中小银行数据安全治理研究报告

来源 | 安全牛、谷安研究院、通付盾

随着金融科技和数据驱动的银行业务数字化转型因疫情而提速,同时由于自身科技能力、数据安全治理策略、方法和成熟度存在严重滞后,我国中小银行数据安全风险已经进入“深水雷区”,危机四伏,一触即发。近日,由多家研究机构联合编写的《中小银行数据安全治理报告》(以下简称《报告》)显示,虽然92.5%的银行已经开展了数据安全治理工作,但是,采用成熟的国际方法论(业内最佳实践:GartnerDSG)的居然是0%。

《报告》主体架构分为概述、数据安全治理环境、数据安全治理方法、数据安全治理运维、数据安全防护工具等,力求覆盖到数据安全治理的主要方面。报告通过对数字安全领域技术企业进行调研,分享了专业数据安全技术公司在数据安全治理体系建设和技术工具应用方面的知识与经验,为银行开展和完善数据安全风险管控提供建设性意见和方案。

中小银行数据安全治理研究报告

《报告》还发现,60%的银行没有全行层面的数据安全保护策略,25%的银行对数据进行了全面的梳理,12.5%的银行全面识别了数据安全的风险点。

随着《中华人民共和国网络安全法》、《银行业金融机构数据治理指引》、《个人金融信息保护技术规范》等法律法规的发布,银行的数据安全面临着重大的法律风险,同时,数据价值驱使银行越来越广泛的使用数据来支持甚至引领业务的发展,安全用数的需求十分强烈。

《报告》指出,目前中国中小银行数据安全治理的总体态势存在三大短板:
一、数据安全体系建设成效参差不齐;
二、未遵循科学的方法论;
三、知识和能力不足。

报告通过收集整理中小银行数据安全治理的现状,分享专业数据安全技术公司在数据安全治理体系建设和技术工具应用的知识与经验,为银行开展和完善数据安全风险管控提出十点建议。以下为报告内容摘要:

报告研究与分析的范围

1、中小银行的数据安全治理环境:1) 银行领导层对数据安全的重视程度;2) 银行的数据安全管理面临的挑战;3) 银行在数据安全保护方面的痛点;4) 数据安全治理的组织架构;5) 数据安全治理相关法律法规及监管要求;6) 数据安全治理的开展方式;

7) 数据安全治理的牵头部门;

8) 数据安全治理人员的专业能力。

2、中小银行的数据安全治理的方法:

1) 数据安全治理的方法论;

2) 数据安全策略(或管理办法);

3) 数据分类分级标准;

4) 敏感数据的全面梳理;

5) 数据生命周期的安全风险评估。

3、中小银行的数据安全治理的运维:

1) 数据安全管理的监控;

2) 数据安全事件的响应机制;

3) 数据安全意识教育。

4、中小银行的数据安全保护技术和工具的应用:

1) 数据加密存储;

2) 数据加密传输;

3) 数据库审计;

4) 数据脱敏;

5) 数据防泄漏;

6) 用户行为分析。

中小银行数据安全治理的总体态势:三大短板

1、对数据安全治理的重视程度高,但是数据安全体系建设的成效参差不齐;

1) 高达97.5%的银行领导对数据安全给与了较高的重视,对数据安全主管人员产生了积极的影响。

2) 60%的银行没有全行层面的数据安全保护策略,25%的银行对数据进行了全面的梳理,12.5%的银行全面识别了数据安全的风险点。

统计数字表明,中小银行的数据安全治理建设刚刚起步,任重而道远。

2、银行纷纷开展数据安全治理,但是未遵循科学的方法论;

采用科学的、正确的方法,才能少走弯路,更容易成功。通过调研发现,92.5%的银行已经开展了数据安全治理工作,但是,采用成熟的国际方法论(业内最佳实践:GartnerDSG)的居然是0%。尽管银行可以自由地采用适合本行的方法,但是这一惊人的数字也一定程度地表明了大部分银行对数据安全治理领域的方法论是不了解的。这些银行很可能在错误的方向上越走越远,重复投资。

3、知识和能力的不足,是数据安全治理和管理的最大隐患。

数据安全治理是一项管理和技术相结合的工作,而且需要公司治理、风险管理、外包管理、业务连续性等综合知识。中小银行在数据安全治理岗位设置上通常存在人员数量不足的情况,而缺少数据安全治理专业技能的培训,则更为常见。中小银行必须格外重视对专业团队的培养,才能形成数据安全风险管控的长效机制。

中小银行数据安全治理的四大问题:

认为数据安全治理是科技部门工作

数据安全治理的核心工作是数据梳理,包括对数据库和电子文件的整理、设计和实施安全防控的时候会部署数据安全保护工具,从这些工作内容来看,数据安全治理的确带有“科技”属性,很多银行的数据安全治理由科技部门牵头也是合理的。但是,数据安全级别的认定、数据安全风险的识别、数据泄露渠道的防护等等,都是与业务部门和管理部门密切相关的,简言之,数据安全治理是一项全行性的活动,必须在银行领导的指导下,全行一致行动,才能取得成功。

未采用正确的工作方法

不少的银行紧跟监管指引,在人行和银保监会的指导下开展工作,这是正确的。但是,基于目前监管部门并未发布明确的、完整的、成体系的数据安全治理方法,有些银行的行动表现出片面性和盲目性。有限的数据梳理、基于经验的风险识别、未能有效使用的防护工具、缺失的运营管理等等,将导致银行既无法对当前的数据安全风险有效防控,而且在将来的体系建设中重复投资,造成浪费。

数据安全治理人才极度匮乏

调研结果显示,拥有数据安全治理专业资格认证的人员只占15%。绝大部分银行的数据安全治理岗是由科技安全岗位转岗或兼岗,这些人员的技术性强于管理性,对数据安全治理的知识储备不足,没有掌握建设数据安全风险评估、体系建立、体系运营的能力,无法保障数据安全治理的成效。

数据安全防护技术和工具不适合

数据安全治理的成果落地,一部分体现在数据安全保护技术和工具的实施上。数据安全保护技术和工具至少包括IAM、数据脱敏、数据防泄漏、数据加密、数据库审计、数据库防火墙、数据库运维管理、用户行为分析、数据资产梳理等,不同厂商的工具在功能上和性能上也有较大的差异,银行在工具选型上确实面临较大的困难,选择了并不适合本行需求的工具,导致数据安全防护的效果不佳。

中小银行数据安全治理的十点建议

本报告的建议是基于调研结果、课题组专家对中小银行的了解、对数据安全治理的了解、对数据安全防护产品的了解给出的。由于银行的数据安全治理情况各异,建议不可能适用于所有银行,所以,仅供银行参考。

1、缺少银行领导的直接指导,数据安全治理难以成功。强烈建议银行领导在项目方案阶段、项目启动阶段、重大项目里程碑阶段、项目完成阶段,听取汇报并给出指导意见。尤其是在项目启动阶段,银行领导必须要求所有部门支持和配合数据安全治理工作。

2、数据安全治理团队拥有清晰和足够的权限,才能够开展相应的工作。银行应该在项目启动会上宣布对团队基本的授权,在项目开展的过程中完善数据安全治理的组织架构和职责。3、为数据安全治理人员提供充分的专业培训,使之掌握必要的知识和技能。银行数据安全治理人员需要了解相关的法律法规、数据安全治理方法论、数据安全防护技术和工具等,参加专业培训机构的课程是直接有效的方法,收集、整理、学习相关的资料也是一种提升途径。4、在本行人员和经验不足的情况下,借助外部专业资源协助开展数据安全治理工作。在诸如风险管理、审计管理、反洗钱管理、业务连续性管理等比较专业的领域,银行多采用引入外部专业机构的方式开展工作,数据安全治理也具有较强的专业特性,外部资源能够快速有效地帮助银行搭建管理体系,节省管理成本。5、结合数据安全治理最佳实践和行业监管指引,采用科学的方法论,逐步开展治理工作。Gartner的DSG架构、人行的《个人信息保护技术规范》、《金融数据安全 数据安全分级指南(征求意见稿)》、银保监会的《银行业金融机构数据治理指引》是中小银行需要重点关注的最佳实践和行业监管指引,对银行的数据安全治理有很大帮助。

6、以重点数据为突破口,建立完善的数据安全治理体系。全面的数据梳理是银行的总体目标,但是需要投入较长的时间和较多的人力,影响数据安全体系建设的速度。所以,选取最重要的数据为突破口,以此为数据基础,搭建数据安全治理的整体框架,是行之有效的方法。

7、全面识别数据安全风险,防止木桶效应。数据安全风险的识别是基于数据的生命周期来分析和判断的,科技人员凭借经验就能够指出明显的安全风险点,但是,没有识别出全面的数据风险,就可能导致敏感数据通过其他渠道泄露,如同木桶效应。

8、整体评估数据安全防护技术和工具的需求,按照优先级逐步完善。银行都需求哪些数据安全防护技术和工具?对这些技术和工具的功能和性能的要求是什么?哪些需求立刻部署哪些可以暂缓?银行在获得这些问题的答案之后,才能够制定出合理的方案。

9、制定数据安全管理运维体系,循环优化。数据安全防护的控制体系由阻止、探测、响应、预测四个部分组成,并不断的优化,以达到持续有效的防护效果。建立数据安全管理运维体系可以保障四部分的持续优化,形成数据安全保护的长效机制。

10、加强数据安全意识教育,形成银行的数据安全保护文化。数据安全的文化建设是一个长期的过程,数据安全意识教育是文化建设的关键手段,形式多样、内容丰富的意识教育能够加速员工对数据安全的深入理解,起到很好的效果。

通付盾关于数字身份认证领域完整解决方案

通付盾重点参与的调研领域为用户身份认证。以下为通付盾关于数字身份认证领域完整解决方案。

身份认证核心需要

中小银行用户对该技术的需求大致可分为如下两个阶段:

1. 首次身份认证
主要指银行在电子渠道针对用户(特别是非存量用户)在注册、开户、信用卡申请等场景的身份认证行为。防范身份虚假、资料虚假、身份伪冒等风险。

2. 二次身份认证

主要指银行在其网银、手机银行等渠道的登录、转账等场景,针对用户在移动设备端发起的关键交易信息进行二次确认,以满足监管合规(如:电子签名法、261 号文、170 号文等)、安全便捷、国密改造的需求。

技术应用的难点与挑战

移动互联时代的安全是关系到国家和社会稳定、经济稳定、民众安全的重要问题,其中身份安全是核心基础之一,影响着移动互联安全的方方面面。在中小银行进行数字化转型过程中,在提升用户体验的同时,如何保证用户的隐私安全和资金安全成为目前的焦点。该技术在中小银行用户应用过程中,会遇到多因素认证服务、多种认证方式、统一和多样化的认证策略等难点。

1. 提供多因素认证服务

用户身份认证与管理可以为多个不同种类、不同形式的应用提供统一的认证服务,不需要应用系统独立开发、设计认证系统,为业务系统快速推出新的业务和服务准备基础条件,用户身份认证管理系统需为这些应用提供统一的接入形式。

2. 提供多种认证方式

银行的不同业务系统的安全级别不同, 使用环境不同,用户的习惯和操作熟练程度不同,用户身份认证管理系统需针对这些不同的应用特点提供不同的认证手段。

3. 提供统一和多样化的认证策略

用户身份认证管理系统针对不同的认证方式,需提供统一的策略控制,各个应用系统也可以根据自身的需要进行个性化的策略设置,根据应用或用户类型的需求,设置个性化的认证策略,提高应用系统的分级管理安全。

技术应用的关键指标

用户身份认证与管理是银行安全门户的入口,只有安全的认证机制才可以保证银行大门不被非法人员进入。通付盾认为,用户身份认证与管理应包括但不限于如下功能及技术:

1. 时空码

时空码技术是一种安全可信的准硬件级动态多维码技术。通过动态算法、P2P(去中心化)校验等先进技术, 融入时间因子、空间因子、硬件指纹、行为因子、逻辑加密等多重安全因子,有效保护近程凭证安全,防偷拍、防截屏、防劫持;同时也保护远程凭证安全,防病毒、防木马,确保凭证安全和交易安全。时空码技术相当于在开放的移动互联网环境中建立起设备之间的安全通道。

2. 密码算法

身份认证产品中使用符合国家密码主管部门要求的安全算法。支持的算法包括SM2、SM3、SM4 和安全随机数。

3. 设备指纹

设备指纹技术是基于国际领先的网籍库技术,快速识别和采集设备的上百种软硬件属性及行为属性,为每台入网设备生成防假冒的、唯一的设备ID,作为虚拟空间的“身份证”,形成开放式平台的隐形账号体系。在HUE 产品技术架构中,设备是终端用户与各业务系统建立关联的载体,设备指纹的精确性确保了用户设备的唯一性。

4. 安全通讯

SSL 安全通道(HTTPS)HUE 服务要求连接的请求都采用HTTPS 链接,来保障传输数据不被泄露和篡改。

国密算法加密传输在HTTPS通讯安全的基础上,使用国密算法加密所有通讯数据,增强安全性,消除安全依赖。

完整性校验应校验身份认证产品的完整性,保证连接的是合法的未被劫持篡改的身份认证产品,若完整性校验未通过, 则连接自动中断。

访问鉴权所有访问身份认证服务的网络连接都必须通过鉴权后,才允许建立会话。鉴权使用国密SM3算法。

带外通讯基于特有的设备指纹技术,只有与业务账号绑定的设备(移动设备)才能收到推送的确认消息。

5. PKI 体系

采用国密非对称SM2算法原理和技术实现,使用数字签名方式提供安全的身份认证服务。

通付盾数字身份认证核心亮点

基于以上几大方面,通付盾为《某银行用户身份项目》提供完整解决方案,满足了该商业银行在“在手机银行转账汇款业务中,使用数字签名等安全可靠支付指令验证方式,提高转账汇款安全性”的客观需求及对应于261号文中明确要求的“采用数字证书或者电子签名等安全可靠的支付指令验证方式”和“银行应当进行大额交易提醒,单位、个人确认后方可转账”等“手势密码”和“交易信息确认”等功能,实现安全转账的同时,为用户带来便捷。通付盾数字身份认证方案兼具以下核心三大亮点:

1. 去中心化标识符

去中心化标识符(Decentralised Identifiers,DIDs) 是一种新型的可验证的“自我主权式”的身份标识符,该标识符在全球范围内是唯一的,DID通常与加密相关的内容关联(例如公钥,服务端点),以建立安全的通信通道。它能够完全掌控在DID拥有者手上,独立于任何中心化的注册机构,身份提供者,或者证书颁发机构。对于那些需要进行自我管理,密码可验证的身份,例如个人标识符,组织标识符及物联网场景都非常有用。

中小银行数据安全治理研究报告

2. 数据安全区块链

通付盾使用分布式账本技术,基于区块链构成整个系统网络拓扑结构的基础。使用区块链可以有效保障系统的安全性、扩展性和去中心化特点。此外,链上主要保存的是加密过程中需公开的数据(如公钥和算法)以及匿名和加密后的行为类数据,并不会要求上传用户的隐私数据。密钥管理及网络安全的最佳实践也贯穿了系统的设计,机构和用户本人将以妥善安全的方式保存自己的密钥及隐私数据。

中小银行数据安全治理研究报告

数据安全区块链KeyChain结构图

3. 国密加密体系

客户端(电子签名法要求)使用SM2节和随机数算法生成本地公私钥对,私钥基于用户逻辑密码(手势密码)加密存储在本地(加密后私钥也会发往云端一份,便于应用重新安装后从云端更新,使逻辑完备),公钥会发往云端用于验签(身份认证)。安全性源自椭圆曲线公钥密码算法,数学基础保证加密安全。

中小银行数据安全治理研究报告

通付盾数字身份认证解决方案区别于一般的身份认证产品,主要基于去中心化的区块链技术,同时结合了通付盾设备指纹、时空码等多项专利技术,以及PKI、数字签名等安全技术,实现了安全扫码、重要信息确认、手势密码认证、人脸识别、指纹识别等在内的多种身份认证方式,确保数据保护可信、可追溯,安全强度达到准U盾级,产品技术获得国密局商密资质、公安部eID接入认证等国家级重要资质认证。

伴随着移动互联网的快速发展,用户身份认证的方式也在不断演变。从最初的帐号密码到动态令牌、U盾、短信验证码,再到指纹、面容等生物特征认证,开发者和用户对身份认证的需求不再仅仅聚焦于最基础的安全性需求,便捷、隐私和规范性的兼顾,也成为重要的身份认证需求,通付盾将不断加强技术创新和服务完善,为更多中小银行数据安全治理保驾护航!

美创科技数据脱敏和数据库安全审计

研究报告中,美创科技重点参与了中小银行数据脱敏和数据库安全审计的部分。中小银行相比于大型银行,数据安全的重视程度并不低,但整个数据安全治理体系建设的成效有比较大差距,部分中小银行数据安全治理尚处在刚刚起步阶段。根据研究报告对中小银行数据安全治理的建议,中小银行需要从管理、制度、流程、人员、工具等多个维度进行体系化建设。

其中,中小银行数据管理、制度、流程、人员层面问题可以引入专业的咨询机构辅助体系化开展,数据安全内外部攻击及数据安全防护工具的有效使用层面,结合十数年为银行、保险、证券等金融机构提供数据安全整体方案的经验给出如下建议:

全面梳理,明确保护对象

一直以来,金融数据是所有行业质量最高的个人识别信息(PII)和最为完备的个人财物信息(PFI),处于数据价值链的顶端。随着中小银行数字化转型及业务增加,数据量剧增,包括客户身份信息、家庭住址、电话、信贷情况等大量的敏感数据分布在不同的业务系统之中。

而要保护这些敏感数据,首先需要明确哪些是敏感数据?敏感数据在哪里?敏感程度又是怎么样的?只有在明确数据含义、完成敏感数据发现的基础上,才能开展相应的数据安全防护措施。

因此,需要全面梳理、准确识别敏感信息,根据敏感程度进行分类、分级,从而采取针对性安全防护策略。

美创暗数据发现产品能够对多种数据源进行接入,全面捕获元数据信息、智能解析数据类型和含义、自动发现数据内部关系,并按照业务模板对数据进行分析,帮助中小银行用户将不可理解的数据自动化、智能化的转化为可认知的、分类有序的数据,并以可视化的方式呈现,最终帮助用户明确敏感数据保护对象。

内外部数据安全风险分析

根据《JRT0171-2020个人金融信息保护技术规范》中数据的范围为个人金融信息,数据生命周期定义为收集、传输、存储、使用、删除、销毁等环节,其中每个环节都存在数据安全风险。如:内部人员违法访问业务系统获取用户信息;开发测试环境中敏感数据外泄;数据传输过程被窃取等。

风险评估是数据安全管理的中轴线,承接组织战略和目标,并指导安全如何进行保护、检测、响应和恢复。因此在第一步明确了数据保护对象之后,银行需要从内部和外部多维度全面开展具备针对性的数据安全风险分析工作,了解当下数据生命周期各阶段的敏感数据安全保护工作都做了哪些?做到了什么样的程度?是否还存在风险点?等等。

美创科技基于数字风险管理CARTA模型,制定具备持续自适应风险与信任评估过程的数据安全风险评估方案。方案从以数据为中心的控制措施组合以及场景的控制措施等维度出发,进行差距分析,全面评估组织的数据安全能力,旨在准确指导数据安全建设工作,满足商业经营和安全运营的双重诉求。

金融数据安全合规性指引

金融行业一直以来都是强监管行业,金融数据安全工作更是重中之重,《中华人民共和国网络安全法》、《网络安全等级保护》、《关键信息基础设施保护》、《金融行业信息系统信息安全等级保护实施指引》、《数据安全管理办法》、《金融机构计算机信息系统安全保护工作暂行规定》、《中国人民银行计算机安全管理暂行规定(试行)》等一系列的法规制度均对中小银行的数据安全工作提出明确要求。

美创科技研究参考了大量金融数据相关法律法规与国内外标准,吸取了一些标准的基本思路和主要方法,并结合多年的数据安全工作经验,梳理出一整套金融数据安全合规性指引指南,旨在帮助中小银行更好地开展数据安全合规性建设工作。

数据安全保障技术选择

在明确保护对象、风险现状之后,在合规性指引之下,最后就是技术和工具的选择,当前,数据安全工具的品类众多,如数据脱敏、数据库加密、数据库审计、数据库防火墙、文档加密等。但“罗马不是一日可建成”,对于中小银行,数据安全的建设工作并非一蹴而就的,还需要平衡业务和安全建设的重心,因此往往采用分阶段进行。那么,此时确定数据安全工作前提保障和重心就非常关键。

无论是从《个人信息安全规范》、《个人信息去标识化指南》、《个人金融信息保护技术规范》还是从银行的业务实践来看,做好信息屏蔽,也就是数据脱敏工作为重中之重。特别是当前随着金融开放和数字化应用的潮流,数据开放共享场景也愈加广泛,更加要求中小银行在发挥数据价值的同时做好在流动的数据安全保护。

美创自主研发的数据脱敏平台,可实现自动化发现源数据中的敏感数据,并对敏感数据按需进行漂白、变形、遮盖等处理,避免敏感信息泄露。同时又能保证脱敏后的输出数据能够保持数据的一致性和业务的关联性。在涉及安全、保密等因素及不违反系统规则情况下,美创数据脱敏系统通过脱敏规则进行数据变形,克隆一份“高保真”的假数据,实现敏感隐私数据的可靠保护。美创数据脱敏系统广泛适用于在开发测试、第三方数据共享、数据分析等场景,能够满足金融行业所要求的广泛的脱敏数据源支持,脱敏高效率,脱敏过程不落地,以及脱敏数据的高可用性等要求。

其次,无论从行业标准、等保2.0规定,还是金融机构内部管理要求,审计都是必不可少的一部分。可以说数据库审计技术在银行领域已经应用十分广泛的需求,特别是《网络安全法》第三章网络运行安全的第二十一条中明确规定:“(三)采取监测、记录网络运行状态、网络安全事件的技术措施,并按照规定留存相关的网络日志不少于六个月;”这也意味着审计信息需要被当作一项资产进行有效管理,便于事中及时发现问题,事后及时进行追溯。在监控与审计部分要求,应识别并记录包括但不限于管理员用户、业务用户对个人金融信息的访问。数据库审计工具的重要性,显而易见。

通过美创数据库审计系统,中小银行可以实现全面审计数据库中的各种访问行为,精确审计到操作人、操作工具、终端。不会因为执行语句过长或者链接太短,导致审计信息不完整或者漏审,并且能够在海量业务访问操作中,快速分析检索,提供实时的分析结果,为告警提供支撑,避免出现延迟分析等状况。一旦发生数据库信息泄漏事件,美创数据库审计系统可以准确定位业务数据库的操作人,责任人。另外,美创数据库审计系统报表增加业务视角,进行展示,做到技术人员和管理人员都能够理解,同时满足监管需求。

除脱敏和审计之外,美创科技针对中小银行的数据安全治理工作特点,提供以敏感数据保护为核心,贯穿事前防范、事中阻断、事后审计的金融数据安全解决方案,帮助中小银行用户构筑健全的数据安全保障体系。

安御道合数据加密传输

安御道合重点参与了调研的数据中密传输部分,敏感数据的加密传输,是数据安全保护的一个重要领域。监管要求明确规定,对银行的敏感数据要进行加密传输。

安御道合认为:数据安全是信息安全的核心目标,组织通过边界防护、内部管理、业务安全等不同层面,为实现数据安全而努力。在越来越广泛的云应用的趋势下,数据不再是孤立和私有的,共享及非孤岛化对数据安全的发展提出新的要求,物联网技术和大数据技术的发展,将进一步扩大数据对我们生活的影响。

随着物联终端的普及和5G技术的商用,网络将为我们构建一个平行的社会,数据安全就是这个新的信息社会的保障。数据安全不再是单纯的信息安全问题,而是涉及每一个人的生存安全问题。

数据的边界在哪里?如何界定虚拟世界内的数据边界,是需要重点要解决的问题。我们认为数据边界就是密钥,即密钥部署在哪里,哪里就是城墙,哪里就是边界。

安御道合结合多年为银行等金融机构提供数据安全整体方案的经验分析如下方面:

技术应用的核心需求

金融行业,因其数据的高敏感性,对数据传输安全需求迫切,行业监管力度也非常大。因此银行都格外重视该项工作,中小银行用户对敏感数据传输的主要需求包括:

1)安全节点管理:安全节点是一个与逻辑架构和物理部署都相关的概念,它用来标识一个需要进行安全控制(身份认证、加密处理、访问控制等)的实体的身份,该实体可以是系统或组件。如果同一个系统或组件部署在多个不同的物理设备(非集群形式),那么被视为不同的安全实体,属于不同的安全节点。以集群方式部署的系统或者组件被视为一个安全节点。

2)敏感信息保护:需要高度保密的信息,这些信息存在于业务数据或者系统关键参数中,例如:客户密码、账户信息等,这些信息在传输和存储时需要进行加密处理。

3)带外密钥协商:密钥协商信息和业务数据在不同的逻辑链路中传输。

4)带内密钥协商:密钥协商信息和业务数据在相同的逻辑链路中传输。

5)集中密钥协商:由密钥管理中心协助各安全节点的密钥协商。

6)分散密钥协商:为支撑加解密所需要的密钥,各节点间两两协商。

7)点到点加解密:两个安全节点使用同一密钥对信息进行加密和解密。当需要将信息传输给其它节点时,对解密后的明文进行转加密处理。

8)端到端加解密:发起端使用与终端协商的密钥对敏感信息进行加密,经过中间节点时不对敏感信息的密文进行处理,直接穿透,在终端解密。

9)统一密码服务平台:对密钥进行全生命周期的统一安全管理。实现加密机资源的统一调度和服务的平台,面向全行提供统一的加解密服务。

10)安全代理:负责协商安全节点间的密钥,并保证安全节点之间的密钥同步、集群内部节点的密钥同步。

技术应用的难点与挑战

谈到敏感数据加密传输技术时,更多的是侧重在网络传输层的加密技术,主要通过SSL/TLS去实现整个链路的安全,实施简单,业务系统改造小,但是网络延时大,对业务安全考虑较少,未遵循按需安全和适度安全的原则。实施时大多是单向SSL认证,业务敏感数据加密较少,容易引起敏感信息泄露事件。即使有些应用考虑了数据传输安全,也都仅从应用自身考虑,无法从企业整体考虑安全体系建设,不利于信息化整体安全建设工作的推进。具体表现在:

1)应用分散、业务系统各自为政,单独开发加密模块,标准不一;

2)密钥管理和密钥使用掺杂在一起,未做分离管理,安全系数低,容易被攻击和敏感信息泄露;

3)缺乏统一的监管部门,缺乏统一安全规划,没有统一的流程化的密钥管理系统来控制和约束。

技术应用的关键指标

中小银行数据安全保护方案,必须重点考虑业务,特别是金融业务结合的数据安全保护方案。比如金融IC卡初始化密钥灌装能力,保证卡片数据安全;设备密钥分发能力,保证物联设备的接入和数据传输的安全等。

以密码技术为核心的数据安全解决方案,实现人、设备的身份认证和数据安全保护,数据安全保护包括用户隐私数据保护和指令数据保护。针对该方案,需重点考虑以下关键性技术指标:

1)系统支持的用户量。一般要求满足本机构所有在线用户日均活用户数的3-5倍以上为佳;

2)敏感数据安全传输的性能。根据金融行业的业务特点,敏感数据安全传输机制,给业务带来的性能损耗,一般不超过业务处理时间的30%为宜;

3)密钥全生命周期管理。包括对密钥和证书所处的密钥生命周期中(产生、分发、使用、更新、存储、销毁)的每个环节进行管理;

4)密钥应用管理。包括节点管理、专管单位管理和应用系统信息管理等;

5)密钥方案管理。包括方案模板管理、密钥模板管理、密钥算法管理和密钥节点管理;

6)密钥属性管理。包括密钥在用状态、密钥应用属性、设备存储状态、密钥所有者状态;

7)密钥对象管理。管理每个节点上的密钥或证书,密钥或证书的信息保存在密钥管理档案中;

8)密码机管理。对密钥管理系统服务器使用的所有密码机进行管理。包括密码机分组、设备管理、私钥存储空间管理,对称密钥空间管理和负载均衡管理等;

9)系统管理。包含用户管理、角色管理、授权管理、流程管理、日志管理、监控审计等通用功能。

基于以上几方面,安御道合为《某农商行密码管理平台及定制开发项目》提供了完整的解决方案:

采用以密码服务平台为基础的数据安全架构来解决整个业务系统数据安全问题,在核心服务器区建立密码服务平台,由其统一管理业务系统中各类应用的密钥,并接受各应用系统的数据安全处理请求。系统结构如下图所示:

图片

方案采用ANSI X9.8作为PIN的密文传输形态的加密标准,根据该标准,对持卡人的卡号进行加密,即使不同持卡人的PIN相同,其PIN密文也不相同,具有较高的安全性。根据实际情况,对信息全报文生成MAC,对于数据长度过大的报文(超过100KB),则先采用标准HASH算法(MD5算法)进行数字摘要后,再做MAC运算。

该方案突出应用内生安全,密码服务能力和认证能力作为基础服务,与金融行业的深度融合,实现业务应用自身安全,保证攻击者绕不开、破不了、看不到。

该方案业务结合程度高。一直以来,金融行业严格执行国家和行业相关安全技术要求,国密规范的落地和银联等行业规范的推行,充分保证了金融行业安全能力的先进性。本数据安全防护方案,是基于这些标准规范,结合金融行业需求设计,逐步发展,成为金融业务安全的有机组成部分。

密码服务平台的设备兼容性高。平台是独立于密码设备的应用级密钥管理与应用的基础支撑中台,不受具体产品型号的约束,可实现设备对应用的透明。方便扩展与设备替换、升级等运维管理维护工作。

版权声明及安全提醒:本文转自网络平台,文章仅代表作者观点,不代表「金融文库」立场。相关版权归原作者所有,「金融文库」仅提供免费交流与学习,相关内容与材料请勿用于商业。我们感谢每一位原创作者的辛苦付出与创作,如本转载内容涉及版权及侵权问题,请及时联系我们客服处理(微信号:JRwenku8),谢谢!