数据销毁：护航数据安全的最后一公里

希望与业界各位志同道合的伙伴交流切磋最新的网络、服务器行业动态信息，同时分享腾讯在网络与服务器领域，规划、运营、研发、服务等层面的实战干货，期待与您的共同成长。

网络平台部以构建敏捷、弹性、低成本的业界领先海量互联网云计算服务平台，为支撑腾讯公司业务持续发展，为业务建立竞争优势、构建行业健康生态而持续贡献价值！

随着互联网的快速发展，网络化已经深入到人们的方方面面，随之而来的是各类涉密敏感数据几何倍的增长。而近年来信息安全事件频频发生，数据安全的重要性日益凸显。如何防止数据泄漏，是企业关注并且急需解决的问题之一。

数据安全主要涉及到两个方向：

一、网络信息安全，互联网时代不法份子借助网络安全漏洞盗窃、破坏、泄漏各种信息数据，给企业造成极大的损失。现在各种网络安全产品不断的衍进，来满足可能存在的信息安全漏洞，这类数据安全大家比较容易理解，腾讯也有专门的团队来保障网络安全。

二、数据载体安全，是数据安全的末端（即本文称之为数据安全的最后一公里），是最容易被忽略的环节。企业里最大的数据载体是存储着企业运营及业务数据的运营设备的存储介质，一般分为磁性介质HDD和非磁性介质SSD两类。若服务器在涉及到数据存储介质安全风险的运营场景，不对存储介质妥善处理，企业将面临非常大的数据泄露风险。本文将重点讲述腾讯在面临百万级服务器规模时如何通过保护数据载体安全来护航数据的最后一公里。

传统数据存储介质销毁方法

我们先来看看存储介质销毁的传统方法：在量小、规模小的时候大家通常是购买办公级的消磁机和锤子，采用简单粗暴的方式进行介质的销毁（如图1）。当量和规模稍大的时候，一般会找外部公司进行处理，或者通过压路机等更加粗暴的方式进行销毁。

简单粗暴的方法成本低，量小的时候操作效率也高；外部公司处理则省事，但成本较高。当量达到一定规模的时候，简单粗暴的方法效率和可执行性低，而外部公司则成本非常高昂。同时无论量大量小，这两种方法均存在同样的问题：难以保障障储介质100%被销毁保证其数据不可恢复，且难以回溯具体某一台机器的某一个硬盘的处理情况。

图1 传统的数据存储介质销毁方法

腾讯每年需退役存储介质数十万片，销毁数量巨大，且分散在腾讯全球的数据中心。传统的数据销毁方案无论在效率上、还是在质量和成本上均完全满足不了腾讯服务器数据存储介质安全服务器运营需求。为此，腾讯通过点线面结合的方案设计，及大型销毁工厂的定制开发，形成了一套完整的海量存储介质销毁的解决方案，完美解决了数据安全的最后一公里，避免了因数据存储介质泄漏而对公司造成的重大损失。

腾讯数据存储介质销毁解决方案

腾讯服务器运营场景复杂，涉及到数据存储介质安全的运营场景多样（如图2），且每个场景对数据存储介质销毁的需求各异（如表1）。

图2 数据存储介质销毁运营场景

表1 服务器运营场景对数据存储介质销毁需求

面对上述问题，单靠一种方案是不可能完成的。根据腾讯的服务器量级、分布特点及运营场景的不同，腾讯创新地设计了 “3”层存储介质销毁模式（如图3）：

● 第1层：建设三个大型的数据存储介质销毁工厂，以区域为面覆盖国内所有IDC，在销毁工厂提供完善的解决方案，集中处理整个公司数据存储介质销毁任务；

● 第2层，腾讯数十个IDC数据存储介质销毁中心，通过IDC内小型销毁中心的建设，存储介质的数据安全在IDC中快速、安全地闭环处理，满足需要在IDC内完成数据销毁工作的需求；

● 第3层，近百万台服务器节点，通过自动化工具，采用数据低格的方式，处理单台服务器节点的数据销毁工作；

图3   腾讯“3”层数据存储介质销毁模式

“3”层数据存储介质销毁模式像一张网一样保障腾讯全球百万级服务器数据存储介质销毁工作（如图4）。

图4 腾讯数据存储介质销毁网络

在整套方案中，不论是大型销毁工厂、小型销毁中心，还是服务器单节点在保证数据销毁的基本前提下，更是保证了整个过程的可回溯。接下来，具体看看“3”层数据存储介质销毁模式的具体情况。

数据销毁工厂

数据销毁工厂（如图5）是腾讯服务器团队及相关兄弟团队根据自身业务需求，自行设计和定制的，主要用于大规模存储介质的销毁，单个工厂销毁年产能超过数十万片，并涵盖了HDD、SSD两大类存储介质的销毁。

图5 腾讯数据销毁工厂示意图

销毁工厂是腾讯设计定制的“智能放盘→扫描→拍照→（HDD）消磁→粉粹”全自动全封闭式的流水作业，过程中人为是无法干预的。腾讯更是定制了粉碎用的刀具，确保粉碎后的颗粒无法进行数据恢复。整个过程与腾讯存储介质销毁管控平台自动对接，实现全程自动控制，且整个销毁全程可控可追溯（如图6）。

图6 存储介质销毁过程

这里需要特别提出的是在销毁工厂的方案设计过程中，根据腾讯的标准及流程，设计定制大型的全自动销毁设备过程耗费了大量的资源和时间。国内数据销毁设备的发展比较滞后，大型数据销毁设备资源非常有限，大多数供应商还是停留在传统的办公级或小型的设备的层面，我们要找的供应商除了具备传统的大型销毁设备硬件设计和制造功能力，还必须有创新研发能力和软件开发能力，按腾讯的要求开发出控制整个销毁过程的自动化控制模块的软件开发能力。

经过彻底销毁的存储介质废渣，我们会找资质齐全的知名的并经腾讯认证的电子垃圾回收服务商回收并进行绿色环保处理。

IDC销毁中心

数据销毁工厂的销毁效率高，但缺点是场地要求大，投入成本太高，不适合在每个IDC内使用，所以针对需要在IDC内部进行数据销毁的场景，我们设计了小型的、灵活的、建设周期短的IDC内数据销毁中心，IDC内数据销毁中心同样必须满足腾讯的销毁标准和销毁流程，且对销毁中心的环境和人员都有安全控制要求。

图7 IDC销毁中心示意图

服务器销毁节点

第一层数据销毁工厂和第二层IDC数据销毁中心，对数据存储介质销毁都是破坏性的销毁。对于存储介质运营过程中既需要把数据进行安全销毁又要求存储介质不会被破坏的场景就不实用了，如：服务器从A地调拨到B，服务器调拨出A地的物流过程中存在数据存储介质安全风险。针对这类场景我们就得借助于业界的在线销毁技术和供应商的在线销毁工具，以服务器为单位对其存储介质的数据进行在线销毁。常用的方法如存储介质格式化技术，经过3次数据覆盖想要恢复数据已经不可能了。

图8存储介质格式化示意图

结束语

腾讯“3”层数据存储介质销毁模式为全球百万级服务器存储介质提供数据销毁服务，保障着腾讯十亿级用户信息和公司运营数据的安全。但针对腾讯海外IDC，在满足腾讯安全及资产管理标准情况，我们制定一套认证体系，选择并认证当地资质齐全的知名的服务商上门提供数据存储介质销毁服务。经过彻底销毁的存储介质，找当地资质齐全的知名的经腾讯认证的电子垃圾回收服务商进行资产回收并进行绿色环保处理。后续我们将探索针对海外IDC特点的数据存储介质销毁方案。

最后，腾讯服务器数据存储介质安全工作还在继续，销毁工厂运营将引入智能机器人等措施提高操作效率，我们将从存储介质或服务器研发设计出发，从软硬件底层来保护其数据安全。