保险科技赋能，众安互联网保险隐私数据安全保护实践

导语：说到隐私数【shù】据【jù】安全，跟数据安全相比，隐私数【shù】据更明确、更细致【zhì】，作为互【hù】联网保险公司，要保护企业的【de】自身隐私数据【jù】安全，就需要非常完善和全【quán】方【fāng】位【wèi】的安全防护【hù】。9-21，众安保险全资子公【gōng】司【sī】众安科技安全技术负责人王明博就互联网【wǎng】保险数据安全话题进行【háng】了主【zhǔ】题分享【xiǎng】，以下为演讲实录。

王明博：很开心跟在座各位同【tóng】行分【fèn】享众安在隐私数据安【ān】全保【bǎo】护的实践【jiàn】。每家【jiā】公【gōng】司的实【shí】践都不一样，今天我们主要分享众安在日常运营中，从【cóng】0到1以及【jí】从1到N的实【shí】践，抛砖引玉。

一、关于我们

众安在安全建设【shè】方【fāng】面的积【jī】累，包括安【ān】全资【zī】质，等保三级、ISO27001的合规、软件能【néng】力成熟度的认【rèn】证【zhèng】，自【zì】研的安【ān】全产品也获得【dé】了相应的销售许可，并且我们积极参与到信息安全行业的标准建设、区块链【liàn】行业【yè】的建【jiàn】设。今年，众【zhòng】安科【kē】技【jì】获评“2021安在新榜【bǎng】中国市场网【wǎng】络安全【quán】大众点评【píng】百【bǎi】强榜”，安全技术能力获【huò】得【dé】了【le】行业认可。

二、新数字经济的数据安全建设难题

众【zhòng】安作为互联网化的企业，目前【qián】朝【cháo】着新数字经济的【de】方向发展【zhǎn】，我们【men】面临的建设难题与解决办【bàn】法可供【gòng】大家参考。

一【yī】方面【miàn】是风险【xiǎn】和【hé】监管的【de】双重【chóng】压力。等保2.0、公安部1960号文、去年发【fā】布【bù】的《互联【lián】网保险监督管理办法》以及今年发布【bù】的【de】金融行业等保2.0测评【píng】指南，对企业的信息安全合规做了很严格【gé】的要【yào】求。此外还有一些相关的法律法规正在发布，比如接下来【lái】还会发【fā】布【bù】的个人隐私保护法等法规，这【zhè】些【xiē】法规【guī】对于企业来说是很大【dà】的挑【tiāo】战，需要面临更【gèng】多监管压【yā】力。

另一方面是随着技术【shù】和业【yè】务的创新【xīn】发展【zhǎn】，数据安【ān】全管控变得越来越【yuè】复【fù】杂，比如云计算应【yīng】用，以及AI和大数【shù】据开发。业务的互联【lián】网【wǎng】化，比如金融、保险、教育、家【jiā】居【jū】、电商、社交、车联网、IoT等都在进行互联【lián】网化转型【xíng】，针对互联网的数据泄漏【lòu】新风险，比【bǐ】如恶意爬【pá】虫、黑产团伙【huǒ】、web应用漏洞【dòng】成为数据泄漏的主【zhǔ】要途【tú】径。企业【yè】办公协同，疫情【qíng】催生了很多远程办公需求【qiú】，但是很【hěn】多企业老旧【jiù】的制度和【hé】工具难以对新型工【gōng】具进行管控，这一块【kuài】也是存在很【hěn】大风【fēng】险。

针对【duì】这些问题，接下来分享【xiǎng】一下众安的数【shù】据安全管理建【jiàn】设实【shí】践以及技术防【fáng】控领域【yù】的实【shí】践。

三、数据安全管理建设实践

我们的【de】数【shù】据安全建【jiàn】设工作思路是聚【jù】焦【jiāo】以数【shù】据【jù】安全为中心的安全建设【shè】，安全体系【xì】的建设都【dōu】是围绕着【zhe】数据安全，并且在【zài】数据安全管理和数据安全【quán】技术防【fáng】控并【bìng】重的方式。数【shù】据安全【quán】管理方面，我【wǒ】们有一个数据安全管【guǎn】理矩阵，从能力维度、场景维度和【hé】管理执行维度建设【shè】安全管理。技术方面，从【cóng】技术架【jià】构维度，包括网络层、终端层、基础设施层、业务【wù】应【yīng】用，无论【lùn】在【zài】任何【hé】层次【cì】，我们都会对所有【yǒu】数据进行【háng】分级【jí】分类控制，同时在技术执行层面会引入【rù】技术【shù】进行识别、保护、检测、响应及处置。

无论是数据【jù】安全【quán】，还【hái】是信【xìn】息安全管理，自上【shàng】而下是非常关键的。自上而下而下分为两类【lèi】，一【yī】个是管理意志的“自上而下”，因为【wéi】信息安全建设【shè】最【zuì】重【chóng】要【yào】的是领导层的支持，高层领导的支持是安全【quán】管理建设的成功基石。另一【yī】类自【zì】上而下是制度【dù】先【xiān】行或安全体系【xì】先行，比如ISO27001或等保【bǎo】的合规要求【qiú】，可以【yǐ】很好地辅助我们做数据【jù】安全体系的建设。基于【yú】制度【dù】，才【cái】能落【luò】实相应的技术【shù】或者手段【duàn】，完成数据安【ān】全的建设工作。

权【quán】责明确、赏罚分明【míng】是落地信息【xī】安全【quán】制【zhì】度的重要【yào】因素，在很多企业，有安全管理制度，但是执【zhí】行度不够，导致很多【duō】制【zhì】度只停留在【zài】了纸面。 众安【ān】的实【shí】践是从员【yuán】工入职、权【quán】限变【biàn】更、转岗以及离职【zhí】，整个在职周期我们都有【yǒu】相应【yīng】的制度和流程进行数【shù】据安全管控【kòng】。在【zài】数【shù】据安全管控时，我们会有赏罚和【hé】权责的明【míng】确，比如执【zhí】行层【céng】面，IT团【tuán】队和信息安全团队会落实相应【yīng】的工具或系统。在识别层【céng】面，主要是依靠信息安全团队的【de】监控【kòng】和数据分析。在处置【zhì】层【céng】面，通过HR团队、法务团队、廉政【zhèng】团队对【duì】违规行为进行【háng】处罚，形【xíng】成威慑【shè】力，能够【gòu】很好地落地信【xìn】息【xī】安全管理制度。另外还有内审团队做【zuò】整个流【liú】程的监督和合规性审查【chá】。

为什么这里会提运维自动化?因为运维自动化【huà】可以有效降低人为因【yīn】素导致【zhì】的【de】信息安全风险，这也是【shì】众【zhòng】安在【zài】快速和安全【quán】中衍生出来的一个平台【tái】和解决【jué】方案——DevSecOps全【quán】流【liú】程管控，我们可以做到开发人员【yuán】几乎无【wú】法接触到数【shù】据库或【huò】各【gè】种关键设施【shī】的帐号和【hé】密码【mǎ】，他只需要开发，后续【xù】所【suǒ】有流程都是全自动【dòng】的，包括【kuò】安全【quán】检查、漏洞扫描、数【shù】据库变更等等，全都是自动化操作，这样【yàng】可【kě】以避免人【rén】为导致的信息安全【quán】风险。

这里有一【yī】个【gè】很【hěn】简【jiǎn】单的例子，大家可能都会【huì】听到安全左移的概【gài】念，就是把安全风险和【hé】漏洞控制在开【kāi】发阶段，我们这边有一个很【hěn】好【hǎo】的实【shí】践，很【hěn】多代码配置，比如数【shù】据库密码以【yǐ】及【jí】各【gè】种云服务帐号，这些账号配置如果明文给到【dào】开发者【zhě】，很容【róng】易被泄漏出去。我【wǒ】们【men】有自己的加【jiā】密SDK，让所有开【kāi】发人员使用统一的SDK，开发者【zhě】只能拿到加【jiā】密后【hòu】的账号【hào】配【pèi】置，并且加【jiā】密的配置都有我【wǒ】们自己的标识，如果这些数据泄漏出去，我们【men】能够很快通过公开代【dài】码仓库，比如GitHub或者其他仓【cāng】库，能够快速监控到被泄漏的配置，大【dà】大提升监测数【shù】据泄漏的效率，同时也降【jiàng】低了【le】因为员工疏忽导【dǎo】致【zhì】的敏感【gǎn】数据泄【xiè】漏的风险。

另外一点也是整个众【zhòng】安【ān】的核心生产力【lì】之一，即由数【shù】据【jù】中台。众安的业务【wù】很快速，自动化业务【wù】加速、数据驱【qū】动决策【cè】、智慧经【jīng】营【yíng】等。我们通过数据中【zhōng】台进行数【shù】据【jù】的安全【quán】管【guǎn】控，措【cuò】施包括【kuò】包括数【shù】据分级、脱敏显示【shì】、访问控制和审批、封【fēng】闭环境开发等【děng】。通过该方【fāng】式，有效的确【què】保我们能够在【zài】确保隐私【sī】数据安【ān】全的基础上，进行数据开发，业务创新。

四、数据安全技术防控建设实践

首【shǒu】先介绍一【yī】下【xià】众安的技术防控【kòng】地图，我【wǒ】们把安全分成好几个区域，包括办公室数据安全、运维分析数据安全、生【shēng】产数据安全、业务【wù】应用数据【jù】安【ān】全。办公环境【jìng】有【yǒu】DLP数据防泄漏【lòu】，我们有【yǒu】网络层数据防泄漏、终端【duān】层数据防泄【xiè】漏、网【wǎng】络准入和VPN、用户行为【wéi】分析，也有BYOD，BYOD我们【men】使【shǐ】用【yòng】的【de】是最福【fú】利APP，在一个独【dú】立，安全的APP上进【jìn】行安全【quán】快速地办公。运维分析数据安全有“堡垒【lěi】机”、DevSecOps研【yán】发一【yī】体化平台、绿洲数据运维管理平台以及刚才【cái】介绍的数据中台。再其次，生产数据也有【yǒu】很【hěn】多“黑科技【jì】”，有可【kě】能帮【bāng】助在座各位有效管控【kòng】大家的【de】数据【jù】安【ān】全。

我们现在介绍一下众【zhòng】安【ān】办公数据【jù】安【ān】全的“黑科【kē】技”——LOCKet DLP。

办公【gōng】数据安全【quán】有很多难点，识【shí】别难、分类难【nán】、防护难、管理【lǐ】难，我们有自己的一套基于用户行【háng】为【wéi】分析的【de】数据防泄漏解决方【fāng】案，运用大【dà】数据技术，通过分析企业员【yuán】工的【de】终端行【háng】为及【jí】网络行为，准确识【shí】别数据泄漏风险【xiǎn】并且阻断，包括数据识别、数据【jù】分级分【fèn】类、数据泄漏防护【hù】以及员工行为管【guǎn】控。同【tóng】时也会【huì】做员工离职审计，或者员工出【chū】现零星【xīng】式泄【xiè】漏都能识【shí】别出来。

LOCKet DLP方案特【tè】点，包括多维度数据采集及防【fáng】控、海量数据存储【chǔ】及分析【xī】、基于【yú】用户行【háng】为【wéi】的风【fēng】险识别。

LOCKet DLP 还提供了网【wǎng】络层【céng】数据安全管控的网关，提供上网【wǎng】行为管【guǎn】理、加密流量【liàng】管理【lǐ】、数据【jù】防泄漏，安全取【qǔ】证功能。

LOCKet DLP提供了可以【yǐ】便捷地做数据安全【quán】分【fèn】享的功能【néng】，用户文件比较敏感，无【wú】法【fǎ】通过邮件，聊天工具外发【fā】，他可以【yǐ】直【zhí】接【jiē】选【xuǎn】择文件，点【diǎn】击右键进行【háng】安全分【fèn】享【xiǎng】，就会生成一个链接发出去，链【liàn】接具备有效期，也有审批功能【néng】，并【bìng】且分享出去后，能记录下载者的身【shēn】份。

运维和【hé】分析【xī】数据安全方面【miàn】，我【wǒ】们有【yǒu】绿洲数据运维管【guǎn】理系统，统一运维生【shēng】产【chǎn】环节的数据【jù】库，数【shù】据库管理量大、安全是最重要的【de】。数据安全【quán】对数据库有很多要求，比如合【hé】规、高效、智能，同时要保证安全【quán】。绿【lǜ】洲数据安全管【guǎn】理系统【tǒng】，可以理解【jiě】为既开放给DBA专家做日常运维，同时又开放给开发人员或【huò】数据分析人员，登上去【qù】之后【hòu】有【yǒu】统一的权限管控【kòng】、统【tǒng】一的脱敏【mǐn】策略以及安全告警【jǐng】、审计功能【néng】。一方【fāng】面所有的数据库资产能【néng】统【tǒng】一管控，另一【yī】方【fāng】面管控【kòng】时【shí】可以进行统一脱敏以【yǐ】及数据分级管理，有数据库的【de】权【quán】限审批和数【shù】据【jù】库的【de】数【shù】据定级，同时【shí】有数据审计。

数据脱敏管理系统，就是前面【miàn】提【tí】到的数据中台【tái】中一【yī】个重要组成【chéng】部分，它提供了动【dòng】态脱敏，在实时查询时进行【háng】脱敏【mǐn】，以及静态脱敏，比【bǐ】如从数据库将【jiāng】数据批量【liàng】拉到数据中台的大【dà】数【shù】据平【píng】台【tái】，可【kě】以提供静态【tài】脱【tuō】敏【mǐn】的能力。动态脱敏存在于数据库和应用【yòng】、数据中台之间，进行自动化脱敏。动态【tài】脱敏对于用户来【lái】说变动非常【cháng】小，只要接入中【zhōng】间【jiān】层的代理就可以实现了【le】。静【jìng】态脱敏是【shì】额外一【yī】台服务抽【chōu】取数据【jù】，用户只需【xū】要【yào】发布脱敏【mǐn】任务即可。

分享一【yī】下生产环境数据安全经验，生产环境数【shù】据安全建设有一【yī】个【gè】难点，就是开发量很大【dà】，比【bǐ】如界面上展示的数【shù】据没有做【zuò】脱【tuō】敏，或者【zhě】权限管控【kòng】不【bú】严格，A用户可以看B用户的【de】数据【jù】，这一【yī】块做改【gǎi】造的话，开发量很大【dà】，权限难以【yǐ】管控，因为你今天开一个帐号权【quán】限，明天开一个帐【zhàng】号权【quán】限，后面都不【bú】知道谁【shuí】拥有【yǒu】这【zhè】些帐号权限，安全【quán】合规比【bǐ】较难以落地，比如【rú】等保2.0、密码法、个人金融信息保【bǎo】护技【jì】术规范都对数据加【jiā】密、存储【chǔ】、传【chuán】输作了明【míng】确要求【qiú】，但是很多企业由于传输层改造量巨大，导致难以落【luò】地，如果后续审计中【zhōng】出【chū】现问题，对企业的【de】影响会非常大【dà】，泄漏数据难以发现，数据一旦泄漏，损【sǔn】失是难以挽回【huí】的。

我们【men】自研了【le】一套LOCKet XDBC动态【tài】数【shù】据库安全管理系统，基【jī】于TDDL技术理念【niàn】，众安研发了XDBC动【dòng】态数【shù】据【jù】库安全【quán】管理【lǐ】系统，它其实是一套中间件加【jiā】一个管理系统的一整【zhěng】套解决方案【àn】，一方【fāng】面提供【gòng】分布式数据库处理能力【lì】，通过【guò】XDBC技术能够动态【tài】分【fèn】库分表【biǎo】，把所有数据分布式存储在多个节点【diǎn】，这样就能提升性能、存储能力【lì】，同时成本又很低【dī】。另一方面，我【wǒ】们把安全的能【néng】力引入了【le】进【jìn】来，有效保证【zhèng】解决数据在云端存储【chǔ】的【de】安全难题。 XDBC提供了SDK接入模【mó】式和代【dài】理接入模式，满足不同【tóng】的开发改造需求。SDK接入模式需【xū】要一【yī】些开发成本，代理【lǐ】接【jiē】入模【mó】式完全不需要【yào】开发成本，同【tóng】时我【wǒ】们的加密是对接加密机的，可以满足等【děng】保、密码【mǎ】法的【de】合【hé】规要求。

基于这一套【tào】系【xì】统，我们可以做【zuò】精细化的数据权限管理，比【bǐ】如应用A完全是加【jiā】密的内容，应用B是脱敏的内容，应【yīng】用C是完全明【míng】文的【de】内容，可以【yǐ】通过不同【tóng】的应【yīng】用配置不同的【de】权限【xiàn】，能够有【yǒu】效管控数【shù】据安全【quán】。另外【wài】它有一个优【yōu】势，如果通过【guò】代理模式，可【kě】以不用【yòng】开【kāi】发，改造成本非常低，而且提【tí】供加密、脱敏、审计一体化的【de】能【néng】力，同时可以兼容主流的关系型数据库，比【bǐ】如SQLLite、MySQL、SQL Sever、PostgreSQL、DB2、Oracle、HBASE以及国产数据库TIDB。

因为我们【men】的生【shēng】产【chǎn】环境都是在云上，这里分【fèn】享一下将来大家上【shàng】云【yún】时【shí】都会遇到的安全难题【tí】，金融行【háng】业【yè】在【zài】云【yún】上会遇到数据非授权访问，云服务【wù】提供商会不【bú】会【huì】非【fēi】授权访问数据，另外一个是黑客，因为在【zài】云上，黑客攻击面更多【duō】。云服务器提供【gòng】商【shāng】会不会【huì】没有按【àn】照我们的要求销毁我们不要的数据，多租户场景中的数【shù】据传输【shū】如果不加密的话安【ān】全风险是很高的。针对这【zhè】些问【wèn】题，CASB概念【niàn】在国外【wài】已经【jīng】很热门，但在国内，众安算是【shì】第一【yī】个【gè】“吃螃蟹的人”，众安很早就开始【shǐ】用【yòng】CASB技术，比如SaaS应用，为了解决CRM、OA系统，它的数据给【gěi】到OA服务商或者CRM SaaS服务提供商，如【rú】果他售卖这些数据【jù】，我们【men】是【shì】无【wú】法感【gǎn】知的【de】，或者【zhě】说发现时已经来不【bú】及了【le】。我们可以通过网关【guān】自定义【yì】要提交【jiāo】给SaaS服务【wù】的字段，做自【zì】动【dòng】化【huà】加密，不需【xū】要额外开发。数【shù】据【jù】完全掌控在租户手中，不依赖【lài】于【yú】SaaS服务提供商，同时可以支持【chí】模糊搜索【suǒ】加密，如果有些业务字段需要【yào】做搜索，加密之后也不受影响。支持国【guó】密算【suàn】法、国际算法。

云存储数据【jù】安全，这一块要着重讲一下，我们引入【rù】LOCKet FS云存储动态家民网【wǎng】关，为了【le】满【mǎn】足很多【duō】开发人员改造的复杂度，我们【men】把它做成配置【zhì】化，不需要【yào】接【jiē】入【rù】额外代码，只需要简单配【pèi】置，就可以自【zì】动把敏感【gǎn】数据存储在云端。

web应用防【fáng】火墙，很多【duō】企业【yè】WAF主要是用来【lái】防护【hù】生产【chǎn】的应用，随着互联网化，我们的【de】WAF是分布【bù】式的、不同环【huán】境的，无论是内网【wǎng】、外网【wǎng】，它【tā】是任何地方都可以进行防护。同时，它提供web攻击防护、BOT反爬【pá】管理，用户行为采集【jí】我【wǒ】们也会在WAF上【shàng】做【zuò】，基于【yú】用户行为去【qù】做【zuò】数据防泄漏分析和告警。通过动【dòng】态【tài】安全防护，我【wǒ】们可以对爬虫【chóng】进行人机识【shí】别【bié】，限制因为爬虫【chóng】导致数据泄漏。WAF提供了自适应【yīng】的用户行【háng】为审计功【gōng】能，很多企业在等保测评【píng】中有一些业务系统需要做行为审计，但是很多【duō】业务【wù】系统没有这个功能【néng】，安【ān】全工程师去【qù】推动时【shí】，很多开发【fā】者都不愿意排期。我们这套系统可【kě】以满【mǎn】足【zú】，只【zhī】要有需要，任何一个应用接【jiē】入我们【men】的网关，只要配置一下【xià】，它就可以完全各种审【shěn】计功能。

同时，它是一个专【zhuān】业的【de】SLB，可【kě】以分布在私有云、阿里云、腾【téng】讯云或其【qí】他云【yún】，只要有一个管理台，即可管【guǎn】控所【suǒ】有的网站，可以大大提升效率，降【jiàng】低成本。

今天的分享就到这里，谢谢大家!