你一定聽(tīng)說(shuō)過(guò)非常厲害的黑客，各種奇技淫巧，分分鐘拖走大量數(shù)據(jù)！或入侵到目標(biāo)內(nèi)網(wǎng)，Get Shell、提升權(quán)限、拖走數(shù)據(jù)庫(kù)！抑或根本不用進(jìn)入內(nèi)網(wǎng)，直接遠(yuǎn)程操作一番，就能竊取到大量數(shù)據(jù)，猶如探囊取物一般容易。

可是，站在黑客的對(duì)立面，作為防御的一方，公司頻頻遭遇入侵、網(wǎng)絡(luò)攻擊或數(shù)據(jù)泄露事件，一方面會(huì)面臨巨大的業(yè)務(wù)損失，另一方面也會(huì)面臨來(lái)自用戶、媒體、監(jiān)管層面的重重壓力。

數(shù)據(jù)安全這是一個(gè)非常嚴(yán)峻的問(wèn)題。數(shù)據(jù)泄露事件層出不窮，就算是安全建設(shè)得比較好的企業(yè)，也不能保證自己不出問(wèn)題，況且在日常安全工作中，還面臨著三大困境資源有限、時(shí)間不夠、能力不足，使得我們距離數(shù)據(jù)安全的目標(biāo)還有不小的差距。

資源有限體現(xiàn)在企業(yè)在安全方面的投入往往不足，特別是在預(yù)防性安全建設(shè)、從源頭開(kāi)始安全建設(shè)的投入方面，更加缺乏。在有的產(chǎn)品團(tuán)隊(duì)，人力幾乎全部投在業(yè)務(wù)方面，沒(méi)有人對(duì)安全負(fù)責(zé)，產(chǎn)品發(fā)布上線后，也缺乏統(tǒng)一的安全增強(qiáng)基礎(chǔ)設(shè)施（例如在統(tǒng)一的接入網(wǎng)關(guān)上實(shí)施強(qiáng)制身份認(rèn)證），導(dǎo)致產(chǎn)品基本沒(méi)有安全性可言。

時(shí)間不夠是因?yàn)闃I(yè)務(wù)開(kāi)發(fā)忙得不可開(kāi)交，完成業(yè)務(wù)功能的時(shí)間都不夠，哪里還有時(shí)間考慮安全呢？這也是為什么我們經(jīng)常會(huì)發(fā)現(xiàn)有的JSON API接口根本就沒(méi)有身份認(rèn)證、授權(quán)、訪問(wèn)控制等機(jī)制，只要請(qǐng)求過(guò)來(lái)就返回?cái)?shù)據(jù)。

能力不足體現(xiàn)在具備良好安全設(shè)計(jì)能力和良好開(kāi)發(fā)能力的人員太少，基層開(kāi)發(fā)人員普遍缺乏良好的安全實(shí)踐和意識(shí)，寫出來(lái)的應(yīng)用頻頻出現(xiàn)高危漏洞。就算能夠事先意識(shí)到安全問(wèn)題，在實(shí)現(xiàn)上，安全解決方案也是五花八門，重復(fù)造輪子，且互不通用，往往問(wèn)題多多，效率低下；就算發(fā)現(xiàn)了安全問(wèn)題，然而牽一發(fā)而動(dòng)全身，修改了問(wèn)題還擔(dān)心業(yè)務(wù)服務(wù)是否正常運(yùn)轉(zhuǎn)。

在幾大困境面前，各產(chǎn)品團(tuán)隊(duì)往往寄希望于企業(yè)內(nèi)安全團(tuán)隊(duì)的事后防御。殊不知，事后解決問(wèn)題，也有諸多局限：

時(shí)間不等人，險(xiǎn)情就是命令！當(dāng)漏洞或事件報(bào)告過(guò)來(lái)的時(shí)候，無(wú)論是節(jié)假日，還是半夜時(shí)分，都需要立即啟動(dòng)應(yīng)急響應(yīng)，三更起四更眠屢見(jiàn)不鮮。數(shù)量不多時(shí)還可以承受，但長(zhǎng)此以往，負(fù)責(zé)應(yīng)急的同學(xué)身體也吃不消，需要不斷招聘新人及啟用崗位輪換機(jī)制。

依賴各種安全防御系統(tǒng)，沒(méi)有從根本上解決問(wèn)題，屬于治標(biāo)不治本，黑客經(jīng)常能找到繞過(guò)安全防御系統(tǒng)的方法，就如同羸弱的身體失去了鎧甲的保護(hù)。

事后修復(fù)很可能會(huì)影響業(yè)務(wù)連續(xù)性，即便產(chǎn)品團(tuán)隊(duì)已經(jīng)知道問(wèn)題出在哪里了，但是由于業(yè)務(wù)不能停，風(fēng)險(xiǎn)遲遲得不到修復(fù)，因此還可能引發(fā)更大的問(wèn)題。

安全不是喊口號(hào)就能做好的。實(shí)際上，安全是一項(xiàng)系統(tǒng)性工程，需要方法論的指導(dǎo)，也需要實(shí)踐的參考。

我們?nèi)绾尾拍芸朔�上述三大困境，更好地保護(hù)業(yè)務(wù)，防止數(shù)據(jù)泄露呢？本書(shū)嘗試通過(guò)一套組合拳逐一化解：

通過(guò)安全架構(gòu)方法論的引入，探討如何從源頭開(kāi)始設(shè)計(jì)產(chǎn)品自身的安全架構(gòu)，快速提升產(chǎn)品自身的安全能力，讓產(chǎn)品（網(wǎng)絡(luò)服務(wù)等）天然就具有免疫力，構(gòu)建安全能力的第一道防線。

梳理安全技術(shù)體系架構(gòu)，建立并完善安全領(lǐng)域的基礎(chǔ)設(shè)施及各種支撐系統(tǒng)，讓產(chǎn)品與安全基礎(chǔ)設(shè)施分工協(xié)作，并對(duì)協(xié)作進(jìn)行疏導(dǎo)（即哪些應(yīng)該交給產(chǎn)品自身來(lái)實(shí)現(xiàn)，哪些交給安全基礎(chǔ)設(shè)施進(jìn)行落地），減少各業(yè)務(wù)在安全上的重復(fù)性建設(shè)和資源投入，避免重復(fù)造輪子，讓業(yè)務(wù)聚焦到業(yè)務(wù)上去，節(jié)省業(yè)務(wù)團(tuán)隊(duì)在安全方面投入的時(shí)間。產(chǎn)品外部的安全能力，構(gòu)成了第二道防線。

以數(shù)據(jù)安全的視角，一覽企業(yè)數(shù)據(jù)安全治理的全貌，協(xié)助提升大家的架構(gòu)性思維，站在全局看問(wèn)題，了解數(shù)據(jù)安全與隱私保護(hù)治理實(shí)踐。

總的來(lái)說(shuō)，這是一本有關(guān)數(shù)據(jù)安全架構(gòu)的技術(shù)性書(shū)籍，但也會(huì)涉獵數(shù)據(jù)安全治理的內(nèi)容，目的在于讓大家了解數(shù)據(jù)安全的全局，培養(yǎng)架構(gòu)性思維模式，希望能給企業(yè)安全建設(shè)團(tuán)隊(duì)或有志于從事安全體系建設(shè)的讀者一些建設(shè)性的參考。

內(nèi)容簡(jiǎn)介

隨著數(shù)據(jù)時(shí)代的到來(lái)，安全體系架構(gòu)逐步由之前的以網(wǎng)絡(luò)為中心（稱之為網(wǎng)絡(luò)安全）過(guò)渡到以數(shù)據(jù)為中心（稱之為數(shù)據(jù)安全）。本書(shū)將使用數(shù)據(jù)安全這一概念，并以數(shù)據(jù)的安全收集或生成、安全使用、安全傳輸、安全存儲(chǔ)、安全披露、安全流轉(zhuǎn)與跟蹤、安全銷毀為目標(biāo)，透視整個(gè)安全體系，進(jìn)而將安全架構(gòu)理念融入產(chǎn)品開(kāi)發(fā)過(guò)程、安全技術(shù)體系及流程體系中，更好地為企業(yè)的安全目標(biāo)服務(wù)。

我們將站在黑客的對(duì)立面，以防御的視角，系統(tǒng)性地介紹安全架構(gòu)實(shí)踐，共包含四個(gè)部分。

第一部分為安全架構(gòu)的基礎(chǔ)知識(shí)，為后續(xù)章節(jié)打好基礎(chǔ)。

第二部分為產(chǎn)品安全架構(gòu)，從源頭開(kāi)始設(shè)計(jì)產(chǎn)品自身的安全架構(gòu)，提升產(chǎn)品的安全能力，內(nèi)容包括：

安全架構(gòu)5A方法論（即安全架構(gòu)的5個(gè)核心要素，身份認(rèn)證、授權(quán)、訪問(wèn)控制、審計(jì)、資產(chǎn)保護(hù)）。

產(chǎn)品（或應(yīng)用系統(tǒng)）如何從源頭設(shè)計(jì)數(shù)據(jù)安全（Security by Design）和隱私安全（Privacy by Design）的保障體系，防患于未然。

第三部分為安全技術(shù)體系架構(gòu)，通過(guò)構(gòu)建各種安全基礎(chǔ)設(shè)施，增強(qiáng)產(chǎn)品的安全能力，內(nèi)容包括：

建立和完善安全技術(shù)體系（包括安全防御基礎(chǔ)設(shè)施、安全運(yùn)維基礎(chǔ)設(shè)施、安全工具與技術(shù)、安全組件與支持系統(tǒng)）。

安全架構(gòu)設(shè)計(jì)的最佳實(shí)踐案例。

第四部分為數(shù)據(jù)安全與隱私保護(hù)領(lǐng)域的體系化介紹，供讀者了解數(shù)據(jù)安全與隱私保護(hù)的治理實(shí)踐，內(nèi)容包括：

數(shù)據(jù)安全治理，包括如何設(shè)定戰(zhàn)略，組織、建立數(shù)據(jù)安全文件體系，以及安全運(yùn)營(yíng)、合規(guī)與風(fēng)險(xiǎn)管理實(shí)踐等。

隱私保護(hù)治理，包括隱私保護(hù)基礎(chǔ)、隱私保護(hù)技術(shù)、隱私保護(hù)治理實(shí)踐等。

本書(shū)使用的源代碼發(fā)布在https://github.com/zhyale/book1，歡迎讀者在此提交問(wèn)題或反饋意見(jiàn)。

安全理念

本書(shū)將使用如下安全理念：

主動(dòng)預(yù)防勝于事后補(bǔ)救。

默認(rèn)就需要安全，安全貫穿并融入產(chǎn)品的生命周期，盡可能地從源頭改善安全（架構(gòu)設(shè)計(jì)、開(kāi)發(fā)、部署配置）；對(duì)數(shù)據(jù)的保護(hù)，也不再是保護(hù)靜態(tài)存儲(chǔ)的數(shù)據(jù)，而是全生命周期的數(shù)據(jù)安全與隱私保護(hù)（包括數(shù)據(jù)的安全收集或生成、安全使用、安全傳輸、安全存儲(chǔ)、安全披露、安全流轉(zhuǎn)與跟蹤、安全銷毀等）；在安全設(shè)計(jì)上，不依賴于廣大員工的自覺(jué)性，而是盡量讓大家不犯錯(cuò)誤。

數(shù)據(jù)安全與隱私保護(hù)可以和業(yè)務(wù)雙贏，數(shù)據(jù)安全與隱私保護(hù)不是妨礙業(yè)務(wù)的絆腳石，也可以成為助力業(yè)務(wù)騰飛的核心競(jìng)爭(zhēng)力。只有真正從用戶的立場(chǎng)出發(fā)，充分重視數(shù)據(jù)安全，尊重用戶隱私，才能贏得市場(chǎng)的尊重。

在安全架構(gòu)實(shí)踐中，我們將采用基于身份的信任思維：默認(rèn)不信任企業(yè)內(nèi)部和外部的任何人、設(shè)備、系統(tǒng)，需基于身份認(rèn)證和授權(quán)，執(zhí)行以身份為中心的訪問(wèn)控制和資產(chǎn)保護(hù)。在涉及算法或理論細(xì)節(jié)時(shí)，我們將基于工程化及建設(shè)性思維：不糾纏產(chǎn)品或技術(shù)的理論細(xì)節(jié)，只考慮是否屬于業(yè)界最佳實(shí)踐，是否可以更好地用于安全建設(shè)，做建設(shè)性安全。

讀者對(duì)象

本書(shū)主要面向安全領(lǐng)域的從業(yè)者、愛(ài)好者，特別是：

網(wǎng)絡(luò)安全、數(shù)據(jù)安全從業(yè)人員；

希望提升產(chǎn)品安全性的應(yīng)用開(kāi)發(fā)人員；

各領(lǐng)域架構(gòu)師；

有意進(jìn)入安全行業(yè)、隱私保護(hù)行業(yè)的愛(ài)好者、學(xué)生。

致謝

感謝我所任職過(guò)的公司，在工作中讓我有了練兵、成長(zhǎng)、積累的機(jī)會(huì)，也感謝各位領(lǐng)導(dǎo)、同事、安全圈同行與各位朋友的幫助，他們包括但不限于：譚曉生@賽博英杰、李雨航@CSA、聶君（君哥的體歷）@奇安信、王紹斌@亞馬遜、蔡一兵@恒安嘉新、楊勇（coolc）@騰訊、趙彥（ayazero）@美團(tuán)、吳翰清@阿里巴巴韋韜（Lenx）@百度、彭國(guó)軍@WHU、董志強(qiáng)（killer）@騰訊、胡珀（lake2）@騰訊、鄭斌（天明）@阿里巴巴、宋文寬@小米、方勇（包子）@騰訊、劉焱（兜哥）@百度、趙弼政（職業(yè)欠錢）@美團(tuán)、馬傳雷（Flyh4t）@同盾、王珂、鄭興（sim）@騰訊、劉寧@騰訊、郭鐵濤@騰訊、胡享梅（梅子）@騰訊（排名不分先后）以及一大批曾經(jīng)一起奮戰(zhàn)過(guò)的同事們（應(yīng)公司要求不能列出名字和單位）。

感謝云安全聯(lián)盟CSA大中華區(qū)主席、中國(guó)科學(xué)院云安全首席科學(xué)家李雨航為本書(shū)作序。

感謝資深網(wǎng)絡(luò)安全專家、騰訊安全平臺(tái)部總監(jiān)胡珀為本書(shū)作序。

感謝編輯吳怡，為本書(shū)提出大量改進(jìn)意見(jiàn)和建設(shè)性建議。感謝機(jī)械工業(yè)出版社的各位編輯、排版、設(shè)計(jì)人員。

感謝我的家人，是你們的支持，我才得以完成此書(shū)。

◆推薦序 ◆

Foreword 序　一

在互聯(lián)網(wǎng)和新興技術(shù)高速發(fā)展的今天，數(shù)據(jù)信息充斥在各行各業(yè)中，并發(fā)揮著重要的作用。然而，在享受信息化時(shí)代帶來(lái)便利的同時(shí)，數(shù)據(jù)安全問(wèn)題也成為大家關(guān)注的焦點(diǎn)。無(wú)論是從toG、toB、toC的各業(yè)務(wù)場(chǎng)景來(lái)看，還是從網(wǎng)絡(luò)安全（Cyber Security）的架構(gòu)來(lái)看，數(shù)據(jù)安全（Data Security）都是一個(gè)主要的組成部分，而且在新興技術(shù)日新月異的數(shù)據(jù)時(shí)代變得越來(lái)越重要，范圍也越來(lái)越大。

中國(guó)云安全與新興技術(shù)安全創(chuàng)新聯(lián)盟已經(jīng)把數(shù)據(jù)安全，包括大數(shù)據(jù)安全作為云安全之后的一個(gè)重要研究方向。

中央網(wǎng)信辦趙澤良總工程師多次表示：數(shù)據(jù)安全已經(jīng)成為網(wǎng)絡(luò)安全的當(dāng)務(wù)之急。今年，國(guó)家互聯(lián)網(wǎng)信息辦公室就《數(shù)據(jù)安全管理辦法》向社會(huì)公開(kāi)征求意見(jiàn)。此外，還密集公布了《網(wǎng)絡(luò)安全審查辦法（征求意見(jiàn)稿）》和《兒童個(gè)人信息網(wǎng)絡(luò)保護(hù)規(guī)定（征求意見(jiàn)稿）》�！稊�(shù)據(jù)安全管理辦法》以網(wǎng)絡(luò)運(yùn)營(yíng)者為主要規(guī)制對(duì)象，重點(diǎn)圍繞個(gè)人信息和重要數(shù)據(jù)安全，在數(shù)據(jù)收集、數(shù)據(jù)處理使用、數(shù)據(jù)安全監(jiān)督管理等方面進(jìn)行了系統(tǒng)的管理規(guī)定，重點(diǎn)明確了使用范圍、監(jiān)管主體、個(gè)人信息收集和處理、問(wèn)題處置等內(nèi)容。

然而，在數(shù)據(jù)安全管理的要求下，達(dá)成數(shù)據(jù)安全的技術(shù)保障措施需要有一大批具有安全意識(shí)的業(yè)務(wù)研發(fā)人員和具有數(shù)據(jù)安全專業(yè)能力的安全人員。

這本書(shū)是云安全聯(lián)盟（CSA）技術(shù)專家鄭云文先生在數(shù)據(jù)安全領(lǐng)域?qū)嵺`多年的心得，適合廣大架構(gòu)師、工程師、信息技術(shù)人員、安全專家閱讀，是一本實(shí)踐性很強(qiáng)的安全架構(gòu)設(shè)計(jì)書(shū)籍，被列為CSA注冊(cè)數(shù)據(jù)安全專家（Certified Data Security Professional）認(rèn)證的學(xué)習(xí)參考資料。

安全防護(hù)的重心已經(jīng)從以Network（網(wǎng)絡(luò)）為中心向以Data（數(shù)據(jù)）為中心轉(zhuǎn)移，不論你是甲方企業(yè)還是乙方供應(yīng)商，也不論你是進(jìn)行單位的業(yè)務(wù)保障還是想提升個(gè)人能力，相信廣大讀者一定能從這本書(shū)受益。

李雨航（Yale Li）

CSA大中華區(qū)主席

中國(guó)科學(xué)院云安全首席科學(xué)家

2019年6月26日

Foreword 序　二

初識(shí)云文是看到他寫的一篇講SDL的文章，覺(jué)得這個(gè)作者在安全領(lǐng)域很有研究，后來(lái)幾經(jīng)輾轉(zhuǎn)聯(lián)系到他，一聊下來(lái)大家非常投緣，于是就邀請(qǐng)?jiān)莆募尤腧v訊數(shù)據(jù)安全團(tuán)隊(duì)一起開(kāi)展數(shù)據(jù)安全工作。云文在數(shù)據(jù)安全團(tuán)隊(duì)工作期間做出了重要貢獻(xiàn)，是多個(gè)重要安全系統(tǒng)的主要架構(gòu)設(shè)計(jì)者，也是數(shù)據(jù)安全合規(guī)標(biāo)準(zhǔn)的主要制定者。

隨著互聯(lián)網(wǎng)時(shí)代的發(fā)展，越來(lái)越多的在線業(yè)務(wù)會(huì)產(chǎn)生大量數(shù)據(jù)，這些數(shù)據(jù)已經(jīng)成為企業(yè)的核心資產(chǎn)。不同于過(guò)去的靜態(tài)信息資產(chǎn)，現(xiàn)在的數(shù)據(jù)資產(chǎn)是流動(dòng)的，對(duì)數(shù)據(jù)資產(chǎn)的動(dòng)態(tài)保護(hù)已成為安全行業(yè)新的課題。數(shù)據(jù)安全已成為企業(yè)安全的重中之重，從過(guò)去的無(wú)數(shù)案例可以看到，許多企業(yè)因?yàn)閿?shù)據(jù)泄露事件導(dǎo)致品牌受損、用戶流失、高層辭職甚至業(yè)務(wù)停擺。

時(shí)勢(shì)造英雄。越來(lái)越多的安全從業(yè)者開(kāi)始關(guān)注和研究數(shù)據(jù)安全，也在實(shí)踐過(guò)程中摸索出一些經(jīng)驗(yàn)。這本書(shū)即是云文多年的數(shù)據(jù)安全研究和實(shí)踐經(jīng)驗(yàn)的總結(jié)。在這本書(shū)中，云文以精湛的文筆系統(tǒng)地闡述了數(shù)據(jù)安全體系，將數(shù)據(jù)安全架構(gòu)設(shè)計(jì)、數(shù)據(jù)安全治理與數(shù)據(jù)全生命周期的預(yù)防性設(shè)計(jì)引入安全體系中。這本書(shū)與眾不同之處在于它脫離傳統(tǒng)的網(wǎng)絡(luò)安全視角，而是從防御者的角度出發(fā)，將安全建設(shè)從以產(chǎn)品為中心逐步過(guò)渡到以數(shù)據(jù)為中心，并圍繞數(shù)據(jù)生命周期的各個(gè)階段引入安全措施進(jìn)行保護(hù)，既有豐富的理論知識(shí)，又有能落地的最佳實(shí)踐，可作為安全人員的案頭必備書(shū)籍。

此外，還應(yīng)當(dāng)認(rèn)識(shí)到，網(wǎng)絡(luò)安全是一個(gè)整體，安全體系的建設(shè)也是一個(gè)漫長(zhǎng)的過(guò)程，時(shí)代變化很快，唯有緊跟形勢(shì)，不斷學(xué)習(xí)、不斷迭代優(yōu)化，方能立于不敗之地。

胡珀（lake2）

資深網(wǎng)絡(luò)安全專家

騰訊安全平臺(tái)部總監(jiān)

2019年6月17日