吴军老师讲过人类科技史就是信息和能力的发展史，在大数据的信息当代，重要的信息落入了竞争对手的掌握，这种安全性的丧失可能会导致经济上的损失、法律诉讼甚至该企业的破产，信息安全足见有多么重要！
1. 信息安全概述
1.1. 信息安全现状
信息安全，意为保护信息及信息系统免受未经授权的进入、使用、披露、破坏、修改、检视、记录及销毁。
政府、军队、公司、金融机构、医院、私人企业积累了大量的有关他们的雇员、顾客、产品、研究、金融数据的机密信息。绝大多数此类的信息现在被收集、产生、存储在电子计算机内（数据存储），并通过网络传送到别的计算机（网络分发）。
信息安全专门的研究领域，有安全的网络和公共基础设施、安全的应用软件和数据库、安全测试、信息系统评估（本文列举的各家白皮书多含这类）、企业安全规划以及数字取证技术等等。
1.2. 信息安全分类
- 网络安全
- 网络战
- 计算机安全
- 移动安全
- 网络安全
1.3. 信息安全 vs 计算机安全 vs 信息保障
”信息安全”这一术语，与“计算机安全”和“信息保障”等术语经常被不正确地互相替换使用，但他们有共同的目标：保护信息的机密性、完整性、可用性，他们之间的区别在于达到这些目标所使用的方法及策略，以及所关心的领域有所不同：
- 信息安全：关注信息本身的安全，不关心数据的存在的形式是电子的、印刷的还是其它的，会涉及其他两者
- 计算机安全：属于信息安全分类部分，关注计算机系统的可用性及正确的操作，不关心计算机内存储或产生的信息
- 信息保障：属于信息安全防御部分，要求有信息源认证、访问控制，不能有非法软件驻留，不能有未授权的操作等行为。
1.4. 信息安全威胁和防御
- 信息威胁举例：
- 漏洞
- 窃听
- 恶意软件
- 木马
- 病毒
- 蠕虫
- 键盘记录器
- 屏幕刮刀
- 后门
- DDos 拒绝服务
- 脚本攻击
- 对安全威胁或风险的可能回应是：
- 减少/减轻 - 实施保护措施和对策，以消除漏洞或阻止威胁
- 分配/转移 - 将威胁的成本放在另一个实体或组织上，例如购买保险或外包
- 接受 - 评估对策的成本是否超过威胁可能造成的损失成本
- 信息安全防御：
- 计算机访问控制（ACL）
- 认证（多因素身份验证，比如密码、生物识别、秘钥）
- 授权（定义主体访问权限的行为）
- 应用安全保护（杀毒软件、安全编码、安全设计、安全的 OS）
- 数据为中心的安全性（强调数据本身的安全性，而不是网络，服务器或应用程序的安全性，涉及技术 acl、加密、数据屏蔽、审计）
- 信息加密（对称加密、非对称加密、数据摘要 hash）
- 防火墙（归于网络安全系统，根据预定的安全规则监视和控制传入和传出的网络数据，涉及数据包过滤、状态防火墙、应用防火墙）
- 入侵侦测系统（IDS，监测并上报入侵行为）
- 移动安全网关（MSG，提供移动应用程序 App 与通常在公司网络内的相应后端资源之间的安全通信，通过 SSL/TLS）
- 运行时应用程序自我保护（RASP）（基于软件内部运行数据进行分析保护）
- 计算机访问控制（ACL）
1.5. 基本原理
- 信息安全的内容可以简化为 3 点：
- 机密性（Confidentiality）
- 完整性（Integrity）
- 可用性（Availability）
- 安全技术严格地讲仅包含 3 类：隐藏、访问控制和密码学，比如：
- 数字水印属于隐藏
- 网络防火墙属于访问控制
- 数字签名属于密码学
2. IBM 数据安全防护白皮书
IBM 的白皮书从数据的全生命周期介绍如何对数据进行安全防护，包括数据环境，敏感数据的定位与监控，只要是数据可能存在的地方：传统数据库、文件系统、应用程序、大数据环境等，大都给出了建议与解决方案，同时提出进行安全分析的标准与方式。相关具体内容可以直接文末参考部分
文章中所列举 pdf 文件均已上传至 github
2.1. 第一阶段：企业的基本数据环境及敏感数据保护
2.1.1. 数据所在的环境安全
- 人员安全
- 应用安全
- 数据安全
- 评估数据环境
- 保护数据环境
- 架构安全
2.1.2. 数据库数据安全
- 定位敏感数据
- 监控保护敏感数据
- 多个层面限制敏感数据的修改、访问
- 可疑行为阻断
- 关联操作记绿及控制
- 返回值中敏感数据
- 特权用户的访问记录
- 动态访问遮蔽
- 数据库异常监控
2.2. 第二阶段:测试库及非传统敏感数据的保护
2.2.1. 测试数据管理
在非生产环境中保护数据 数据漂白是保护测试数据的有效手段 常见敏感数据的类别 数据漂白需求以及常见的三对矛盾
2.2.2. 文件系统安全
监控重要文件操作 文件加密
2.2.3. 应用程序安全
- 屏蔽的应用界面
- 移除应用中的隐含信息
- 应用程序内容屏蔽权限设置
- 应用程序安全与数据库安全相结合
2.2.4. 归档及大数据安全
- 监控记录归档
- 大数据安全
- 大数据环境多种应用的监控
- 大数据安全与其他数据库安全联合分析
2.3. 第三阶段：数据安全智能分析
2.3.1. 智能的数据安全防御
2.3.2. 问题追溯
- 多系统多数据库安全监控结果联合分析
- 跨数据库分析
- 跨系统分析
- 安全监控结果与其他信息联合分析
2.3.3. 全方位保护数据
3. 腾讯云数据安全白皮书
3.1. 安全观念
以金融级数据安全为标杆
- 数据承诺
- 6 大保护原则
- 职责划分
3.1.1. 数据承诺
3.1.2. 六大保护原则
- “同等保护原则”
- 企业用户还是个人用户的，
- 都会采取相同的且最高级别的安全控制措施
- “公开透明原则”
- 客户有权利了解数据存储的位置以及使用程度
- “数据私密原则”
- 绝不会主动触碰任何客户数据，同一资源池内客户数据隔离
- 触碰法律、客户要求除外
- “质量保障原则”
- SLA 服务等级指标
- 提供高可用性和高持久性的数据服 务
- “最小授权原则”
- “安全审计原则”
- 进行相应的记录并且对日志信息采取严格的保护措施，确保所有的数据操作可以被追溯和审查。
3.1.3. 职责划分
- 客户责任
- 数据安全策略
- 数据保护措施
- 数据活动监控
- 数据控制权
- 平台责任
- 基础服务：计算、存储、网络、数据库
- 基础架构：地域、可用、加速节点
3.2. 3S 品牌理念
- 高速 - speed
- 稳定 - stability
- 安全 - security
3.3. 安全模型
3.3.1. 客户保障(数盾)
数盾： “以数据为中心的审计和保护 DCAP（Data-Centric Audit and Protection）”方案，数盾不仅能针对数据生命周期内的创建、存储、传输、访问、使用和销毁等每个阶段，应用不同安全防护，还能通过密码加密、大数据动态加密、身份管理、认证管理、授权管理、实时防护、审计预警等功能的实现，配合腾讯云全流程安全生态环境，提供系统化的安全防护。
- 数据创建
- 敏感数据发现
- 数据分类分级
- 数据存储
- 秘钥管理 KMS
- 数据加密
- 对称加密：des、aes 等
- 非对称加密：rsa、dsa 等
- 摘要算法：md5、sha1、sha256 等
- 数据传输
- 网络层可信传输：专线、Ipsec vpn
- 应用层可信传输
- 量子可信传输
- 数据访问
- 用户/业务鉴权
- 身份管理
- 认证管理
- 授权管理
- 监控审计工具
- 运维安全审计
- 数据库操作审计
- 用户/业务鉴权
- 数据使用
- 敏感数据脱敏
- 泄露溯源水印：明水印、暗水印
- 数据销毁
- 彻底删除客户数据
3.3.2. 平台保障
- 事前防范
- 数据机密性 SSL/TLS
- 资源隔离
- 数据
- 网络
- 数据库
- 存储对象
- 可用性
- 热备
- 冗余存储
- 异地备份
- 完整性
- 多副本冗余存储+纠删码技术
- 7X24 技术支持
- 事中保护
- 终端
- 应用
- 网络
- WAF
- 大禹 BGP 高防
- 主机
- 物理
- 事后追溯
- 应急响应
- 日志审计
- 数据的异常使用会自动触发实时告警
- 安全组内部定期审查
4. 华为
- 安全工程能力
- 全栈数据安全
- 全生命周期管理数据安全
- 严进宽用(第三方软件使用)
- 安全防护
- 分类存储
- 层层防护：数据生命周期、多层次保护
- 数据隔离：数据创建阶段规划好
- 冗余备份
- 永久销毁
- 合规检测
5. 《大数据安全标准化白皮书》(2018 版)
各行各业的大数据应用风起云涌，大数据在国民经济发展中发挥的作用越来越大。伴随着大数据的广泛应用，大数据安全问题也日益凸显，大数据安全标准作为大数据安全保障的重要抓手越来越被重视。
5.1. 全书组织
- 第 1 章介绍了本书的背景、目的及意义。
- 第 2 章从保障大数据安全和利用大数据保障网络空间安全两个方面对本书中的大数据安全进行了范围界定，阐述了大数据安全的发展状况和重要意义。
- 第 3 章从大数据平台与技术、数据安全和个人信息保护、国家社会安全和法规标准三方面分析了大数据安全面临的挑战。
- 第 4 章介绍了国内外大数据安全相关的法律法规、相关的标准化组织及相应大数据安全标准化工作情况，并介绍了国内外大数据安全相关标准。
- 第 5 章首先汇总了大数据安全标准化的需求，给出了大数据安全标准的分类，基于分类制定了大数据安全标准图谱，并介绍了大数据安全标准特别工作组已经开展的大数据安全标准工作，指出了急需开展的标准化重点工作。
- 第 6 章给出了大数据安全标准化工作建议。
5.2. 附录
- 附录 A 由各参编成员单位介绍了相关领域大数据应用的特点、安全风险、安全需求以及 大数据安全标准化需求。
- 附录 B 由各参编成员单位介绍了各自在大数据应用中的安全标准应用实践情况，包括使 用了哪些标准，成效如何以及基于实践的大数据安全标准化需求。
- 附录 C 介绍了大数据安全相关的其它网络资源。
- 附录 D 摘录了大数据安全标准相关的术语定义。
- 附录 E 介绍了信安标委标准工作程序。
- 附录 F 给出了缩略语。 参考文献部分列出了本白皮书编写过程中参考的相关文献。
相关信息参见附件