概述：
數據是企業的核心資產，如何保護企業的雲上數據，是每個企業管理者都應當重視的課題。在雲平臺提供更為安全便捷的數據保護能力的同時，阿里雲根據自身多年的經驗積累，結合大量雲上客戶的最佳實踐，提供了一套完整的數據安全解決方案，幫助企業提升雲上數據風險防禦能力，實現企業核心及敏感數據安全可控。
數據安全相關法律法規和參考標準：
國內：
《網絡安全法》：主要從“個人信息保護”、“數據存儲與跨境安全”、“數據（信息）內容安全”幾方面予以規制。
《網絡安全等級保護制度2.0》：分別在安全審計（8.1.3.5）、個人信息保護（8.1.4.11）和資產管理（8.1.10.2）等部分提出了有關數據安全的相關要求。
《個人信息安全規範》（GB/T 35273-2017）：規範了企業在開展數據收集、保存、使用、共享、轉讓、公開披露等個人信息處理活動過程中應當遵循的原則和安全要求。
《數據安全能力成熟度模型》（GB/T 37988-2019）：基於以數據為中心的管理思路，從數據生命週期的角度出發，結合業務發展過程中的安全需求，開展數據安全保障。
《數據安全法》和《個人信息保護法》：均在“條件比較成熟，任期內擬提請審議的法律草案”之列，《數據安全法》進程較快已在徵求意見稿階段。
國外：
《一般數據保護條例》(General Data Protection Regulation，縮寫GDPR)是歐盟於2018年5月25日出臺的,在歐盟法律中對所有歐盟個人關於數據保護和隱私的規範，涉及了歐洲境外的個人資料出口。GDPR 主要目標為取回公民以及住民對於個人資料的控制，以及為了國際商務而簡化在歐盟內的統一規範。
美國的醫療服務行業必須遵守該國政府1996年頒佈的《健康保險隱私及責任法案》（Health Insurance Portability and Accountability Act，縮寫HIPAA）。該法案制定了一系列安全標準，就保健計劃、供應商以及結算中心如何以電子文件的形式來傳送、訪問和存儲受保護的健康信息做出詳細的規定。法案規定在確保私密性的情況下保存病人信息檔案六年，還詳細規定了醫療機構處理病人信息規範，以及違法保密原則、通過電子郵件或未授權的網絡註銷病人檔案的處罰方案。
阿里巴巴集團及阿里雲在數據安全上的相關工作：
阿里雲數據安全承諾：
用戶的雲上數據安全，是用戶的生命線，也是雲上安全整體能力的一個最重要的具象表現。早在2015年7月，阿里雲就發起了中國雲計算服務商首個“數據保護倡議”，並在公開倡議書明確：運行在雲計算平臺上的開發者、公司、政府、社會機構的數據，所有權絕對屬於客戶;雲計算平臺不得將這些數據移作它用。平臺方有責任和義務，幫助客戶保障其數據的機密性、完整性和可用性。
數據全生命週期防禦理念：
《數據安全能力成熟度模型（DSMM）》（GB/T 37988-2019）是阿里巴巴結合多年數據安全實踐經驗總結並起草的，旨在助力提升全社會、全行業數據安全水位的一份評估標準以及能力建設參考。該標準的發佈也填補了數據安全領域在能力成熟度評估標準方面的空白，為組織機構評估自身數據安全水平，進一步提升數據安全能力，提供了科學依據和參考。
模型中將數據安全過程維度分為數據全生命週期安全和數據通用安全兩個過程，並將數據全生命週期劃分為：數據採集安全、數據傳輸安全、數據存儲安全、數據處理安全、數據交換安全、數據銷燬安全六個階段。
數據生命週期安全共包含30個過程域，為企業保護數據提供了可落地的參考。
阿里雲安全架構與數據安全：
數據是企業的核心資產，企業信息安全建設的最終目標一定是保護企業核心數據，同時數據安全能力建設也一定不應該是某些功能點的堆砌，一定會和企業內部各維度的安全能力發生融合。阿里雲在企業雲上安全架構層面提出了五橫兩縱共七個維度的安全架構最佳實踐。五個橫向維度自下而上分別是雲平臺安全、用戶基礎安全、用戶數據安全、用戶應用安全和用戶業務安全；兩個縱向維度分別是賬戶安全以及安全監控和運營管理。對於數據安全的建設，一定是結合各個維度的安全能力，共同提升安全能力的結果。
阿里雲數據安全最佳實踐：
阿里雲建議，在企業開展數據安全相關工作的伊始，數據安全管理人員應當在以下三個層面進行梳理，以便在未來構建數據安全能力的過程中，實現有效落地。
第一步
數據資產盤點、權責明確與分類分級標準制定
- 數據資產盤點與權責明確
隨著企業應用的快速發展，數據存儲早已不再僅僅依賴於結構化的數據庫，各類非結構化數據（如文本、圖片、視頻類文件等）、緩存類數據、日誌類數據以及結構化數據倉庫、數據中臺系統，都在企業業務發展的過程中扮演著不同的角色。大量的企業數據分散在各類型的雲上數據源中，同時在不同的數據源之間進行傳輸和流轉，如何統一化管理如此紛繁複雜的動態和靜態數據，對於企業數據安全人員提出了很高的要求。
因此，在開始數據安全工作前，應當對企業業務系統使用的數據源進行資產盤點。只有明確了數據安全應當關注的目標對象，才能選擇合適的安全能力和手段進行防禦體系的搭建。
同時，對於雲中的數據權責，通常會根據不同的業務和應用系統進行劃分。數據完成採集、傳輸和存儲後，相關數據控制者在使用數據的同時，也應當承擔相應的責任，保證數據的安全；同時，對於第三方數據使用者，也應當按需進行數據使用權申請，減小數據濫用的風險。對於數據權責，可以參考GDPR法規中定義的三類數據主體的權責，分別是數據所有者（Data Subject）、數據控制者（Data Controller）和數據處理者（Data Processor），此處不再贅述。
- 數據分類分級
對於分類分級，每個企業都會有適用於其自身所在行業以及業務特點的標準和體系。應當明確的是，分類分級標準的制定，並不應當只是紙面上的工作，而應該結合企業所在的行業和業務特點，有針對性的進行設計，其目的是在未來通過自動化的手段，輔以手工的方式，對海量的企業數據資產進行識別與分類，有效定位企業關鍵以及敏感類信息在企業數據資產中的分佈和流轉情況，並通過定級有針對性的進行保護。
阿里雲根據多年來服務雲上客戶的豐富經驗，推薦的企業數據分級為3級，分別為：
|
數據分級 |
數據敏感度 |
數據資產描述 |
|
3級 |
高敏感程度 |
企業核心或高敏感度資產，一旦洩漏，會對企業帶來巨大的經濟損失，或是對企業的正常運轉帶來毀滅性的打擊。 |
|
2級 |
中敏感程度 |
企業重要或中敏感度資產，發生洩漏會給企業帶來一定的經濟或名譽損失，但不會危害企業業務的正常開展。 |
|
1級 |
低敏感程度 |
企業公開或低敏感度資產，發生洩漏會對企業帶來輕量的經濟或是名譽上的損失，且不會對業務開展造成影響。 |
需要注意的是，企業應當根據自身實際業務情況，制定適合自身的分級標準。對於中小企業，可以根據企業及業務成熟度，將數據分級進行濃縮，僅區分敏感與非敏感類數據，便於安全防護措施快速落地；同時，對於數據量龐大，業務系統繁多，安全能力成熟度較高的企業，可以對分級進行擴展至4或是5級，以實現更為精細化的數據安全管控。阿里雲不建議企業數據分級高於5級，因為過多的分級會給對應的措施落地帶來很大的難度，致使分級標準形同虛設，也不利於企業的數據安全管理工作的開展。
最後，阿里雲根據多年客戶實踐，結合阿里巴巴集團自身經驗，對於大型企業的數據分類分級標準設計，建議在分級的標準上，增加分類維度作為分級參考，形成二維的數據分級標準，實現更為精細化的保護，避免產生對於同種不同類的數據發生“一刀切”式保護的情況。最常見的分類維度有企業數據與客戶數據的區分，阿里巴巴始終倡導“客戶第一”，通過二維化的分級標準，能夠更明確的區分數據帶給企業的價值，同時將保護客戶數據作為第一要務，真正做到“客戶第一”。以個人敏感信息為例，當個人敏感信息的主體是企業人力資源相關的內部信息時，可以採取2級作為敏感分級，進行必要的管控保障安全，但如果主體為客戶時，就需要將分級定為3級並施加強管控，來保護此類企業關鍵信息。
第二步
理解數據生命週期，評估各階段潛在風險
- 數據生命週期
對於數據生命週期的理解，可以將其比喻為人群與地區的關係。數據好比是人群，會在不同的地區間流動。道路是人員流動的通道，房屋是人員停留的場所。通過理解人員的流動來類比數據生命週期，是一種最便於數據安全管理人員理解的方式。不同的區域，房屋的種類也會不同，有常規的民宅，有高檔的辦公區，功用各自不同，所需配備的安保措施也會不同。不同的區域間有各自的圍牆，同時進出不同的區域也可能需要不同的驗證方式，這些都是數據安全管理過程中需要思考的問題。能夠理解人群與地區的關係，就不難理解數據從採集、傳輸、存儲，到處理、交換，最終銷燬的過程了，當然，人群是不存在銷燬的場景的。
《數據安全能力成熟度模型》（GB/T 37988-2019）能夠為企業梳理數據安全工作提供可參考的標準，特別是在每個數據生命週期階段，均列舉出了多個數據安全防控點，供企業搭建數據安全體系參考。DSMM模型將此類防控點歸總為30個過程域，以此指導數據安全能力構建：
對於數據各生命週期階段，通常需要根據實際安全需求，結合緊迫程度和成本分析，選擇性的進行風險止血，才能避免企業的重要信息和數據發生洩漏，而這一切，都應該從圍繞企業數據風險進行評估開始。
- 數據風險評估
數據安全風險評估是企業信息系統建設的安全根基，進行安全評估可以達到“以最小成本獲得最大安全保障”的效果。未經安全評估的系統，可能存在大量安全漏洞，給企業業務帶來巨大損失，而其中對於數據的風險評估，又是保護企業核心資產的重中之重。對於數據風險評估，通常可以從多個維度進行分析，常見的方法有頭腦風暴、定性定量分析、歷史事件分析、沙盤推演和紅藍對抗模擬等，在分析的過程中，一般會結合數據生命週期各階段的數據特點，有針對性地進行判斷。常見的數據安全風險及評估記錄樣例如下表所示：
|
數據安全風險 |
發生渠道 |
發生概率 |
造成損失 |
風險評估 |
階段應對措施 |
|
核心數據洩漏 |
外部入侵 |
小（5%） |
¥¥¥¥¥ |
0.25 |
採集：分類分級和校驗 存儲：加密保存 … |
|
內部竊取 |
中（10%） |
¥¥¥¥¥ |
0.5 |
處理：訪問控制、脫敏… |
|
|
業務數據洩漏 |
合作伙伴 |
大（20%） |
¥¥ |
0.4 |
存儲：分類識別 傳輸：通道加密 共享：脫敏 … |
|
業務數據篡改 |
內部操作 |
中（10%） |
¥¥ |
0.2 |
處理：權限管理、審計… |
|
重要數據丟失 |
數據存儲 |
小（5%） |
¥¥¥ |
0.15 |
存儲：高可用配置… |
在完成風險分析和評估後，應當將數據風險預判和分析結果進行記錄，並在一定時間段後進行復盤，以便跟蹤風險發生情況，應對措施是否完善，以及更新據安全潛在風險，保障整體數據安全風險可控。
第三步
分析並權衡可接受的風險及成本，理清防禦側重點
- 成本評估
安全是企業的成本中心，永遠只有相對的安全，沒有絕對的安全。通過數據安全風險評估後，企業數據安全管理者能夠對目前企業在雲上的數據安全風險有一定的認識，同時在分析完應對措施後，會相對應地尋找到一些安全產品及解決方案，這時就要評估，如果採取該措施，是否能夠將對應的風險降低，結合風險發生概率，判斷該措施所帶來的回報是否能夠高於發生風險所造成的損失，綜合評估成本後，決定最終的能力選擇。
對於雲上環境，尤其是公共雲，最大的優勢就是將CAPEX轉換為OPEX以降低成本，對於安全解決方案亦是如此。以最常見的數據庫安全審計為例，目前業界普遍的做法是基於數據庫為計費單位，按審計的數據庫數量以許可的方式進行計價，這種模式本質上仍然是傳統的方式，並沒有利用到雲計算的特性，儘管這種方式便於估算成本，但卻沒有與實際的業務數據量實現關聯，導致的直接結果就是極易發生浪費。阿里雲所推薦的安全審計模式是與需要被審計的數據庫息息相關的。當一個數據庫的數據量較小時，開啟安全審計功能所需的成本也應該相對應的低；同樣當一個數據庫的業務量猛增帶來大量的數據訪問時，相應的安全審計費用也會上升。這是雲平臺為雲上數據安全賦能的成果，企業也能在進行數據安全方案和產品選型中獲益。同時，對於節省下來的安全成本，又能夠覆蓋更多的數據源，從而進一步提升企業整體數據安全水位。
- 理清防禦重點
根據阿里雲的經驗，企業性質、業務屬性和行業特性都會影響一個企業對於數據安全的關注點。對於國內企業出海和海外企業入華，通常會著眼於個人隱私數據保護，數據跨境等場景，以滿足國內外的監管要求；對於本土的企業，通常會基於國內相關監管與合規要求開展數據安全工作；同時也有大量的企業，例如金融、零售等以數據為核心驅動力的行業，會把數據安全重點放在核心數據資產的保護上。數據對於不同的企業，價值也不盡相同，只有從企業最應當保護的敏感或核心數據入手，逐步搭建或完善企業數據安全體系，才能最大化體現數據安全工作的價值。
結合數據生命週期，通過數據資產盤點、分類分級、風險分析和成本評估，企業此時應當已經大致明確了需要重點關注的數據安全風險點，即將開啟數據安全規劃並設計落地相關工作。阿里云為雲上客戶提供了一整套的數據安全解決方案，協助客戶搭建雲上數據安全體系，提升防禦能力，保護客戶的雲上數據，實現安全可控。
阿里雲數據安全解決方案與建議：
阿里云為企業客戶提供專業的數據安全整體解決方案。通過聚焦企業重點關注的數據安全相關領域和話題，幫助企業客戶在雲上搭建完善的數據安全體系，提升防禦和響應能力，降低整體數據安全風險。
雲上企業數據安全“4+4”核心能力建設
阿里雲參考數據安全成熟度框架（DSMM），基於阿里雲最佳實踐，通過總結和沉澱大量雲上企業數據安全工作經驗，提煉出雲上企業數據安全需要構建的八大核心能力。分別是：
- 數據生命週期安全維度四大能力：
- 數據分類分級（採集階段）
- 數據傳輸加密（傳輸階段）
- 邏輯存儲安全（存儲階段）
- 數據脫敏（使用階段）
- 數據通用安全維度四大能力：
- 數據資產管理
- 鑑別與訪問控制
- 監控與審計
- 終端數據安全
同時，對於企業雲上數據安全能力建設，阿里雲建議分別從“雲端”、“管道”和“終端”三個層面來構建核心能力。
雲端：數據上雲後的存儲形態，包含各類型數據存儲，常見的有數據庫、數據倉庫、對象存儲、緩存等，企業會根據業務形態和應用場景選擇合適的存儲進行數據的保存。
管道：數據通信和流轉的媒介，主要為網絡通道，一般分為站點到站點(Site-to-Site)和客戶端到服務端（Client-Server）兩種模式。
終端：各類實現數據採集、輸入和使用的用戶交互用設備及終端，如APP、網頁、應用程序等，通常通過手機和電腦進行操作。
企業在構建八大數據安全核心能力時，將會在不同的管控層面開展建設。
- 數據採集階段
組織內部系統中新產生數據，以及從外部系統收集數據的階段。
在數據採集階段，企業通常將通過網絡通道，將大量的數據採集並保存在雲端，進行數據處理並提供服務。常見的通信管道包含互聯網接入和企業專線/專網接入。
互聯網接入：對於海量終端的信息採集，企業一般會通過互聯網通道進行。通常在終端側收集的信息包含個人類信息，業務類信息以及設備類信息；
專線/專網接入：對於穩定性和通信安全要求較高的大型企業，在內部信息傳輸時會通過專線接入，通常傳輸的數據包含業務類信息、公司類信息和設備類信息。
對於上述信息完成存儲後的分類和分級，過往由於缺乏自動化的手段，企業通常會採用手工的方式進行統計，並且在數據量增大的同時無法保持定期更新。伴隨著數字化轉型，企業在保存海量敏感和重要信息的同時，又面臨著個人隱私保護相關法律的要求，如何在採集階段保證海量數據的安全可治理，是這一階段的重點。
- 核心能力1：分類分級
能力描述：基於法律法規以及業務需求確定組織內部的數據分類分級方法，對生成或收集的數據進行分類分級標識。
- 阿里雲提供的核心服務：敏感數據保護（SDDP）服務
敏感數據保護（Sensitive Data Discovery and Protection，簡稱SDDP）作為阿里雲第一款自主研發的數據安全可視化產品，充分利用阿里巴巴大數據分析能力以及人工智能相關技術，通過智能化的手段識別敏感數據，並基於業務需求實現自動分類分級，為企業實現高效的數據安全治理提供手段。
- 自動識別：通過深度學習神經網絡，結合關鍵字和正則匹配等方式，精準識別敏感數據，並可根據業務規則自定義敏感屬性。
- 分類分級：針對敏感數據的識別結果，自動實現數據分類和基於敏感程度的分級，並提供外部數據系統的集成能力。
- 數據傳輸階段
數據從一個實體傳輸到另一個實體的階段;
在數據傳輸階段，常見的數據流轉包括數據入雲，在雲中的流轉和數據出雲。
對於不同傳輸與交換場景下的數據保護，企業需要靈活運用各種防禦措施，常見的防禦手段有加密、鑑權、脫敏等方式，而其中最為廣泛使用的是傳輸過程中的加密。
數據傳輸過程中使用的網絡通道不同，保護方式也會不同。對於客戶端通過互聯網發起的訪問，一般建議企業使用SSL/TLS證書來加密傳輸通道，防止發生中間人攻擊竊取傳輸過程中的重要數據；對於企業站點間的數據傳輸，通常會使用VPN或專線對通信鏈路進行加固。
同時，建議企業在雲內將網絡隔離為對外和內部專用網絡區域，數據越往內部傳輸，相應的保護措施也越嚴格。針對不同的數據傳輸和流轉場景，同樣需要不同的技術手段加以保護。
- 核心能力2：傳輸加密
能力描述：根據組織內部和外部的數據傳輸要求，採用適當的加密保護措施，保證傳輸通道、傳輸節點和傳輸數據的安全，防止傳輸過程中的數據洩漏。
- 阿里雲提供的核心服務：SSL證書服務
證書服務（SSL Certificates）為網站和移動應用（APP）提供HTTPS保護，可對Web流量加密，防止數據遭竊取和篡改。阿里雲提供完善的運維功能，支持將第三方證書上傳管理，支持一鍵部署證書到CDN、負載均衡（SLB）、OSS等雲產品，輕鬆集中地運維大量證書。
- 品牌合作
- 快速簽發
- 一鍵部署
- 數據存儲階段
數據以任何數字格式進行存儲的階段;
隨著企業的數字化轉型，數據會存儲在各類雲中提供的存儲服務中。從最傳統的塊和文件類存儲，到數據庫、數據倉庫類型的結構化存儲，再到緩存、對象存儲等新型存儲方式，企業的數據會分佈在各類應用系統和所使用的數據存儲中。如何在數據存儲的過程中保護數據的保密性、一致性和可用性，是數據安全在存儲階段的重點。其中對於數據的加密，是企業最常見的保護手段。
對於不同類型的數據存儲，使用加密技術保護數據的核心是對於加密密鑰的管理。密鑰好比是打開保險箱的鑰匙，保管好了密鑰，就能從根本上實現對數據存儲場景下的安全保護。
- 核心能力3：邏輯存儲安全
能力描述：基於組織內部的業務特性和數據存儲安全要求，建立針對數據邏輯存儲、存儲容器等的有效安全控制。
- 阿里雲提供的核心服務：密鑰管理服務（KMS）
密鑰管理服務（KMS）提供安全合規的密鑰託管和密碼服務，助您輕鬆使用密鑰來加密保護敏感的數據資產，控制雲上的分佈式計算和存儲環境。您可以追蹤密鑰的使用情況，配置密鑰的自動輪轉策略，以及利用託管密碼機所具備的中國國家密碼管理局或者FIPS認證資質，來滿足您的監管合規需求。
- 完全託管：KMS為您提供了密鑰託管和密碼服務，阿里雲負責密碼基礎設施的完全託管，保證服務和設施的可用性，安全性以及可靠性。客戶還可以通過BYOK的方式，保持一份密鑰的拷貝從而獲得更多的持久性。
- 可用、可靠和彈性：KMS在每個地域構建了多可用區冗餘的密碼計算能力，保證向KMS發起的請求可以得到低延遲處理。
- 雲產品集成加密：KMS與雲服務器、雲數據庫、對象存儲、文件存儲、大數據計算等阿里雲產品廣泛集成。
- 數據處理階段
組織在內部對數據進行計算、分析、可視化等操作的階段;
企業在數據使用和處理階段，通常會涉及大量的不同種類的應用系統，小到一臺設備，大到數據中臺。伴隨著企業數字化轉型，對於需要處理的數據量也呈現幾何式的增長，同時也不可避免地會放大企業敏感和重要數據的暴露面。通常在大型企業中會通過網絡隔離的方式，將核心數據保存在諸如“內網區”的內部區域內，實現訪問隔離。但伴隨著業務開放、跨部門使用、對外分享等場景的出現，傳統的單純依賴網絡隔離的方式越發捉襟見肘。
在數據處理階段，阿里雲建議引入“數據消敏區”的概念。這裡的“數據消敏區”，可以類比為數據層面的“DMZ區域”，實現類似醫院手術室中的“消毒區”的功能。首先通過分析數據治理結果，掌握企業敏感數據在雲上的分佈情況，隨後對於需要進行使用、分析和對外分享的敏感數據，在“數據消敏區”中進行統一加工，實現脫敏化處理。將敏感類數據根據不同的業務需求進行“消敏”後，存放在敏感區域外，供分析使用和外部調用，以此減小敏感數據暴露面，降低由於系統直接接觸生產或敏感數據而造成的洩漏風險。
- 核心能力4：數據脫敏
能力描述：根據相關法律法規、標準的要求以及業務需求，給出敏感數據的脫敏需求和規則，對敏感數據進行脫敏處理，保證數據可用性和安全性之間的平衡。
- 阿里雲提供的核心服務：敏感數據保護（SDDP）服務
敏感數據保護服務的數據脫敏功能能夠實現對雲環境內數據源產品間的數據脫敏能力。通過SDDP的靜態脫敏能力，用戶能夠實現生產數據向開發測試環境進行數據的脫敏轉存，供進一步的分析使用，避免由於測試系統直接訪問源數據帶來的數據洩漏風險。同時在數據對外分享時，實現敏感數據脫敏後的分發。
- 多源異構：SDDP支持的數據源類型包括結構化數據源（如RDS、MaxCompute等）和非結構化數據源（如OSS中保存的結構化數據），並支持異構數據源間的脫敏。
- 算法豐富：SDDP支持6大類30多種常見的脫敏算法，包括哈希、遮蓋、替換、變換、加密及洗牌，能夠滿足各類業務場景的脫敏需要。
- 數據通用安全
針對《數據安全能力成熟度模型》中定義的30個數據安全過程域，阿里雲根據企業數據安全能力建設維度，將數據安全能力分為三類：
雲平臺提供能力：由雲平臺提供基礎安全能力和數據服務安全配置功能，需要客戶根據業務所使用的雲上數據服務，進行相應數據安全配置，保護數據安全。
核心技術能力：由雲平臺提供的核心數據安全類服務，客戶通過購買和配置相關服務的方式，在雲上構建企業數據安全核心能力，提升整體雲上數據安全水位。
高階能力：通常分為管理能力和技術能力兩大方面。管理能力需要企業根據國家法律法規相關要求，在數據安全領域建立和維護企業自身的數據安全標準以及內部規章制度，降低企業的數據安全風險；技術能力則會根據業務形態，數據要求和企業成熟度，有選擇性地在技術層面進行相關數據安全能力的構建。
由於《數據安全能力成熟度模型》中所定義的數據安全生命週期和通用部分涉及面較廣，阿里雲建議客戶在構建企業數據安全能力時，充分利用雲平臺能力，並重點關注核心能力建設，進而根據企業實際情況和成熟度，對高階能力進行選擇性地完善。通過採取分階段快速迭代的方式，逐步建立有效的數據安全體系。切忌急於求成，丟失建設工作的焦點。
- 核心能力5：數據資產管理
能力描述：通過建立針對組織數據資產的有效管理手段，從資產的類型、管理模式方面實現統一的管理要求。
- 阿里雲提供的核心服務：敏感數據保護（SDDP）+各類數據源管理服務
敏感數據保護服務通過對存儲在雲上海量的結構化和非結構化數據源中的數據識別，自動對敏感文件和數據進行識別、歸類和分級，包括對國內外個人隱私信息、雲平臺密鑰信息、敏感圖片類文件等。敏感數據保護服務同時還提供了豐富的API接口，供各類雲上數據管理服務調用，通過被集成的方式，實現雲上數據安全的統一管理，提升整體數據安全治理能力。
- 核心能力6：鑑別與訪問控制
能力描述：通過基於組織的數據安全需求和合規性要求建立身份鑑別和數據訪問控制機制，防止對數據的未授權訪問風險。
- 阿里雲提供的核心服務：權限管理服務（RAM）+數據管理服務（DMS）+應用身份服務（IDaaS）
針對數據的訪問鑑別與控制，需要結合不同的數據存儲和使用場景，配置相對應的鑑權能力。參考阿里雲安全架構，常見的數據訪問包括對雲平臺的訪問、對操作系統的訪問、對數據的訪問和應用層級的訪問。針對不同的訪問維度，需要通過不同的手段實現訪問的鑑別與控制。阿里雲提供了多種安全訪問管理和防護機制，幫助企業實現各維度的鑑別與訪問控制能力，全方位提升企業雲上數據訪問控制能力。
- 核心能力7：監控與審計
能力描述：針對數據生存週期各階段開展安全監控和審計，以保證對數據的訪問和操作均得到有效的監控和審計，以實現對數據生存週期各階段中可能存在的未授權訪問、數據濫用、數據洩漏等安全風險的防控。
- 阿里雲提供的核心服務：敏感數據保護服務（雲原生審計）+自建數據庫審計服務
阿里雲敏感數據保護服務通過雲原生的手段，提供對雲上各類型數據資產的安全監控與審計。除了提供常規的安全審計能力用以檢測諸如高危操作、數據庫注入等風險以外，SDDP還創新性地為雲上數據提供異常檢測能力，通過收集和分析相關日誌，圍繞權限使用和數據流轉場景，自動生成歷史基線，並基於畫像評估數據安全整體運行態勢，在發現潛在風險時，通過告警提醒用戶，並分析原因和提供修復建議，將事後追溯向事中檢測靠攏，提升整體數據安全事件響應能力。同時，阿里雲還為雲上客戶提供了自建數據庫的審計服務。
- 核心能力8：終端數據安全
能力描述：基於組織對終端設備層面的數據保護要求，針對組織內部的工作終端採取相應的技術和管理方案。
- 阿里雲提供的核心服務：堡壘機服務+終端DLP服務
阿里雲通過提供堡壘機服務，為雲上客戶提供集中化的雲上運維能力，全程記錄操作數據並實時還原運維場景，保障雲端運維權限可管控、操作可審計、合規可遵從。同時對於遠程終端，提供終端防洩漏服務、識別終端中保存的敏感數據，對違規使用、擴散等敏感行為實現策略響應控制。
有關更詳細的阿里雲數據安全解決方案，歡迎參考：https://www.aliyun.com/solution/security/datasecurity
