金融行业走上云端,核心数据安全如何保障

1、金融行业走上云端，核心数据安全如何保障2015 年 12 月，国务院发布推进普惠金融发展规划 （2016 2020 年）的通知，规划中鼓励金融机构创新产品 和服务方式，运用大数据、云计算等新兴信息技术，打造互 联网金融服务平台，为社会各阶层和群体提供信息、资金、 产品等全方位金融服务。作为普惠金融重要的实现手段，云 计算技术再次被提及。近来越来越多的银行、保险、证券等 金融机构，开始规划部署数据中心和客户端上云，以达到提 高系统运算能力，数据处理能力，改善客户评价，降低运营 成本的目的。云安全联盟（CSA）于2015年发布的一份调查结 果显示，在制定云政策的金融公司中只有不到五分之一 （18%

2、） 没有计划使用公有云，并且 70% 的调查对象由原来的混合云 向偏重公有云的服务转变。云环境下的安全挑战从法规遵从 和企业、个人敏感信息防护的角度，相比私有云环境和传统 企业 IT 环境，公有云和混合云环境中的数据面临着前所未有 的，来自开放环境和云运维服务环境的安全挑战，主要涉及 以下四个方面：形态的变化：从物理形态转变为纯虚拟化 形态，数据的防护、审计、加密等安全措施的使用和管理难 度明显增加。存储方式变化：数据集中存储引起管理方式 的变化，如何有效隔离、区分不同银行业务数据是保证业务 正常运转的关键问题。 第三方运维人员介入：公有云租用 中，云服务商对数据底层进行运维的同时，也能够轻易

3、的获 取到用户的敏感数据，这成为金融机构亲手埋下的不定时炸 弹。部署难题：传统防护和审计设备的串接部署方式无法 在云环境下操作，如何实现过滤内部攻击、发现外部安全风 险，并保障加密技术所使用的密钥体系安全可靠，分级管理 制度合理可信。金融行业的云数据（库）安全技术路线 对于银行等金融机构，其敏感数据包括身份证号、姓名、住 址、银行卡号、交易记录以及企业核心资产数据等，这些关 乎民生和行业信誉的数据，如何确保在业务步上云端后安全 不受损呢？凭着多年对核心数据安全进行保护的技术研究 积累和数据库安全运维经验，安华金和在云数据加密方面， 提出了自己的技术观点：以敏感数据加密为基础以安全可靠、体系完善

4、的密钥管 理系统为核心以三权分立、敏感数据访问控制为主要手 段辅助数据库防火墙、数据脱敏、审计等边界系统，规范 和监控数据的访问行为 利用以上技术手段，实现金融行业上云后核心数据的安全防 护。云数据（库）安全之模型和架构实现以敏感数据加密为基础 的技术路线，最关键的是“密钥由谁控制、在哪管理”；同时 需要解决数据加密防护和密钥管理引起的对系统运行效率， 系统部署和改造的代价，自动化运维的影响等一系列问题。对此，亚马逊 AWS 的解决方案中采用多种密钥管理模型：模型A :加密方法，密钥存储，密钥管理全部由用户控制， 典型的是整个 KMS2 (密钥管理系统)部署在用户的数据 中心。模型 B :与模

5、型 A 中的加密方法是一样的，区别在于 密钥的存储是在云的 KMS 而不是在用户端的数据中心。模 型 C :本模型提供了完整的服务器端加密，加密方法和密钥 的管理对于用户是透明的。多层数据加密防护架构基于以上 三种安全模型的研究，安华金和认为只有多层数据加密防护 架构可以更完善的保护金融行业核心敏感数据。具体如下: 1、磁盘加密:采用的是 Block-Level 加密技术，需要云存储 卷采用 Block 存储机制，例如 AWS 的 EBS3 ，阿里云的 ECS4 等。这种加密最大的好处在于，它对操作系统是透明 的。 2、文件加密:通过堆叠在其它文件系统之上(如 Ext2, Ext3, Reis

6、erFS, JFS 等)，为应用程序提供透明、动态、高 效和安全的加密功能。典型的是用于加密指定的目录。需要 关注的是这种加密方式可能会产生较大的性能损失。3 、数据库加密:对于用户在云上自行部署使用的 DBMS ，可以使 用第三方专业数据库加密厂商提供的产品，如安华金和的数 据库保险箱 DBCoffer ，可提供应用透明的按列加密能力， 独 立的密钥管理、三权分立、静态数据掩码能力。4、应用层加密:在数据到达数据库和 RDS 之前，甚至发送到云端之 前，实时保护用户的敏感数据；这需要提供良好的应用透明 性，保证绝大多数应用无需改造。云用户（企业）没有必要 信任云计算提供商以保护企业的数据安全，数据安全是由企 业自己控制的。 5、密钥管理和加解密组件：作为数据加密 保护的核心组件， KMS 负责进行密钥生成、 管理和销毁， 并 提供加解密能力；同时根据需要提供密钥的生命期管理、开