——IBM普遍加密助力企業應對GDPR，笑傲IT江湖
夏潤釗，IBM安全專家，目前擔任大型主機售前技術支持，曾經服務過多家國有大型銀行。在大型銀行核心系統的IT架構設計，容量評估，安全等領域，具有豐富的經驗。對於加密技術，權限管理，有深入研究。熟悉大型主機硬件，操作系統。持有PMP，Banking Industry Solution，IBM pervasive Encryption等多項認證。
文章內容簡介：
互聯網，移動通信技術的飛速發展，社交媒體，電商的興起，極大的改變著人們的生活。人們在享受新興技術帶來的便利的同時，也面臨著個人信息被洩露的危險。小到接聽騷擾電話，大到身份信息被人拿去開戶，信息洩露事件層出不窮。普通消費者越來越擔心公佈給電子商務的個人信息安全。
相對於企業來說，自然人在保護個人信息方面處於弱勢。因此，歐盟為了保護歐盟公民的個人信息，同時增加消費者對電子商務的信心，制定了一個非常嚴格的個人信息保護條例——GDPR。本文主要介紹GDPR的一些主要規定，IBM如何幫助企業合規，以及IBM在大型主機上的新亮點，普遍加密技術。
以下故事，純屬虛構，如有雷同，不勝榮幸。
德國留學生小D同學，剛剛於北京某大學研究生畢業。 畢業後順利在北京第一村——後廠村的一個大廠當上了碼農。吃完散夥飯，小D來到村邊的小區租房子，進入了一家名為”XX”的中介機構，”XX”中介把自己的網站系統部署在YY公有云上，並且購買了YY雲的大數據功能，幫助XX家分析租戶特徵，包括年齡，性別，學歷，收入之類，以便分析用戶習慣，在後期進行精準營銷。房子租的很順利，小D很滿意，按照中介的要求將個人的姓名，年齡，護照號，電話提供給XX。
可是從那以後，小D就不斷收到各種電話推銷。包括房產推銷，貸款推薦，另外居然還有詐騙電話……小D不勝其煩，向歐盟主管部門舉報了XX中介。主管部門經過調查，發現XX未經小D允許，擅自把小D的信息分享給其它企業，並且未對儲存的小D信息進行保護或加密措施。決定向XX中介開出1000萬歐元的罰單。XX中介因此宣告破產……
上面的故事折射出個人信息的洩露這一全球性問題。互聯網，移動通信技術的飛速發展，社交媒體，電商的興起，極大的改變著人們的生活。人們在享受新興技術帶來的便利的同時，也面臨著個人信息被洩露的危險。小到接聽騷擾電話，大到身份信息被人拿去開戶，信息洩露事件層出不窮。普通消費者越來越擔心公佈給電子商務的個人信息安全。
相對於企業來說，自然人在保護個人信息方面處於弱勢。因此，歐盟為了保護歐盟公民的個人信息，同時增加消費者對電子商務的信心，制定了一個非常嚴格的個人信息保護條例——GDPR。GDPR主要規定了企業在收集和使用用戶數據時必須遵循的原則，以及自然人對個人信息所享有的權利。
本文主要聊的就是GDPR的那點兒事。以及IBM作為IT江湖中的一代宗師，有哪些武林絕學可以幫助企業應對GDPR。
什麼是GDPR
早在1995年，歐盟就制定了意在保護歐盟公民基本數據的法令《歐盟數據保護指令》。可惜的是，當時的法規無法預見今天的信息爆炸和個人數據被企業大量收集和使用的情況。雖然該法令經歷了多次修改和延伸，但是仍然不能適應當今世界的鉅變。
2016年4月，歐盟通過一項新的法令條例，其中心思想是對個人數據的收集之後的存儲使用，規定更高的透明度與管控，這就是GDPR。該條例將在2018年5月25日正式生效。GDPR是General Data Protection Regulation的縮寫，也就是《通用數據保護條例》。
GDPR非常詳盡的規定了保護歐盟公民個人信息與企業的責任。對數據保護有一些比較特別的規定，例如對數據跨境傳輸的規定，數據控制者的義務，以及數據主體權利等方面。在展開討論之前，先就本文即將用到的幾個名詞做一個簡單的解釋。
數據主體：即為數據的所有者和提供者，根據GDPR的規定，每個向機構或企業提供個人信息的自然人都是數據主體。
數據控制者: 是指的是對數據處理活動的“原因”和“過程”進行全面把控的自然人、法人、或公共機關。數據控制者決定個人信息處理目的和手段。
數據處理者：代表數據控制者處理個人信息的自然人或法人、公共機關或其他機構。數據處理者不決定個人信息的處理目的或方式，他們僅可按照數據控制者決定的方式處理個人信息。
在上面的例子中，小D是個人信息真正的主人，是數據所有者。XX中介，收集了歐盟公民小D的數據，分析小D的數據以便精準營銷，是數據管理者。YY雲受XX委託，對數據進行處理，是數據處理者。
數據控制者的義務：
GDPR規定，.數據控制者必須全面付諸實際行動並採取適當的管理措施保護數據主體的信息安全；在指定數據處理者時，數據控制者必須確保持有適當的書面數據處理協議； 一旦數據控制者發現數據洩露，必須在72小時內通知數據保護機構數據洩露的消息；數據控制者有義務及時回應來自數據主體的要求，不得有任何不當延誤且最晚在收到要求後一個月內回覆。
數據處理者的義務：
數據處理者，必須遵從數據管理者的指示，根據數據控制者的書面指示處理個人信息。不得將個人信息用於數據控制者要求以外的用途；如果數據處理者認為數據控制者的指示與 GDPR 要求或其他歐盟國家法律衝突，數據處理者必須立即通知數據控制者。數據處理者也須通知數據控制者任何數據洩露的消息；如果需要指定分包處理者，需獲數據管理者的批准。
數據管理者和數據處理者共同的義務：
在數據保護機構執行任務時，數據控制者與數據處理者均需應要求予以配合；必須指定數據保護專員；必須實施適當的技術、程序和組織措施，以保護個人信息免受意外或非法的破壞或訪問；數據控制者與數據處理者必須按照GDPR要求，嚴格文檔記錄，一經要求，必須向數據保護機構披露這些記錄。
數據主體的權利：
數據主體有權要求確認數據控制者是否正在處理其個人信息，並且以何種方式處理個人的哪些信息，並且任何情況下有權在對方收到要求後的一個月內獲得回覆；數據主體有權更改，刪除，和轉移個人信息，有權拒絕數據管理者即使出於合法的目的將個人信息用於科學或研究領域；
有權阻止或中止對個人信息的使用。
數據的跨境傳輸：
如果數據管理者希望把歐盟公民的個人數據傳輸到其他國家和地區，需要謹慎的選擇目的地。. 歐盟公民的個人信息可以傳輸到其他歐盟成員國，瑞士，以及屬於歐洲經濟區 (EEA) 的非歐盟國家/地區；可以傳輸到歐洲以外擁有適當個人信息保護法規的國家/地區。這些國家/地區數量有限，其中包括加拿大、新西蘭、以色列和阿根廷。當數據從歐盟內部的數據控制者傳輸到歐盟以外的數據控制者時，必須以公司為單位完成示範條款。通過約定示範條款，雙方同意遵守符合《歐盟數據保護指令》要求的數據保護標準。
GDPR擁有治外法權
GDPR的頒佈惠及歐盟的廣大消費者，卻苦了各大公司。因為如果違反GDPR的相關規定，將會受到嚴厲的行政罰款，其罰款範圍是1000萬到2000萬歐元，或企業全球年營業額的2%到4%。
非歐盟成員國的企業只要滿足下列兩個條件之一，就必須受到GDPR的管轄
·為了向歐盟境內公民服務而採集、處理個人信息。
·為了監控歐盟境內公民的活動而採集、處理個人信息。
讓咱們回到文章開頭的例子。XX中介雖然不是歐盟企業，但是收集了歐盟公民小D的信息，應該受到GDPR的制約。XX位於中國，必須以公司為單位完成示範條款，同意遵守《歐盟數據保護指令》。XX未經小D允許，對小D的數據進行分析（精準營銷），並且向其他企業披露小D的個人信息（營銷電話），也未對小D的信息做出適當保護，違反了GDPR的多項規定。
普遍加密——IBM降龍十八掌之見龍在田
金庸筆下的降龍十八掌可說是武學中的巔峰絕詣，當真是無堅不摧、無固不破。十八種掌法面面俱到。同樣，提升企業的數據安全水平，也需要從多維度進行考慮。如下圖所示，
在信息安全領域，IBM具有多年的積累和豐富的經驗，是該領域的領導者，是首先設置首席隱私保密官（Chief Privacy Officer）的幾家企業之一。IBM符合世界各國的信息安全法規。為了應對GDPR, IBM已經啟動了一個全球的項目，無論是在公司內部還是對於合作伙伴。IBM充分理解客戶希望通過IBM提供的方案來符合GDPR的要求，併為實現這一目標做好了準備。
GDPR超越了信息安全的範疇，還包括數據監管和員工培訓等領域。IBM可以幫助企業評估當前的安全級別，找出與GDPR的差距，為企業制定實施合規路線圖，並提供相應技術解決方案。
如果說，應對GDPR的整體解決方案是一套面面俱到的降龍十八掌，那麼普遍加密技術就是其中第二式——見龍在田。這一式是隻為防禦, 同樣普遍加密技術就相當於給數據穿上了一件鐵布衫，使之刀槍不入！
普遍加密技術（Pervasive Encryption），根植於IBM最新的高端服務器之上，是z系列以及LinuxONE系列兩大產品家族保護數據，防止洩露的殺手鐧。在普遍加密推出之前，兩大產品家族的本身就已經具有了極高的安全級別，達到了業界最高的EAL5+，有了這一新技術，就相當於在本身已經非常堅固的城池之外，又修了一條護城河，360度無死角的確保數據安全。
普遍加密，是把所有數據進行加密的能力。不管這些數據是位於磁盤中，磁帶，還是放在內存，也不管這些數據是靜態還是傳輸過程中的，都可以進行加密。除了加密功能，普遍加密技術還包括很多功能和性能的增強，如下圖所示。
普遍加密涉及的方面很多，例如：
· 硬件上，加密協處理器CPACF跟上一代相比，性能提升高達6倍, 意味著加密解密速度更快。加密卡Crypto Express 6s性能進一步提升，並支持更多的加密算法，降低了加密運算對系統資源的消耗。更為神奇的是，如果使用Crypto Express 加密卡，連管理員也無法知道密鑰的明文。如果有人想強行拆除加密卡，讀取其中的內容，那麼加密卡會啟動自曝程序（清零）跟剽竊者同歸於盡。
·在微碼級別, 同一臺z或LinuxONE上運行的不同操作系統之間，雖然共享底層的硬件資源，但是不同的操作系統之間做到了很高隔離度，其隔離效果相當於硬件的隔離。這樣就能夠很好的把應用限制在它應該訪問的數據中。
·安全容器（Secure Service Container）的使用，能夠很好的把應用和操作系統封裝在一起，只為用戶提供他需要使用發應用接口，避免用戶使用權限過大的用戶，進行一些有意或無意的破壞。
·在存儲級別，可以實現對所有存放在磁盤或磁帶上數據進行無差別的加密。用了全盤加密之後，用戶的應用不需要做任何更改，加密解密過程都在底層實現。
·在操作系統級別，用戶可以有選擇的對需要加密的數據進行加密。存儲在磁盤中的數據都是加密數據，只有數據被訪問的時候，才經過解密運算，得到明文。同時主機操作系統，能夠避免應用程序人為的修改指針，去讀取內存中特定區域中的數據。
·在數據庫級別，數據庫管理員可以有選擇的加密數據表中的數據。
·在應用級別，用戶可以根據需要通過應用程序對數據進行加密。只需要調用加密組件的API就可以實現。
·保證傳輸中數據，都是密文，對不同主機之間通訊的內容進行加密。
那麼在沒有普遍加密的世界裡，大家都是如何保護數據的呢？下面，就從幾個層面，做一個比較：
· 平臺的設計思想不同，build-in 與 add-on之爭
在z系列主機和LinuxONE系列服務器中，安全理念貫穿設計的始終，是典型的build-in思想。在數據生命週期的各個階段，以及數據存在的不同層次都有充分的安全性考慮，具有前瞻性。例如，對落盤數據可以進行全盤加密；對存放敏感數據的文件或Dataset，可以進行有選擇的加密；可以對數據庫中的某些數據表進行加密；也可以在應用級別對敏感數據進行加密；在下圖的金字塔中，越往上，對數據保護的力度越高，顆粒度也越精細，但是對數據的覆蓋面也越小。不管用戶對數據保護的需求存在於哪個層次，普遍加密都可以滿足。
而在沒有普遍加密的世界裡，往往沒有如此完備的數據保護體系，無法滿足不同用戶的各層次加密需求。服務器，硬件，微碼，操作系統來自不同的廠商，也無法在設計之初就對安全防禦進行整體的統籌規劃。而且很多安全功能都是在碰到安全問題之後加入的，屬於add-on的設計思想，具有滯後性。
· 完備的秘鑰管理體系
眾所周知，秘鑰是保護數據安全的關鍵。一旦秘鑰被洩露，數據防護不攻自破。從實際應用的方面來講，大型企業的生產環境所用的秘鑰環境成千上萬。因此管理和保護秘鑰，也是保證數據安全的重要一環。
普遍加密技術，有成熟的秘鑰管理體系，不同標準的秘鑰，被分別保存在TKDS，CKDS等專業的秘鑰存儲文件中。只需要調用秘鑰的索引，就可以對秘鑰進行操作。普遍加密技術有專業的秘鑰管理設備TKE, 能夠對秘鑰進行初始化，合成，分量等操作。普遍加密技術能夠保證明文的秘鑰從來不會離開安全設備（Crypto Express Card，CPACF），就連安全管理員也無法知道秘鑰的內容。
而在其他平臺上，用戶需要自己去管理數量龐大的秘鑰，自己保護秘鑰的安全，除了防備來自外部的信息洩露，還要面對來自內部的威脅。
· 精細的權利分配與審計機制
在普遍加密的世界裡，不同角色的用戶對資源的訪問具有不同的權限。例如系統的安全管理員能夠管理他的所在群組下所有成員對資源的訪問權限，但是安全管理員本身卻不能對這些資源本身的內容進行訪問。而且，用戶所有的行為都會被嚴格記錄在系統日誌中，讓所有的心懷叵測的舉動都無所遁形。
舉個例子，在主機最新版本的操作系統之上有這樣一個功能：當某個加密文件（data set）的所有者需要訪問該文件的內容時，因為他擁有該文件內容和文件密鑰的訪問權限，所以可以讀取或修改文件。而對於系統管理員來說，可以對該文件進行復制，備份或遷移。但是數據管理員不能隨便查看該加密文件的內容，因此不享有該文件密鑰的訪問權限。這樣一來，系統管理員既能對數據進行日常管理，又不至於權限過大去訪問不該訪問的東西。把權力關進制度的籠子裡，進一步減少了數據洩露的風險。
而在普通系統的權限管理機制中，往往沒有如此精細的權利分配與審計機制。
· 防備來自內部的數據洩露
在用戶系統發生異常的時候，有時需要把內存中的數據完整的保存下來，併發送給IBM support做進一步的分析。普遍加密技術能夠確保並行耦合體中的敏感數據，始終以密文的方式存在於內存中。如此一來，雖然內存的數據被完整的保存下來，但是不管是對於企業內部管理員，還是對於IBM support來說都是密文，確保了機密數據不會以這種方式被洩露。
而如果沒有普遍加密，用戶的敏感數據可能會因為診斷數據被傳遞給技術支持部門而被洩露。
· 方便合規，低成本，高性能
GDPR要求企業對用戶的敏感數據，採取適當的措施進行保護。然而鑑定和區分哪些是敏感數據，哪些是非敏感數據，往往需要較大的時間和人力投入。
使用普遍加密技術，就能夠把所有的數據無一例外的進行加密。既節省了區分敏感數據與非敏感數據的工作量，又能夠保證合規。如果使用普遍加密，就能節省這部分開銷。同時最新加密協處理器 CPACF的高性能也確保了加密運算的性能表現。
如果沒有普遍加密，用戶就要耗費很大的人力成本與計算成本才能保證合規。而且存在敏感數據被忽略而未得到適當保護的風險。
試想，如果XX中介在自己的信息系統中使用了普遍加密技術，就能夠滿足GDPR對作為數據控制者的要求。因為XX中介通過技術和組織措施，保護了歐盟公民的個人信息，這種技術措施能有效防止數據的洩露。在應對審計的時候，所有數據都是經過加密存放和傳輸的，相對於以前的部分加密或有選擇的加密，這種技術手段本身就是防止信息洩露的最好證據。如果XX更有職業操守一點兒，不隨便向其他單位或個人洩露用戶的個人信息，並且以公司為單位完成示範條款，同意遵守《歐盟數據保護指令》，就不至於收到歐盟的處罰而宣告破產了。
普遍加密區別於之前傳統的加密方式，它是無所不在的加密和全方位的保護。不但防禦了外部攻擊，而且防範了來自內部的威脅。企業有了普遍加密技術，也可以更有信心的保護數據安全，不懼數據洩露，不怕黑客攻擊。
詩云“他強任他強，清風拂山崗；他橫任他橫，明月照大江”，普遍加密技術助力企業，笑傲IT江湖，安全獨孤求敗！
閱讀更多 賈西貝 的文章
