云上数据安全：加密与访问控制的最佳实践

很多企业认为上了云就等于安全了，实际上云服务商负责云平台本身的安全，而客户数据、应用、权限的安全由客户自己负责。责任共担模型下，企业需要自己构建完整的数据安全体系。

传输与存储双重加密

传输层全站启用TLS 1.3，内部服务间调用也用mTLS双向认证。存储层数据库启用透明数据加密TDE，对象存储开启服务端加密SSE-KMS，备份数据用客户管理密钥CMK加密。密钥每90天自动轮换，从不硬编码到代码里。

最小权限访问控制

用RAM子账号代替主账号操作，每个开发者只授予完成本职工作所需的最小权限。生产环境数据库开启双因素认证和IP白名单，DBA操作全部走堡垒机并录屏。敏感字段（手机号、身份证号）在数据库层面做脱敏，应用层只能看到掩码后的数据。

审计与异常检测

开启全量操作审计日志，日志保留180天。配置异常行为告警：比如非工作时间批量下载数据、异地登录、权限变更操作，触发后自动冻结账号并通知安全团队。每季度做一次渗透测试和权限复核。