当前位置:股票 > 正文
证券行业敏感信息保护体系的分析与设计

  当前,随着信息化技术水平的不断发展,企业各类应用系统的逐步建立完善,传统依托于个人电脑的信息数据纷纷涌入信息系统和网络,结构化与非结构化数据出现了几何级数的增长,大数据正悄然改变着当今时代的数据生态系统。 而于此同时,企业在面对这些体量巨大但价值密度较低的数据时,传统的信息安全防护措施在应对其中蕴涵的敏感数据泄露的风险时,已渐渐难以满足。

  继熊猫烧香、斯诺登事件之后,今年爆发的“永恒之蓝”大规模蠕虫式勒索病毒感染事件,再次给大数据环境下的敏感信息保护敲响了警钟。

  证券行业常常会涉及到国家与上市公司的机密,随着越来越多的企业将业务敏感数据以电子形式处理并保存,相比于传统纸质文件,这些敏感数据的安全管理难度更高,风险更大,一旦出现泄露,将会对行业及我国亿万证券投资者的利益甚至对我国资本市场的健康发展产生严重的影响。

  一、敏感信息范畴及保护现状

    1、证券行业的敏感信息

  根据《证券法》、《证券公司信息隔离墙制度指引》之相关规定,非公开交易数据、上市公司未公开披露的重大事项等都属于证券行业内机密级、秘密级资料。无论是从我国资本市场稳定角度还是企业商业机密保护角度,上述信息都是极为重要的敏感信息。

  对于高度依赖各类信息系统的证券行业来说,核心机构的交易、通信等系统的源代码及交易指令更是我国资本市场的繁荣与稳定的必要条件,其中传输的数据也牵涉到我国亿万证券投资者的切身利益,对于我国市场经济的发展至关重要。

  2、上海证券交易所现有信息保护体系

  对于证券行业的敏感信息保护,上海证券交易所已经建立了一套基于现有网络环境的信息安全保障体系,在管理手段、硬件设备、软件设置等方面保护信息的安全:

  安全制度及管理方面:上交所已制订发布了《信息安全管理体系文档》纳入了《ISO20000管理体系文件》之中,并成立了信息安全领导小组,统筹协调全所信息安全方面的工作;

  机房及网络安全方面:充分运用门禁监控、防灾保护、UPS电源等手段保护机房物理环境和设备的安全,并通过防火墙、入侵检测、上网行为管理设备等手段,保障网络的管理和监控;

  业务系统及数据方面:制定了详细的数据管理办法,依据系统中数据的机密程度进行分级,从生产、使用、备份、恢复等全方位对业务数据进行保护,有效地防止非授权用户对数据的访问和使用;

  客户端环境安全方面:通过统一采购并安装了国外知名的企业版杀毒软件,集中推送系统重要补丁、办公电脑安全基线准入等,减少客户端安全风险。

  二、敏感信息泄露风险分析

    对上海证券交易所以及整个证券行业来说,现有的信息保护体系对于保证企业信息机密的安全确实起到了一定的作用,但是随着大数据环境的到来,原有的安全保障体系更多侧重于基础软硬件的防护以及防范互联网入侵的威胁,在敏感信息和数据的防护上,缺少对来自企业内部的有效防护。

  据IDC调查报告显示,超过85%的网络安全威胁来自于企业内部,其危害程度远远超过黑客攻击所造成的损失,而这些威胁绝大部分是企业内部各种非法和违规的操作行为所造成的。 证券行业由于业务的特殊性,与一般行业间也存在着一定的区别(详见表1、证券行业与一般企业的区别),因此在关注敏感信息保护时,不得不更多地考虑行业的实际。

 

  上海证券交易所根据自身敏感信息保护过程中的体会,将传统的安全防护机制下造成敏感信息安全风险的原因主要归纳为以下几个方面:

  1、敏感信息分散存储

  交易所的核心机密是我国资本市场的各种交易产品信息和业务数据,与交易所自行开发的系统源代码相同,绝大多数以电子形式存储和传输,在现有的管理体系下,员工通常使用个人办公电脑中进行系统开发或业务数据整理工作,仅将最终数据报送相关部门或机构。而各种敏感数据、报表、模块源代码等依旧保存在员工的个人办公电脑中。

  尽管根据业务数据管理制度,敏感数据从生产到使用需经过相当严格的审批,但这仅仅是从敏感数据访问控制角度出发,那些分散在已授权员工办公电脑内的业务敏感数据往往成为最大的风险之一。由于未进行统一管理,无论是个人电脑的意外损坏所带来的信息资料丢失,还是电脑被入侵和盗用所带来的敏感信息泄露,都成为了信息安全的重要风险。

  2、敏感信息加密技术不成熟

  基于传统的文件存储形式,电子文件除了无法进行集中管理外,由于缺少文件加密手段和意识,敏感信息极有可能在不知不觉间已发生泄露。此外,非公开交易数据、上市公司未公开披露的重大事项也可通过便携移动设备流出,成为证券行业面临的重大挑战之一。

  随着社会对敏感信息保护的重视度不断上升,应用电子签名技术和文件加密技术的软件产品也越来越普遍,但就加密软件本身,对整个计算机环境的加密并不能区分个人文件与需要加密的文件,加之出差需要遭遇频繁解密的情况,使得加密技术在推广过程中遭受巨大的阻力。因此加密技术至今仍未被大多数企业所采用。

   3、缺乏独立的工作环境

  由于敏感信息的分析或信息系统的开发高度依赖于个人办公电脑,无论是在日常工作中安装专业软件,或是因为对外业务沟通和查找资料需要接入互联网,计算机环境都可能因为木马病毒侵害或是安装了未经验证的应用软件从而产生安全风险,轻则对工作环境产生破坏,费时费力,严重时则可能泄露企业敏感信息。

  传统的信息安全管理手段,未能将工作环境与个人环境进行区分,当员工的个性化需求与信息安全的管理要求相冲突时,往往难以有效兼顾,信息安全往往让步于业务需要,成为重要的风险之一。

  4、人员安全意识和敏感信息权限管理

  证券从业人员信息安全主观重视度不够是证券行业普遍存在的问题,诸如办公电脑、业务系统等设置弱密码、敏感信息随意共享等属于长久以来的工作习惯,通过现有的安全保障体系,仅进行几次信息安全培训,往往很难起到效果。

  在数据权限设置方面,由于各个信息系统的权限分配机制不同,所涉及的敏感信息也有所不同,权限管理规则的制订和日常运维需要随着系统的不同进行调整,否则很容易产生疏漏,带来敏感信息泄露的风险。

  在早期的信息系统建设过程中,由于没有充分认识到权限管理的重要性,往往会造成权限划分粒度较粗的情况,而在系统遇到权限不足的故障时,相关维护人员解决问题时往往图方便直接赋予其最高权限,也违背了最小化权限的信息安全原则,极易造成越权查看。

  三、敏感信息泄露风险解决思路

    1、 数据集中管理系统

  (一)数据集中管理系统功能简介

    数据集中管理系统,是实现敏感信息统一管理以及知识管理的重要技术手段,集中管理的重点在于将分散在员工办公电脑上的业务数据、各类信息系统模块源代码有序地收集到系统中,既能为业务数据生成、汇总、审批、报送提供便利,也能实现信息系统开发、测试、交付全过程的信息化管理。

  (二)利用数据集中管理系统实现敏感信息安全存储

    利用数据集中管理系统,其本身虽然不对文件进行加密,但是通过对各类信息的收集,有助于降低敏感信息散落在各处存储所带来的风险,减轻终端安全管理的工作量。

  通过数据集中管理系统对信息系统源代码的统一存放,保证信息系统源代码本身的安全性的同时还能够实现各源代码不同版本间的管理,在需要调用信息系统各模块时,保证文件的唯一性。

  相比于传统的文件服务器授权共享的方式,数据集中管理系统的权限管理更为细致,避免敏感信息的非授权访问;所有文件以链接形式进行共享,参考使用时确保了引用的唯一性和实时性;同时当文件在上传与下载时系统中都会留下记录,方便追溯的同时提供异常访问的预警。

  2、安全加密技术

  (一)透明加密技术及特点

    对比了市面上主流的安全加密软件后,目前较为符合证券行业信息安全需求的是被称为“透明加密技术”的加解密技术,该技术运行在操作系统内核中,动态地支持加密文件,当用户在运行加密文件时,只要不离开加密环境,便不需要解密,软件会透明化的自动支持,对使用者来说没有任何的区别。一旦离开加密环境,除非获得授权,加密的文件都无法被打开,具有高度的安全性。透明加密技术具有以下几个特点:

  安全性:通过操作系统内核的支持,可以对整个工作环境中的文件自动加密,确保了设计产品在被非法带出后,不会泄露其内容。

  便捷性:加密软件在环境内完全透明,对有出差需求的用户提供完善的离线策略和审批制度,降低对用户的影响。

  监控性:通过对终端接入日志的记录和管理,确保加密文件操作的可追溯性,并可以对异常的操作行为提供警示。

  (二)环境加密的运用

    透明加密技术的特点在于对整个操作系统环境进行加密,因此需要部署在一个相对独立的工作环境中,与工作环境相关联后,从敏感信息生成即可实现文件的保护,加密文件在需要离开工作环境时,由相关负责人签字确认,并保留带出记录以便于后期追溯。

  为了将信息安全加密工作对用户的影响降至最低,可以与桌面云技术相结合,通过个人环境与工作环境的分隔,对工作环境进行安全加密的同时,保证个人环境下个性化需求的实现。

  3、桌面云技术

  (一)虚拟化与桌面云

    虚拟化技术是目前最热门的IT技术之一,主要分为服务器虚拟化与桌面虚拟化两个部分,在云时代背景之下,服务器虚拟化将服务器物理资源抽象成逻辑资源,通过动态的“资源池”管理,提升IT资源利用率,确保数据中心的可持续发展;桌面虚拟化将计算机的桌面与物理机器相分离,达到桌面使用的安全性和灵活性,并形成成为一种可对外的服务。

  桌面云是云计算技术的一种应用形态,允许用户通过任何设备,在任何地点,任何时间访问网络上属于他们个人的桌面系统,而桌面云本身的虚拟机文件却存放在数据中心中,通过一个终端统一管理,为用户提供一个安全,可控,与本机操作基本没有区别的环境,并极大的减轻了系统维护管理的工作量。

  (二)运用桌面云技术隔离工作环境

    利用桌面云独立于本地电脑系统环境的特性,使用桌面云技术可以有效地实现工作环境与个人电脑环境的隔离。确保了工作环境中的各项安全设置不影响个人环境的操作习惯,同时使用人员的个性化操作也不会引起的工作环境的损坏。

  通过桌面云技术,信息安全管理员可以为工作环境配备更为严格的安全策略,网络管理员可以为工作环境单独配置网络策略,系统管理员为每一位员工配备一个独立的桌面工作环境,员工在个人电脑上安装桌面云连接程序后即可登入办公,在有出差等需要时,只需通过笔记本登陆即可。同时,对于有个性化需求的员工来说,联网查资料或是运行专业软件都可以在个人环境中完成。

  四、敏感信息保护体系设计

    通过上述分析和对相关风险的解决思路,结合行业的特性,提出了证券行业敏感信息保护体系,体系的内容包括了管理手段与技术手段两大部分。

  1、管理手段

  信息安全是一项系统工程,“三分技术,七分管理”,管理手段的完善与否是信息安全保护工作能否真正落实的关键。

  (一)企业高层领导的支持

    在企业信息化建设过程中,高层领导的大力支持必不可少,在信息安全领域更是如此。当信息安全与工作便利产生冲突时,领导层的决策支持至关重要。

  只有高层领导意识到信息泄露对企业的危害性并充分支持信息安全建设,才能为推进敏感信息保护体系建设工作提供了坚实有力的保障。

  (二)员工信息安全意识的培养

    企业员工信息安全意识是敏感信息保护体系能否落地成功的关键,也是防止无意识泄密的最有效手段。安全意识的培养需要制度先行。通过制定相应的奖惩措施,加强安全宣传,定期组织全员信息安全培训和巡查等,逐步提高敏感信息保护的观念。

   (三)权限管理的跟进

    为防范企业各类信息系统中权限的设置的漏洞,完善的权限管理规定是预防敏感信息被非法访问的重要手段之一。

  上海证券交易所已在2017年初重新修订了《上海证券交易所业务数据管理办法》,将业务数据信息根据敏感级别进行分类,并制定了一系列信息系统权限管理和变更的管理规定,为敏感信息保护体系的建设奠定了基础。

  2、技术手段

  在证券行业敏感信息保护体系中,除了使用管理手段,也将目前业界相对成熟的系统和软件技术进行整合,形成了一套以“数据集中管理系统——安全加密软件——桌面云”为核心的技术防护手段。

  (一)敏感信息的统一管理

    对于敏感信息分散在员工办公电脑中存储的风险,可利用数据集中管理系统解决敏感信息统一收集的问题。

  数据集中管理,就是有计划地收集分散的敏感数据,并进行统一管理。各类信息系统模块源代码作为信息系统开发项目的共享文件,仅对项目内员工开放浏览,且浏览及使用源代码必须通过数据集中管理系统执行,一定程度上确保了代码共享和信息安全间的平衡。

  通过数据集中管理系统收集的业务敏感数据,会根据所属部门及职务自动授予相应的浏览权限,用户在汇总、审批时只能够看到相关联的敏感信息,尽可能防范敏感信息被非授权越界浏览的风险。

  (二)工作环境的加密

    尽管实现集中管理,但数据集中管理系统难以有效防止敏感信息被带出泄露的风险,可利用安全加密软件产品中的透明加密技术,实现工作环境的加密。

  “进的来,带的走,看不懂”原本是网络安全的策略,在所设计的敏感信息保护体系中借鉴了相同的思路。通过在工作环境中默认安装加密产品,以透明加密技术对整个环境内的常用文件自动加密,工作环境内实现自由打开与共享,对于需要离开工作环境带出的敏感信息,由本人进行申请,相关负责人审核通过后授权解密。当出现临时解密需求时,也可以通过发送离线授权文件等方式实现,确保每一次解密过程记录可控。

  与数据集中管理系统配合使用后,数据集中管理系统中保存的是经过加密的敏感信息,可以有效减少敏感业务信息和源代码的意外流出。

  (三)工作环境与个人环境的隔离

    安全加密软件的原理是对整个环境内的文件进行加密,但在大部分的企业中,员工使用私人文件和非办公软件的情况普遍存在,并且终端桌面环境较为复杂,对信息安全存在较大风险。在所设计的敏感信息保护体系中,利用桌面云技术,为每个员工建立一个基于虚拟化桌面的工作环境,实现工作环境与个人环境的独立。

  桌面云技术作为敏感信息保护体系的一部分,其特点在于可以配备独立的虚拟工作环境,员工可通过运行桌面云连接程序打开操作桌面云,获得与本地桌面相同的体验。当有出差任务时,只需要通过虚拟专用网络VPN接入,可以直接打开工作环境,保证了工作的连续性。

  通过桌面云的统一设置,在工作环境中默认安装常用的应用软件以及企业信息系统,或者根据专业使用需求提供不同级别的桌面云,当有软件更新时,通过程序推送功能提示更新。

  与一般意义上通过桌面云技术节省硬件采购成本有所不同,本体系在运用桌面云的同时依旧保留用户的个人电脑环境,结合了安全加密软件的工作环境设定较为严格的安全策略,适合于处理工作任务,而个人环境与以往相同,最大限度的保证了员工的使用体验不受影响。

  五、结语

    敏感信息保护之路任重而道远,大数据时代和云计算时代的到来,对每一家企业的信息安全的保护都提出了更高的要求。只有寻找出适合证券行业特点的信息保护体系,才能在不断变换的安全新形势下保护行业的敏感数据。

  本文结合行业的特点以及自身信息安全建设方面的经验,设计了证券行业敏感信息保护的体系,希望以“数据集中管理系统——安全加密软件——桌面云”为核心,打造证券行业敏感信息的安全保护伞,尽管方案的本身并不一定完善,甚至在实现过程中会出现新的风险,但与其观望不前,不如未雨绸缪,希望本文所设计的保护体系能对行业内的各单位起到借鉴作用。

作者介绍:

  张天意 上交所技术有限公司 系统运行总部

相关链接:

·证券市场云平台基础架构解析
·华泰证券分布式数据库的探索与应用
·证券业大数据与人工智能发展现状与应用趋势
·如何实现证券IT创新、规划与建设
·王海航:证券行业科技实践与前瞻
·券商重金打造金融科技 人才争夺术并非只“烧钱”
·杨龙:借力大数据技术 证券行业迎转型契机
·“互联网+”背景下的证券创新

作者:张天意 来源:上交所技术服务 发布时间:2017-12-05 02:11:10
 
 
  我要发表留言  查看所有评论
 

*
 限制字数显示剩余字数,最大长度: 500 还剩: 500
用户名:
       尊重网上道德,承担一切因您的行为而直接或间接导致的民事或刑事法律责任