云時代下企業數據防泄露安全研究

◆肖紅威

（中國移動通信集團湖北有限公司襄陽云計算中心 湖北 441000）

隨著企業信息應用逐漸云化，信息資源通過云計算手段，使用效率大大提高，但與此同時，企業信息安全問題也面臨著更加復雜多變的挑戰。其中數據泄露問題日益突出，數據泄露問題內外部均可能引發，涉及人為和技術兩方面。云時代下企業面臨的數據泄漏問題風險極其嚴峻、不容樂觀，主要表現在幾個方面：數據的集中帶來泄漏風險增加；人員和數據接觸方式復雜；開發、測試和運營環境混用；數據安全防護機制不健全。

在云時代下，數據防泄漏是一個系統工程，需要將人、設備、技術、制度、環境、供應商等多方因素統一組織起來，進行科學組合和研究，構建以企業價值為核心的數據安全防護體系，從外網到內網、從企業網到云資源池、從供應鏈上游到下游的業務數據流進行防泄漏保護，對泄密行為提前遏制，實現全網協調監控，減低企業風險成本，提高泄露防護能力。

1 云時代下企業數據管理

在現代企業的經營管理中，數據不僅運用在人力財務方面，從研發到采購、生產、物流、營銷等一系列環節上產生數據并發揮其作用，數據成為企業的重要工具、寶貴資源。隨著大數據、云計算、人工智能等技術的發展，企業對數據管理要求越來越高，不僅需要對多樣化的數據進行有效整合，還需要對數據進行實時分析、根據數據開展決策工作等。數據管理技術成為企業在激烈競爭環節中取勝的要素之一。

得益于云計算時代的技術發展，數據管理技術可對龐大的數據信息進行處理和分析，并且其管理性特點突出、操作友好便捷，同時擴展性與存儲性能力提升。企業會更注重對各類資源的細節處理；同時，對數據進行自動化排查和更換處理，進而保障數據處理與分析統一化，最終實現企業一體化平臺建設與發展。

雖然云計算下的數據管理技術逐步發展，但仍然存在數據泄密等安全性問題。云數據的儲存和安全主要由云服務提供商負責，對于企業用戶來說，這一方面降低了企業投入成本，無須搭建平臺即可享受云服務。但云模式架構存在多用戶使用及抽象控制等挑戰，云上數據有些部分涉密，保障數據安全，對于企業立足與長遠發展至關重要。

2 云時代下企業數據泄露過程

2.1 數據泄露的原因

數據泄露原因可分為人員、技術、外部環境三個層面：

在人員層面，企業仍然缺乏對數據安全理解和認識。企業在數據安全方面投入往往僅為滿足基本需求，而不是以保護數據安全為出發點，數據安全目標沒有進入企業戰略或章程中。許多員工并不了解他們正在使用的數據的價值所在，并錯誤地以為數據安全是由專人負責的，以及未充分認識到自己也是企業數據安全中的重要角色；同時員工對便利性的需求遠勝于安全，為了工作效率而輕視安全問題。

在技術層面，企業數據的訪問控制手段落后或不健全是發生泄露事件最常見原因，主要體現在簡單身份認證體系、弱口令和簡單的密鑰或證書系統，不規范的角色權限、臟賬號信息。未經過數據安全評估的接口和API，可能非法調用各類云資源或服務，在系統上打開了數據泄露的后門。企業系統本身漏洞或程序中的安全缺陷，一旦云化之后，共享內存、數據庫以及其他的鄰近資源產生了新的攻擊面，數據泄露問題更加嚴重。

在外部環境層面，上下游合作伙伴會共享企業的一些數據，合作伙伴的信息安全問題也會牽涉到企業數據泄露。其中云服務提供商擔當了重要角色，共享基礎設施、共享平臺、共享應用環境中的漏洞波及每個企業客戶。黑客利用云環境中存在的漏洞，可以進行竊取活動、操作業務和修改數據從而增加攻擊面，也可使用云服務發起其他對外的攻擊，最終導致泄密。

2.2 數據泄露的過程

數據泄漏是一個逐步的過程，從企業數據生成的源頭逐漸向外擴散，通常最終由非授權用戶通過不同的邊界途徑傳播到企業無法控制的外部環境，從而造成數據泄漏。數據泄漏過程的關鍵環節是：核心數據->人->邊界。數據源于企業各類系統，數據的下載和傳播都是人為操作，都需要通過邊界（網絡、終端、虛擬化等物理邊界和邏輯邊界）進行外泄。

企業開展各類生產經營活動會產生大量核心數據，而這些核心數據是企業寶貴資源，主要包括財務數據、人力數據、生產和技術信息、客戶及銷售信息等。

在云時代下，企業往往會采用IT手段管理，主要包括數據接入、數據處理、數據存儲、數據傳輸，人在各環節中發揮至關重要作用。若員工在崗位上不能對數據防護盡職盡責，數據就會在有意或無意中泄露，特別是在云時代下，應設置合理的人員責任矩陣，實現數據訪問的最小授權。

同時，虛擬化和云計算技術的采用，將改變現有傳統IT的體系架構，從物理邊界逐步發展到邏輯邊界，存儲虛擬化、網絡虛擬化、服務器虛擬化、終端桌面虛擬化等，防護邊界更加模糊，網絡攻擊、病毒木馬的攻擊更加泛濫。企業邊界防護面臨更大的挑戰，隨時出現邊界崩潰問題。

3 云時代下企業數據防泄露策略

3.1 建立云安全責任矩陣

云時代的到來，對企業IT安全提出了新的規范要求，企業雖然可以照搬過去的安全模式，但現在的部分安全責任必須倚仗合作伙伴。

在保護云中的數據時，企業用戶采用不同的云服務商，雙方的安全責任也不同。使用IaaS服務時，服務提供商管理設施、數據中心、網絡接口、處理和管理程序，企業用戶負責虛擬網絡、虛擬機、操作系統、中間件、應用程序、界面和數據。使用PaaS服務時，虛擬網絡、虛擬機、操作系統和中間件增加到服務提供商的職責中，企業用戶仍負責保護和管理應用程序、界面和數據。使用SaaS服務時，除界面和數據之外的所有內容的責任都移交給服務提供商。

隨著數據不斷移到云端，企業用戶有責任確保自身符合安全、監管和合規要求，因此建立云安全責任矩陣，為企業和每個供應商（包括云計算服務提供商）定義安全角色和職責，是企業和供應商共同的必然選擇。

3.2 采用云數據保護技術

無論IaaS、PaaS到SaaS，對于云企業用戶來講，數據安全防護是始終要面對的一個很重要的問題。企業IT系統安全機制非常重要，保障數據的安全性，需要采取技術措施，包括數據防錯和嚴防非法入侵。

數據存儲方面，應對分配的數據卷實施加密，以防卷被快照克隆或出現數據泄露的風險；對象存儲服務提供加密功能，防止數據被非法篡改或泄露。數據傳輸方面，采用網絡傳輸加密技術，保證網絡傳輸數據信息的機密性、完整性、可用性，包括不同主機的虛擬機間的、虛擬機與存儲資源間以及主機與網絡設備間的加密傳輸。數據遷移方面，采用客戶端/應用程序加密、代理加密、鏈路/網絡加密模式，可以防止用戶數據在虛擬機遷移過程中被竊聽而泄露。

數據訪問控制方面，應對所有接入用戶提供身份認證，防止未授權的訪問；針對云平臺對外提供的接口應定期進行安全評估，防止被黑客攻擊；同時加強對接入用戶或業務的身份認證和權限控制，包括但不限于：基于IP的鑒權，基于賬號、口令、令牌等的鑒權，設置強認證機制。在資源重新分配用戶之前，必須對存儲空間中的數據進行徹底擦除，防止被非法恢復。

最后，應按照密碼管理有關規定管理密碼設施，使用開放、可驗證格式和標準算法，按規定生成、使用和管理密鑰，管理和使用職責必須分離，防止第三方惡意竊取云數據信息。

3.3 加強云邊界和虛擬機防護

隨著IaaS、PaaS、SaaS的融合發展，企業IT系統的邊界逐漸從物理形態轉為邏輯形態，企業應對云邊界（安全域）進行劃分，以具體業務為導向，對重要系統或應用之間做好隔離及防護，在云邊界部署相應的檢測防護設備，如防火墻、入侵檢測等系統，防止黑客的攻擊。

虛擬機作為云計算中的重要資源載體，其安全水平對企業整體安全影響極大。為加強安全風險防范能力，虛擬機需要自主的安全域，實行邊界隔離。這種隔離需要通過網絡設備將不同的虛擬機作出標記，再通過物理交換機進行流量監測。實現原理在于采用邊緣虛擬橋EVB協議實現靈活的流量監控策略。

虛擬機間的訪問控制應實施嚴格的訪問控制，防止虛擬機之間的非法訪問。可以采用安全組或者VLAN隔離以及虛擬防火墻、虛擬安全網關等方式，實現虛擬環境下的邏輯分區邊界防護和分段的集中管理，做好虛擬機之間的訪問控制，防止跨租戶之間的非授權訪問等安全威脅。可根據具體的拓撲和通信模式，在虛擬網卡和虛擬交換機上配置防火墻；也可以在虛擬機上部署代理或借助專門的虛擬機或虛擬交換機等方式實現對虛擬機間東西向流量的安全隔離與過濾。

最后企業應加強對虛擬機鏡像、虛擬機快照的安全管理，同時對于需要銷毀或撤銷的虛擬機也要做好數據徹底刪除。為防止虛擬機出現異常行為，應對虛擬機當前的性能、進程以及所申請的資源等予以實施監控，應做好虛擬機的安全配置、系統補丁以及惡意代碼防范等虛擬機的安全防護。

4 結束語

本文充分論述了企業數據管理特點、數據泄露原因和過程，結合企業的人、制度、技術、環境等因素，研究和探討了企業云安全責任矩陣、云數據加密技術、云邊界防護等內容，為解決企業的云上數據安全管控等問題進行了有益的探索。