企业数据资产面临怎样的“内忧“与”外患”？

企业如何实现数据的安全合规？

华为云又有哪些核心的数据保护能力？

今年其实最火的话题就是疫情了，其实我们都知道疫情对一些传统的行业，比如说像餐饮、电影这种行业影响是非常大的。那对我们做安全的有没有什么影响呢？对我们做安全来讲的话确实也会有影响。今年的疫情让很多的公司、很多的员工都只能在家远程办公，这也给了这个数据犯罪分子有机可乘。他们可以通过垃圾邮件或者钓鱼邮件的方式来获取企业的内部的、账号的一些登录凭证或者是一些数据，从而达到他们的一些不可告人的目的。所以今年我们看到其实类似的这种数据安全的泄漏事件是比往年多了很多。

不法分子一般会通过哪些渠道或者途径来获取我们企业的数据呢？

不法分子一般会通过内外两种路径来去获取。一般我们说从外部的话一般是指黑客入侵，从内部来讲的话一般是指的企业内鬼。那这样看下来，我们的数据风险真的是防不胜防。那我们现在就可以进入我们今天的主题，华为云的核心数据保护能力。

 

现在随着互联网、大数据、还有5G这些技术的发展，数据已经变成生活中必不可少的部分，甚至说数据已经成为了一些企业比较核心的资产。数据资产为我们的生活带来了无限便利的同时，也催生了大量的数据安全问题。随着全球各大数据安全的类似于法规的出台，类似于欧盟的GDP2、类似于美国加州的CCPA，类似于这种法规的出台其实也是去限制了企业有义务和责任去保护这个数据安全。如果发生数据泄露，企业其实除了面临严重的经济损失之外的话，也会受到相应的巨额的罚款。

华为内部是其实是非常重视的数据安全的，那数据安全部门有没有采取什么样的措施呢？

其实一直以来华为云都非常关注数据安全，也是从去年开始就在内部孵化相应的一些数据安全能力。接下来将为大家揭晓一下我们华为云核心的数据安全保护能力。

一、数据安全的趋势和挑战

我们分两个部分来阐释数据安全中心的因和果。因是数据安全的趋势与挑战了，我们盘点了一下今年来一些大的安全事件，这些安全事件大家或多或少都听说过，比如脸书的数据泄露，或者是某某酒店泄露客户的隐私，那么对于说对企业来讲造成了难以估量的声誉和经济损失。同时我们也可以看到，数据安全看似离我们很远，但实际却徘徊在我们身边。

而另一方面，伴随着数字化的转型，越来越多的企业把云上升到了一个战略的高度上，云的数据越来越多、也越来越重要，那么随之而来的云上数据安全问题也逐渐成为了企业关注的焦点。这里我们通过上图里面可以看到top级的里面有一些商业智能数据，还有一些属于专利的数据，其实这里也说明了越来越多的这种敏感类的数据会逐渐的上云。那么发生数据泄露大致是两类原因，一类是外部的攻击，这里主要是指黑客利用漏洞从互联网入侵到企业系统内部偷窃、破坏数据，而更大的原因是在于内部的泄漏。由于我们数据生命数据生命周期的各个阶段都缺乏管控，那么这也就导致了我们从企业内部获取数据尤其是获取敏感信息就显得更为的容易。所以不管是有意或者无意的泄露，企业的这个造成的这个信息泄露，都是企业长此以往的一个痛点。所有我们的数据安全体系既要攘外也要安内。

---

二、华为云数据安全中心8大核心安全能力

前面大致介绍了一下行业的趋势与挑战，由因及果，华云深入洞察客户诉求、励精图治，最终修成正果，发布数据安全中心，提供八大核心安全能力。

当时是在一个什么样的背景或者契机下想到要开发这款产品呢？能有一些开发背后的小故事可以分享给我们吗？

说到小故事的话，我们内部的话称之为一个馒头引发的血案。

有一天我和我们的研发在食堂吃饭，然后正好吃到馒头，就聊到了馒头的这个制作过程。那么我们发现其实用水把这个离散的面粉能够把它搅合在一起，最后就可以形成一个馒头。当时一下子灵光一现，就想到了咱们的这些安全其实也是类似的原理，咱们有很多安全的产品能够作用不同的领域，但是这些安全能力其实是分散的，那么这些分散的能力怎么样去整合成一个问题。我们其实从来都不缺乏分散的安全能力。他们都是单兵作战的，那么如何把它们整合一起？

我们发现其实缺乏的是像水一样的东西能够去聚合，能够把分散的东西组合成一个完整的馒头，这也是我们当初设计数据安全中心的一个雏形。

那这么看来，咱们数据安全中心其实是一个一加一大于二的产品，数据安全中心主要提供哪些核心的数据保护能力。

华为数据源中心主要提供八大核心安全能力。

首先第一个就是我们的数据安全可视。总体来看，我们围绕数据安全全生命周期构建统一可视管理能力，意在回答云上构建数据安全的终极问题，让每一份数据都能够可视。可控、可塑、可性。谈到数据的安全治理，应该从数据的全生命周期出发，围绕数据采集、传输、存储、处理使用、交换和销毁各个阶段构建。安全从来都是木桶原理，大家都知道。整体的安全能力是由短板决定的，因此每个生命周期阶段的安全都不容忽视。今天云上的数据安全能力其实一直分散在各个服务里面，它可以是vpn、可以是安全组、可以是ssl证书或者是容灾备份等等安全能力。那么如何把这些安全能力整合在一起，对客户构建一个统一的数据安全的视角，成了我们数据中心要回答和解决的终极命题。

第二部分就是我们的采集安全。采集官方的解释是指组织机构内部系统中新生成数据以及从外部收集数据的阶段，这个阶段的安全性重在识别和预防，识别出新采集的数据中是否存在敏感信息，泄露后又是否存在风险，以及决定要以如何的技术手段保护好敏感数据。华为云的数据中心通过构建自动化三层数据识别引擎，在数据生成的时候就能呈现整体的风险，支持两百多种数据格式，能够支持结构化数据、非结构化数据、乃至半结构化数据，而真正做到了场景的一个全覆盖。

我们的下一个能力是数据传输安全。数据传输是指数据在组织。从内部从一个实体通过网络流动到另一个实体的阶段，那么这个阶段的安全性正在认证与加密。数据传输过程中最常见的攻击方式就是窃听、嗅探和中间人攻击，他们的共同特点是利用了传输通道的不安全性及未做认证、校验，或者报文信息未做加密等等的原因。因此开启ssl加密通信和公司有证书的身份校验，能够有效防止此阶段的数据安全风险。那么数据源中心通过联动vpn、云连接、证书等服务，能够持续监测传输通道的安全状态。

接下来是我们的数据的存储安全，数据存储是以数据任何数据。是进行物理存储或云存储的一个阶段。那么这个阶段的安全是如何保证数据的可用性，以及通过健全以及通过健全性的方式合理的管控、访问。那么数据安全中心在这个阶段主要监控obs桶内文件的一个加密状态。因为OBS是我们是支持云上的文件去做了一个默认的加密的，那么在这个状态下面，我们可以去监测到有哪些文件是已经加密了，哪些文件没有加密，但没有加密的东西其实是可以促进我们的客户去做到一个默认加密。这样的加密也是透明的，它对客户的业务不会造成任何影响，那么反而会让它的整个数据安全的状态更加的安全。

接下来是我们的数据使用安全，数据使用安全是指组织机构在内部针对数据进行分析、计算、可视化等各种操作的这么一个阶段。我们知道数据其实它是流动的，很多风险是在数据流动流转的过程中产生的。那么通过数据使用行为分析，我们可以预先识别一些可能的泄露事件。举个例子，一个员工即将离职，那么如果他在离职前突然开始批量的下载公司的机密文件，那么可能他是希望能够带到下一个公司，作为下一个公司的一些筹码。那么这这一类批量下载的行为其实是一个异常的行为，与这位员工固有的一些工作模式、工作轨迹都产生了偏差。那么数据安全中心通过构建深度学习的一个行为识别能力，提前能够识别出异常行为，并且及时报警，把数据泄露的事件阻击在这个源头。

接下来是我们的数据交换的阶段，数据交换是指数据由组织、机构与外部或个人进行交互的这么一个阶段。那么这个阶段其实挑战是在于数据会流出系统或者组织的内部，那么造成结果是原有的安全措施可能会失效、难以管控。而因此我们在流出前就需要控制数据泄露的这么一个风险，其中的一个核心能力是数据的水印，华为云能够提供数据水印的能力，保证数据在交换过程中对交换的数据流、文件、图片等打上水印信息，确保泄漏溯源和版权认证。这里从上图里面我们可以看到提供了一个可视化的界面，能够让客户清晰地感知到他打上的水印信息是什么样的内容。同时它也可以通过一些可视化的操作做去控制类似于字体大小、字体的角度以及透明度等这些参数，来去自定义它的一个格式。同时我们除了提供这种看得见的水印，也提供看不见的水印。看不见的水印的目的是为了具备更好的隐藏性，让我们让有心之人无无法感知到这份文件可能已经打上了水印，那么从而就更能够很好地隐藏掉一些水印的一些信息。那同时我们的这个水印效果具有很好的一个鲁棒性。鲁磅是强壮这个单词Robust的一个音译，是指的在使用的过程中不易被毁灭掉或篡改掉的一个能力，这就是我们的数据水印的能力。

同样的在数据交换安全，华为云数据中心在数据交换的阶段，还能够提供对敏感信息的进行一个脱敏的处理。我们预置了二十多种脱敏的算法，那么包含哈希、加密、关键字、关键字替换、遮盖、取枕、织空等等，能够充分匹配不同的脱敏场景，同时结合敏感数据的识别，能够标识出每个数据的敏感程度，直到客户云上数据哪些需要脱敏。

最后就是我们的销毁阶段，数据销毁是指数据及数据的存储介质通过相应的操作手段使数据彻底消除，且无法通过任何手段恢复的过程。华为云在客户数据呃、内容、数据销毁的这么一个阶段，会对指定的数据及其所有的副本进行一个全面的清除。当客户确认数据删除以后，那么华为云会先删除数据与客户之间的一个索引关系。那么并将在将内存、快存储等存储空间进行重新分类之前，对相应的存储空间进行一个清零的处理，那么确保相关的数据和信息不可还原。对于物理的存储介质报废的情况，华为云通过对存储介质进行消磁、折弯或破碎的方式进行数据清除，确保其数据却无法恢复。那么以上就是我们华为数据安全中心呈现的八大能力，也欢迎各位小伙伴能够到华为云上面申请公测，来体验我们华为云数据安全中心。

---

很好奇这些能力哪些是在开发过程中取得了历史性突破的，或者说可以称之为是我们的黑科技的能力呢。

说到黑科技，这里其实不得不说我们的数据水印的技术。我先给大家科普一下，水印的原理其实就是一个捉迷藏的过程，我们把信息藏到原始的文件当中，让黑客不易发觉，这样子就能够记录下当时在文件交换的过程当中实际的一些状态和情况。那么捉迷捉迷藏大家都懂。地形越复杂，能藏的地方越多，也就也就越不容易被找到。所以水印也是一样的。针对文件、图片、一般的文件、office文件这一类或者图片的话，它相对来说是一个地形比较复杂的场地，那么我们做隐藏的话会相对来说比较容易。但是针对一些简单的文件格式，比如数据库的格式，比如说纯文本txt的这种格式，那么我们要去隐藏我们的水印信息其实就显得尤其的复杂，这也是为什么在业界来说，数据库的水印其实一直以来是一个难点。我们华为云的数据水印能够完美的覆盖数据库之类的这种结构化数据或纯文本的格式，具备很强的安全性和鲁棒性。让黑客难以发现，而即使发现了也难以修改。

用户只有看见数据的安全状态，才知道如何的去管控和治理。就像我们去看病一样的，我们只有在做完各项身体检查，然后当医生根据身体检查结果告诉。我们你现在的病因是什么，我们才能够对症下药。

首先到华为的官网，然后在这里我们先搜索我们的数据安全中心。点击搜索的话我们可以看到第一个就是我们的这个服务。

首先是一个数据安全总览，也就是我们的数据安全可视，我们把数据安全总览按照数据的生命周期的阶段去做了一个整体的呈现，包含了采集、传输、存储、数据的使用、交换以及删除去做一个整体的呈现。那么同时我们根据云上承载的这些存储介质去做了一个划分，我们按照数据obs的桶或者是数据库的库，然后去把它划分成一个个的积木，那每个积木的安全状态都可以展示出来。

而举个例子啊，这里我们的一个OBS桶，我可以看到啊它的风险状态其实是一个中风险。为什么是一个中风险呢？那我可以看到它含有敏感对象，那同时它又不具备对应的一个数据脱敏的任务和保护手段。

那么我们点击进去就可以看到一下现在它的一个整体的详情，从这里其实可以看到它会匹配到一些中风险的和低风险的一些规则，这些top ten的规则。在这个屏幕的一个右边，类似于邮件、银行卡号。可以看到对应的这个规则，它到底匹配到了是哪些什么样的文件？

我们提供一个血缘图，这个血缘图的概念其实是一个文件树的概念，把obs去做了一个拆分，这里面到底包含哪些文件，以及对应文件的一个风险等级都可以展示出来。我们可以通过上面的一个过滤条来去做清晰的过滤。

举个例子，点击风险等级五，这里我是可以看到详情，为什么它是风险等级五？知道了原来它是匹配了身份证号。这是我们的一个整体的，看到数据安全的一个状态以及然后同时针对数据的敏感区识别，还预制了一百多条规则，这些规则是基于我们长期以来的一些经验和总结形成的这些规则。

这规则一部分是提前预制的，同时也允许客户通过结合自己的业务特点去自定义这个规则，它可以作为关键字匹配或者是正则表达式这两种形式。那么规则会构成一个规则组的概念，这个规则组就是我们要去用来扫描识别我们数据的一个模板，基于这个模板也有提前预制了，基于不同领域，包括银行、金融、交通、新闻、商业以及一些国际的医疗、政府的领域，这些预制的模板会让我们在这个服务的使用过程中，它如果识别了以后，会有对应的一些报表的生成。

我们可以新建一个识别的一个任务，那么在这个任务的下面的话，我们去选择所有的这些数据类型都可以选择，然后去选选择好勾选好勾选好以后，然后选择呃一个或多个的这个规格组去做一个识别。那么识别完以后，我们可以提供类似于一个报表的下载，可以看一下我们的样例。

通过这个报表我们可以看到它。就可以去告诉你整体的一个你的数据种类，以及你含有这个敏感数据字段数表述，然后以及总的表述字段数，以及总的数据库的个数，那么以及它的敏感数据的一个占比和对应的这个敏感数据类型的分布。还有我们可以看到匹配到的是身份证号这样子的一些敏感数据，然后以及敏感数据风险的分布。对应的敏感数据有的数据会相对来说风险会比较低，有的数据风险就会比较高，类似于比方身份证号、银行卡号，这肯定就是相对来说高风险的一些数据。那么同时我们还会做一个分布，然后最后能够把匹配的这个命中对象也也展示出来，这是我们对于对于我们数据识别的情况。

对于数据脱敏主要是介绍一下脱敏规则。其实脱敏难是难在你要根据不同的业务形态去定制它不同的规则。在这里其实已经预制和呈现了很多不同种类的这么一些规则，比如说哈希，哈希就是一个单向、不可逆的一个变化，然后把原始的这个字符串转化成可唯一识别的字符串。加密的话是把数据作为作为一层加密，这个结合了云上的这个密钥管理的这个服务，能够真正的做到数据安全能力的联动。那比如说这种字符掩盖，预制了很多规则，包括银行卡号、社保号、护照、身份证等等，那么用户也可以基于自己的情况去自行的添加，包括关键字的一个替换，它识别到一些关键字，我可以把它做一个整体的替换，包括删除，还有取整、日期的取整之类的，这是我们数据脱敏的一些能力。

三层识别引擎，敏感数据识别能力强：

1、 默认合规规则：

业界领先的发现能力，内置10+法律、行业知识体系；

2、 原生中英文语义识别

基于数据指纹（DFP）的文件相似度检测，覆盖少量修改后的文件匹配场景；相似度检出率较传统字符串，HASH值匹配提高3倍；

3、 高级文件相似度检测

基于数据指纹（DFP）的文件相似度检测，覆盖少量修改后的文件匹配场景

华为云DSC可以为企业敏感数据保护带来以下安全价值：

1、 快速精准锁定敏感数据：在专家知识库和NLP的双重加权下，识别能力更强，精准锁定敏感数据源，识别速度可缩短至分钟级；

2、 清晰定位数据敏感级别；支持数据自动分级分类，血缘图梳理敏感文件框架，级别定位一目了然，方便对不同类别的敏感数据采取不同的保护措施；

3、 支持多种文件和数据类型：支持识别doc、xls等近200种非结构化文件和数十种个人隐私数据类型；

4、 适配各种业务场景：支持自定义规则，企业可根据业务需求定义敏感识别规则，适配自身行业需求；

5、 提供合规报表下载：支持数十种合规报表下载，助力数据合规可视化。

数据水印的话，举个简单的例子给大家看一下。水印其实是通过提前预制的内容，我们可以去做对水印去做一定量的修改，可以对它字体、透明度、角度都可以做一定要修改，然后会填写它的水印内容是什么，可以做暗水印并告诉内容是什么，提前预置进去。同时在选好以后，也·可以做水印的提取。提取的话也是需要上传对应的文件，把对应的水印的内容提取出来。

数据安全总览是围绕着数据安全、数据的生命周期展开，展示了数据生命周期各个阶段的一个状态。

---

专家答疑

 

1、数据安全中心为什么要从采集，到使用、到销毁全部都要做呢？

我们知道安全从来都是木桶的原理，整体的安全能力是通过你的短板来决定的，那也就意味着你每一个阶段都必须做好，不然的话你有一个阶段的缺失，其他阶段做的所有努力都白费了。所以说因此这个数据安全治理就应该从全生命周期出发，围绕着采集、传输、存储、使用、交换和销毁各个阶段来去构建，并且每个阶段的安全性都不容忽视。

数据安全中心其实要解决的核心诉求就是让用户能够清知道我的数据从哪里来，然后之后会流到哪里去。只有让大家清晰地把控了这个数据流的情况，才能在第一时间去锁定风险，然后完成我们的修复和溯源。

 

2、数据安全中心适用于哪些行业、场景？

其实严格来说数据中心适用于所有的行业场景，但是对于某些行业来说就显得尤为的刚需，比如银行、保险、交通、物流、酒店等行业。

这些行业其实是有一个共同的特点：

第一个就是他们的数据量很大，那么数据量大就意味着它要做数据安全的治理和数据的安全整改的措施，会显得尤为的厚重和大成本的消耗。

第二点是在于它会存有大量的个人信息，那么这些个人信息、数据一旦发生泄露，是会造成很严重的一个后果的。比如说在国外的话，可能他还会面临一个法律风险，有违法的行为，那么会面临一个巨额的罚款。

第三点是在于它或多或少会存在一些行业的监管，因为我们的监管部门其实最终是为了督促我们的企业去完善数据安全的建设，能够保证它所运行的这些功能正常化，保证它能够提供一个可信或者是可靠的服务，他会不定期的去抽查，所以也导致了这些行业的话一定要持续地去做好这个数据安全的建设，来应对各级部门或者是监管部门的一些审核。

我理解数据是无处不在的，是不是我可以理解为有数据的地方就可以用数据安全中心这个服务呢？

有数据就有数据安全，我们数据安全中心这个服务是任何行业都可以使用的。

个人信息保护法草案对企业有什么影响？

个人信息保护法草案前不久才首次亮相，但是还没有正式颁布，但是它也意味着国家以后将从法律的层面去保护我们的个人隐私数据，个人信息保护法草案虽然还是草案没有颁布，但是也能够体现出国家对于数据安全乃至于国家安全治理的决心。那么随着全球趋势的发展，其实各个国家也陆续推出了自己的这个保护数据、保护隐私的这种安全的一个法案。数据安全我们可以看出终将成为一个常态化和机械化的情况，每个企业都有责任和义务去守护自己的数据安全。因此提前做好数据安全的治理，赢在起跑线上对每个企业来讲其实都是有好处的。否则在发生数据泄露事件的时候，不仅是带来名誉和经济上的损失，还有可能会面临巨额的罚款。如果企业违规处理了个人数据，或者说是对个人数据没有采取保护措施，是会面临面临法律风险的。

 

3、以往传统的安全方法不适用于大数据时代下的数据安全吗？

在大数据和云计算的时代，我们很难要求一个安全产品能够搞定所有的安全问题，这是不现实的。那么相反，我们其实是要整合和利用我们分散在各个所有服务里面安全能力，这就意味着其实这些生产的安全能力其实从来都存在、也从来都具备，那比如说我们提到的VPN、云连接、以及我们的证书这些所有的它其实都是为了保护数据安全的能力，只是没有作为一个独立的产品，而是作为一个产品的特性去体现。那么今天我们要做的事情就是把这些产品的能力都整合起来，大家能够协同的去防御，最后能够保证咱们数据安全的一个真实可靠性，同时也是能够保证数据安全管控的统一性。

我可以理解为现在我们要做数据安全，其实不是传统意义上的一支游击队，而是要组建一支正规军，然后就是由不同的兵种去协同作战，单点突破的方式已经成为过去，现在我们一定要组建体系化的正规军队，来对抗日益严峻的网络安全危。

 

4、简单说明一下数据脱敏是什么吗？怎么理怎么理解脱敏？

对于数据脱敏来讲的话，其实是指的咱们把这个敏感的信息通过一定的方式去把它敏感性给脱掉，也就是隐藏掉它里面的一些敏感信息。那么一般来讲的话这种过程是可逆的，也可以是不可逆的，那么基于用户的这种业务形态来去做选择，一般我们来讲的脱敏的话可能常见的就是说我把关键字替换掉，或是像手机号一样。我把中间几位给隐藏掉，这是非常常见的一些做法，或者说我其实加密也是一种脱敏的方式。我们通过加密的方式把这个原始的数据转换成一个密文，那么最终其实是导致了即使这个数据流出去了，大家也不知道它是什么意思，那么它背后真实的含义其实是能够通过技术手段去隐藏掉的，这也是什么是脱敏以及脱敏的一个价值吧。一般脱敏来讲的话是不可逆的，但是因为企业在使用这个过程当中，其实它是有很多很多定制性，或者说它有很多自己的一些诉求，所以说我们不能把这个限定死了，我们只能说数据脱敏是可以可逆，也可以不可逆，而且我们希望的是即使可逆，我们是只能通过按照我们自己的方式去可逆。

举个例子，比如说加密，如果你是一个密文，如果泄露出去了，咱们数据如果是被爆破或者是被逆向了以后，可能造成了这个明文的泄露。但是这是因为缺乏了一个不安全的密钥的的情况。也就是说在做可逆的类似的这种功能的时候，一定要充分的考虑安全性的前提下，利用比如说云上这种密钥托管的能力，然后去把这种真正核心的像钥匙这种东西。能够去把它放在一个安全的地方，从而能保证我们做这种可逆脱敏的安全性和可靠性。

 

5、数据资产梳理、自动化发现这个是通过什么样的能力去实现的？是通过服务的形式吗？

数据资产的自动化发现和梳理是通过服务的形式去实现的。它的原理也是非常也是通过我们去构建了一个自动化的识别引擎。那在这里的话我们其实是构建了三层的一个识别引擎。

第一层就是我们的固有的专家的一个知识库，那么这些专家知识库是可以基于我们以往的一些安全的经验，然后去孵化出我们对于这种不同的业界的安全文件或者敏感信息的一些理解，最后去呈现的。

第二层其实是基于上下文里语义去做的一个自然语义处理和识别。那么这一类的其实是通过深度学习的模型去实现的。它会显得更加的智能化，它不仅仅是单纯的去看这个字面意思，也可以去结合上下文去了解到具体它真实表现的一个含义。举个例子，比如说我在吃苹果和我在苹果公司，那苹果来讲的话含义是不一样的，在不同的语境里面，需要通过语义的发现和识别去区分开。

---

总结

数据安全中心服务（Data Security Center，DSC）是新一代的云化数据安全平台，提供数据分级分类、数据安全风险识别、数据水印溯源和数据静态脱敏等基础数据安全能力，通过数据安全总览整合数据安全生命周期各阶段状态，对外整体呈现云上数据安全态势。华为云DSC是新一代的云原生数据安全平台，除敏感数据识别外，还提供数据脱敏、数据水印、数据审计等安全能力，给予企业数据资产全生命周期的安全防护。

保护云上数据安全和用户的资产是用户的核心诉求，也是华为云义不容辞的责任。那在未来，华为云会去加大安全的投入，特别是数据安全的投入，给用户去提供安全可信的云产品。