金融行業(yè)走上云端,核心數(shù)據(jù)安全如何保障

1、金融行業(yè)走上云端，核心數(shù)據(jù)安全如何保障2015 年 12 月，國務(wù)院發(fā)布推進(jìn)普惠金融發(fā)展規(guī)劃 （2016 2020 年）的通知，規(guī)劃中鼓勵(lì)金融機(jī)構(gòu)創(chuàng)新產(chǎn)品 和服務(wù)方式，運(yùn)用大數(shù)據(jù)、云計(jì)算等新興信息技術(shù)，打造互 聯(lián)網(wǎng)金融服務(wù)平臺，為社會(huì)各階層和群體提供信息、資金、 產(chǎn)品等全方位金融服務(wù)。作為普惠金融重要的實(shí)現(xiàn)手段，云 計(jì)算技術(shù)再次被提及。近來越來越多的銀行、保險(xiǎn)、證券等 金融機(jī)構(gòu)，開始規(guī)劃部署數(shù)據(jù)中心和客戶端上云，以達(dá)到提 高系統(tǒng)運(yùn)算能力，數(shù)據(jù)處理能力，改善客戶評價(jià)，降低運(yùn)營 成本的目的。云安全聯(lián)盟（CSA）于2015年發(fā)布的一份調(diào)查結(jié) 果顯示，在制定云政策的金融公司中只有不到五分之一 （18%

2、） 沒有計(jì)劃使用公有云，并且 70% 的調(diào)查對象由原來的混合云 向偏重公有云的服務(wù)轉(zhuǎn)變。云環(huán)境下的安全挑戰(zhàn)從法規(guī)遵從 和企業(yè)、個(gè)人敏感信息防護(hù)的角度，相比私有云環(huán)境和傳統(tǒng) 企業(yè) IT 環(huán)境，公有云和混合云環(huán)境中的數(shù)據(jù)面臨著前所未有 的，來自開放環(huán)境和云運(yùn)維服務(wù)環(huán)境的安全挑戰(zhàn)，主要涉及 以下四個(gè)方面：形態(tài)的變化：從物理形態(tài)轉(zhuǎn)變?yōu)榧兲摂M化 形態(tài)，數(shù)據(jù)的防護(hù)、審計(jì)、加密等安全措施的使用和管理難 度明顯增加。存儲方式變化：數(shù)據(jù)集中存儲引起管理方式 的變化，如何有效隔離、區(qū)分不同銀行業(yè)務(wù)數(shù)據(jù)是保證業(yè)務(wù) 正常運(yùn)轉(zhuǎn)的關(guān)鍵問題。 第三方運(yùn)維人員介入：公有云租用 中，云服務(wù)商對數(shù)據(jù)底層進(jìn)行運(yùn)維的同時(shí)，也能夠輕易

3、的獲 取到用戶的敏感數(shù)據(jù)，這成為金融機(jī)構(gòu)親手埋下的不定時(shí)炸 彈。部署難題：傳統(tǒng)防護(hù)和審計(jì)設(shè)備的串接部署方式無法 在云環(huán)境下操作，如何實(shí)現(xiàn)過濾內(nèi)部攻擊、發(fā)現(xiàn)外部安全風(fēng) 險(xiǎn)，并保障加密技術(shù)所使用的密鑰體系安全可靠，分級管理 制度合理可信。金融行業(yè)的云數(shù)據(jù)（庫）安全技術(shù)路線 對于銀行等金融機(jī)構(gòu)，其敏感數(shù)據(jù)包括身份證號、姓名、住 址、銀行卡號、交易記錄以及企業(yè)核心資產(chǎn)數(shù)據(jù)等，這些關(guān) 乎民生和行業(yè)信譽(yù)的數(shù)據(jù)，如何確保在業(yè)務(wù)步上云端后安全 不受損呢？憑著多年對核心數(shù)據(jù)安全進(jìn)行保護(hù)的技術(shù)研究 積累和數(shù)據(jù)庫安全運(yùn)維經(jīng)驗(yàn)，安華金和在云數(shù)據(jù)加密方面， 提出了自己的技術(shù)觀點(diǎn)：以敏感數(shù)據(jù)加密為基礎(chǔ)以安全可靠、體系完善

4、的密鑰管 理系統(tǒng)為核心以三權(quán)分立、敏感數(shù)據(jù)訪問控制為主要手 段輔助數(shù)據(jù)庫防火墻、數(shù)據(jù)脫敏、審計(jì)等邊界系統(tǒng)，規(guī)范 和監(jiān)控?cái)?shù)據(jù)的訪問行為 利用以上技術(shù)手段，實(shí)現(xiàn)金融行業(yè)上云后核心數(shù)據(jù)的安全防 護(hù)。云數(shù)據(jù)（庫）安全之模型和架構(gòu)實(shí)現(xiàn)以敏感數(shù)據(jù)加密為基礎(chǔ) 的技術(shù)路線，最關(guān)鍵的是“密鑰由誰控制、在哪管理”；同時(shí) 需要解決數(shù)據(jù)加密防護(hù)和密鑰管理引起的對系統(tǒng)運(yùn)行效率， 系統(tǒng)部署和改造的代價(jià)，自動(dòng)化運(yùn)維的影響等一系列問題。對此，亞馬遜 AWS 的解決方案中采用多種密鑰管理模型：模型A :加密方法，密鑰存儲，密鑰管理全部由用戶控制， 典型的是整個(gè) KMS2 (密鑰管理系統(tǒng))部署在用戶的數(shù)據(jù) 中心。模型 B :與模

5、型 A 中的加密方法是一樣的，區(qū)別在于 密鑰的存儲是在云的 KMS 而不是在用戶端的數(shù)據(jù)中心。模 型 C :本模型提供了完整的服務(wù)器端加密，加密方法和密鑰 的管理對于用戶是透明的。多層數(shù)據(jù)加密防護(hù)架構(gòu)基于以上 三種安全模型的研究，安華金和認(rèn)為只有多層數(shù)據(jù)加密防護(hù) 架構(gòu)可以更完善的保護(hù)金融行業(yè)核心敏感數(shù)據(jù)。具體如下: 1、磁盤加密:采用的是 Block-Level 加密技術(shù)，需要云存儲 卷采用 Block 存儲機(jī)制，例如 AWS 的 EBS3 ，阿里云的 ECS4 等。這種加密最大的好處在于，它對操作系統(tǒng)是透明 的。 2、文件加密:通過堆疊在其它文件系統(tǒng)之上(如 Ext2, Ext3, Reis

6、erFS, JFS 等)，為應(yīng)用程序提供透明、動(dòng)態(tài)、高 效和安全的加密功能。典型的是用于加密指定的目錄。需要 關(guān)注的是這種加密方式可能會(huì)產(chǎn)生較大的性能損失。3 、數(shù)據(jù)庫加密:對于用戶在云上自行部署使用的 DBMS ，可以使 用第三方專業(yè)數(shù)據(jù)庫加密廠商提供的產(chǎn)品，如安華金和的數(shù) 據(jù)庫保險(xiǎn)箱 DBCoffer ，可提供應(yīng)用透明的按列加密能力， 獨(dú) 立的密鑰管理、三權(quán)分立、靜態(tài)數(shù)據(jù)掩碼能力。4、應(yīng)用層加密:在數(shù)據(jù)到達(dá)數(shù)據(jù)庫和 RDS 之前，甚至發(fā)送到云端之 前，實(shí)時(shí)保護(hù)用戶的敏感數(shù)據(jù)；這需要提供良好的應(yīng)用透明 性，保證絕大多數(shù)應(yīng)用無需改造。云用戶（企業(yè)）沒有必要 信任云計(jì)算提供商以保護(hù)企業(yè)的數(shù)據(jù)安全，數(shù)據(jù)安全是由企 業(yè)自己控制的。 5、密鑰管理和加解密組件：作為數(shù)據(jù)加密 保護(hù)的核心組件， KMS 負(fù)責(zé)進(jìn)行密鑰生成、 管理和銷毀， 并 提供加解密能力；同時(shí)根據(jù)需要提供密鑰的生命期管理、開