点击链接下载查看完整版内容👉：《阿里云安全白皮书（2024版）》
点击链接下载查看上文👉：带你读《阿里云安全白皮书》（十四）——云上安全重要支柱（8）
坚守数据主权的数据安全保护
2 客户数据安全保护技术能力
阿里云提供多样的数据安全控制措施，如数据操作审计、加解密、细粒度访问控制策略、可信计 算和机密计算、数据本地化存储等，为客户提供全面、完整的数据保护策略选项。
2.1 数据操作可审计
操作审计服务（ActionTrail）能够帮助记录用户的云账号资源操作，包括通过阿里云控制台、 OpenAPI、开发者工具，记录云上产品和服务的访问和使用行为。用户可以将这些行为事件下载 或保存到指定的日志服务 Log store 或 OSS Bucket，然后进行安全分析、资源变更追踪和合 规性审计等操作。
阿里云数据安全中心（DSC）在云账号资源操作之外，还提供了面向数据 实例内部操作的安全审计能力。例如面向数据库产品，该能力可针对数据库 SQL 注入、风险操作等数据库风险行为进行记录与告警。除云上数据库产品 实例外，数据安全中心还可覆盖客户自建数据库实例。通过数据安全中心，可 帮助客户记录、分析、追踪数据库安全事件，发现不安全操作并抛出告警，有 效降低数据泄密风险，帮助企业满足数据安全保护及合规要求。
2.2 全链路数据加解密
数据加密是关键的数据安全保障技术，若数据在传输、存储、计算过程中以明文形式存在，将导 致链路上的每一环节都存在数据被窃取的风险。
在数据传输环节，阿里云提供了标准的 TLS 加密传输协议，支持用户通过加密 协议与云产品进行交互，从而保证用户请求数据在传输链路中的安全。OSS、 全球加速等产品支持用户设定强制传输加密，并支持通过 RAM Policy 设定加 密协议版本。
在数据存储环节，阿里云的数据存储类产品提供了可选的数据加密能力，与密 钥管理服务（KMS）协同保障静态数据的安全；其中包括可一键开启的磁盘 加密，以规避物理磁盘被窃取时可能导致的数据泄露风险，磁盘加密不影响对 数据的正常读取使用。也包括覆盖使用链路的数据加密，可确保只有同时具备 密文数据访问权限、密钥访问权限时，才可获取明文数据。
云上数据加密可基于 KMS 生成各类强度的密钥，若客户对于自身数据主权具 备更高要求，可以使用 BYOK 能力，将自己生成的密钥导入到 KMS、数据 类产品中，完成加密操作。同时阿里云还支持客户购买 Cloud HSM 硬件加 密机或者使用客户自身拥有的加密机进行外部密钥管理（HYOK） ，以保障 客户对密钥生成、访问的绝对控制权。通过对密钥的细粒度权限管控能力， 客户可以将需要重点保护的数据进行加密，并只将密钥的访问权限授予可信 的调用方、可信的使用环境，以此来保障自身对这些关键数据的控制力。
