【阿里云】数据安全解决方案

数据是企业的核心资产，如何保护企业的云上数据，是每个企业管理者都应当重视的课题。在云平台提供更为安全便捷的数据保护能力的同时，阿里云根据自身多年的经验积累，结合大量云上客户的最佳实践，提供了一套完整的数据安全解决方案，帮助企业提升云上数据风险防御能力，实现企业核心及敏感数据安全可控

方案架构
数据安全解决方案框架
阿里云参考数据安全成熟度框架（DSMM），基于阿里云多年实践，通过总结和沉淀大量云上企业数据安全工作经验，提炼出云上企业需要构建的八大数据安全核心能力，并建议企业分别从“云端”、“管道”和“终端”三个层面来思考和完善。

重点解决的数据安全问题
构建各生命周期的核心能力
聚焦建设工作中的重点话题
提升整体风险防御响应能力

方案优势
通用性
所有云上企业可参考的数据安全框架

全面性
覆盖企业数据生命周期核心安全能力

落地性
帮助企业快速落地搭建数据安全体系

参考框架
《数据安全能力成熟度模型》
GB/T 37988-2019 《数据安全能力成熟度模型》（Data Security Maturity Model，简称DSMM），是阿里巴巴结合多年数据安全实践经验总结并贡献的，旨在助力提升全社会、全行业数据安全水位的一份评估标准以及能力建设参考。该标准的发布也填补了数据安全领域在能力成熟度评估标准方面的空白，为组织机构评估自身数据安全水平，进一步提升数据安全能力，提供了科学依据和参考。

数据安全生命周期过程域
DSMM模型中将数据安全过程维度分为数据全生命周期安全和数据通用安全两个过程，并将数据全生命周期划分为：数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全六个阶段。 数据生命周期安全共包含30个过程域，为企业保护数据提供了可落地的参考。

安全能力“云、管、端”

数据安全中的“云管端”
对于企业云上数据安全能力建设，阿里云建议分别从“云端”、“管道”和“终端”三个层面来构建核心能力。“云端”即数据上云后的存储形态，包含各类型数据存储，企业会根据业务形态和应用场景选择合适的存储进行数据的保存。“管道”是数据通信和流转的媒介，主要为网络通道。“终端”是各类实现数据采集、输入和使用的用户交互用设备，如APP、网页、应用程序等。

方案优势
以国家标准为顶层指导框架
基于2019年发布的国家标准《GB/T 37988-2019 数据安全能力成熟度模型》中明确的“以数据为中心”的管理思路，从数据生命周期角度出发，针对企业常见的数据安全痛点，提供整体解决方案。

适用性广，扩展性强
围绕云上数据安全工作对“敏捷性”的要求，伴随着数据存储“复杂度”的挑战，重点关注“透明度”问题，从根本解决数据安全难点，并扩展至个人隐私保护和数据中台安全等场景。

阿里巴巴的实践+阿里云的经验
基于阿里巴巴多年数据安全工作实践，结合阿里云在协助海量企业上云过程中累积的丰富经验，提炼出的可供广大企业参考的云上数据安全最佳实践。

准备阶段
数据资产盘点、权责明确与分类分级标准
数据不再单纯存储在数据库中，各类数据仓库、中台和非结构化文件、缓存都在企业中扮演着重要角色。分散数据的统一治理和权责定义，对企业提出了要求。


理解数据生命周期，评估各阶段潜在风险
数据安全风险评估是企业信息系统建设的根基，从多个维度进行安全评估可以达到“事半功倍”的效果。在分析的过程中结合数据生命周期各阶段特点会更有效。


分析并权衡可接受的风险及成本
云最大的优势是将CAPEX转换为OPEX以降低成本，阿里云推荐的数据安全模式是与需要被保护的数据量紧密关联的。这是云平台为云上数据安全赋能的成果。

核心能力

分类分级

数据采集阶段
数据采集阶段是组织内部系统中新产生数据，以及从外部系统收集数据的阶段。如何保证海量数据的安全可治理，是这一阶段的重点。

传输加密

数据传输阶段
数据传输阶段是数据从一个实体传输到另一个实体的阶段。对于来自互联网的访问，建议企业使用证书来加密防止发生中间人攻击。

密钥管理

数据存储阶段
数据以任何数字格式进行存储的阶段。使用加密技术保护数据的核心是对于加密密钥的管理。

数据脱敏

数据处理阶段
阿里云建议引入“数据消敏区”的概念。对于需要重点处理的数据实现脱敏化处理。

通用能力

监控审计
针对数据生存周期各阶段开展安全监控和审计，以保证对数据的访问和操作均得到有效的监控和审计。 阿里云提供数据安全中心服务等。

认证授权

通过基于组织的数据安全需求和合规性要求建立身份鉴别和数据访问控制机制，防止对数据的未授权访问风险。阿里云提供权限管理服务(RAM)和应用身份服务(IDaaS)等。

资产管理

通过建立针对组织数据资产的有效管理手段，从资产的类型、管理模式方面实现统一的管理要求。阿里云提供云安全中心服务。

终端安全

基于组织对终端设备层面的数据保护要求，针对组织内部的工作终端采取相应的技术和管理方案。阿里云提供堡垒机服务和终端DLP服务。

流程指南

开通数据安全中心
按需计费，经济实惠，充分利用云原生优势，提供高性价比服务。

购买证书服务
快速便捷地为您的网站提供一键式数据安全防御。

启用存储加密服务
无论是结构化数据库，还是非结构化对象存储，轻松加密您的云上数据。

配置安全能力
开启数据识别，了解云上敏感数据分布，并通过脱敏和审计保护数据。

推荐产品
数据安全中心
从云上海量数据中发现、分类和保护敏感数据，分析使用情况并进行风险预警，帮助用户防止数据泄露和满足GDPR等合规要求。

SSL证书服务
网站和移动应用（APP）提供HTTPS保护，对流量加密，防止数据被窃取。与云产品深度集成，一键部署，实现证书自动续签。

密钥管理服务
密钥管理服务（KMS）提供安全合规的密钥托管和密码管理服务，助您轻松使用密钥来加密保护敏感的数据资产。