第3章 云数据安全

第 3 章 · 云数据安全

章节摘要：数据是攻击链条的最终目标，也是合规问责的最终对象。本章沿数据的完整生命周期布防：先给数据上户口（分类分级），再按三种状态（传输、静态、使用中）配锁（加密机制），最后管好所有的锁与钥匙（密钥与证书治理）。读完本章，你应当能为一套真实系统设计出从分类到销毁的端到端数据保护方案，并说清每一环"谁负责、怎么验证"。

学习目标

读完本章，你应当能够：

1. 为一套真实业务系统设计数据分类分级方案，并给出各级对应的控制基线。
2. 画出一条数据从产生到销毁的全生命周期，标注每个阶段的防护动作与责任人。
3. 区分传输、静态、使用中三种数据状态，说明各自适用的加密技术与局限。
4. 解释信封加密的完整流程，说清云厂商托管密钥与客户自持密钥的责任差异。
5. 设计一套密钥轮换与证书到期治理机制，避免"密钥十年不换、证书深夜过期"两类事故。
6. 面对数据泄露场景，按生命周期定位失守环节并给出补救顺序。

核心概念速览

本章三节是一条"资产—锁—钥匙"的链：不知道哪些数据重要，加密就是乱撒钱；有加密没密钥治理，等于把保险柜和钥匙放同一个口袋。

金句：数据安全的一切争论都可以归结为一个问题——这份数据值多少，钥匙在谁手里。

子章节导航

• 3.1 数据生命周期安全管理：从"先给数据上户口"讲起，走完创建、存储、使用、共享、归档、销毁六个阶段的防护布局，附分类分级落地的完整案例。
• 3.2 数据加密机制：按三种数据状态逐状态配锁，讲透信封加密的分层思想，分析加密的边界——它防什么、不防什么。
• 3.3 密钥与证书管理：钥匙串的主人怎么当，覆盖密钥托管模式的责任光谱、轮换节奏、证书生命周期治理与两类经典事故的拆解。

子章节之间的逻辑关系

三节的依赖关系是硬性的：分类分级（3.1）决定加密的范围与强度（3.2），加密方案决定密钥治理的复杂度（3.3），而密钥治理的成效反哺生命周期里"销毁"这一环的彻底性——加密销毁（钥匙作废）正是云上最常见的擦除手段。跳过分类直接上加密，会得到一份"所有数据一个待遇"的昂贵而脆弱的方案。

3.1 上户口          3.2 配锁            3.3 管钥匙
 ┌────────────┐     ┌────────────┐     ┌────────────┐
 │ 数据是什么值 │ --> │ 各状态怎么锁 │ --> │ 钥匙谁在管  │
 │ 分级定基线   │     │ 信封加密分层 │     │ 轮换与销毁  │
 └────────────┘     └────────────┘     └─────┬──────┘
                                  接第 4 章平台防线与第 7 章合规
​

前置知识与后续延伸

前置：第一章的共享责任模型（判断加密责任在哪侧）、第二章的组件点检表（存储类核对项是本章的地基）。密码学的数学细节不要求，本册只讲机制与治理。

延伸两条：向下，密钥与身份的关系将在第四章 IAM 一节合流（"谁有权用哪把钥匙"本质是访问控制问题）；向右，数据出境、留存义务等合规要求将在第七章与本章的分类分级方案对表。考试场景题里，数据域的题干几乎必带一句业务背景，用来考你分类分级的判断——这正是本章训练的核心动作。

高频疑问与易错点

问：数据安全与网络安全、应用安全的边界在哪？ 数据安全以"数据本身"为保护对象，不问数据住在哪台机器、穿过哪个接口——所以它的控制（分类、加密、DLP）跟着数据走，而不是跟着资产走。这个视角决定了它的方法独立成域：网络域管通道，应用域管入口，数据域管"东西本身"。

问：小团队没有密钥管理经验，从哪一步起步？ 从"全部存储默认开启厂商托管加密"起步——它不需要任何密钥治理能力，却消灭了最粗的暴露面。第二步再把核心数据的密钥升级为客户主密钥模式。一步到位自持密钥是新手常见冒进，保管能力没跟上时，自持比托管危险。

本章的推演主视角是"资产管理员"：每一节都从"这份数据值多少、现在谁碰得到"出发倒推控制。读的时候不妨带上自家的真实系统——拿一个含用户个人信息的功能，从头到尾走一遍分类、配锁、管钥匙的推演，走完一遍，本章的考题与面试题都会变得眼熟。

易错点：把合规义务当安全方案。 "法规要求加密所以加密了"是合规动作，不是安全判断——加密范围该由数据分级与威胁模型决定，法规只是下限。反过来也成立：合规没点名的高敏数据同样要进加密范围。本册的立场是分级驱动（3.1），法规映射只是 7.1 的对表动作。