導(dǎo)語：說到隱私數(shù)據(jù)安全，跟數(shù)據(jù)安全相比，隱私數(shù)據(jù)更明確、更細(xì)致，作為互聯(lián)網(wǎng)保險(xiǎn)公司，要保護(hù)企業(yè)的自身隱私數(shù)據(jù)安全，就需要非常完善和全方位的安全防護(hù)。4月23日，眾安保險(xiǎn)全資子公司眾安科技安全技術(shù)負(fù)責(zé)人王明博就互聯(lián)網(wǎng)保險(xiǎn)數(shù)據(jù)安全話題進(jìn)行了主題分享，以下為演講實(shí)錄。

王明博：很開心跟在座各位同行分享眾安在隱私數(shù)據(jù)安全保護(hù)的實(shí)踐。每家公司的實(shí)踐都不一樣，今天我們主要分享眾安在日常運(yùn)營(yíng)中，從0到1以及從1到N的實(shí)踐，拋磚引玉。

一、關(guān)于我們

眾安在安全建設(shè)方面的積累，包括安全資質(zhì)，等保三級(jí)、ISO27001的合規(guī)、軟件能力成熟度的認(rèn)證，自研的安全產(chǎn)品也獲得了相應(yīng)的銷售許可，并且我們積極參與到信息安全行業(yè)的標(biāo)準(zhǔn)建設(shè)、區(qū)塊鏈行業(yè)的建設(shè)。今年，眾安科技獲評(píng)“2021安在新榜中國(guó)市場(chǎng)網(wǎng)絡(luò)安全大眾點(diǎn)評(píng)百?gòu)?qiáng)榜”，安全技術(shù)能力獲得了行業(yè)認(rèn)可。

二、新數(shù)字經(jīng)濟(jì)的數(shù)據(jù)安全建設(shè)難題

眾安作為互聯(lián)網(wǎng)化的企業(yè)，目前朝著新數(shù)字經(jīng)濟(jì)的方向發(fā)展，我們面臨的建設(shè)難題與解決辦法可供大家參考。

一方面是風(fēng)險(xiǎn)和監(jiān)管的雙重壓力。等保2.0、公安部1960號(hào)文、去年發(fā)布的《互聯(lián)網(wǎng)保險(xiǎn)監(jiān)督管理辦法》以及今年發(fā)布的金融行業(yè)等保2.0測(cè)評(píng)指南，對(duì)企業(yè)的信息安全合規(guī)做了很嚴(yán)格的要求。此外還有一些相關(guān)的法律法規(guī)正在發(fā)布，比如接下來還會(huì)發(fā)布的個(gè)人隱私保護(hù)法等法規(guī)，這些法規(guī)對(duì)于企業(yè)來說是很大的挑戰(zhàn)，需要面臨更多監(jiān)管壓力。

另一方面是隨著技術(shù)和業(yè)務(wù)的創(chuàng)新發(fā)展，數(shù)據(jù)安全管控變得越來越復(fù)雜，比如云計(jì)算應(yīng)用，以及AI和大數(shù)據(jù)開發(fā)。業(yè)務(wù)的互聯(lián)網(wǎng)化，比如金融、保險(xiǎn)、教育、家居、電商、社交、車聯(lián)網(wǎng)、IoT等都在進(jìn)行互聯(lián)網(wǎng)化轉(zhuǎn)型，針對(duì)互聯(lián)網(wǎng)的數(shù)據(jù)泄漏新風(fēng)險(xiǎn)，比如惡意爬蟲、黑產(chǎn)團(tuán)伙、web應(yīng)用漏洞成為數(shù)據(jù)泄漏的主要途徑。企業(yè)辦公協(xié)同，疫情催生了很多遠(yuǎn)程辦公需求，但是很多企業(yè)老舊的制度和工具難以對(duì)新型工具進(jìn)行管控，這一塊也是存在很大風(fēng)險(xiǎn)。

針對(duì)這些問題，接下來分享一下眾安的數(shù)據(jù)安全管理建設(shè)實(shí)踐以及技術(shù)防控領(lǐng)域的實(shí)踐。

三、數(shù)據(jù)安全管理建設(shè)實(shí)踐

我們的數(shù)據(jù)安全建設(shè)工作思路是聚焦以數(shù)據(jù)安全為中心的安全建設(shè)，安全體系的建設(shè)都是圍繞著數(shù)據(jù)安全，并且在數(shù)據(jù)安全管理和數(shù)據(jù)安全技術(shù)防控并重的方式。數(shù)據(jù)安全管理方面，我們有一個(gè)數(shù)據(jù)安全管理矩陣，從能力維度、場(chǎng)景維度和管理執(zhí)行維度建設(shè)安全管理。技術(shù)方面，從技術(shù)架構(gòu)維度，包括網(wǎng)絡(luò)層、終端層、基礎(chǔ)設(shè)施層、業(yè)務(wù)應(yīng)用，無論在任何層次，我們都會(huì)對(duì)所有數(shù)據(jù)進(jìn)行分級(jí)分類控制，同時(shí)在技術(shù)執(zhí)行層面會(huì)引入技術(shù)進(jìn)行識(shí)別、保護(hù)、檢測(cè)、響應(yīng)及處置。

無論是數(shù)據(jù)安全，還是信息安全管理，自上而下是非常關(guān)鍵的。自上而下而下分為兩類，一個(gè)是管理意志的“自上而下”，因?yàn)樾畔踩ㄔO(shè)最重要的是領(lǐng)導(dǎo)層的支持，高層領(lǐng)導(dǎo)的支持是安全管理建設(shè)的成功基石。另一類自上而下是制度先行或安全體系先行，比如ISO27001或等保的合規(guī)要求，可以很好地輔助我們做數(shù)據(jù)安全體系的建設(shè)。基于制度，才能落實(shí)相應(yīng)的技術(shù)或者手段，完成數(shù)據(jù)安全的建設(shè)工作。

權(quán)責(zé)明確、賞罰分明是落地信息安全制度的重要因素，在很多企業(yè)，有安全管理制度，但是執(zhí)行度不夠，導(dǎo)致很多制度只停留在了紙面。 眾安的實(shí)踐是從員工入職、權(quán)限變更、轉(zhuǎn)崗以及離職，整個(gè)在職周期我們都有相應(yīng)的制度和流程進(jìn)行數(shù)據(jù)安全管控。在數(shù)據(jù)安全管控時(shí)，我們會(huì)有賞罰和權(quán)責(zé)的明確，比如執(zhí)行層面，IT團(tuán)隊(duì)和信息安全團(tuán)隊(duì)會(huì)落實(shí)相應(yīng)的工具或系統(tǒng)。在識(shí)別層面，主要是依靠信息安全團(tuán)隊(duì)的監(jiān)控和數(shù)據(jù)分析。在處置層面，通過HR團(tuán)隊(duì)、法務(wù)團(tuán)隊(duì)、廉政團(tuán)隊(duì)對(duì)違規(guī)行為進(jìn)行處罰，形成威懾力，能夠很好地落地信息安全管理制度。另外還有內(nèi)審團(tuán)隊(duì)做整個(gè)流程的監(jiān)督和合規(guī)性審查。

為什么這里會(huì)提運(yùn)維自動(dòng)化？因?yàn)檫\(yùn)維自動(dòng)化可以有效降低人為因素導(dǎo)致的信息安全風(fēng)險(xiǎn)，這也是眾安在快速和安全中衍生出來的一個(gè)平臺(tái)和解決方案——DevSecOps全流程管控，我們可以做到開發(fā)人員幾乎無法接觸到數(shù)據(jù)庫(kù)或各種關(guān)鍵設(shè)施的帳號(hào)和密碼，他只需要開發(fā)，后續(xù)所有流程都是全自動(dòng)的，包括安全檢查、漏洞掃描、數(shù)據(jù)庫(kù)變更等等，全都是自動(dòng)化操作，這樣可以避免人為導(dǎo)致的信息安全風(fēng)險(xiǎn)。

這里有一個(gè)很簡(jiǎn)單的例子，大家可能都會(huì)聽到安全左移的概念，就是把安全風(fēng)險(xiǎn)和漏洞控制在開發(fā)階段，我們這邊有一個(gè)很好的實(shí)踐，很多代碼配置，比如數(shù)據(jù)庫(kù)密碼以及各種云服務(wù)帳號(hào)，這些賬號(hào)配置如果明文給到開發(fā)者，很容易被泄漏出去。我們有自己的加密SDK，讓所有開發(fā)人員使用統(tǒng)一的SDK，開發(fā)者只能拿到加密后的賬號(hào)配置，并且加密的配置都有我們自己的標(biāo)識(shí)，如果這些數(shù)據(jù)泄漏出去，我們能夠很快通過公開代碼倉(cāng)庫(kù)，比如GitHub或者其他倉(cāng)庫(kù)，能夠快速監(jiān)控到被泄漏的配置，大大提升監(jiān)測(cè)數(shù)據(jù)泄漏的效率，同時(shí)也降低了因?yàn)閱T工疏忽導(dǎo)致的敏感數(shù)據(jù)泄漏的風(fēng)險(xiǎn)。

另外一點(diǎn)也是整個(gè)眾安的核心生產(chǎn)力之一，即由數(shù)據(jù)中臺(tái)。眾安的業(yè)務(wù)很快速，自動(dòng)化業(yè)務(wù)加速、數(shù)據(jù)驅(qū)動(dòng)決策、智慧經(jīng)營(yíng)等。我們通過數(shù)據(jù)中臺(tái)進(jìn)行數(shù)據(jù)的安全管控，措施包括包括數(shù)據(jù)分級(jí)、脫敏顯示、訪問控制和審批、封閉環(huán)境開發(fā)等。通過該方式，有效的確保我們能夠在確保隱私數(shù)據(jù)安全的基礎(chǔ)上，進(jìn)行數(shù)據(jù)開發(fā)，業(yè)務(wù)創(chuàng)新。

四、數(shù)據(jù)安全技術(shù)防控建設(shè)實(shí)踐

首先介紹一下眾安的技術(shù)防控地圖，我們把安全分成好幾個(gè)區(qū)域，包括辦公室數(shù)據(jù)安全、運(yùn)維分析數(shù)據(jù)安全、生產(chǎn)數(shù)據(jù)安全、業(yè)務(wù)應(yīng)用數(shù)據(jù)安全。辦公環(huán)境有DLP數(shù)據(jù)防泄漏，我們有網(wǎng)絡(luò)層數(shù)據(jù)防泄漏、終端層數(shù)據(jù)防泄漏、網(wǎng)絡(luò)準(zhǔn)入和VPN、用戶行為分析，也有BYOD，BYOD我們使用的是最福利APP，在一個(gè)獨(dú)立，安全的APP上進(jìn)行安全快速地辦公。運(yùn)維分析數(shù)據(jù)安全有“堡壘機(jī)”、DevSecOps研發(fā)一體化平臺(tái)、綠洲數(shù)據(jù)運(yùn)維管理平臺(tái)以及剛才介紹的數(shù)據(jù)中臺(tái)。再其次，生產(chǎn)數(shù)據(jù)也有很多“黑科技”，有可能幫助在座各位有效管控大家的數(shù)據(jù)安全。

我們現(xiàn)在介紹一下眾安辦公數(shù)據(jù)安全的“黑科技”——LOCKet DLP。

辦公數(shù)據(jù)安全有很多難點(diǎn)，識(shí)別難、分類難、防護(hù)難、管理難，我們有自己的一套基于用戶行為分析的數(shù)據(jù)防泄漏解決方案，運(yùn)用大數(shù)據(jù)技術(shù)，通過分析企業(yè)員工的終端行為及網(wǎng)絡(luò)行為，準(zhǔn)確識(shí)別數(shù)據(jù)泄漏風(fēng)險(xiǎn)并且阻斷，包括數(shù)據(jù)識(shí)別、數(shù)據(jù)分級(jí)分類、數(shù)據(jù)泄漏防護(hù)以及員工行為管控。同時(shí)也會(huì)做員工離職審計(jì)，或者員工出現(xiàn)零星式泄漏都能識(shí)別出來。

 LOCKet DLP方案特點(diǎn)，包括多維度數(shù)據(jù)采集及防控、海量數(shù)據(jù)存儲(chǔ)及分析、基于用戶行為的風(fēng)險(xiǎn)識(shí)別。

LOCKet DLP 還提供了網(wǎng)絡(luò)層數(shù)據(jù)安全管控的網(wǎng)關(guān)，提供上網(wǎng)行為管理、加密流量管理、數(shù)據(jù)防泄漏，安全取證功能。

LOCKet DLP提供了可以便捷地做數(shù)據(jù)安全分享的功能，用戶文件比較敏感，無法通過郵件，聊天工具外發(fā)，他可以直接選擇文件，點(diǎn)擊右鍵進(jìn)行安全分享，就會(huì)生成一個(gè)鏈接發(fā)出去，鏈接具備有效期，也有審批功能，并且分享出去后，能記錄下載者的身份。

運(yùn)維和分析數(shù)據(jù)安全方面，我們有綠洲數(shù)據(jù)運(yùn)維管理系統(tǒng)，統(tǒng)一運(yùn)維生產(chǎn)環(huán)節(jié)的數(shù)據(jù)庫(kù)，數(shù)據(jù)庫(kù)管理量大、安全是最重要的。數(shù)據(jù)安全對(duì)數(shù)據(jù)庫(kù)有很多要求，比如合規(guī)、高效、智能，同時(shí)要保證安全。綠洲數(shù)據(jù)安全管理系統(tǒng)，可以理解為既開放給DBA專家做日常運(yùn)維，同時(shí)又開放給開發(fā)人員或數(shù)據(jù)分析人員，登上去之后有統(tǒng)一的權(quán)限管控、統(tǒng)一的脫敏策略以及安全告警、審計(jì)功能。一方面所有的數(shù)據(jù)庫(kù)資產(chǎn)能統(tǒng)一管控，另一方面管控時(shí)可以進(jìn)行統(tǒng)一脫敏以及數(shù)據(jù)分級(jí)管理，有數(shù)據(jù)庫(kù)的權(quán)限審批和數(shù)據(jù)庫(kù)的數(shù)據(jù)定級(jí)，同時(shí)有數(shù)據(jù)審計(jì)。

數(shù)據(jù)脫敏管理系統(tǒng)，就是前面提到的數(shù)據(jù)中臺(tái)中一個(gè)重要組成部分，它提供了動(dòng)態(tài)脫敏，在實(shí)時(shí)查詢時(shí)進(jìn)行脫敏，以及靜態(tài)脫敏，比如從數(shù)據(jù)庫(kù)將數(shù)據(jù)批量拉到數(shù)據(jù)中臺(tái)的大數(shù)據(jù)平臺(tái)，可以提供靜態(tài)脫敏的能力。動(dòng)態(tài)脫敏存在于數(shù)據(jù)庫(kù)和應(yīng)用、數(shù)據(jù)中臺(tái)之間，進(jìn)行自動(dòng)化脫敏。動(dòng)態(tài)脫敏對(duì)于用戶來說變動(dòng)非常小，只要接入中間層的代理就可以實(shí)現(xiàn)了。靜態(tài)脫敏是額外一臺(tái)服務(wù)抽取數(shù)據(jù)，用戶只需要發(fā)布脫敏任務(wù)即可。

分享一下生產(chǎn)環(huán)境數(shù)據(jù)安全經(jīng)驗(yàn)，生產(chǎn)環(huán)境數(shù)據(jù)安全建設(shè)有一個(gè)難點(diǎn)，就是開發(fā)量很大，比如界面上展示的數(shù)據(jù)沒有做脫敏，或者權(quán)限管控不嚴(yán)格，A用戶可以看B用戶的數(shù)據(jù)，這一塊做改造的話，開發(fā)量很大，權(quán)限難以管控，因?yàn)槟憬裉扉_一個(gè)帳號(hào)權(quán)限，明天開一個(gè)帳號(hào)權(quán)限，后面都不知道誰擁有這些帳號(hào)權(quán)限，安全合規(guī)比較難以落地，比如等保2.0、密碼法、個(gè)人金融信息保護(hù)技術(shù)規(guī)范都對(duì)數(shù)據(jù)加密、存儲(chǔ)、傳輸作了明確要求，但是很多企業(yè)由于傳輸層改造量巨大，導(dǎo)致難以落地，如果后續(xù)審計(jì)中出現(xiàn)問題，對(duì)企業(yè)的影響會(huì)非常大，泄漏數(shù)據(jù)難以發(fā)現(xiàn)，數(shù)據(jù)一旦泄漏，損失是難以挽回的。

我們自研了一套LOCKet XDBC動(dòng)態(tài)數(shù)據(jù)庫(kù)安全管理系統(tǒng)，基于TDDL技術(shù)理念，眾安研發(fā)了XDBC動(dòng)態(tài)數(shù)據(jù)庫(kù)安全管理系統(tǒng)，它其實(shí)是一套中間件加一個(gè)管理系統(tǒng)的一整套解決方案，一方面提供分布式數(shù)據(jù)庫(kù)處理能力，通過XDBC技術(shù)能夠動(dòng)態(tài)分庫(kù)分表，把所有數(shù)據(jù)分布式存儲(chǔ)在多個(gè)節(jié)點(diǎn)，這樣就能提升性能、存儲(chǔ)能力，同時(shí)成本又很低。另一方面，我們把安全的能力引入了進(jìn)來，有效保證解決數(shù)據(jù)在云端存儲(chǔ)的安全難題。 XDBC提供了SDK接入模式和代理接入模式，滿足不同的開發(fā)改造需求。SDK接入模式需要一些開發(fā)成本，代理接入模式完全不需要開發(fā)成本，同時(shí)我們的加密是對(duì)接加密機(jī)的，可以滿足等保、密碼法的合規(guī)要求。

基于這一套系統(tǒng)，我們可以做精細(xì)化的數(shù)據(jù)權(quán)限管理，比如應(yīng)用A完全是加密的內(nèi)容，應(yīng)用B是脫敏的內(nèi)容，應(yīng)用C是完全明文的內(nèi)容，可以通過不同的應(yīng)用配置不同的權(quán)限，能夠有效管控?cái)?shù)據(jù)安全。另外它有一個(gè)優(yōu)勢(shì)，如果通過代理模式，可以不用開發(fā)，改造成本非常低，而且提供加密、脫敏、審計(jì)一體化的能力，同時(shí)可以兼容主流的關(guān)系型數(shù)據(jù)庫(kù)，比如SQLLite、MySQL、SQL Sever、PostgreSQL、DB2、Oracle、HBASE以及國(guó)產(chǎn)數(shù)據(jù)庫(kù)TIDB。

因?yàn)槲覀兊纳a(chǎn)環(huán)境都是在云上，這里分享一下將來大家上云時(shí)都會(huì)遇到的安全難題，金融行業(yè)在云上會(huì)遇到數(shù)據(jù)非授權(quán)訪問，云服務(wù)提供商會(huì)不會(huì)非授權(quán)訪問數(shù)據(jù)，另外一個(gè)是黑客，因?yàn)樵谠粕?，黑客攻擊面更多。云服?wù)器提供商會(huì)不會(huì)沒有按照我們的要求銷毀我們不要的數(shù)據(jù)，多租戶場(chǎng)景中的數(shù)據(jù)傳輸如果不加密的話安全風(fēng)險(xiǎn)是很高的。針對(duì)這些問題，CASB概念在國(guó)外已經(jīng)很熱門，但在國(guó)內(nèi)，眾安算是第一個(gè)“吃螃蟹的人”，眾安很早就開始用CASB技術(shù)，比如SaaS應(yīng)用，為了解決CRM、OA系統(tǒng)，它的數(shù)據(jù)給到OA服務(wù)商或者CRM SaaS服務(wù)提供商，如果他售賣這些數(shù)據(jù)，我們是無法感知的，或者說發(fā)現(xiàn)時(shí)已經(jīng)來不及了。我們可以通過網(wǎng)關(guān)自定義要提交給SaaS服務(wù)的字段，做自動(dòng)化加密，不需要額外開發(fā)。數(shù)據(jù)完全掌控在租戶手中，不依賴于SaaS服務(wù)提供商，同時(shí)可以支持模糊搜索加密，如果有些業(yè)務(wù)字段需要做搜索，加密之后也不受影響。支持國(guó)密算法、國(guó)際算法。

云存儲(chǔ)數(shù)據(jù)安全，這一塊要著重講一下，我們引入LOCKet FS云存儲(chǔ)動(dòng)態(tài)家民網(wǎng)關(guān)，為了滿足很多開發(fā)人員改造的復(fù)雜度，我們把它做成配置化，不需要接入額外代碼，只需要簡(jiǎn)單配置，就可以自動(dòng)把敏感數(shù)據(jù)存儲(chǔ)在云端。

web應(yīng)用防火墻，很多企業(yè)WAF主要是用來防護(hù)生產(chǎn)的應(yīng)用，隨著互聯(lián)網(wǎng)化，我們的WAF是分布式的、不同環(huán)境的，無論是內(nèi)網(wǎng)、外網(wǎng)，它是任何地方都可以進(jìn)行防護(hù)。同時(shí)，它提供web攻擊防護(hù)、BOT反爬管理，用戶行為采集我們也會(huì)在WAF上做，基于用戶行為去做數(shù)據(jù)防泄漏分析和告警。通過動(dòng)態(tài)安全防護(hù)，我們可以對(duì)爬蟲進(jìn)行人機(jī)識(shí)別，限制因?yàn)榕老x導(dǎo)致數(shù)據(jù)泄漏。WAF提供了自適應(yīng)的用戶行為審計(jì)功能，很多企業(yè)在等保測(cè)評(píng)中有一些業(yè)務(wù)系統(tǒng)需要做行為審計(jì)，但是很多業(yè)務(wù)系統(tǒng)沒有這個(gè)功能，安全工程師去推動(dòng)時(shí)，很多開發(fā)者都不愿意排期。我們這套系統(tǒng)可以滿足，只要有需要，任何一個(gè)應(yīng)用接入我們的網(wǎng)關(guān)，只要配置一下，它就可以完全各種審計(jì)功能。

同時(shí)，它是一個(gè)專業(yè)的SLB，可以分布在私有云、阿里云、騰訊云或其他云，只要有一個(gè)管理臺(tái)，即可管控所有的網(wǎng)站，可以大大提升效率，降低成本。

今天的分享就到這里，謝謝大家！

 

關(guān)鍵詞：