保险科技赋能，众安互联网保险隐私数据安全保护实践

导语：说到隐私数据安全【quán】，跟数【shù】据安【ān】全相比，隐私数据【jù】更【gèng】明确、更细致，作为互联【lián】网保险【xiǎn】公司【sī】，要【yào】保护企业的自身隐私数据安全，就【jiù】需要非常【cháng】完善和全方位的安全防护。9-21，众安保【bǎo】险全资【zī】子公司众安科【kē】技安全技术负责人王明博就互联网【wǎng】保【bǎo】险数据安全话题【tí】进行了主题分享，以下为演【yǎn】讲【jiǎng】实录【lù】。

王明博：很开心跟在座各位同【tóng】行分享众【zhòng】安【ān】在隐私数【shù】据安全【quán】保【bǎo】护【hù】的实践【jiàn】。每【měi】家公司的实践【jiàn】都不一【yī】样，今天我们主要分享众安在【zài】日常运营中，从0到1以及从1到【dào】N的实践，抛砖引【yǐn】玉【yù】。

一、关于我们

众安【ān】在安全【quán】建【jiàn】设【shè】方面的积累，包括安全资【zī】质，等保三【sān】级、ISO27001的合【hé】规、软件能【néng】力成熟【shú】度的认【rèn】证，自研的安全产品也【yě】获得了相应的销售许可，并且我们积极参与到信息安【ān】全行【háng】业的标【biāo】准建设、区块链行业的建设。今年，众安科技获评【píng】“2021安在新【xīn】榜中国市场网络安【ān】全【quán】大【dà】众点评【píng】百强榜”，安全【quán】技术【shù】能力获【huò】得了行业认可【kě】。

二、新数字经济的数据安全建设难题

众安作为互联网化的企业【yè】，目前朝【cháo】着新数字经济的方向发展，我【wǒ】们【men】面【miàn】临的建【jiàn】设难题与解决办法【fǎ】可供大家参考。

一方面是【shì】风险【xiǎn】和监管【guǎn】的双重压力。等保2.0、公安部1960号文、去年发布的《互联网保险监督管理办【bàn】法》以及今年发【fā】布的金融【róng】行业等保2.0测评指南，对企业的信【xìn】息安【ān】全合【hé】规做了【le】很严格的要求【qiú】。此外还【hái】有一些【xiē】相关的法【fǎ】律法规正在发【fā】布，比如【rú】接下来还会发布的个人隐私保护【hù】法等【děng】法规，这【zhè】些【xiē】法规对于企业来说是很大【dà】的挑【tiāo】战，需【xū】要面【miàn】临更多监【jiān】管压力。

另一方面是随着技术和业务的创【chuàng】新发展，数据安【ān】全管控变得【dé】越来越复杂，比【bǐ】如云计算应用【yòng】，以【yǐ】及【jí】AI和大数据开发。业务的互联网化，比如金融、保险、教育、家居、电【diàn】商、社交、车联网、IoT等【děng】都在进【jìn】行【háng】互【hù】联网化转型，针对【duì】互联【lián】网【wǎng】的【de】数据泄漏新风险，比【bǐ】如恶意【yì】爬虫【chóng】、黑【hēi】产团伙、web应用漏洞成为数据泄漏的【de】主要途径。企业办公协同，疫情催生【shēng】了很多远程办公【gōng】需求，但是很多企业老旧的【de】制度【dù】和工具【jù】难以对新型工具【jù】进行【háng】管【guǎn】控，这一块也是【shì】存在很【hěn】大【dà】风险【xiǎn】。

针【zhēn】对这些问【wèn】题，接下来分享一下众【zhòng】安的数据【jù】安全管理建【jiàn】设实践以及技术【shù】防控领域的【de】实践。

三、数据安全管理建设实践

我们的数据【jù】安全建设工作【zuò】思路是聚焦以数【shù】据安全为中心的安【ān】全建设，安全【quán】体系的【de】建【jiàn】设【shè】都是【shì】围绕着【zhe】数据安全【quán】，并且在数据安全管理和数据安【ān】全【quán】技术【shù】防控并重【chóng】的方式【shì】。数【shù】据【jù】安【ān】全管理【lǐ】方面，我们【men】有【yǒu】一个【gè】数据安全管理【lǐ】矩阵【zhèn】，从能力维度、场景维度和管理【lǐ】执行【háng】维度建设安全管理。技【jì】术方面，从技【jì】术架构维度，包括网络【luò】层、终端层、基础设施层、业务应用，无论在任何层次，我们都【dōu】会对所有数据进行分【fèn】级分类控制，同时在技术执行层面会引入技术进【jìn】行识别、保护、检测、响应及处【chù】置。

无【wú】论是数据【jù】安全，还【hái】是【shì】信息【xī】安【ān】全管理，自上而下是非常关键的【de】。自上而下【xià】而下分为两类，一个【gè】是管理意志【zhì】的“自上而下”，因为信息【xī】安全建【jiàn】设最重要的是【shì】领导【dǎo】层的支持，高层领导的支持是安【ān】全管理建设【shè】的成【chéng】功【gōng】基【jī】石。另一类自上而下是制度先【xiān】行或安全体系先行，比【bǐ】如ISO27001或等【děng】保【bǎo】的合规要求，可以很【hěn】好地辅助我们做数据安全体系的建设。基【jī】于制度【dù】，才能落【luò】实相应的【de】技术或者手段，完成【chéng】数据安【ān】全的建设【shè】工作。

权责【zé】明确、赏【shǎng】罚【fá】分明【míng】是落地信息安全制度的重要【yào】因素，在很多企【qǐ】业，有安全管理制度，但是执行度不够【gòu】，导【dǎo】致很多制度只停留【liú】在了纸面。 众安的实践是从员工入职、权限变更、转岗【gǎng】以【yǐ】及离【lí】职，整个在【zài】职周期我们都有相应【yīng】的制度【dù】和流程进行【háng】数据安【ān】全管【guǎn】控。在数据【jù】安全管控【kòng】时，我们【men】会有赏罚和权责的明【míng】确，比如执行层面，IT团队和信息安全团队会落实相【xiàng】应的工具或系统。在识【shí】别层面，主要是依靠信息安【ān】全团【tuán】队的监控和【hé】数【shù】据分析。在处置层面，通过HR团队【duì】、法务团【tuán】队【duì】、廉政【zhèng】团队【duì】对违【wéi】规【guī】行为进行处罚，形【xíng】成威慑力，能够很好地落地信息安全【quán】管理【lǐ】制度。另外【wài】还【hái】有内审团队做整个【gè】流【liú】程的【de】监督和合规性审【shěn】查。

为什么这里会【huì】提运维自动化?因为运维【wéi】自动【dòng】化【huà】可以【yǐ】有【yǒu】效降低人为【wéi】因素导【dǎo】致【zhì】的信息安全风险，这也是众安在快【kuài】速和安全【quán】中衍【yǎn】生出来【lái】的一【yī】个平【píng】台和解决方案——DevSecOps全流程管控，我们可以【yǐ】做到开【kāi】发人员几乎无【wú】法接触到数据库或各种关键设施的帐号【hào】和密【mì】码【mǎ】，他【tā】只需要【yào】开发，后续所有流程都是全自动的，包【bāo】括安【ān】全检查、漏洞扫描、数据【jù】库变更等等，全都是自【zì】动化操【cāo】作，这样可以避免人为【wéi】导致的信【xìn】息安全风险。

这里有一个很【hěn】简单【dān】的例【lì】子，大家可能都会【huì】听到【dào】安全左移的概念，就【jiù】是把安全【quán】风险【xiǎn】和漏洞【dòng】控制【zhì】在开发【fā】阶段，我们这边有【yǒu】一【yī】个很【hěn】好的【de】实践，很多代【dài】码配置，比如【rú】数据库【kù】密【mì】码以及各种云服【fú】务帐号，这些账号配置如果明文给【gěi】到开【kāi】发者，很容易被泄漏出去。我【wǒ】们【men】有自己的加密SDK，让所有开发人员使用统【tǒng】一的SDK，开发者【zhě】只能拿【ná】到加密后的【de】账号配置，并且【qiě】加密的配置都【dōu】有我们【men】自己的标【biāo】识，如果这些数据【jù】泄漏出去，我【wǒ】们【men】能够很快通过公开代码仓库，比如GitHub或者其【qí】他【tā】仓【cāng】库【kù】，能够快速监控到【dào】被泄漏的配置，大大提升【shēng】监测【cè】数【shù】据泄漏的效率，同时也降低了因为员工疏忽导致的敏感数【shù】据泄漏的风险。

另外一点也是【shì】整个众【zhòng】安的核【hé】心生产【chǎn】力之一，即由【yóu】数据中台。众安的业务很快速，自动【dòng】化业务加速、数据驱动决策、智慧经营等【děng】。我们通过数据中台进【jìn】行数据【jù】的安【ān】全管控【kòng】，措施包【bāo】括包括数据分级、脱敏显示、访问控制和【hé】审批、封【fēng】闭【bì】环【huán】境开【kāi】发等。通过该方式，有效【xiào】的确保我们能够在【zài】确【què】保隐私数据安全的基础【chǔ】上，进行数据开发，业务【wù】创新。

四、数据安全技术防控建设实践

首先介绍一下【xià】众安的技术防控地图，我们把【bǎ】安【ān】全分成好几个区域【yù】，包括办公室数据安【ān】全【quán】、运维分析数据安全、生【shēng】产数据安全、业务应用数【shù】据安【ān】全【quán】。办公【gōng】环境有DLP数据防泄漏【lòu】，我们有网络层数据【jù】防泄漏、终端【duān】层数据防泄漏【lòu】、网络准入和VPN、用【yòng】户【hù】行为【wéi】分析，也【yě】有BYOD，BYOD我们使用的【de】是最【zuì】福【fú】利APP，在一个独立，安全的【de】APP上进行安全快【kuài】速地办公。运维【wéi】分析数据安全有“堡垒机”、DevSecOps研【yán】发一体【tǐ】化平台、绿洲数【shù】据运维管【guǎn】理平台以及刚才介绍的数据中台。再其次，生产【chǎn】数据也有很【hěn】多“黑科技【jì】”，有可能帮助【zhù】在【zài】座各位有效管控【kòng】大家的数据【jù】安【ān】全。

我们现在介【jiè】绍一下众安办公【gōng】数【shù】据安全【quán】的“黑科技”——LOCKet DLP。

办【bàn】公数据【jù】安全【quán】有很多难点，识别难、分类难、防护难、管【guǎn】理难，我们有自己的一套基【jī】于用户行为【wéi】分【fèn】析【xī】的数据防泄漏解【jiě】决方案，运用大【dà】数据【jù】技术，通过分析企【qǐ】业【yè】员工的终端行为及【jí】网络行为，准【zhǔn】确【què】识别数据泄【xiè】漏风险并且【qiě】阻断，包括【kuò】数据识别、数据分级分类、数据泄漏防护以及员【yuán】工行【háng】为管控。同时也会做员工离职审计，或者【zhě】员【yuán】工出现零星式【shì】泄漏都【dōu】能【néng】识别出【chū】来。

LOCKet DLP方案特【tè】点，包括多维度【dù】数【shù】据采【cǎi】集及【jí】防控、海量【liàng】数【shù】据存储及分析、基于用户行为的风【fēng】险识别。

LOCKet DLP 还提供了网【wǎng】络层数【shù】据安全管控的网关，提供上网【wǎng】行【háng】为【wéi】管【guǎn】理、加密流量管理、数据防泄漏，安全取证功能。

LOCKet DLP提【tí】供了可【kě】以便捷地做数【shù】据安全【quán】分享的功能，用户文【wén】件比较【jiào】敏感，无法通过邮【yóu】件，聊天【tiān】工具外发，他可以直接选【xuǎn】择【zé】文件，点击右【yòu】键进行安全分享，就【jiù】会生成一个链接发【fā】出去【qù】，链接具备有【yǒu】效期【qī】，也有审【shěn】批功能，并且分享出【chū】去后，能记录下【xià】载者的身份。

运【yùn】维和【hé】分析【xī】数据安全方面，我【wǒ】们有绿洲数据运维管理系【xì】统【tǒng】，统一运维生产环节的数据库，数据库管理量大、安全【quán】是最重要的。数据【jù】安全对数据库有【yǒu】很多要求，比如合规、高效、智【zhì】能，同时要【yào】保证【zhèng】安全【quán】。绿洲数据安【ān】全管理系统，可以【yǐ】理【lǐ】解为【wéi】既开放给DBA专家做日常运维，同时又【yòu】开放给开发人员或数据分析人【rén】员，登上【shàng】去【qù】之【zhī】后有统一的权限管【guǎn】控、统一的脱敏策略以及安【ān】全告警、审计功能【néng】。一方面所有的数据库【kù】资产能统一管控，另【lìng】一方面【miàn】管控时可以进行统【tǒng】一【yī】脱敏【mǐn】以及【jí】数【shù】据分【fèn】级【jí】管【guǎn】理，有【yǒu】数据库的权【quán】限审批和数据【jù】库的数据定【dìng】级，同时有数据审【shěn】计。

数据脱【tuō】敏【mǐn】管理【lǐ】系统，就是前面提到的数据【jù】中台中【zhōng】一个重要组成部分，它提供【gòng】了动态【tài】脱【tuō】敏，在实时查【chá】询时进行脱敏，以及静【jìng】态脱敏，比如从数据库【kù】将数据批量【liàng】拉到数【shù】据中台的大数据平【píng】台，可以提供静态脱敏的能力。动态脱敏存【cún】在于【yú】数据库和应用【yòng】、数【shù】据中【zhōng】台之间，进行【háng】自动化脱敏。动【dòng】态【tài】脱敏对于用户来说变动【dòng】非常小【xiǎo】，只要接入中间层的代理就可【kě】以【yǐ】实【shí】现了。静态脱敏是额【é】外【wài】一【yī】台服务抽取数据，用户【hù】只需要【yào】发【fā】布脱敏任务即可。

分【fèn】享一【yī】下生产环境数据安全经【jīng】验【yàn】，生产环境数【shù】据安全建设有一个【gè】难【nán】点【diǎn】，就是开发量很【hěn】大，比如界面上展示的数据【jù】没有做脱敏，或【huò】者【zhě】权限管控不严【yán】格，A用户可以【yǐ】看B用户的数据，这【zhè】一块做改造的【de】话，开发量很【hěn】大，权限难以管【guǎn】控【kòng】，因为你【nǐ】今【jīn】天开一个帐号权限【xiàn】，明天开一个帐号权【quán】限，后【hòu】面都不知道谁拥有这【zhè】些【xiē】帐号权限，安全合规比较难以落地，比如等保【bǎo】2.0、密码【mǎ】法、个人金【jīn】融信息保护技【jì】术规【guī】范都对【duì】数据【jù】加密、存储、传【chuán】输作了明确要求，但是很多【duō】企业【yè】由于传输层改造量巨【jù】大【dà】，导致难以落地，如果后续审计中出现问题【tí】，对企业的影响会【huì】非常【cháng】大，泄漏数据难以发现，数据一旦【dàn】泄漏，损【sǔn】失是难以挽回【huí】的【de】。

我们【men】自【zì】研了【le】一套【tào】LOCKet XDBC动态数据库安【ān】全管理系统，基于TDDL技术理【lǐ】念，众安【ān】研发了XDBC动【dòng】态数据【jù】库安全管理【lǐ】系统【tǒng】，它其实是【shì】一套中间件加一个管理系【xì】统的一整【zhěng】套【tào】解决方案【àn】，一方面提供【gòng】分布式数据库处理能力，通过XDBC技术能够动态分库分【fèn】表，把所有数据【jù】分【fèn】布式存储在【zài】多个节【jiē】点，这样就【jiù】能提升性能、存储能力【lì】，同时【shí】成本又很【hěn】低。另一方面【miàn】，我们把安全的能力引入了进来【lái】，有效保证解决数据在云端存【cún】储的【de】安【ān】全【quán】难题。 XDBC提供了SDK接入模式和代理【lǐ】接入【rù】模式【shì】，满足不同的开发改造【zào】需求。SDK接入模式需要一些开发成【chéng】本，代理接入模式完全【quán】不需要开发成【chéng】本【běn】，同时【shí】我们的加【jiā】密是对接加密机的【de】，可【kě】以满足等保、密码法的合规要求。

基【jī】于这一【yī】套系统【tǒng】，我们【men】可以做精细化的数据权限管【guǎn】理，比如【rú】应【yīng】用【yòng】A完【wán】全【quán】是加密的【de】内容，应用B是脱敏的内容，应用C是完全明文的内容，可以通过不同的应用【yòng】配置不同的权限，能【néng】够【gòu】有效【xiào】管控数据安【ān】全。另【lìng】外它有一个【gè】优势，如果通【tōng】过【guò】代【dài】理模式，可以不用开发，改【gǎi】造成本非常低，而且提供【gòng】加密、脱敏、审计一体化的能力，同时可以兼容主流的关系【xì】型数据库，比如SQLLite、MySQL、SQL Sever、PostgreSQL、DB2、Oracle、HBASE以及国产数【shù】据库TIDB。

因为我们【men】的生产环境都是在云上，这里分享一【yī】下将来【lái】大家上【shàng】云时都【dōu】会遇【yù】到的【de】安全难题，金融行业在云上会遇到【dào】数据非授权【quán】访问，云【yún】服务提供商【shāng】会【huì】不会非【fēi】授权访【fǎng】问【wèn】数据，另外一个是黑客，因【yīn】为在云上，黑客【kè】攻击面【miàn】更多。云服务器提【tí】供【gòng】商会不会没有按照我们的【de】要求【qiú】销毁我们不要的【de】数据【jù】，多租户场景中的数据【jù】传输如果不加密的话安全【quán】风险是很高【gāo】的【de】。针【zhēn】对这些问【wèn】题，CASB概【gài】念在国外【wài】已经很热门，但【dàn】在国内，众安【ān】算是第一个“吃螃蟹的人【rén】”，众安【ān】很早就开始【shǐ】用CASB技术，比如SaaS应【yīng】用【yòng】，为了解决CRM、OA系统，它的数据给到OA服【fú】务商或者【zhě】CRM SaaS服务【wù】提供商【shāng】，如果他【tā】售卖这些数据，我们是无法感知的，或者说发现时已【yǐ】经来不及了。我们可以通过网关自定义【yì】要提交给SaaS服务的【de】字段【duàn】，做自动【dòng】化加密【mì】，不需要额外【wài】开发。数据完全掌【zhǎng】控在租户手中，不依赖于SaaS服务提【tí】供商，同【tóng】时可以支持模糊搜索加密，如【rú】果【guǒ】有些业务字段需要做搜索【suǒ】，加密【mì】之【zhī】后【hòu】也不受影响【xiǎng】。支持国密算法、国【guó】际算法。

云存储数据安全，这一块要着重讲一下，我们引入【rù】LOCKet FS云存储动【dòng】态家民网【wǎng】关【guān】，为了满足很多开发人员改造的复【fù】杂度，我们把它【tā】做成配置【zhì】化【huà】，不需要接【jiē】入额外代【dài】码【mǎ】，只需要简单配置，就可以【yǐ】自动把敏感数据【jù】存【cún】储在【zài】云端。

web应用防火【huǒ】墙，很多企业【yè】WAF主【zhǔ】要是用【yòng】来【lái】防护生产的应用，随着互【hù】联网【wǎng】化，我们的WAF是分布式【shì】的、不同【tóng】环境的，无论是内网、外网，它是任何地方都【dōu】可以进行防护。同时，它提供web攻【gōng】击防【fáng】护、BOT反爬管理，用户行为采集我们也会在WAF上做【zuò】，基于【yú】用户行为去【qù】做数【shù】据防泄漏【lòu】分析和告警。通过动【dòng】态安全防护【hù】，我们可以对爬虫【chóng】进行人机识别，限【xiàn】制因【yīn】为爬虫导致数据泄漏【lòu】。WAF提供了【le】自适应的用户行为审计功能，很【hěn】多企【qǐ】业【yè】在等保测评【píng】中有【yǒu】一些业务系统需要做行为【wéi】审【shěn】计，但是很多【duō】业务系统没有这【zhè】个功能【néng】，安全工【gōng】程师【shī】去推动时【shí】，很多开【kāi】发【fā】者都【dōu】不愿意排期。我们这套系统可以满足，只【zhī】要有需【xū】要，任何一个应【yīng】用接入【rù】我们的网关，只要配置一下【xià】，它就可以完全【quán】各【gè】种审计功能。

同时，它是一个【gè】专【zhuān】业的【de】SLB，可以分布【bù】在私有云、阿里云、腾【téng】讯云或其他【tā】云【yún】，只要有一个管理台，即可管控所有的网站，可【kě】以【yǐ】大大提【tí】升效率【lǜ】，降低成本。

今天的分享就到这里，谢谢大家!