保险科技赋能，众安互联网保险隐私数据安全保护实践

导【dǎo】语：说【shuō】到隐私数据安全【quán】，跟数据安【ān】全相【xiàng】比，隐私数据更明【míng】确、更细致，作为互联网保险公司，要保【bǎo】护【hù】企【qǐ】业【yè】的自身隐私数据安全，就需要非常完善和全方位的安全防护。9-21，众安保险全资子【zǐ】公司【sī】众安科技安全技术负责人王明【míng】博就互【hù】联网保险数据【jù】安全话题进行了主【zhǔ】题分享，以【yǐ】下【xià】为演讲实录。

王明【míng】博【bó】：很开心【xīn】跟在座各位【wèi】同行分享众安在隐私数【shù】据安全保【bǎo】护的实【shí】践【jiàn】。每家公司的实【shí】践都不一样，今天我们主要分享众安在日常运营【yíng】中，从0到1以及从1到【dào】N的实践，抛砖引【yǐn】玉。

一、关于我们

众安在安全【quán】建设方面【miàn】的【de】积【jī】累，包括安全资质【zhì】，等保三【sān】级【jí】、ISO27001的【de】合规、软件能力成熟度的认【rèn】证，自研的安全产品也获得了【le】相应的销【xiāo】售许可，并且【qiě】我们积【jī】极【jí】参与到【dào】信息【xī】安全行业的标准建设、区块链行业的建设。今【jīn】年，众安科技【jì】获【huò】评“2021安在新榜中国市场网【wǎng】络安全大众点评【píng】百强【qiáng】榜”，安全技术能【néng】力获得了行业认可。

二、新数字经济的数据安全建设难题

众安作为【wéi】互联网化的企业，目【mù】前【qián】朝着新【xīn】数字经【jīng】济的方向发展，我【wǒ】们【men】面临的建设难题与解决办【bàn】法可供大家参考。

一方面是风险【xiǎn】和【hé】监管的双【shuāng】重压力。等保2.0、公安【ān】部1960号文【wén】、去年发布的《互联网保险监督管理办法》以及今年【nián】发布的金融行【háng】业等保2.0测【cè】评指南，对企【qǐ】业的信息安【ān】全合规做了【le】很严【yán】格的要求【qiú】。此外还有一些【xiē】相【xiàng】关的【de】法律法【fǎ】规正在发【fā】布【bù】，比如接下【xià】来还会发布的个人【rén】隐私保【bǎo】护法等法规，这些法规对于企业来【lái】说是很大的挑战，需要【yào】面临更多监管压力。

另一方面是随着技术和业务【wù】的创新【xīn】发展，数据安全管控【kòng】变【biàn】得越来【lái】越复杂，比如云计算应【yīng】用【yòng】，以及【jí】AI和大数【shù】据开发【fā】。业务的互联网化，比如金融、保险、教【jiāo】育、家居、电商、社交、车联网、IoT等都在进【jìn】行互【hù】联网【wǎng】化转型，针对互联网【wǎng】的数据泄漏新风【fēng】险，比如恶意爬虫、黑【hēi】产团【tuán】伙、web应用【yòng】漏洞成为数据【jù】泄【xiè】漏的主要途径。企业【yè】办公【gōng】协【xié】同，疫情催【cuī】生了很多远程办公需求，但【dàn】是很多企业老旧的制度和【hé】工具难以对新型工【gōng】具进【jìn】行【háng】管控【kòng】，这一块也是存在很大风【fēng】险。

针对这些【xiē】问题，接下来分享一下众【zhòng】安的数据安全【quán】管理【lǐ】建设【shè】实践以【yǐ】及技术防控领域的实践【jiàn】。

三、数据安全管理建设实践

我【wǒ】们的数据安全【quán】建设工作思路是【shì】聚焦以数据安【ān】全为中心的安全建设，安全体系【xì】的建设都是围【wéi】绕着数据安全，并且在数据【jù】安全管理和数据安全技【jì】术防控【kòng】并重的【de】方式。数据安全管【guǎn】理方【fāng】面，我们有一个数【shù】据安【ān】全管理矩阵，从能力维度、场景【jǐng】维度和管理执行维【wéi】度建设安全管理【lǐ】。技术方【fāng】面，从技术架构维度，包括网络层、终【zhōng】端层、基础【chǔ】设【shè】施层、业务应用，无论在【zài】任何层次【cì】，我们都会对所有数据进【jìn】行分级分类【lèi】控【kòng】制，同时在技【jì】术执行层面会【huì】引【yǐn】入【rù】技术进行【háng】识别【bié】、保护【hù】、检【jiǎn】测、响应【yīng】及【jí】处置。

无论是【shì】数据安全，还是信息【xī】安全管【guǎn】理，自【zì】上【shàng】而下【xià】是非常关键【jiàn】的。自上而下而下分为两类，一个是管理意志的“自【zì】上而【ér】下”，因为信息安全建设最【zuì】重要的是领【lǐng】导层的支【zhī】持【chí】，高层领导【dǎo】的支【zhī】持是安全管理【lǐ】建设的成功基【jī】石。另一类自【zì】上【shàng】而下是制度先行或安全体系【xì】先行，比如ISO27001或等保的合规要求，可以很【hěn】好【hǎo】地辅助我们做数据安全体系的建设。基于【yú】制【zhì】度，才能落实相应的技【jì】术或者手【shǒu】段，完【wán】成数【shù】据安全的建设工作。

权责【zé】明确【què】、赏罚【fá】分明【míng】是落地信息安全制度的重要因【yīn】素，在很多企业，有安全管【guǎn】理制度【dù】，但是【shì】执【zhí】行度不够，导【dǎo】致很多制度只【zhī】停【tíng】留在【zài】了【le】纸面。 众【zhòng】安的实践是从员工入职、权限【xiàn】变【biàn】更、转岗以及离职，整个在【zài】职周期【qī】我们都有相应的制度【dù】和流程进行数【shù】据安【ān】全管控。在数【shù】据安全管【guǎn】控时【shí】，我们会有赏罚和权责的明【míng】确，比如执【zhí】行层面，IT团队和信【xìn】息安全【quán】团队会落实【shí】相【xiàng】应的【de】工具或系统。在识别层面，主要是【shì】依靠信【xìn】息安全团队的【de】监控和数【shù】据分析。在处置层面，通过HR团队、法务团队、廉【lián】政团队对违规【guī】行【háng】为进行处罚【fá】，形【xíng】成威慑力，能够很【hěn】好地落地信息安全管理制度。另外还有内审团队做整个流程的监督和合规性审查。

为【wéi】什么这里会【huì】提运【yùn】维自动化?因为运【yùn】维自动化可以有【yǒu】效降【jiàng】低人为因素导致的信息安全风险，这也是众安在【zài】快速和安全中衍生出来的一个平台和【hé】解决方案——DevSecOps全流程管【guǎn】控，我【wǒ】们可【kě】以做到开发人员几乎无法【fǎ】接触到数据库或各种【zhǒng】关键设施的帐【zhàng】号【hào】和【hé】密【mì】码【mǎ】，他只需要开发，后续所有流程都是全自动的【de】，包括安全检【jiǎn】查【chá】、漏洞扫【sǎo】描、数据库变更等等，全都【dōu】是【shì】自【zì】动化操作，这【zhè】样可【kě】以【yǐ】避免人为导致【zhì】的信息安全【quán】风险【xiǎn】。

这里有一个【gè】很【hěn】简单的例子，大家可能都会听到安全左移的概念，就是把安全风险和漏洞【dòng】控制在【zài】开发阶段，我们【men】这边【biān】有一个很好的实践，很多代【dài】码配【pèi】置，比如数据库密码以【yǐ】及各种云服务帐号【hào】，这些账号配置如果明文给到开发【fā】者，很容易被【bèi】泄漏出去。我【wǒ】们有自己的加【jiā】密SDK，让【ràng】所【suǒ】有开发人【rén】员使【shǐ】用统【tǒng】一【yī】的SDK，开【kāi】发者只能拿【ná】到加密后【hòu】的账号配置，并且加密的配【pèi】置都【dōu】有【yǒu】我们自己的标识【shí】，如果这【zhè】些数据泄漏出去，我【wǒ】们能够【gòu】很快通过公开【kāi】代码仓库，比如GitHub或者其他仓库，能够快【kuài】速监【jiān】控到被泄漏的配置，大大【dà】提升监【jiān】测数据泄漏的效率【lǜ】，同【tóng】时也降低了因为员【yuán】工【gōng】疏忽导致的敏感数据【jù】泄【xiè】漏【lòu】的风险。

另【lìng】外一【yī】点也【yě】是整个众安的【de】核心生产【chǎn】力之一，即由【yóu】数据中台。众【zhòng】安的业【yè】务很快【kuài】速，自动化业务加速【sù】、数据驱动决策【cè】、智慧经营等【děng】。我们通过数据中台进【jìn】行数据的安【ān】全管控，措施包括包【bāo】括【kuò】数据分级、脱【tuō】敏显【xiǎn】示、访【fǎng】问控制和审批、封闭环境开发等。通【tōng】过该方式，有效的确保我们能够在确保隐私数【shù】据安全的基【jī】础上，进【jìn】行【háng】数据开【kāi】发，业务【wù】创新。

四、数据安全技术防控建设实践

首先介【jiè】绍一下众【zhòng】安【ān】的【de】技术防控地图【tú】，我们【men】把安全分成好几个区域，包括办公室【shì】数据安全、运维分析数据安全、生【shēng】产数据安全、业务【wù】应用数【shù】据安【ān】全。办公环境有DLP数据防泄漏，我们【men】有网络层数据防泄漏、终【zhōng】端层数据防泄【xiè】漏【lòu】、网络【luò】准入和VPN、用户行为分析，也有BYOD，BYOD我们使用的是【shì】最福利APP，在一个【gè】独立，安全的APP上进行安【ān】全快【kuài】速地办【bàn】公。运维分析数据安全有“堡垒【lěi】机【jī】”、DevSecOps研发【fā】一体【tǐ】化平台、绿洲数据运维管理平台以及刚才介绍的数【shù】据中台【tái】。再【zài】其次，生产数据【jù】也有很多“黑科技”，有可能帮助【zhù】在座各位有效管控大家【jiā】的数据安【ān】全【quán】。

我们【men】现在介【jiè】绍一下【xià】众安办公数据安全的【de】“黑科技【jì】”——LOCKet DLP。

办公数据安全有很多难点，识别难、分类难、防护难、管理难，我【wǒ】们【men】有自【zì】己的一套基于用户行为分析的【de】数据防【fáng】泄漏【lòu】解决方案【àn】，运用大数据技术，通过分析【xī】企【qǐ】业员工的终端行【háng】为【wéi】及网络【luò】行为，准确识别数据泄漏风险并且阻断，包括数据【jù】识别、数据【jù】分【fèn】级【jí】分类【lèi】、数据泄【xiè】漏【lòu】防【fáng】护以【yǐ】及员工行为管【guǎn】控。同时也会做员工离【lí】职审计，或者员工【gōng】出现零星式泄漏【lòu】都能识别出【chū】来。

LOCKet DLP方案特点，包括多维【wéi】度数【shù】据采集及防【fáng】控、海量数据存储及分【fèn】析【xī】、基于用【yòng】户行为【wéi】的风险识别。

LOCKet DLP 还提供【gòng】了网络层数【shù】据安全管控的【de】网关，提供上网行为管理、加密流量【liàng】管理、数【shù】据【jù】防泄【xiè】漏【lòu】，安全取【qǔ】证功能。

LOCKet DLP提供【gòng】了可【kě】以便捷地做数据【jù】安【ān】全分享的功能，用户文件比较敏感，无法通过邮件，聊天工【gōng】具外发，他可以直接选【xuǎn】择【zé】文件，点击【jī】右【yòu】键进行【háng】安全分享，就会生成【chéng】一个链接发出去，链接具【jù】备【bèi】有效期，也有审批功能，并且【qiě】分【fèn】享出去后【hòu】，能记录【lù】下载者的身【shēn】份。

运维和分析【xī】数【shù】据安全【quán】方面【miàn】，我们有绿洲数【shù】据运维管理系统，统一运维生产【chǎn】环节的【de】数【shù】据【jù】库，数据库【kù】管理量大、安全是最重要的。数据安全【quán】对数【shù】据库有很多要求【qiú】，比如合【hé】规、高效、智【zhì】能，同时要保证【zhèng】安全。绿【lǜ】洲数【shù】据安全管理系【xì】统，可以理解为既【jì】开【kāi】放给DBA专家做日常运维，同时又开放给开发人员或【huò】数据分析人员，登上【shàng】去之【zhī】后有统一的权限管控、统一的脱敏策略以【yǐ】及【jí】安【ān】全【quán】告【gào】警、审计功能。一方面所有的数据库资产能统【tǒng】一管【guǎn】控【kòng】，另一方【fāng】面管控时【shí】可以进【jìn】行统一脱敏【mǐn】以及数据【jù】分级管【guǎn】理【lǐ】，有数据库的权限审【shěn】批和数据库的数据定级，同时【shí】有数据审计。

数据【jù】脱敏管【guǎn】理系统，就是前面提到的数据中台中【zhōng】一【yī】个重要组成部分【fèn】，它【tā】提【tí】供了动态脱敏，在实时【shí】查【chá】询时进行脱敏，以及静态脱敏，比如从数据库将数据批量拉到数据【jù】中台的大【dà】数据【jù】平【píng】台，可以【yǐ】提【tí】供静态脱敏的能力。动态【tài】脱敏存在于数据库和应用、数据中【zhōng】台【tái】之【zhī】间，进行自动【dòng】化脱敏。动态脱敏【mǐn】对于用户来说变动【dòng】非常小【xiǎo】，只要接入中间层【céng】的代理就可以实现了。静态【tài】脱敏是【shì】额【é】外一台服【fú】务【wù】抽取数据，用户只需【xū】要【yào】发【fā】布脱敏【mǐn】任务即可。

分享一【yī】下生产环【huán】境数据安全经验，生产【chǎn】环境数据【jù】安全【quán】建设【shè】有一【yī】个【gè】难【nán】点，就【jiù】是开发量很大，比如界【jiè】面上展示的数【shù】据没【méi】有做脱【tuō】敏，或者权限管控不严【yán】格，A用户可以【yǐ】看B用户的数据，这一【yī】块做改造的【de】话，开【kāi】发【fā】量很【hěn】大【dà】，权限难以管控，因为你今天【tiān】开一个帐号权限，明【míng】天开一【yī】个帐【zhàng】号权限，后面都【dōu】不知道谁拥有这些帐号权限，安全【quán】合规比较难以落【luò】地，比如等保2.0、密【mì】码法、个人金融【róng】信息【xī】保【bǎo】护技术规范都对数据加密、存【cún】储、传【chuán】输作了明确要求，但是很多企业由于传输层改造量巨大，导致难以落【luò】地，如果后续审计【jì】中出【chū】现【xiàn】问题，对企业的影响会非【fēi】常大，泄漏数据难以发现，数据一旦【dàn】泄漏，损失是难以挽回【huí】的。

我们自研【yán】了一套【tào】LOCKet XDBC动态数据库安全管【guǎn】理系【xì】统，基于TDDL技【jì】术理念，众安研发了XDBC动态数【shù】据库安全管理系统，它【tā】其实是【shì】一套中间件加【jiā】一个管理系统的一【yī】整套【tào】解决方案，一【yī】方面提供分布式数【shù】据库处理【lǐ】能力，通【tōng】过XDBC技术能够动态分库分表【biǎo】，把所有数据分布式【shì】存储在多个节点，这样就【jiù】能提升【shēng】性能、存储能力，同时成本【běn】又很低。另一方面【miàn】，我【wǒ】们把安全【quán】的能力【lì】引入【rù】了进来【lái】，有效保证解决【jué】数据在云端存储的安全【quán】难题。 XDBC提供了SDK接入【rù】模式和【hé】代理【lǐ】接入模式，满足不同的【de】开发改造需求【qiú】。SDK接【jiē】入模【mó】式需要【yào】一些开发成本，代理接入模【mó】式完【wán】全不需要开【kāi】发【fā】成本【běn】，同时我们的加密是对接加密机的，可以满足等保【bǎo】、密【mì】码【mǎ】法的合规要求。

基【jī】于这一套系统，我们可以【yǐ】做【zuò】精【jīng】细化【huà】的数据权限管理，比如应用A完【wán】全是【shì】加【jiā】密的内【nèi】容，应用B是【shì】脱敏【mǐn】的内容【róng】，应用C是完全明文【wén】的内容，可以通过不同的应用配置不同的权限，能够有效【xiào】管【guǎn】控数据安全。另外它有一个优势【shì】，如果通过代理模【mó】式，可以不用开发，改造成本非【fēi】常低【dī】，而且【qiě】提供加密、脱敏、审【shěn】计一【yī】体【tǐ】化的能力，同【tóng】时【shí】可以兼容【róng】主流的关系型数据库【kù】，比如SQLLite、MySQL、SQL Sever、PostgreSQL、DB2、Oracle、HBASE以及国产【chǎn】数据库TIDB。

因为我们的生产【chǎn】环【huán】境【jìng】都是在云上【shàng】，这里分享一下将来【lái】大家上云时【shí】都会【huì】遇到的安【ān】全难题，金【jīn】融【róng】行业在云上会遇到数据非授权访问，云服务提供商会不会非【fēi】授【shòu】权访【fǎng】问数据，另外一个【gè】是【shì】黑客，因为在云上【shàng】，黑客攻击面【miàn】更【gèng】多。云服务器提供商会【huì】不会没有按照【zhào】我们的要【yào】求销毁我们不要的【de】数据，多租户场景中的数据【jù】传输如果不【bú】加密的话【huà】安【ān】全风【fēng】险是【shì】很【hěn】高【gāo】的【de】。针对这些问题，CASB概念在国外已经【jīng】很热门，但在【zài】国内【nèi】，众安算是第一个“吃螃蟹的【de】人”，众【zhòng】安很早就开始用CASB技术【shù】，比如SaaS应用，为了解决CRM、OA系【xì】统，它的数据给到【dào】OA服务商或者CRM SaaS服务提供商，如果他售卖这些数据，我们是无法感知【zhī】的【de】，或者说发现【xiàn】时已经来不及了【le】。我们可以通过网关自定义【yì】要【yào】提【tí】交给SaaS服务【wù】的字段，做自动化加【jiā】密，不需要额【é】外开发。数据完全【quán】掌控在租【zū】户手中，不依赖于SaaS服务提供【gòng】商，同时可以支持模【mó】糊搜索【suǒ】加密【mì】，如果有些【xiē】业务字段需要做搜【sōu】索，加密之后也不受影响【xiǎng】。支持国密算法、国际【jì】算法【fǎ】。

云存【cún】储数据安全，这一块【kuài】要【yào】着【zhe】重讲【jiǎng】一下，我们引【yǐn】入LOCKet FS云存储动态家民网关，为了满足很多开发人员改造的复杂【zá】度，我们把它【tā】做成配置化，不需要接入额外代【dài】码，只需要简单配置【zhì】，就可以自【zì】动把敏感数据存储【chǔ】在【zài】云端【duān】。

web应用防火墙【qiáng】，很多企【qǐ】业【yè】WAF主要是用来【lái】防护【hù】生产【chǎn】的应【yīng】用，随着互联网化，我们的【de】WAF是分布【bù】式的、不同【tóng】环境【jìng】的，无论是内网、外网，它是【shì】任何地方都【dōu】可以【yǐ】进行防护。同【tóng】时，它提供web攻击防护、BOT反爬【pá】管理，用户【hù】行【háng】为采【cǎi】集我们【men】也会在WAF上做【zuò】，基于用户行【háng】为去做数据防【fáng】泄漏分析和告警。通【tōng】过【guò】动【dòng】态安全防护【hù】，我们可以对爬虫进行人机识别【bié】，限制因为爬虫导致【zhì】数【shù】据泄漏。WAF提【tí】供了【le】自适【shì】应【yīng】的用户行为审计【jì】功能，很多企业在等保测【cè】评中有一些业务系统需要做行为审【shěn】计，但【dàn】是很多业务系【xì】统没有这个功能，安全工程师去推动时，很多开【kāi】发者都不愿意排期【qī】。我们这套系统可【kě】以满足【zú】，只要有【yǒu】需要，任何【hé】一个应用接入我们的网关，只要【yào】配置一下，它就可以【yǐ】完全【quán】各种审计功能。

同时，它是【shì】一个专业【yè】的SLB，可以分布在【zài】私【sī】有云、阿里云、腾【téng】讯云【yún】或其他【tā】云，只要有一个管【guǎn】理台，即可管控所有的网【wǎng】站【zhàn】，可以大大提【tí】升效率，降【jiàng】低成本。

今天的分享就到这里，谢谢大家!