概述：
数据是企业的核心资产，如何保护企业的云上数据，是每个企业管理者都应当重视的课题。在云平台提供更为安全便捷的数据保护能力的同时，阿里云根据自身多年的经验积累，结合大量云上客户的最佳实践，提供了一套完整的数据安全解决方案，帮助企业提升云上数据风险防御能力，实现企业核心及敏感数据安全可控。
数据安全相关法律法规和参考标准：
国内：
《网络安全法》：主要从“个人信息保护”、“数据存储与跨境安全”、“数据（信息）内容安全”几方面予以规制。
《网络安全等级保护制度2.0》：分别在安全审计（8.1.3.5）、个人信息保护（8.1.4.11）和资产管理（8.1.10.2）等部分提出了有关数据安全的相关要求。
《个人信息安全规范》（GB/T 35273-2017）：规范了企业在开展数据收集、保存、使用、共享、转让、公开披露等个人信息处理活动过程中应当遵循的原则和安全要求。
《数据安全能力成熟度模型》（GB/T 37988-2019）：基于以数据为中心的管理思路，从数据生命周期的角度出发，结合业务发展过程中的安全需求，开展数据安全保障。
《数据安全法》和《个人信息保护法》：均在“条件比较成熟，任期内拟提请审议的法律草案”之列，《数据安全法》进程较快已在征求意见稿阶段。
国外：
《一般数据保护条例》(General Data Protection Regulation，缩写GDPR)是欧盟于2018年5月25日出台的,在欧盟法律中对所有欧盟个人关于数据保护和隐私的规范，涉及了欧洲境外的个人资料出口。GDPR 主要目标为取回公民以及住民对于个人资料的控制，以及为了国际商务而简化在欧盟内的统一规范。
美国的医疗服务行业必须遵守该国政府1996年颁布的《健康保险隐私及责任法案》（Health Insurance Portability and Accountability Act，缩写HIPAA）。该法案制定了一系列安全标准，就保健计划、供应商以及结算中心如何以电子文件的形式来传送、访问和存储受保护的健康信息做出详细的规定。法案规定在确保私密性的情况下保存病人信息档案六年，还详细规定了医疗机构处理病人信息规范，以及违法保密原则、通过电子邮件或未授权的网络注销病人档案的处罚方案。
阿里巴巴集团及阿里云在数据安全上的相关工作：
阿里云数据安全承诺：
用户的云上数据安全，是用户的生命线，也是云上安全整体能力的一个最重要的具象表现。早在2015年7月，阿里云就发起了中国云计算服务商首个“数据保护倡议”，并在公开倡议书明确：运行在云计算平台上的开发者、公司、政府、社会机构的数据，所有权绝对属于客户;云计算平台不得将这些数据移作它用。平台方有责任和义务，帮助客户保障其数据的机密性、完整性和可用性。
数据全生命周期防御理念：
《数据安全能力成熟度模型（DSMM）》（GB/T 37988-2019）是阿里巴巴结合多年数据安全实践经验总结并起草的，旨在助力提升全社会、全行业数据安全水位的一份评估标准以及能力建设参考。该标准的发布也填补了数据安全领域在能力成熟度评估标准方面的空白，为组织机构评估自身数据安全水平，进一步提升数据安全能力，提供了科学依据和参考。
模型中将数据安全过程维度分为数据全生命周期安全和数据通用安全两个过程，并将数据全生命周期划分为：数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全六个阶段。
数据生命周期安全共包含30个过程域，为企业保护数据提供了可落地的参考。
阿里云安全架构与数据安全：
数据是企业的核心资产，企业信息安全建设的最终目标一定是保护企业核心数据，同时数据安全能力建设也一定不应该是某些功能点的堆砌，一定会和企业内部各维度的安全能力发生融合。阿里云在企业云上安全架构层面提出了五横两纵共七个维度的安全架构最佳实践。五个横向维度自下而上分别是云平台安全、用户基础安全、用户数据安全、用户应用安全和用户业务安全；两个纵向维度分别是账户安全以及安全监控和运营管理。对于数据安全的建设，一定是结合各个维度的安全能力，共同提升安全能力的结果。
阿里云数据安全最佳实践：
阿里云建议，在企业开展数据安全相关工作的伊始，数据安全管理人员应当在以下三个层面进行梳理，以便在未来构建数据安全能力的过程中，实现有效落地。
第一步
数据资产盘点、权责明确与分类分级标准制定
- 数据资产盘点与权责明确
随着企业应用的快速发展，数据存储早已不再仅仅依赖于结构化的数据库，各类非结构化数据（如文本、图片、视频类文件等）、缓存类数据、日志类数据以及结构化数据仓库、数据中台系统，都在企业业务发展的过程中扮演着不同的角色。大量的企业数据分散在各类型的云上数据源中，同时在不同的数据源之间进行传输和流转，如何统一化管理如此纷繁复杂的动态和静态数据，对于企业数据安全人员提出了很高的要求。
因此，在开始数据安全工作前，应当对企业业务系统使用的数据源进行资产盘点。只有明确了数据安全应当关注的目标对象，才能选择合适的安全能力和手段进行防御体系的搭建。
同时，对于云中的数据权责，通常会根据不同的业务和应用系统进行划分。数据完成采集、传输和存储后，相关数据控制者在使用数据的同时，也应当承担相应的责任，保证数据的安全；同时，对于第三方数据使用者，也应当按需进行数据使用权申请，减小数据滥用的风险。对于数据权责，可以参考GDPR法规中定义的三类数据主体的权责，分别是数据所有者（Data Subject）、数据控制者（Data Controller）和数据处理者（Data Processor），此处不再赘述。
- 数据分类分级
对于分类分级，每个企业都会有适用于其自身所在行业以及业务特点的标准和体系。应当明确的是，分类分级标准的制定，并不应当只是纸面上的工作，而应该结合企业所在的行业和业务特点，有针对性的进行设计，其目的是在未来通过自动化的手段，辅以手工的方式，对海量的企业数据资产进行识别与分类，有效定位企业关键以及敏感类信息在企业数据资产中的分布和流转情况，并通过定级有针对性的进行保护。
阿里云根据多年来服务云上客户的丰富经验，推荐的企业数据分级为3级，分别为：
| 数据分级 | 数据敏感度 | 数据资产描述 |
| 3级 | 高敏感程度 | 企业核心或高敏感度资产，一旦泄漏，会对企业带来巨大的经济损失，或是对企业的正常运转带来毁灭性的打击。 |
| 2级 | 中敏感程度 | 企业重要或中敏感度资产，发生泄漏会给企业带来一定的经济或名誉损失，但不会危害企业业务的正常开展。 |
| 1级 | 低敏感程度 | 企业公开或低敏感度资产，发生泄漏会对企业带来轻量的经济或是名誉上的损失，且不会对业务开展造成影响。 |
需要注意的是，企业应当根据自身实际业务情况，制定适合自身的分级标准。对于中小企业，可以根据企业及业务成熟度，将数据分级进行浓缩，仅区分敏感与非敏感类数据，便于安全防护措施快速落地；同时，对于数据量庞大，业务系统繁多，安全能力成熟度较高的企业，可以对分级进行扩展至4或是5级，以实现更为精细化的数据安全管控。阿里云不建议企业数据分级高于5级，因为过多的分级会给对应的措施落地带来很大的难度，致使分级标准形同虚设，也不利于企业的数据安全管理工作的开展。
最后，阿里云根据多年客户实践，结合阿里巴巴集团自身经验，对于大型企业的数据分类分级标准设计，建议在分级的标准上，增加分类维度作为分级参考，形成二维的数据分级标准，实现更为精细化的保护，避免产生对于同种不同类的数据发生“一刀切”式保护的情况。最常见的分类维度有企业数据与客户数据的区分，阿里巴巴始终倡导“客户第一”，通过二维化的分级标准，能够更明确的区分数据带给企业的价值，同时将保护客户数据作为第一要务，真正做到“客户第一”。以个人敏感信息为例，当个人敏感信息的主体是企业人力资源相关的内部信息时，可以采取2级作为敏感分级，进行必要的管控保障安全，但如果主体为客户时，就需要将分级定为3级并施加强管控，来保护此类企业关键信息。
第二步
理解数据生命周期，评估各阶段潜在风险
- 数据生命周期
对于数据生命周期的理解，可以将其比喻为人群与地区的关系。数据好比是人群，会在不同的地区间流动。道路是人员流动的通道，房屋是人员停留的场所。通过理解人员的流动来类比数据生命周期，是一种最便于数据安全管理人员理解的方式。不同的区域，房屋的种类也会不同，有常规的民宅，有高档的办公区，功用各自不同，所需配备的安保措施也会不同。不同的区域间有各自的围墙，同时进出不同的区域也可能需要不同的验证方式，这些都是数据安全管理过程中需要思考的问题。能够理解人群与地区的关系，就不难理解数据从采集、传输、存储，到处理、交换，最终销毁的过程了，当然，人群是不存在销毁的场景的。
《数据安全能力成熟度模型》（GB/T 37988-2019）能够为企业梳理数据安全工作提供可参考的标准，特别是在每个数据生命周期阶段，均列举出了多个数据安全防控点，供企业搭建数据安全体系参考。DSMM模型将此类防控点归总为30个过程域，以此指导数据安全能力构建：
对于数据各生命周期阶段，通常需要根据实际安全需求，结合紧迫程度和成本分析，选择性的进行风险止血，才能避免企业的重要信息和数据发生泄漏，而这一切，都应该从围绕企业数据风险进行评估开始。
- 数据风险评估
数据安全风险评估是企业信息系统建设的安全根基，进行安全评估可以达到“以最小成本获得最大安全保障”的效果。未经安全评估的系统，可能存在大量安全漏洞，给企业业务带来巨大损失，而其中对于数据的风险评估，又是保护企业核心资产的重中之重。对于数据风险评估，通常可以从多个维度进行分析，常见的方法有头脑风暴、定性定量分析、历史事件分析、沙盘推演和红蓝对抗模拟等，在分析的过程中，一般会结合数据生命周期各阶段的数据特点，有针对性地进行判断。常见的数据安全风险及评估记录样例如下表所示：
| 数据安全风险 | 发生渠道 | 发生概率 | 造成损失 | 风险评估 | 阶段应对措施 |
| 核心数据泄漏 | 外部入侵 | 小（5%） | ¥¥¥¥¥ | 0.25 | 采集：分类分级和校验 存储：加密保存 … |
| 内部窃取 | 中（10%） | 0.5 | 处理：访问控制、脱敏… | ||
| 业务数据泄漏 | 合作伙伴 | 大（20%） | ¥¥ | 0.4 | 存储：分类识别 传输：通道加密 共享：脱敏 |
| 业务数据篡改 | 内部操作 | 0.2 | 处理：权限管理、审计… | ||
| 重要数据丢失 | 数据存储 | ¥¥¥ | 0.15 | 存储：高可用配置… |
在完成风险分析和评估后，应当将数据风险预判和分析结果进行记录，并在一定时间段后进行复盘，以便跟踪风险发生情况，应对措施是否完善，以及更新据安全潜在风险，保障整体数据安全风险可控。
第三步
分析并权衡可接受的风险及成本，理清防御侧重点
- 成本评估
安全是企业的成本中心，永远只有相对的安全，没有绝对的安全。通过数据安全风险评估后，企业数据安全管理者能够对目前企业在云上的数据安全风险有一定的认识，同时在分析完应对措施后，会相对应地寻找到一些安全产品及解决方案，这时就要评估，如果采取该措施，是否能够将对应的风险降低，结合风险发生概率，判断该措施所带来的回报是否能够高于发生风险所造成的损失，综合评估成本后，决定最终的能力选择。
对于云上环境，尤其是公共云，最大的优势就是将CAPEX转换为OPEX以降低成本，对于安全解决方案亦是如此。以最常见的数据库安全审计为例，目前业界普遍的做法是基于数据库为计费单位，按审计的数据库数量以许可的方式进行计价，这种模式本质上仍然是传统的方式，并没有利用到云计算的特性，尽管这种方式便于估算成本，但却没有与实际的业务数据量实现关联，导致的直接结果就是极易发生浪费。阿里云所推荐的安全审计模式是与需要被审计的数据库息息相关的。当一个数据库的数据量较小时，开启安全审计功能所需的成本也应该相对应的低；同样当一个数据库的业务量猛增带来大量的数据访问时，相应的安全审计费用也会上升。这是云平台为云上数据安全赋能的成果，企业也能在进行数据安全方案和产品选型中获益。同时，对于节省下来的安全成本，又能够覆盖更多的数据源，从而进一步提升企业整体数据安全水位。
- 理清防御重点
根据阿里云的经验，企业性质、业务属性和行业特性都会影响一个企业对于数据安全的关注点。对于国内企业出海和海外企业入华，通常会着眼于个人隐私数据保护，数据跨境等场景，以满足国内外的监管要求；对于本土的企业，通常会基于国内相关监管与合规要求开展数据安全工作；同时也有大量的企业，例如金融、零售等以数据为核心驱动力的行业，会把数据安全重点放在核心数据资产的保护上。数据对于不同的企业，价值也不尽相同，只有从企业最应当保护的敏感或核心数据入手，逐步搭建或完善企业数据安全体系，才能最大化体现数据安全工作的价值。
结合数据生命周期，通过数据资产盘点、分类分级、风险分析和成本评估，企业此时应当已经大致明确了需要重点关注的数据安全风险点，即将开启数据安全规划并设计落地相关工作。阿里云为云上客户提供了一整套的数据安全解决方案，协助客户搭建云上数据安全体系，提升防御能力，保护客户的云上数据，实现安全可控。
阿里云数据安全解决方案与建议：
阿里云为企业客户提供专业的数据安全整体解决方案。通过聚焦企业重点关注的数据安全相关领域和话题，帮助企业客户在云上搭建完善的数据安全体系，提升防御和响应能力，降低整体数据安全风险。
云上企业数据安全“4+4”核心能力建设
阿里云参考数据安全成熟度框架（DSMM），基于阿里云最佳实践，通过总结和沉淀大量云上企业数据安全工作经验，提炼出云上企业数据安全需要构建的八大核心能力。分别是：
- 数据生命周期安全维度四大能力：
- 数据分类分级（采集阶段）
- 数据传输加密（传输阶段）
- 逻辑存储安全（存储阶段）
- 数据脱敏（使用阶段）
- 数据通用安全维度四大能力：
- 数据资产管理
- 鉴别与访问控制
- 监控与审计
- 终端数据安全
同时，对于企业云上数据安全能力建设，阿里云建议分别从“云端”、“管道”和“终端”三个层面来构建核心能力。
云端：数据上云后的存储形态，包含各类型数据存储，常见的有数据库、数据仓库、对象存储、缓存等，企业会根据业务形态和应用场景选择合适的存储进行数据的保存。
管道：数据通信和流转的媒介，主要为网络通道，一般分为站点到站点(Site-to-Site)和客户端到服务端（Client-Server）两种模式。
终端：各类实现数据采集、输入和使用的用户交互用设备及终端，如APP、网页、应用程序等，通常通过手机和电脑进行操作。
企业在构建八大数据安全核心能力时，将会在不同的管控层面开展建设。
- 数据采集阶段
组织内部系统中新产生数据，以及从外部系统收集数据的阶段。
在数据采集阶段，企业通常将通过网络通道，将大量的数据采集并保存在云端，进行数据处理并提供服务。常见的通信管道包含互联网接入和企业专线/专网接入。
互联网接入：对于海量终端的信息采集，企业一般会通过互联网通道进行。通常在终端侧收集的信息包含个人类信息，业务类信息以及设备类信息；
专线/专网接入：对于稳定性和通信安全要求较高的大型企业，在内部信息传输时会通过专线接入，通常传输的数据包含业务类信息、公司类信息和设备类信息。
对于上述信息完成存储后的分类和分级，过往由于缺乏自动化的手段，企业通常会采用手工的方式进行统计，并且在数据量增大的同时无法保持定期更新。伴随着数字化转型，企业在保存海量敏感和重要信息的同时，又面临着个人隐私保护相关法律的要求，如何在采集阶段保证海量数据的安全可治理，是这一阶段的重点。
- 核心能力1：分类分级
能力描述：基于法律法规以及业务需求确定组织内部的数据分类分级方法，对生成或收集的数据进行分类分级标识。
- 阿里云提供的核心服务：敏感数据保护（SDDP）服务
敏感数据保护（Sensitive Data Discovery and Protection，简称SDDP）作为阿里云第一款自主研发的数据安全可视化产品，充分利用阿里巴巴大数据分析能力以及人工智能相关技术，通过智能化的手段识别敏感数据，并基于业务需求实现自动分类分级，为企业实现高效的数据安全治理提供手段。
- 自动识别：通过深度学习神经网络，结合关键字和正则匹配等方式，精准识别敏感数据，并可根据业务规则自定义敏感属性。
- 分类分级：针对敏感数据的识别结果，自动实现数据分类和基于敏感程度的分级，并提供外部数据系统的集成能力。
- 数据传输阶段
数据从一个实体传输到另一个实体的阶段;
在数据传输阶段，常见的数据流转包括数据入云，在云中的流转和数据出云。
对于不同传输与交换场景下的数据保护，企业需要灵活运用各种防御措施，常见的防御手段有加密、鉴权、脱敏等方式，而其中最为广泛使用的是传输过程中的加密。
数据传输过程中使用的网络通道不同，保护方式也会不同。对于客户端通过互联网发起的访问，一般建议企业使用SSL/TLS证书来加密传输通道，防止发生中间人攻击窃取传输过程中的重要数据；对于企业站点间的数据传输，通常会使用VPN或专线对通信链路进行加固。
同时，建议企业在云内将网络隔离为对外和内部专用网络区域，数据越往内部传输，相应的保护措施也越严格。针对不同的数据传输和流转场景，同样需要不同的技术手段加以保护。
- 核心能力2：传输加密
能力描述：根据组织内部和外部的数据传输要求，采用适当的加密保护措施，保证传输通道、传输节点和传输数据的安全，防止传输过程中的数据泄漏。
- 阿里云提供的核心服务：SSL证书服务
证书服务（SSL Certificates）为网站和移动应用（APP）提供HTTPS保护，可对Web流量加密，防止数据遭窃取和篡改。阿里云提供完善的运维功能，支持将第三方证书上传管理，支持一键部署证书到CDN、负载均衡（SLB）、OSS等云产品，轻松集中地运维大量证书。
- 品牌合作
- 快速签发
- 一键部署
- 数据存储阶段
数据以任何数字格式进行存储的阶段;
随着企业的数字化转型，数据会存储在各类云中提供的存储服务中。从最传统的块和文件类存储，到数据库、数据仓库类型的结构化存储，再到缓存、对象存储等新型存储方式，企业的数据会分布在各类应用系统和所使用的数据存储中。如何在数据存储的过程中保护数据的保密性、一致性和可用性，是数据安全在存储阶段的重点。其中对于数据的加密，是企业最常见的保护手段。
对于不同类型的数据存储，使用加密技术保护数据的核心是对于加密密钥的管理。密钥好比是打开保险箱的钥匙，保管好了密钥，就能从根本上实现对数据存储场景下的安全保护。
- 核心能力3：逻辑存储安全
能力描述：基于组织内部的业务特性和数据存储安全要求，建立针对数据逻辑存储、存储容器等的有效安全控制。
- 阿里云提供的核心服务：密钥管理服务（KMS）
密钥管理服务（KMS）提供安全合规的密钥托管和密码服务，助您轻松使用密钥来加密保护敏感的数据资产，控制云上的分布式计算和存储环境。您可以追踪密钥的使用情况，配置密钥的自动轮转策略，以及利用托管密码机所具备的中国国家密码管理局或者FIPS认证资质，来满足您的监管合规需求。
- 完全托管：KMS为您提供了密钥托管和密码服务，阿里云负责密码基础设施的完全托管，保证服务和设施的可用性，安全性以及可靠性。客户还可以通过BYOK的方式，保持一份密钥的拷贝从而获得更多的持久性。
- 可用、可靠和弹性：KMS在每个地域构建了多可用区冗余的密码计算能力，保证向KMS发起的请求可以得到低延迟处理。
- 云产品集成加密：KMS与云服务器、云数据库、对象存储、文件存储、大数据计算等阿里云产品广泛集成。
- 数据处理阶段
组织在内部对数据进行计算、分析、可视化等操作的阶段;
企业在数据使用和处理阶段，通常会涉及大量的不同种类的应用系统，小到一台设备，大到数据中台。伴随着企业数字化转型，对于需要处理的数据量也呈现几何式的增长，同时也不可避免地会放大企业敏感和重要数据的暴露面。通常在大型企业中会通过网络隔离的方式，将核心数据保存在诸如“内网区”的内部区域内，实现访问隔离。但伴随着业务开放、跨部门使用、对外分享等场景的出现，传统的单纯依赖网络隔离的方式越发捉襟见肘。
在数据处理阶段，阿里云建议引入“数据消敏区”的概念。这里的“数据消敏区”，可以类比为数据层面的“DMZ区域”，实现类似医院手术室中的“消毒区”的功能。首先通过分析数据治理结果，掌握企业敏感数据在云上的分布情况，随后对于需要进行使用、分析和对外分享的敏感数据，在“数据消敏区”中进行统一加工，实现脱敏化处理。将敏感类数据根据不同的业务需求进行“消敏”后，存放在敏感区域外，供分析使用和外部调用，以此减小敏感数据暴露面，降低由于系统直接接触生产或敏感数据而造成的泄漏风险。
- 核心能力4：数据脱敏
能力描述：根据相关法律法规、标准的要求以及业务需求，给出敏感数据的脱敏需求和规则，对敏感数据进行脱敏处理，保证数据可用性和安全性之间的平衡。
敏感数据保护服务的数据脱敏功能能够实现对云环境内数据源产品间的数据脱敏能力。通过SDDP的静态脱敏能力，用户能够实现生产数据向开发测试环境进行数据的脱敏转存，供进一步的分析使用，避免由于测试系统直接访问源数据带来的数据泄漏风险。同时在数据对外分享时，实现敏感数据脱敏后的分发。
- 多源异构：SDDP支持的数据源类型包括结构化数据源（如RDS、MaxCompute等）和非结构化数据源（如OSS中保存的结构化数据），并支持异构数据源间的脱敏。
- 算法丰富：SDDP支持6大类30多种常见的脱敏算法，包括哈希、遮盖、替换、变换、加密及洗牌，能够满足各类业务场景的脱敏需要。
- 数据通用安全
针对《数据安全能力成熟度模型》中定义的30个数据安全过程域，阿里云根据企业数据安全能力建设维度，将数据安全能力分为三类：
云平台提供能力：由云平台提供基础安全能力和数据服务安全配置功能，需要客户根据业务所使用的云上数据服务，进行相应数据安全配置，保护数据安全。
核心技术能力：由云平台提供的核心数据安全类服务，客户通过购买和配置相关服务的方式，在云上构建企业数据安全核心能力，提升整体云上数据安全水位。
高阶能力：通常分为管理能力和技术能力两大方面。管理能力需要企业根据国家法律法规相关要求，在数据安全领域建立和维护企业自身的数据安全标准以及内部规章制度，降低企业的数据安全风险；技术能力则会根据业务形态，数据要求和企业成熟度，有选择性地在技术层面进行相关数据安全能力的构建。
由于《数据安全能力成熟度模型》中所定义的数据安全生命周期和通用部分涉及面较广，阿里云建议客户在构建企业数据安全能力时，充分利用云平台能力，并重点关注核心能力建设，进而根据企业实际情况和成熟度，对高阶能力进行选择性地完善。通过采取分阶段快速迭代的方式，逐步建立有效的数据安全体系。切忌急于求成，丢失建设工作的焦点。
- 核心能力5：数据资产管理
能力描述：通过建立针对组织数据资产的有效管理手段，从资产的类型、管理模式方面实现统一的管理要求。
- 阿里云提供的核心服务：敏感数据保护（SDDP）+各类数据源管理服务
敏感数据保护服务通过对存储在云上海量的结构化和非结构化数据源中的数据识别，自动对敏感文件和数据进行识别、归类和分级，包括对国内外个人隐私信息、云平台密钥信息、敏感图片类文件等。敏感数据保护服务同时还提供了丰富的API接口，供各类云上数据管理服务调用，通过被集成的方式，实现云上数据安全的统一管理，提升整体数据安全治理能力。
- 核心能力6：鉴别与访问控制
能力描述：通过基于组织的数据安全需求和合规性要求建立身份鉴别和数据访问控制机制，防止对数据的未授权访问风险。
- 阿里云提供的核心服务：权限管理服务（RAM）+数据管理服务（DMS）+应用身份服务（IDaaS）
针对数据的访问鉴别与控制，需要结合不同的数据存储和使用场景，配置相对应的鉴权能力。参考阿里云安全架构，常见的数据访问包括对云平台的访问、对操作系统的访问、对数据的访问和应用层级的访问。针对不同的访问维度，需要通过不同的手段实现访问的鉴别与控制。阿里云提供了多种安全访问管理和防护机制，帮助企业实现各维度的鉴别与访问控制能力，全方位提升企业云上数据访问控制能力。
- 核心能力7：监控与审计
能力描述：针对数据生存周期各阶段开展安全监控和审计，以保证对数据的访问和操作均得到有效的监控和审计，以实现对数据生存周期各阶段中可能存在的未授权访问、数据滥用、数据泄漏等安全风险的防控。
- 阿里云提供的核心服务：敏感数据保护服务（云原生审计）+自建数据库审计服务
阿里云敏感数据保护服务通过云原生的手段，提供对云上各类型数据资产的安全监控与审计。除了提供常规的安全审计能力用以检测诸如高危操作、数据库注入等风险以外，SDDP还创新性地为云上数据提供异常检测能力，通过收集和分析相关日志，围绕权限使用和数据流转场景，自动生成历史基线，并基于画像评估数据安全整体运行态势，在发现潜在风险时，通过告警提醒用户，并分析原因和提供修复建议，将事后追溯向事中检测靠拢，提升整体数据安全事件响应能力。同时，阿里云还为云上客户提供了自建数据库的审计服务。
- 核心能力8：终端数据安全
能力描述：基于组织对终端设备层面的数据保护要求，针对组织内部的工作终端采取相应的技术和管理方案。
- 阿里云提供的核心服务：堡垒机服务+终端DLP服务
阿里云通过提供堡垒机服务，为云上客户提供集中化的云上运维能力，全程记录操作数据并实时还原运维场景，保障云端运维权限可管控、操作可审计、合规可遵从。同时对于远程终端，提供终端防泄漏服务、识别终端中保存的敏感数据，对违规使用、扩散等敏感行为实现策略响应控制。
有关更详细的阿里云数据安全解决方案，欢迎参考：
https://www.aliyun.com/solution/security/datasecurity #_ftnref1