01

企业数据安全现状

1.1 企业安全面临的问题

随着信息化的发展，企业的数据安全建设已经成为企业信息系统建设过程中不可或缺的重要内容。云大物移智等新技术的使用，极大提升了企业业务系统的运行效率，同时，企业数据安全所带来的风险也更加突出。以符合企业信息化发展要求为前提，开展企业数据安全建设成为企业广泛的迫切需求。

随着技术的发展，新的病毒、木马、网络攻击等层不出穷，信息系统始终需要面对来自外部的各种威胁；企业的信息传播不再局限于有限的物理空间和设备，传统的封闭式的数据安全保护措施难以适应当前的数据使用需求，数据从内部人员和设备泄露的风险不断加大。

1.2 信息传播各环节存在数据安全风险

作为信息的载体，数据在传输和使用过程中，都存在数据泄露的风险。规模越大的企业数据量也越大，数据安全风险更高。不同规模的企业对数据安全的重视程度不尽相同，在企业信息化不断提升过程中，随着企业信息系统的增多，风险点也随之增多，需要更加有效的数据安全建设才能满足企业的信息安全发展要求。

规模较大的企业通常采用了较为严格的数据安全措施，除了对业务服务提供全面安全保护以外，采用EDR、网络准入等方式限制办公场所以外的设备和人员访问信息系统；而中小规模的企业在数据安全方面，主要通过传统的防火墙策略、WAF、IPS等设备，仍以应用安全建设为主。实际上，用户行为产生的数据安全风险，在传统信息安全建设中一直处于缺位或不被重视的境地。

随着国家对数据安全的重视，《数据安全法》、《个人隐私保护法》、《网络安全法》等各项法律法规相继出台，推动了各行业对数据安全的建设热潮。然而，企业既有的数据安全防护能力相对分散，无法形成安全闭环。企业在规划新的安全能力建设时，要么会改变原有的业务使用体验，导致推广阻力大增；要么存在冲突，导致部分重复建设的问题。

1.3 数据防泄露的主要技术

以数据为对象进行安全保护，有以下几种主要技术实现方式：

内容识别与标记

通过内容进行敏感数据的识别，从而将数据划分为不同的安全等级（绝密、机密、秘密等），根据不同的内容密级，实施不同的数据安全管理措施。针对内容识别的数据防泄露技术中，数据的安全管理过程覆盖终端、网络、存储等不同层面，提供对数据使用全过程的审计，在政府相关机构应用较多。

文件透明加解密

文件透明加解密技术更多应用在企业场景中，以文件作为敏感数据的主要防护对象。在保证信息传播效率和用户使用体验的同时，文件透明加解密技术能够对企业的重要数据资产提供在使用、传输、保存各环节的安全和审计。

数据加密技术

以应用数据为保护对象，通过可逆加密和不可逆加密等方式，为应用的数据提供加密保护。数据加密技术解决了在应用传输过程中的数据安全问题，但对应用自身的安全要求较高，同时也难以防范用户在使用过程中的行为风险。

隔离沙箱

沙箱技术能够很好地解决数据落地使用的安全问题，通过在系统磁盘中创建隔离的空间，实现系统与沙箱之间的进程、存储和网络隔离，避免由于系统环境的安全风险导致数据泄露。隔离沙箱作为终端数据安全的一种技术实现方式，需要与其他安全技术共同使用，才能达到全面的数据安全效果。

02

零信任体系下的数据安全

信息安全不完全等同于数据安全，企业的信息安全建设大多以应用安全为核心展开。EDR、网络准入等提供端侧的输入安全保护，VPN、证书等提供管道安全的保护，IAM、行为分析等提供业务端的安全保护。

围绕应用安全不能完全解决数据安全的问题，数据安全建设需要在应用安全的基础上，通过数据生命周期的分析，以数据本身为出发点，完善补充数据在生产、流转、应用和销毁等环节的安全保护措施。

零信任作为一种新型的安全架构，以“持续验证，永不信任”为原则，提供身份和访问安全的同时，能够与传统安全相结合，完成数据全生命周期的安全保护。

2.1 数据访问安全

零信任以身份为核心，在应用访问过程中，持续对用户身份进行验证，识别终端、系统、环境和用户行为等风险，提供动态的访问授权控制。零信任的身份验证因素相比传统单一的账密认证和双因子认证，依据的维度更加全面，能够更好地识别和控制身份的安全风险。

零信任的身份安全并不是要完全对原有身份安全体系进行重构，而是可以与原有身份安全机制共存，不存在重复建设的问题。而零信任的动态认证策略为身份认证安全提供了更完善的场景化自适应的能力，使得用户访问企业数据的安全性有了更大的提升。

2.2 业务数据安全

在零信任概念出现以前，只有物理隔离的方式能够完全避免外部通过端口发起的对业务系统的扫描攻击，而在企业的数据安全保护中极少采用物理隔离的方式。零信任的单包授权机制（SPA）为企业业务系统提供端口隐身的能力，极大降低了业务系统被攻击的风险，从而允许企业将更多的精力投入到终端侧的数据安全建设中。

2.3 数据传输安全

零信任的通道安全建立在SPA的基础上，通道本身不对外暴露，只有合法的身份才可以通过隧道访问用户授权范围内的业务，零信任的安全传输隧道能力相比传统VPN具有更细粒度的权限管控。通道安全是业务数据安全不可或缺的一部分，基于这个原因，传统VPN厂商也在传统隧道能力的基础上转向零信任架构。

2.4 数据库安全审计

基于数据安全的全生命周期保护的原因，对数据存储的保护也是安全建设中需要考虑的一个方面。零信任本身并不具备数据库审计的能力，但零信任的控制中心具备接收来自于第三方的数据库审计结果进行风险评估的能力，从而实现对用户访问系统的行为进行动态阻断，形成数据安全保护的闭环。

2.5 终端数据安全

零信任的SPA机制为业务侧提供了有效的数据安全保护，终端侧的数据安全是健全数据全生命周期数据的重要着力点。安全工作空间提供隔离沙箱的作用，保护企业应用和数据在安全的空间环境内运行和使用，对文件等数据提供外发审批和审计，在充分保证终端侧企业数据安全的同时，为用户提供与使用系统桌面一致的用户体验。

03

常用数据安全产品的对比分析

在应用的使用中，企业采用的数据安全建设路径大致分为几类，简要对比如下：

04

总结与展望

传统的数据安全建设方式，或多或少存在一定的缺失或不足，要么提供的安全能力不能覆盖数据安全的全过程，需要多个技术形式结合，要么适用的场景受限，无法广泛被企业及用户接受。

零信任作为一种新的安全架构，贯穿了业务的全过程，涉及数据使用的全生命周期。无论内网还是外网的场景，零信任架构都能够很好地解决企业的数据安全问题。以零信任为基础的安全架构，融合成熟的传统安全能力，在避免重复建设的同时，能够为企业提供全方位的数据安全能力，将是未来企业数据安全建设的主要方向。

零信任尚处于成熟度形成过程中，企业在实际的数据安全建设时，也会遇到新的难题，对未来零信任架构逐渐完善并解决的问题展望如下：

空间异构

基于不同终端系统的安全空间异构支持

IoT数据安全

物联网、哑终端等设备的零信任安全支持

协议标准化

基于零信任控制中心的风险评估的第三方系统接入协议的标准化