金融行业敏感数据安全建设方案.pptx

1、金融行业敏感数据安全建设方案关键词：敏感内容、保密性、内部隐患、业务优先 数据泄漏防护发展现状 金融行业数据安全的主要挑战 数据防泄漏方案架构 典型场景分享目录数据泄露风险，数据泄露风险，“内忧内忧”已呈现出高于已呈现出高于“外患外患”的趋势！的趋势！内部：内部：人为泄露人为泄露（机密文件拷贝、外发等）、过失行为过失行为（保管不当、意识淡薄及误操作等）、安全事故安全事故（数据外部：外部：恶意攻击、木马窃取等37%37%流传送逻辑错误等）63%63%内部泄漏内部泄漏 外部攻击外部攻击37%63%数据泄露现状描述数据泄露现状描述数据泄露风险转移数据泄露风险转移风险预警：风险预警：当前频发的敏感数据

2、敏感数据泄露事件50%50%以上以上是由于内部人员内部人员有意或无意的行为而造成的，且大多数无法举证无法举证和定责定责!企业企业重要数据重要数据泄露途径泄露途径数据来源：赛门铁克波耐蒙研究所2015年全球数据泄露分析报告数据分级数据分级-枷锁型枷锁型加密、授权、分级加密、授权、分级关注敏感、机密数据内容的分类、分类、分级、加密、授权与管理分级、加密、授权与管理，核心理念为：提供内容源头级纵深防御能力，杜绝恶意行为，目前防护重心转移至核心应用及业务数据资产核心应用及业务数据资产的安全管控，重点关注来自内部的有来自内部的有意及恶意泄密意及恶意泄密风险，事前防御、快速问责数据隔离数据隔离-囚笼型囚笼

3、型隔离、控制、审计隔离、控制、审计关注敏感、机密数据的隔离、分隔离、分级、分域级、分域，核心理念为：采用逻辑隔离手段，构建安全隔离容器（终端安全、沙箱、虚拟化），实现安全与效率的有效平衡数据防泄漏技术现状数据防泄漏技术现状数据识别数据识别-监察型监察型识别、过滤、预警识别、过滤、预警关注敏感、机密数据的存放、使用存放、使用以及常规泄漏行为的管理以及常规泄漏行为的管理，核心理念为：可发现、可识别、可管理，提供共性管控能力，与管理制度密切整合，不关注极端行为不关注极端行为强管控可有效保障数据安全性但存在过度防护的影响，一强管控可有效保障数据安全性但存在过度防护的影响，一定程度上也会制约组织信息化发

4、展及业务开展便利性定程度上也会制约组织信息化发展及业务开展便利性过度策略制约既增大了管理投入，也无法很好的适应复杂及过度策略制约既增大了管理投入，也无法很好的适应复杂及多样的业务场景与使用习惯多样的业务场景与使用习惯在低门槛低代价下，即使在低门槛低代价下，即使“众目睽睽众目睽睽”也无法有效阻止也无法有效阻止数据泄密行为，朔源与定责困难重重数据泄密行为，朔源与定责困难重重极端有意识行为永远是数据防泄密的罩门，极端有意识行为永远是数据防泄密的罩门，“人人”为主体的为主体的内部人员过失性泄密风险成为防御重点内部人员过失性泄密风险成为防御重点 数据泄漏防护发展现状 金融行业数据安全的主要挑战 数据防泄

5、漏方案架构 典型场景分享目录回家办公回家办公智能终端智能终端互联网互联网移动移动PC邮件外发邮件外发典型业务场景典型业务场景客户信息数据专员数据专员OA、邮件邮件业务系统内部用户内部用户数据管理员数据管理员数据输出数据输出监管上报监管上报客户发送客户发送离线办公离线办公回家加班回家加班敏感数据敏感数据便携存储便携存储办公网办公网管理严格结构数据对象人员较少途径明确安全隔离交互对象复杂使用人员复杂管理相对宽松交互途径复杂非结构化数据非结构化数据数据管理现状数据管理现状 移动等多场景应用明确生产网生产网生产网以结构化数据为主，在生产、运维、导出等环节的数据管理相对严格、可控，侧重数据输出合规性控制

6、侧重数据输出合规性控制，数据泄密隐数据泄密隐较大。较大。办公网以非结构化数据（文档、报表）为主，使用场景复杂，数据流转和输出使用场景复杂，数据流转和输出途径多样化，数据泄密隐患途径多样化，数据泄密隐患巨大。巨大。数据安全现状数据安全现状金融行业在数据安全建设中面对的主要挑战金融行业在数据安全建设中面对的主要挑战金融行业在数据安全建设中面对的主要挑战金融行业在数据安全建设中面对的主要挑战IT团队人员少、任务重数据安全的重要性和建设思路没有完全梳理清楚面对不成熟、不明朗的行业市场选择好产品很困难金融行业应对挑战的思路和办法金融行业应对挑战的思路和办法信息安全建信息安全建设设的大思路的大思路必须梳理

7、清楚数据安全建设的重要性数据安全建设的重要性必须梳理清楚要充分借要充分借鉴鉴行行业业内内高度可信的成功经验信息安全建设的大思路信息安全建设的大思路中国和美国信息安全建中国和美国信息安全建设设的主要差的主要差别别美国信息安全建设思路中国信息安全建设思路s 美国认为信息安全相关的核心技术可信s 美国认为互联网可控s 美国的信息安全主要是互联网环境下的信息安全s 中国认为很多信息安全相关的核心技术不可信s 中国认为互联网不可控s 中国必须在核心技术不可信、互联网不可控的条件下进行信息安全建设s 中国信息安全建设的核心内容是落实物理隔离的内网安全信息安全建设的大思路信息安全建设的大思路内网安全和互联网

8、安全的主要差别内网安全和互联网安全的主要差别互联网安全是在开放、混杂的环境中识别和控制坏人坏事，典型的黑名单思路内网安全应该是在高度可控的环境中定义和保护好人好事，典型的白名单思路由于美国模式和互联网安全公司的强大影响力，导致很多用户混淆了互联网安全和内网安全的建设思路用互联网安全模式搞内网安全必然事倍功半数据安全在信息安全领域的特殊地位数据安全在信息安全领域的特殊地位传统信息安全的基本假设：信息安全的隐患主要来自于外部近十年来，大量的事实和统计数据证明：安全的隐患主要来自于内部斯诺登事件改变了人们的认识，内网安全成为了信息安全的新重点数据安全是内网安全的主要内容，信息安全的本质是人的安全，人

9、在信息化中的安全问题主要是通过终端安全来解决的数据安全是信息安全中最重要的一部分，也是最难做好的一部分数据安全建设走过的主要弯路数据安全建设走过的主要弯路把数据安全管理分解成了几个独立存在的孤岛，准入、桌面、数据安全只关注具体功能的堆积，忽视了整体效果和体验误以为光盘国产化就实现了数据安全管理自主可控优秀的数据安全建设思路和方案优秀的数据安全建设思路和方案123必须实现整个数据安全管理平台的自主可控必须要确保整体的数据安全管理效果和用户体验必须是真正按照白名单思路实现的整合型数据安全管理平台 数据泄漏防护发展现状 金融行业数据安全的主要挑战 数据防泄漏方案架构典型场景分享目录可以怎么控？可以怎

10、么控？警告，阻断，选择性阻断警告，阻断，选择性阻断加密、标密、授权加密、标密、授权邮件告警通知邮件告警通知什么是敏感数据？什么是敏感数据？重要文件重要文件敏感内容敏感内容基础：关键字、正则、格式基础：关键字、正则、格式学习：文档指纹、确切数据匹配学习：文档指纹、确切数据匹配组合：同时匹配；例外匹配组合：同时匹配；例外匹配需要控什么？需要控什么？邮件（正文、附件）邮件（正文、附件）网页，微博，网页，微博，BBSIM（内容，附件）（内容，附件）打印，刻录，粘贴打印，刻录，粘贴USB,蓝牙等端口管控蓝牙等端口管控共享，系统传输共享，系统传输敏感数据在哪？敏感数据在哪？办公终端办公终端文件服务器文件服

11、务器应用系统应用系统DLP核心能力核心能力数据泄漏防护综合方案思路数据泄漏防护综合方案思路实现敏感数据从产生、存储、使用、流转、追踪到销毁的整个生命周期的安全管控实现敏感数据从产生、存储、使用、流转、追踪到销毁的整个生命周期的安全管控！新一代新一代数据防泄漏系统数据防泄漏系统特色特色构筑敏感数据全生命周期综合智能安全管控平台构筑敏感数据全生命周期综合智能安全管控平台防水墙数据防泄漏系统与业务系统相结合技术支撑理论支撑：环境指纹专利:ZL 2004 1 0017241.3；US 7，890，993 B2；BLP数据控制模型运营支撑类ERP|OA|CRM生产支撑类PDM|PLM|SVN内核级别文件

12、过滤驱动商密形成阶段安全密级标示与设定管理商密流转与应用阶段安全商密过程安全管控商密存储阶段安全商密存储安全管控商密脱密及销毁阶段安全商密脱密和销毁管控密标设定多模加密审批管理外设管理打印管理屏幕水印审批管理文档权限剪贴控制外设管理打印管理智能终端透明加密一文一密外设管理可信管理密标脱标文档解密删除管理外设管理物理销毁操作审计下载加密外发管理文档权限审批管理离线管理操作审计网络驱动外设管理驱动打印驱动敏感数据防泄密敏感数据防泄密技术架构技术架构防水墙系统采用RESTful架构，前端采用Electron开发。采用RESTful架构，并将架构的约束条件作为一个整体应用，实现了一个可以扩展到大量客户

13、端的防水墙应用程序。采用RESTful架构，还降低了客户端和服务器之间的交互延迟。统一界面简化了整个系统架构，改进了子系统之间交互的可见性。简化了客户端和服务器的实现。防水墙前端采用Electron开发，以最大限度实现跨平台应用。在功能模块上，它由“服务器端”和“工作站端/控制台/管理员”组成，两者配合使用组成防水墙系统，二者构成一个完整的信息安全保护整体。向外分发信息12、安全验证 用户操作认证 证书和权限信息交互2343、信息分发通过Internet,邮件附件，ftp下载，其他存储设备身份验证失败无法下载权限信息禁止外部用户访问无访问身份及访问权限防水墙服务器防水墙客户端1、信息保护用户加

14、密文件文件权限信息交互防水墙客户端4、信息访问接收用户认证获取证书和权限无网络时候，授权离线操作外部用户网盘网盘web邮件邮件论坛论坛办公办公终端终端网网络络途途径径OUTLOOK等等邮件发送邮件发送QQ等等IM消息传递消息传递对办公终端数据进行端口外对办公终端数据进行端口外设输出和网络数据输出的完整监设输出和网络数据输出的完整监控，可根据安全策略进行加密、控，可根据安全策略进行加密、阻断、告警与审计阻断、告警与审计终终端端途途径径CD/DVD刻录刻录打印机打印机打印打印USB等移等移动存储动存储网络共享网络共享终端数据防泄漏解决方案终端数据防泄漏解决方案已知通道已知通道数数错错据据数数据据无

15、无效效误误数数据据错错误误数数据据效效无无NoteBookPDAPhone PAD合法移动终端用户合法移动终端用户离网用户离网用户合法合法PC终端用户终端用户防泄密服务器防泄密服务器合法智能终端安全解密合法智能终端安全解密拨号用户 VPN用户 内网用户内网用户安全解密内网用户安全解密3G/GPRS非法非法PC终端用户终端用户数据数据无效无效数据乱码数据乱码数据无效数据无效非法移动终端用户非法移动终端用户3G/GPRS数据乱码数据乱码应用数据防泄漏解决方案应用数据防泄漏解决方案已知来源已知来源策略与分类策略与分类规规则则导导入入服务器服务器 数据运算与远数据运算与远程扫描服务器程扫描服务器防泄密

16、服务器防泄密服务器防火墙防火墙互联网与邮件数据外互联网与邮件数据外发风险预警及事件报发风险预警及事件报告告Internet关键字、正则表达式、指纹、格式关键字、正则表达式、指纹、格式策略定义策略定义策略管理员策略管理员行业规则与模板库行业规则与模板库网络数据防泄漏解决方案网络数据防泄漏解决方案办办公公终终备份服务器备份服务器工作站工作站对互联网与邮件数据外发的阻断、告警与审计！对互联网与邮件数据外发的阻断、告警与审计！统一出口统一出口 数据泄漏防护发展现状 金融行业数据安全的主要挑战 数据防泄漏方案架构典型场景分享目录效果一：介质安全管控与内容审计效果一：介质安全管控与内容审计实施前主要风险实

17、施前主要风险交付后达到的效果交付后达到的效果U盘可随意接入内容只有经过登记注册授权的介质才能在内部使用，反之禁止接入内部U盘外界随意使用注册内网U盘只能在单位内部使用（断外部点使续用传提示禁止访问）注册外网U盘所有数据拷出时自动加密，拷入内网自动解密U盘文件拷贝无记录对注册授权U盘的使用隔离备份过程进行强审计（日志、附件，并支持全文检索）U盘内文件明文存储注册内网U盘存储安全加密，防止U盘丢失泄密注册外网U盘拷入文档自动加密，防止非法用户窃取数据泄密U盘使用无权限控制可以细粒度控制U盘的内部操作权限（只读、可读可写、审计、备份）文件拷贝至U盘/移动硬盘/SD卡时自动加密，防止泄密加密文件进入内

18、网时自动解密，确保内网明文存储禁止智能终端（手机、PAD）以MTP协议接入内网，但允许设备充电智能终端（手机、PAD）模拟大容量存储时自动加密效果效果二二：智能终端数据智能终端数据安全安全防护防护 办公终端办公终端效果三：回家办公数据安全外带效果三：回家办公数据安全外带 个人电脑回家加班个人电脑回家加班用户使用普通U盘即可自助注册移动客户端（俗称U盘客户端），统一身份认证即插即用设计原理，U盘退出将自动清理安全环境当移动客户端插入用户个人电脑并认证通过后，系统自动进入密文模式，用户可正常使用从内网带出的加密文档且不可解密支持加密文档与个人明文文档同时打开使用，明密文间相互隔离无影响当，不对个人文档产生任何影响内容内容保护保护剪切板剪切板打印打印截屏截屏另存为另存为效果四：敏感数据离网安全管控效果四：敏感数据离网安全管控 禁止禁止打印打印效果效果五五：密文明送密文明送 机密文件发送，防止泄密或被篡改丧失知识产权对外发文件做限制，对方只能在设置的权限范围内使用。谢谢聆听！谢谢聆听！