■馬漢

網(wǎng)事

如何彌補(bǔ)信用卡泄密的“軟肋”

■馬漢

銀行信用卡中心的風(fēng)險(xiǎn)主要集中在數(shù)據(jù)傳播、數(shù)據(jù)使用和數(shù)據(jù)軌跡三方面：

內(nèi)部數(shù)據(jù)非法外發(fā)風(fēng)險(xiǎn)

數(shù)據(jù)安全的最大風(fēng)險(xiǎn)在于內(nèi)部數(shù)據(jù)的非法傳播層面。結(jié)合銀行卡中心的業(yè)務(wù)特點(diǎn)，目前員工可以通過(guò)U盤(pán)、網(wǎng)絡(luò)等各種方式將內(nèi)部的生產(chǎn)數(shù)據(jù)以及涉密文檔傳播到卡中心外部區(qū)域繼而造成泄密。

內(nèi)部數(shù)據(jù)非法使用風(fēng)險(xiǎn)

外部人員通過(guò)非法渠道獲取到內(nèi)部數(shù)據(jù)之后，由于未獲得信用卡中心的許可，其對(duì)數(shù)據(jù)的所有使用都屬于非法使用。

內(nèi)部員工越權(quán)使用風(fēng)險(xiǎn)

內(nèi)部人員通過(guò)業(yè)務(wù)便利獲取到涉密數(shù)據(jù)，而此數(shù)據(jù)不屬于其業(yè)務(wù)范疇，一旦閱讀、使用之后即可造成泄密風(fēng)險(xiǎn)，甚至出現(xiàn)“可見(jiàn)即泄密”的風(fēng)險(xiǎn)。比如統(tǒng)計(jì)性報(bào)表、紅頭文件等數(shù)據(jù)。

違規(guī)行為操作抵賴(lài)風(fēng)險(xiǎn)

數(shù)據(jù)安全體系的建設(shè)是一個(gè)循序漸進(jìn)的過(guò)程，不可能一步到位，勢(shì)必會(huì)存在安全的短板。而往往這些短板會(huì)被利用，并且對(duì)泄密行為矢口否認(rèn)，進(jìn)行抵賴(lài)，使管理者很難進(jìn)行追責(zé)。

綜上所述，信用卡中心當(dāng)前的數(shù)據(jù)安全訴求重點(diǎn)集中在如何解決內(nèi)部數(shù)據(jù)非法外泄。內(nèi)網(wǎng)環(huán)境下的生產(chǎn)數(shù)據(jù)及涉密文檔(經(jīng)營(yíng)分析報(bào)告、政策文檔等)需要采取加密保護(hù);而在網(wǎng)絡(luò)邊界模糊的狀況下，內(nèi)部建立一個(gè)虛擬邊界(包括總部和營(yíng)銷(xiāo)中心)確保生產(chǎn)數(shù)據(jù)在生產(chǎn)網(wǎng)環(huán)境之外的安全使用是必然?；诖嗽V求才產(chǎn)生數(shù)據(jù)防泄漏的需求，由如下幾部分構(gòu)成：

建立內(nèi)部數(shù)據(jù)安全防護(hù)邊界

圍繞卡中心網(wǎng)絡(luò)邊界，建立虛擬安全域。數(shù)據(jù)在域內(nèi)自由使用，不影響用戶(hù)正常辦公，數(shù)據(jù)離開(kāi)虛擬安全域，將受到安全防護(hù)，防止非法外發(fā)。

建立內(nèi)部數(shù)據(jù)合法外發(fā)通道

為了防止卡中心數(shù)據(jù)孤島化，因此需要建立數(shù)據(jù)外發(fā)通道。但是出于數(shù)據(jù)安全保障考慮，要對(duì)數(shù)據(jù)的外發(fā)通道進(jìn)行合規(guī)性管理，形成安全數(shù)據(jù)通道。

實(shí)現(xiàn)內(nèi)部數(shù)據(jù)按需使用規(guī)則

針對(duì)卡中心內(nèi)部的合法員工，要建立涉密數(shù)據(jù)使用安全等級(jí)機(jī)制，針對(duì)同一涉密數(shù)據(jù)，不同使用人員，提供不同的使用權(quán)限，形成分級(jí)的概念，防止內(nèi)部人員越權(quán)使用數(shù)據(jù)。

保障數(shù)據(jù)操作全周期留痕

所有的信息安全建設(shè)最后一步，同樣也是最重要的一步就是行為留痕，核心是數(shù)據(jù)操作留痕。通過(guò)對(duì)數(shù)據(jù)操作痕跡的跟蹤和追溯，能夠縮小甚至定位到泄密發(fā)起者，配合管理制度，形成威懾作用。

數(shù)據(jù)非法外發(fā)解決方案

方案以‘虛擬安全域’為技術(shù)理念，為卡中心構(gòu)架序數(shù)據(jù)防泄密體系。虛擬安全域不是單一的，在卡中心網(wǎng)絡(luò)中，還可以按照不同職能部門(mén)之間的安全等級(jí)、部門(mén)架構(gòu)等設(shè)置次級(jí)虛擬安全域，把網(wǎng)絡(luò)系統(tǒng)進(jìn)行分域管理。相互為信任關(guān)系的安全域可以相互通訊，不信任的域無(wú)法通訊。方案中主要采用了網(wǎng)絡(luò)傳輸控制、移動(dòng)存儲(chǔ)設(shè)備管理，外設(shè)控制等技術(shù)手段來(lái)保障了數(shù)據(jù)安全域的建立。

數(shù)據(jù)外發(fā)通道解決方案

數(shù)據(jù)的外發(fā)是整個(gè)數(shù)據(jù)生命周期中極其重要的一個(gè)環(huán)節(jié)，所有的泄密事件中很多都是出自這個(gè)環(huán)節(jié)上，而由于卡中心數(shù)據(jù)交互鏈路很長(zhǎng)，涉及到的部門(mén)、人員、目的已經(jīng)很難統(tǒng)計(jì)，不能通過(guò)簡(jiǎn)單數(shù)據(jù)外泄端口的管控來(lái)管理了，所以需要根據(jù)數(shù)據(jù)交換者、使用目的等進(jìn)行歸類(lèi)分析，經(jīng)過(guò)充分調(diào)研之后再進(jìn)行相關(guān)控制。

數(shù)據(jù)使用權(quán)限解決方案

對(duì)數(shù)據(jù)在內(nèi)部的使用權(quán)限進(jìn)行管理，防止內(nèi)部人員獲取到涉密數(shù)據(jù)之后，越權(quán)使用。提供主動(dòng)加密、自動(dòng)加密和文件夾加密功能，實(shí)現(xiàn)客戶(hù)端、服務(wù)器雙向以及手動(dòng)和自動(dòng)相結(jié)合的方式搭建文檔安全管理系統(tǒng)，對(duì)文檔進(jìn)行加密以及權(quán)限管理。

數(shù)據(jù)使用留痕解決方案

針對(duì)卡中心內(nèi)數(shù)據(jù)相關(guān)的眾多要素進(jìn)行審計(jì)，包括：文件信息、文件內(nèi)容、用戶(hù)姓名、用戶(hù)行為、事件終端、傳播載體等。并且對(duì)產(chǎn)生的日志提供報(bào)表定時(shí)查詢(xún)?cè)O(shè)置功能：通過(guò)選擇不同的查詢(xún)對(duì)象(用戶(hù)、用戶(hù)組)，設(shè)置查詢(xún)不同操作所產(chǎn)生的日志，報(bào)表生成時(shí)間等參數(shù)，系統(tǒng)將自動(dòng)按報(bào)表定制的參數(shù)生成報(bào)表供用戶(hù)查詢(xún)相關(guān)信息。