阿里云信任中心

安全是最重要的事

《2019年云上企业安全指南》安全服务篇发布


2019 年度云上企业安全指南基于阿里云安全服务诸多客户的经验,从云上安全问题、云安全防护架构出发,
帮助企业设计构建云上安全体系、全面保护云上资产,包含定义自身的安全体系,识别、分类并保护云上账户、应用、服务和基础设施安全,
为企业IT、技术、安全负责人(CIO/CTO/CSO)及相关工程师提供参考,助力云上客户基于阿里云产品和生态建立起自身的云上安全防护体系。

立即查看>
阿里云安全
  • 安全责任共担
  • 阿里云基础设施
  • 阿里云安全架构
  • 云产品安全
  • 阿里云安全产品
  • 云安全报告

安全责任共担

基于阿里云的客户应用,其安全责任由双方共同承担:阿里云要保障云平台自身安全并提供安全产品和能力给云上客户;客户负责基于阿里云服务构建的应用系统的安全。

如需详细了解,请参见《阿里云安全白皮书》

阿里云基础设施

阿里云为客户提供全球部署、多地域多可用区的云数据中心;采用多线BGP网络提高网络访问体验;飞天分布式云操作系统为所有云产品提供高可用基础架构和多副本数据冗余;全球领先的热升级技术使得产品升级、漏洞修复都不会影响客户业务;高度自动化的运维及安全,国内外相关权威机构的认可的合规性;高可用、安全、可信的云计算基础设施。
阿里云在全球部署数据中心,同地域支持多个可用区。客户业务跨地域、跨可用区部署,可实现高可用架构,例如同城应用双活、异地数据灾备、异地多活,两地三中心。具体信息,请参见阿里云全球基础设施

如需详细了解,请参见《阿里云安全白皮书》

阿里云安全架构

阿里云提供了五横两纵的7个维度的安全架构保障。两个纵向维度分别为账户安全(身份和访问控制),以及安全监控和运营管理。请注意这两个纵向包括了租户侧和云平台侧的不同实现。在五个横向维度中,包括了从最底层的云平台层面安全,到对外租户层面的基础安全、数据安全、应用安全和业务安全。

如需详细了解,请参见《阿里云安全白皮书》

云产品安全

阿里云为用户提供了多种不同的云产品,其中包括计算类产品、存储类产品、网络类产品、数据库类产品、大数据类产品等。

弹性计算 存储 网络 数据库 CDN 数据与智能 应用服务
云服务器 ECS 块存储 负载均衡 SLB 云数据库RDS版 内容分发网络 大数据计算服务 开放搜索服务
弹性裸金属服务器(神龙) 文件存储 专有网络VPC 表格存储 分析型数据库MySQL版 媒体处理
弹性伸缩 对象存储 数加DataWorks 消息队列
资源编排 实时计算 性能测试服务
容器服务 企业邮箱
云监控

如需详细了解,请参见《阿里云安全白皮书》

阿里云安全产品

阿里云安全产品和服务(云盾)是阿里巴巴集团多年来安全技术研究积累的成果,结合阿里云云计算平台强大的数据分析能力,为用户提供基础安全,数据安全,应用安全,业务安全,账户安全,安全监控和运营等全面的安全产品。

云上基础安全 云上数据安全 云上应用安全 云上业务安全 云上账户安全和监控
DDoS防护 敏感数据保护 Web应用防火墙 爬虫风险管理 身份和访问控制 RAM
云安全中心 密钥管理服务 风险识别 应用身份服务
云防火墙 加密服务 内容安全 日志服务
数据库审计 实人认证 操作审计
配置审计
堡垒机

如需详细了解,请参见《阿里云安全白皮书》
如需购买阿里云安全产品,点击进入安全产品页面

《2019年云上企业安全指南》安全服务篇

2019 年度云上企业安全指南基于阿里云安全服务诸多客户的经验,从云上安全问题、云安全防护架构出发,帮助企业设计构建云上安全体系、全面保护云上资产,包含定义自身的安全体系,识别、分类并保护云上账户、应用、服务和基础设施安全,为企业IT、技术、安全负责人(CIO/CTO/CSO)及相关工程师提供参考,助力云上客户基于阿里云产品和生态建立起自身的云上安全防护体系。

查看报告

2019年DDoS攻击态势报告

2019年, 阿里云安全团队监测到云上DDoS攻击发生近百万次,日均攻击2000余次,与2018年整体持平,但相比2019年上半年有所下降。同时,应用层DDoS(CC攻击)成为常见的攻击类型,与2018年相比,攻击手法也更为多变复杂。阿里云为全球上百万客户提供了基础安全防御。本报告中将以多个维度对2019年全年发生的DDoS攻击进行全方位分析,希望能够为政府、企业客户及科研机构提供一定的参考价值。

查看报告

2019年Web应用安全年度报告

2019年依然是网络安全事件频发的一年,不仅真实的攻击事件一再上演,规模性的红蓝对抗也愈发激烈。而这其中Web应用安全相关的问题依然占据非常大的比重,从用户信息泄露到羊毛党的狂欢,无时无刻不在考验着每一个行业每一个Web应用的安全水位。阿里云安全团队对2019年Web应用安全行业的观察及实践进行梳理形成这份报告,希望给安全从业者和企业决策者带来一定的参考。

查看报告

2019年阿里云安全白皮书

阿里云安全白皮书更新至4.1版本。本次白皮书全新定义了阿里云安全架构,通过五横两纵7个架构维度,26个架构模块,80余个功能点,全面介绍阿里云安全体系和原生安全服务与能力。同时,云上数据安全体系独立成章,全面介绍如何利用云原生安全能力(如全栈加密能力,敏感数据保护能力等)搭建全面保护用户数据隐私的云上架构。

阿里云安全白皮书中文版

阿里云安全白皮书英文版

阿里云企业上云安全指引-GuideBook

针对企业云上安全风险,本上云安全指引从业务、技术、管理3个不同维度,指引企业根据自身业务特征进行安全上云的4个步骤:识别业务资产、定义安全管理体系、执行风险评估、持续改进云上安全,通过阿里云基础设施构建自身云上安全防护体系。建议企业用户通过:1、启用云上基础防护措施,2、进行云上业务安全防护 ,3、开启云上应用安全防护手段, 4、 配置云上系统安全防护措施 ,5、开启云上隔离措施, 6、进行云上数据生命周期管理 ,7、开启云上安全监控措施 8、建立云上安全运营体系等措施建立起全面的云上安全防护体系。通过阿里云强大的安全产品能力和覆盖全面的云产品自身安全特性一起构建整体用户安全防护体系,用户可以参照文章附录,使用计算、网络、存储、数据库和大数据重点云产品的安全能力,通过step by step步骤自主构建满足自身安全需求的云上安全保障体系。

阿里云企业上云安全指引中文版

阿里云企业上云安全指引英文版

2019年上半年云上企业安全指南

本报告是阿里云基于对云安全中心监测到的威胁情报进行分析,形成的一份云上企业安全建设指南。通过对云上企业安全建设现状及多维度威胁情报的分析,得出企业安全建设目前存在的突出问题以及面临的主要安全风险,让企业可以清晰地了解到做好云上安全建设的核心发力点;并通过提供针对性的安全建议及行动指南,助力云上企业用最少的时间、精力、成本建设更强壮的安全体系。

查看报告

2019年上半年DDoS攻击态势报告

2019年上半年,阿里云安全团队平均每天帮助用户防御2500余次DDoS攻击,与2018年持平。目前阿里云承载着中国40%网站流量,为全球上百万客户提供基础安全防御。可以说,阿里云上的DDoS攻防态势是整个中国攻防态势的缩影。阿里云安全团队基于2019年上半年云上的DDoS攻击数据,从DDoS攻击事件、僵尸网络中控、DDoS肉鸡、攻击事件情况等多个维度做了统计分析,希望为政府和企业客户提供参考。

查看报告

2019年上半年web应用安全报告

Web应用安全依然是互联网安全的最大威胁来源之一,除了传统的网页和APP,API和各种小程序也作为新的流量入口快速崛起,更多的流量入口和更易用的调用方式在提高web应用开发效率的同时也带来了更多和更复杂的安全问题。本报告根据阿里云WAF和防爬团队对2019年上半年云上流量的分析情况,为您带来最新的攻击趋势、漏洞应急情况以及一线安全专家的核心观点和防护建议。

查看报告

2018年DDoS攻击态势报告

阿里云安全团队基于2018.1.1-12.31阿里云上的DDoS攻击数据,从DDoS攻击事件、僵尸网络中控、DDoS肉鸡等多个维度做了统计分析,希望为政府和企业客户提供参考价值。

查看报告

2018年云上挖矿分析报告

在可预见的未来,黑产团伙利用漏洞发起攻击进行挖矿的趋势仍将持续,已被入侵挖矿的机器也随时可能被挖矿攻击者当成下一轮攻击的“跳板”。本报告以阿里云2018年的攻防数据为基础,对恶意挖矿态势进行了分析,并为个人和企业提出了合理的安全防护建议。

查看报告

企业安全最佳实践
  • 企业云安全架构
  • 管理与监控
  • 云产品安全
  • 阿里云云盾

企业云安全架构

阿里云提供了共11个不同层面的安全架构保障,包括物理安全,硬件安全,虚拟化安全,云产品安全等4个云平台层面的安全架构保障;以及账户安全,主机安全,应用安全,网络安全,数据安全,安全运营,业务安全等7个云用户层面的安全架构保障。

我们建议企业在构建自身的云上安全架构时,遵循企业安全架构的最佳实践,从基础设施到上层应用,构建完整的安全架构规划。

账户安全管理最佳实践

1、为云账户和高风险权限RAM用户启用多因素认证(MFA)。

2、授权予高风险特权操作时,使用带IP和MFA限制条件的授权策略进行授权。

3、分离用户管理、权限管理与资源管理的RAM用户,分权制衡。

4、使用群组给RAM用户分配权限。

5、善用STS安全令牌服务,为临时用户提供短期访问资源的权限凭证。

6、为云账户和RAM登录用户配置强密码策略。

7、不要为云账户(主账号)创建Access Key,避免AK泄漏的巨大风险。

8、定期轮转用户登录密码和Access Key。

9、将控制台用户与API用户分离。

10、使用策略限制条件来增强安全性,比如访问源IP,时间等。比如,授权用户Alice可以关停ECS实例,限制条件是Alice必须在指定时间、并且用户公司网络中执行该操作。

11、及时调整和撤销RAM用户不再需要的权限。

12、遵循最小授权原则,不要过度授权。最小授权原则是安全设计的基本原则,当用户需要给用户授权时,请授予刚好满足他工作所需的权限,而不要过度授权。

密钥管理服务最佳实践

1、加密与解密实践

用户可以直接调用KMS的API,使用指定的用户主密钥(CMK)来加密、解密数据。这种场景适用于少量(少于4KB)数据的加解密,用户的数据会通过安全信道传递到KMS服务端,对应的结果将在服务端完成加密、解密后通过安全信道返回给用户。

2、信封加密

用户可以直接调用KMS的API,使用指定的用户主密钥(CMK)来产生、解密数据密钥,并自行使用数据密钥在本地加解密数据。这种场景适用于大量数据的加解密,用户的数据无需通过网络传输大量数据,可以低成本的实现大量数据的加解密。

云服务器ECS

为了更好地使用云服务器ECS,建议您遵循阿里云安全的最佳实践指导,注意几个主要原则:

1、在创建ECS时进行合理的安全配置。

2、网络安全组设置,公网安全组和私网安全组都只保留业务需要使用的端口。

3、创建快照。

4、实例登录使用SSH密钥对。

5、关注操作系统安全漏洞并定期升级。

6、使用安骑士保护ECS实例安全。

负载均衡SLB

1、使用SLB时,需要检查勿将后端ECS实例的管理端口通过SLB转发至公网,比如ECS的22、3389、3306、6379等高危端口。

2、如果仅是做私网负载均衡,用户可以选择私网SLB实例。公网实例和私网实例的不同。公网实例:负载均衡实例仅提供公网IP,可以通过Internet访问的负载均衡服务。私网实例:负载均衡实例仅提供阿里云私网IP地址,只能通过阿里云内部网络访问该负载均衡服务,Internet用户无法访问。

3、SLB提供了HTTPS监听,支持单向和双向认证,建议使用。

云数据库RDS

1、网络设置

RDS支持公网的访问和私网的访问,如果仅在阿里云内部使用,建议设置为私网访问。如果在VPC内访问,建议选择VPC实例。

2、IP白名单设置

通过RDS控制台,设置RDS连接IP白名单为对应的ECS私网IP或者云服务的私网IP。

3、数据加密

(1)SSL/TLS:RDS提供MySQL和SQL Server的安全套接层协议。用户可以使用RDS提供的服务器端证书来验证目标地址和端口的数据库服务是否为RDS提供,从而有效避免中间人攻击。

(2)TDE:RDS提供MySQL和SQL Server的透明数据加密功能。RDS for MySQL的TDE由阿里云自研,RDS for SQL Server的TDE基于SQL Server企业版改造而来。

对象存储OSS

1、数据访问控制

OSS提供Bucket级别的权限访问控制,一般将应用的静态图片、CSS、JS等资源放到OSS上面,应当设置Bucket为public-read。如果是用户业务中的敏感数据,建议用户将Bucket设置为private并使用AK认证。

2、数据传输完整性

数据在客户端和服务器之间传输时有可能会出错。OSS现在支持对各种方式上传的object返回其CRC64值,客户端可以和本地计算的CRC64值做对比,从而完成数据完整性的验证。

DDoS高防IP

用户开通高防IP服务,需要把域名解析到高防IP清洗中心上。对于非Web业务,把业务IP换成高防IP服务,配置源站IP。对于Web业务,用户需要通过域名DNS服务商修改域名对应的A记录,指向高防IP。 完成域名解析的修改后,所有公网流量都会通过高防IP服务的清洗中心,通过端口协议转发的方式将用户的访问通过高防IP服务转发到源站,恶意攻击流量在高防IP清洗中心进行过滤后,正常流量返回源站,确保源站业务持续稳定访问。 高防IP服务和云盾Web应用防火墙(WAF)、阿里云的CDN完全兼容,最佳的部署架构是:将高防IP、CDN和WAF结合在一起,为用户提供保护和加速,即:高防IP(入口层,DDoS防护)-> CDN(静态资源加速) -> Web应用防火墙(中间层,应用层防护)-> 源站(ECS/SLB/VPC/IDC…)。

Web应用防火墙

1、配置源站ECS安全组或SLB白名单,可以防止黑客直接攻击源站IP

注意:源站保护不是必须的,不配置不会影响正常业务转发,但不做源站保护可能导致攻击者在源站IP暴露的情况下绕过WAF防护直接攻击源站。

2、使用WAF来防止敏感信息泄露

防泄漏功能主要覆盖包括网站存在敏感信息泄漏,尤其是手机号、身份证、信用卡等信息的过滤。本功能可以防御URL未授权访问;通过越权查看漏洞访问;网页存在敏感信息被恶意爬虫爬取访问等场景。

3、使用WAF有效防御WordPress反射攻击防御

WAF高级版及以上版本用户可以通过精准访问控制规则有效防御WordPress反射攻击。

安骑士(主机安全)

通过使用安装在云服务器上的轻量级软件安骑士,与云端安全中心联动,为客户提供漏洞管理、基线检查和入侵检测等功能,帮助客户看清楚“系统弱点”,查出“入侵事件”,加快事件“响应速度”。

态势感知

态势感知为客户提供资产管理、安全监控、入侵回溯、黑客定位、情报预警等功能特性。在以下场景建议使用态势感知产品了解安全情况。

1、全面了解云上业务的安全态势:如攻击情况,入侵情况,防御效果,自身业务弱点,主机对外提供服务的安全状态等。

2、入侵行为分析:用户云上业务遭到入侵,主机负载突然增加,或收到告警短信主机ECS被入侵时,态势感知可提供入侵行为检测、入侵行为分析和安全事件详情。

3、日志分析:态势感知提供全SaaS化的日志检索平台,免安装免维护,即开即用,支持逻辑(布尔表达式)检索,支持50个维度的数据逻辑组合,秒级出结果。

4、大屏实时监控:态势感知为用户提供9块可视化大屏界面,可实时监控云上安全态势,提升团队工作效率,并进行工作结果展示和汇报。

5、代码外泄感知:态势感知情报采集系统提供企业客户相关的情报,包括数据泄露情报,用户名密码泄露情报,暗网相关情报,IM群攻击预谋情报等。

先知-安全众测

先知平台提供私密的安全众测服务,可以帮助企业及时发现现有业务的安全问题,包括业务逻辑漏洞、权限问题等安全工具无法有效检测的漏洞等,尽早的发现存在的漏洞可以有效的减少公司可能的损失。先知平台会为所有入驻企业的漏洞严格保密,从而避免漏洞被恶意宣传。

数据风控

数据风控服务是基于阿里大数据风控服务能力,通过领先的行为收集技术和机器学习模型,解决解决账号注册、认证、交易、运营、活动、支付等关键业务环节存在的欺诈威胁,降低企业经济损失。

合规认证

合规性是阿里云存在和发展的基石,阿里云从架构设计、产品实现、解决方案、运维环境以及数据和隐私保护等多方面入手,将合规性融入管理、技术、流程与操作中,全力为客户构建和运行安全可控、可信赖、兼具灵活性的云服务。阿里云将与客户一起,共同承担所在行业的合规性责任,并努力推进各行业安全标准的完善。

参与组织

EU Cloud COC

GlobalPlatform(GP)

信标委云计算工作组&大数据工作组

全国信息安全标准化技术委员会

中国通信标准化协会

云安全联盟(大中华区)

数据中心联盟

工业互联网产业联盟

中关村可信计算产业联盟

合规解决方案

阿里云深刻理解用户面对合规需求时,存在经验与资源的局限性,阿里云利用自身合规经验和合规能力的输出,通过已有合规结论输出、行业合规解决方案等方式帮助用户开展合规作,将阿里云合规实践的价值最大化

阿里云合规证据输出

当您的应用部署在阿里云上,阿里云为了帮助您减少每年面对公安部等保、上市审计、监管检查等合规工作量,若需要阿里云提供合规证据时,请随时联系我们。

立即申请

等保合规安全方案

为了帮助企业用户快速满足等保合规的要求,阿里云为您提供一站式等保测评,完备的攻击防护、数据审计、加密、安全管理,助您快速省心地通过等保合规。

立即申请

欧盟数据保护条例(EU GDPR)
  • 概况
  • 重要改变
  • 影响
  • GDPR合规亮点
  • 阿里云方法论
  • 阿里云的参与
  • 阿里云研究工作
  • 阿里云生态体系
  • 常见问题
  • 资源和信息

什么是欧盟GDPR?

欧盟GDPR是一个合并的法律框架,旨在确保保护“自然人的基本权利和自由,特别是保护个人数据的权利”。 这是一项强制性法律,要求遵守整个欧盟适用于个人数据业务的条款。 它将取代现有法规和框架。 GDPR取代了20年的数据保护指令(95/46 / EC)。

该法规 2018年5月25日生效。

重要改变

这个新法律的地域范围比指令的范围更广。它还对企业处理数据施加了新的义务,所以大多数企业必须对其隐私计划进行一些修改,以确保符合GDPR:

· GDPR的范围包括监控欧盟个人的行为,即使是由位于欧盟之外的数据管理者来完成,所以适用性很广泛 。实际上,每个网站和应用程序都或多或少以某种方式跟踪访问者的网上活动。

· GDPR现在延伸了当前的尽职调查义务,并增加了对数据处理者而不仅仅是数据控制者的潜在责任。数据控制者有义务选择和使用符合数据处理标准安全的数据处理者。

· GDPR第一次提出了数据泄露通知标准。发生泄漏必须提供通知,不得有不当的拖延,并且在可行的情况下不迟于发现后的72小时。

· GDPR还完善了要求删除个人数据的权利(被称为“被遗忘的权利”)以及提出新的“数据可移动权”来加强现有的个人权利。例如,被遗忘的权利允许数据主体要求删除个人数据,并且在某些情况下要求其他控制者也遵守该请求。数据可移动性的权利要求控制者以常用的格式向数据主体提供个人数据,并且也必须提供支持如果数据主体请求将数据传送给另一个控制者。

对贵企业的影响

个人权利的新要求使隐私成为运营问题。 一些例子是:信息权,获取权,纠正权,限制处理权,反对权,删除权和数据可移动权。

在即将到来的最后期限之前满足新的要求,必须让贵企业的多个部门的利益相关一起参与。 在确定投资新资源和新技术的最佳领域之前,团队应该进行重点评估。 优先评估根据GDPR要求您当前的隐私状况。 然后,在评估风险和差距之后,团队可以开始执行优先级要求清单并证明合规性。

阿里云GDPR合规亮点

自动化账号删除

作为扩大个人对个人数据使用的控制努力的一部分,GDPR引入了两项新权利。 首先就是被遗忘的权利,对这一要求,阿里云全球业务都在提供账号删除功能,自动化实现账号删除,从而达到GDPR article 17要求的用户个人信息被遗忘。

隐私从设计开始

“隐私设计是从一开始就促进隐私和数据保护合规性的一种方法“。 所有新发布的云产品都是通过安全审批加隐私设计评估才上线的。

隐私政策

每个客户在使⽤阿⾥云服务的时候,出于信任将最宝贵的个⼈信息托付给我们。阿⾥云也致⼒于 保护每位客户的个⼈信息,并严格保障在客户期望范围内使⽤。阿⾥云在隐私政策⽅⾯对于公众 完全透明,可以参考国际站官网的隐私政策。同时,阿⾥云采⽤各种技术⼿段确保客户的个⼈信息仅存在于阿⾥云业务范围。

阿⾥云的隐私政策可以在国际站官网上找到:https://www.alibabacloud.com/help/faq-detail/42425.html

安全

阿里云出版了最新版本的安全白皮书描述阿里云在云安全方面的方法,具体涵盖安全策略、组织安全、合规安全、数据安全、访问控制、人员安全、物理安全、基础设施安全、系统和软件开发及维护、灾难恢复及业务连续性十个方面的主题。这对于满足GDPR的Article 32中的安全要求非常有用。在去年12月,阿里云成为全球唯一完成德国C5云安全基础附加标准审计云服务商,达到国际上安全的高要求。同时,阿里云建立了数据泄露规范和流程,并进行了多次演练,确保各团队了解明确自身的角色和责任以符合GDPR Article33,34的要求。

隐私准备就绪

在着手准备GDPR之前,阿里云已经通过了TRUSTe的企业隐私认证,以及符合了新加坡的个人数据保护法(PDPA)的要求,这些经验为GDPR的准备工作奠定了一定的基础。

阿里云的投入

为了保证符合欧盟GDPR的要求,尤其是对数据主体权利要求的符合,阿里云审核了每一个系统和数据流,基本所有系统都审核或改动过以确保覆盖所有环节,改造总数在上百个系统之间不等。在人力和资源方面也有很大的投入,无论是外部咨询公司律所的参与还是内部成立的项目组以及各个不同部门之间的协调和联动都是庞大的。于此同时阿里云也使用了隐私平台来管理和后期维护隐私方面的运作。

阿里云方法论

我们的隐私方法论叫”Privacy Building Blocks” 隐私建筑模块。如果你将某些东西描述为某种东西的建筑模块,则意味着独立部分组合在一起形成一个事物。好像分子是组成地球上所有生命的基石。想表达的意思是我们的隐私从设计开始(Privacy by Design),但是要维护数据主体的权利,他们的隐私,需要很多方面来成就,而不是只做一样东西就能隐私合规。比如只有一个好的隐私协议是不够的,还要有其他方面来确保个人信息的整个生命周期是遵守数据主体同意的目的以及受到保护的,比如不保留个人数据多过提供服务所需的时间和范围,安全以及供应商管理等等。 同时也不是一个人或一个部门能达到的事,是需要各个部门的意识认知,参与维护以及相互联动 – 好像建筑模块一样,其精确性和一致性使他们可以无缝安全地对齐。隐私保护也是需要不同的人,不同的部门和团队的无间合作来做到。

阿里云的参与

阿里云作为EU Cloud Code of Conduct (欧盟云守则)的创始会员和大会成员,积极参与制定为符合GDPR Article 40要求下的欧盟云服务的守则,与欧盟数据保护部门进行建设性的合作,以确保他们对GDPR的期望和未来指导在撰写守则的同时得到考虑。阿里云致力于为整个阿里云生态系统保持高水准的数据保护,并为整个科技行业的健康发展做出贡献。 阿里云支持提高云计算行业透明度,并帮助云客户了解云服务提供商如何解决数据保护问题。

由于个人数据跨境传输是很多国际化企业必须面对的问题,而在云服务突飞猛进的时代,并不是所有欧盟认可的传输工具都能符合不断变化的商业模式。欧盟委员会重新启动了之前第29条工作组的关于数据处理者和下游数据处理者的示范条款草案,阿里云和其他几家同行加入了这个工作组一起来争取为云服务行业提供更有效的能够帮助行业解决这一挑战的传输工具。

阿里云研究工作

数据可转移性最近是一个热门话题,无论是GDPR Article20的要求还是组织在这个信息时代采用的新的多云趋势。作为扩大个人对个人数据使用的控制努力的一部分,GDPR引入了两项新权利。 首先是被遗忘的权利。 第二,数据可转移性的权利要求控制者以常用格式向数据主体提供个人数据,并且如果数据主体要求,则将该数据传送到另一个控制者。GDPR对所谓“大数据”趋势的回应之一就是创建一个新的数据可转移性权利,旨在增加用户对在线服务的选择。在可行的情况下,甚至可能需要控制者将数据直接传送给竞争对手。

用户在平台之间切换是很困难的(他们必须在移动到新服务时重新创建所有数据),而大多数大型平台不能互操作,比如SaaS社交媒体,交换意味着放弃你的整个社交网络。一些系统针对直接解决数据可转移性和互操作性问题,以支持更大的竞争。

为了增进阿里云以及整个行业对数据可转移性的更广泛的理解,通过和卡内基梅隆大学的隐私项目,他们的硕士研究生帮我们做关于数据可转移性的术研究报告。内容包括:

1)关于这一主题 - 美洲,欧洲,中东和非洲,亚太经合组织有关数据可转移性的规定, 包括要求之间的相似性或冲突。例如欧盟GDPR与美国HIPAA对数据可转移性的解读。

2)云提供商策略级别 - 从政策和声明级别,每个主要的云服务提供商对数据可转移性的处理声明。 他们如何相互比较?

3)技术水平 - 如何在云服务中实现数据可转移性? 成本与技术有关。 组织,大企业与中小型企业的的选择有哪些。

报告报告在阿里云国际站官网以及国际隐私专业人员协会(IAPP) 新闻 上刊登后,业界对于GDPR下要求的数据可转移性有了详细的认知。同时,报告内的技术研究也引起了欧盟监管的兴趣,对于这项研究报告可以为欧盟其他相关法案的制订提供了技术上的实现和观点。

阿里云平台,合作伙伴和生态系统

阿里巴巴是重视生态体系的大家庭,阿里云作为一份子也不例外。在阿里云,我们每做一件事都会考虑到对整个生态体系的影响。我们了解国际数据保护标准的重要性,有助于确保全球各国的安全利益受到尊重。我们采用行业标准和最佳实践来保护个人数据,并确保我们自己的隐私实践符合所需的法律和法规。我们也密切监视各个的国家政策,以保持所有可能影响我们和我们的客户以及生态伙伴的变化。

除了提供合规的云服务外,阿里云还通过与行业领先的隐私风险管理技术合作伙伴的合作伙伴关系,提供隐私管理指导, 我们也设身处地,从我们的经验来帮助我们的客户以及生态伙伴。

阿里云已经与TrustArc达成合作计划,在阿里云平台上通过一套经过验证的方法来提供工具和解决方案,以评估准备情况,制定计划,然后执行GDPR合规计划。 建立,实施和演示方法加上综合技术解决方案帮助打造企业管理可维护的GDPR计划。

常见问题

1.我的公司不在欧洲成立,也不在欧洲运维。我的公司是否被排除在GDPR之外?为什么?

“数据保护条例”(GDPR)具有域外效力,同样适用于在欧洲以外的公司,但向联盟内的居民提供商品和服务,或监督在联盟内发生的行为。这意味着,即使您的公司不在欧盟(EU)或欧洲经济区(EEA)内,您也应该评估您的客户是否包括欧盟或欧洲经济区内的人。如果是这样,当您处理他们的个人资料时,您必须遵守GDPR。

请注意,欧盟中的个人数据的定义非常广泛,并且包括通常不被视为个人数据的数据。这样的例子包括伪分类数据和IP地址(静态和动态)。

2.我的公司需要做什么才能符合GDPR?

GDPR概述了许多详细和严格的要求。值得注意的是,GDPR对文件要求很高,这表明许多合规要求需要书面文件来证明。为了帮助您理解,这些要求大致可以分为两大类:隐私合规和数据主题权利。

在隐私合规的保护下,需要保留数据处理库存,隐私从设计开始,默认进行数据保护影响评估,在72小时内向数据保护部门报告数据违规情况,并在特定情况下向受影响的客户报告,任命一位指定的数据保护官员(特别申请),维护数据安全等等。在数据主体权利的保护下,正在进行数据处理的数据主体拥有数据权,这些权利包括访问权,纠正权,删除权,信息权,限制处理权,撤回同意,数据可移动性的权利等等。

由于GDPR中包含的详细程度,建议您熟悉GDPR的全文,可在欧盟委员会的网页上查阅。

除条例外,第二十九条工作小组还出版指导方针,协助解读GDPR。尽管他们的指导方针对GDPR解释没有约束力或决定性,但他们的建议却占有相当的份量,是理解GDPR的可靠指导。

同样值得注意的是,GDPR为成员国的一些要求提供了灵活性,例如在员工数据和数据主体权利方面。这意味着当成员国在当地实行GDPR立法时,每个成员国之间可能存在一些差异。因此,强烈建议贵公司了解这种灵活性,并了解在欧洲经济区内几个不同成员国经营的差异。

3.与阿里云的竞争对手相比,使用阿里云是否增强GDPR的保证?

在阿里云,我们了解国际数据保护标准的重要性,有助于确保全球各国的安全利益受到尊重。我们采用行业标准和最佳实践来保护个人数据,并确保我们自己的隐私实践符合所需的法律和法规。我们也密切监视各个的国家政策,以保持所有可能影响我们和我们的客户的变化。

4.当GDPR生效时,阿里云将为客户提供哪些支持来实现合规?

除了提供合规的云服务外,阿里云还通过与行业领先的隐私风险管理技术合作伙伴的合作伙伴关系,提供隐私管理指导, 我们也设身处地,从我们的经验来帮助我们的客户。

5.阿里云是否符合GDPR合规?

阿里云非常重视合规性和客户的隐私。我们在2018年5月25日生效之前符合了GDPR标准。

6. 就GDPR而言,中国IaaS提供商与欧美IaaS提供商相比较有什么差别?

就GDPR而言,在全球IaaS提供商的合规要求方面没有差别。所有向欧盟/欧洲经济区客户提供产品或服务的IaaS提供商都必须遵守GDPR。所以,您不需要担心这一方面。

澄清客户合规性误区

1.使用合规的产品或服务不能证明代表一家企业自身合规

GDPR是属于法律法规,需要共同遵守,和很多其他客户需要符合的法律法规一样,不是用了产品就符合,合规的产品不能解决所有问题。比如GDPR下对每个企业的要求例如:默认进行数据保护影响评估,在72小时内向数据保护部门报告数据泄漏情况,并在特定情况下向受影响的客户报告,任命数据保护官员等等,这些都不是单一产品合规方面能够解决的,而需要客户自己内部运作的支撑。在使用阿里云的时候,客户可以放心阿里云是合规的,但是只限于客户使用的阿里云的云平台部分。客户本身,尤其是从事个人数据相关的行业的客户(零售,电信,旅行等等)需要针对要求来详细评估自身的数据保护操作。

2.阿里云符合GDPR,不代阿里云表客户直接符合GDPR,客户要对自己的产品设计、流程、管理,深度Review,相应整改,体系建立,才能符合要求

在GDPR的要求下,行使个人权利的新要求使隐私成为运营问题。 一些例子是:信息权,获取权,纠正权,限制处理权,反对权 ,等等。GDPR还完善了要求删除个人数据的权利(被称为“被遗忘的权利”)以及提出新的“数据可移动权”来加强现有的个人权利。例如,被遗忘的权利允许数据主体要求删除个人数据,并且在某些情况下要求其他控制者也遵守该请求。数据可转移性的权利要求控制者以常用的格式向数据主体提供个人数据,并且也必须提供支持如果数据主体请求将数据传送给另一个控制者。以上例子证明,阿里云符合GDPR,不代表客户直接符合GDPR,客户要对自己的产品设计、流程、管理,深度Review,相应整改,体系建立。从风险角度判断,既要保证个人数据生命周期的隐私保护,也要有能力支持数据主体的个人权利才能符合。

3.GDPR不是单纯的安全的工作,也不是简单的法务的工作;而更是一家公司管理水平和管理成熟度的体现

“你可以拥有没有隐私的安全,但如果没有安全措施,你就不能拥有隐私”。所以GDPR不仅是安全的工作,也不仅是简单的法务的工作,同时也不是一个人或一个部门能达到的事,是需要各个部门的意识认知,参与维护以及相互联动。所以符合GDPR更是一家公司管理水平和管理成熟度的体现。

资源和信息

在GDPR下支持云端的数据可移动性 由阿里云赞助的卡内基梅隆大学Yunfan Wang和Anuj Shah的研究