零信任數(shù)據(jù)安全白皮書(shū)

引言數(shù)據(jù)安全面臨嚴(yán)峻挑戰(zhàn) 1零信任的定義和應(yīng)用場(chǎng)景 3零信任術(shù)語(yǔ) 3零信任常見(jiàn)的應(yīng)用場(chǎng)景概述 4零信任應(yīng)對(duì)數(shù)據(jù)安全之道 5零信任和數(shù)據(jù)安全的關(guān)系 5零信任視角下的數(shù)據(jù)安全風(fēng)險(xiǎn) 6零信任應(yīng)對(duì)數(shù)據(jù)安全風(fēng)險(xiǎn)的關(guān)鍵點(diǎn) 7零信任應(yīng)用于數(shù)據(jù)安全合規(guī) 10國(guó)外數(shù)據(jù)合規(guī)的現(xiàn)狀 10我國(guó)數(shù)據(jù)合規(guī)的現(xiàn)狀 10零信任數(shù)據(jù)安全在合規(guī)領(lǐng)域的應(yīng)用場(chǎng)景 10零信任應(yīng)用于數(shù)據(jù)安全攻防 13零信任理念用于數(shù)據(jù)安全訪問(wèn)控制 13終端側(cè)數(shù)據(jù)安全保護(hù) 13數(shù)據(jù)傳輸通道安全保護(hù) 15敏感文件流轉(zhuǎn)過(guò)程信任控制 16業(yè)務(wù)訪問(wèn)信任控制 16服務(wù)端側(cè)數(shù)據(jù)安全保護(hù) 17零信任數(shù)據(jù)安全應(yīng)用需求場(chǎng)景 19-2-金融證券數(shù)據(jù)安全管控場(chǎng)景 19-2--3-證券行業(yè)零信任遠(yuǎn)程安全接入場(chǎng)景 21-3-電網(wǎng)行業(yè)多網(wǎng)隔離防護(hù)場(chǎng)景 24政務(wù)文檔跨部門共享數(shù)據(jù)防泄密場(chǎng)景 29關(guān)鍵數(shù)據(jù)識(shí)別與保護(hù)場(chǎng)景 33高科技行業(yè)零信任數(shù)據(jù)安全防護(hù)場(chǎng)景 35研發(fā)場(chǎng)景 36工業(yè)互聯(lián)網(wǎng)場(chǎng)景 40遠(yuǎn)程辦公場(chǎng)景 42企業(yè)數(shù)據(jù)服務(wù)API安全防護(hù)場(chǎng)景 47結(jié)束語(yǔ) 52PYRI HT TI E-1-律保護(hù)。轉(zhuǎn)載、摘編或利用任何其他方式使用白皮書(shū)文字或觀點(diǎn)的，均應(yīng)注明“來(lái)源：零信任產(chǎn)業(yè)標(biāo)準(zhǔn)工作組和云計(jì)算開(kāi)源產(chǎn)業(yè)聯(lián)盟零信任實(shí)驗(yàn)室”。違反以上聲明者，我們將保留追究其相關(guān)法律責(zé)任的權(quán)利。-1-編制人員：黃超、蔡?hào)|赟、宋磊、嚴(yán)益昌、郭雪、田旭達(dá)、鄭振宇、劉現(xiàn)磊、仇瑞晉、北京dromara技有RE E D“十四五”時(shí)期，我國(guó)數(shù)據(jù)要素市場(chǎng)體系將初步建立，數(shù)據(jù)作為生產(chǎn)要素的三次價(jià)值將全面發(fā)揮，推動(dòng)數(shù)字經(jīng)濟(jì)蓬勃發(fā)展。數(shù)據(jù)逐漸成為企業(yè)核心資產(chǎn)之一，保障數(shù)據(jù)APT————————騰訊企業(yè)安全中心高級(jí)總監(jiān)蔡晨映射到騰訊公司自身的實(shí)踐經(jīng)驗(yàn)，騰訊是國(guó)內(nèi)率先實(shí)踐零信任的互聯(lián)網(wǎng)公司之一2016iOA支撐了騰訊全球10W+設(shè)備隨時(shí)隨地接入辦公，通過(guò)零信任的理念，在全場(chǎng)景、全階段，通過(guò)關(guān)鍵技術(shù)手段保障人、行為、設(shè)備iOA零信任理念在中國(guó)的落地，獲得十幾大行業(yè)數(shù)千家客戶廣泛認(rèn)可，成為了國(guó)內(nèi)首個(gè)部署終端突破百萬(wàn)的零信任產(chǎn)品?！v訊安全總經(jīng)理王宇————————騰訊標(biāo)準(zhǔn)總監(jiān)代威-3-《零信任數(shù)據(jù)安全白皮書(shū)》是一本探討如何通過(guò)零信任理念來(lái)保護(hù)數(shù)據(jù)安全的重要參考資料。隨著數(shù)字化時(shí)代的到來(lái)，數(shù)據(jù)已成為數(shù)字經(jīng)濟(jì)發(fā)展的核心生產(chǎn)要素之一。-3-然而，數(shù)據(jù)安全風(fēng)險(xiǎn)不斷增加，數(shù)據(jù)泄露、非法竊取等問(wèn)題嚴(yán)重威脅著人們的財(cái)產(chǎn)安全和個(gè)人隱私，傳統(tǒng)的安全防御手段已經(jīng)無(wú)法滿足當(dāng)今復(fù)雜的數(shù)據(jù)安全威脅。零信任CTO在零信任領(lǐng)域8最后，在零信任模式下，每個(gè)請(qǐng)求都可以基人的身份來(lái)追溯，以及可以協(xié)調(diào)多組件進(jìn)行聯(lián)動(dòng)，從而更加靈活和高效地響應(yīng)各種數(shù)據(jù)安全事件。CEO何藝（原完美世界集團(tuán)安全負(fù)責(zé)人)數(shù)字資產(chǎn)作為數(shù)字時(shí)代的“石油”，確保數(shù)據(jù)安全的前提下，合理利用數(shù)據(jù)資源，挖掘數(shù)據(jù)價(jià)值已經(jīng)成為全球共識(shí)。管的太緊，數(shù)據(jù)形成數(shù)字鴻溝；管的太松，數(shù)據(jù)又被濫用，數(shù)據(jù)權(quán)利者的利用頻頻遭到侵害。零信任產(chǎn)業(yè)標(biāo)準(zhǔn)工作組&云計(jì)算開(kāi)源產(chǎn)業(yè)聯(lián)盟零信任實(shí)驗(yàn)室編寫(xiě)的《零信任數(shù)據(jù)安全白皮書(shū)》，緊跟國(guó)內(nèi)外前沿?cái)?shù)據(jù)安全前沿需求和技術(shù)，通過(guò)零信任的先進(jìn)理念，采用強(qiáng)制實(shí)施數(shù)據(jù)訪問(wèn)控制、身份認(rèn)證與數(shù)字沙箱隔離、數(shù)據(jù)加密、環(huán)境感知資源訪問(wèn)動(dòng)態(tài)授權(quán)技術(shù)措施來(lái)融合保障網(wǎng)絡(luò)安全和數(shù)據(jù)安全，白皮書(shū)總結(jié)了多個(gè)行業(yè)數(shù)據(jù)安全的相關(guān)問(wèn)題和在零信任解決方案下的應(yīng)對(duì)之法，既滿足合規(guī)需要、又滿足網(wǎng)絡(luò)和數(shù)據(jù)技術(shù)發(fā)展要素的實(shí)踐經(jīng)驗(yàn)，為行業(yè)從業(yè)者提供了有價(jià)值的參考。（北京）股份有限公司CEO王文宇-6--6--7--7--2--2-（20152018、（2021）610202262023年1月，《工業(yè)和信息化部等十六部門關(guān)于促進(jìn)數(shù)據(jù)安全產(chǎn)業(yè)發(fā)展的指導(dǎo)意見(jiàn)》指出“202520237由于數(shù)字技術(shù)促使數(shù)據(jù)應(yīng)用的場(chǎng)景和參與主體日益多樣化，數(shù)據(jù)安全的外延不斷擴(kuò)展，數(shù)據(jù)安全治理面臨多重困境。面對(duì)數(shù)據(jù)安全威脅日益嚴(yán)峻的態(tài)勢(shì)，著力解決數(shù)據(jù)安全領(lǐng)域的突出問(wèn)題，有效提升數(shù)據(jù)安全治理能力迫在眉睫。組織/企業(yè)面臨的數(shù)據(jù)安全挑戰(zhàn)如下：-3-數(shù)據(jù)安全法律合規(guī)面臨挑戰(zhàn)-3--4--4-數(shù)據(jù)信息泄露風(fēng)險(xiǎn)數(shù)據(jù)遭受異常流量攻擊數(shù)據(jù)傳輸過(guò)程中的安全風(fēng)險(xiǎn)數(shù)據(jù)存儲(chǔ)管理風(fēng)險(xiǎn)在數(shù)據(jù)的存儲(chǔ)平臺(tái)上，特別是大數(shù)據(jù)環(huán)境，數(shù)據(jù)量往往是非線性甚至是指數(shù)級(jí)增長(zhǎng)的，數(shù)據(jù)訪問(wèn)便利性和安全性的平衡性挑戰(zhàn)-5--5-ZEROTRUSTForrester零信任(ZeroTrust)是一個(gè)默認(rèn)拒絕對(duì)應(yīng)用和數(shù)據(jù)資源進(jìn)行訪問(wèn)的安全模型。通過(guò)對(duì)用注：來(lái)源《TheDefinitionOfModernZeroTrus》Gartner的定義零信任網(wǎng)絡(luò)訪問(wèn)(ZeroTrustNetworkAccess，ZTN)是一種圍繞應(yīng)用的基于身份和意者在網(wǎng)絡(luò)里的橫向移動(dòng)。通過(guò)去除應(yīng)用的公開(kāi)可見(jiàn)性可顯著的減少網(wǎng)絡(luò)攻擊面。注：來(lái)源GartnerGlossaryNIST的定義零信任(ZeroTrust)提供了一系列的安全概念和理念，在面對(duì)可能已被攻擊的網(wǎng)絡(luò)時(shí)，注：來(lái)源《NISTSP800-207ZeroTrustArchitectur》CCSA的定義零信任(ZeroTrust)是一組圍繞資源訪問(wèn)控制的安全策略、技術(shù)與過(guò)程的統(tǒng)稱。從對(duì)訪注：來(lái)源《零信任安全技術(shù)參考框架》行業(yè)標(biāo)準(zhǔn)(報(bào)批稿)-6-ForresterAPracticalGuideToAZeroTrustImplementation》中描述到：零信任相比于傳統(tǒng)的邊界安全方案，-6--7--7-（分級(jí)分類等。識(shí)別數(shù)據(jù)流和風(fēng)險(xiǎn)：洞察數(shù)據(jù)全生命周期過(guò)程，并分析其受到的安全威脅。使用多種數(shù)據(jù)安全措施和技術(shù)：包括訪問(wèn)控制、數(shù)據(jù)使用模式分析、數(shù)據(jù)合理處置、數(shù)據(jù)混淆、數(shù)據(jù)加密等。持續(xù)安全監(jiān)測(cè)和調(diào)整：通過(guò)持續(xù)監(jiān)測(cè)惡意行為和風(fēng)險(xiǎn)，自適應(yīng)的調(diào)整安全策略，實(shí)現(xiàn)不同的響應(yīng)手段?；貧w零信任的核心目標(biāo)，就是聚焦于保護(hù)數(shù)據(jù)的安全，構(gòu)建以數(shù)據(jù)為中心的安全體系。WFNNS零信任在所有需要對(duì)網(wǎng)絡(luò)資源（數(shù)據(jù)）訪問(wèn)進(jìn)行安全防護(hù)的場(chǎng)景中都可以使用，根據(jù)有沒(méi)有用戶直接參與，使用場(chǎng)景可以分為兩大類。用戶對(duì)資源(數(shù)據(jù))的訪問(wèn)場(chǎng)景服務(wù)(數(shù)據(jù)服務(wù))之間調(diào)用場(chǎng)景此類場(chǎng)景沒(méi)有用戶直接參與，常見(jiàn)于數(shù)據(jù)中心內(nèi)工作負(fù)載上各類服務(wù)(微服務(wù))之間的互DATASECURITY-9--9-EPNOTDAY數(shù)據(jù)安全治理框架和數(shù)據(jù)安全成熟度模型是經(jīng)典的分析數(shù)據(jù)安全問(wèn)題和構(gòu)建數(shù)據(jù)安全基于零信任思想構(gòu)建的數(shù)據(jù)資源安全訪問(wèn)控制措施，不拘于數(shù)據(jù)安全訪問(wèn)措施的形式，AYSMAE-10根據(jù)Verizon發(fā)布的《2021年數(shù)據(jù)泄露調(diào)查報(bào)告》可以看到，絕大多數(shù)的數(shù)據(jù)泄露事3-10-11(BYO、IoT設(shè)備、應(yīng)用程序等)，業(yè)務(wù)場(chǎng)景也從用戶訪問(wèn)資源的場(chǎng)景拓展到泛終端訪問(wèn)場(chǎng)景、應(yīng)-11跨業(yè)務(wù)的數(shù)據(jù)調(diào)用大幅增加。傳統(tǒng)基于網(wǎng)絡(luò)邊界的安全防護(hù)體系無(wú)法對(duì)應(yīng)用層跨業(yè)務(wù)數(shù)據(jù)交換，提供足夠的防護(hù)能力和細(xì)粒度的訪問(wèn)控制。數(shù)據(jù)訪問(wèn)請(qǐng)求的人員可能來(lái)自不同部門或者外部，訪問(wèn)的區(qū)域也從內(nèi)網(wǎng)逐漸擴(kuò)散到互聯(lián)網(wǎng)、云上等多種網(wǎng)絡(luò)環(huán)境，現(xiàn)有的數(shù)據(jù)安全防護(hù)手段難以判定數(shù)據(jù)訪問(wèn)人員的身份可信度，默認(rèn)信任訪問(wèn)用戶。數(shù)據(jù)訪問(wèn)主體可能隨時(shí)隨地在不同的終端設(shè)備上發(fā)起訪問(wèn)，現(xiàn)有的數(shù)據(jù)安全防護(hù)手段難以評(píng)估訪問(wèn)終端的設(shè)備可信度，默認(rèn)信任訪問(wèn)終端。訪問(wèn)過(guò)程中，難以有效地度量訪問(wèn)過(guò)程中可能發(fā)生的行為并進(jìn)行持續(xù)信任評(píng)估，根據(jù)信任程度動(dòng)態(tài)調(diào)整訪問(wèn)權(quán)限。缺少對(duì)敏感數(shù)據(jù)流動(dòng)監(jiān)控的措施，無(wú)法詳細(xì)審計(jì)敏感數(shù)據(jù)被終端用戶訪問(wèn)的情況，對(duì)可能存在的敏感數(shù)據(jù)泄露風(fēng)險(xiǎn)難以預(yù)警。YSFYS零信任強(qiáng)調(diào)對(duì)身份和權(quán)限的動(dòng)態(tài)管控，根據(jù)數(shù)據(jù)敏感度等級(jí)和數(shù)據(jù)訪問(wèn)、使用過(guò)程中的安全風(fēng)險(xiǎn)情況動(dòng)態(tài)調(diào)整訪問(wèn)主體對(duì)數(shù)據(jù)的訪問(wèn)權(quán)限，從而實(shí)現(xiàn)動(dòng)態(tài)訪問(wèn)控制。防護(hù)思路基于數(shù)據(jù)的全生命周期，依據(jù)實(shí)際業(yè)務(wù)場(chǎng)景將訪問(wèn)主體、客體、環(huán)境(上下文)-12數(shù)據(jù)訪問(wèn)權(quán)限最小授權(quán)-12在零信任理念下，授權(quán)決策不再僅僅基于網(wǎng)絡(luò)位置、用戶角色或?qū)傩缘葌鹘y(tǒng)靜態(tài)訪問(wèn)控制模型，而是通過(guò)持續(xù)的安全監(jiān)測(cè)和信任評(píng)估，進(jìn)行動(dòng)態(tài)、細(xì)粒度的授權(quán)。任何訪問(wèn)主體(人/設(shè)備/應(yīng)用等)，在訪問(wèn)數(shù)據(jù)被允許之前，都要經(jīng)過(guò)身份認(rèn)證和授權(quán)，避免過(guò)度的信任；訪問(wèn)主體對(duì)客體(數(shù)據(jù)/服務(wù)/網(wǎng)絡(luò)等)的訪問(wèn)權(quán)限是動(dòng)態(tài)的(非靜止不變的)并且分配訪問(wèn)權(quán)限時(shí)遵循最小權(quán)限原則。數(shù)據(jù)訪問(wèn)權(quán)限動(dòng)態(tài)決策數(shù)據(jù)傳輸加密TLS數(shù)據(jù)資源隱藏-13數(shù)據(jù)資源隔離-13零信任架構(gòu)實(shí)現(xiàn)的資源隔離主要包含訪問(wèn)主體與數(shù)據(jù)資源的隔離以及應(yīng)用數(shù)據(jù)資源之間的隔離。應(yīng)用數(shù)據(jù)資源之間的隔離可以通過(guò)微隔離等技術(shù)實(shí)現(xiàn)，通過(guò)對(duì)東西向流量進(jìn)行細(xì)粒度的管控，靈活劃分隔離域，從而實(shí)現(xiàn)對(duì)內(nèi)部網(wǎng)絡(luò)中應(yīng)用數(shù)據(jù)資源間的隔離，限制橫向移動(dòng)攻擊。DATA E RITY PLIA E-15-15NAE2018GDPR2021CURRENTSITUATIONOFDOMESTICDATACOMPLIANCE20172021部分省市根據(jù)自己的地區(qū)特點(diǎn)，也推出了相關(guān)地方數(shù)據(jù)管理?xiàng)l例，比如2021年深圳的APPLICATIONSCENARIOSINTHEFIELDOFCOMPLIANCE針對(duì)各級(jí)政府機(jī)關(guān)、企事業(yè)單位、企業(yè)所面臨的安全合規(guī)風(fēng)險(xiǎn)，零信任安全理念可以在多個(gè)方面提升網(wǎng)絡(luò)和數(shù)據(jù)安全能力，規(guī)避法律風(fēng)險(xiǎn)，保障信息基礎(chǔ)設(shè)施和用戶數(shù)據(jù)的安全。-16網(wǎng)絡(luò)安全等級(jí)保護(hù)的合規(guī)應(yīng)用場(chǎng)景-16零信任應(yīng)對(duì)方案：關(guān)鍵信息基礎(chǔ)設(shè)備安全保護(hù)的合規(guī)應(yīng)用場(chǎng)景《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》中明確規(guī)定了運(yùn)營(yíng)者要對(duì)信息基礎(chǔ)設(shè)施的安全和穩(wěn)定負(fù)責(zé)，強(qiáng)調(diào)了基礎(chǔ)設(shè)施的數(shù)據(jù)保密性、完整性和可用性，數(shù)據(jù)是安全防護(hù)的基石。零信任應(yīng)對(duì)方案：網(wǎng)絡(luò)安全攻防演練的合規(guī)應(yīng)用場(chǎng)景每年的網(wǎng)絡(luò)安全攻防演練工作，對(duì)信息系統(tǒng)基礎(chǔ)設(shè)施的安全要求提出了非常高的要求，但是各種應(yīng)用系統(tǒng)的漏洞防不勝防，還可能遇到有些舊應(yīng)用系統(tǒng)已經(jīng)停止維護(hù)，無(wú)法及時(shí)進(jìn)行漏洞修復(fù)的情況。零信任應(yīng)對(duì)方案：零信任體系中的端口隱藏技術(shù)和安全隧道加密技術(shù)，能在這些場(chǎng)景下提供強(qiáng)有力的安全防護(hù)能力，保護(hù)應(yīng)用系統(tǒng)不被發(fā)現(xiàn)、免受攻擊和數(shù)據(jù)不被竊取。個(gè)人信息安全和密碼安全的合規(guī)應(yīng)用場(chǎng)景-17-17零信任應(yīng)對(duì)方案：)和管理措施來(lái)加強(qiáng)安全防護(hù)和保障。零信任的原則之一是保障通信流量的安全，這就包括通信數(shù)據(jù)的機(jī)密性和完整性要求。中的數(shù)據(jù)保密性。在密碼使用方面，建議滿足國(guó)密的相關(guān)要求，可使用SM2、SM3、SM4等國(guó)密算法來(lái)實(shí)現(xiàn)。DATA E RITYATTA KA DDEFE E-19-19TRAYSL60%以上。因此，想要建立完善的數(shù)據(jù)安全防護(hù)體系，只依靠傳統(tǒng)安全防護(hù)理念是遠(yuǎn)遠(yuǎn)不夠的。LEAYN5.21本地存儲(chǔ)安全保護(hù)為保證安全空間自身的安全性，需將其設(shè)置為獨(dú)立空間，該空間與系統(tǒng)層通過(guò)專用認(rèn)證接口進(jìn)行調(diào)用，實(shí)現(xiàn)安全空間與移動(dòng)設(shè)備空間分離，防止非法訪問(wèn)。安全空間應(yīng)采用透明加密等機(jī)制，確保任何存儲(chǔ)于系統(tǒng)上的數(shù)據(jù)都受到有效的保護(hù)，避免被黑客進(jìn)行靜態(tài)文件分析。安全空間運(yùn)行時(shí)采用內(nèi)存保護(hù)技術(shù)，通過(guò)擬化技術(shù)、內(nèi)存加擾技術(shù)以及反調(diào)試技術(shù)進(jìn)行實(shí)現(xiàn)，不以任何形式的明文出現(xiàn)在內(nèi)存中。需要在移動(dòng)設(shè)備文件系統(tǒng)中，隨機(jī)創(chuàng)建多個(gè)錨點(diǎn)文件。防止攻擊者把整個(gè)應(yīng)用程序的文件復(fù)制到其他移動(dòng)端上，進(jìn)行身份冒用攻擊。-20-20APP通過(guò)對(duì)客戶端的各個(gè)組件都進(jìn)行簽名驗(yàn)簽的方式，保障客戶端的完整性。需要具備移動(dòng)終端環(huán)境威脅感知能力，自動(dòng)檢測(cè)移動(dòng)端安全狀態(tài)。5.22C終端環(huán)境分域信任安全保護(hù)終端環(huán)境邊界信任防護(hù)應(yīng)根據(jù)安全域劃分情況，明確需進(jìn)行核心數(shù)據(jù)安全防護(hù)的邊界。在明確的安全域邊界實(shí)施有效的訪問(wèn)控制策略和機(jī)制。應(yīng)根據(jù)終端業(yè)務(wù)訪問(wèn)安全級(jí)別劃分，對(duì)終端采用隔離措施，隔離原則上采用底層隔離為應(yīng)根據(jù)信息安全對(duì)抗技術(shù)的發(fā)展，在系統(tǒng)或安全域邊界的關(guān)鍵點(diǎn)采用嚴(yán)格的安全防護(hù)機(jī)制，如嚴(yán)格的登錄/訪問(wèn)控制、信息過(guò)濾、邊界完整性檢查等。應(yīng)對(duì)非授權(quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進(jìn)行檢查，準(zhǔn)確定出位置，并對(duì)其進(jìn)行有效阻斷。應(yīng)對(duì)內(nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查，準(zhǔn)確定出位置，并對(duì)其進(jìn)行有效阻斷。-21-21應(yīng)啟動(dòng)訪問(wèn)控制措施，保護(hù)終端上的敏感數(shù)據(jù)不被非授權(quán)訪問(wèn)。存儲(chǔ)在終端的敏感數(shù)據(jù)導(dǎo)出時(shí)須履行審批，并在系統(tǒng)中可審計(jì)。對(duì)采用虛擬化技術(shù)的終端應(yīng)進(jìn)行相關(guān)技術(shù)防護(hù)，防止敏感數(shù)據(jù)泄露。存放有敏感數(shù)據(jù)的終端使用移動(dòng)存儲(chǔ)介質(zhì)時(shí)應(yīng)進(jìn)行嚴(yán)格的授權(quán)訪問(wèn)控制。對(duì)下載到移動(dòng)終端設(shè)備存儲(chǔ)區(qū)域的敏感數(shù)據(jù)，應(yīng)采取加密等技術(shù)措施進(jìn)行安全保護(hù)，防止存儲(chǔ)的信息被竊取。訪問(wèn)主體身份和行為的統(tǒng)一治理對(duì)訪問(wèn)主體應(yīng)采取數(shù)字簽名、時(shí)間戳等技術(shù)保障參與通信的雙方或一方對(duì)自己行為以及所做的操作(如文件創(chuàng)建、信息發(fā)送、信息接收以及批示等)進(jìn)行部分或全部的信任控制。/應(yīng)通過(guò)黑/白名單等方式管理訪問(wèn)主體對(duì)網(wǎng)頁(yè)、FTP、P2P、即時(shí)通信等軟件的使用。.d.dNLYNSPASSL數(shù)據(jù)傳輸網(wǎng)絡(luò)連接通道可采用證書(shū)認(rèn)證方式，防中間人竊取或篡改攻擊。-22e.-22e.PROCESSTRUSTCONTROL文件在網(wǎng)絡(luò)傳輸時(shí)，應(yīng)采取密碼加密等技術(shù)措施進(jìn)行保護(hù)，防止傳輸?shù)男畔⒈桓`取，應(yīng)對(duì)文件的外發(fā)行為進(jìn)行審批、授權(quán)等控制。應(yīng)對(duì)文件知悉范圍和權(quán)限進(jìn)行控制，限制閱讀人員、閱讀次數(shù)以及閱讀期限，并且不受網(wǎng)絡(luò)連通情況的影響。應(yīng)使用數(shù)據(jù)加密等安全技術(shù)，對(duì)外發(fā)的文件內(nèi)容進(jìn)行安全保護(hù)。應(yīng)對(duì)文件的外發(fā)行為進(jìn)行審計(jì)，對(duì)違規(guī)操作行為進(jìn)行報(bào)警。使用無(wú)線網(wǎng)絡(luò)傳輸文件時(shí)，須對(duì)傳輸中的文件采用動(dòng)態(tài)加密技術(shù)等保護(hù)手段。文件如需通過(guò)內(nèi)外部網(wǎng)絡(luò)傳輸時(shí)，須采用加密等技術(shù)手段，防止文件被截獲后被解密或被破解。應(yīng)能夠檢測(cè)到文件在傳輸過(guò)程中完整性，并采取必要的恢復(fù)措施。SSTL訪問(wèn)API接口時(shí)需通過(guò)身份認(rèn)證。基于最小授權(quán)原則，對(duì)功能級(jí)和數(shù)據(jù)級(jí)進(jìn)行細(xì)粒度授權(quán)。依據(jù)多維度風(fēng)險(xiǎn)感知，評(píng)估訪問(wèn)的信任等級(jí)，動(dòng)態(tài)匹配訪問(wèn)控制權(quán)限，如：放行、二次認(rèn)證、阻斷等。對(duì)業(yè)務(wù)API全生命周期進(jìn)行監(jiān)控，對(duì)于有風(fēng)險(xiǎn)的訪問(wèn)進(jìn)行實(shí)時(shí)上報(bào)，作為零信任風(fēng)險(xiǎn)評(píng)估的因素之一。API作為訪問(wèn)連接的重要組件，需要具備超時(shí)重試、流量控制、熔斷機(jī)制、負(fù)載均衡等安全保護(hù)能力。-23f.-23f.SERVERSIDEDATASECURITYPROTECTION服務(wù)應(yīng)用前置區(qū)WAF等應(yīng)用安全檢測(cè)類系統(tǒng)，對(duì)應(yīng)用前置的訪問(wèn)流量進(jìn)行檢測(cè)過(guò)Web應(yīng)用攻擊防護(hù)、非授權(quán)訪問(wèn)防護(hù)、惡意代碼防護(hù)、應(yīng)用合規(guī)性審計(jì)等防護(hù)。終端用戶接入管控環(huán)境感知信任不符合要求時(shí)，通過(guò)可信代理控制服務(wù)進(jìn)行風(fēng)險(xiǎn)傳遞，并對(duì)用戶終端訪問(wèn)的應(yīng)用、API接口進(jìn)行實(shí)時(shí)阻斷?？尚怒h(huán)境感知采用“可信加權(quán)”接口信任訪問(wèn)接口訪問(wèn)區(qū)實(shí)現(xiàn)對(duì)應(yīng)用接口的動(dòng)態(tài)訪問(wèn)控制。主要部署可信API代理具備請(qǐng)求代理轉(zhuǎn)發(fā)、流量管控、訪問(wèn)控制、API熔斷機(jī)制、流量加密等功能，為應(yīng)用或服務(wù)間的API調(diào)用提APIAPI接口的可信認(rèn)證，實(shí)現(xiàn)API接口的訪問(wèn)控制及通道安全。應(yīng)用API接口的訪問(wèn)控制能力通過(guò)可信API代理實(shí)現(xiàn)：可信訪問(wèn)控制臺(tái)

可信API代理示意圖-24-24API的業(yè)務(wù)安全策略控制，實(shí)現(xiàn)對(duì)可信接入代理、可信API代理的管理及控制指令的下發(fā)。SECURITYAPPLICATIONREUIREMENTSCENARIOSESDLS背景“紅線“現(xiàn)狀和問(wèn)題WAF的方式對(duì)輸入的非結(jié)構(gòu)化數(shù)據(jù)進(jìn)行API是“幾手篡改過(guò)，只能“人肉”的找上游，以此類推，沒(méi)有一個(gè)清晰的數(shù)據(jù)生命周期脈絡(luò)(結(jié)構(gòu)化數(shù)據(jù)解決思路CMDB文件服務(wù)器等)、提供服務(wù)模式(API調(diào)用、數(shù)據(jù)同步、文件交換等)、提供服務(wù)時(shí)間等；二是在API據(jù)服務(wù)通過(guò)API的方式發(fā)布到API服務(wù)網(wǎng)關(guān)上，在API服務(wù)網(wǎng)關(guān)上引入IAM與SDP的零信任思路對(duì)API對(duì)APIAPI接口會(huì)觸發(fā)報(bào)警機(jī)制。方案價(jià)值“不正當(dāng)”EESO現(xiàn)狀和問(wèn)題PC開(kāi)展移動(dòng)辦OAIP和端口或通過(guò)VPN破壞”。PDAIT運(yùn)維人員通過(guò)終端在公司網(wǎng)絡(luò)之外進(jìn)行應(yīng)急維護(hù)時(shí)利用VPNVDI等遠(yuǎn)程接-22SSLVPNTCPVPN設(shè)備自身的安全性也不能得到有效保障，因?yàn)槠渥陨砭蜁?huì)存TCP-22建設(shè)零信任架構(gòu)的必要性業(yè)務(wù)必要性：居家辦公成了大部分人的常態(tài)，大家也習(xí)慣了在家通過(guò)自己的移動(dòng)終端為客戶進(jìn)行業(yè)務(wù)辦理、內(nèi)部辦公，IT遠(yuǎn)程作業(yè)運(yùn)維都變成了遠(yuǎn)程訪問(wèn)接入不可或缺的需求。安全必要性：攻擊、重放攻擊、暴力破解、0day等攻擊風(fēng)險(xiǎn)。合規(guī)要求：PC操作系統(tǒng)等方式將這些內(nèi)容外泄，導(dǎo)致安全和合規(guī)風(fēng)險(xiǎn)。方案效果理等功能，將分散的移動(dòng)安全管理整合在一起，降低管理復(fù)雜度和成本、提升用戶的IT管-23-23解決方案可以實(shí)現(xiàn)安全接入、應(yīng)用管理以及擴(kuò)展的移動(dòng)端安全服務(wù)能力，實(shí)現(xiàn)從數(shù)據(jù)到網(wǎng)絡(luò)的全面保護(hù)，平臺(tái)架構(gòu)可實(shí)現(xiàn)如下：集約化集約化建設(shè)移動(dòng)安全管控平臺(tái)，針對(duì)不同部門、不同應(yīng)用、不同場(chǎng)景，統(tǒng)一規(guī)劃一套安全管控平臺(tái)，降低公司安全投入成本，統(tǒng)一安全標(biāo)準(zhǔn)和訪問(wèn)策略；微服務(wù)架構(gòu)平臺(tái)軟件基于微服務(wù)架構(gòu)，可根據(jù)實(shí)際業(yè)務(wù)情況靈活拆分部署。通過(guò)虛擬化應(yīng)用實(shí)現(xiàn)性能的橫向擴(kuò)容；-24-24VPN網(wǎng)絡(luò)接入公靈活部署NDNS背景及國(guó)家秘密網(wǎng)絡(luò)與互聯(lián)網(wǎng)物理隔離、辦公網(wǎng)/商密網(wǎng)與互聯(lián)網(wǎng)安全隔離。等級(jí)保護(hù)、分級(jí)保護(hù)等標(biāo)準(zhǔn)指導(dǎo)要求，以確保國(guó)家秘密、商業(yè)秘密和敏感的重要信息不被泄露。國(guó)家工信部、-25-25現(xiàn)狀和問(wèn)題業(yè)務(wù)現(xiàn)狀業(yè)務(wù)專網(wǎng)的規(guī)劃與隔離：集團(tuán)公司和各分公司具有的商業(yè)秘密的信息系統(tǒng)，全部部署業(yè)務(wù)專網(wǎng)，將業(yè)務(wù)專網(wǎng)與互聯(lián)網(wǎng)進(jìn)行隔離；業(yè)務(wù)專網(wǎng)的安全接入：對(duì)于出差等移動(dòng)接入業(yè)務(wù)專網(wǎng)的用戶，和通過(guò)專網(wǎng)接入的分支機(jī)構(gòu)，部署安全接入方案，要保證接入終端的安全和傳輸過(guò)程的安全；核心內(nèi)網(wǎng)的改造隔離：對(duì)除生產(chǎn)網(wǎng)之外的營(yíng)銷網(wǎng)、監(jiān)控網(wǎng)、公共設(shè)備管理區(qū)、核心數(shù)據(jù)安全區(qū)域的核心內(nèi)網(wǎng)進(jìn)一步進(jìn)行隔離，使各個(gè)網(wǎng)絡(luò)之間形成不同的隔離網(wǎng)絡(luò)；核心終端數(shù)據(jù)傳輸加密：核心網(wǎng)絡(luò)中的終端進(jìn)行數(shù)據(jù)傳輸要采用加密。建設(shè)目標(biāo)通過(guò)以上場(chǎng)景分析，電網(wǎng)集團(tuán)多網(wǎng)隔離需達(dá)到以下建設(shè)目標(biāo)：構(gòu)建電力業(yè)務(wù)分級(jí)安全域PC機(jī)終端對(duì)其進(jìn)行虛擬隔離改造。通過(guò)在終端上部署多網(wǎng)隔離系““業(yè)務(wù)專網(wǎng)虛擬機(jī)建設(shè)核心網(wǎng)再分離隔離通過(guò)在各個(gè)核心網(wǎng)終端上面安裝多網(wǎng)隔離客戶端，使終端在多網(wǎng)隔離后臺(tái)控制下只能訪問(wèn)終端指定的核心網(wǎng)業(yè)務(wù)，比如終端為營(yíng)銷網(wǎng)使用終端則只能訪問(wèn)營(yíng)銷網(wǎng)，其他如監(jiān)控網(wǎng)、-26-26權(quán)USBPCMCIA口的使用權(quán)限。建設(shè)電力信息數(shù)據(jù)安全流轉(zhuǎn)系統(tǒng)解決方案總體描述隔離的虛擬網(wǎng)絡(luò)平臺(tái)，將集團(tuán)的核心業(yè)務(wù)數(shù)據(jù)與其他需要保護(hù)的核心資產(chǎn)納入到該虛擬網(wǎng)終端一機(jī)多用采用下沉式終端虛擬化隔離技術(shù)，將一臺(tái)物理終端計(jì)算機(jī)隔離成多個(gè)不同的業(yè)務(wù)環(huán)境網(wǎng)絡(luò)安全隔離可以根據(jù)需要，在原有的物理網(wǎng)絡(luò)上，通過(guò)網(wǎng)絡(luò)虛擬化技術(shù)，迅速的組建出適應(yīng)不同安全級(jí)別的業(yè)務(wù)虛擬網(wǎng)絡(luò)。把普通信息區(qū)終端虛擬出業(yè)務(wù)隔離環(huán)境和互聯(lián)網(wǎng)隔離環(huán)境，分別用-27-27URLURL訪問(wèn)規(guī)則；可以針對(duì)IP網(wǎng)段、ICMP/UDP/TCP協(xié)議、端口進(jìn)行網(wǎng)絡(luò)訪問(wèn)控制。數(shù)據(jù)安全交互終端的文件安全可以將各個(gè)虛擬環(huán)境的文件和真實(shí)物理機(jī)的文件進(jìn)行安全的隔離，使得它們完全的獨(dú)通過(guò)后臺(tái)的管理服務(wù)器進(jìn)行配置，來(lái)控制是否允許虛擬環(huán)境用戶查看或使用真實(shí)的邏輯磁盤、文件等。虛擬終端的數(shù)據(jù)交互權(quán)限目標(biāo)可以靈活的管理各個(gè)虛擬終端的數(shù)據(jù)交換權(quán)限，包括：是否允許數(shù)據(jù)導(dǎo)入不同安全級(jí)別的業(yè)務(wù)環(huán)境、是否允許數(shù)據(jù)導(dǎo)出集團(tuán)網(wǎng)；是否允許不同的虛擬隔離環(huán)境之間通過(guò)復(fù)制、粘貼的方式，來(lái)相互拷貝文件；同一臺(tái)物理終端上的虛擬環(huán)境之間，可以通過(guò)策略對(duì)文件、數(shù)據(jù)的交換進(jìn)行嚴(yán)格控制，控制的策略包括完全禁止、允許單向交換；U盤進(jìn)行數(shù)據(jù)交互。審計(jì)備份提供完整的日志管理，可對(duì)登陸過(guò)后臺(tái)的賬戶所做的所有操作，以及外發(fā)文檔的所有操作進(jìn)行日志審計(jì)，便于監(jiān)督檢查和事后追溯。多種密級(jí)管理可以自定義多種密級(jí)管理，如：核密文件：密級(jí)功能設(shè)置為全方面保護(hù)，多人審批；內(nèi)部流傳文件：密級(jí)功能設(shè)置為不加密；無(wú)需審計(jì)：密級(jí)功能設(shè)置為不上傳。-28-28根據(jù)業(yè)務(wù)需求、密級(jí)等級(jí)可以分為多種審批方式，各種密級(jí)可以采用不同的審批方式：多級(jí)審批、一級(jí)審批、單人審批、多人審批。按照用戶意愿制定適合的的審批方式。終端準(zhǔn)入控制ADLDAP“入網(wǎng)-在網(wǎng)-出網(wǎng)“違規(guī)不入網(wǎng)、入網(wǎng)必合規(guī)的管理規(guī)范。日志審計(jì)具有完備的日志審計(jì)功能，可以審計(jì)后臺(tái)管理員的操作行為；可以審計(jì)終端軟件安裝情況、遠(yuǎn)程維護(hù)日志、漏洞修復(fù)日志、文檔擺渡日志。方案價(jià)值建設(shè)多網(wǎng)隔離的最終目的是保護(hù)敏感數(shù)據(jù)安全，建設(shè)的核心思想是將安全等級(jí)較高的業(yè)務(wù)應(yīng)用從安全保護(hù)不夠的網(wǎng)絡(luò)環(huán)境和計(jì)算環(huán)境中隔離出來(lái)，此方案有以下幾方面綜合價(jià)值：終端系統(tǒng)級(jí)隔離強(qiáng)度：多網(wǎng)隔離的核心是終端隔離，隔離的效果取決于終端隔離得徹底不改變現(xiàn)在辦公終端的使用習(xí)慣：一個(gè)好的安全產(chǎn)品既能實(shí)現(xiàn)安全管理目標(biāo)，又能盡可終端軟件100%兼容：多網(wǎng)隔離改造的核心在終端，用戶終端上安裝軟件非常復(fù)雜，方案需全方位兼容終端軟件。-29-29SLGFTSOTA背景1+1＞2現(xiàn)狀和問(wèn)題文檔跨部門共享給工作帶來(lái)便利的同時(shí)也存在數(shù)據(jù)安全風(fēng)險(xiǎn)，政務(wù)文檔跨部門共享當(dāng)前尚無(wú)明確的數(shù)據(jù)安全保障機(jī)制、責(zé)任劃定制度，“緩存庫(kù)”、“黑產(chǎn)數(shù)據(jù)”、“敏感數(shù)據(jù)泄漏”等安全事件層出不窮。據(jù)多方專業(yè)研究報(bào)告顯示，超過(guò)60%的安全問(wèn)題是由內(nèi)部泄密引起。從訪問(wèn)過(guò)程來(lái)分析存在的泄密風(fēng)險(xiǎn)，主要包括四個(gè)方面：用戶身份和權(quán)限問(wèn)題、數(shù)據(jù)的安全流動(dòng)問(wèn)題、訪問(wèn)終端和業(yè)務(wù)系統(tǒng)的安全防護(hù)問(wèn)題、用戶的行為審計(jì)事后追溯問(wèn)題。用戶身份和權(quán)限問(wèn)題文檔的安全流動(dòng)問(wèn)題-30-30用戶的行為審計(jì)事后追溯解決方案本次方案重點(diǎn)是解決政務(wù)文檔跨部門共享場(chǎng)景下政府內(nèi)部員工安全訪問(wèn)業(yè)務(wù)系統(tǒng)、敏感數(shù)據(jù)防泄露的訴求。解決方案拓?fù)浜?jiǎn)圖及各個(gè)組件交互信息如下圖所示：-31PC電腦上；零信任網(wǎng)-31政務(wù)文檔跨部門共享場(chǎng)景下政府內(nèi)部員工安全訪問(wèn)業(yè)務(wù)系統(tǒng)敏感數(shù)據(jù)不泄露解決方案核心交互業(yè)務(wù)邏輯如下：政府內(nèi)部員工通過(guò)安全瀏覽器訪問(wèn)授權(quán)業(yè)務(wù)系統(tǒng)，針對(duì)業(yè)務(wù)系統(tǒng)安全瀏覽器可自定義開(kāi)啟水印、防復(fù)制等功能；零信任網(wǎng)關(guān)針對(duì)授權(quán)業(yè)務(wù)系統(tǒng)的文件下載請(qǐng)求進(jìn)行攔截，并從業(yè)務(wù)系統(tǒng)請(qǐng)求下載用戶目標(biāo)文檔并轉(zhuǎn)發(fā)到文檔云；文檔云針對(duì)用戶建立“個(gè)人文檔工作中心”，針對(duì)個(gè)人中心的文檔，用戶可以在線預(yù)覽、編輯、保存等；文檔云針對(duì)每個(gè)用戶會(huì)新建一個(gè)虛擬磁盤，編輯后的文檔可通過(guò)虛擬磁盤的方式上傳到業(yè)務(wù)系統(tǒng)進(jìn)行更新；方案價(jià)值統(tǒng)一工作門戶，支持遠(yuǎn)程移動(dòng)辦公安全瀏覽器統(tǒng)一政府業(yè)務(wù)系統(tǒng)的訪問(wèn)入口，統(tǒng)一門戶頁(yè)面，支持對(duì)門戶頁(yè)面進(jìn)行定制，B/SC/SWindow、MacOS、麒麟、統(tǒng)信等，支持用戶遠(yuǎn)程移動(dòng)辦公，同時(shí)支持Chrome/IE雙核切換，兼容性強(qiáng)；權(quán)限自助申請(qǐng)功能，讓流程更加簡(jiǎn)化；消息中心功能，讓通知更加及時(shí)。-32-32“最小化原則及時(shí)對(duì)用戶的權(quán)限進(jìn)行調(diào)整，對(duì)離職員工賬號(hào)進(jìn)行權(quán)限回收，有效避免權(quán)限過(guò)大的風(fēng)險(xiǎn)。身份和終端綁定，杜絕賬號(hào)借用風(fēng)險(xiǎn)持續(xù)信任評(píng)估，讓訪問(wèn)更加可信SPA單包授權(quán)技術(shù)，讓“黑客”無(wú)跡可尋SPA“黑客沒(méi)辦法在網(wǎng)絡(luò)上通過(guò)端口掃描的方式感知業(yè)務(wù)系統(tǒng)的存在，DDOS、暴力破解等攻擊。文檔集中管理技術(shù)，文檔流通更加安全-33-33IDENTIFICATIONANDPROTECTION背景業(yè)務(wù)敏感數(shù)據(jù)的準(zhǔn)確發(fā)現(xiàn)與識(shí)別是企業(yè)利用零信任思想解決數(shù)據(jù)安全問(wèn)題的前提條件?，F(xiàn)狀和問(wèn)題數(shù)據(jù)發(fā)現(xiàn)難，隨著企業(yè)對(duì)于安全建設(shè)能力的提高，當(dāng)前網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)大多采用了加密處理，這給傳統(tǒng)基于流量分析發(fā)現(xiàn)敏感數(shù)據(jù)的解決方案帶來(lái)了不小的困難。審計(jì)溯源難，雖然企業(yè)建立了較為完善的審計(jì)系統(tǒng)，但是大多審計(jì)的源頭只能追溯到P地址，對(duì)于違規(guī)行為的觸發(fā)者和使用的終端設(shè)備無(wú)法精確定位。數(shù)據(jù)管控難，企業(yè)的安全管理者缺少一個(gè)靈活的工具可以對(duì)數(shù)據(jù)泄漏事件快速取證、定解決方案通常企業(yè)內(nèi)部產(chǎn)生的數(shù)據(jù)一般存在于兩個(gè)位置：應(yīng)用服務(wù)器和終端。因此，數(shù)據(jù)安全的管控可以從這兩個(gè)方面下手。-34首先是應(yīng)用服務(wù)器，通常情況下安全部門需要管理全行應(yīng)用系統(tǒng)，這些系統(tǒng)數(shù)量眾多，7-34通當(dāng)用戶通過(guò)IM聊天工具或者通過(guò)網(wǎng)盤發(fā)送數(shù)據(jù)時(shí)，系統(tǒng)會(huì)自動(dòng)進(jìn)行記錄并截圖，方便后期溯源。敏感數(shù)據(jù)本地留存：發(fā)現(xiàn)終端設(shè)備是否存在公司敏感數(shù)據(jù)是一件相對(duì)困難的事情，特別在這種場(chǎng)景下可以利用策略，配置文件發(fā)現(xiàn)規(guī)則，并下發(fā)給終端，零信任客戶端會(huì)通過(guò)手機(jī)或其他設(shè)備拍照、錄像、截屏：面對(duì)這種情況可以通過(guò)動(dòng)態(tài)安全水印等技術(shù)解決。方案價(jià)值加強(qiáng)終端敏感數(shù)據(jù)管控：彌補(bǔ)傳統(tǒng)數(shù)據(jù)防泄漏解決方案對(duì)于數(shù)據(jù)識(shí)別發(fā)現(xiàn)不夠靈活的不DLP-35完善業(yè)務(wù)敏感數(shù)據(jù)發(fā)現(xiàn)能力：零信任網(wǎng)關(guān)作為業(yè)務(wù)統(tǒng)一訪問(wèn)入口具備完整的業(yè)務(wù)層數(shù)據(jù)-35優(yōu)化基于身份與設(shè)備的行為審計(jì)：利用數(shù)據(jù)標(biāo)簽快速檢測(cè)敏感數(shù)據(jù)訪問(wèn)試圖，這些數(shù)據(jù)HIGHTECHINDUSTRYSECURITYPROTECTION背景在這個(gè)背景下，公司也發(fā)現(xiàn)了業(yè)務(wù)自身的變化所帶來(lái)的安全訴求越來(lái)越強(qiáng)，如果不及時(shí)解決數(shù)據(jù)安全問(wèn)題，公司業(yè)務(wù)在未來(lái)的發(fā)展上將遭遇不可預(yù)知的風(fēng)險(xiǎn)?；诠緦?duì)數(shù)字化轉(zhuǎn)型的當(dāng)前階段的問(wèn)題以及后續(xù)可能出現(xiàn)的情況的預(yù)估和了解，公司認(rèn)為數(shù)據(jù)安全防護(hù)需要先建設(shè)，但數(shù)據(jù)安全防護(hù)的建設(shè)方面遇到了以下問(wèn)題：公司考察了傳統(tǒng)的數(shù)據(jù)安全防護(hù)思路，在開(kāi)始的時(shí)候，認(rèn)為這些傳統(tǒng)的數(shù)據(jù)安全防護(hù)思路能夠幫助公司達(dá)到保護(hù)數(shù)據(jù)的目標(biāo)，但隨著業(yè)務(wù)場(chǎng)景的進(jìn)一步模擬，發(fā)現(xiàn)這些保護(hù)措施生效后，公司的一些數(shù)據(jù)開(kāi)發(fā)、使用的業(yè)務(wù)場(chǎng)景會(huì)受到限制，影響了業(yè)務(wù)流程的快速運(yùn)行；有些場(chǎng)景下為了保證業(yè)務(wù)的流轉(zhuǎn)，需要在一定環(huán)節(jié)解除防護(hù)，這就違背了公司保護(hù)數(shù)據(jù)的初衷。-36-36解決方案在某高科技行業(yè)零信任數(shù)據(jù)安全防護(hù)項(xiàng)目中，主要采取以下安全技術(shù)應(yīng)對(duì)數(shù)字化轉(zhuǎn)型的安全防護(hù)問(wèn)題：開(kāi)發(fā)過(guò)程全流程的風(fēng)險(xiǎn)監(jiān)測(cè)數(shù)據(jù)開(kāi)發(fā)利用中的自適應(yīng)防護(hù)推薦建設(shè)建議“一刀切R&DSCENARIOS背景數(shù)據(jù)安全團(tuán)隊(duì)需要面向不同的業(yè)務(wù)團(tuán)隊(duì)需求，研發(fā)團(tuán)隊(duì)急需要一套統(tǒng)一安全的接入和研發(fā)環(huán)境。-37現(xiàn)狀和問(wèn)題-37內(nèi)容類產(chǎn)出的業(yè)務(wù)部門的業(yè)務(wù)需求場(chǎng)景業(yè)務(wù)特征涉及內(nèi)容文件的存儲(chǔ)，傳輸，輸出和審核；在自身內(nèi)容軟件中發(fā)布內(nèi)容文件；會(huì)接觸監(jiān)管單位發(fā)布的監(jiān)管文件；作業(yè)流程接收并且按照監(jiān)管單位文件要求，來(lái)審核創(chuàng)作者上傳的內(nèi)容文件，并且發(fā)布在自有的門戶類資訊工具上；業(yè)務(wù)風(fēng)險(xiǎn)不合規(guī)數(shù)據(jù)外泄導(dǎo)致的政策風(fēng)險(xiǎn)及輿論風(fēng)險(xiǎn)；合規(guī)數(shù)據(jù)外泄導(dǎo)致的信任危機(jī)等；監(jiān)管文件外泄導(dǎo)致的政策風(fēng)險(xiǎn)；用戶數(shù)據(jù)外泄導(dǎo)致的信任/輿論危機(jī)等。風(fēng)險(xiǎn)途徑敏感文件外發(fā)(IM云盤/微信/百度網(wǎng)盤等)；瀏覽器外發(fā)(網(wǎng)站上傳)；辦公類軟件云同步(企業(yè)微信/office等)；辦公類軟件外部發(fā)送(企業(yè)郵箱對(duì)外發(fā)送)；遠(yuǎn)程辦公時(shí)非公司設(shè)備外接設(shè)備泄漏USB/藍(lán)牙/打印等)；外包人員主動(dòng)泄漏。企業(yè)內(nèi)部HR管理的部門的業(yè)務(wù)需求場(chǎng)景業(yè)務(wù)特征企業(yè)內(nèi)部員工的招聘信息發(fā)布；-38企業(yè)內(nèi)部在職員工的聯(lián)系信息，績(jī)效信息，職位信息，薪資信息，簡(jiǎn)歷信息，家庭關(guān)系-38企業(yè)內(nèi)部員工的離職信息(聯(lián)系方式等)；其他內(nèi)部員工的信息的調(diào)用存儲(chǔ)(證書(shū)信息等)。作業(yè)流程通訊工具/內(nèi)部郵箱/內(nèi)部業(yè)務(wù)站等接收業(yè)務(wù)部門對(duì)于新員工的招聘要求，職級(jí)要求等；通訊工具/內(nèi)部郵箱/內(nèi)部業(yè)務(wù)站等接收外部應(yīng)聘人員投遞的簡(jiǎn)歷；內(nèi)部人員管理平臺(tái)上的新員工信息錄入，調(diào)用，傳輸?shù)?；?nèi)部人員管理平臺(tái)上的員工考核信息，薪資信息等其他信息的錄入，調(diào)用，傳輸?shù)取I(yè)務(wù)風(fēng)險(xiǎn)內(nèi)部薪資泄漏引起的員工之間的管理風(fēng)險(xiǎn)；內(nèi)部員工信息泄漏引起的政策等；招聘信息泄漏引起的業(yè)務(wù)風(fēng)險(xiǎn)；應(yīng)聘簡(jiǎn)歷泄漏引起的政策風(fēng)險(xiǎn)等。風(fēng)險(xiǎn)途徑敏感文件外發(fā)(IM云盤/微信/百度網(wǎng)盤等)；瀏覽器外發(fā)(網(wǎng)站上傳)；辦公類軟件云同步(企業(yè)微信/office等)；辦公類軟件外部發(fā)送(企業(yè)郵箱對(duì)外發(fā)送)；遠(yuǎn)程辦公時(shí)非公司設(shè)備外接設(shè)備泄漏USB/藍(lán)牙/打印等)；外包人員主動(dòng)泄漏。解決方案企業(yè)通用建設(shè)方案企業(yè)在涉及到常規(guī)內(nèi)部業(yè)務(wù)生產(chǎn)時(shí)，應(yīng)在內(nèi)部的網(wǎng)絡(luò)環(huán)境下進(jìn)行，避免直接在外部進(jìn)行作業(yè)生產(chǎn)：通過(guò)零信任架構(gòu)或者傳統(tǒng)網(wǎng)絡(luò)邊界防火墻等隔離的方式，建立內(nèi)部業(yè)務(wù)環(huán)境和外部互聯(lián)網(wǎng)環(huán)境的隔離，內(nèi)部生產(chǎn)業(yè)務(wù)系統(tǒng)放置在內(nèi)部業(yè)務(wù)環(huán)境中；-39內(nèi)部業(yè)務(wù)作業(yè)直接在內(nèi)部環(huán)境中作業(yè)，與外部環(huán)境隔離，確保常規(guī)的業(yè)務(wù)作業(yè)在內(nèi)部環(huán)-39企業(yè)內(nèi)部數(shù)據(jù)與外部數(shù)據(jù)交互的場(chǎng)景下，應(yīng)在可控的環(huán)境中進(jìn)行，例如企業(yè)對(duì)外發(fā)布專用的文件接收站點(diǎn)等，避免直接通過(guò)IM，私人郵箱傳輸；如業(yè)務(wù)具備強(qiáng)管控的訴求，應(yīng)該避免直接在內(nèi)部生產(chǎn)網(wǎng)絡(luò)中直接使用第三方的郵箱/IM等工具，在內(nèi)部網(wǎng)絡(luò)中，應(yīng)該避免用戶直接在內(nèi)網(wǎng)中訪問(wèn)第三方的工具請(qǐng)求；企業(yè)在遠(yuǎn)程辦公的場(chǎng)景下，可以使用零信任作為全量請(qǐng)求接入方案，做到作業(yè)中的所有企業(yè)在內(nèi)部員工辦公時(shí)，應(yīng)做到所有員工對(duì)于內(nèi)部業(yè)務(wù)站點(diǎn)的訪問(wèn)權(quán)限控制，避免員工接觸不符合自身權(quán)限的業(yè)務(wù)站點(diǎn)：建立完整的業(yè)務(wù)站點(diǎn)上線機(jī)制，包含業(yè)務(wù)站點(diǎn)需要面向的用戶屬性，形成所有業(yè)務(wù)站點(diǎn)3aiam統(tǒng)一實(shí)現(xiàn)。企業(yè)內(nèi)部業(yè)務(wù)數(shù)據(jù)與外部交互的場(chǎng)景中，應(yīng)做到數(shù)據(jù)的可記錄，傳輸可控：a.企業(yè)內(nèi)部數(shù)據(jù)外發(fā)，應(yīng)當(dāng)做到數(shù)據(jù)的脫敏和專用工具的建設(shè)，避免員工直接通過(guò)第三方企業(yè)內(nèi)部工具的使用，應(yīng)做到使用可控的工具來(lái)使用企業(yè)內(nèi)部的數(shù)據(jù)：a.企業(yè)內(nèi)部數(shù)據(jù)的使用，需要在可控的設(shè)備環(huán)境下使用，企業(yè)可以通過(guò)傳統(tǒng)終端管控軟件-40-40內(nèi)容和內(nèi)部人員管理部門區(qū)別于通用方案，涉及強(qiáng)內(nèi)容運(yùn)營(yíng)業(yè)務(wù)的企業(yè)，應(yīng)到在業(yè)務(wù)層做到基于文件類型和內(nèi)容和動(dòng)作級(jí)別的數(shù)據(jù)保護(hù)方式，有專門針對(duì)業(yè)務(wù)的安全團(tuán)隊(duì)的企業(yè)可以選擇：建立內(nèi)容數(shù)據(jù)的保密級(jí)別制度，按照內(nèi)容的敏感程度，制定數(shù)據(jù)的敏感級(jí)別；通過(guò)數(shù)據(jù)防泄漏產(chǎn)品DLPOffice件Pages，Ke，Numbers)，pd，文本，壓縮文件內(nèi)容、數(shù)據(jù)掃描等；文件操作監(jiān)控：操作審計(jì)：文件讀寫(xiě)、移動(dòng)等操作審計(jì)；外發(fā)監(jiān)控：IM、網(wǎng)盤等外發(fā)審計(jì)阻斷；囤積監(jiān)控：文件信息下載審計(jì)；外設(shè)端口控制：外設(shè)管控；打印監(jiān)控；屏幕水印。其他類型企業(yè)可以選擇：VDRBIINDUSTRIALINTERNET背景“新基建“數(shù)字新基建-41現(xiàn)狀和問(wèn)題-41海量工業(yè)設(shè)備、軟件、應(yīng)用等逐漸上云，泛在互聯(lián)，工業(yè)互聯(lián)網(wǎng)面臨的威脅日益猖狂，“訪問(wèn)安全：通過(guò)建立統(tǒng)一的訪問(wèn)機(jī)制，限制用戶的訪問(wèn)權(quán)限和所能使用的計(jì)算資源和網(wǎng)絡(luò)資源實(shí)現(xiàn)對(duì)工業(yè)互聯(lián)網(wǎng)平臺(tái)重要資源的訪問(wèn)控制和管理,防止非法訪問(wèn)；平臺(tái)安全：確保工業(yè)互聯(lián)網(wǎng)平臺(tái)的代碼安全、業(yè)務(wù)和應(yīng)用安全、數(shù)據(jù)安全、網(wǎng)站安全。解決方案IDS)、數(shù)據(jù)泄露防護(hù)系統(tǒng)(DLP)等邊界設(shè)“云管邊端”一體化零信任安全架構(gòu)。-42-42方案效果“零信任EE背景IT系統(tǒng)的復(fù)雜度與開(kāi)放度隨之提另一方面，隨著數(shù)字化轉(zhuǎn)型的不斷深化，移動(dòng)化和云化這兩大趨勢(shì)也驅(qū)使網(wǎng)絡(luò)架構(gòu)和信-43息安全體系建設(shè)時(shí)不得不重點(diǎn)考慮更開(kāi)放的業(yè)務(wù)訪問(wèn)需求，如遠(yuǎn)程辦公。尤其是隨著COVID-19-43“內(nèi)部網(wǎng)絡(luò)要比以往任何時(shí)候都更加重視數(shù)據(jù)的安全問(wèn)題。來(lái)自IBM的《2021年數(shù)據(jù)泄露成本報(bào)告》顯示“眾多組織在疫情期間迅速轉(zhuǎn)向遠(yuǎn)程辦公，導(dǎo)致數(shù)據(jù)泄露的成本增加。與未采用遠(yuǎn)程辦公的組織相比,采用遠(yuǎn)程辦公的組織的數(shù)據(jù)泄露成本平均高出100(分別為496元和389萬(wàn)美元)。”現(xiàn)狀和問(wèn)題遠(yuǎn)程辦公導(dǎo)致辦公環(huán)境變得復(fù)雜，數(shù)據(jù)更容易泄密開(kāi)放遠(yuǎn)程辦公后，終端環(huán)境會(huì)變得復(fù)雜，往往從單一的內(nèi)網(wǎng)的Windows終端，變成員工個(gè)人終端(WindowMa)(iO)WiF4/5GWiFi遠(yuǎn)程辦公增加了外部接入風(fēng)險(xiǎn)，從而引起的外部泄露風(fēng)險(xiǎn)的增加-44-44VPNVPN方VPN訪問(wèn)系統(tǒng)后可以通過(guò)下載、截圖等把數(shù)據(jù)存在本地，這樣就很容易在終端上發(fā)生泄密了，比如終端中毒、網(wǎng)絡(luò)備份、員工有意外發(fā)等。/DLP/DLPVPN數(shù)據(jù)不落地的方案如桌面云等，因?yàn)榻ㄔO(shè)成本高，后端得準(zhǔn)備大量服務(wù)器，而且對(duì)網(wǎng)絡(luò)的依賴性大，網(wǎng)質(zhì)量不好就沒(méi)法使用，也難以適應(yīng)遠(yuǎn)程辦公場(chǎng)景下復(fù)雜且不受控的網(wǎng)絡(luò)環(huán)境。解決方案終端安全對(duì)終端的進(jìn)程進(jìn)行有效監(jiān)控，僅允許信任進(jìn)程訪問(wèn)資源，有效防止木馬入侵系統(tǒng)后攻擊服務(wù)器，或非可信應(yīng)用訪問(wèn)時(shí)進(jìn)行二次確認(rèn)，以避免后臺(tái)木馬攻擊。身份安全-45可以選擇短信驗(yàn)證、手機(jī)軟令牌、RADIUS令牌、安全問(wèn)題、消息推送確認(rèn)、生物特征識(shí)別XX-45接入安全SSLSSL2048SPA終保護(hù)業(yè)務(wù)安全。權(quán)限安全零信任可信訪問(wèn)系統(tǒng)以人為主體、資源為客體管理授權(quán)，可以基于組織架構(gòu)、用戶組、數(shù)據(jù)安全結(jié)合數(shù)據(jù)安全沙箱技術(shù)，通過(guò)在用戶的終端上生成安全工作空間，對(duì)數(shù)據(jù)進(jìn)行安全保護(hù)：文件隔離/加密-46-46泄密途徑管控外設(shè)、打印等操作也可以通過(guò)策略隔離，防止內(nèi)部數(shù)據(jù)通過(guò)外設(shè)轉(zhuǎn)存或打印泄密。對(duì)于無(wú)法管控的拍照泄密，可以根據(jù)安全需要啟用屏幕水印，開(kāi)啟后對(duì)業(yè)務(wù)訪問(wèn)增加屏幕水印，以實(shí)現(xiàn)拍照泄密的威懾和泄密追溯。網(wǎng)絡(luò)訪問(wèn)隔離無(wú)痕模式用戶登錄和注銷時(shí)，程序會(huì)自動(dòng)遍歷并刪除該用戶對(duì)應(yīng)沙箱下的所有數(shù)據(jù)，確保終端不保留任何工作數(shù)據(jù)。APP方案效果/價(jià)值IBM的《2021年數(shù)據(jù)泄露成本報(bào)告》中數(shù)據(jù)顯示，未部署零信任方法的組織，其數(shù)據(jù)泄露的平均成本為504成本為328萬(wàn)美元，比未部署零信任方法的組織少176萬(wàn)美元。推薦建設(shè)建議BYODWindowMa企業(yè)數(shù)據(jù)服務(wù)IEAEIYN背景APIAPI的頻繁使用的業(yè)務(wù)