金融保险银行数据大集中密码体系解决方案

1、金融保险银行数据大集中密码体系解决方案银行数据大集中密码安全体系解决方案密钥安全服务平台北京江南科友科技有限 X 公司入世后的中国金融行业面临国际同行业带来的激烈竞争，新兴的商业银行所面临的挑战更是巨大的。因此各商业银行决定向管理要效益，以科技应用带动运营模式的转变，以最快的速度建立全行的数据大集中系统，将分散于各分行和直属支行的柜面业务数据集中到总行(或区域)的数据中心，对全行业务系统进行整体规划、统壹管理以及集中维护，建立全国性的高速、统壹和安全的信息平台。由于银行机构的特殊性质，其网络上传输的大部分数据为金融敏感信息，而且大集中后所有的业务数据都要传送到数据中心进行集中处理，因此银行业务

2、数据的安全处理和安全传输将成为关系到整个银行数据大集中系统战略成败的关键。如果不采取有效安全措施，这些数据的安全将可能受到危害和攻击，带来不可弥补的经济损失和社会影响。为了保证数据集中处理和数据传输的安全性，必须采用先进的密码技术来提供安全保障。因此，针对银行数据大集中，建立壹套完善且统壹的密码体系来保障整个银行系统中业务数据的安全性，将具有十分重要的意义，同时也是壹项复杂的系统工程。北京江南科友科技有限 X 公司(简称：江南科友)是由江南计算技术研究所 (简称：江南所)和广州科友科技股份有限 X 公司密切合作成立的高新技术企业，且作为江南计算技术研究所的技术服务和应用推广中心。X 公司以信息

3、安全和密码体系为主业，依据客户需求，为客户提供信息安全和密码体系领域的技术咨询、服务和整体解决方案。江南科友 X 公司长期致力于银行密码体系的基础研究和技术推广，在银行领域积累了丰富的经验和赢得了客户普遍的赞誉，针对银行大集中密码体系的需求，提出了壹种全新的密码体系解决方案，即密钥安全服务平台。壹、银行现有网络结构银行现有的网络采用多级网络结构模式，如下图所示：银行总行和各地分行之间采用帧中继(FR)或 DDN 网络进行数据通讯，采用X.25 或卫星线路进行备份；各地分行和下属支行或网点之间通过也采用帧中继 (FR)或 DDN 进行数据通讯，采用 ISDN 或 PSTN 进行备份。整个银行系统

4、体系中，总行及各分行节点主机采用双机热备份方式，共享磁盘阵列。现有系统中对业务数据关键信息的安全保障壹般采用软件加密模块(软件加密存在天生的安全隐患)；即使采用硬件加密机制，也是不同的应用系统采用不同的加密模块或不同的密码体系。银行业为适应现代化信息处理的需要，针对目前应用系统的安全性规范提出安全改造需求，采用数据大集中的模式，所有帐务数据将集中在总行(或区域)数据中心、且在总行(或区域)主机上进行集中处理；各地分行将不设帐务数据，只起业务数据转发功能。银行数据大集中后，将迫使全行密码体系也需要集中化管理，对密码体系提出更高、更多以及更新的需求，而现存的加密机制已经无法满足新的要求和适应新的发

5、展，同时市场化改革的深化以及入世后竞争的加剧，将使这种需求显得非常迫切和十分关键。二、银行大集中密码体系解决方案针对大集中数据安全的新需求，江南科友 X 公司提出了壹套全新的数据安全密码体系解决方案：即密钥安全服务平台。部署密钥安全服务平台后的网络结构，将演变成如下图所示：密钥安全服务平台作为整体系统密码体系解决方案，由密钥安全服务主中心(简称：主中心)和密钥安全服务子中心(简称：子中心)组成。主中心只有壹个，不仅负责本中心的安全密钥管理、密钥服务管理和密码设备管理，而且仍负责对所有子中心进行集中管理和集中监控。主中心主要由密码机阵列系统、密码机集群系统和安全管理控制中心组成。主中心壹般部署在

6、总行 (或区域)数据中心。子中心能够有多个，主要负责本中心的安全密钥管理、密钥服务管理和密码设备管理。子中心主要由密码机集群系统和密码机阵列系统组成。子中心壹般部署在各个下属分行或支行系统中。在总行(或区域)数据中心建设壹个密钥安全服务主中心。由于考虑到数据中心对系统可靠性及容错能力的要求，密码机集群系统采用双机热备。密码机集群系统位于密码机阵列之前，在完成业务主机和密码机交易报文转换的同时也将密码机和银行网络隔离，即，任何对密码机的访问必须由密码机集群系统进行身份认证和授权处理，从而保证了整个密钥系统的安全性。此外，密码机集群系统仍负责密码机阵列的负载均衡、多机热备以及状态检测等功能。密码机

7、设备建议采用江南所的 SJL06 金融数据密码机，根据目前银行数据大集中系统的总体要求，使用俩到三台高速密码机就能够满足要求，可是考虑到备份机制及将来业务发展的需要，因此数据中心密码机采用 n+1 的部署方式。在总行(或区域)数据中心内部同时部署壹套安全管理控制中心系统，主要完成银行主密钥的在线安全分发和更新、工作密钥的在线安全更新、监控全行安全系统的运行状况以及数据挖掘和决策分析等。银行所有业务数据集中保存在总行(或区域)数据中心、且在数据中心主机上进行集中处理，各地分行不设业务数据，只起业务数据转发功能，所以各地分行业务量相对较小，所以在分行部署的子中心中，只需配置俩台 SJL06 金融数

8、据加密机就可满足业务需求，其中密码机集群系统同样需要双机热备。三、密钥安全服务平台的特点概括地讲，密钥安全服务平台具有向金融应用提供各种密钥安全服务、密钥管理功能和密码设备管理功能。具体地讲，密钥安全服务平台，具有以下特点：Ø向各类应用系统提供标准接口或定制接口的加、解密服务。Ø向各类应用系统提供统壹的密钥管理服务。Ø 将密钥的管理和密钥的使用隔离，即应用系统只能使用密钥，而密钥的管理只能由密钥管理员通过密钥安全服务平台完成。Ø 管理所有的密码设备，将应用系统和对密码设备的访问完全隔离，密码设备的升级、替换、增加、删除对应用系统完全透明，将对密码设备的管

9、理和应用系统完全隔离。Ø 密钥安全服务平台管理壹组密码设备，实现多种应用系统对密码设备的共享。实现密码设备的负载均衡。Ø 密钥安全服务平台管理的密码设备能够是不同厂家生产的、或者接入方式和访问接口完全不同的壹组设备。Ø密钥安全服务平台能够将密码设备分组，壹组密码设备互为热备份。Ø 密钥安全服务平台动态地管理几类对象，包括应用、分行、服务、安全设备（组）、密钥、密钥管理员，这些对象的状态能够动态控制，即置为可用、禁用和错误等状态。Ø 对象之间能够相互绑定，即只有相互绑定的对象之间才能够相互访问，能够动态地配置对象间的绑定关系。Ø 利用密

10、码设备提供的设置，能够配置只有密钥安全服务平台能够访问密码设备，防范了对密码设备的非法访问。Ø 多个密钥安全服务中心能够构成壹个星形的网络，整体系统构成壹个完整的密钥安全服务平台，能够通过中心节点或数据中心的密钥安全服务主中心，实现对各边节点密钥安全服务子中心的安全密钥管理、密钥服务管理和密码设备管理。利用密钥安全服务平台，总行能够集中管理、集中监控各类交易中使用密钥服务的情况，能够安全、及时地排除系统中各类密钥服务故障。X 公司简介：北京江南科友科技有限 X 公司(简称：江南科友)是由江南计算技术研究所 (简称：江南所)和广州科友科技股份有限 X 公司密切合作成立的高新技术企业，且作为江南计算技术研究所的技术服务和应用推广中心。X 公司以信息安全和密码体系为主业，依据客户需求，为客户提供信息安全和密码体系领域的技术咨询、服务和信息安全的整体解决方案。江南科友多年来培养和建设了壹支从事信息安全领域应用开发和市场推广的专业人力资源队伍，活跃于银行、证券、石化、