如何实现数据备份全周期的安全性？

随着大数据时代的到来，数据无疑是政府、企事业单位乃至个人最重要的资产。大部分业务体系中围绕着数据在进行信息收集、使用、整理、处理或共享，数据的安全关系到组织在这一时代中的生存。
做为数据安全的最后一道防线，备份在这个时代已被大部分组织所重视。然而随着场景的复杂度提升、意外和攻击的方式更加多变，最后一道防线也会有被攻破的风险！
基于以上思考，本文提出一个可以解决客户数据备份前的身份核查、备份过程中的数据加密、备份数据存储中的数据加密和客户数据恢复时的身份查验等问题的解决方案——可信备份架构TBA（Trusted Backup Architecture）。
该架构通过与可信CA的结合，实现备份数据的传输、存放和恢复的安全管理，真正保证源头可信、传输可信、存储可信、恢复可信、平台可信。TBA的整体架构如下图所示：

基于备份恢复的安全管理性要求，备份设备放置在安全区域，只需在服务器中安装轻量级备份代理程序，通过备份策略设置即可轻松实现操作系统、文件、数据库等数据的自动化备份。通过安全加密方式存放，当应用发生数据丢失时可通过数字证书认证后，将灾备数据恢复至指定位置。
基于对备份设备访问时的安全性要求，需要关联绑定证书进行用户认证。在数据备份至备份设备时，通过对备份数据的加密传输从而确保备份数据在网络中的安全。
为了保证灾备数据的全生命周期安全性，需要采用源端压缩加密的方式。在备份代理端生成备份集时对数据进行加密，加密算法可以多种选择，且支持国密SM1、SM4等。每次生成备份集时，加密的密钥都动态生成，加密密钥的保存和用户证书关联。
为防止密钥被窃取&#