安華金和劉曉韜：我們不要再談脫離了“使用”的數據安全問題

本文為數據猿推出的大型“金融大數據主題策劃”活動（查看詳情）第一部分的系列徵文/案例；感謝 安華金和創始人兼總裁劉曉韜 先生的投稿（劉曉韜專欄）

作為整體活動的第二部分，2017年6月29日，由數據猿主辦，上海金融行業信息協會、互聯網普惠金融研究院聯合主辦，中國信息通信研究院、大數據發展促進委員會、上海大數據聯盟、首席數據官聯盟、中國大數據技術與應用聯盟協辦的《「數據猿·超聲波」之金融科技 · 商業價值探索高峰論壇》還將在上海隆重舉辦【論壇詳情丨上屆回顧】

在論壇現場，也將針對本次主題活動的投稿人，頒發“最佳商業洞察者”、“數據猿專欄最佳作者”兩大類人物獎

來源:數據猿 作者：劉曉韜

金融業作為典型的數據驅動行業，其數據價值，不言而喻——對於金融機構本身而言，數據已成為預警和規避業務風險、提高資產質量、擴大利潤空間和提升核心競爭力的關鍵。對於外部黑客，金融數據意味著巨大財富。

近年來，我國各類金融業務持續創新，普惠金融、P2P、移動支付等。可以說，金融業當屬國內運用信息化技術進行全面管理的最為成熟行業，數據流轉龐大，數據的集中化管理在提高金融機構整體運作效率的同時，也遭受風險的集中和數據大量洩密等安全事件的干擾。

在與業界銀行、保險等多家金融機構用戶溝通過程中，安華金和發現加強信息資產保護，管理創新和全面風險管理，特別是合理利用和有效保護數據，實現數據安全治理，是金融用戶關注及亟待解決的難題。

如何在互聯網+信息化+金融數據一體化的形勢下，安全有效的利用與駕馭數據呢？筆者提出金融行業數據安全治理思路，作為本文探討的核心內容。

一．數據安全治理思路

數據安全治理是以數據的安全使用為目的的綜合管理理念，是數據應用的基石和關鍵。以資產的角度來管理數據，讓數據對內發揮作用，對外產生效益，同時保證數據資產的安全。

在這裡，數據安全治理目標旨在強調數據的安全使用。我們不談脫離了“使用”的數據安全，數據存在的價值就是為了使用，為了實現數據的安全使用，數據安全治理需要滿足數據資產梳理、數據使用管控以及數據治理稽核三個方面，具體技術實現體現於：

●數據資產梳理：梳理數據資產分佈，梳理敏感數據分佈，分級分類敏感數據，統計數據資產所有者，識別數據（尤其敏感數據）使用者權限、識別數據庫風險等。

●敏感使用管控：業務訪問管控、運維訪問管控、測試開發管控、數據存儲安全等。

●數據治理稽核：行為審計與分析、權限變化監控、異常行為分析、建立安全基線等。

二．數據資產梳理

數據安全治理是數據應用的基石，而數據資產梳理又是數據安全治理的基石。如果不能清晰的掌握數據資產現狀，成千上萬的業務系統和數據庫分佈在哪裡，哪些是敏感數據，這些數據的在流傳過程中的使用特徵是怎樣的。

在數據不明，密級不清，權限不詳的前提下，盲目建立起來的一切管理制度、使用規則、安全體系都將是先天存有漏洞的，將會對數據的正常使用造成非常大的阻礙。對此，安華金和提出針對數據，進行安全梳理。數據梳理包含兩部分內容，一部分是對數據資產的梳理與定位、一部分是識別數據的安全風險。

2.1數據資產梳理與定位

●靜態梳理：識別金融業務數據存儲在數據庫中的資產分佈，對存量數據資產位置、數量及類型進行梳理；

●動態梳理：新產生的金融業務數據，及過程使用情況的動態梳理，分析出這些數據使用熱度，根據熱度情況區分熱度資產以及靜默資產；

●權限梳理：根據數據資產被哪些部門、系統、人員使用，進行梳理，梳理內容需要區分主、客體訪問權限。

2.2安全風險掃描

數據庫是數據資產的載體，其本身的堅固程度、安全隱患會直接影響數據資產的安全，所以識別數據庫的安全風險是數據資產梳理中非常必要的一環。

識別內容包含系統漏洞、弱安全配置、弱口令，賬號權限、高危程序等，並對風險進行修復，提高數據資產載體的堅固性。

三．數據使用管控

數據使用管控是數據安全治理的深入開展，針對數據使用的不同方面，需要完成對數據使用的原則和控制策略。防禦從應用側、運維側或其他角度訪問、使用數據資產時所產生的風險，確保數據在業務訪問過程中的安全、運維管理安全、測試開發安全、數據分發安全、數據存儲安全。

3.1業務訪問管控

針對業務系統訪問數據資產的安全風險，進行管控。從業務應用側發起的訪問中會包含非法用戶的攻擊行為，業務訪問管控需要做到SQL注入防護、漏洞攻擊防護，以阻止非法用戶攻擊數據庫。

3.2運維訪問管控

針對運維人員訪問數據資產的安全風險進行管控。運維人員擁有操作數據庫的高權限賬號，對此類型人員需要進行細粒度的訪問控制，遵循“最小權限”原則，分離賬號權限，杜絕運維人員進行越權、違規操作。並且對運維人員建立高危操作的審批流程管理，實現敏感數據的運維或者高危運維操作的可管可控。

3.3測試開發管控

針對數據在測試、開發、培訓等環節的安全風險管控。在將生產數據交給測試部門、開發等部門使用時，必須對其敏感信息進行脫敏、變形，既要保障數據可用，又要保障開發人員獲取的數據不包含任何敏感信息。

3.4數據分發安全

針對數據分發過程進行跟蹤，通過數據水印技術，確保數據洩露行為發生後，可對造成數據洩露的源頭進行回溯，追根溯源。

3.5數據存儲安全

保障數據存儲於數據庫中的安全。數據資產處於存儲狀態時，其中的敏感數據要進行加密，保證敏感數據資產的保密性，並且針對加密數據資產的訪問進行權限控制，從而實現對數據存儲的安全防護。

四．數據治理稽核

將數據資產的使用情況進行審計分析，並根據分級結果形成安全基線報告，定期稽核是保證數據安全治理規範性的關鍵。

4.1行為審計與分析

全面記錄數據資產的訪問及使用情況，根據記錄的信息進行安全行為審計，內容包含登錄、操作、執行結果等，並可以根據審計內容進行風險發現，發現操作中包含的SQL注入、漏洞攻擊、風險操作、敏感信息等內容，以便於識別惡意訪問行為。

4.2權限變化監控

對數據資產操作者的權限進行安全監控，監控數據資產操作者的權限及變化，以便於充分了解數據資產操作者的權限狀態。

4.3異常行為分析

對操作數據資產的所有行為進行統計分析，分析操作行為中是否包含異常行為，如出現執行高危操作、超批量操作、風險操作等行為時，進行及時分析並告警給安全管理員。

4.4建立安全基線

分析數據資產使用過程中的操作行為、風險情況、權限變化以及異常行為等存在的安全風險，通過分析結果建立數據資產安全管控模型，模型包含賬號、IP地址、訪問權限、客戶端工具、時間、操作類型等安全內容，對數據資產的大數據分析建立安全基線。

作者簡介：

劉曉韜（筆名石川），北京安華金和科技有限公司 總裁，公司創始人，公司法人，南開大學博士肄業。原為某國產數據庫廠商研發副總裁，十餘年數據庫內核產品研發與推廣經驗。曾領導國產通用數據庫、國產分析型數據庫、國產內存數據庫產品的產品研發與推廣。參與國家核高基項目；我國金盾工程目錄服務標準制定、安標委安全目錄服務標準制定、中國數據庫標準制定等多項產業化項目主持工作。

歡迎更多大數據企業、愛好者投稿數據猿，來稿請直接投遞至：[email protected]