注明：本文轉(zhuǎn)載自《金融電子化》雜志，文|中國民生銀行信息科技部 李樂義 付佳 林星華

隨著企業(yè)數(shù)據(jù)泄露事件的逐年增長，數(shù)據(jù)泄露給企業(yè)帶來的損失和影響也越來越大，企業(yè)的信息和數(shù)據(jù)安全保護(hù)已經(jīng)愈發(fā)重要。民生銀行結(jié)合自身數(shù)據(jù)保護(hù)和業(yè)務(wù)發(fā)展的需求，完善了終端側(cè)數(shù)據(jù)安全保護(hù)體系，在保護(hù)好敏感數(shù)據(jù)的前提下提高企業(yè)生產(chǎn)效率，有效降低潛在的數(shù)據(jù)泄密事件的發(fā)生。

數(shù)據(jù)安全保護(hù)的本質(zhì)

數(shù)據(jù)安全保護(hù)的本質(zhì)是保護(hù)數(shù)據(jù)安全的使用、存儲(chǔ)和傳輸，防止企業(yè)的數(shù)據(jù)或信息資產(chǎn)以違反安全策略的形式被非授權(quán)訪問。當(dāng)前企業(yè)內(nèi)部眾多終端和人員帶來的數(shù)據(jù)存儲(chǔ)和操作風(fēng)險(xiǎn)是發(fā)生數(shù)據(jù)泄露的重要源頭之一，數(shù)據(jù)不落地、加密存儲(chǔ)、桌面云等安全措施存在系統(tǒng)資源消耗大、應(yīng)用范圍有限、用戶體驗(yàn)不好、文件交換流轉(zhuǎn)不方便等問題。隨著大數(shù)據(jù)技術(shù)的逐漸成熟，使得內(nèi)容識(shí)別與分析功能更加完善，可以更智能化的構(gòu)建和優(yōu)化安全策略，更有效地對(duì)策略違規(guī)情況進(jìn)行監(jiān)控和管控。因此，隨著水印技術(shù)、文檔標(biāo)簽追溯、UEBA、大數(shù)據(jù)分析等技術(shù)的不斷融合，基于對(duì)實(shí)體和用戶活動(dòng)進(jìn)行持續(xù)的監(jiān)測與分析的理念也越來越得到重視，及時(shí)發(fā)現(xiàn)潛在的違規(guī)操作和泄密行為是當(dāng)前數(shù)據(jù)安全保護(hù)工作一個(gè)可供選擇的解決方案。

終端數(shù)據(jù)保護(hù)工作在民生銀行的實(shí)踐

中國民生銀行歷來高度重視數(shù)據(jù)安全和數(shù)據(jù)保護(hù)工作，一直持續(xù)推動(dòng)數(shù)據(jù)分類分級(jí)和數(shù)據(jù)保護(hù)技術(shù)在數(shù)據(jù)安全工作中的應(yīng)用。自2016年起，民生銀行按照信息安全技術(shù)體系規(guī)劃與試點(diǎn)應(yīng)用并舉的原則，經(jīng)過調(diào)研、選型、測試、試點(diǎn)及推廣，有計(jì)劃、分階段地開展各項(xiàng)數(shù)據(jù)保護(hù)工作，尋求數(shù)據(jù)保護(hù)與用戶使用體驗(yàn)之間的平衡，逐步建立起民生銀行終端敏感數(shù)據(jù)保護(hù)體系，在業(yè)內(nèi)率先使用終端敏感信息檢查、水印和文檔追蹤等技術(shù)，結(jié)合數(shù)據(jù)分類分級(jí)實(shí)現(xiàn)敏感數(shù)據(jù)的操作和審計(jì)，逐步實(shí)現(xiàn)了數(shù)據(jù)存儲(chǔ)有檢查、數(shù)據(jù)外發(fā)有威懾、數(shù)據(jù)泄露可追溯的能力。

民生銀行終端數(shù)據(jù)保護(hù)系統(tǒng)功能框架

1.數(shù)據(jù)分類分級(jí)

根據(jù)相關(guān)法律法規(guī)要求和行業(yè)最佳實(shí)踐，結(jié)合行內(nèi)信息資產(chǎn)保護(hù)的實(shí)際需要，在充分調(diào)研現(xiàn)狀的基礎(chǔ)上，建立了民生銀行數(shù)據(jù)資產(chǎn)分級(jí)標(biāo)準(zhǔn)。本標(biāo)準(zhǔn)將數(shù)據(jù)資產(chǎn)安全保護(hù)等級(jí)分為五級(jí)，級(jí)別從高到底，對(duì)應(yīng)管控要求的嚴(yán)格程度依次遞減，第Ⅴ級(jí)為最高等級(jí)，為秘密數(shù)據(jù)，需要最嚴(yán)格的管控措施，第Ⅰ級(jí)為公開數(shù)據(jù)，主要為行內(nèi)對(duì)外的公開信息。在數(shù)據(jù)分級(jí)同時(shí)，還需要對(duì)數(shù)據(jù)資產(chǎn)進(jìn)行分類。針對(duì)銀行的業(yè)務(wù)特點(diǎn)，將數(shù)據(jù)分為以下7 類：客戶類、賬戶類、交易類、產(chǎn)品類、合約類、機(jī)構(gòu)類、渠道類和公共類，并且制定發(fā)布了《中國民生銀行客戶信息安全管理辦法及實(shí)施細(xì)則》。

2. 終端數(shù)據(jù)檢查與保護(hù)

以數(shù)據(jù)分類分級(jí)為基礎(chǔ)，對(duì)終端上的存儲(chǔ)和處理的各種數(shù)據(jù)進(jìn)行自動(dòng)化識(shí)別、標(biāo)簽化處理，并根據(jù)相應(yīng)策略實(shí)施審計(jì)、阻斷、水印加載等保護(hù)措施，有效提升了對(duì)行內(nèi)敏感數(shù)據(jù)的保護(hù)。同時(shí)，通過對(duì)終端實(shí)體行為、用戶操作行為數(shù)據(jù)的多維度采集，進(jìn)而形成實(shí)體畫像、用戶畫像和聚類畫像，實(shí)現(xiàn)對(duì)用戶異常行為的監(jiān)測，達(dá)到預(yù)測、發(fā)現(xiàn)和追溯潛在數(shù)據(jù)泄露的風(fēng)險(xiǎn)。

( 1)終端數(shù)據(jù)保護(hù)技術(shù)的探索與實(shí)踐。在進(jìn)行終端數(shù)據(jù)保護(hù)方案設(shè)計(jì)時(shí)，為了保證整體方案能夠適用于大多數(shù)使用場景，在不影響員工工作效率的前提下，最大化的實(shí)現(xiàn)終端數(shù)據(jù)保護(hù)功能和威懾能力。

首先，敏感數(shù)據(jù)智能識(shí)別。從客戶信息入手，以《中國民生銀行客戶信息安全管理辦法及實(shí)施細(xì)則》為指導(dǎo)，通過關(guān)鍵字、正則表達(dá)式、數(shù)據(jù)標(biāo)識(shí)符、智能聚類、文檔DNA等技術(shù)，按照預(yù)設(shè)策略對(duì)終端文檔進(jìn)行掃描自動(dòng)識(shí)別個(gè)人客戶信息和機(jī)構(gòu)客戶信息，自動(dòng)分為產(chǎn)品和合約信息、財(cái)務(wù)信息、征信信息、客戶關(guān)系信息、偏好信息、風(fēng)險(xiǎn)信息和評(píng)價(jià)信息、業(yè)務(wù)往來信息、資產(chǎn)信息、關(guān)聯(lián)信息、征信信息、風(fēng)險(xiǎn)信息和評(píng)價(jià)信息等類別。除了傳統(tǒng)的基礎(chǔ)識(shí)別技術(shù)之外，還引入了機(jī)器學(xué)習(xí)技術(shù)進(jìn)行文檔分類和比對(duì)。按照分類分級(jí)規(guī)則，客戶端對(duì)宿主終端在空閑時(shí)間進(jìn)行全盤或?qū)崟r(shí)觸發(fā)掃描，主動(dòng)發(fā)現(xiàn)敏感文件，并按照規(guī)則進(jìn)行定級(jí)定密，并生成審計(jì)信息上傳到后臺(tái)。

其次，敏感場景自動(dòng)化水印加載。明文水印多以文檔底紋或者覆蓋的方式，在文檔展現(xiàn)區(qū)域填充圖文信息，影響用戶辦公效率和使用體驗(yàn)，而矢量水印則是隨機(jī)在文檔的正文內(nèi)選擇三個(gè)區(qū)域，在文字的左下角以圖形(圓點(diǎn)、三角形等)進(jìn)行標(biāo)記。目前民生銀行主要使用了屏幕矢量水印和打印矢量水印，矢量水印通過隱形水印技術(shù)及動(dòng)態(tài)加載模式，根據(jù)不同場景智能加載不同形式、不同強(qiáng)度的水印，將水印對(duì)用戶的使用影響降到最低，使得水印能夠得到有效的推廣。目前主要定義了如下三種使用場景：第一種場景：打開敏感文件時(shí)觸發(fā)加載。用戶使用PC終端查看內(nèi)部敏感文件時(shí)，自動(dòng)增加上矢量水印，降低傳統(tǒng)明文水印造成的不適感。矢量水印采用隨機(jī)布局隱寫模式，水印內(nèi)容包含用戶名稱、用戶部門、終端IP、MAC地址，防止用戶在辦公環(huán)境內(nèi)有意/ 無意拍照造成的數(shù)據(jù)泄漏，使數(shù)據(jù)泄漏可追溯可還原。第二種場景：隨業(yè)務(wù)系統(tǒng)觸發(fā)式加載。每個(gè)業(yè)務(wù)系統(tǒng)包含的內(nèi)容不一樣，敏感等級(jí)也不同，對(duì)于敏感等級(jí)高的業(yè)務(wù)系統(tǒng)需要重點(diǎn)保護(hù)，通過設(shè)定高敏感等級(jí)的業(yè)務(wù)系統(tǒng)域名作為識(shí)別特征，當(dāng)用戶使用個(gè)人辦公終端查看敏感業(yè)務(wù)系統(tǒng)時(shí)可以自動(dòng)加載矢量水印，對(duì)于拍照、截屏等泄密行為可以自動(dòng)實(shí)現(xiàn)可追溯和威懾。第三種場景：打印文件時(shí)觸發(fā)加載。行內(nèi)所有用戶打印文檔時(shí)自動(dòng)附加上矢量水印，使文檔在完全不影響用戶使用的情況下實(shí)現(xiàn)可追溯，水印內(nèi)容包含文檔打開時(shí)間、用戶賬戶、部門、設(shè)備IP、MAC等。

最后，敏感文檔自動(dòng)化標(biāo)簽加載。為了掌握全行數(shù)據(jù)資產(chǎn)的分布視圖，民生銀行提出并實(shí)現(xiàn)了基于分類分級(jí)技術(shù)的數(shù)據(jù)資產(chǎn)識(shí)別機(jī)制。為了能跟蹤終端文件的生成、流傳和編輯過程中誰接觸過文件，在終端上每個(gè)要追蹤的文檔都會(huì)自動(dòng)打上兩個(gè)ID值：文檔追蹤主ID值和文檔流轉(zhuǎn)ID值，任何一個(gè)在終端處理過的文件，都可以通過文檔上隱藏的ID值來定位文檔來源及接觸人信息。文檔的主ID值是不變的，而流轉(zhuǎn)ID值在每次流轉(zhuǎn)過程中都發(fā)生變化。這兩個(gè)ID值都不會(huì)隨著文件拷貝、改名、編輯和另存為等常規(guī)操作而發(fā)生變化，也不能通過簡單的手段或工具改寫或刪除，其內(nèi)嵌到文檔內(nèi)容中而又不影響文檔的閱讀和顯示，不影響文檔大小，不改變文檔的任何屬性。

(2)終端數(shù)據(jù)全方位采集和數(shù)據(jù)分析。終端數(shù)據(jù)保護(hù)系統(tǒng)采用三層分級(jí)的分布式部署架構(gòu),總行部署頂級(jí)服務(wù)器,各機(jī)構(gòu)部署二級(jí)管控服務(wù)器,各類終端上部署桌面管控客戶端。通過部署的桌面管控客戶端進(jìn)行終端數(shù)據(jù)采集，所采集的數(shù)據(jù)包括終端軟硬件資產(chǎn)數(shù)據(jù)、進(jìn)程運(yùn)行實(shí)時(shí)數(shù)據(jù)、文件讀寫審計(jì)數(shù)據(jù)、外設(shè)管控審計(jì)數(shù)據(jù)、打印審計(jì)數(shù)據(jù)、水印審計(jì)數(shù)據(jù)、文件敏感掃描識(shí)別數(shù)據(jù)、文檔跟蹤記錄等。

全行各類終端上采集的數(shù)據(jù)實(shí)時(shí)上傳到對(duì)應(yīng)的二級(jí)管控服務(wù)器，管控服務(wù)器再將數(shù)據(jù)上傳到頂級(jí)服務(wù)器。頂級(jí)服務(wù)器匯總、存儲(chǔ)、統(tǒng)計(jì)、分析全行終端上采集的數(shù)據(jù)，實(shí)現(xiàn)終端各類數(shù)據(jù)的分析、展示，可以進(jìn)行終端敏感文件分布展示，可以通過文件讀寫審計(jì)、水印審計(jì)、打印審計(jì)、文件追蹤記錄、敏感文件操作記錄實(shí)現(xiàn)用戶畫像和部門畫像的分析、展示，識(shí)別潛在的用戶異常行為，并且可以進(jìn)行用戶異常行為的取證和追溯。同時(shí)，頂級(jí)服務(wù)器還將采集匯總的終端數(shù)據(jù)同步給行內(nèi)SOC分析平臺(tái)和安全威脅感知系統(tǒng)，進(jìn)行終端數(shù)據(jù)和其他數(shù)據(jù)的關(guān)聯(lián)分析，檢測和發(fā)現(xiàn)內(nèi)外部威脅，實(shí)現(xiàn)異常監(jiān)控、安全運(yùn)營、安全管理和內(nèi)審內(nèi)控，提升我行安全風(fēng)險(xiǎn)發(fā)現(xiàn)和聯(lián)動(dòng)處置能力。

總結(jié)與展望

現(xiàn)階段民生銀行已經(jīng)完成終端數(shù)據(jù)保護(hù)系統(tǒng)功能部署工作，初步完成對(duì)終端數(shù)據(jù)的全方位采集和敏感識(shí)別，目前已經(jīng)在全行范圍6萬余臺(tái)終端下發(fā)敏感文件掃描、水印、文檔跟蹤等策略，掃描敏感文件200余萬次，定義敏感業(yè)務(wù)系統(tǒng)10余個(gè)，每日記錄屏幕水印和打印水印審計(jì)記錄40余萬條，生成文檔跟蹤記錄330余萬條，已經(jīng)初步實(shí)現(xiàn)對(duì)行內(nèi)終端數(shù)據(jù)分布進(jìn)行動(dòng)態(tài)展示和管控的階段目標(biāo)。根據(jù)終端采集數(shù)據(jù)形成數(shù)據(jù)泄露風(fēng)險(xiǎn)數(shù)值，可定期對(duì)風(fēng)險(xiǎn)Top10用戶或設(shè)備進(jìn)行檢查，重點(diǎn)關(guān)注外發(fā)操作，降低敏感數(shù)據(jù)泄露風(fēng)險(xiǎn)。終端數(shù)據(jù)保護(hù)是一項(xiàng)需做細(xì)、做精的工作，從廣度上來看，未來的目標(biāo)是通過建模實(shí)現(xiàn)行為預(yù)測，實(shí)現(xiàn)自動(dòng)化的智能管控。從深度上來看，終端數(shù)據(jù)防泄漏還需要提高精確度，減少誤報(bào)，提高效率，同時(shí)，也要與行內(nèi)安全威脅感知系統(tǒng)加強(qiáng)聯(lián)動(dòng)關(guān)聯(lián)分析能力，實(shí)現(xiàn)一體化安全態(tài)勢感知，建立數(shù)據(jù)泄露事件發(fā)現(xiàn)、定位和快速響應(yīng)機(jī)制，滿足安全、合規(guī)管理要求。