保险科技赋能，众安互联网保险隐私数据安全保护实践

导语：说到隐私数据安全【quán】，跟数据安全相比【bǐ】，隐私数据更明确、更细致，作为互联网【wǎng】保险公司，要【yào】保护企业【yè】的自身隐私数据安全，就需要非常完善和【hé】全方位的安【ān】全防护【hù】。9-21，众安保险全资子公司众【zhòng】安科技安全【quán】技术【shù】负责人王【wáng】明【míng】博就互【hù】联网保险【xiǎn】数据【jù】安全话题【tí】进【jìn】行了主题分享【xiǎng】，以下为演讲实录。

王明博：很开心跟在座各【gè】位同【tóng】行分享众安在隐私数据安全保护【hù】的实践。每家公司的实践都不一【yī】样，今天【tiān】我们【men】主要分【fèn】享众【zhòng】安在日常运营【yíng】中，从【cóng】0到1以及从1到N的实践【jiàn】，抛砖【zhuān】引【yǐn】玉。

一、关于我们

众安在安全建【jiàn】设方面的【de】积累，包括安全资质，等保三【sān】级、ISO27001的【de】合规、软【ruǎn】件能【néng】力成熟度的认【rèn】证，自研的安全产品也【yě】获得【dé】了相【xiàng】应的销售许【xǔ】可，并【bìng】且【qiě】我们积极参与到【dào】信【xìn】息安全行业的标准建设、区块链行【háng】业的建设【shè】。今年，众安【ān】科技获评“2021安在新榜中国市场网络安【ān】全大众点评百强榜”，安【ān】全技【jì】术能力获【huò】得了【le】行【háng】业认可。

二、新数字经济的数据安全建设难题

众安作为互【hù】联【lián】网化的企业【yè】，目前【qián】朝着【zhe】新数字经济的方向发展，我们面临的建【jiàn】设难题与解决办法【fǎ】可供【gòng】大家参考【kǎo】。

一【yī】方面是风险和监管的【de】双重压力【lì】。等保2.0、公安部【bù】1960号【hào】文、去年发布的【de】《互【hù】联网保险监【jiān】督管理办法》以及今年发布的金【jīn】融行业等保2.0测评指南，对企【qǐ】业【yè】的信息【xī】安全【quán】合规做了很严【yán】格的要求【qiú】。此外还有一些相关的法律法规正在发布，比如【rú】接下来还会发布的【de】个人隐私保护【hù】法等【děng】法【fǎ】规，这些法规对于企业【yè】来【lái】说是【shì】很大的【de】挑战，需要面【miàn】临更多监管压力。

另一方面是随着技术和业务的创新【xīn】发展，数据安全【quán】管控变【biàn】得越来【lái】越复杂，比如云计算应用，以及AI和大数据开发。业务的【de】互联网化，比如金融、保【bǎo】险、教育、家居、电商、社交【jiāo】、车联网、IoT等都在【zài】进行互【hù】联网化转【zhuǎn】型，针对互联网【wǎng】的【de】数据泄漏新风险，比如恶意爬虫、黑产【chǎn】团伙、web应用漏洞成【chéng】为数据泄漏【lòu】的主要途径【jìng】。企业【yè】办【bàn】公协同，疫情催生了很【hěn】多远程【chéng】办【bàn】公需【xū】求【qiú】，但【dàn】是很多企【qǐ】业老旧的制度和工【gōng】具难以对新型工具进【jìn】行管【guǎn】控，这一块也是【shì】存在很大风险。

针对【duì】这些问题，接【jiē】下来分享一下【xià】众安的数据安全管理建设实践以及【jí】技术防控领【lǐng】域的【de】实践。

三、数据安全管理建设实践

我们的数据安全建设工作思路是聚焦以数据安全【quán】为中心的安全建【jiàn】设，安全体系的【de】建设都是【shì】围绕【rào】着数【shù】据安全，并【bìng】且在数据安全管理【lǐ】和数据【jù】安全技术防控【kòng】并重的【de】方式。数【shù】据【jù】安全管理方面，我们有一个数据安全管理矩【jǔ】阵，从能力维度、场景维度和管理【lǐ】执行维度【dù】建【jiàn】设【shè】安【ān】全管理。技【jì】术方【fāng】面，从技术架构维度，包括网络层【céng】、终端层、基【jī】础设施【shī】层、业务应用，无论在任何层次，我【wǒ】们都会对所有数据进【jìn】行【háng】分级分【fèn】类控制，同时在技术执行层面会引入技术进行识别【bié】、保【bǎo】护、检【jiǎn】测、响应【yīng】及处置。

无论是数据安全【quán】，还是信息安全【quán】管理，自上而下是非常关键的。自上而下而【ér】下【xià】分为两类，一【yī】个是【shì】管理意【yì】志的“自上而下”，因为信息安全建【jiàn】设最【zuì】重要的是领导【dǎo】层的支持，高层领导的【de】支持是安全管【guǎn】理建设【shè】的成功基石。另一类自上而下是制度【dù】先【xiān】行【háng】或安全体系先行，比如ISO27001或等保的【de】合规要求【qiú】，可以很【hěn】好地辅助我们做数【shù】据安【ān】全【quán】体系的【de】建设。基于制度，才能落实相应的技术【shù】或者手【shǒu】段，完【wán】成【chéng】数据安全的建设工【gōng】作。

权责明确、赏罚分【fèn】明【míng】是落【luò】地【dì】信息安全制【zhì】度的重要【yào】因【yīn】素，在很多企业，有安全管理【lǐ】制度，但是执行度【dù】不【bú】够，导致很多【duō】制度只停【tíng】留在【zài】了纸面。 众安的实践是从员工【gōng】入职、权限变更、转岗【gǎng】以及【jí】离职，整【zhěng】个在职周期我们都有相应【yīng】的制度【dù】和流程进行数据安全管控。在数【shù】据安【ān】全管控时，我们会有赏罚和权【quán】责的明【míng】确，比如执行层面，IT团【tuán】队和信【xìn】息【xī】安全团队会落实相应的工具或【huò】系统。在【zài】识【shí】别层【céng】面，主【zhǔ】要是依靠【kào】信【xìn】息安全【quán】团队【duì】的【de】监控和数据分析。在处置层面，通过HR团队【duì】、法务团队、廉政团队对违【wéi】规行为进行处罚，形成威慑力，能够很好地落地信【xìn】息【xī】安全【quán】管理【lǐ】制度。另外还有内审团队做【zuò】整个流程【chéng】的监督和合规性【xìng】审查【chá】。

为什么这【zhè】里会提运维自动化?因为运【yùn】维【wéi】自动化可以【yǐ】有【yǒu】效【xiào】降【jiàng】低人为因【yīn】素导致的信息安全风险，这也是众【zhòng】安在快速【sù】和安全中【zhōng】衍生【shēng】出来的【de】一个平台和解决方案【àn】——DevSecOps全流程管控，我们可以做到开【kāi】发人员几乎【hū】无法接触【chù】到数据库或各种关键设施【shī】的【de】帐号和【hé】密码，他【tā】只需【xū】要开发，后续所有流程都是全【quán】自动的，包【bāo】括安全检查、漏洞扫描、数据库变更等等【děng】，全都是自动化操作，这样可以避免人为【wéi】导致的【de】信息安全风【fēng】险【xiǎn】。

这里有一个很【hěn】简单的例子，大家【jiā】可能都会【huì】听到【dào】安【ān】全左移【yí】的【de】概念，就是把安全【quán】风【fēng】险和漏洞控【kòng】制在【zài】开【kāi】发阶段，我们【men】这【zhè】边【biān】有一个很好的实践，很多代码【mǎ】配置，比如数据库密码【mǎ】以及各种云服务帐号，这些账【zhàng】号配置如果明文给到开发【fā】者，很容【róng】易被【bèi】泄漏出去。我【wǒ】们有自己的加密SDK，让所有开发【fā】人员使用统一的SDK，开发者【zhě】只能拿到加密后的账【zhàng】号配置，并且加【jiā】密的配置都【dōu】有我们自己的标【biāo】识【shí】，如【rú】果这些数据泄漏出去【qù】，我们能够很快通过【guò】公开代码仓库【kù】，比如【rú】GitHub或者其他【tā】仓库，能【néng】够快速监控到被泄漏的配【pèi】置，大大提升监测数【shù】据泄漏的效率【lǜ】，同时也降【jiàng】低了因为员工疏忽导致的敏感【gǎn】数据【jù】泄【xiè】漏的风险。

另【lìng】外一点也是整个众【zhòng】安的核心生产力之一，即由数据中【zhōng】台。众【zhòng】安【ān】的业务【wù】很快速，自动化业务加速、数据驱动决策、智慧经营等。我们【men】通过数据中【zhōng】台进行【háng】数据的【de】安全管控，措【cuò】施包【bāo】括包括数据【jù】分级、脱敏显示、访问【wèn】控制【zhì】和审批、封闭环境开发等【děng】。通过【guò】该方式，有效的确保【bǎo】我们能【néng】够在【zài】确保隐私数据安【ān】全的【de】基础【chǔ】上，进行数据开发，业务创【chuàng】新。

四、数据安全技术防控建设实践

首先介【jiè】绍一下众安的技术防控【kòng】地图，我们把安全分成好几【jǐ】个区域，包括办公室数【shù】据安全【quán】、运维分析数据安全、生产数【shù】据安全、业务应用数【shù】据安全。办公环境有DLP数据防泄漏，我们有网络层数据防泄漏、终端层数据防泄【xiè】漏【lòu】、网络【luò】准入和【hé】VPN、用【yòng】户行为分析，也有BYOD，BYOD我们【men】使用的是最福利APP，在【zài】一个独【dú】立【lì】，安全的【de】APP上【shàng】进【jìn】行【háng】安【ān】全快速地【dì】办公。运维分析数据安全有“堡垒机”、DevSecOps研发一体化平台、绿洲数据【jù】运维管理平台以及刚【gāng】才【cái】介【jiè】绍的数据中【zhōng】台。再【zài】其次，生产数【shù】据也有很多“黑科技”，有可能【néng】帮【bāng】助在【zài】座【zuò】各位有效管【guǎn】控大家的数据安【ān】全。

我们现在介绍一下【xià】众安办公数据安【ān】全的【de】“黑科技”——LOCKet DLP。

办公数据安全有很多难点【diǎn】，识别难、分【fèn】类难、防护【hù】难、管理难，我们有自己的一套基于用【yòng】户行为分析的数据防【fáng】泄漏解决方【fāng】案，运用大数【shù】据技【jì】术，通过分析企业员工的终端行为【wéi】及【jí】网络行【háng】为，准确【què】识【shí】别数据泄漏风险【xiǎn】并且阻断，包【bāo】括数据识别、数据分级分类、数据泄漏防护以【yǐ】及【jí】员工行为【wéi】管控。同时【shí】也会做员工离职【zhí】审计【jì】，或【huò】者员工【gōng】出【chū】现零星式泄漏都能识别出来。

LOCKet DLP方案特点，包【bāo】括多维度数据采【cǎi】集及防控、海量数据存储及分析、基于【yú】用户行【háng】为【wéi】的风【fēng】险识别。

LOCKet DLP 还提供了【le】网络层数据安全管控的网关，提供上【shàng】网【wǎng】行为管理、加【jiā】密【mì】流量【liàng】管理、数【shù】据防泄漏，安全取证【zhèng】功能。

LOCKet DLP提【tí】供了【le】可以【yǐ】便捷地做数据安全分享的功能【néng】，用户文件比较敏感，无法通过邮件，聊天工具外发，他可以【yǐ】直接选择【zé】文件，点击右键进行安【ān】全分享，就会生成一个链接发出去，链接具【jù】备【bèi】有效期【qī】，也有【yǒu】审批【pī】功能，并【bìng】且分享出去【qù】后【hòu】，能记录下载者的身份。

运【yùn】维和分【fèn】析数据【jù】安全方面，我们有【yǒu】绿洲数据运维管理系【xì】统，统【tǒng】一运维【wéi】生产环节【jiē】的数据库，数【shù】据库管理量【liàng】大、安全是最重要【yào】的【de】。数据安全【quán】对【duì】数据库有很多要求，比【bǐ】如合【hé】规、高效、智【zhì】能，同时【shí】要保证安全。绿洲数【shù】据安全管理系统，可以理解为既开放【fàng】给DBA专家做日常运维【wéi】，同时又开【kāi】放给开发人员或【huò】数【shù】据分析人员，登上去之后有统一的【de】权限管控、统一【yī】的【de】脱敏策略以及安全【quán】告警、审计功能。一方面所有【yǒu】的数据库资产能统一【yī】管控，另一方面【miàn】管控【kòng】时可以进行【háng】统一脱敏以及数据分【fèn】级管理，有数据库的权限审批和数【shù】据库【kù】的数【shù】据定级，同【tóng】时有数据审计。

数据脱敏管理系统，就是【shì】前面提到的【de】数据【jù】中台中一个重要组成部分，它【tā】提供【gòng】了动态【tài】脱【tuō】敏，在实时查询时【shí】进行脱敏，以及静态脱【tuō】敏，比如从数据库将数【shù】据批【pī】量拉到【dào】数据【jù】中【zhōng】台的大数据平台，可以提供静态脱敏的能力【lì】。动态脱【tuō】敏存【cún】在于数据库和应用、数据中台之间，进行自动化脱敏。动态脱敏对于【yú】用【yòng】户来说变动【dòng】非【fēi】常小【xiǎo】，只【zhī】要接入中间层【céng】的代理【lǐ】就可以实现了。静态【tài】脱敏【mǐn】是额外一台【tái】服【fú】务抽取数【shù】据，用户只需【xū】要发【fā】布脱敏任务即可。

分享一下【xià】生产环【huán】境数【shù】据【jù】安全经验【yàn】，生产环境数据安全建设有一个难【nán】点，就是开发量很大，比如界面【miàn】上展示的数据【jù】没有【yǒu】做脱敏，或者权限管控不严格，A用【yòng】户可以看B用【yòng】户的数据，这【zhè】一块做改造的话，开发量【liàng】很大，权限【xiàn】难【nán】以管【guǎn】控【kòng】，因为你今天开一【yī】个帐【zhàng】号权限，明天开【kāi】一个帐号【hào】权限，后面都不知道谁拥有这【zhè】些【xiē】帐【zhàng】号权限，安全合规比较难【nán】以落地，比如【rú】等【děng】保2.0、密码法、个【gè】人【rén】金融信息保护技术规范都对数据加密、存储、传输作了【le】明确要求，但是很多【duō】企业由【yóu】于传【chuán】输层改【gǎi】造量巨大，导致难【nán】以落地，如果【guǒ】后续审计中【zhōng】出现问题，对企业的影【yǐng】响会非常【cháng】大，泄漏数据难以发现，数据一【yī】旦泄漏，损【sǔn】失是【shì】难【nán】以【yǐ】挽回的。

我【wǒ】们自研了一套LOCKet XDBC动态数据库安全【quán】管理【lǐ】系统【tǒng】，基【jī】于TDDL技术理念，众安研发了XDBC动态【tài】数【shù】据库安【ān】全管理系【xì】统，它其实是一套中间件加一个管理系统的一整套解【jiě】决方案，一方面【miàn】提供分布式【shì】数据库【kù】处理【lǐ】能力，通过XDBC技术能够动态【tài】分库【kù】分表，把所有数据分布【bù】式存储在【zài】多个节点，这样就【jiù】能提升性能、存【cún】储能力，同时【shí】成本【běn】又【yòu】很【hěn】低。另一方面【miàn】，我们把安全的【de】能【néng】力引入了进【jìn】来【lái】，有效保证解决数据在云【yún】端存储的安全【quán】难题。 XDBC提供【gòng】了SDK接入模式和代理接入模式，满足不同的开发改造需求【qiú】。SDK接入模式需【xū】要一些开【kāi】发成本【běn】，代理【lǐ】接入模【mó】式【shì】完全不需要开发成本，同时我们的加密【mì】是对接【jiē】加密机的，可以满足等【děng】保、密码法的合规【guī】要求。

基于这一套系【xì】统，我【wǒ】们可以做【zuò】精【jīng】细化的数据【jù】权【quán】限管理【lǐ】，比如【rú】应【yīng】用A完【wán】全是加密的内容，应用【yòng】B是脱敏的内【nèi】容，应用C是完全明文【wén】的内容，可【kě】以通过【guò】不同的应用配置不同的【de】权限【xiàn】，能够有效管控数据安全。另外它有一个优势，如【rú】果【guǒ】通【tōng】过代理模式【shì】，可【kě】以不用开发，改造成本非常低，而【ér】且提供加密【mì】、脱【tuō】敏、审计一体化的能力，同【tóng】时可以兼容主流的关系型数据库，比如SQLLite、MySQL、SQL Sever、PostgreSQL、DB2、Oracle、HBASE以及国产【chǎn】数【shù】据库TIDB。

因为我【wǒ】们的生【shēng】产【chǎn】环境都【dōu】是【shì】在云上，这里分享一下将来大【dà】家上云【yún】时都会遇【yù】到的【de】安全难题，金融行业在云上会遇【yù】到【dào】数【shù】据非授【shòu】权【quán】访问，云【yún】服【fú】务【wù】提供【gòng】商【shāng】会【huì】不会非【fēi】授【shòu】权访问数据，另外一个是黑客，因为在云上，黑客攻击面更【gèng】多。云【yún】服【fú】务器提供商会不【bú】会没有按照我们【men】的要求销【xiāo】毁【huǐ】我们【men】不要的数据，多租户场景中的数据传输如果不加密【mì】的话安【ān】全风【fēng】险是很高【gāo】的。针对这【zhè】些问题，CASB概念【niàn】在国外已经【jīng】很热门，但在国内，众安算是【shì】第一个“吃螃蟹的人【rén】”，众安很早就【jiù】开始用CASB技术，比如SaaS应用，为【wéi】了解决CRM、OA系统，它的数【shù】据给【gěi】到OA服务【wù】商或者CRM SaaS服务提供【gòng】商，如果他售卖这些数据，我们【men】是无法感知的，或者说发现时已经来不及了。我【wǒ】们可以【yǐ】通过网关【guān】自定义要提【tí】交给SaaS服务的字段，做自动化【huà】加密【mì】，不需要【yào】额外开【kāi】发。数据完全掌控在租户手中，不依赖于【yú】SaaS服【fú】务提供商，同时可【kě】以支【zhī】持模糊搜索加密，如果有些业务字段需要做搜索，加密【mì】之后也不受影响。支【zhī】持国密算法、国际算法。

云存储数【shù】据安全，这一块【kuài】要【yào】着重讲一下，我们引入LOCKet FS云存储动态【tài】家民网【wǎng】关，为【wéi】了满足很多开【kāi】发人员改造的【de】复杂度，我【wǒ】们【men】把它做【zuò】成配置【zhì】化，不需要接入额外代码，只需要简单配置，就【jiù】可以【yǐ】自动把敏感数据【jù】存【cún】储在云【yún】端。

web应用防【fáng】火墙，很【hěn】多企【qǐ】业WAF主要是【shì】用来防【fáng】护【hù】生产的应用【yòng】，随着互联网化【huà】，我们【men】的【de】WAF是分【fèn】布【bù】式的【de】、不【bú】同环境的，无论是内网、外【wài】网，它【tā】是任何地方都可以【yǐ】进行防护【hù】。同时，它提供web攻击【jī】防护、BOT反爬管理，用户【hù】行为采集我们也会在WAF上做，基于用户行为去做数据防【fáng】泄漏分析和告警。通过【guò】动态【tài】安全防护，我们【men】可以对爬虫进行人机识【shí】别，限制因【yīn】为爬虫导【dǎo】致数据泄漏。WAF提供了自适应的【de】用户行【háng】为审计功能，很多企业在等保测评中有一【yī】些业务系统【tǒng】需要做行为审计，但是很多业务系【xì】统【tǒng】没有这个功能，安全【quán】工程师去【qù】推动时，很多开发者都不愿意排期【qī】。我们这【zhè】套系统【tǒng】可【kě】以满足，只要有【yǒu】需要，任何一个应【yīng】用接入我【wǒ】们的网关【guān】，只要配置一【yī】下【xià】，它【tā】就可以完全各种审计功能。

同时，它是【shì】一个【gè】专业【yè】的SLB，可以分【fèn】布在私有云、阿里云、腾讯云或其他【tā】云【yún】，只要有一个管理台，即可管【guǎn】控所有的网站，可【kě】以大大提升效率，降【jiàng】低成【chéng】本。

今天的分享就到这里，谢谢大家!