近日，2025全球数字经济大会数字安全主论坛暨北京网络安全大会在京举行，腾讯云副总裁董志强受邀出席峰会并发表主题演讲，以腾讯云安全建设实践为切入点，深入解读在数字化转型催生高等级安全需求的时代背景下，云平台原生安全建设的必要路径。
董志强表示，在全球数字化转型过程中，云计算行业出现产品服务数字化、IT基础设施云原生化、数据业务化与智能化等趋势，行业对面向安全实践的需求逐渐强烈，由此激发了建设云平台高等级安全架构的需求。在他看来，高等级安全架构必须具备底层可信、默认安全、原生能力、纵深防御、智能运营五大特性。
腾讯云副总裁董志强
近年来，云计算已逐渐成为赋能数字经济的底座和基石，云平台上承载了大量关系国计民生的业务系统和数据。然而，云平台长期以来都面临外部攻击和内部缺乏有效治理的威胁，不断涌现的各种新技术如大数据、大模型、IoT等，一方面带来新的生产动力，另一方面也导入了新的威胁面和安全问题;DevSecOps这类新研发模式的广泛应用也让传统的安全规范流程失效。
腾讯云在全球维护超过150万台服务器、各类云服务云资产总量超过1.4亿，多年的云安全治理实践下来，已经建立了一套行之有效的云平台高等级安全架构。董志强强调，云平台建设正从传统外挂式安全产品堆砌，转向构建内部原生安全能力。因此，落地云平台高等级安全架构需关注以下几个关键点：
第一，底层可信，构建从硬件到BIOS、Bootloader、固件、虚拟化平台、操作系统等环节的安全可信能力。这需要对硬件和固件进行安全设计、加固与审计，基于CPU/GPU可信技术构建机密计算环境，对虚拟化平台和操作系统安全加固等。
以腾讯云为例，通过自研“星星海”服务器，对采购固件开展人工安全审计与代码审计，上层基于TPM建立启动验签机制，保障服务器启动及运行时软硬件外设系统均通过签名验证;同时，在操作系统层面实现安全启动，确保全流程可信。
第二，默认安全，要求产品被设计为默认具备必要的安全功能和配置。这需要从硬件到应用全方位布局构建多层级技术体系，底层利用固件精密计算构建可信环境，中间层落地默认安全框架，上层提供原生安全能力;同时，强化虚拟化防护、自研代码安全、AI辅助风险管控，并通过后量子计算、国密SDK等提升整体安全免疫力。
董志强表示，腾讯有大量的自研代码，要保证自研代码的安全，必须有一个默认安全的机制。即通过代码风险扫描、安全开发、漏洞治理、默认多因素认证等手段，逐步实现云默认安全体系，可以给用户提供更强的安全感。
第三，纵深防御，云平台外部构建纵深防御防护体系，以降低单点失败风险，使防御体系更具有弹性和鲁棒性。在实战安全攻防中，针对JAVA内存痛点，需强化内存检测能力。在应用层面，数据库攻防是关键，要防止攻击者利用普通权限提权后进行数据横移，需在数据库层面构建逃逸防御机制，缩小攻击爆炸范围。
第四，原生能力，云平台必须要实现并提供大量安全原生能力，建立起分层防护架构，并通过智能运营来不断提升安全水位，才能真正将默认安全理念和框架落地下来，并落实到客户层面。
随着生成式AI在企业中的应用更加广泛，其对企业组织安全基础设施和数据治理的挑战将会更大。董志强特别提到，云原生的人工智能安全态势管理(AI-SPM)产品，可以解决AI大模型环境安全、数据隐私泄露及供应链漏洞风险。腾讯云也将继续快速迭代，在工具及产品维度帮助云上客户增强AI系统的安全性、提升防御主动性、降低攻击面。
第五，智能运营，日常安全运营是运转这套体系的重要环节，“数据+AI”则是安全运营智能化的关键。一方面，全局分析能力对及时响应关键风险至关重要，它贯穿主机、账号、资源等安全运营响应的各关键节点。另一方面，安全运营要跟情报强结合，逐步运营闭环、自动化、全覆盖收敛云平台风险，以实现全局看见、全域风险检测、分钟级响应应对高等级威胁的长期目标。
基于此，腾讯云自下而上构建起兼具可靠性与可复制性的高等级安全架构，不仅为自身云业务及租户筑牢安全防线，更以体系化实践推动行业安全建设向更高水准迈进，助力网络安全建设迈向更高等级，共同应对数字化时代的安全挑战。
（免责声明：本网站内容主要来自原创、合作伙伴供稿和第三方自媒体作者投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
任何单位或个人认为本网站中的网页或链接内容可能涉嫌侵犯其知识产权或存在不实内容时，应及时向本网站提出书面权利通知或不实情况说明，并提供身份证明、权属证明及详细侵权或不实情况证明。本网站在收到上述法律文件后，将会依法尽快联系相关文章源头核实，沟通删除相关内容或断开相关链接。 ）
