银行数据安全治理痛点与整体应对思路-凯发k8游戏

银行，不只存放着“金钱和财富”，还在每时每刻产出新的“价值”——数据。作为银行经营发展的核心it资产，充分利用这些数据的意义重大。随着互联网与信息科技的高速发展，银行开展多样化业务变为可能，网上银行、掌上银行...不论个人、企业或组织机构客户，时间和空间的限制对其进行申请、查询、管理、转账等银行业务操作的影响正在快速消失，服务方式虚拟化、业务边界模糊化、经营环境开放化现已成为主流。

微信图片_20200603094002 副本.jpg

然而，事物的发展总有其两面性，银行数据的价值也不例外！存在于银行数据“使用”与“安全”之间的众多矛盾问题，让一切便捷与发展“如履薄冰”。黑客攻击、“内鬼”窃密、操作失误、管理疏忽等问题层出不穷，数据泄露、丢失、损坏等问题似乎无可避免，一旦发生很可能对银行造成无法挽回的经济、声誉损失，甚至威胁到银行客户的人身财产安全，后果难以估量。想要解决纷繁复杂的数据安全问题，就需要银行着眼“全局”，部署数据安全治理的整体凯发k8游戏的解决方案，从而确保在外部防护与内部管控执行到位的同时，满足国家及行业提出的一系列合规性要求。

微信图片_20200603094005 副本.jpg

理清思路

“着眼全局，不打无准备之仗”

从银行经营战略的角度出发，对数据安全的管理范畴和人员职责进行定义；同时，对银行数据安全管理提出八项基本原则：分级分类、确保安全、同步推进、统一实施、充分利用、目的明确、最少沟通、责任明确。

在此基础之上，先要摸清客户的数据资产及安全现状，再按照银行业相关合规标准对数据资产进行梳理，从而构建起以数据全生命周期为核心的，具备及时发现、主动防护、有效稽核等准确、高效、稳定的动态数据安全防护体系；同时，以“统一标记、统一认证、统一授权、统一审计”为原则，通过有针对性的技术手段与流程机制不断完善数据安全管控体系建设，最终实现对银行数据安全的整体治理。

微信图片_20200603094009 副本.jpg

分析痛点

“着眼全局，要摸清敌我虚实”

1、来自互联网的攻击渗透等威胁

当前，绝大多数银行均已推出网上银行、手机银行app等移动/互联网服务平台。更多客户获得便利的同时，也给了不法分子可乘之机——通过互联网对电子银行进行试探，继而利用sql注入等技术手段非法入侵银行数据库系统，实施包括窃取、篡改、破坏系统数据等有目的的金融犯罪行为。

2、因数据底账不清造成管理困难

银行的分支机构和数据库普遍较多，对保护这些数据库中的敏感信息造成管理上的困难；而不同分支机构数据库运维、管理、开发、测试等人员的流动，也让银行对自身数据库中敏感信息的状况不明；“不清不楚”的运行并使用这些数据库以及其中的敏感数据，其风险可想而知。

3、软件开发测试环境的数据脱敏

为满足业务部门与日俱增的it需求、缩短产品研发周期，银行的很多信息系统引入了it软件外包模式；而在利益的驱使下，外包人员可能利用职务之便，搜集银行在软件开发、测试环境中使用到的客户银行卡号、姓名、金额、凯发k8游戏的联系方式等大量未经脱敏的真实数据，从而导致银行面临因数据泄露造成的经济损失、信誉危机以及相关法律制裁。

4、对合法人员的非授权访问控制

在银行内部，dba等合法人员同样存在针对银行核心数据库进行违规操作的可能，例如：非授权访问敏感数据、非工作时间访问核心业务表、非工作场所访问数据库、运维误操作、高危指令（delete、update等）操作…以上种种行为，都可能存在重大安全隐患。

5、特定场景下的数据库运维需求

由于银行的特殊性，在对众多数据库进行安全防护时需要做出差异化处理，例如：当银行临时需要进行审计工作或上级单位紧急需要一份数据时（相关数据平时是禁止访问的），现有数据安全产品不能针对这种随机时间、随机操作的需求执行有效的差异化防护策略。

6、重要敏感信息泄露与非法交易

银行业务等系统中存有大量的重要敏感数据，例如：银行账户、身份证号、凯发k8游戏的联系方式等企业或个人客户的隐私信息；而这些信息在各类中介、保险、理财机构眼中“含金量”很高，利益的驱使造成数据信息非法交易活动泛滥、屡禁不止。

7、全面准确的安全审计追责定责

数据库系统遭受入侵和非授权操作时，无法对黑客或其他非法人员的破坏或泄露行为进行准确追溯和定位，对事后稽核部门调查取证造成严重阻碍；而传统网络安全产品，如防火墙、ids和漏扫等产品，仅能解决上述状况中的部分问题，对于像内部用户主动或被动泄露敏感信息等问题的成效则不大。

微信图片_20200603094013 副本.jpg

创新应对

“着眼全局，做整体凯发k8游戏的解决方案”

1、充分平衡业务需求和安全风险

安华金和数据安全治理整体凯发k8游戏的解决方案可以帮助银行客户建立数据安全管理制度，并制定各部门数据安全管理职责：一方面，确保业务部门数据收集与数据使用工作的正常进行，依据数据安全管理制度与技术标准，推动相关部门建立针对数据全生命周期的安全管理操作流程；另一方面，帮助银行科技、内审等部门针对数据使用过程中的安全状况及使用效果进行准确的检查、评估并督促整改，从而保障数据安全工作的有效落地。此外，方案中所提出的技术实施工作，无需对银行原有数据库、应用系统进行改造，因而能够快速、无缝地融合到银行现行信息系统之中。

2、围绕数据生命周期，建立完整的数据安全管控流程

为了解决银行数据库在防攻击、防篡改、防丢失、防泄漏、防超级权限等方面遇到的难题，安华金和提出针对数据安全的三维角度，构建涵盖“事前-事中-事后”全生命周期的数据安全防护体系；严格执行数据分级分类，全程监控数据安全状况：

“严格执行”数据分级分类

· 通过自动嗅探或动态梳理等方式对银行数据资产进行自动发现；

· 对银行存量数据的敏感字段（如身份信息、短信提示、护照证件等）进行准确、高效、可持续的自动识别并打标签；

“全程监控”数据安全状况

· 在数据采集过程中，对新产生的敏感数据进行梳理；

· 在数据传输过程中，进行安全检查；

· 在数据存储过程中，进行数据加密；

· 在数据使用过程中，进行数据梳理、数据外发检查等，确保能够对数据做到追根溯源；

3、强化产品技术支撑，满足更多场景及需求

· 通过数据安全治理咨询服务，实现数据的分级分类与策略定制；