企业|腾讯云安全总经理李滨：新时代数据安全和隐私保护的挑战与实践丨WISE2021企业服务生态峰会( 二 ) e20

文章插图
演讲PPT
如图所示，可以发现有两个关键数据，这张图在2020年刷新的时候采取美国的一份报告，现在全球范围以内具备国家级别攻击力量的黑客组织大概有40多个，国家级别的黑客攻击。再往下就是无政府主义黑客，商业间谍、有组织犯罪，国内的典型的体现“薅羊毛”，黑灰产也是占到整个商业数据攻击的主流。在整个利用的趋势或者攻击目标上，企业的数据这几年以来在逐步的成为他们攻击的核心目标。
根据我们收集的信息，在2018年的时候，全球有近30亿条数据被泄露，2019年这个数据大概是50亿条，到2020年全球每年泄露的数据在被公开的信息已经达到百亿条以上。这样的发展趋势下，今天数据安全以及我们企业的商业数据，用户的个人隐私等等，都成为企业可能潜在遭受重大风险非常重要的方面。
其次，作为应对，全球各个地区的国家政府等等有发现了这方面的严峻形势，尤其像国内在今年，在去年今年以来陆续发布一系列法律法规对于数据安全以及用户个人信息，以及相关信息系统安全等等发布一系列的法律法规管制规定。从前几年的《网络安全法》，到2019年发布了《密码法》，最近两个月《数据安全法》和《个人信息保护法》。基本上今天在整个网络空间领域关于网络空间安全的法律法规基本已经健全，而这些法律基本上从因年年底到明年年初全部交付实施，后续对于网络空间安全、数据安全的监管处于非常严格的状态。除国内的应对状态外，在国外也陆续发布，欧洲《一般数据保护法》（GDPR），美国有相应的法律，东南亚去年和今年也陆续发布一系列的法律，所以数据安全这个领域法律合规会成为另外一个重要的约束和驱动力。
这里简单的介绍几个核心法律的要求，这几年发布的几个法律，今年6月份发布了《数据安全法》主要界定企业的数据安全的责任，数据安全后面就是如果是用企业所拥有的数据安全，数据产生了泄露或者造成损失，企业自身的分享和损失外，也要承担一定的法律责任，这是它的主要界定。《个人信息保护法》在这个月刚刚发布，它主要界定企业在用户的个人信息、隐私、敏感数据方面的保护责任。另外，企业服务相关的两个重要的法律，首先是《密码法》，它是在2018年底发布，主要界定了国产化密码的地位，因为密码技术在整个数据安全的保护技术里面是处于核心的技术，从去年开始国内基本上在以政务和金融两个领域开始作为起端，在强烈的推广国产化密码的应用，这对于企业以后的经营也会产生比较大的影响。最后，如果发展到一定的规模，比较大规模的企业服务或者SaaS化的服务商，可能会受到《关键基础设施保护条例》的影响，界定在业务的可用性、安全性方面有一定的责任。
最后，新技术的时代，新技术和新架构带来的演进带来的挑战。我们前面看到在今天的时代我们提了非常多的新技术，比如说5G、IoT、物联网、人工智能，最基础核心的云计算、大数据。这些新技术的导入的过程中，其实我们业面临非常大的挑战，比如说云计算、大数据带来有几个最核心的挑战：
1、对企业的管理机制带来挑战。传统IT架构，IT资产所有权和业务单元是一致的，物理的控制权，成本模型也都是一致的。今天采用这样的订阅模式、租户模式，比如说PaaS、SaaS的模式，会产生这样一个权限模糊的分离。在今天SaaS和PaaS下面，我们所有的物理资产、信息资产所有权可能是属于云服务商或者服务商提供，它的数据所有权又是在用户这一侧，用户更多的是具备他的使用权和管理权，这里会产生比较复杂的管理模型和流程上的一个变革。
2、今天涉及到的数据量越来越大，拥有的算力越来越高，算力本身的提高，数据量的增大，本身对于我们数据安全的保护会产生非常大的挑战。以前数据量很小，只有一两个数据库，可能是GB级别的数据，可以做全文加密，性能不会有太大的影响。现在面临很多的挑战可能是几百TB甚至PB级别数据，采取安全机制管理，我们企业的数据效率，生产效率受大比较大的制约，保护机制无法应用，如果不保护，会造成内外部各种风险非常大的影响。这是在算力的提升，数据量的提升上本身对于企业进行数据安全保护带来的挑战和制约。
3、云计算、物联网、边缘计算新技术演进，本身对业务有很快的提升，新技术会带来新的风险面，这些风险面对于传统的技术架构思维的一些挑战。最后计算环境的变化也会对我们带来新的问题。下面是我们对这些问题的思考和探索。在今天的新时代下，整个企业做数据安全保护面临五个风险面：