免改造技术打造企业实战型数据安全防护 白小勇 炼石网络创始人、CEO301 数据安全始于业务而终于业务 03 免改造数据安全重塑攻防形势02 应用改造成本抵消安全性增益安全可以看做一种业务需求 “安全需求” 侧重“不希望发生什么” 从而确保“发生什么”“传统业务需求” 侧重于“希望发生什么”商务合作市场拓展 数据共享资源互换 × × × 应用系统 服务器 数据库各种“安全”含义都可以映射到“业务需求” Security 安全防攻击Reliability 可靠性 业务需求Sureness 确定性Trustiness 诚信度Safety 安全可靠从业务视角重新思考数据安全 数据安全业务目标 •数据安全保护对象是有价值 的数据（比如个人信息） •数据安全业务目标就是“不 希望数据发生什么” 数据的价值 •计算机模型中，一切皆数据 •数据作为新型生产要素，在流 动中体现价值 •数据是实现业务价值的主要载 体 业务视角数据安全需求 •机密性（Confidentiality）数据泄 露会削弱或归零数据的业务价值 •完整性（Integrity）数据被篡改 直接破坏业务目标 •原真性（Authenticity ）数据起 源鉴别所有安全产品或能力，都是在“某个业务”中实现了“不希望发生什么”数据安全需求，来自于业务处理的“风险映射” 应用层 平台层 基础设 施层“主体到应用内用户、 客体到字段”的细颗 粒度防护 操作系统、中间件， 数据库、文件系统 等安全防护 CPU、内存、磁盘、 网线、光纤等加密从空间维度，数据在不同层的不同防护颗粒度需求 从时间维度，数据在全生命周期的安全需求 收集 存储使用加工 传输公开 提供 •合法 •正当 •必要•告知 •监督 •检测•内控 •风险 •响应 •加密 •脱敏 •约定•评估 •保护 •监督•危害 •分析 •影响•加密 •控制 •审计静态数据具有多种安全需求 静态数据（或信息）的基础属性模型信息类别 公开程度 复用程度 人员属性 时间敏感度保密性和价值 保密性和完整性 在多大范围内公开 及访问权限级别 责任追究以及隐私 保密性、价值、时间 动态数据提出更丰富的安全需求 重要性、保密性 可用性不可抵赖性可追溯、定责 动态数据（或信息）的流程属性模型