保险科技赋能，众安互联网保险隐私数据安全保护实践

导【dǎo】语：说【shuō】到隐私数据安【ān】全【quán】，跟数据安全相比，隐私数据【jù】更明确、更细致，作为互联网保险公司，要保【bǎo】护企【qǐ】业的自【zì】身隐私数据安全，就需【xū】要非【fēi】常完【wán】善和全方位的安全【quán】防护。9-21，众安【ān】保险【xiǎn】全资子公司众【zhòng】安科技安全技术负责人王明博【bó】就互联网保险数据安全话题【tí】进行了主题分【fèn】享【xiǎng】，以【yǐ】下为演【yǎn】讲实录。

王明博：很开心跟【gēn】在座各位同行【háng】分享【xiǎng】众安在隐私数【shù】据【jù】安全保护【hù】的实践【jiàn】。每【měi】家公司的【de】实【shí】践都不一样，今天我们主要分享众安在日常【cháng】运【yùn】营中，从0到1以及从1到N的实践【jiàn】，抛砖引玉。

一、关于我们

众安在【zài】安【ān】全建设方【fāng】面的【de】积累，包括【kuò】安全资质，等【děng】保三级、ISO27001的合规、软件能力成【chéng】熟度的【de】认证，自研的安全产品【pǐn】也获得【dé】了【le】相应的销售许可，并且我们积极【jí】参与到信【xìn】息安全行业的标准建设、区块链行业的建设。今年，众安科技获【huò】评“2021安在新榜【bǎng】中国市场【chǎng】网络安全【quán】大众点【diǎn】评百强榜”，安全【quán】技术【shù】能力获【huò】得了【le】行业认可。

二、新数字经济的数据安全建设难题

众【zhòng】安作为互联【lián】网化的企业，目前朝【cháo】着新【xīn】数字经济的【de】方向发展【zhǎn】，我们面临的建设难【nán】题【tí】与【yǔ】解决办法可供大家参考。

一方面是【shì】风险【xiǎn】和监管的【de】双重压力。等保【bǎo】2.0、公安【ān】部1960号文、去【qù】年发布的《互联网【wǎng】保险【xiǎn】监督【dū】管理办法》以及今年【nián】发布的金融行业等【děng】保2.0测评【píng】指南，对【duì】企【qǐ】业的信息【xī】安全合规做了很严格【gé】的要求。此【cǐ】外还有一【yī】些相关的法律法规正在发【fā】布，比如接下来还会发布的个【gè】人隐私保【bǎo】护法等法规，这【zhè】些法规对于企业来说【shuō】是很大的挑战，需要面【miàn】临更多【duō】监管压力【lì】。

另一方面是【shì】随着技术和【hé】业务的创新发展，数【shù】据安全管控变得越来【lái】越复杂，比如云计算应用【yòng】，以及AI和大【dà】数据开发【fā】。业【yè】务的【de】互联网化，比如金融、保险【xiǎn】、教育、家【jiā】居【jū】、电商、社【shè】交、车联网【wǎng】、IoT等都在进【jìn】行互【hù】联网化转型，针【zhēn】对互联【lián】网的数据泄漏新【xīn】风险，比如恶意爬【pá】虫【chóng】、黑产团伙、web应用漏洞成为数据泄漏【lòu】的主要途径。企业【yè】办公协同，疫情催生了很多远程办公需【xū】求，但是很多企业老旧的制【zhì】度和工具难以对【duì】新【xīn】型工具进行管控，这一块也是【shì】存【cún】在【zài】很大风【fēng】险。

针【zhēn】对【duì】这些问题，接下来分享一下众【zhòng】安的数据【jù】安【ān】全管理建设实【shí】践以及技术防【fáng】控领域的【de】实践。

三、数据安全管理建设实践

我们的数【shù】据安【ān】全【quán】建设工作思路是聚焦以数【shù】据安全为中【zhōng】心的安全建设，安全体系的建设都是围绕【rào】着数据安全，并且在【zài】数据【jù】安全管【guǎn】理【lǐ】和数【shù】据安【ān】全技【jì】术防控【kòng】并重的方式。数【shù】据安全管【guǎn】理方面，我们有一个【gè】数据安【ān】全【quán】管理矩阵，从能【néng】力维度、场景维度和【hé】管理【lǐ】执行维度建设【shè】安全管理。技术方面，从技术架构维度，包括网【wǎng】络【luò】层【céng】、终端层、基【jī】础设【shè】施【shī】层、业务应用，无论在【zài】任何层次，我们【men】都【dōu】会【huì】对所有数据进行分级分类控制，同时在技术执行层面会引入【rù】技术进行识别、保护、检测、响应及处置。

无【wú】论【lùn】是数据安全，还是【shì】信息安全管【guǎn】理【lǐ】，自上而下是【shì】非【fēi】常关【guān】键【jiàn】的。自上而下而下分【fèn】为两类，一个是管理意【yì】志的“自上而下”，因为信息安全建设最重【chóng】要的是领导【dǎo】层的【de】支持，高层领导的【de】支【zhī】持是安全【quán】管理建设的成功基石。另一类【lèi】自上而下是制度先【xiān】行或【huò】安全体系【xì】先行，比如ISO27001或等保的合规要求，可以很好【hǎo】地辅助我们做【zuò】数【shù】据安全体系的建设。基于制【zhì】度，才能【néng】落实相应的技术或者手段，完成数据安【ān】全的建设工【gōng】作【zuò】。

权责明确、赏罚【fá】分明是落地【dì】信息【xī】安全制度的【de】重要因素，在很【hěn】多企业【yè】，有安全【quán】管理制【zhì】度，但【dàn】是【shì】执行度不够，导致很多制度只停留在了纸面。 众安的实践【jiàn】是从员工入职、权限变更、转岗以及离职，整个在职周期我们都有【yǒu】相应【yīng】的制度和流程进行数【shù】据安全管控。在数【shù】据安全【quán】管控时，我们会有赏【shǎng】罚和权责的【de】明确，比如【rú】执行层面，IT团队【duì】和信息安【ān】全【quán】团【tuán】队会落实相应的工具或【huò】系统。在识别层面【miàn】，主要【yào】是依靠信息安全【quán】团队的【de】监控和数据分【fèn】析。在处置层面，通过HR团队、法【fǎ】务团队、廉政团队对【duì】违规行为【wéi】进【jìn】行处罚，形成威【wēi】慑【shè】力，能够很好地落地【dì】信息安全管理【lǐ】制度。另外还【hái】有内审团【tuán】队做整个流程的【de】监督【dū】和合规【guī】性审查。

为什么这【zhè】里会提运维自动【dòng】化?因为运【yùn】维自动化可以有效降【jiàng】低人【rén】为因素导致的信息【xī】安全风险，这【zhè】也是众安在快速和【hé】安【ān】全中【zhōng】衍生出来的一个平台【tái】和解决【jué】方案——DevSecOps全流程管控，我们【men】可【kě】以做到开发人员几乎无法接触【chù】到数据库或各【gè】种关【guān】键设施【shī】的帐号和密码，他只【zhī】需要开发【fā】，后续所有流程【chéng】都是全自动的，包【bāo】括【kuò】安全检查、漏洞扫描【miáo】、数据库变更等【děng】等，全都【dōu】是自【zì】动化操作，这样可以【yǐ】避【bì】免人【rén】为导致的信息【xī】安全风险。

这里有一个很简单的例子，大家【jiā】可能都会听到安全【quán】左【zuǒ】移的概念，就是把【bǎ】安全风险和【hé】漏洞控制在开发阶段，我们【men】这边有一个很好的实践，很多代码配置，比如数据库【kù】密码以【yǐ】及【jí】各种【zhǒng】云服务帐号，这些账号配【pèi】置如【rú】果明【míng】文给到开发者，很容易【yì】被【bèi】泄漏出去。我们有自己的加【jiā】密SDK，让所有开【kāi】发【fā】人员使用【yòng】统一的SDK，开发者只能【néng】拿到加密【mì】后的账【zhàng】号配置，并【bìng】且加【jiā】密的配置都有我们自己的标【biāo】识，如果这【zhè】些【xiē】数据泄漏出去，我们能够很【hěn】快【kuài】通过公开代码仓【cāng】库，比如【rú】GitHub或【huò】者其他仓库，能够快速监【jiān】控到被泄漏【lòu】的配置，大大提升监测数据泄【xiè】漏的效【xiào】率【lǜ】，同时也降低了【le】因为员工疏忽导致【zhì】的敏感数据泄漏的【de】风【fēng】险。

另外一点也是整个众【zhòng】安【ān】的核【hé】心生产力之一，即由数据中台。众安的业【yè】务很快速，自动化【huà】业务加速、数据驱动决策、智慧经【jīng】营等。我们【men】通过数据中台进行数据的安全管控，措施包【bāo】括包括数据【jù】分级、脱敏显示、访问控【kòng】制和审【shěn】批、封【fēng】闭环境【jìng】开发【fā】等【děng】。通过该方【fāng】式【shì】，有效的确保我们能【néng】够在确保【bǎo】隐私【sī】数【shù】据安全的【de】基础【chǔ】上，进行数据开发，业务创【chuàng】新。

四、数据安全技术防控建设实践

首【shǒu】先介绍一下众安的技术防控地图，我们把【bǎ】安全分成【chéng】好【hǎo】几【jǐ】个区域，包括办公室数据【jù】安全、运维分析数据安全、生产数据【jù】安全、业【yè】务应用数【shù】据安全。办公【gōng】环【huán】境【jìng】有DLP数据防泄【xiè】漏，我们有【yǒu】网络层数据防泄漏、终端【duān】层【céng】数据【jù】防泄漏、网络准入【rù】和VPN、用户行为分析，也有BYOD，BYOD我们使用【yòng】的是最【zuì】福【fú】利APP，在一个独【dú】立【lì】，安全【quán】的【de】APP上【shàng】进【jìn】行安全快速地【dì】办公。运维分【fèn】析【xī】数【shù】据安全有【yǒu】“堡垒机”、DevSecOps研发一体化平台、绿洲数据运维【wéi】管理平【píng】台以及刚才介【jiè】绍的数据中台。再其次，生产数据也有很多“黑科技”，有可能帮助在座【zuò】各位有效管控大家的数据安全。

我们【men】现【xiàn】在介绍一下众安办公数据【jù】安【ān】全的【de】“黑科技”——LOCKet DLP。

办公数据安全【quán】有很多难点【diǎn】，识别难、分类难、防护【hù】难、管理【lǐ】难，我们有自【zì】己的一【yī】套基于用【yòng】户行为【wéi】分析【xī】的数【shù】据防泄漏解决方案，运用大数据技【jì】术，通过分析【xī】企业员【yuán】工的终【zhōng】端行为【wéi】及网络【luò】行为，准确识别数据泄漏【lòu】风险【xiǎn】并且阻断，包括数据【jù】识别【bié】、数据分级分类、数据泄漏防护【hù】以及员工行【háng】为管控。同时也【yě】会做员工离职审【shěn】计【jì】，或者【zhě】员工出现零星式泄漏都能识别出来。

LOCKet DLP方案特点，包【bāo】括多维度数据采集【jí】及防控、海量数据存储【chǔ】及分析【xī】、基于【yú】用【yòng】户行【háng】为的风险识别。

LOCKet DLP 还提供了网络层数据【jù】安全管控的网关【guān】，提供上【shàng】网行为管理、加密流量管【guǎn】理、数据防【fáng】泄漏【lòu】，安全取证【zhèng】功【gōng】能。

LOCKet DLP提供了可以便捷地做数据安全分享的功能，用户文件比较【jiào】敏感，无法【fǎ】通【tōng】过邮件，聊天工具外【wài】发【fā】，他可以【yǐ】直接选择【zé】文【wén】件，点击右键进行【háng】安全【quán】分享，就会【huì】生【shēng】成一个链接发【fā】出去，链接具【jù】备有效期，也有审批功能【néng】，并且分【fèn】享出去后，能记录下【xià】载者的【de】身份。

运维和分析数【shù】据安全方面，我们有绿洲数据运维【wéi】管【guǎn】理系【xì】统，统一运维生产环节的数【shù】据库，数据库管理量大、安【ān】全【quán】是【shì】最重要的。数据安【ān】全对数据库有很多要求，比【bǐ】如合规、高效、智能，同时要保证安【ān】全。绿【lǜ】洲数【shù】据安全管理系统，可【kě】以理解为【wéi】既开放【fàng】给DBA专家【jiā】做【zuò】日常运维，同时又开放【fàng】给【gěi】开发【fā】人员或数据【jù】分析人员，登上去之后有统一的权限管控、统一的脱敏【mǐn】策【cè】略以及安全告【gào】警、审计功能。一方面所有的数据【jù】库【kù】资【zī】产能【néng】统【tǒng】一管控，另一方面【miàn】管控时可以进【jìn】行统一【yī】脱敏以及数据分级管理，有数据库的权限审批【pī】和数据库的数据【jù】定级【jí】，同【tóng】时有数据【jù】审计。

数据【jù】脱敏管理系统，就是前面提到的【de】数【shù】据中台中一个重要【yào】组【zǔ】成部分，它提供了【le】动态脱敏【mǐn】，在实时查【chá】询【xún】时进行【háng】脱【tuō】敏，以及静态脱敏，比如从数据库将【jiāng】数【shù】据批量拉【lā】到数据中【zhōng】台的大数据【jù】平台【tái】，可以【yǐ】提供静态脱敏【mǐn】的【de】能力。动态脱敏存在于数据【jù】库和应用、数【shù】据中台之间，进行自动化脱敏。动【dòng】态脱敏【mǐn】对于用【yòng】户来说变动非常小，只要接入中【zhōng】间层的代理【lǐ】就【jiù】可以实现了。静态脱敏是额外一台服务【wù】抽取数据，用户只【zhī】需要发布脱敏任务即可。

分享一【yī】下生产环境数据安【ān】全经验，生产环境数据安全建设有一个难【nán】点，就是开发量很【hěn】大，比如界面上展示的数据【jù】没有做脱敏【mǐn】，或者权限管【guǎn】控【kòng】不严格，A用户可【kě】以看B用户【hù】的数【shù】据【jù】，这一块做改造【zào】的话，开发量很大，权限【xiàn】难以管控，因为你今天开一个帐号权【quán】限，明【míng】天开一个【gè】帐【zhàng】号权限，后面都不【bú】知道谁拥有这些帐号权【quán】限，安全合规比较难以落地【dì】，比如等保2.0、密码【mǎ】法、个人金融【róng】信息保护【hù】技术规范都对数据加【jiā】密、存储、传输作了明确要【yào】求【qiú】，但【dàn】是【shì】很多企业由于传【chuán】输层改造量巨大，导致【zhì】难以落地，如果【guǒ】后续【xù】审计中出现问题，对企【qǐ】业的影响【xiǎng】会【huì】非【fēi】常大【dà】，泄【xiè】漏数【shù】据难【nán】以发现，数据一旦【dàn】泄漏，损失【shī】是难以挽回的。

我们【men】自研了一套LOCKet XDBC动态数据库【kù】安【ān】全管理系【xì】统【tǒng】，基于TDDL技术理念，众安研发【fā】了XDBC动态【tài】数据库【kù】安全管理系统，它其实是一套【tào】中间件加一个管理系【xì】统的一整套解决方案，一方面【miàn】提供【gòng】分布式数据库处理能【néng】力，通过XDBC技术能【néng】够动态分库分表，把所有数据【jù】分【fèn】布【bù】式【shì】存储在【zài】多个节【jiē】点【diǎn】，这样就能【néng】提升性能【néng】、存储能力【lì】，同时成本又很低。另【lìng】一方面，我们把安全【quán】的能力引入了进来，有效保【bǎo】证解决数据在云端【duān】存储的安全难题【tí】。 XDBC提供了SDK接入模式和代理接入【rù】模式，满足不【bú】同【tóng】的开发改造需求【qiú】。SDK接【jiē】入模【mó】式需要一些开发成【chéng】本，代【dài】理接入模式完全【quán】不需要开【kāi】发成本，同时【shí】我们的【de】加密是对接加密【mì】机【jī】的【de】，可以满足等保、密码法的合【hé】规要求。

基于【yú】这一套系统，我们【men】可以【yǐ】做【zuò】精细化的【de】数【shù】据权【quán】限【xiàn】管理，比如应用【yòng】A完全【quán】是加【jiā】密的内容，应【yīng】用B是脱敏的内容，应用C是【shì】完全【quán】明【míng】文的【de】内容，可以通过不同的【de】应【yīng】用配置不同的权限，能够有效【xiào】管控数据安全。另外它有【yǒu】一个优势，如果通过代理模【mó】式，可【kě】以【yǐ】不用开发，改造成本【běn】非常低【dī】，而且提供加密【mì】、脱敏、审计【jì】一体化的能力，同时可以兼【jiān】容主流的关【guān】系型数【shù】据库，比如SQLLite、MySQL、SQL Sever、PostgreSQL、DB2、Oracle、HBASE以及国产数【shù】据库TIDB。

因为【wéi】我们的生产环境都是在云上【shàng】，这里分享一下【xià】将来大家上云时【shí】都会遇到的安全难题，金融【róng】行业在云上会遇到数据非授【shòu】权【quán】访【fǎng】问，云服务【wù】提【tí】供【gòng】商会【huì】不会【huì】非授权访问数【shù】据【jù】，另外一个是黑客，因为在云上，黑客攻击面更【gèng】多【duō】。云服务器提供商会不会没有按照我们的【de】要求销【xiāo】毁【huǐ】我们不【bú】要的数据，多租户场景中的数据【jù】传输如果不【bú】加密的话安全风险是很高的。针【zhēn】对这些问题，CASB概念在国外已经很【hěn】热门，但在国【guó】内，众安算是第一【yī】个“吃螃【páng】蟹的【de】人”，众安很早就开始用CASB技术，比如SaaS应用【yòng】，为了解【jiě】决CRM、OA系【xì】统，它的数据给【gěi】到OA服务【wù】商或者CRM SaaS服务【wù】提供商【shāng】，如果他售卖这【zhè】些数据，我【wǒ】们是无法感知【zhī】的，或者【zhě】说发【fā】现时已经来【lái】不及了。我们可以通过网【wǎng】关【guān】自定【dìng】义要提交【jiāo】给SaaS服务的字段，做自动化【huà】加【jiā】密，不需要【yào】额外开发。数据完全掌控在租户【hù】手中，不依赖于SaaS服【fú】务【wù】提【tí】供商，同时可以支持模糊搜索加密，如果有些业务字段【duàn】需要【yào】做【zuò】搜索，加密之【zhī】后也不受影响。支持国密算法、国【guó】际【jì】算【suàn】法。

云【yún】存储数【shù】据安全，这一【yī】块要【yào】着重【chóng】讲一下，我们引入LOCKet FS云存储【chǔ】动态【tài】家【jiā】民网关，为了【le】满足很多开发【fā】人员【yuán】改造的复杂【zá】度，我们【men】把它做成配置化，不需要接入额外代码，只需要简单配置，就可以自动【dòng】把敏感数据【jù】存储在云端。

web应【yīng】用防火【huǒ】墙，很多企【qǐ】业WAF主要【yào】是用来【lái】防护生产的应用，随着互【hù】联网【wǎng】化【huà】，我们的WAF是分布【bù】式的、不【bú】同环境的，无论是【shì】内网、外网【wǎng】，它是【shì】任【rèn】何地方都可以进行防【fáng】护。同【tóng】时，它【tā】提供web攻击防【fáng】护、BOT反爬管理，用户行为采集【jí】我们也会在WAF上做，基于用户行为去【qù】做数【shù】据防泄漏分析【xī】和告警。通过动态安全防护，我们可以【yǐ】对【duì】爬【pá】虫进行人【rén】机【jī】识别，限制【zhì】因【yīn】为爬虫导致数【shù】据泄漏【lòu】。WAF提供了自适应的用户行为审计【jì】功能，很多企业在等保测评中【zhōng】有一些业务系【xì】统需要做行为审计，但【dàn】是【shì】很多业务系统没有这个功能，安【ān】全工程【chéng】师去推动【dòng】时，很多【duō】开发者都不【bú】愿意排期【qī】。我【wǒ】们这套系统【tǒng】可以满足，只要有需【xū】要，任何【hé】一个应用接入我们的网关，只要配置一下，它就可以完全各种【zhǒng】审计功能。

同时，它【tā】是一个专业的SLB，可以分【fèn】布在私【sī】有云、阿里云、腾讯【xùn】云【yún】或其他云【yún】，只要有一个管理台，即可管控所有的网【wǎng】站【zhàn】，可以大大提升【shēng】效率，降低【dī】成本。

今天的分享就到这里，谢谢大家!