将同时共享的用户数量限制为20_炼石CASB技术新理念，让数据共享更有价值

2019年4月26日由公安部网络安全保卫局指导，中国网络安全与信息化产业联盟、北京网络信息安全技术创新产业联盟、中国保密协会产业分会主办的“第三届中国数据安全治理高峰论坛”在京召开。炼石受邀参展，在会上展示了免改造应用增强数据安全的CASB产品。

客户咨询炼石产品

本次峰会的主题是“共享数据价值·共担安全责任”，企业在数字化转型过程中，以“共享”为特征的数据成为数字化业务的基本载体。企业对高价值数据共享的前提是数据安全，同时，数据安全防护是为了让数据更好的发挥价值，而不是制约业务发展，要保障数据安全的同时，又要保障数据得到高效共享。

因此，炼石提出数据安全防护的核心理念是建设以数据为中心的安全，以承载数据共享的业务应用为关键抓手，建立起全面感知数据流动、统一认证数据访问身份、细粒度数据访问控制，实现数据的安全共享和细粒度可控流动。

将安全适配进应用，让数据共享更有价值

主体到应用内用户，客体到字段级

企业所建设的IT架构，一般包括基础设施、软件平台以及业务应用等层级，数据就是在这些层级之间持续流转，数据在基础设施层时和软件平台层，数据没有业务含义，也无法确定数据的业务价值。在业务应用层时，数据才真正体现出丰富业务含义，才真正实现数据的价值。而业务应用层被接触的用户数量要远远大于其它两层所涉及到的，也就是说，在业务应用层，数据价值点最多，同时所面临的泄露机率也最大。

因此，企业数据访问控制主体需要细化到应用内用户，而不仅仅是DBA等运维人员，但传统数据库侧加密方案很难识别到应用内用户。炼石CASB数据安全产品支持将加密与访问控制结合，管理员可通过界面设置加解密策略，主体控制到使用业务系统的用户；客体控制颗粒度可达到数据库的表级、列级、字段级，不同数据行、列及字段级（记录单元）可以采用不同加密算法和密钥，从而实现对企业内部人员最小化敏感数据的访问授权。

应用免开发改造，支持各种数据库

针对已上线运行的信息系统数据加密传统方案是对大量信息系统进行二次开发改造，这不仅涉及到高昂研发成本，同时还涉及应用开发改造带来的各种间接成本，很难实施落地。

炼石CASB数据安全产品对应用是透明，应用无需改造，不改变其之前的运行机制，新旧系统均可快速部署，不影响企业现有业务应用系统的稳定性，保证已上线系统的正常运营，确保企业的业务不中断。支持大量应用系统的分布式加密与集中管控，降低维护和管理成本。

企业信息系统数量众多，涉及的数据库品牌、版本繁多。传统的数据库侧加密产品需要较大工程量，以覆盖若干个数据库品牌和版本。

炼石CASB数据安全产品完全解耦数据库品牌，用户只需在应用中进行插件配置，重启服务即可完成安装，全面支持企业常用的Oracle，MySQL，SQL Server、INFORMIX、PostgreSQL、MongoDB等数据库。

高性能国密，业务无影响

炼石支持国密算法高性能实现，基于SM4的高性能保留格式加密技术，目前在单CPU上国密SM4加解密速度突破130Gbps，单CPU加密10亿条手机号仅耗时20秒（即5000万条/秒），对用户使用体验完全无影响。

在密钥管理管理上，炼石采用多级密钥管理体系，根密钥由双随机数芯片真随机产生，不会以明文形式导出，始终由用户掌控。密钥备份采用标准的分散备份方案，由企业内指定人员授权后可进行密钥恢复操作，保障在密管设备发生故障损坏情况下可以在新设备中将密钥恢复。

进一步的，炼石CASB数据安全产品支持多台硬件以集群模式部署，大幅度提升系统的可用度，并支持“两地三中心”灾备模式，在极端故障情况下保障服务可用性和可恢复性。

同时，炼石积极响应国家建设网络强国的号召，落实国家密码管理局相关指示精神，推进密码应用与创新发展，为客户提供基于国密合规的完整解决方案。

数据共享的最大风险莫过于数据泄漏和数据滥用，如何在促进数据共享、发挥数据价值的同时保障数据安全是炼石要解决的问题。基于服务业、公共事业、军工、制造业等行业企业信息系统数量众多、逻辑关联复杂、数据高速流转的特点，炼石认为能够直接作用于敏感数据、对应用免开发改造、易于部署的数据安全技术才能真正发挥作用！