2. 云数据安全挑战与合规要求
这一章我们聊聊云上数据最常见的那些“坑”，以及 GDPR、CCPA 这些法规到底在说什么。我个人习惯是先把威胁场景理清楚，再去对照合规条款，不然很容易陷入“为了合规而合规”的机械操作。
2.1 常见云数据泄露场景
你在云上跑着业务，数据是怎么出去的？我整理了一下经手过的案例，无非就这几类：
- 配置错误——存储桶、数据库、Kubernetes 命名空间直接暴露公网。有一次我帮客户做审计，发现一个 S3 桶的 ACL 是“Everyone”，里面躺着 200 万条用户记录。说白了就是手滑。
- 凭证泄露——AK/SK 被硬编码在代码里，上传到 GitHub 或 Docker 镜像。我曾经在公共仓库里搜到过腾讯云的 SecretId，直接可以调用 API。
- 内部威胁——员工误操作或者恶意窃取。遇到过 DBA 把生产库导出到个人笔记本做测试，结果笔记本丢了。
- API 漏洞——权限校验不到位，例如未授权的 API 调用可以遍历用户信息。你想想看，一个“越权”接口就可能导致全量数据泄漏。
- 第三方集成风险——图方便接了第三方 SDK 或数据管道，结果对方被攻击，你的数据也跟着遭殃。
注意： 以上场景里，配置错误和数据泄露几乎占了云安全事件的一半。我在项目里曾用一句话总结——“别以为云厂商会帮你兜底，默认配置往往是不安全的。”
2.2 GDPR/CCPA 等法规要点
法规是悬在头上的剑，你不懂它，出了事就不是扣工资那么简单了。下面是几个核心法规的要点对比：
| 法规 | 管辖范围 | 核心要求 | 罚款上限 |
|---|---|---|---|
| GDPR | 欧盟境内数据主体 | 明确同意、数据可携带、被遗忘权、DPIA | 全球营收 4% 或 2000 万欧元（取高） |
| CCPA | 加州居民 | 知情权、删除权、Opt-Out 销售、禁止歧视 | 每次违规 $2,500~$7,500 |
| PIPL（中国） | 境内自然人 | 单独同意、最小必要、本地化存储、出境评估 | 上年度营收 5% 或 5000 万人民币 |
| LGPD（巴西） | 巴西数据主体 | 合法目的、数据保护官、数据泄露通知 | 营收 2% 最高 5000 万雷亚尔 |
举个实际的例子：GDPR 要求“数据保护影响评估（DPIA）”。我以前给一家电商做合规改造时，发现他们每次上新功能都忘了跑 DPIA，后来被监管约谈，才紧急补上。其实 DPIA 不是走过场，它能逼你提前暴露风险。
2.3 合规要求如何映射到技术控制
纸上谈兵没有用，得落到技术动作上。我给团队做标准流程时，通常分为三步：
- 数据发现与分类分级——先搞清楚你有哪些数据、在哪、属于什么类别（个人数据、商业机密、公开信息）。这是所有合规动作的起点。
- 访问控制 + 加密——最小权限原则 + 静态/动态加密。GDPR 强调“设计隐私（Privacy by Design）”，说白了就是一开始就把加密和权限写进代码里。
- 审计与通知——记录谁什么时候访问了什么，一旦泄露要能在 72 小时内通知监管（GDPR）。
关键点： 合规不是安全部门的“独角戏”。我建议数据治理团队必须在业务上线前介入，否则后期改起来成本翻几倍。
2.4 知识体系：从威胁到应对
把上面提到的内容串起来，就是下面这张图。记住这张图，云数据安全的大框架就清楚了。
避坑指南： 我曾经在一个项目中看到团队只做了数据发现，但没有把分类结果映射到 IAM 策略。结果发现了敏感数据，但谁都可以读。记住，发现只是第一步，自动化策略绑定才是闭环。