金融專有云業務需求

從業界趨勢來看，作為一個互聯網大廠，在打造自己商業閉環的流程中，勢必會自建金融支付業務，例如：早期淘寶，為了交易的公平性，上線了支付寶，騰訊也跟風上了微信支付，京東商城被馬爸爸逼迫下也上了京東支付，京東白條等，根據先行者建設流程，一種形式傳統的IDC機房自建->自建公有云金融專區->自建公有云容器平臺金融專區，另外一種形式，傳統IDC機房自建-> 金融專有云-> 基于容器平臺金融專有云。這樣建立的初衷就是降本增效，業務系統如果超過10000+ 從虛擬機時代到容器時代資源占用率會降低 30%。

從安全業務看，一方面：行業準入安全合規視角分析，對于金融專有云平臺提出了更高的要求，需要通過等級保護4級，這對平臺本身提出的很高的安全要求，特別是在可信計算領域有明確的要求；金融數據安規范也有明確的指引，需要有產品承載相應的規范，另一方面，在金融專有云實際運營過程中面對黑客入侵，從數據治理層面要嚴格管控。

云原生數據安全解決方案

參考金融數據安全規范，在金融數據使用的生命周期中，對數據采集、傳輸、數據存儲、使用、刪除、銷毀有明確的規劃，這些規范需要自動化平臺實現。

這里優先討論一下金融數據分級概念：

二級：主要包含合作單位的數據，二級數據應該優先考慮業務需求

三級：主要包含：個人財產信息，采集3級及以上數據時，還應結合口令密碼、設備指紋、設備物理位置、網絡接入方式、設備風險情況等多種因素對數據采集設備或系統的真實性進行增強驗證。

四級：主要包含：支付密碼，四級數據應優先考慮安全需求，對采集全過程進行持續動態認證，確保數據采集設備或系統的真實性，必要時可實施阻斷、二次認證等操作。

從數據安全平臺建設層面分析

需要從敏感數據識別，敏感數據脫敏到防泄漏檢測，有一整套數據安全解決方案。

平臺側數據安全：

1、云平臺數據安全包括供應鏈安全、物理安全、可信原生工作負載

· 供應鏈安全，目前很為了保證國內金融市場穩定性，對供應鏈有了基于ARM鯤鵬國產服務器，麒麟操作系統，國產加密算法等要求。

· 物理安全，主要是機房建設熱備、L4機房要標準等。

· 可信原生工作負載，包括物理服務器、Kubernetes集群，需要國產可信根、或者使用國產加密卡或者國產HSM。

2、云產品數據安全

· 硬件加密基礎設施，包括TPM可信根、密碼卡、HSM硬件加密機

· 全鏈路加密，涉及到工作負載、對象存儲、中間件、大數據組件、OpenAPI網關、對上層提供的SaaS服務都需要加密

· KMS秘鑰管理

租戶側數據安全：

1、針對公有云環境保護：

網絡邊界防護：通過DDoS防護、Web應用防火墻、SSL證書、負載均衡、主機安全和云安全運營中心

2、云應用的數據安全：

云應用數據安全：敏感數據防護產品對持久化存儲（云硬盤、RDS數據庫、對象存儲、ES等）、云主機、k8s、虛擬鏡像、虛擬快照、容器鏡像透明加密。

產品技術架構：

數據安全產品規劃，建議把建立敏感數據保護產品，實現敏感數據的識別、分類、構建數據資產地圖可視化，實現面館數據脫敏，包括智能變換、多種脫敏算法、自定義模板，實現防泄密檢測功能，包括異常告警，事件處置，同時，把異常告警發送至云安全運營中心。

敏感數據保護產品業務流程：

業務流程

· 云產品有數據訪問權限。需要用戶授權

AK/SK授權

· 添加相關資產

RDS

OSS

EBS

elasticsearch

自建數據庫

自建文件服務器

自建大數據組件

· 識別敏感數據

金融數據規范

PCI-DSS

自定義規則

創建識別任務

查詢/下載報告

· 異常告警&處置

非法用戶在未經授權的情況下對敏感數據進行了訪問、下載

合法用戶對敏感數據進行了批量訪問、下載

數據訪問越權操作

更改桶為公共讀或公共讀寫

· 數據脫敏

脫敏算法：hash脫敏、加密脫敏、字符掩蓋、關鍵字脫敏等

創建靜態脫敏任務（mysql、es）

啟動動態脫敏

· 數據水印：PDF、word、excel

其它輔助解決方案

數據安全縱深防御解決方案，在特定場景中需要一些輔助方案：

當數據采集過程當中，需要同IDaaS方案集成到整體系統當中；當在CDN場景下需要對匯源服務器加密，需要借助keyless CDN解決方案；研發于運維分離，運維在操作數據時，需要通過內部堡壘機審計操作；數據銷毀的時候需要，走低級格式化流程。

【白嫖的網絡安全學習資料】

總結

以上是生活随笔為你收集整理的金融专有云数据安全实践的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。