導(dǎo)語(yǔ)：說(shuō)到隱私數(shù)據(jù)安全，跟數(shù)據(jù)安全相比，隱私數(shù)據(jù)更明確、更細(xì)致，作為互聯(lián)網(wǎng)保險(xiǎn)公司，要保護(hù)企業(yè)的自身隱私數(shù)據(jù)安全，就需要非常完善和全方位的安全防護(hù)。4月23日，眾安保險(xiǎn)全資子公司眾安科技安全技術(shù)負(fù)責(zé)人王明博就互聯(lián)網(wǎng)保險(xiǎn)數(shù)據(jù)安全話(huà)題進(jìn)行了主題分享，以下為演講實(shí)錄。
王明博：很開(kāi)心跟在座各位同行分享眾安在隱私數(shù)據(jù)安全保護(hù)的實(shí)踐。每家公司的實(shí)踐都不一樣，今天我們主要分享眾安在日常運(yùn)營(yíng)中，從0到1以及從1到N的實(shí)踐，拋磚引玉。
一、關(guān)于我們
眾安在安全建設(shè)方面的積累，包括安全資質(zhì)，等保三級(jí)、ISO27001的合規(guī)、軟件能力成熟度的認(rèn)證，自研的安全產(chǎn)品也獲得了相應(yīng)的銷(xiāo)售許可，并且我們積極參與到信息安全行業(yè)的標(biāo)準(zhǔn)建設(shè)、區(qū)塊鏈行業(yè)的建設(shè)。今年，眾安科技獲評(píng)“2021安在新榜中國(guó)市場(chǎng)網(wǎng)絡(luò)安全大眾點(diǎn)評(píng)百?gòu)?qiáng)榜”，安全技術(shù)能力獲得了行業(yè)認(rèn)可。
二、新數(shù)字經(jīng)濟(jì)的數(shù)據(jù)安全建設(shè)難題
眾安作為互聯(lián)網(wǎng)化的企業(yè)，目前朝著新數(shù)字經(jīng)濟(jì)的方向發(fā)展，我們面臨的建設(shè)難題與解決辦法可供大家參考。
一方面是風(fēng)險(xiǎn)和監(jiān)管的雙重壓力。等保2.0、公安部1960號(hào)文、去年發(fā)布的《互聯(lián)網(wǎng)保險(xiǎn)監(jiān)督管理辦法》以及今年發(fā)布的金融行業(yè)等保2.0測(cè)評(píng)指南，對(duì)企業(yè)的信息安全合規(guī)做了很?chē)?yán)格的要求。此外還有一些相關(guān)的法律法規(guī)正在發(fā)布，比如接下來(lái)還會(huì)發(fā)布的個(gè)人隱私保護(hù)法等法規(guī)，這些法規(guī)對(duì)于企業(yè)來(lái)說(shuō)是很大的挑戰(zhàn)，需要面臨更多監(jiān)管壓力。
另一方面是隨著技術(shù)和業(yè)務(wù)的創(chuàng)新發(fā)展，數(shù)據(jù)安全管控變得越來(lái)越復(fù)雜，比如云計(jì)算應(yīng)用，以及AI和大數(shù)據(jù)開(kāi)發(fā)。業(yè)務(wù)的互聯(lián)網(wǎng)化，比如金融、保險(xiǎn)、教育、家居、電商、社交、車(chē)聯(lián)網(wǎng)、IoT等都在進(jìn)行互聯(lián)網(wǎng)化轉(zhuǎn)型，針對(duì)互聯(lián)網(wǎng)的數(shù)據(jù)泄漏新風(fēng)險(xiǎn)，比如惡意爬蟲(chóng)、黑產(chǎn)團(tuán)伙、web應(yīng)用漏洞成為數(shù)據(jù)泄漏的主要途徑。企業(yè)辦公協(xié)同，疫情催生了很多遠(yuǎn)程辦公需求，但是很多企業(yè)老舊的制度和工具難以對(duì)新型工具進(jìn)行管控，這一塊也是存在很大風(fēng)險(xiǎn)。
針對(duì)這些問(wèn)題，接下來(lái)分享一下眾安的數(shù)據(jù)安全管理建設(shè)實(shí)踐以及技術(shù)防控領(lǐng)域的實(shí)踐。
三、數(shù)據(jù)安全管理建設(shè)實(shí)踐
我們的數(shù)據(jù)安全建設(shè)工作思路是聚焦以數(shù)據(jù)安全為中心的安全建設(shè)，安全體系的建設(shè)都是圍繞著數(shù)據(jù)安全，并且在數(shù)據(jù)安全管理和數(shù)據(jù)安全技術(shù)防控并重的方式。數(shù)據(jù)安全管理方面，我們有一個(gè)數(shù)據(jù)安全管理矩陣，從能力維度、場(chǎng)景維度和管理執(zhí)行維度建設(shè)安全管理。技術(shù)方面，從技術(shù)架構(gòu)維度，包括網(wǎng)絡(luò)層、終端層、基礎(chǔ)設(shè)施層、業(yè)務(wù)應(yīng)用，無(wú)論在任何層次，我們都會(huì)對(duì)所有數(shù)據(jù)進(jìn)行分級(jí)分類(lèi)控制，同時(shí)在技術(shù)執(zhí)行層面會(huì)引入技術(shù)進(jìn)行識(shí)別、保護(hù)、檢測(cè)、響應(yīng)及處置。
無(wú)論是數(shù)據(jù)安全，還是信息安全管理，自上而下是非常關(guān)鍵的。自上而下而下分為兩類(lèi)，一個(gè)是管理意志的“自上而下”，因?yàn)樾畔踩ㄔO(shè)最重要的是領(lǐng)導(dǎo)層的支持，高層領(lǐng)導(dǎo)的支持是安全管理建設(shè)的成功基石。另一類(lèi)自上而下是制度先行或安全體系先行，比如ISO27001或等保的合規(guī)要求，可以很好地輔助我們做數(shù)據(jù)安全體系的建設(shè)�；谥贫龋拍苈鋵�(shí)相應(yīng)的技術(shù)或者手段，完成數(shù)據(jù)安全的建設(shè)工作。
權(quán)責(zé)明確、賞罰分明是落地信息安全制度的重要因素，在很多企業(yè)，有安全管理制度，但是執(zhí)行度不夠，導(dǎo)致很多制度只停留在了紙面。 眾安的實(shí)踐是從員工入職、權(quán)限變更、轉(zhuǎn)崗以及離職，整個(gè)在職周期我們都有相應(yīng)的制度和流程進(jìn)行數(shù)據(jù)安全管控。在數(shù)據(jù)安全管控時(shí)，我們會(huì)有賞罰和權(quán)責(zé)的明確，比如執(zhí)行層面，IT團(tuán)隊(duì)和信息安全團(tuán)隊(duì)會(huì)落實(shí)相應(yīng)的工具或系統(tǒng)。在識(shí)別層面，主要是依靠信息安全團(tuán)隊(duì)的監(jiān)控和數(shù)據(jù)分析。在處置層面，通過(guò)HR團(tuán)隊(duì)、法務(wù)團(tuán)隊(duì)、廉政團(tuán)隊(duì)對(duì)違規(guī)行為進(jìn)行處罰，形成威懾力，能夠很好地落地信息安全管理制度。另外還有內(nèi)審團(tuán)隊(duì)做整個(gè)流程的監(jiān)督和合規(guī)性審查。
為什么這里會(huì)提運(yùn)維自動(dòng)化？因?yàn)檫\(yùn)維自動(dòng)化可以有效降低人為因素導(dǎo)致的信息安全風(fēng)險(xiǎn)，這也是眾安在快速和安全中衍生出來(lái)的一個(gè)平臺(tái)和解決方案——DevSecOps全流程管控，我們可以做到開(kāi)發(fā)人員幾乎無(wú)法接觸到數(shù)據(jù)庫(kù)或各種關(guān)鍵設(shè)施的帳號(hào)和密碼，他只需要開(kāi)發(fā)，后續(xù)所有流程都是全自動(dòng)的，包括安全檢查、漏洞掃描、數(shù)據(jù)庫(kù)變更等等，全都是自動(dòng)化操作，這樣可以避免人為導(dǎo)致的信息安全風(fēng)險(xiǎn)。
這里有一個(gè)很簡(jiǎn)單的例子，大家可能都會(huì)聽(tīng)到安全左移的概念，就是把安全風(fēng)險(xiǎn)和漏洞控制在開(kāi)發(fā)階段，我們這邊有一個(gè)很好的實(shí)踐，很多代碼配置，比如數(shù)據(jù)庫(kù)密碼以及各種云服務(wù)帳號(hào)，這些賬號(hào)配置如果明文給到開(kāi)發(fā)者，很容易被泄漏出去。我們有自己的加密SDK，讓所有開(kāi)發(fā)人員使用統(tǒng)一的SDK，開(kāi)發(fā)者只能拿到加密后的賬號(hào)配置，并且加密的配置都有我們自己的標(biāo)識(shí)，如果這些數(shù)據(jù)泄漏出去，我們能夠很快通過(guò)公開(kāi)代碼倉(cāng)庫(kù)，比如GitHub或者其他倉(cāng)庫(kù)，能夠快速監(jiān)控到被泄漏的配置，大大提升監(jiān)測(cè)數(shù)據(jù)泄漏的效率，同時(shí)也降低了因?yàn)閱T工疏忽導(dǎo)致的敏感數(shù)據(jù)泄漏的風(fēng)險(xiǎn)。
另外一點(diǎn)也是整個(gè)眾安的核心生產(chǎn)力之一，即由數(shù)據(jù)中臺(tái)。眾安的業(yè)務(wù)很快速，自動(dòng)化業(yè)務(wù)加速、數(shù)據(jù)驅(qū)動(dòng)決策、智慧經(jīng)營(yíng)等。我們通過(guò)數(shù)據(jù)中臺(tái)進(jìn)行數(shù)據(jù)的安全管控，措施包括包括數(shù)據(jù)分級(jí)、脫敏顯示、訪(fǎng)問(wèn)控制和審批、封閉環(huán)境開(kāi)發(fā)等。通過(guò)該方式，有效的確保我們能夠在確保隱私數(shù)據(jù)安全的基礎(chǔ)上，進(jìn)行數(shù)據(jù)開(kāi)發(fā)，業(yè)務(wù)創(chuàng)新。
四、數(shù)據(jù)安全技術(shù)防控建設(shè)實(shí)踐
首先介紹一下眾安的技術(shù)防控地圖，我們把安全分成好幾個(gè)區(qū)域，包括辦公室數(shù)據(jù)安全、運(yùn)維分析數(shù)據(jù)安全、生產(chǎn)數(shù)據(jù)安全、業(yè)務(wù)應(yīng)用數(shù)據(jù)安全。辦公環(huán)境有DLP數(shù)據(jù)防泄漏，我們有網(wǎng)絡(luò)層數(shù)據(jù)防泄漏、終端層數(shù)據(jù)防泄漏、網(wǎng)絡(luò)準(zhǔn)入和VPN、用戶(hù)行為分析，也有BYOD，BYOD我們使用的是最福利APP，在一個(gè)獨(dú)立，安全的APP上進(jìn)行安全快速地辦公。運(yùn)維分析數(shù)據(jù)安全有“堡壘機(jī)”、DevSecOps研發(fā)一體化平臺(tái)、綠洲數(shù)據(jù)運(yùn)維管理平臺(tái)以及剛才介紹的數(shù)據(jù)中臺(tái)。再其次，生產(chǎn)數(shù)據(jù)也有很多“黑科技”，有可能幫助在座各位有效管控大家的數(shù)據(jù)安全。
我們現(xiàn)在介紹一下眾安辦公數(shù)據(jù)安全的“黑科技”——LOCKet DLP。
辦公數(shù)據(jù)安全有很多難點(diǎn)，識(shí)別難、分類(lèi)難、防護(hù)難、管理難，我們有自己的一套基于用戶(hù)行為分析的數(shù)據(jù)防泄漏解決方案，運(yùn)用大數(shù)據(jù)技術(shù)，通過(guò)分析企業(yè)員工的終端行為及網(wǎng)絡(luò)行為，準(zhǔn)確識(shí)別數(shù)據(jù)泄漏風(fēng)險(xiǎn)并且阻斷，包括數(shù)據(jù)識(shí)別、數(shù)據(jù)分級(jí)分類(lèi)、數(shù)據(jù)泄漏防護(hù)以及員工行為管控。同時(shí)也會(huì)做員工離職審計(jì)，或者員工出現(xiàn)零星式泄漏都能識(shí)別出來(lái)。
LOCKet DLP方案特點(diǎn)，包括多維度數(shù)據(jù)采集及防控、海量數(shù)據(jù)存儲(chǔ)及分析、基于用戶(hù)行為的風(fēng)險(xiǎn)識(shí)別。
LOCKet DLP 還提供了網(wǎng)絡(luò)層數(shù)據(jù)安全管控的網(wǎng)關(guān)，提供上網(wǎng)行為管理、加密流量管理、數(shù)據(jù)防泄漏，安全取證功能。
LOCKet DLP提供了可以便捷地做數(shù)據(jù)安全分享的功能，用戶(hù)文件比較敏感，無(wú)法通過(guò)郵件，聊天工具外發(fā)，他可以直接選擇文件，點(diǎn)擊右鍵進(jìn)行安全分享，就會(huì)生成一個(gè)鏈接發(fā)出去，鏈接具備有效期，也有審批功能，并且分享出去后，能記錄下載者的身份。
運(yùn)維和分析數(shù)據(jù)安全方面，我們有綠洲數(shù)據(jù)運(yùn)維管理系統(tǒng)，統(tǒng)一運(yùn)維生產(chǎn)環(huán)節(jié)的數(shù)據(jù)庫(kù)，數(shù)據(jù)庫(kù)管理量大、安全是最重要的。數(shù)據(jù)安全對(duì)數(shù)據(jù)庫(kù)有很多要求，比如合規(guī)、高效、智能，同時(shí)要保證安全。綠洲數(shù)據(jù)安全管理系統(tǒng)，可以理解為既開(kāi)放給DBA專(zhuān)家做日常運(yùn)維，同時(shí)又開(kāi)放給開(kāi)發(fā)人員或數(shù)據(jù)分析人員，登上去之后有統(tǒng)一的權(quán)限管控、統(tǒng)一的脫敏策略以及安全告警、審計(jì)功能。一方面所有的數(shù)據(jù)庫(kù)資產(chǎn)能統(tǒng)一管控，另一方面管控時(shí)可以進(jìn)行統(tǒng)一脫敏以及數(shù)據(jù)分級(jí)管理，有數(shù)據(jù)庫(kù)的權(quán)限審批和數(shù)據(jù)庫(kù)的數(shù)據(jù)定級(jí)，同時(shí)有數(shù)據(jù)審計(jì)。
數(shù)據(jù)脫敏管理系統(tǒng)，就是前面提到的數(shù)據(jù)中臺(tái)中一個(gè)重要組成部分，它提供了動(dòng)態(tài)脫敏，在實(shí)時(shí)查詢(xún)時(shí)進(jìn)行脫敏，以及靜態(tài)脫敏，比如從數(shù)據(jù)庫(kù)將數(shù)據(jù)批量拉到數(shù)據(jù)中臺(tái)的大數(shù)據(jù)平臺(tái)，可以提供靜態(tài)脫敏的能力。動(dòng)態(tài)脫敏存在于數(shù)據(jù)庫(kù)和應(yīng)用、數(shù)據(jù)中臺(tái)之間，進(jìn)行自動(dòng)化脫敏。動(dòng)態(tài)脫敏對(duì)于用戶(hù)來(lái)說(shuō)變動(dòng)非常小，只要接入中間層的代理就可以實(shí)現(xiàn)了。靜態(tài)脫敏是額外一臺(tái)服務(wù)抽取數(shù)據(jù)，用戶(hù)只需要發(fā)布脫敏任務(wù)即可。
分享一下生產(chǎn)環(huán)境數(shù)據(jù)安全經(jīng)驗(yàn)，生產(chǎn)環(huán)境數(shù)據(jù)安全建設(shè)有一個(gè)難點(diǎn)，就是開(kāi)發(fā)量很大，比如界面上展示的數(shù)據(jù)沒(méi)有做脫敏，或者權(quán)限管控不嚴(yán)格，A用戶(hù)可以看B用戶(hù)的數(shù)據(jù)，這一塊做改造的話(huà)，開(kāi)發(fā)量很大，權(quán)限難以管控，因?yàn)槟憬裉扉_(kāi)一個(gè)帳號(hào)權(quán)限，明天開(kāi)一個(gè)帳號(hào)權(quán)限，后面都不知道誰(shuí)擁有這些帳號(hào)權(quán)限，安全合規(guī)比較難以落地，比如等保2.0、密碼法、個(gè)人金融信息保護(hù)技術(shù)規(guī)范都對(duì)數(shù)據(jù)加密、存儲(chǔ)、傳輸作了明確要求，但是很多企業(yè)由于傳輸層改造量巨大，導(dǎo)致難以落地，如果后續(xù)審計(jì)中出現(xiàn)問(wèn)題，對(duì)企業(yè)的影響會(huì)非常大，泄漏數(shù)據(jù)難以發(fā)現(xiàn)，數(shù)據(jù)一旦泄漏，損失是難以挽回的。
我們自研了一套LOCKet XDBC動(dòng)態(tài)數(shù)據(jù)庫(kù)安全管理系統(tǒng)，基于TDDL技術(shù)理念，眾安研發(fā)了XDBC動(dòng)態(tài)數(shù)據(jù)庫(kù)安全管理系統(tǒng)，它其實(shí)是一套中間件加一個(gè)管理系統(tǒng)的一整套解決方案，一方面提供分布式數(shù)據(jù)庫(kù)處理能力，通過(guò)XDBC技術(shù)能夠動(dòng)態(tài)分庫(kù)分表，把所有數(shù)據(jù)分布式存儲(chǔ)在多個(gè)節(jié)點(diǎn)，這樣就能提升性能、存儲(chǔ)能力，同時(shí)成本又很低。另一方面，我們把安全的能力引入了進(jìn)來(lái)，有效保證解決數(shù)據(jù)在云端存儲(chǔ)的安全難題。 XDBC提供了SDK接入模式和代理接入模式，滿(mǎn)足不同的開(kāi)發(fā)改造需求。SDK接入模式需要一些開(kāi)發(fā)成本，代理接入模式完全不需要開(kāi)發(fā)成本，同時(shí)我們的加密是對(duì)接加密機(jī)的，可以滿(mǎn)足等保、密碼法的合規(guī)要求。
基于這一套系統(tǒng)，我們可以做精細(xì)化的數(shù)據(jù)權(quán)限管理，比如應(yīng)用A完全是加密的內(nèi)容，應(yīng)用B是脫敏的內(nèi)容，應(yīng)用C是完全明文的內(nèi)容，可以通過(guò)不同的應(yīng)用配置不同的權(quán)限，能夠有效管控?cái)?shù)據(jù)安全。另外它有一個(gè)優(yōu)勢(shì)，如果通過(guò)代理模式，可以不用開(kāi)發(fā)，改造成本非常低，而且提供加密、脫敏、審計(jì)一體化的能力，同時(shí)可以兼容主流的關(guān)系型數(shù)據(jù)庫(kù)，比如SQLLite、MySQL、SQL Sever、PostgreSQL、DB2、Oracle、HBASE以及國(guó)產(chǎn)數(shù)據(jù)庫(kù)TIDB。
因?yàn)槲覀兊纳a(chǎn)環(huán)境都是在云上，這里分享一下將來(lái)大家上云時(shí)都會(huì)遇到的安全難題，金融行業(yè)在云上會(huì)遇到數(shù)據(jù)非授權(quán)訪(fǎng)問(wèn)，云服務(wù)提供商會(huì)不會(huì)非授權(quán)訪(fǎng)問(wèn)數(shù)據(jù)，另外一個(gè)是黑客，因?yàn)樵谠粕�，黑客攻擊面更多。云服�?wù)器提供商會(huì)不會(huì)沒(méi)有按照我們的要求銷(xiāo)毀我們不要的數(shù)據(jù)，多租戶(hù)場(chǎng)景中的數(shù)據(jù)傳輸如果不加密的話(huà)安全風(fēng)險(xiǎn)是很高的。針對(duì)這些問(wèn)題，CASB概念在國(guó)外已經(jīng)很熱門(mén)，但在國(guó)內(nèi)，眾安算是第一個(gè)“吃螃蟹的人”，眾安很早就開(kāi)始用CASB技術(shù)，比如SaaS應(yīng)用，為了解決CRM、OA系統(tǒng)，它的數(shù)據(jù)給到OA服務(wù)商或者CRM SaaS服務(wù)提供商，如果他售賣(mài)這些數(shù)據(jù)，我們是無(wú)法感知的，或者說(shuō)發(fā)現(xiàn)時(shí)已經(jīng)來(lái)不及了。我們可以通過(guò)網(wǎng)關(guān)自定義要提交給SaaS服務(wù)的字段，做自動(dòng)化加密，不需要額外開(kāi)發(fā)。數(shù)據(jù)完全掌控在租戶(hù)手中，不依賴(lài)于SaaS服務(wù)提供商，同時(shí)可以支持模糊搜索加密，如果有些業(yè)務(wù)字段需要做搜索，加密之后也不受影響。支持國(guó)密算法、國(guó)際算法。
云存儲(chǔ)數(shù)據(jù)安全，這一塊要著重講一下，我們引入LOCKet FS云存儲(chǔ)動(dòng)態(tài)家民網(wǎng)關(guān)，為了滿(mǎn)足很多開(kāi)發(fā)人員改造的復(fù)雜度，我們把它做成配置化，不需要接入額外代碼，只需要簡(jiǎn)單配置，就可以自動(dòng)把敏感數(shù)據(jù)存儲(chǔ)在云端。
web應(yīng)用防火墻，很多企業(yè)WAF主要是用來(lái)防護(hù)生產(chǎn)的應(yīng)用，隨著互聯(lián)網(wǎng)化，我們的WAF是分布式的、不同環(huán)境的，無(wú)論是內(nèi)網(wǎng)、外網(wǎng)，它是任何地方都可以進(jìn)行防護(hù)。同時(shí)，它提供web攻擊防護(hù)、BOT反爬管理，用戶(hù)行為采集我們也會(huì)在WAF上做，基于用戶(hù)行為去做數(shù)據(jù)防泄漏分析和告警。通過(guò)動(dòng)態(tài)安全防護(hù)，我們可以對(duì)爬蟲(chóng)進(jìn)行人機(jī)識(shí)別，限制因?yàn)榕老x(chóng)導(dǎo)致數(shù)據(jù)泄漏。WAF提供了自適應(yīng)的用戶(hù)行為審計(jì)功能，很多企業(yè)在等保測(cè)評(píng)中有一些業(yè)務(wù)系統(tǒng)需要做行為審計(jì)，但是很多業(yè)務(wù)系統(tǒng)沒(méi)有這個(gè)功能，安全工程師去推動(dòng)時(shí)，很多開(kāi)發(fā)者都不愿意排期。我們這套系統(tǒng)可以滿(mǎn)足，只要有需要，任何一個(gè)應(yīng)用接入我們的網(wǎng)關(guān)，只要配置一下，它就可以完全各種審計(jì)功能。
同時(shí)，它是一個(gè)專(zhuān)業(yè)的SLB，可以分布在私有云、阿里云、騰訊云或其他云，只要有一個(gè)管理臺(tái)，即可管控所有的網(wǎng)站，可以大大提升效率，降低成本。
今天的分享就到這里，謝謝大家！
轉(zhuǎn)載請(qǐng)注明來(lái)源：360常識(shí)大全網(wǎng) http://www.chouju30.cn/
