管中窺豹，談金融行業(yè)的數(shù)據(jù)安全現(xiàn)狀與建設(shè)思路

一、金融行業(yè)的阿克琉斯之踵

跑了一整年的金融用戶，見過五大行，去過城商行，也交流了很多互金公司最深的感觸是：金融行業(yè)的信息化體系建設(shè)已經(jīng)非常完善，相較其他行業(yè)處于領(lǐng)先地位，但相比信息化程度，安全建設(shè)水平卻并不持平。

事實上，金融行業(yè)的數(shù)據(jù)具有極高的價值和豐富的交易渠道，已經(jīng)形成了暗潮洶涌的成熟黑產(chǎn)鏈條，為了在這條利益鏈條上分一杯羹，外部黑客不惜串通內(nèi)部員工利用各種途徑竊取數(shù)據(jù)，金融黑產(chǎn)的繁華熱鬧一直令金融行業(yè)的CIO們頂著巨大的壓力。

2017年年中的時候我們接觸了一家國內(nèi)排名前十的互聯(lián)網(wǎng)金融公司，公司 CTO對于數(shù)據(jù)庫安全非常頭痛。用戶告訴我們：在與我們接觸之前的三年間，公司已經(jīng)陸續(xù)有好幾波內(nèi)部人員被公安機關(guān)帶走，原因均為竊取商業(yè)機密，把偷走的用戶資料進行販賣，給公司造成重大經(jīng)濟利益損失的同時，嚴重影響了企業(yè)聲譽和形象。諷刺的是，該互金公司并非在信息安全建設(shè)方面毫無作為，前期投入大量資金建設(shè)安全防護體系，搭建了完善的邊界防護體系、網(wǎng)絡(luò)層防護體系、終端防護體系、應(yīng)用防護體系，但泄密事件依然沒有杜絕。

為轉(zhuǎn)變局面，公司甚至專門從國內(nèi)某IT巨頭挖了一整個數(shù)據(jù)安全團隊，該團隊在清晰了解了公司的安全體系現(xiàn)狀以及具體的泄密事件后，最終把安全強化目標鎖定為數(shù)據(jù)庫這一環(huán)節(jié)。安全團隊為公司規(guī)劃設(shè)計了數(shù)據(jù)庫層面的整體安全方案，覆蓋管理制度、使用規(guī)范、安全培訓、支撐技術(shù)等各個維度。在方案的具體推進執(zhí)行過程中，用戶找到了我們，希望借助安華在數(shù)據(jù)庫安全領(lǐng)域的專業(yè)技術(shù)，幫助他們進行技術(shù)體系建設(shè)連同具體的落地實施。

綜上，如何解決數(shù)據(jù)安全問題，不僅僅是該互金公司的迫切需求，更是整個金融行業(yè)普遍存在的痛，也是金融行業(yè)無法規(guī)避的阿克琉斯之踵。

二、金融用戶的安全痛點

經(jīng)過與用戶的反復(fù)交流，我們了解到僅用戶方已知的這幾次泄密事件就包含了三種泄密方式，背后潛伏著三大嚴重安全隱患：

業(yè)務(wù)人員利用業(yè)務(wù)系統(tǒng)的查詢功能批量竊取數(shù)據(jù)；

運維人員利用高權(quán)限數(shù)據(jù)庫賬號直連數(shù)據(jù)庫批量導出數(shù)據(jù)；

測試庫里面存放了大量真實的生產(chǎn)數(shù)據(jù)，為測試人員竊取數(shù)據(jù)大開方便之門。

其中，第三種泄密途徑體現(xiàn)了公司層面對生產(chǎn)數(shù)據(jù)管理不力的重大責任：生產(chǎn)數(shù)據(jù)離開生產(chǎn)環(huán)境要經(jīng)過脫敏處理，這已經(jīng)是金融行業(yè)重要的數(shù)據(jù)安全標準。

觀一葉而知天下秋，該互金用戶所面臨的上述三類風險實際上也是目前金融行業(yè)普遍存在的主要安全隱患。金融行業(yè)的數(shù)據(jù)本身存在著巨大的吸引力，是牟利者覬覦的對象，因此敏感數(shù)據(jù)所面臨的風險還遠不止這三類。鑒于安全體系的建設(shè)需要循序漸進的開展，對該互金企業(yè)而言，第一步要依靠政策、法律法規(guī)等制度來進行意識培養(yǎng)和教育，并對違法行為形成震懾；第二步是通過技術(shù)手段徹底切斷內(nèi)部人員竊取數(shù)據(jù)的通道，杜絕出現(xiàn)類似的泄密事件；第三步，則是做好監(jiān)管和審計工作，形成可定責追責的完整管理體系。

結(jié)合安華此前服務(wù)于金融機構(gòu)積累的經(jīng)驗，針對該用戶的風險場景進行深入分析，在技術(shù)層面加大數(shù)據(jù)安全防范力度：

第一，控制業(yè)務(wù)系統(tǒng)調(diào)取數(shù)據(jù)能力，避免業(yè)務(wù)人員通過業(yè)務(wù)系統(tǒng)批量導出數(shù)據(jù)；

第二，建立運維制度，結(jié)合技術(shù)手段控制運維人員行為規(guī)范，重點控制DBA及第三方人員；

第三，整改測試環(huán)境，建立敏感數(shù)據(jù)的脫敏機制，杜絕測試環(huán)境再次出現(xiàn)生產(chǎn)數(shù)據(jù)。

三、安全之路四步走

解決方案的方向確定下來，用戶方給予了認可。不過這其實才是雙方建立良好合作的開始，具體到落地實施過程中如何保障項目收益，如何避免對業(yè)務(wù)運行產(chǎn)生負面影響，如何應(yīng)對項目推進中可能遇到的各方阻力，才是一場硬仗。所以，需要將方案真正落地所必須要考慮的因素，所以項目執(zhí)行遵循的原則是：

防護體系不能一刀切，要有針對性，不能過多的影響業(yè)務(wù)效率

防護體系盡量不改變用戶原有使用習慣，避免項目推進過程中受阻

為了貫徹項目建設(shè)原則，在方案落實的時候堅持四步走：

首先，第一步盤點用戶資產(chǎn)，利用資產(chǎn)梳理產(chǎn)品全面統(tǒng)計環(huán)境中的數(shù)據(jù)的數(shù)量、類型、分布等情況。再結(jié)合人工經(jīng)驗以及用戶自身的數(shù)據(jù)特點，對所有數(shù)據(jù)進行分類和分級。這個動作是為后續(xù)的安全防護體系建設(shè)服務(wù)的，便于針對不同類型以及不同敏感級別的數(shù)據(jù)設(shè)置不同的安全策略，從而避免針對所有數(shù)據(jù)采取的防護策略為一刀切模式，避免造成業(yè)務(wù)運行遭受負面影響。

其次，我們建議用戶部署數(shù)據(jù)庫防火墻系統(tǒng)，利用該系統(tǒng)的閾值管控功能限制業(yè)務(wù)系統(tǒng)的使用人員每天可以查詢數(shù)據(jù)的上限值，上限值的設(shè)置可以根據(jù)不同人員的工作需要進行靈活設(shè)置，從而關(guān)閉內(nèi)部人員利用業(yè)務(wù)系統(tǒng)批量導出數(shù)據(jù)的通道。

再次，建立數(shù)據(jù)庫運維管理制度，實現(xiàn)運維工作的規(guī)范化、流程化，改變以往隨時、隨機、隨性、隨心的運維亂象。同時，部署數(shù)據(jù)庫安全運維系統(tǒng)，利用技術(shù)手段將運維制度和流程強制化執(zhí)行，實現(xiàn)運維工作的事前有申請、事中有控制、事后有審計的目標。通過制度與技術(shù)的結(jié)合，確保運維工作嚴格按照制度與流程的要求來開展，實現(xiàn)運維工作的可管、可控、可視，關(guān)閉運維人員利用數(shù)據(jù)庫賬號私自訪問數(shù)據(jù)庫竊取敏感數(shù)據(jù)的通道。

最后，清理測試環(huán)境數(shù)據(jù)庫，確保測試環(huán)境不再有任何真實的生產(chǎn)數(shù)據(jù)。部署脫敏系統(tǒng)，使脫敏系統(tǒng)成為生產(chǎn)數(shù)據(jù)離開生產(chǎn)環(huán)境的唯一出口，從而關(guān)閉通過測試環(huán)境竊取數(shù)據(jù)的通道。

后記

2017年4月25日，中共中央政治局就維護國家金融安全進行第四十次集體學習，習近平總書記在主持學習時強調(diào)，金融是國家重要的核心競爭力，金融安全是國家安全的重要組成部分，是經(jīng)濟平穩(wěn)健康發(fā)展的重要基礎(chǔ)。必須充分認識金融在經(jīng)濟發(fā)展和社會生活中的重要地位和作用，切實把維護金融安全作為治國理政的一件大事，扎扎實實把金融工作做好。

國家已經(jīng)將金融行業(yè)定位到“國之重器”的高度，將金融安全從技術(shù)層面提升到了戰(zhàn)略層面。隨著金融行業(yè)地位的提升，整個行業(yè)的信息安全也變得更加重要，隨之而來的挑戰(zhàn)也更加嚴峻。目前，整個金融行業(yè)的數(shù)據(jù)庫安全體系建設(shè)尚不完善，上述互金公司的事件并非個例，而是整個金融行業(yè)的縮影，映射出了金融行業(yè)目前普遍存在的風險、需求。當然，這種局面也會推動金融行業(yè)越來越重視數(shù)據(jù)庫以及數(shù)據(jù)的安全建設(shè)，驅(qū)動行業(yè)主動尋找相關(guān)的產(chǎn)品或廠商去解決問題。在數(shù)據(jù)庫安全這個屬于安華的主場里，憑借豐富的成熟案例和經(jīng)驗積累、專業(yè)的技術(shù)與完善的產(chǎn)品線，為用戶的數(shù)據(jù)安全保駕護航。

生成海報

免責聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準確性及可靠性，但不保證有關(guān)資料的準確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負責。本網(wǎng)站對有關(guān)資料所引致的錯誤、不確或遺漏，概不負任何法律責任。任何單位或個人認為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實內(nèi)容時，應(yīng)及時向本網(wǎng)站提出書面權(quán)利通知或不實情況說明，并提供身份證明、權(quán)屬證明及詳細侵權(quán)或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關(guān)文章源頭核實，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。