《华为云：2023华为云数据安全白皮书（42页）.pdf》由会员分享，可在线阅读，更多相关《华为云：2023华为云数据安全白皮书（42页）.pdf（42页珍藏版）》请在本站上搜索。 1、华为云数据安全白皮书华为云数据安全白皮书文档版本文档版本2.0发布日期发布日期2023-02-06华为云计算技术有限公司华为云计算技术有限公司 版权所有版权所有 华为云计算技术有限公司华为云计算技术有限公司 2023。保留一切权利。保留一切权利。非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。商标声明商标声明和其他华为商标均为华为技术有限公司的商标。本文档提及的其他所有商标或注册商标，由各自的所有人拥有。注意注意您购买的产品、服务或特性等应受华为云计算技术有限公司商业合同和条款的约束，本文档中描述的全部或部分产品、服务或特性可能不在您的购买或使2、用范围之内。除非合同另有约定，华为云计算技术有限公司对本文档内容不做任何明示或暗示的声明或保证。由于产品版本升级或其他原因，本文档内容会不定期进行更新。除非另有约定，本文档仅作为使用指导，本文档中的所有陈述、信息和建议不构成任何明示或暗示的担保。华为云计算技术有限公司华为云计算技术有限公司地址：贵州省贵安新区黔中大道交兴功路华为云数据中心 邮编：550029网址：https:/ 2.0(2023-02-06)版权所有 华为云计算技术有限公司i目目 录录1 概述概述.12 华为云责任共担模型华为云责任共担模型.23 客户数据上云常见的问题客户数据上云常见的问题.44 华为云数据安全治理体系华为云3、数据安全治理体系.55 保障平台安全，保障云上数据的安全可靠保障平台安全，保障云上数据的安全可靠.75.1 静态数据安全.75.1.1 数据可靠性.75.1.2 数据隔离.85.1.3 存储加密.95.1.4 数据安全销毁.95.2 动态数据安全.105.2.1 传输加密.105.2.2 传输稳定可靠.105.3 处理中的数据安全.105.3.1 机密计算.115.3.2 同态加密.115.3.3 多方计算.126 提供数据保护服务，使能客户云上数据安全自主可控提供数据保护服务，使能客户云上数据安全自主可控.136.1 数据采集.136.1.1 数据识别与分类分级.136.2 数据存储.1564、.2.1 存储加密.156.2.2 备份容灾.206.2.3 数据隔离.216.3 数据使用.216.3.1 访问控制.226.3.2 数据脱敏与数据防泄漏.236.3.3 可信计算.246.3.4 操作审计.246.4 数据传输.256.4.1 传输加密.26华为云数据安全白皮书目 录文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司ii6.4.2 数据跨境管理.266.5 数据共享.276.5.1 数据脱敏.276.5.2 数字水印.286.5.3 安全多方计算.286.6 数据销毁.286.6.1 客户内容数据迁离.286.6.2 数据销毁.296.6.3 销毁留证5、.297 恪守数据安全原则，向客户呈现云上数据处理透明可视恪守数据安全原则，向客户呈现云上数据处理透明可视.307.1 数据存储位置透明可视.307.2 数据访问透明可视.337.2.1 华为云保护客户数据不被非授权访问.337.2.2 华为云授权人员访问客户数据透明可见.338 数据安全贡献和成果数据安全贡献和成果.369 总结总结.38华为云数据安全白皮书目 录文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司iii1 概述概述数据已被视为数字化社会的战略性资产和核心生产要素，各国政府、企业、个人对数据主权、数据价值和数据主体权益保护日益重视，数据活动在网络安全和隐私6、保护领域也面临着越来越多的合规要求和安全风险。同时，随着云计算技术的飞速发展与企业数字化转型的快速推进，越来越多的企业选择将重要数据资产迁移至云端。在云服务模式下，如何保障云上数据安全，成为大多数企业和客户的首要关注问题。为了打消客户数据上云疑虑，支撑客户充分发挥数据价值的同时构筑云上安全可控的数据安全防护能力，华为云提出“数据中立”原则，秉承“数据为客户所有、为客户所用、为客户创造价值”的理念，从“客户数据上云安全可靠，客户云上数据安全自主可控，云上数据操作透明可视”三个层面建设华为云的数据安全体系。同时，在此过程中，华为云承诺“不以技术手段获取客户业务数据、不强迫客户与华为云进行数据交换、7、保证所有数据处理严格遵从法律法规要求”。华为云数据安全白皮书1 概述文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司12 华为云责任共担模型华为云责任共担模型在复杂的云服务业务模式中，数据安全不再是单方面的责任，保障数据安全需要客户与华为云的共同努力。基于此，华为云参考业界常规做法，结合具体实践，定义了华为云数据安全责任共担模型，帮助客户理解双方数据保护的责任边界，避免出现数据保护真空区。客户与华为云具体责任可参见下图：图2.1华为云数据安全责任共担模型客户云上数据说明：客户云上数据说明：客户在使用华为云服务时，通常涉及以下两类数据：账户数据和客户内容数据。账户数据指客8、户在注册账户及使用华为云服务时向华为云提供、产生的数据，例如客户的姓名、电话号码、电子邮件地址、银行账户信息和账单信息等。华为云在处理涉及客户个人数据时，会严格依据华为云官网的隐私政策声明隐私政策声明和华华为云用户协议为云用户协议中的使用目的和范围进行处理，如您想要更进一步了解相关信息，可参考华为云隐私保护白皮书华为云隐私保护白皮书。内容数据主要是指客户使用华为云服务过程中存储或处理的业务数据，包括但不限于数据、文件、软件、图像、音频、视频等类型的数据。作为客户云上的数字资产，其安全性是所有客户业务上云的重要关注点。因此，本白皮书将主要围绕保护客户内容数据的安全进行介绍。华为云责任：华为云责任9、：作为云服务提供商（Cloud Service Provider，简称CSP），一方面负责为客户提供安全、合规的云基础设施、平台及服务，确保客户可以在一个安全的环境中存储和处理其云上的数据。另一方面为客户提供丰富的数据保护技术和能力，支撑客户更好的构建其云上的安全能力，确保数据的安全合规。华为云数据安全白皮书2 华为云责任共担模型文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司2a.数据安全保护：华为云从组织职责、政策、流程、工具支撑、持续度量等五大关键要素制定了完善的数据安全治理体系，并从平台层面设计和实施了一系列安全防护措施，保护云上客户数据的安全。b.数据安全赋能10、：华为云为了进一步帮助客户增强云上数据安全的保护能力，面向客户提供了丰富的服务、解决方案以及诸多的安全特性，使客户可以实现云上数据安全的自主可控。如：访问控制和身份认证、数据加密、敏感数据识别、数据库审计等服务、特性。客户责任：客户责任：客户是其数据的主体。客户应依据自身业务发展的需要以及面临的数据安全风险，制定数据保护策略，并采取适当的措施，保障云上数据安全。客户可以自主选择使用华为云提供的云服务和解决方案，存储和处理数据，同时采用适当的云安全服务或安全特性对云上数据进行安全加固，并实现对适用的法律法规要求的遵从。例如，客户需要自行实施适当的安全配置，包括操作系统安全配置、网络安全设置、数据11、加密策略，以及其他安全防护策略。华为云数据安全白皮书2 华为云责任共担模型文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司33 客户数据上云常见的问题客户数据上云常见的问题当客户将数据资产迁移上云后，客户将依赖云服务提供商对IT基础设施的安全控制能力，因而可能担心数据在传输、存储、使用过程中产生新的数据安全风险。华为云在多年的实践中总结了客户在业务上云过程中普遍存在的一些数据安全问题：问题一：问题一：及时明确的知晓内容数据存储位置。问题二：问题二：保证云上数据的安全性。问题三：问题三：保证数据不会在其不知情的情况下被未经授权访问。问题四：问题四：自由地将云端的数据迁移至12、其它云或本地环境。问题五：问题五：当云上数据需要销毁时，确保将数据完全删除、无法恢复。为更好帮助客户解决以上数据安全问题，本白皮书将主要从以下五方面阐述华为云数据安全实践：明确双方责任界面，确立安全责任共担模型：明确双方责任界面，确立安全责任共担模型：责任共担模型可帮助客户理解双方数据保护的责任边界，避免出现数据保护真空区。确保机制持续有效运作，构建数据安全治理体系：确保机制持续有效运作，构建数据安全治理体系：华为云围绕“组织职责、政策要求、流程指导、技术工具、度量验证”五大要素建设并实施数据安全治理体系，为云上客户数据安全提供完善的保障机制。保障平台安全，构筑安全可靠的数据底座：保障平台安全13、，构筑安全可靠的数据底座：云上数据的安全防护，依赖于安全可靠的云平台。华为云基于华为公司30多年的安全经验沉淀，并结合国内外云安全的优秀实践，构建了安全可靠的云平台基础设施，为实现云上客户数据安全奠定了坚实基础。提供数据保护服务，助力客户实现数据安全自主可控：提供数据保护服务，助力客户实现数据安全自主可控：华为云为客户提供了覆盖数据全生命周期的数据安全相关的服务和特性，在安全可靠的数据底座基础之上，支撑客户实现云上数据安全的自主可控，进一步增强云上的数据安全。数据安全相关的服务和特性，充分考虑了客户在不同业务场景下的需求，在提供云上数据安全防护能力的同时增强了客户自主选择的灵活性和便利性。恪守14、数据安全原则，保障云上数据处理对客户透明可视；恪守数据安全原则，保障云上数据处理对客户透明可视；华为云坚持数据中立，由客户自主选择控制其数据的存储位置、存储方式和访问，绝不在未授权的情况下访问客户数据；在客户明确授权访问客户资源时，确保数据访问活动的透明可视。华为云数据安全白皮书3 客户数据上云常见的问题文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司44 华为云数据安全治理体系华为云数据安全治理体系华为云在遵从法规和监管要求，借鉴国际及行业数据安全标准，参考行业优秀实践的基础上，从组织职责、政策要求、流程指导、技术工具、度量验证五方面建立并运行了一套完善、高可信、可持15、续的数据安全治理体系，系统有效的保障客户数据安全。在组织职责方面在组织职责方面：华为云成立了一个自上而下的数据安全管理责任体系，作为保护公司及云上客户数据的基础，体系包括决策层、管理层、执行层、监督层、支撑层，层层推动数据安全工作的有效落地。1.决策层，华为云总裁是华为云数据安全的第一责任人，负责华为云数据安全的战略和重大事项的决策。2.管理层，华为云任命了数据安全合规官、数据安全管理团队，负责数据安全例行化管理工作。3.执行层，各业务领域主管作为数据安全风险责任人，负责开展数据安全风险识别，并针对已识别风险制定管理目标及应对方案，并负责实施的最终效果。4.监督层：任命了独立的稽查团队，以查促16、建，通过年度例行化的稽查，验证各业务领域数据安全的落地效果，并负责对发现问题的跟踪闭环管理。5.支撑层：是对数据安全运作的组织的统称，包括工具建设、人员能力建设、外部沟通支撑等。在政策要求方面在政策要求方面：华为云根据适用的法律法规、行业标准及业界优秀实践，建立了完善的政策体系，包含政策、规范、流程指南和操作手册，明确数据安全管理目的、范围及要求，并推动在业务领域的有效落地。华为云要求员工、合作伙伴及外部顾问都需严格遵循数据安全相关政策要求，接受安全培训，使安全政策的相关要求融入整个组织之中。在流程方面在流程方面：为了确保数据安全管理要求的有效落地，华为云从两方面将数据安全要求落入流程中进行持17、续运作。一是增加数据安全专属的流程，例如数据共享的申请审核流程，在数据共享中，不同安全等级的数据需要不同层级主管审核；二是在现有的流程里打点，也就是把数据安全的要求融入到已有的业务流程里，避免数据安全要求在业务流程外运作。在技术工具方面在技术工具方面：华为云建立了相应的数据安全技术工具与平台，为客户构建安全可靠的数据底座，并赋能客户安全高效的管理云上数据。例如，华为云根据新一代基于软硬件协同的虚拟华为云数据安全白皮书4 华为云数据安全治理体系文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司5化卸载技术设计研发了擎天虚拟化平台，用以提供针对云上数据的可信计算环境，保护客户18、数据在云中环境中的存储与处理安全。在度量验证方面在度量验证方面：为了保障数据安全要求落地的有效性，华为云通过两大措施对数据安全治理效果进行评估度量。一是建立了一套完善的度量体系，对数据安全的治理效果进行持续的评估度量；另一个则是通过数据安全监督三道防线，以查促建确保安全要求落地效果的真实可信。评估度量体系：华为云围绕数据安全建立了全面的度量指标体系，以评估、监控数据安全控制的实施情况，并予以持续优化改进。华为云的数据安全治理度量分过程、结果和运营三个维度。三道监督防线：第一道防线，业务自查自纠。由各业务领域数据安全专员，基于数据安全自检清单，定期组织业务例行开展自查自纠；第二道防线，华为云独立19、安全团队稽查。安全稽查团队每年例行针对重点业务开展数据安全稽查，并负责对已识别问题的跟踪闭环；第三道防线，华为集团独立审计团队，每年按需抽查重点业务或领域，开展数据安全相关的审计。通过三道监督防线，对实际执行效果进行深层次的挖掘分析，确保数据和执行效果的真实可信。华为云数据安全白皮书4 华为云数据安全治理体系文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司65 保障平台安全，保障云上数据的安全可靠保障平台安全，保障云上数据的安全可靠5.1 静态数据安全静态数据安全5.1.1 数据可靠性数据可靠性数据的可靠性是华为云数据安全管理关注的一个关键领域。为了保障客户数据的稳定可20、靠，华为云的云硬盘、数据库、对象存储等诸多存储类产品均采取了相关的技术手段，为客户提供高可靠的数据存储能力。存储存储类型类型服务描述服务描述可靠性保证可靠性保证EVS云硬盘是一种基于分布式架构的、可弹性扩展的虚拟块存储服务。三副本冗余，数据持久性高达99.9999999%。通过CBR实现云硬盘的备份与恢复，且支持通过云硬盘备份创建新的云硬盘。CBR云备份（Cloud Backup andRecovery，CBR）为云上的弹性云服务器、裸金属服务器、云硬盘和云下VMware虚拟化环境，提供简单易用的备份服务，针对病毒入侵、人为误删除、软硬件故障等场景，可将数据恢复到任意备份点。备份数据跨数据中心21、保存，数据持久性高达99.999999999%。OBS对象存储服务是一种基于对象的海量存储服务，为用户提供海量、低成本、高可靠、高安全的数据存储能力。数据持久性高达99.9999999999%，服务可用性达99.995%。数据检查：存储前和存储后通过Hash校验数据一致性，确保存入数据是上传数据。分片冗余：数据分片后多份冗余存储在不同磁盘，后台自行检测一致性并及时修复受损数据。华为云数据安全白皮书5 保障平台安全，保障云上数据的安全可靠文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司7存储存储类型类型服务描述服务描述可靠性保证可靠性保证SFS弹性文件服务是一种基于文件的22、存储服务。数据持久性可达99.9999999%。服务可用性达99.95%。通过CBR实现文件存储的备份与恢复。RDS关系型数据库服务（RelationalDatabase Service，简称RDS）是一种基于云计算平台的即开即用、稳定可靠、弹性伸缩、便捷管理的在线关系型数据库服务。关系型数据库服务采用热备架构，故障系统1分钟自动切换。每天自动备份数据，上传到OBS桶，备份文件保留732天，支持一键式恢复。IMS镜像服务提供灵活的自助服务和完善的镜像管理能力，用户可以从丰富的公共镜像库中选择或创建私有镜像，快速创建或批量复制弹性云服务器。使用多份冗余存储私用镜像，数据持久性高达99.9999923、9999%。表5.1 华为云服务可靠性其次，华为云云服务等级协议（SLA）中也针对云硬盘、数据库、对象存储服务等各产品提供了明确的服务可用性承诺，若服务可用性未达到承诺的标准，将依据协议对客户做出补偿。5.1.2 数据隔离数据隔离图5.1华为云数据隔离方案虚拟计算资源隔离虚拟计算资源隔离华为云数据安全白皮书5 保障平台安全，保障云上数据的安全可靠文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司8华为云将底层物理计算资源，如CPU、内存、I/O设备等硬件资源，抽象出vCPU、虚拟内存、虚拟I/O设备等虚拟化计算资源。通过虚拟化平台控制虚拟机对虚拟计算资源间的访问，从而使每24、个虚拟机只能访问自身的计算资源，从而保障数据安全。1.CPU隔离。隔离。CPU 隔离主要是指虚拟化平台与虚拟机之间的隔离，虚拟机内部的权限分配和虚拟机与虚拟机之间的隔离。CPU 隔离是通过Root和Non-Root两种运行模式的切换、各运行模式下的运行权限分配以及以 VCPU（Virtual CPU）的形式呈现的虚拟计算资源的分配与切换等方式来实现的。通过CPU隔离机制，UVP可以控制虚拟机对物理设备以及虚拟化运行环境的访问权限，从而实现虚拟化平台与虚拟机之间以及不同虚拟机之间在信息和资源上的隔离，也就是说，一个虚拟机无法获取到其他虚拟机或虚拟化平台的信息和资源。2.内存隔离。内存隔离。虚拟化25、平台还负责为虚拟机提供内存资源，保证每个虚拟机只能访问到其自身的内存。为实现这个目标，虚拟化平台管理虚拟机内存与真实物理内存之间的映射关系。保证虚拟机内存与物理内存之间形成一一映射关系。虚拟机对内存的访问都会经过虚拟化层的地址转换，保证每个虚拟机只能访问到分配给它的物理内存，无法访问属于其他虚拟机或虚拟化平台自身使用的内存。3.I/O隔离。隔离。虚拟化平台还给虚拟机提供了虚拟 I/O 设备，包括磁盘、网卡、鼠标、键盘等。虚拟化平台为每个虚拟机提供独立的设备，避免多个虚拟机共享设备造成的信息泄露。每个虚拟磁盘对应虚拟化平台上的一个镜像文件或逻辑卷，虚拟化平台控制只有一个虚拟机的一个虚拟磁盘设备跟26、一个镜像文件关联。实现了虚拟机使用的虚拟设备与虚拟化平台 I/O 管理对象之间一一对应的关系，保证虚拟机之间无法相互访问I/O设备，实现I/O路径的隔离。网络隔离网络隔离华为云对云端数据的隔离是通过虚拟私有云（VPC Virtual Private Cloud）实施的，VPC 采用网络隔离技术，实现不同租户间在三层网络的完全隔离，租户可以完全掌控自己的虚拟网络构建与配置：一方面，结合 VPN或云专线，将 VPC 与租户内网的传统数据中心互联，实现租户应用和数据从租户内网向云上的平滑迁移；另一方面，利用VPC 的 ACL、安全组功能，按需配置安全与访问规则，满足租户更细粒度的网络隔离需要。服务隔27、离服务隔离基于底层的物理资源隔离与网络隔离技术，华为云向云上租户均提供了相互隔离的、私密的网络环境，即虚拟私有云VPC。不同VPC之间在默认条件下无法相互通信，从而实现租户间数据隔离，大大降低了不同租户间的数据泄露风险。另外，用户可以自由配置其VPC内的子网、安全组等网络隔离策略，通过将不同的存储与数据库服务实例，如OBS实例、RDS实例，部署至不同安全组内，可以实现VPC内的存储资源隔离，降低存储服务间随意相互通信所导致的数据泄露风险。5.1.3 存储加密存储加密华为云参考业界加密算法优秀实践，针对存储数据制定并实施了密码算法应用规范，对加密级别、加密方法进行了明确规定。华为云根据规范，使用28、了AES强加密算法针对存储在云基础设施中的静态数据执行数据加密，有效保护云平台中的数据安全。同时，在密钥管理方面，华为云制定并实施了密钥管理安全规范，明确密钥管理各阶段的安全管理要求，对密钥生成、传输、使用、存储、更新、销毁等全生命周期的安全性进行管控。5.1.4 数据安全销毁数据安全销毁在平台层面，在客户数据的销毁阶段，华为云会对指定的数据及其所有副本进行全面的清除。当客户确认删除操作后，华为云首先删除客户与数据之间的索引关系，并在华为云数据安全白皮书5 保障平台安全，保障云上数据的安全可靠文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司9将内存、块存储等存储空间进行29、重新分配前进行清零操作，确保相关的数据和信息不可还原。在物理介质销毁层面，为保证数据中心介质生命周期末期数据安全，华为云参照相关行业标准，实施了完善的存储介质处置机制。如参考NIST SP 800-88标准对存储介质进行处理，针对需要重复使用的存储介质，进行随机数覆写、加密擦除等方式进行数据安全删除，针对不需要重复使用的存储介质则采取消磁、物理损毁等方式进行物理销毁。5.2 动态数据安全动态数据安全5.2.1 传输加密传输加密对于华为云平台服务端到客户端、服务端之间的数据通过公共信息通道进行传输的场景，传输中数据的保护通过如下方式提供：虚拟专用网络（虚拟专用网络（VPN）:VPN用于在远端网络30、和 VPC 之间建立一条符合行业标准的安全加密通信隧道，将已有数据中心无缝扩展到华为云上，为租户提供端到端的数据传输机密性保障。通过 VPN在传统数据中心与 VPC 之间建立通信隧道，租户可方便地使用华为云的云服务器、块存储等资源，通过将应用程序转移到云中、启动额外的 Web 服务器来增加网络的计算容量，实现了企业的混合云架构的同时，也降低了企业核心数据非法扩散的风险。目前，华为云采用硬件实现的 IKE（密钥交换协议）和 IPSec VPN 结合的方法对数据传输通道进行加密，确保传输安全。应用层应用层 TLS 与证书管理：与证书管理：华为云服务提供 REST 和 Highway 方式进行数据传31、输：REST 网络通道是将服务以标准 RESTful 的形式向外发布，调用端直接使用 HTTP 客户端，通过标准 RESTful 形式对 API 进行调用，实现数据传输；Highway 通道是高性能私有协议通道，在有特殊性能需求场景时可选用。上述两种数据传输方式均支持使用传输层安全协议（TLS 性能私有协议通道，在有特殊性能需求场景时可选用。上述）1.2 版本进行加密传输，同时也支持基于 X.509 证书的目标网站身份认证。证书管理服务（SSL Certificate Service）则是华为云联合全球知名数字证书服务机构，为租户提供的一站式 X.509 证书的全生命周期管理服务，实现目标网站32、的可信身份认证与安全数据传输。5.2.2 传输稳定可靠传输稳定可靠除了保障客户云上数据传输过程中的安全，华为云也致力于为客户提供高性能、高可靠、低延迟的网络传输服务。华为云为客户通过运营商专线接入云上虚拟私有云提供了多链路容灾能力。客户数据中心可通过不同运营商专线，分别接入不同接入点，实现多链路多接入点互备。当用户通过单一运营商专线无法成功访问资源时，多链路容灾技术则自动将流量切换至其他运营商专线，从而实现故障转移，保障访问的高可靠性。5.3 处理中的数据安全处理中的数据安全华为云数据安全白皮书5 保障平台安全，保障云上数据的安全可靠文档版本 2.0(2023-02-06)版权所有 华为云计算33、技术有限公司105.3.1 机密计算机密计算为了保证客户云上数据处理过程安全可信，华为云结合可信设计原则与云平台基础架构特性，设计研发了华为云擎天虚拟化（机密计算）平台，其安全概念模型如下图所示：图5.2 擎天安全概念模型擎天虚拟化平台基于“硬件信任根”、“强化安全启动”、“固件防篡改”、“端到端加密”、“单向控制”等设计原则来构建最小的可信计算基（TCB,TrustedComputing Base），可以提供对云上客户数据的有效保护，实现如下的一些安全目标：降低虚拟机逃逸风险：降低虚拟机逃逸风险：擎天虚拟化平台分为前端系统和后端系统。经典虚拟化架构中的存储虚拟化、网络虚拟化、虚拟化管理及安全34、功能在后端系统运行，而前端系统仅运行极其轻量级的Hypervisor管理程序（如Qingtian Hypervisor）和客户的业务负载。采用精简的Hypervisor管理程序功能，很大程度上降低了虚机逃逸带来的数据安全风险。防范云平台内部攻击：防范云平台内部攻击：擎天虚拟化平台支持强制的数据传输加密（如VPC加密）、持久化数据加密（如块存储加密、对象存储加密）和内存数据加密（依赖CPU提供的内存加密特性）。通过支持安全启动和固件防篡改安全机制来实现系统完整性保护，防止可以接触物理设备的内部攻击者篡改系统固件、可执行代码和系统数据。降低来自租户内部的数据安全威胁：降低来自租户内部的数据安全威胁35、：来自于客户内部的攻击者（或rootkit）通常可以获得对客户虚拟机的超级权限（如Linux root权限），通过Enclave机密计算实例可防止恶意的特权用户进程对Enclave应用和数据的窃取或篡改，提高运行在Enclave中的客户应用程序和数据安全性。5.3.2 同态加密同态加密针对客户云上敏感数据的处理场景，华为云平台能够基于同态加密技术（Homomorphic Encryption,HE）对敏感数据实现加密计算，在对数据进行处理的同时确保数据原始内容无法被任何人访问，实现敏感数据“可用不可得”。用户可对敏感数据进行加密，将加密后的数据上传至云中处理，处理完成后用户利用密钥对华为云数据36、安全白皮书5 保障平台安全，保障云上数据的安全可靠文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司11计算结果进行解密即可获取计算结果。在敏感数据处理场景下，同态加密技术赋予华为云对密文的计算能力，密文计算无须由密钥方解密，提高数据的安全性的同时降低通信代价。5.3.3 多方计算多方计算华为云平台基于多方计算MPC（Multi-Party Computation），在保护客户重要数据与隐私数据安全的前提下，可对行业内、各行业间的多方数据进行联合计算和分析，在分布式的、无法互相信任的多个参与方之间建立互信联盟，实现跨组织、跨行业的多方数据分析和联合学习建模能力。多方计算技37、术MPC在保证了华为云客户原始数据机密性的同时，通过多方联合分析建模，促进多方数据融合分析，更大程度的释放数据利用价值。华为云数据安全白皮书5 保障平台安全，保障云上数据的安全可靠文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司126 提供数据保护服务，使能客户云上数据安全提供数据保护服务，使能客户云上数据安全自主可控自主可控6.1 数据采集数据采集数据采集是指生成新的内容，或对已有内容的替换、更新或修改。针对这一阶段，华为云建议客户做好数据分类分级，进行风险分析，并根据风险分析结果，明确数据安全防护措施。在该阶段，客户可使用华为云的相关服务，自主可控地对数据进行分类分38、级。在开展数据分类分级时，客户可根据自身业务需求，自定义敏感数据类别、敏感数据识别规则及敏感数据等级，在此基础上实现敏感数据自动识别以及数据自动分类分级。6.1.1 数据识别与分类分级数据识别与分类分级数据安全中心（数据安全中心（DSC）华为云数据安全白皮书6 提供数据保护服务，使能客户云上数据安全自主可控文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司13图6.2（DSC）敏感数据识别中国网络安全法指出，国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的39、危害程度，对数据实行分类分级保护。国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。DSC服务可以帮助客户按照其行业对于重要数据目录的制定情况，自定义数据扫描规则，有效识别重要数据，满足相关法律法规对于数据分类分级保护的合规要求。服务核心优势如下：图6.3 DSC核心优势服务资源服务资源华为云数据安全白皮书6 提供数据保护服务，使能客户云上数据安全自主可控文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司14数据安全中心（数据安全中心（DSC）6.2 数据存储数据存储数据存储是指将数据提交到某种存储库中，通常在数据创建时发生。针对这一阶段，华40、为云建议客户对云端重要数据进行加密存储、容灾备份以及隔离防护，以保障数据在存储过程中的安全性。在该阶段，客户可根据自身业务需求，使用华为云的相关云服务进行存储加密、备份容灾和隔离防护。比如，在存储加密方面，客户使用华为云存储加密相关服务时，可基于其不同业务场景需求，自主选择不同强度的加密算法、不同级别的密钥托管方式，此外客户还可集成云市场上的加密存储服务或使用自有加密解决方案，实现对其云上数据存储加密的自主可控。在备份容灾方面，客户选择相应的备份和容灾服务，在硬盘层面、服务器层面、虚拟机层面实现自身业务所需的备份和容灾保护。图6.4 华为云数据存储安全能力6.2.1 存储加密存储加密华为云将复41、杂的数据加解密、密钥管理逻辑进行封装，使得客户的数据加密操作变得简单易行。目前，云硬盘、对象存储、镜像服务和关系型数据库等多个服务均提供数据加密（服务端加密）功能，采用高强度的算法对存储的数据进行加密。在中国站点，华为云提供的许多云服务，支持国密算法，详情可参考华为云中国站官网。数据加密服务（数据加密服务（DEW）华为云数据安全白皮书6 提供数据保护服务，使能客户云上数据安全自主可控文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司15图6.5 DEW集成能力数据加密服务是一款综合的云上数据加密服务，提供了专属加密、密钥管理、密钥对管理等功能，旨在为用户提供便捷、可靠、高42、效的数据加密能力。与此同时，DEW还拥有与其他云服务的广泛集成能力，并可通过为用户提供密钥全托管、密钥半托管、密钥客户全控制三种不同级别的密钥托管服务，助力用户实现密钥管理自主可控。用户甚至可以借此服务开发自己的加密应用，实施更灵活的数据安全控制。1.专属加密（专属加密（Dedicated HSM）：）：提供经权威机构检测认证的加密硬件，支持SM1、SM2、SM3、SM4等密钥算法（仅限中国站），可处理加解密、签名、验签、产生密钥和密钥安全存储等操作，帮助用户保护弹性云服务器上数据的安全性和完整性，并满足监管合规要求。同时，用户能够对专属加密实例生成的密钥进行管理，也能使用多种加密算法来对数据43、进行加解密运算。专属加密支持的密钥算法类型如下：密钥类型密钥类型算法类型算法类型对称密钥AES3DESDESSM1SM4非对称密钥RSA_1024RSA_2048SM2摘要算法SM3SHA1华为云数据安全白皮书6 提供数据保护服务，使能客户云上数据安全自主可控文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司16SHA256SHA384 表6.1 专属加密支持的算法类型2.密钥管理（密钥管理（KMS）：）：提供安全、可靠、简单易用的密钥托管服务。KMS通过使用硬件安全模块（HSM）保护密钥安全，帮助用户创建和管理密钥，所有的用户密钥都由HSM中的根密钥保护，避免密钥泄露。44、KMS支持的密钥算法类型如下：密钥类型密钥类型算法类型算法类型密钥规格密钥规格对称密钥AESAES_256SM4SM4非对称密钥RSARSA_2048RSA_3072RSA_4096ECCEC_P256EC_P384SM2SM2 表6.2 KMS支持的算法类型3.密钥对管理（密钥对管理（KPS）：）：提供安全、可靠、简单易用的SSH密钥对托管服务，帮助用户集中管理SSH密钥对，保护SSH密钥对的安全性。KPS利用HSM产生的硬件真随机数来生成密钥对，并提供完善可靠的密钥对的管理方案，帮助用户创建、导入和管理SSH密钥对。4.凭据管理（凭据管理（CSMS）：）：提供安全、可靠、简单易用的凭据托管45、服务。用户或应用程序通过凭据管理服务创建、检索、更新、删除凭据，轻松实现对敏感凭据的全生命周期和统一管理，有效避免程序硬编码或明文配置等问题导致的敏感信息泄密以及权限失控带来的业务风险。充分实现密钥管理自主可控：华为云数据安全白皮书6 提供数据保护服务，使能客户云上数据安全自主可控文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司17图6.6 密钥管理模式a.密钥全托管：密钥全托管：密钥生成，存储，管理服务均由华为云提供，为用户提供一站式的密钥管理服务，密钥全托管模式在最大程度上降低用户密钥管理工作负担。b.密钥半托管（密钥半托管（BYOK）：）：密钥生成导入由用户负责，46、密钥存储和管理由华为提供。密钥半托管模式适用于密钥由本地或第三方生成的用户、促进用户密钥生成自主可控，c.密钥客户全控制（密钥客户全控制（HYOK）：）：密钥的生成、存储、管理均受客户自行控制，华为提供专属加密硬件。密钥客户全控制模式适用于处于强监环境下以及在云上存储重要敏感数据的用户，帮助用户实现密钥生命周期完全自主控制。华为云数据加密服务（DEW）中包含了密钥管理服务（KMS），同时华为云的众多服务采用与密钥管理服务（KMS）集成的设计，方便客户创建和管理密钥。客户可以通过简单的加密设置，实现数据的存储加密。目前KMS已经支持对象存储、云硬盘、云镜像、云数据库和弹性文件存储等不同类型的服务47、，极大地方便了密钥的管理与使用，安全轻松的实现数据加密操作。已与KMS集成的云服务包括：计算计算弹性云服务器（ECS）云耀云服务器（HECS）裸金属服务器（BMS）弹性伸缩（AS）华为云数据安全白皮书6 提供数据保护服务，使能客户云上数据安全自主可控文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司18镜像服务（IMS）专属主机（DeH）FPGA加速云服务器（FACS）GPU加速云服务器（GACS）高性能计算（HPC）容器容器云容器引擎（CCE）云容器实例（CCI）存储存储对象存储服务（OBS）云硬盘（EVS）云备份（CBR）弹性文件服务（SFS）云服务器备份（CSBS）48、专属分布式存储服务（DSS）云硬盘备份（VBS）CDN与智能边缘与智能边缘内容分发网络（CDN）数据库数据库云数据库MySQL云数据库PostgreSQL云数据库SQLServer文档数据库服务（DDS）云数据库GaussDB（for openGauss）云数据库GaussDB（for MySQL）人工智能人工智能图引擎服务（GES）大数据大数据MapReduce服务（MRS）云数据仓库GaussDB（DWS）云搜索服务（CSS）数据接入服务（DIS）数据湖工程（DLF）数据湖治理中心（DGC）医疗智能体EIHealth应用中间件应用中间件分布式缓存服务Redis版分布式缓存服务Memcach49、ed版华为云数据安全白皮书6 提供数据保护服务，使能客户云上数据安全自主可控文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司19IoT物联网物联网设备接入IoTDA开发与运维开发与运维代码托管CodeHub视频视频视频点播（VOD）安全与合规安全与合规云证书管理服务（CCM）SSL证书管理（SCM）数据安全中心（DSC）漏洞扫描服务（VSS）管理与监管管理与监管云日志服务（LTS）云审计服务（CTS）迁移迁移对象存储迁移服务（OMS）云数据迁移（CDM）表6.3 KMS集成的云服务更多与KMS集成的服务可查看官网华为云产品华为云产品。整体来看，华为云数据加密服务（DEW50、）具备以下优势：图6.7 DEW核心优势6.2.2 备份容灾备份容灾对于企业而言，要保证各种突发事件场景下业务的持续连续性，备份容灾机制不可或缺。备份容灾体系构建应该涵盖网络、应用、数据等多个层次，其中数据层面的备份容灾机制着力于保持数据一致性、降低数据丢失率，是容灾系统的关键环节。华为云华为云数据安全白皮书6 提供数据保护服务，使能客户云上数据安全自主可控文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司20在硬盘层面、服务器层面、虚拟机层面均提供了相应的数据备份容灾服务供客户选择。云硬盘备份（云硬盘备份（CBS）云硬盘备份（Volume Backup Service）51、为单个或多个云硬盘创建在线备份，无需关机/重启。针对病毒入侵、人为误删除、软硬件故障等场景，可将数据恢复到任意备份点。备份数据加密，跨数据中心保存。云服务器备份（云服务器备份（CSBC）云服务器备份（Cloud Server Backup Service）为云服务器下所有云硬盘创建一致性在线备份，无需关机。针对病毒入侵、人为误删除、软硬件故障等场景，可将数据恢复到任意备份点。备份数据通过多副本存储在多个数据中心，用于抵御数据中心级别的故障。存储容灾服务（存储容灾服务（SDRS）华为云的存储容灾服务为弹性云服务器、云硬盘和专属存储等服务提供容灾能力，通过存储复制、数据冗余和缓存加速等多项技术，提52、供跨可用区的虚拟机级容灾保护。当生产站点故障时，通过简单的配置，即可在容灾站点迅速恢复业务，确保数据可靠性以及业务连续性。6.2.3 数据隔离数据隔离虚拟私有云服务（虚拟私有云服务（VPC）在客户自建存储的场景下，例如在虚拟机实例上安装数据库软件时，建议客户利用华为云的虚拟私有云服务（VPC）构建出私有网络环境，根据需求自行通过子网规划、路由策略配置等进行网络区域划分，将存储资源放置在内部子网，并通过配置网络ACL和安全组规则对进出子网和虚拟机的网络流量进行严格的管控。服务资源服务资源数据加密服务（数据加密服务（DEW）云硬盘备份（云硬盘备份（CBS）云服务器备份（云服务器备份（CSBC）存储53、容灾服务（存储容灾服务（SDRS）虚拟私有云服务（虚拟私有云服务（VPC）6.3 数据使用数据使用数据使用是指数据被查看、处理或以不包括修改在内的其他方式采用。大数据时代，越来越多的企业力求通过对数据的融合和挖掘，为企业创造出更大的价值，同时也带来了信息泄露和法律法规遵从上的风险。为了避免上述风险，华为云提供了一系列服务，让客户可从访问控制、操作审计、数据脱敏、数据防泄漏、可信计算等方面对使用过程中的数据安全进行自主管控。比如，在访问控制方面，客户可针对应用访问、运维操作、云上资源访问等不同业务场景自行设置访问控制策略，防止未授权访问。在操作审计方面，客户可对云资源的操作、运维操作等进行跟踪审54、计，从而实现数据使用过程的可审计、可追溯。在数据脱敏与防泄漏方面，客户可通过静态/动态脱敏、数据水印技术、数据风险分析与告警等对数据泄漏进行防护。华为云数据安全白皮书6 提供数据保护服务，使能客户云上数据安全自主可控文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司21图6.8 华为云数据使用安全能力6.3.1 访问控制访问控制统一身份认证服务（统一身份认证服务（IAM）华为云的统一身份认证服务（IAM）为客户提供适合企业级组织结构的用户账号管理、身份认证和细粒度的云上资源访问控制。IAM 提供多因素认证（MFA）功能，提高账号登录和重要操作的安全性；具备数字签名和时间戳55、的机制，防止 API 请求被篡改以及重放攻击等情况的发生；支持与客户既有帐号管理系统的联邦认证，即允许用户在既有账号管理系统认证后访问华为云资源。应用信任中心（应用信任中心（ATC）华为云应用信任中心（ATC）为客户构建应用安全威胁全景图，依托零信任理念实现细粒度访问控制。ATC可以基于用户、设备、应用访问行为构建行为基线，并与安全服务联动以及时发现异常和风险，动态调整应用访问控制策略。云堡垒机服务（云堡垒机服务（CBH）系统的运维人员通常权限较高，更易访问底层数据，在出现恶意操作或误操作时会对系统造成更大的损害。因此，华为云建议客户使用云堡垒机服务（CBH）对运维活动进行管控。华为云的云堡垒56、机服务将华为公司多年的安全运维经验服务化后向客户输出，提供一站式的帐号管理、资产管理、访问控制和操作审计等功能，支持开启多因素认证、国密配置（仅限中国站），保障远程登录安全，协助客户做好运维控制与合规审计。其核心优势包括：华为云数据安全白皮书6 提供数据保护服务，使能客户云上数据安全自主可控文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司22图6.9 华为云CBH核心优势6.3.2 数据脱敏与数据防泄漏数据脱敏与数据防泄漏数据库安全服务（数据库安全服务（DBSS）客户可以采用华为云数据库安全服务（DBSS）为数据库提供替身式防护。DBSS 基于专利保护的反向代理模式以及57、机器学习机制，集数据脱敏、数据库防火墙和数据库审计功能于一体，一站式全方位保障云上数据库的安全。对于数据脱敏，DBSS 能够根据规则识别出敏感数据，并依据脱敏策略对非授权读取的敏感数据进行实时隐藏，既不会损耗数据库性能也不会改变原始存储。作为数据库防火墙，DBSS 能够实时监测和拦截SQL 注入等恶意攻击，提升数据库的抗攻击能力。图6.10 华为云DBSS核心优势数据安全中心（数据安全中心（DSC）1.数据脱敏：数据脱敏：DSC的数据脱敏支持静态脱敏和动态脱敏。客户可以对指定数据配置脱敏规则实现敏感数据静态脱敏，也可以使用数据动态脱敏数据动态脱敏的API接口实现数据的动态脱敏，全方位确保敏感信58、息不被泄露。在数据使用环节，客户可针对不同类型的敏感数据，使用不同的脱敏方式进行脱敏，敏感数据保护服务中已预置多种字符脱敏模板。例如，针对个人敏感数据，可使用字符掩盖进行脱敏，针对日期或数字特定参数可使用取证脱敏方式进行取整运算。华为云数据安全白皮书6 提供数据保护服务，使能客户云上数据安全自主可控文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司23图6.11 DSC数据脱敏、数据水印6.3.3 可信计算可信计算可信智能计算服务（TICS）华为云可信智能计算服务（TICS）面向政企行业，打破跨机构的数据孤岛，在数据隐私保护下实现多方数据联合分析和联邦学习。基于可信执行环59、境TEE、安全多方计算MPC、联邦学习、区块链等技术，实现数据在流通、计算过程中全链路的安全保护和审计回溯，推动跨机构数据的可信融合和协同，释放数据价值。其中，在数据使用过程中可以提供以下安全机制：1.可信计算节点：可信计算节点：参与方使用数据源计算节点进行自主可控的数据源注册、隐私策略（脱敏、加密）设定、元数据发布等操作，为数据源计算节点提供全生命周期的可靠性监控和运维管理。2.联邦联邦SQL分析：分析：支持标准SQL语法，对接多种主流数据存储系统，为数据消费者实现多方数据的融合分析。参与方的敏感数据能够在具有TEE或MPC安全支撑的聚合计算节点中实现安全计算。3.可视化数据监管：可视化数据60、监管：此外，TICS为数据参与方提供可视化的数据使用流图，提供插件化的区块链对接存储，保障数据使用过程可审计、可追溯。6.3.4 操作审计操作审计云审计服务（云审计服务（CTS）云审计服务（CTS）将实时记录客户云账户下资源的操作记录。云资源生成的每条审计日志均会记录什么用户，什么时间，通过什么IP发起了操作请求，帮助组织执行越权分析、关键资源变更分析等活动，并支持实时短信和邮件通知。审计日志的存储、传输均采用高强度加密，且无修改、删除类功能或接口，保证审计日志数据的完整性。审计日志的查看、访问权限将严格由系统管理员集中分配和管理。云日志服务云日志服务(LTS)云日志服务（Log Tank S61、ervice，简称LTS），用于收集来自主机和云服务的日志数据,采集到的日志数据可以在云日志控制台以清晰有序的方式展示，并且可以长期存储。采集到的日志数据可以通过关键字查询、模糊查询等方式简单快速地进行查询，从而高效追溯用户对主机和云服务的操作活动。华为云数据安全白皮书6 提供数据保护服务，使能客户云上数据安全自主可控文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司24对象存储服务（对象存储服务（OBS）当需要对数据进行版权保护、真伪鉴别、流转跟踪时，客户可以选择数字水印技术。华为云的对象存储服务具备对图片添加文字或图片类型水印的功能，支持通过控制台图形界面、代码编辑和62、接口调用等多种使用模式，便利地对图片进行水印设置，并快速获取处理后的图片。服务资源服务资源统一身份认证服务（统一身份认证服务（IAM）应用信任中心（应用信任中心（ATC）云堡垒机服务（云堡垒机服务（CBH）数据库安全服务（数据库安全服务（DBSS）数据安全中心（数据安全中心（DSC）可信智能计算服务（可信智能计算服务（TICS）云审计服务（云审计服务（CTS）云日志服务云日志服务(LTS)对象存储服务（对象存储服务（OBS）6.4 数据传输数据传输数据传输是指数据通过网络从数据源传输到数据终端。针对这一阶段，华为云建议客户对传输中的数据进行加密，确保数据在传输过程中的安全性。华为云针对多种业务63、场景，提供了多种传输加密解决方案。客户可根据不用业务场景，选择适用于自身的传输加密机制，保障数据的安全传输。图6.12 华为云数据传输安全能力华为云数据安全白皮书6 提供数据保护服务，使能客户云上数据安全自主可控文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司256.4.1 传输加密传输加密SSL证书管理服务（证书管理服务（SCM）当客户通过互联网提供 Web 服务时，可选择使用华为云提供的证书管理服务。华为云证书管理服务SCM联合全球知名证书服务商，可提供DigiCert、GlobalSign、GeoTrust以及CFCA国密证书（仅限中国站），客户通过给 Web 网64、站申请并配置证书，实现网站的可信身份认证以及基于加密协议的安全数据传输。其核心优势包括：图6.13 华为云SCM核心优势虚拟专用网络（虚拟专用网络（VPN）针对客户业务混合云部署和全球化布局的场景，可以使用华为云提供的虚拟专用网络（VPN）、云专线、云连接等服务，实现不同区域之间业务的互联互通和安全数据传输。目前 VPN 服务采用华为公司专业设备，基于IKE和IPsec协议在Internet中实现虚拟私有网络，在本地数据中心和华为云VPC之间、华为云不同区域的VPC之间构建安全可靠的加密传输通道。云专线服务（云专线服务（DC）云专线服务（DC）基于运营商多种类型的专线网络，在本地数据中心与华为65、云VPC之间构建专享的加密传输通道，各客户专线之间物理隔离，满足更高的安全性、稳定性要求。云连接服务（云连接服务（CC）云连接服务（CC）是基于华为公司多年全球 IT 运营经验，利用全球众多国家和地区的网络资源布局，打造的一站式云连接网络服务。云连接服务能够快速在多个本地数据中心与多个云上 VPC 之间建立私有通信网络，支持跨云 VPC 的互连，大大提升了客户业务向全球拓展的安全性和速度。数据快递服务（数据快递服务（DES）数据快递服务（DES）是华为云提供的一种海量数据传输解决方案。用户可利用Teleport高性能存储设备或硬盘等，以物理手段将数据安全传输至华为云。Teleport设备自带基66、于AES256的加密功能，自动保持全盘加密状态，并由用户自行管理密钥。所有数据将在加密状态下进行传输，充分保障数据在传输过程中的安全。6.4.2 数据跨境管理数据跨境管理客户在使用华为云服务时，可能基于业务目的需要将云上数据进行跨境传输。此时，客户需要考虑适用的法律法规要求，如欧盟通用数据保护条例（简称GDPR）、华为云数据安全白皮书6 提供数据保护服务，使能客户云上数据安全自主可控文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司26中华人民共和国个人信息保护法、中华人民共和国数据安全法等，相关法律可能对特定类型的数据跨境提出具体的合规要求，客户需要对相关要求进行识别和67、管理。华为云在70+个国家开服，均考虑了适用区域对于数据保护的法律法规要求，详情见信信任中心任中心。服务资源服务资源SSL证书管理服务（证书管理服务（SCM）虚拟专用网络（虚拟专用网络（VPN）云专线服务（云专线服务（DC）云连接服务（云连接服务（CC）数据快递服务（数据快递服务（DES）6.5 数据共享数据共享数据共享是指数据在用户、客户、合作伙伴之间交换使用。开放共享是数据融合挖掘的前提，能够消除信息孤岛，促进数据价值释放。为了保障自身的数据权益，建议客户对数据的访问和传输进行严格的管控，做到安全的数据共享。在该阶段，客户可使用数据脱敏、数据水印以及安全多方计算相关的服务，保障数据共享过程68、中的安全性。图6.14 华为云数据共享安全能力 6.5.1 数据脱敏数据脱敏数据安全中心（数据安全中心（DSC）DSC的数据脱敏支持静态脱敏和动态脱敏。用户可以对指定数据配置脱敏规则，实现敏感数据静态脱敏，同时，也可以使用数据动态脱敏数据动态脱敏的API接口实现数据的动态脱敏，全方位确保敏感信息不被泄露。在数据共享环节，客户可针对不同类型的敏感数据，华为云数据安全白皮书6 提供数据保护服务，使能客户云上数据安全自主可控文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司27使用不同的脱敏方式对敏感数据进行脱敏。例如，针对个人敏感数据，可使用字符掩盖方式进行脱敏，针对企业敏感69、或设备敏感数据，可使用关键字替代方式进行脱敏。6.5.2 数字水印数字水印数据安全中心（数据安全中心（DSC）数据安全中心提供数据水印能力，可针对文档、图片、JSON数据嵌入或提取水印。数字水印广泛适用于政府部门、医疗、金融、科研等单位机构，一般用于版权保护、追踪溯源。1.数据版权保护数据版权保护：对于需要将重要文档、图片等类型数据提供给第三方的场景，可对相关数据嵌入水印，在发生版权纠纷时可以通过数字水印明确版权所属。2.追踪溯源追踪溯源：数据共享给给内部第三方使用时，打上使用者信息水印，可识别使用者身份，提醒使用者遵守安全规范。当发生数据泄露事件时，数字水印可协助组织追踪数据泄露源头，挖掘泄70、露原因。6.5.3 安全多方计算安全多方计算可信智能计算服务（TICS）可信智能计算服务TICS将帮助组织打破数据孤岛，在数据隐私保护的前提下，实现行业内部、各行业间的多方数据联合分析和联邦计算。TICS对接多种主流数据存储系统，为数据消费者实现多方数据的融合分析，参与方敏感数据能够在聚合计算节点中实现安全计算。多方分析利用JOIN算子进行数据隐私保护，将多方数据加密后完成计算，计算结果加密返回给数据使用方，保障数据共享过程中的安全。服务资源服务资源数据安全中心（数据安全中心（DSC）可信智能计算服务（TICS）6.6 数据销毁数据销毁数据销毁是指使用物理或数字方式，将数据进行销毁。当客户主动71、进行数据删除操作或因服务期满需要对数据进行删除时，华为云会严格遵循数据销毁标准和与客户之间的协议约定，对存储的客户数据进行清除。重要数据销毁后不可恢复，建议客户在销毁数据前慎重考虑，对拟销毁的数据做好备份或迁离。在数据销毁前，客户可通过华为云提供的服务对内容数据进行迁移，实现对数据的自主控制权。在数据销毁时，华为云会对指定的数据及所有副本进行全面清除。相关内容可以参考华为云官网“宽限期保留期”相关内容，可以通过官网的搜索功能进行查看。，具体服务更明确的说明还请直接查看服务介绍。6.6.1 客户内容数据迁离客户内容数据迁离云数据迁移服务（CDM）华为云提供的云数据迁移服务（CDM），支持在多种类72、型数据源之间进行数据迁移，例如数据库、数据仓库、文件等，并且支持在多个环境之间进行数据迁移，满足数据上云、云中数据交换、数据回流本地数据中心等多种业务场景需求。华为云数据安全白皮书6 提供数据保护服务，使能客户云上数据安全自主可控文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司286.6.2 数据销毁数据销毁华为云为客户提供自主可控的数据删除机制，当前为客户提供的数据删除机制主要涵盖以下场景：针对存储及数据库等云服务，客户可在服务层面自行执行数据删除操作。华为云建议客户对云上重要数据进行加密存储，当加密数据需要删除时，通过直接删除相关数据加密密钥从而删除数据，防止数据在73、被彻底删除前被恢复为明文后造成泄露。在客户的云服务资源到期未续订或欠费的场景下，华为云仍然可提供自主可控的数据删除机制。当客户的云服务资源到期未续订或欠费时，华为云将向客户提供宽限期，宽限期内客户可正常访问及使用云服务。宽限期到期后客户仍未续订或未缴清欠款时，云服务将进入保留期。保留期内客户不能访问云服务，但对客户存储在云服务中的数据仍予以保留。当保留期到期后客户仍未续订或充值，华为云才将删除客户存储在云服务中的所有数据，给予客户充分的时间，自行决策删除与保留数据。用户提交注销账户请求时，账户下的所有数据也将被删除。在以上数据删除场景，华为云将在平台层面将对待删除的数据及其副本进行全面的清除。74、6.6.3 销毁留证销毁留证云审计服务（云审计服务（CTS）云审计服务将对云中用户的任何操作进行记录，了解到谁在什么时间对系统哪些资源做了什么操作。用户在执行数据销毁操作后，云审计服务将记录数据销毁操作详情。从而便于数据所有者、数据管理员等角色针对数据销毁操作进行查看、追踪、确认、取证等活动。服务资源服务资源云数据迁移服务（云数据迁移服务（CDM）云审计服务（云审计服务（CTS）华为云数据安全白皮书6 提供数据保护服务，使能客户云上数据安全自主可控文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司297 恪守数据安全原则，向客户呈现云上数据处恪守数据安全原则，向客户呈现云75、上数据处理透明可视理透明可视7.1 数据存储位置透明可视数据存储位置透明可视华为云目前已陆续在全球多个国家或地区提供云服务，其基础设施部署在全球多个地理区域（Region）和多个可用区（AZ）。通过该部署模式，华为云能够在多个地理区域内或同一地域内多个可用区之间灵活替换计算和存储实例资源。每个可用区都是一个独立故障维护域，即各可用区在物理上是隔离的，用户可充分利用这些地理区域和可用区规划、部署和运行云上应用系统。基于多个可用区进行应用的分布式部署，可保证在大多故障情况下应用系统都能持续运行。关于更多华为云基础设施信息，参见华为云官网“全球基础设施全球基础设施”。华为云以区域（Region）为单76、位向客户提供服务。区域即客户内容数据的存储位置，华为云绝不会在未经用户授权的情况下，跨区域移动客户的内容数据。客户在使用云服务时，建议根据就近接入原则并遵从不同地域的法律法规要求选择区域，确保其内容数据存储在目标位置。对于区域服务，客户可以在购买服务初期按需选择区域，其服务部署位置及数据留存地可以通过华为云门户进行变更。华为云大部分的云服务都支持客户选择区域（Region）和可用区（AZ）作为数据留存地。但目前仍然有部分服务不支持客户自选区域，包括：云解析服务（DNS）、统一身份认证服务（IAM）、内容分发网络（CDN）、企业主机安全（HSS）、安全治理云图服务（Compass）、云日志（LT77、S）、云审计服务（CTS）、华为云会议（Meeting）、视频直播（Live）和视频点播（VOD）等服务。云解析服务（DNS）云解析服务（DNS）提供高可用，高扩展的权威域名解析服务和DNS管理服务，将常用域名转换成用于计算机识别的IP地址，从而将最终用户访问流量路由至相应的应用服务资源上。本服务默认开通，供客户免费使用。中国版DNS服务部署在中国大陆地区Region，国际版DNS服务部署在新加坡Region。华为云已按照中国大陆、中国香港和新加坡数据保护（含个人数据）相关的法律法规进行了合规分析，确保DNS服务自身的数据安全合规。统一身份认证服务（IAM）统一身份认证服务（IAM）是华为云提78、供权限管理、访问控制和身份认证的基础服务，用户可以使用IAM创建和管理用户、用户组，并提供多种安全的访问凭证，通过华为云数据安全白皮书7 恪守数据安全原则，向客户呈现云上数据处理透明可视文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司30设置授权规则限制访问主体对云服务和资源的访问，保障数据安全性。本服务默认开通，供客户免费使用。中国版IAM服务部署在中国大陆地区Region，国际版IAM服务部署在中国香港和新加坡Region。华为云已按照中国大陆、中国香港和新加坡数据保护（含个人数据）相关的法律法规进行了合规分析，确保IAM服务自身的数据安全合规。内容分发网络（CDN79、）内容分发网络服务（CDN）提供快速、稳定、安全、可靠的全球内容分发加速服务，支持网站、图片、音视频等多业务内容分发。CDN服务部署在中国大陆地区Region。华为云已按照中国大陆数据保护（含个人数据）相关的法律法规进行了合规分析，确保CDN服务自身的数据安全合规。企业主机安全（HSS）企业主机安全服务（HSS）是服务器的贴身安全管家，通过资产管理、漏洞管理、基线检查、入侵检测、程序运行认证、文件完整性校验、安全运营、网页防篡改等功能，帮助企业实时检测入侵行为，便捷管理主机安全风险，满足等保合规要求，其优势包括：图7.1 华为云HSS核心优势中国版HSS服务部署在中国大陆地区Region，国际80、版HSS服务部署在新加坡Region。华为云已按照中国大陆和新加坡数据保护（含个人数据）相关的法律法规进行了合规分析，确保HSS服务自身的数据安全合规。安全治理云图（Compass）安全治理云图服务（Compass）是一个自动化合规评估和安全治理平台，将华为积累的全球安全合规经验服务化，帮助用户快速实现云上业务的安全遵从，提升用户获得法规及行业标准认证的效率。中国版Compass服务部署在中国大陆地区Region，国际版Compass服务部署在新加坡Region。华为云已按照中国大陆和新加坡数据保护（含个人数据）相关的法律法规进行了合规分析，确保Compass服务自身的数据安全合规。云日志服务81、（LTS）华为云数据安全白皮书7 恪守数据安全原则，向客户呈现云上数据处理透明可视文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司31云日志服务（LTS）提供一站式日志采集、秒级搜索、海量存储、结构化处理、转储和可视化图表等功能，满足应用运维、网络日志可视化分析、等保合规和运营分析等应用场景。中国版LTS服务部署在中国大陆地区Region，国际版LTS服务部署在新加坡Region。华为云已按照中国大陆和新加坡数据保护（含个人数据）相关的法律法规进行了合规分析，确保LTS服务自身的数据安全合规。云审计服务（CTS）云审计服务（CTS）为用户提供云账户下资源的操作日志，通过82、操作日志分析可以实现安全分析、资源变更、合规审计、问题定位等功能。用户可以通过配置集成OBS对象存储服务，将操作记录实时同步至OBS，以便长时间保存操作日志。中国版CTS服务部署在中国大陆地区Region，国际版CTS服务部署在新加坡Region。华为云已按照中国大陆和新加坡数据保护（含个人数据）相关的法律法规进行了合规分析，确保CTS服务自身的数据安全合规。华为云会议（Meeting）华为云会议（Meeting）结合华为云会议宝等全系列智能协作终端，为客户提供全场景端云协同视频会议解决方案，满足跨地区、跨企业、跨终端的智能沟通协作需求。中国版Meeting服务部署在中国大陆地区Region，83、国际版Meeting服务部署在中国香港Region。华为云已按照中国大陆和中国香港数据保护（含个人数据）相关的法律法规进行了合规分析，确保Meeting服务自身的数据安全合规。视频直播（Live）视频直播服务（Live）依托华为云在视频业务领域长期技术积累，快速敏捷地为行业提供高并发、低延迟、超清流畅、安全可靠的端到端直播解决方案。Live服务仅有中国站服务，部署在中国大陆地区Region。华为云已按照中国大陆数据保护（含个人数据）相关的法律法规进行了合规分析，确保Live服务自身的数据安全合规。视频点播（VOD）视频点播（VOD）为客户提供视频上传、自动化转码处理、媒资管理、分发加速的一站式84、视频点播媒体服务。VOD服务仅有中国站服务，部署在中国大陆地区Region。华为云已按照中国大陆数据保护（含个人数据）相关的法律法规进行了合规分析，确保VOD服务自身的数据安全合规。如出现上述服务描述与官网不符时，以官网描述为准。数据留存管理随着全球化经济的快速发展，数据的跨境流动成为经济发展的重要支撑。因此，各个国家和地区根据其国情，正在逐步出台或完善严格程度不等的数据管理相关的法律法规。华为云在超过65个国家开服，对开服国家数据管理相关的法律法规进行了分析和解读，详情可见华为云官网“信任中心”。“信任中心”合规说明的内容仅供参考，并不是法律意见，也不应被视作法律意见。由于每个客户的要求各不85、相同，华为云强烈建议客户在华为云上部署业务前，应咨询其内部法务，确保云上数据留存的合规管理。华为云数据安全白皮书7 恪守数据安全原则，向客户呈现云上数据处理透明可视文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司327.2 数据访问透明可视数据访问透明可视7.2.1 华为云保护客户数据不被非授权访问华为云保护客户数据不被非授权访问客户云上内容数据均由客户自行管控，如前文所述，华为云通过完善的数据安全治理体系，以及给客户提供全生命周期的安全服务和特性，保护客户数据不被非授权访问。首先，华为云上所有客户数据的认证凭据及权限管理，都有客户自己管控，客户可以通过多种不同的技术措86、施对认证凭据等敏感信息进行保护。例如前文所提到的加密服务等，确保非客户授权的人员无法获得客户数据的访问权限。其次，华为云提供的云审计服务等，会记录客户云上环境的所有操作信息，客户也可以通过审计和监控等方式进行验证和回溯，确保只有被授权的人员处理云环境内的数据。除此之外，华为云对云平台的操作也进行了严格的访问控制。华为云在内部实施了严格SoD，只有授权人员才能在授权期间访问生产环境，并且现网的重大变更操作也需要通过评审才能实施。华为云对运维人员实行基于角色的访问控制，通过最小化的权限分配，确保运维人员在获得客户授权前无法访问客户数据。另外，华为云实现了运维操作的统一接入、统一认证、统一授权、统一87、审计。运维人员首先通过双因子认证接入运维环境，再集中从堡垒机跳转到目标机进行操作，操作结束后目标机的口令将被堡垒机回收并定期更新，确保运维人员无需也无法获取口令。同时，华为云还建立了集中、完善的日志审计系统，所有内部人员运维操作均将被系统采集并记录，华为云会例行对运维流程各项活动进行监控和审计，对异常操作也会及时告警、阻断，对于违规操作的人员会按相关处罚规定进行处罚。为了获得客户进一步的信任，华为云还会定期接受独立第三方评估机构执行的安全评估和合规性审计（如SOC、C5、PCI-DSS审计等）以验证华为云安全管控措施的有效性，其中包括华为云如何有效保护客户内容数据不被未授权的访问。例如，SOC88、标准CC6.3明确规定，“机构对数据、软件、功能及其他受保护信息按照其角色、职责或系统设计和变更进行授权、修改或移除，考虑了最小权限和职责分离的原则，以满足机构目标”，而华为云也从流程和技术层面实施了相应的管控措施，满足此项标准要求。更多关于安全合规认证的信息，详见华为云信任中心。7.2.2 华为云授权人员访问客户数据透明可见华为云授权人员访问客户数据透明可见由于云本质的特性所限，在某些特殊场景下，客户难免需要向华为云申请支持服务，在这种情况下，华为云可能需要访问客户云上环境才能帮客户解决问题。为了避免非授权人员对云上客户数据的访问，同时也为了更好向客户证明相关的支持人员只在授权范围和时间段内89、访问客户云上环境。华为云为客户提供了“共担可信授权”功能，确保客户授权最小化、华为云操作可审计。“共担可信授权”功能介绍如下：控制台授权支持IAM委托授权，通过授权方式和授权有效时间的设定，实现客户最小化授权。如客户开启CTS审计服务，则整个操作过程可供客户审计；华为云数据安全白皮书7 恪守数据安全原则，向客户呈现云上数据处理透明可视文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司33图7.2 共担可信授权功能（一）服务器授权支持SSH登录，客户可通过华为云堡垒机登录指定授权的机器进行操作，所有操作的命令和文件上传下载记录可以在控制台查看；所有的授权人员（华为云）都无法90、访问到客户敏感个人数据。当客户授权到期或者客户撤销授权之后，授权状态显示“已过期”，控制台登录账号被清除，华为云无法再访问客户数据。图7.3 共担可信授权功能（二）华为云数据安全白皮书7 恪守数据安全原则，向客户呈现云上数据处理透明可视文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司34图7.4 共担可信授权功能（三）华为云数据安全白皮书7 恪守数据安全原则，向客户呈现云上数据处理透明可视文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司358 数据安全贡献和成果数据安全贡献和成果华为云除了将内部优秀实践孵化为各种服务助力客户增强云上数据安全外，还91、一直积极参与到国内外数据安全相关标准的制定，为完善行业数据安全标准、提升业界数据安全水平持续贡献自己的力量。为了向业界展现华为云在安全方面的建设成果，截止目前华为云已经通过了上百个业界权威的独立第三方安全组织的测评及认证。虽然说这些认证仍不足以完全阐明华为云在云安全上的实际水平，但从侧面也能反映出华为云在策略、流程、组织、技术等多方面的安全建设成果，也可以使客户能够从一个更客观中立的视角对华为云的安全能力做一个更进一步的了解。华为云通过的国内外权威数据安全相关认证主要有：中国公安部信息安全等级保护四级可信云云服务用户数据保护能力认证ISO/IEC 27001ISO/IEC 27017ISO/I92、EC 27018ISO 22301CSA STAR 金牌认证PCI DSS（支付卡行业数据安全标准）中国数据中心联盟（DCA Data Center Alliance）可信云服务认证、金牌运维，其中云主机获取最高级五星+认证以CSA STAR、PCI DSS、可信云云服务用户数据保护能力认证、ISO/IEC 27018认证为例，华为云在数据安全方面的具体合规遵从情况如下：CSA STAR 金牌认证华为云通过的 CSA STAR 金牌认证表明了华为云已建立起一套科学有效的管理体系，能够系统的、持续的管理安全风险，具备保障自身及客户的数据保密性、完整性和可用性的能力。PCI DSS 认证华为云是国93、内首家全平台、全节点通过 PCI DSS（支付卡行业数据安全标准）认证的云服务提供商。该标准认证的通过，证明了华为云能够为客户提供金融级的数据安全华为云数据安全白皮书8 数据安全贡献和成果文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司36保障，使得客户可以在符合 PCI DSS 标准的华为云上部署金融支付业务，实现传输、存储、处理支付卡用户信息时的安全合规。可信云云服务用户数据保护能力认证华为云凭借全面的安全防护与隐私保护能力，成为通过了可信云用户数据保护能力认证。ISO/IEC 27018 认证华为云通过 ISO/IEC 27018 认证表明了华为云已拥有完备的个人94、数据保护管理体系，在数据安全管理方面处于全球领先水平。关于华为云合规认证的详情，可查阅华为云官网“信任中心信任中心-合规合规”页面。华为云数据安全白皮书8 数据安全贡献和成果文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司379 总结总结随着云计算服务的不断发展，越来越多的企业将业务迁移上云，保护客户云上数据安全已成为客户和云服务提供商需要共同面对的挑战。面对复杂多变的网络环境，华为云遵从责任共担模型，依托华为特有的软硬件全栈技术优势，打造安全可信的云服务，与客户携手构建坚固的数据安全能力。华为云以数据保护为核心，以安全工程为基石，提供满足全栈、全生命周期安全的产品和服务。华为云以合规治理为城墙，对标全球化的权威标准与能力要求，实施完善的安全治理体系，让客户可以放心地在华为云上开展业务。此外，华为云在保障数据安全的同时，开放多年积累的数据保护能力，使能客户创造价值，实现华为云和客户的双赢。籍此白皮书发布，将华为云在数据安全领域的丰富实践和经验，分享给客户和业界，以期长期推动云数据安全领域的进步。华为云将持续提升安全防护能力，发布高质量的云服务和解决方案，助力客户数据合规，实现商业价值。华为云数据安全白皮书9 总结文档版本 2.0(2023-02-06)版权所有 华为云计算技术有限公司38