8月25日,中国通信标准化协会、中国信息通信研究院联合主办的“2023首届SecGo云和软件安全大会”在京举办。大会上,零信任产业标准工作组、云计算开源产业联盟零信任实验室联合发布《零信任数据安全白皮书》(以下简称《白皮书》)。

零信任发展论坛上,零信任产业标准工作组秘书长、腾讯标准副总监黄超对《白皮书》进行了深入解读,并分享了腾讯零信任iOA在数据安全治理中的实践经验。黄超表示,数据安全是零信任理念的深度应用,企业可以从基础的网络层面、到接近业务的应用层面、最终再到业务数据层面,实现以数据为最小颗粒度的零信任。

(零信任产业标准工作组秘书长、腾讯标准副总监黄超)

数据安全外延扩展,企业数据安全治理面临多重挑战

随着数据逐渐成为企业核心资产之一,保障数据安全成为重中之重。《白皮书》指出,当前,数据安全已成为数字经济时代最紧迫和最基础的安全问题。由于数字技术促使数据应用的场景和参与主体日益多样化,数据安全的外延不断扩展,数据安全治理面临多重困境。

首先是合规挑战。国家高度重视数据安全的顶层设计,在相继发布的《促进大数据发展行动纲要》(2015)、《科学数据管理办法》(2018)、《关于构建更加完善的要素市场化配置体制机制的意见》(2020)以及“十四五”规划(2021)等政策中,均提出应把保障数据安全放在突出位置的重要思想。同时,《数据安全法》等法律法规不断出台落地,对数据安全管理提出了新的要求,企业做好数据安全工作面临着较大的合规压力。

其次是攻防风险。企业在运营过程中的数据,会面临黑客窃取和内部泄密的双重风险。传统数据安全防护是基于网络边界的安全防护模型抵御外部黑客的攻击,对内部人员攻击和误操作缺乏有效的监控手段,经统计发现数据泄露事件中无论是有意泄露还是无意泄露,内部人员占到了 60% 以上。因此,想要建立完善的数据安全防护体系,只依靠传统安全防护理念是远远不够的。

此外,业务发展与安全的平衡性面临挑战。数据的访问分析、流通共享、再加工成为业务和价值创造的新机会,数据成为生产要素,疫情催生办公云化新场景,企业的业务开展受限于远程和非企业管控设备的接入等多元化需求,如何平衡保护企业数据的安全访问和办公效率将成为新的挑战。

数据全生命周期的全链条管控复杂、数据应用的场景需求多样、数据访问的主体不断增加,动静态数据的属性多变,数据防泄露、防篡改、防滥用等安全挑战不断升级。腾讯安全认为,做好数据安全保护工作,我们要力争做到令数据“看不见”(数据资产隐藏和隔离)、“看不懂”(数据加密)、“环境安全”(环境安全加固和安全状态感知)、“受控操作”(权限治理和访问控制),在数据全生命周期的各个环节、在数据留存的各个位置、在数据应用的各个场景抓住数据访问管控这个“牛鼻子”。

零信任是实现数据安全目标的“最优解”

《白皮书》提到,如果把数据安全防护作为目标,那么零信任是实现数据安全目标的一种好的思路。零信任在诞生的时候,就摒弃了一些相对滞后、固化的安全思维,强调以数据保护为中心去思考安全风险以及安全机制的建立。

黄超在演讲中提到,零信任可以普适性用于数据安全保护工作。“零信任的相关技术和解决方案面向各类数据对象,在数据生命周期的多个过程域、无论数据的位置以及数据的状态,在数据保护的各个阶段,全面支撑和保障着数据安全。”

具体来说,零信任理念应对数据安全风险有四个关键点:

•数据访问权限最小授权:访问主体对数据资源的访问都要经过身份认证和授权,且权限分配遵循最小权限原则;

•数据访问权限动态决策:对访问过程中的关键对象、访问权限、上下文环境安全状态因素,进行持续采集和风险判断,进行授权访问或者实时阻断;

• 数据传输加密:在访问主体在向数据资源发起访问请求时,必须通过双向的交互验证,实现端到端的加密; 

•数据资源隐藏隔离:数据资产对于未经认证的访问主体不可见;隔离访问主体与数据资源以及应用数据资源之间隔离。

零信任作为数字化背景下的重要安全战略,给数据安全带来新的变革和机遇。《白皮书》同时总结了多个行业数据安全的相关问题和在零信任解决方案下的应对之法,既满足合规需要、又满足网络和数据技术发展要素的实践经验,为行业从业者提供了有价值的参考。

作为《白皮书》的主编者,腾讯是国内率先实践零信任的互联网公司之一,2016年便在内部上线,腾讯零信任iOA支撑了腾讯全球10W+设备随时随地接入办公,通过零信任的理念,在全场景、全阶段,通过关键技术手段保障人、行为、设备的安全,最终保障数据安全,实现了安全零事故。

不仅如此,腾讯将 iOA 产品和能力输出,并推动零信任理念在中国的落地。凭借成熟的产品能力和商业交付能力,腾讯零信任iOA获得十几大行业数千家客户广泛认可,成为了国内首个部署终端突破百万的零信任产品。