公有云的安全合規(guī)介紹

1、公有云的安全合規(guī)介紹技術(shù)創(chuàng)新 變革未來云端的安全合規(guī)全球數(shù)據(jù)合規(guī) 業(yè)務(wù)生態(tài)正在改變68%Data breaches are increasingNew data privacy regulationsSource: 2017 Global DTRPCI-DSSMEXICO PLCHIPAAFedRAMPGDPReiDASPIPAMASPOPIDPA合規(guī)介紹為何中國企業(yè)需要關(guān)注國際數(shù)據(jù)安全法？很多法規(guī)， 像EU國際法都是全球有效的。違反法規(guī)有相關(guān)處罰傾向更嚴(yán)格嚴(yán)緊的消費(fèi)者隱私法有些國際隱私法也同時(shí)禁止 跨境數(shù)據(jù)的轉(zhuǎn)輸以達(dá)到數(shù)據(jù)保護(hù)目的Privacy laws focus on protectin

2、g people mainly consumers & employees隱私法注重以“人”為主體 - 消費(fèi)者或員工，先要了解清楚受影響的行業(yè)：給國際客戶提供貨品/服務(wù)的公司有員工在他國系統(tǒng)里有處理他國國民數(shù)據(jù)不在當(dāng)?shù)靥幚硎占降臄?shù)據(jù)什么是歐盟通用數(shù)據(jù)合規(guī)88 頁 歐盟通用數(shù)據(jù)保護(hù)條例(GDPR) 是一項(xiàng)重要的 歐盟數(shù)據(jù)監(jiān)管條例，用于數(shù)據(jù)保護(hù)取代 EU Data Protection 95/46/EC條例有什么不一樣?加強(qiáng)了約束力來協(xié)調(diào)并提高整個(gè)歐盟的數(shù)據(jù)保護(hù)標(biāo)準(zhǔn)，安全性以及合規(guī) 性2018 年5 月25 日正式生效適用范圍：成立于歐盟的所有組織，以及歐盟以外致力于監(jiān)控或者處理歐盟 內(nèi)部個(gè)人數(shù)

3、據(jù)的所有組織罰款個(gè)大Revenue: 全球營業(yè)額4% 或 2千萬歐元E.g. 年?duì)I業(yè)額400m 的 TalkTalk (UK) under current regime - under GDPR would have been somewhere around 72m! (2016 Financial Results)Reputation聲譽(yù): 72 小時(shí)強(qiáng)制通報(bào)Resource資源: Data Protection Officer 委任數(shù)據(jù)安全主任Results結(jié)果: 強(qiáng)制隱私數(shù)據(jù)檢側(cè) Data Privacy Impact Assessments (DPIA)隱私和安全是重疊的概念Lawf

4、ulness, fairness and transparency合法，公平，透 明Purposelimitation目的限制Dataminimisation數(shù)據(jù)最小 化Accuracy準(zhǔn)確性Accountability問責(zé)制Dataconfidentiality保密Dataintegrity數(shù)據(jù)的完 整性When to destroy data (Storage Limitation)何時(shí)銷毀數(shù)據(jù)Availability可用性PersonalPrivacy / Data Protection個(gè)人隱私數(shù)據(jù)data個(gè)人數(shù)據(jù)Overlap ofPrivacy and SecurityConcern

5、s隱私和安全問題的重疊Other datae.g. important corporate dataSecurity信息安全其他數(shù)據(jù)例如重要的企業(yè)數(shù)據(jù)在文件里，提到653 數(shù)據(jù)處理309 數(shù)據(jù)保護(hù)181 權(quán) 益49 考 核18 脫敏和加密提到了多少：防火墻防毒IPS 入侵防止應(yīng)用防火墻DLP 數(shù)據(jù)外泄多從認(rèn)證技術(shù)0所以， GDPR是 。八大權(quán)利The right to beinformed通知The right of access存取The right torectification糾正The right to erasure (right to beforgotten)刪除The right

6、 to restrict processing限制處理The right to data portability數(shù)據(jù)移動性The right to object反對Rights in relation to automated decision making/profiling自動化破壞防止基礎(chǔ)服務(wù)計(jì)算存儲數(shù)據(jù)庫聯(lián)網(wǎng)云服務(wù)基礎(chǔ)設(shè)施區(qū)域邊緣站點(diǎn)客戶數(shù)據(jù)客戶應(yīng)用系統(tǒng)平臺、應(yīng)用程序、身份和訪問管理網(wǎng)絡(luò)和防火墻配置服務(wù)器端數(shù)據(jù)加密網(wǎng)絡(luò)流量保護(hù)安全和改進(jìn)日常審核和計(jì)劃安全工具安全功能客戶云上安全的“責(zé)任分擔(dān)”關(guān)注業(yè)務(wù)安全與合規(guī)實(shí)施和管理控制措施訪問成熟的供應(yīng)商市場國內(nèi)企業(yè)實(shí)施數(shù)據(jù)場景案例分享行業(yè)別：IO

7、T 生產(chǎn)/服務(wù)全球 vs 本地企業(yè)產(chǎn)品風(fēng)險(xiǎn)，信息安全大數(shù)據(jù)電商 - 數(shù)據(jù)流程面對全球市場應(yīng)注意事項(xiàng)數(shù)據(jù)場景內(nèi)容分發(fā) 和工具 類行為內(nèi)容處理跨境處理權(quán)限，管理機(jī)制產(chǎn)生的信息安全需求Databases數(shù)據(jù)庫S3 加密De-identify data 去身份識別Data Tokenization雙向脫敏Secure KeyManagement密管EC2RDSS3EBSEC2RDSS3EBSUser side data securityDisk/File 加密IDM 身份認(rèn)證系統(tǒng)Privileged ManagementRDSData at restApplicationsCEO columnGDPR

8、 can be extended to customer premises, since its about privacy data use cases.第三方:統(tǒng)一安全平臺，策略O(shè)n-premises - 云平臺支持Key Governance eg: Root of Trust, key lifecycle，自己管理敏感密鑰合規(guī)需求 FIPS140-2 L3加入更全面的 使用者管理策略， SIEM等和內(nèi)部系統(tǒng)整合，如現(xiàn)有加密機(jī)。Aws Native EncryptionFull disk encryption 概念Protect Lower level adminaccessEasy f

9、unction by “turning” on云上KMS and CloudHSM 服務(wù)， 縮短部署時(shí)間常見和信息保護(hù)方案CEO ColumnGood resource supportIn AWS ecosystem earlierConsultancy service likeGDPR, PCI. Strong in FinanceSupport China marketAWS 企業(yè)數(shù)據(jù)保護(hù) 方案及定位EC2S3EBSRDSAWS IAASGemaltoThalesDBSecEC2ProtecV-VM agent baseVTE agent baseS3ProtectAPP- agent b

10、aseS3 encryption gatewayEBSProtecV-VM agent baseVTE agent baseRDSProtectApp TokenizationVAE TokenizationTokenizationKey managementkeySecure(VM/HW）DSM(VM/HW）Cert(algorithm)FIPS algorithmFIPS algorithmSM algorithmMonth（subscriptions)AvailAvailavail結(jié)論P(yáng)rivacy is a very complex area隱私是復(fù)雜的話題Most jurisdict

11、ions have privacy-related laws very large number of laws 大多司法 管轄區(qū)都有隱私法Many jurisdictions have extra-territorial laws也會延伸到其大區(qū)域Also various multinational frameworks and guidance 也有跨國的構(gòu)架和建議Threats to privacy are increasing 隱私威脅持續(xù)的在增加中More online 線上Social media 社交媒體Big data 大數(shù)據(jù)Internet of Things (IoT) 物

12、聯(lián)網(wǎng)Consumer activism is increasing激進(jìn)的消費(fèi)者數(shù)目在增加中Regulation is increasing 法規(guī)也越收越緊What you need to consider你需要考慮：Design of systems and processes: Privacy-by-Design系統(tǒng)是默認(rèn)-隱私性設(shè)計(jì)Information security 數(shù)據(jù)安全Corporate ethics and responsibility企業(yè)道德與責(zé)任Consumer rights and advocacy消費(fèi)者權(quán)益和擁護(hù)Governance管制概念敏捷云業(yè)務(wù)介紹我們在咨詢認(rèn)證