金融行业数据安全解决方案.docx

金融行业解决方案.金融行业背景2012年国家互联网应急中心(CNCERT) 发布的2011年中国互联网网络安全态势报告指出：2011年，我国遭受更为严重复杂的境外网络攻击，金融银行和工业控制系统安全受到的威胁显著上升。 2012年3月15日，315晚会曝光银行内部员工泄露客户信息。涉及招商银行、工商银行、农业银行等多家银行，被盗金额最高达到233万多元。起获赃物时，一个小小的U盘里面竟储存着50多万条上海市机动车车主的信息，3000多条个人银行卡信息和征信报告，包括姓名、银行卡号、身份证号、车辆情况、家庭住址，甚至家庭成员状况等等。2012年5月9日，温家宝总理主持召开国务院常务会议研究部署推进信息化发展保障信息安全工作。会议中明确指出要健全安全防护和管理，重要信息系统和基础信息网络要与安全防护设施同步规划、同步建设、同步运行，强化技术防范，严格安全管理，切实提高防攻击、防篡改、防病毒、防瘫痪、防窃密能力。 在当前的经济形势下，金融机构面临的新环境让他们感到压力重重。而核心就是信息。能有效保护、管理和控制数据的机构就能获得最佳的优势，可以留住并获得客户、遵从法规以及保护其品牌声誉，防止遭到内部和外部威胁的破坏。. 金融行业的需求： 金融行业需要防护的数据包括：用户信息、经营数据、战略规划、财务数据、人事信息等敏感信息，它们分布于应用系统，比如CRM、OA系统、MIS系统；计算机终端、移动终端以及外发的文件之中。 这些应用系统在提高金融行业的业务处理效率和管理水平，促成了各项创新业务的开展，改善了整个金融行业的经营环境，使金融服务于社会的手段更趋现代化的同时，像其他任何行业一样，网络安全风险伴随着网络技术在金融行业的全面应用而全面笼罩在金融行业的每个业务角落。 为了提高金融行业内部数据的协同和高效的运作，实现内部办公信息交流过程安全可控，实现信息脱离内部管理平台后能有效防止文件的扩散和外泄。对于内部数据的使用范围、数据流转等进行控制管理，以防止内部核心信息非法授权阅览、拷贝、篡改。既防止信息外泄和扩散，又支持内部知识积累和文件共享的目的。金融行业内部的数据安全需要解决以下几个问题： 1. 统一管理金融行业内网、跨网络环境的信息资产，确保其不被外泄和扩散； 2. 防止因机器丢失，盗窃等，导致数据资料泄露； 3. 保障数据安全的同时，确保离线、出差等脱离企业网络环境的信息安全； 4. 解决外发给合作客户、合作伙伴的资料的安全，防止扩散和外泄； 5. 保障移动设备、存储设备（U盘、移动硬盘）的信息资产安全； 6. 防止因病毒入侵或黑客攻击等，导致数据丢失和泄露； 7. 防止员工有意、无意泄露信息；方案目标随着信息化安全和风险技术的进步，传统的信息保护技术已经很难达到高安全保护的要求，现代信息安全理论把安全防护的对象，从传统的针对途径的堵截转变为保护对象本身，因此能够更有效地达到安全防护效果。传统的安全防护技术包括防止黑客攻击、木马、病毒入侵，从防火墙、入侵检测设备、网关等硬件设备的使用。现代安全防护技术采用加密技术，保护数据文件本身，整个信息化过程中都伴随着数据安全的问题。 为实现企业内部文档安全保护，防止文档外泄和扩散，提高企业内部文档交流，对于内部文档使用范围、文档交流等进行控制管理。针对行业和企业的特点满足如下目标需求： 1. 统一管理企业内网、跨网络环境的数据文档，确保其不被外泄和扩散； 2. 防止因机器丢失，盗窃等，导致数据文档泄露； 3. 保障数据文档安全的同时，确保离线、出差等脱离企业网络环境的文档安全； 4. 解决外发给合作客户、合作伙伴的文档的安全，防止扩散和外泄； 5. 保障移动设备、存储设备（U盘、移动硬盘）的数据文档安全； 6. 防止因病毒入侵或黑客攻击等，导致数据丢失和泄露；7. 防止员工有意、无意泄露文档内容；解决方案解决方案及其组成系统物理架构本系统由服务器群，控制台和客户端三部分组成，如图3.1所示。系统初始管理员有四种：系统管理员、安全管理员、审计管理员和审批管理员。并且采用了职权分离的管理模型，管理员可以通过基于IE内核的浏览器，使用代表不同身份的USB-KEY登录到管理中心，进行管理及维护。图3.1系统物理架构文档扩散和外泄管理定义需要保护的文档和软件防止员工机器上的文档泄露，要求先定义哪些类型的文档是需要保护的，建议不要对所有的文档进行保护，否则会影响效率，针对不同的应用类型定义需要保护的文档数据。加密文档并存储针对上述定义的需要保护的类型文档，对其进行透明加密保护，存储在磁盘的文档都是加密的，可以有效防止文档泄露，即使文档被泄露出去，也只能泄露密文，不会泄露文档的内容。以微软办公软件的Word格式文档为例，部署系统后，用户编辑保存Word文档过程中，系统自动对文档内容进行加密，并存储到磁盘上。用户打开加密的Word文档时，自动从磁盘解密。该过程无需改变现有的任何软件，不会影响用户的操作习惯。即使加密的Word文档被泄露到企业外部，由于加密文档的密钥存储在企业内部，外部系统无法获得密钥，并且加密文档的格式是保密的，不能通过破解等手段解密出正确的数据，保障了文档数据的安全。防止泄露文档内容当员工打开加密的文档时，需要防止员工通过打印、截屏、拷贝内容、网络、邮件等行为泄露文档的数据。例如需要防止员工拷贝文档内容，并粘贴到邮件正文发送到企业外部，泄露文档内容。当员工打开加密文档时，某些可能泄露文档内容的行为将被禁止，详细的描述如下所示：序号禁止行为描述1.打印文档禁止；或只允许通过指定打印机打印，可自定义水印2.剪贴板复制禁止复制受控进程数据到其他进程，例如邮件客户端等3.拖拽和OLD禁止拖拽受控进程数据到其他进程，例如QQ等4.邮件和网络禁止受控进程访问网络和发送邮件5.内存窃取禁止其他进程窃取受控进程内存内容6.截屏/录屏打开加密文档后，只允许受控进程截屏/录屏区分工作和私人的文档本产品启动后，默认开启安全保护功能，但管理员可以针对某些员工，赋予其停止安全保护的权限。员工停止安全保护后，将不能打开任何已加密的文档，而且打开和编辑未加密文档时，不会受到任何限制，或被强制加密。企业可按需为公司或部门的某些领导或高级雇员，或使用个人笔记本办公的员工赋予该权限。这样员工可以在处理私人、或无需加密保护的文档时，手工停止安全保护功能，以满足特定的使用情况。文档解密和外发管理文档解密和管理制度本方案通过对需要保护的文档进行强制的透明加密保护，达到防止数据文档泄露的安全目标。因此必须严格控制加密文档的解密。企业需要在内部设置专门的人员进行文档解密操作，并且严格遵守文档解密管理制度。在方案的实施阶段根据企业的实际环境、流程和管理制度，设计适用的文档解密管理制度。文档外发和流程本方案加密后的文档不能直接发送到企业外部，例如合作客户或合作单位等，因为这些文档是加密的，外部用户无法正常打开。只有通过文档外发，或把加密文档解密后才能让合作客户打开文档。在方案的实施阶段将根据企业的实际环境、流程和管理制度，设计专门适用的文档外发管理制度和审批流程。外发文档防泄密本方案通过外发技术，使得合法的外部用户无需安装本产品，也能打开外发的加密文档。该技术提供了口令和机器码认证两种保护技术，用户必须输入正确的口令和认证码后，才可以打开这些文档。外部合法用户收到外发文档后打开，只能阅读文档内容，无法通过打印、截屏、拷贝内容等手段泄露文档内容，保障外发文档安全。支持用户自定义多种外发策略，通过限制文档的有效时间，打开次数，接受用户，打开的设备等安全机制，为用户提供更加灵活，安全的文档外发保护。文档内部共享针对企业的数据文档保护需求，可对部门、或员工之间的文档交流进行限制或不限制。如果不限制，则员工之间可以相互打开、编辑其他员工的加密文档。如果限制，则员工必须把加密文档共享给指定的员工，并可能需要经过审批。移动存储设备管理移动存储设备禁用或只读为了加强数据文档的安全保护和规范员工使用移动存储设备，本方案在系统的内核，无缝集成移动存储设备管制功能。使用本产品，管理员可以按需禁止指定员工使用移动存储设备，或者禁止写入数据，如图3.2所示。图3.2禁用移动存储设备内网专用安全存储设备移动存储设备管理的最佳实践是，禁用所有的普通移动存储设备，并使用内网专用的安全U盘/硬盘。本产品无缝集成了我司自主研发的加密安全U盘/硬盘产品，内部员工只能使用已注册的专用安全U盘/硬盘。使用内网专用的存储设备，可以获得更优的设备管制和文档保护体验，具有以下安全特点：1. 单位内部员工，只能使用注册过的U盘/硬盘，各个终端不识别非注册设备；2. 存储在合法设备中的数据是经过硬件芯片加密保护的，只有输入正确的使用密码才能访问设备中存储的数据信息；3. 支持限定存储设备的使用范围，即：注册过的安全U盘/硬盘，只能在单位内部使用，单位办公环境外的终端无法识别此类设备；文档归档管理明文归档由于不同的企业有不同的文档归档管理办法，本方案不提供专门的文档管理、归档、备份和统计等功能。如果需要进行文档归档，可以选择先批量解密文档，解密文档后，再按照企业现有流程进行文档归档管理。当需要重新使用这些文档时，加密后再发布给员工。3.1.5.2 密文归档企业也可以直接把加密文档进行归档，即使文档的使用年限和需要归档备份的年限较长，我司也保证在将来的产品升级中，提供向下兼容的文档保护产品，并且支持更新的操作系统和应用软件。3.1.6 终端端口管理与控制支持管理员对终端进行设备端口控制，禁止终端用户随意使用系统设备资源，并指定可以使用那些设备端口；可以控制的端口有串口设备（移动存储设备、USB鼠标键盘、USB电讯设备、USB打印设备、其它USB设备）、并口设备、光盘驱动器、SCSI接口、1394控制器、红外接口、蓝牙接口、PCMCIA卡3.1.7 脱机管理支持脱机运行，脱机时客户端功能与在线时相同，仅不能同步策略和上传客户端状态；支持脱机时限管理，支持脱机日志等3.1.8 敏感行为审批在做共享、外发文档等用户自行定义的敏感操作时，支持强制审批，每一操作必须经过审批管理员审批通过才能执行。3.1.9 文档备份为容灾容错，提供了文档自动备份功能，支持定期以增量备份的方式，备份文档到服务器3.1.10 行为审计文档创建、打开、修改、共享、外发等等关键操作，都有自动进行日志记录，管理端提供统一的审计界面3.1.11 兼容与扩展兼容大多数行业主流应用软件，如Office、Photoshop，Adobe reader，WPS，Apabi reader等 100多种常用软件；兼容ERP/财务等生产管理系统；扩展新支持的软件，只需要定制相应策略即可3.2方案优势3.2.1专业的信息安全产品提供商我公司拥有专业的信息安全服务团队，业务包括安全风险评估、信息安全与管理技术咨询、测评整改和安全体系认证咨询等。我们曾在2010年广州亚运会期间，为数十个政府部门提供安全测评和整改，并获得相关部门的表彰。3.2.2优质的产品和服务我们的产品完全自主研发，拥有全部的知识产权，能够快速响应用户需求变化和定制化需要，并且能提供优质快速的售后支持服务。数据安全保护系统已为数百家企业提供了优质的数据安全保障服务。3.2.3领先的技术和方案我公司产品在技术上采用了先进的驱动透明加解密技术，和内核防泄密控制技术，相对于市面上众多的“伪透明加密”产品来讲，具有安全、稳定、高效，而且不影响用户习惯等优点。4实施效果本方案通过对数据文档的产生、使用、授权、发布等环节进行整体的防护，为企业提供完整的数据安全解决方案，通过本方案能够达到以下效果： 1. 通过加密手段，提高数据资产的安全性。