中，零信任架构适用于八大业务场景，囊括了各类业务访问、数据交换等网络场景。国内具体实践情况怎样，存在哪些挑战？
零信任本身是一个概念，绝非安全产品或安全技术。从概念的角度，国内安全厂商绝大多数是赞同的，因为从安全发展前进的进程来看，有必要消除传统的默认安全机制，也就是认为内网即安全，外网充满威胁，现实是无论是云化或是移动办公物理边界都发生了巨大的改变。更甚之内网的使用者也不是绝对可信的，伴随数字经济时代下数据价值被不断放大，已经作为一种重要的生产要素参与到经济社会的研究中来。2019年底发布的零信任实施框架，是业界公认践行零信任的标准，由此能感受到网络安全行业对于实践零信任的需求之迫切。
很多安全厂商在过去几年中根据市场需求和自身技术提升不断调整方向，很多安全产品上都能发现零信任的影子，只是当时市场并未出现这一概念，因而导致对零信任认知的不统一。近几年，安全厂商根据自身优势选择几个点基于零信任概念设计、实施安全产品和解决方案，从长远来看它势必成为主流，但在较短的时间内仍存在一定观念上的冲突和分歧也是正常的。
国内零信任相关标准逐步落地，安全厂商积极响应布局。美创科技基于零信任做了哪些努力？
美创科技2020年发布了新一代数据安全架构，零信任是其中重要的基础。美创数据安全产品从数据资产的视角出发，确定拥有哪些数据或资产，进行敏感数据数据发现：梳理组织或企业拥有哪些资产，哪些资产敏感需要分类分级。定义完成后即可获得一个数据资产清单，包括其所处位置，是云端或是数据中心。之后要解决的是如何合理安全的访问数据，数据使用阶段它的位置不会发生变化，此时要做的是管控访问者并做防护控制。
当数据外发时，这一阶段是数据流动中的安全。敏感数据外发，数据经过加密、脱敏、水印，一旦数据外发从固有安全视角它已经失控，此时要做的是数据本身的安全防护，做到数据落地即加密、访问授权控制等管控。美创的一个理念是“数据在哪里，安全就在哪里，安全跟着数据走”。
从数据存储位置分析：数据中心、流转路径、终端，也就是“云管端”，当数据在云上，可以使用数据发现、资产梳理类产品，出现访问请求时可以使用数据库防火墙对数据库进行审视；数据在流转中，可以对数据加密、脱敏、水印等产品；数据在终端落地时，它面临的风险会随之增多，这种场景下数据本身的加密解密仍是有效的解决方法。数据追踪类产品可以帮助用户在数据分发时追踪流转过程，保证离开本地后仍是安全的。
数据安全“治”与“理”
数据安全的核心思想是什么？如何进行数据安全“治”与“理”？
数据安全核心思想是以业务数据资产为核心考量，从数据完整、可用、保密等内容出发。美创科技基于零信任概念升级传统安全理念，结合数据流动特性改进安全策略，建设数据安全治理体系，保护企业的数据资产。
数据安全治理应该是先“理”再“治”，在“理”清数据资产的基础上，才能进一步“治”。理清数据资产包括数据库类型、数据内容、流转的数据情况。我们看到实际场景中很多用户对自身存储、流转哪些数据都是未知的。理清资产后会获得一份数据分析报告，通过报告来判断数据健康程度或者从报告上了解自身数据资产分布图，通过这样的数据安全治理不仅紧紧结合业务场景，而且完成了数据分类分级。脱离业务场景的数据安全治理是一场空谈，美创有标准的数据资产梳理产品，比如：资产管理平台（数据发现的标准化产品），也从用户角度出发提供高效的安全服务。
首先，数字经济时代难以避免的是企业业务云化，截至目前为止仍有很多企业的数据没有上云，包括很多重要机构、企业、组织，他们的关键数据资产存储在本地的数据中心。但随着众多新兴技术的广泛使用，未来企业数据上云的趋势不可逆转，安全管控也必须紧跟时代发展。
二是数据共享，现在越来越多的业务场景需要将数据共享，企业将数据共享加以计算获得新的业务发展方向，获得更多的价值。这类新的应用场景下，信任成为了最关键的问题。目前，多方计算的技术还并不成熟未来值得关注。
三是同态加密，基于数据拥有方都不想暴露数据内容，在都加密的情况下数据共享和运算，该部分技术的发展还有很大的空间。
四是安全管控平台，针对多种安全产品、设备的管理与控制。若将考虑维度提升，从安全运营的视角考虑这个问题，时代的改变将带来设备数量激增，设备本身也会成为一种潜在攻击面。
结论与思考
数据是重要的战略性资产，是驱动业务发展的核心动力。数据集中导致风险集中，数据流转产生更多攻击面。基于数据全生命周期及数据应用场景，开展数据安全防护工作，保障数据采集、传输、存储、使用、共享、销毁每个阶段的安全。美创科技在数据安全治理的建设中，从数据资产的角度出发，基于零信任概念设计数据安全治理体系，梳理数据资产、进行分类分级；通过智能学习等方式识别敏感数据，掌握敏感数据的分布、使用情况；以机器学习的方式，确定数据安全属性和访问控制策略。
登录
2021.01.04
3757
