導語：說到隱私數(shù)據(jù)安全，跟數(shù)據(jù)安全相比，隱私數(shù)據(jù)更明確、更細致，作為互聯(lián)網(wǎng)保險公司，要保護企業(yè)的自身隱私數(shù)據(jù)安全，就需要非常完善和全方位的安全防護。4月23日，眾安保險全資子公司眾安科技安全技術負責人王明博就互聯(lián)網(wǎng)保險數(shù)據(jù)安全話題進行了主題分享，以下為演講實錄。

王明博：很開心跟在座各位同行分享眾安在隱私數(shù)據(jù)安全保護的實踐。每家公司的實踐都不一樣，今天我們主要分享眾安在日常運營中，從0到1以及從1到N的實踐，拋磚引玉。

一、關于我們

眾安在安全建設方面的積累，包括安全資質(zhì)，等保三級、ISO27001的合規(guī)、軟件能力成熟度的認證，自研的安全產(chǎn)品也獲得了相應的銷售許可，并且我們積極參與到信息安全行業(yè)的標準建設、區(qū)塊鏈行業(yè)的建設。今年，眾安科技獲評“2021安在新榜中國市場網(wǎng)絡安全大眾點評百強榜”，安全技術能力獲得了行業(yè)認可。

二、新數(shù)字經(jīng)濟的數(shù)據(jù)安全建設難題

眾安作為互聯(lián)網(wǎng)化的企業(yè)，目前朝著新數(shù)字經(jīng)濟的方向發(fā)展，我們面臨的建設難題與解決辦法可供大家參考。

一方面是風險和監(jiān)管的雙重壓力。等保2.0、公安部1960號文、去年發(fā)布的《互聯(lián)網(wǎng)保險監(jiān)督管理辦法》以及今年發(fā)布的金融行業(yè)等保2.0測評指南，對企業(yè)的信息安全合規(guī)做了很嚴格的要求。此外還有一些相關的法律法規(guī)正在發(fā)布，比如接下來還會發(fā)布的個人隱私保護法等法規(guī)，這些法規(guī)對于企業(yè)來說是很大的挑戰(zhàn)，需要面臨更多監(jiān)管壓力。

另一方面是隨著技術和業(yè)務的創(chuàng)新發(fā)展，數(shù)據(jù)安全管控變得越來越復雜，比如云計算應用，以及AI和大數(shù)據(jù)開發(fā)。業(yè)務的互聯(lián)網(wǎng)化，比如金融、保險、教育、家居、電商、社交、車聯(lián)網(wǎng)、IoT等都在進行互聯(lián)網(wǎng)化轉(zhuǎn)型，針對互聯(lián)網(wǎng)的數(shù)據(jù)泄漏新風險，比如惡意爬蟲、黑產(chǎn)團伙、web應用漏洞成為數(shù)據(jù)泄漏的主要途徑。企業(yè)辦公協(xié)同，疫情催生了很多遠程辦公需求，但是很多企業(yè)老舊的制度和工具難以對新型工具進行管控，這一塊也是存在很大風險。

針對這些問題，接下來分享一下眾安的數(shù)據(jù)安全管理建設實踐以及技術防控領域的實踐。

三、數(shù)據(jù)安全管理建設實踐

我們的數(shù)據(jù)安全建設工作思路是聚焦以數(shù)據(jù)安全為中心的安全建設，安全體系的建設都是圍繞著數(shù)據(jù)安全，并且在數(shù)據(jù)安全管理和數(shù)據(jù)安全技術防控并重的方式。數(shù)據(jù)安全管理方面，我們有一個數(shù)據(jù)安全管理矩陣，從能力維度、場景維度和管理執(zhí)行維度建設安全管理。技術方面，從技術架構維度，包括網(wǎng)絡層、終端層、基礎設施層、業(yè)務應用，無論在任何層次，我們都會對所有數(shù)據(jù)進行分級分類控制，同時在技術執(zhí)行層面會引入技術進行識別、保護、檢測、響應及處置。

無論是數(shù)據(jù)安全，還是信息安全管理，自上而下是非常關鍵的。自上而下而下分為兩類，一個是管理意志的“自上而下”，因為信息安全建設最重要的是領導層的支持，高層領導的支持是安全管理建設的成功基石。另一類自上而下是制度先行或安全體系先行，比如ISO27001或等保的合規(guī)要求，可以很好地輔助我們做數(shù)據(jù)安全體系的建設?；谥贫龋拍苈鋵嵪鄳募夹g或者手段，完成數(shù)據(jù)安全的建設工作。

權責明確、賞罰分明是落地信息安全制度的重要因素，在很多企業(yè)，有安全管理制度，但是執(zhí)行度不夠，導致很多制度只停留在了紙面。 眾安的實踐是從員工入職、權限變更、轉(zhuǎn)崗以及離職，整個在職周期我們都有相應的制度和流程進行數(shù)據(jù)安全管控。在數(shù)據(jù)安全管控時，我們會有賞罰和權責的明確，比如執(zhí)行層面，IT團隊和信息安全團隊會落實相應的工具或系統(tǒng)。在識別層面，主要是依靠信息安全團隊的監(jiān)控和數(shù)據(jù)分析。在處置層面，通過HR團隊、法務團隊、廉政團隊對違規(guī)行為進行處罰，形成威懾力，能夠很好地落地信息安全管理制度。另外還有內(nèi)審團隊做整個流程的監(jiān)督和合規(guī)性審查。

為什么這里會提運維自動化？因為運維自動化可以有效降低人為因素導致的信息安全風險，這也是眾安在快速和安全中衍生出來的一個平臺和解決方案——DevSecOps全流程管控，我們可以做到開發(fā)人員幾乎無法接觸到數(shù)據(jù)庫或各種關鍵設施的帳號和密碼，他只需要開發(fā)，后續(xù)所有流程都是全自動的，包括安全檢查、漏洞掃描、數(shù)據(jù)庫變更等等，全都是自動化操作，這樣可以避免人為導致的信息安全風險。

這里有一個很簡單的例子，大家可能都會聽到安全左移的概念，就是把安全風險和漏洞控制在開發(fā)階段，我們這邊有一個很好的實踐，很多代碼配置，比如數(shù)據(jù)庫密碼以及各種云服務帳號，這些賬號配置如果明文給到開發(fā)者，很容易被泄漏出去。我們有自己的加密SDK，讓所有開發(fā)人員使用統(tǒng)一的SDK，開發(fā)者只能拿到加密后的賬號配置，并且加密的配置都有我們自己的標識，如果這些數(shù)據(jù)泄漏出去，我們能夠很快通過公開代碼倉庫，比如GitHub或者其他倉庫，能夠快速監(jiān)控到被泄漏的配置，大大提升監(jiān)測數(shù)據(jù)泄漏的效率，同時也降低了因為員工疏忽導致的敏感數(shù)據(jù)泄漏的風險。

另外一點也是整個眾安的核心生產(chǎn)力之一，即由數(shù)據(jù)中臺。眾安的業(yè)務很快速，自動化業(yè)務加速、數(shù)據(jù)驅(qū)動決策、智慧經(jīng)營等。我們通過數(shù)據(jù)中臺進行數(shù)據(jù)的安全管控，措施包括包括數(shù)據(jù)分級、脫敏顯示、訪問控制和審批、封閉環(huán)境開發(fā)等。通過該方式，有效的確保我們能夠在確保隱私數(shù)據(jù)安全的基礎上，進行數(shù)據(jù)開發(fā)，業(yè)務創(chuàng)新。

四、數(shù)據(jù)安全技術防控建設實踐

首先介紹一下眾安的技術防控地圖，我們把安全分成好幾個區(qū)域，包括辦公室數(shù)據(jù)安全、運維分析數(shù)據(jù)安全、生產(chǎn)數(shù)據(jù)安全、業(yè)務應用數(shù)據(jù)安全。辦公環(huán)境有DLP數(shù)據(jù)防泄漏，我們有網(wǎng)絡層數(shù)據(jù)防泄漏、終端層數(shù)據(jù)防泄漏、網(wǎng)絡準入和VPN、用戶行為分析，也有BYOD，BYOD我們使用的是最福利APP，在一個獨立，安全的APP上進行安全快速地辦公。運維分析數(shù)據(jù)安全有“堡壘機”、DevSecOps研發(fā)一體化平臺、綠洲數(shù)據(jù)運維管理平臺以及剛才介紹的數(shù)據(jù)中臺。再其次，生產(chǎn)數(shù)據(jù)也有很多“黑科技”，有可能幫助在座各位有效管控大家的數(shù)據(jù)安全。

我們現(xiàn)在介紹一下眾安辦公數(shù)據(jù)安全的“黑科技”——LOCKet DLP。

辦公數(shù)據(jù)安全有很多難點，識別難、分類難、防護難、管理難，我們有自己的一套基于用戶行為分析的數(shù)據(jù)防泄漏解決方案，運用大數(shù)據(jù)技術，通過分析企業(yè)員工的終端行為及網(wǎng)絡行為，準確識別數(shù)據(jù)泄漏風險并且阻斷，包括數(shù)據(jù)識別、數(shù)據(jù)分級分類、數(shù)據(jù)泄漏防護以及員工行為管控。同時也會做員工離職審計，或者員工出現(xiàn)零星式泄漏都能識別出來。

 LOCKet DLP方案特點，包括多維度數(shù)據(jù)采集及防控、海量數(shù)據(jù)存儲及分析、基于用戶行為的風險識別。

LOCKet DLP 還提供了網(wǎng)絡層數(shù)據(jù)安全管控的網(wǎng)關，提供上網(wǎng)行為管理、加密流量管理、數(shù)據(jù)防泄漏，安全取證功能。

LOCKet DLP提供了可以便捷地做數(shù)據(jù)安全分享的功能，用戶文件比較敏感，無法通過郵件，聊天工具外發(fā)，他可以直接選擇文件，點擊右鍵進行安全分享，就會生成一個鏈接發(fā)出去，鏈接具備有效期，也有審批功能，并且分享出去后，能記錄下載者的身份。

運維和分析數(shù)據(jù)安全方面，我們有綠洲數(shù)據(jù)運維管理系統(tǒng)，統(tǒng)一運維生產(chǎn)環(huán)節(jié)的數(shù)據(jù)庫，數(shù)據(jù)庫管理量大、安全是最重要的。數(shù)據(jù)安全對數(shù)據(jù)庫有很多要求，比如合規(guī)、高效、智能，同時要保證安全。綠洲數(shù)據(jù)安全管理系統(tǒng)，可以理解為既開放給DBA專家做日常運維，同時又開放給開發(fā)人員或數(shù)據(jù)分析人員，登上去之后有統(tǒng)一的權限管控、統(tǒng)一的脫敏策略以及安全告警、審計功能。一方面所有的數(shù)據(jù)庫資產(chǎn)能統(tǒng)一管控，另一方面管控時可以進行統(tǒng)一脫敏以及數(shù)據(jù)分級管理，有數(shù)據(jù)庫的權限審批和數(shù)據(jù)庫的數(shù)據(jù)定級，同時有數(shù)據(jù)審計。

數(shù)據(jù)脫敏管理系統(tǒng)，就是前面提到的數(shù)據(jù)中臺中一個重要組成部分，它提供了動態(tài)脫敏，在實時查詢時進行脫敏，以及靜態(tài)脫敏，比如從數(shù)據(jù)庫將數(shù)據(jù)批量拉到數(shù)據(jù)中臺的大數(shù)據(jù)平臺，可以提供靜態(tài)脫敏的能力。動態(tài)脫敏存在于數(shù)據(jù)庫和應用、數(shù)據(jù)中臺之間，進行自動化脫敏。動態(tài)脫敏對于用戶來說變動非常小，只要接入中間層的代理就可以實現(xiàn)了。靜態(tài)脫敏是額外一臺服務抽取數(shù)據(jù)，用戶只需要發(fā)布脫敏任務即可。

分享一下生產(chǎn)環(huán)境數(shù)據(jù)安全經(jīng)驗，生產(chǎn)環(huán)境數(shù)據(jù)安全建設有一個難點，就是開發(fā)量很大，比如界面上展示的數(shù)據(jù)沒有做脫敏，或者權限管控不嚴格，A用戶可以看B用戶的數(shù)據(jù)，這一塊做改造的話，開發(fā)量很大，權限難以管控，因為你今天開一個帳號權限，明天開一個帳號權限，后面都不知道誰擁有這些帳號權限，安全合規(guī)比較難以落地，比如等保2.0、密碼法、個人金融信息保護技術規(guī)范都對數(shù)據(jù)加密、存儲、傳輸作了明確要求，但是很多企業(yè)由于傳輸層改造量巨大，導致難以落地，如果后續(xù)審計中出現(xiàn)問題，對企業(yè)的影響會非常大，泄漏數(shù)據(jù)難以發(fā)現(xiàn)，數(shù)據(jù)一旦泄漏，損失是難以挽回的。

我們自研了一套LOCKet XDBC動態(tài)數(shù)據(jù)庫安全管理系統(tǒng)，基于TDDL技術理念，眾安研發(fā)了XDBC動態(tài)數(shù)據(jù)庫安全管理系統(tǒng)，它其實是一套中間件加一個管理系統(tǒng)的一整套解決方案，一方面提供分布式數(shù)據(jù)庫處理能力，通過XDBC技術能夠動態(tài)分庫分表，把所有數(shù)據(jù)分布式存儲在多個節(jié)點，這樣就能提升性能、存儲能力，同時成本又很低。另一方面，我們把安全的能力引入了進來，有效保證解決數(shù)據(jù)在云端存儲的安全難題。 XDBC提供了SDK接入模式和代理接入模式，滿足不同的開發(fā)改造需求。SDK接入模式需要一些開發(fā)成本，代理接入模式完全不需要開發(fā)成本，同時我們的加密是對接加密機的，可以滿足等保、密碼法的合規(guī)要求。

基于這一套系統(tǒng)，我們可以做精細化的數(shù)據(jù)權限管理，比如應用A完全是加密的內(nèi)容，應用B是脫敏的內(nèi)容，應用C是完全明文的內(nèi)容，可以通過不同的應用配置不同的權限，能夠有效管控數(shù)據(jù)安全。另外它有一個優(yōu)勢，如果通過代理模式，可以不用開發(fā)，改造成本非常低，而且提供加密、脫敏、審計一體化的能力，同時可以兼容主流的關系型數(shù)據(jù)庫，比如SQLLite、MySQL、SQL Sever、PostgreSQL、DB2、Oracle、HBASE以及國產(chǎn)數(shù)據(jù)庫TIDB。

因為我們的生產(chǎn)環(huán)境都是在云上，這里分享一下將來大家上云時都會遇到的安全難題，金融行業(yè)在云上會遇到數(shù)據(jù)非授權訪問，云服務提供商會不會非授權訪問數(shù)據(jù)，另外一個是黑客，因為在云上，黑客攻擊面更多。云服務器提供商會不會沒有按照我們的要求銷毀我們不要的數(shù)據(jù)，多租戶場景中的數(shù)據(jù)傳輸如果不加密的話安全風險是很高的。針對這些問題，CASB概念在國外已經(jīng)很熱門，但在國內(nèi)，眾安算是第一個“吃螃蟹的人”，眾安很早就開始用CASB技術，比如SaaS應用，為了解決CRM、OA系統(tǒng)，它的數(shù)據(jù)給到OA服務商或者CRM SaaS服務提供商，如果他售賣這些數(shù)據(jù)，我們是無法感知的，或者說發(fā)現(xiàn)時已經(jīng)來不及了。我們可以通過網(wǎng)關自定義要提交給SaaS服務的字段，做自動化加密，不需要額外開發(fā)。數(shù)據(jù)完全掌控在租戶手中，不依賴于SaaS服務提供商，同時可以支持模糊搜索加密，如果有些業(yè)務字段需要做搜索，加密之后也不受影響。支持國密算法、國際算法。

云存儲數(shù)據(jù)安全，這一塊要著重講一下，我們引入LOCKet FS云存儲動態(tài)家民網(wǎng)關，為了滿足很多開發(fā)人員改造的復雜度，我們把它做成配置化，不需要接入額外代碼，只需要簡單配置，就可以自動把敏感數(shù)據(jù)存儲在云端。

web應用防火墻，很多企業(yè)WAF主要是用來防護生產(chǎn)的應用，隨著互聯(lián)網(wǎng)化，我們的WAF是分布式的、不同環(huán)境的，無論是內(nèi)網(wǎng)、外網(wǎng)，它是任何地方都可以進行防護。同時，它提供web攻擊防護、BOT反爬管理，用戶行為采集我們也會在WAF上做，基于用戶行為去做數(shù)據(jù)防泄漏分析和告警。通過動態(tài)安全防護，我們可以對爬蟲進行人機識別，限制因為爬蟲導致數(shù)據(jù)泄漏。WAF提供了自適應的用戶行為審計功能，很多企業(yè)在等保測評中有一些業(yè)務系統(tǒng)需要做行為審計，但是很多業(yè)務系統(tǒng)沒有這個功能，安全工程師去推動時，很多開發(fā)者都不愿意排期。我們這套系統(tǒng)可以滿足，只要有需要，任何一個應用接入我們的網(wǎng)關，只要配置一下，它就可以完全各種審計功能。

同時，它是一個專業(yè)的SLB，可以分布在私有云、阿里云、騰訊云或其他云，只要有一個管理臺，即可管控所有的網(wǎng)站，可以大大提升效率，降低成本。

今天的分享就到這里，謝謝大家！

 

關鍵詞：