隨著信息技術(shù)日新月異，銀行業(yè)務(wù)高度信息化并穩(wěn)步邁入大數(shù)據(jù)時(shí)代。數(shù)據(jù)中心作為銀行信息化、大數(shù)據(jù)的核心基礎(chǔ)，其IT系統(tǒng)龐雜，多則上千，涉及用戶過(guò)萬(wàn)。面對(duì)如此規(guī)模的系統(tǒng)，如何安全高效的管理成為了普遍性難題。為破解用戶管控難題，不少銀行采取增加人手、加大投入、購(gòu)置各類管控工具等措施，但多因管控分散、主客體管理割裂、自動(dòng)化程度不高等問(wèn)題，導(dǎo)致各類探索和嘗試總體效果收效甚微、合規(guī)管控差強(qiáng)人意，屢屢墜入安全陷阱，制約了銀行信息技術(shù)進(jìn)一步跨越式發(fā)展。據(jù)Verizon（威瑞森電信公司）數(shù)據(jù)泄露調(diào)查報(bào)告，全球近十年間發(fā)生的數(shù)據(jù)泄露案件中有19%是由于用戶安全管理等內(nèi)部管理失誤造成的，在金融行業(yè)中，用戶安全管理問(wèn)題也是數(shù)據(jù)泄露發(fā)生的四大原因之一。

面對(duì)海量用戶管理壓力和安全合規(guī)的緊迫性，我們著眼于整合和統(tǒng)一規(guī)范跨各種系統(tǒng)類型用戶管理，變?nèi)斯す芾頌樽詣?dòng)管理，提出用戶安全管理的集中化、統(tǒng)一化和自動(dòng)化，構(gòu)建銀行數(shù)據(jù)中心安全可控的用戶管理中心。本文將通過(guò)分析當(dāng)前用戶安全管理現(xiàn)狀和業(yè)內(nèi)先進(jìn)實(shí)踐經(jīng)驗(yàn)，探索適應(yīng)大型銀行數(shù)據(jù)中心的用戶安全管理模式，闡述用戶管理中心建設(shè)思路、關(guān)鍵技術(shù)引入以及實(shí)踐原則和方法，并對(duì)管理實(shí)踐所取得的收益和成效加以分析。

用戶安全管控理念的演進(jìn)

大型銀行用戶管理困境

大型銀行數(shù)據(jù)中心用戶管理一般分為兩大類：一類是對(duì)人員用戶的管理，即對(duì)人員本身的管理；一類是對(duì)IT資源用戶的管理，即運(yùn)維人員通過(guò)各類資源用戶直接訪問(wèn)或操作生產(chǎn)信息系統(tǒng)的底層操作系統(tǒng)、數(shù)據(jù)庫(kù)、中間件以及應(yīng)用程序，此類用戶權(quán)限高、種類繁多、操作風(fēng)險(xiǎn)大。兩類用戶在數(shù)據(jù)中心運(yùn)行過(guò)程中是主客體關(guān)系，兩者聯(lián)系緊密，但實(shí)際管理中往往相互割裂，管理難以到位。2011年韓國(guó)農(nóng)協(xié)銀行由于用戶權(quán)限管理不到位，造成了提現(xiàn)和轉(zhuǎn)賬等關(guān)鍵服務(wù)癱瘓達(dá)3天之久，波及面大，教訓(xùn)深刻。

數(shù)據(jù)中心用戶的安全管控上，業(yè)內(nèi)已經(jīng)采取了諸多措施，但因缺乏自動(dòng)化、統(tǒng)一化的管理，成效有限：一是在業(yè)務(wù)急速擴(kuò)張背景下，用戶數(shù)量呈幾何級(jí)增長(zhǎng)，依靠手工管理，運(yùn)維人員疲于操作、顧此失彼，安全往往被忽視；二是各專業(yè)按分工建立的專業(yè)性用戶管理系統(tǒng)，管理上獨(dú)立分散不統(tǒng)一，不同類型的系統(tǒng)和設(shè)備歸不同部門管理，各個(gè)專業(yè)條線間缺乏橫向聯(lián)系，用戶管控缺乏統(tǒng)一規(guī)范；三是用戶安全合規(guī)管控要求大多以人工來(lái)實(shí)現(xiàn)，由于管理半徑長(zhǎng)，極易受主觀干擾，執(zhí)行準(zhǔn)確率不高，全覆蓋難度大。

業(yè)界用戶安全管理探索

近年來(lái)，數(shù)據(jù)中心的安全管理正從以操作為中心向以用戶為中心轉(zhuǎn)變。往常的逐一對(duì)活動(dòng)進(jìn)行訪問(wèn)控制或設(shè)置安全策略的方式效率和成效都欠佳，越來(lái)越無(wú)法適應(yīng)當(dāng)前形勢(shì)。

在信息化互聯(lián)浪潮的推動(dòng)下，借助通信技術(shù)領(lǐng)域的的快速發(fā)展，電信行業(yè)率先進(jìn)行了用戶集中安全管控的探索。電信行業(yè)與大型銀行相比較具有三個(gè)利于先行先試的特點(diǎn)：一是系統(tǒng)類型相對(duì)單一，主要以通信交換設(shè)備為主，對(duì)兼容性要求不高；二是信息系統(tǒng)集中度相對(duì)不高，以各省域數(shù)據(jù)中心為主，集中用戶管理規(guī)模壓力較輕；三是系統(tǒng)可用性要求較金融業(yè)相對(duì)寬松。在此背景下，集中化用戶管理平臺(tái)的運(yùn)用既滿足了安全要求，對(duì)現(xiàn)有信息系統(tǒng)運(yùn)行現(xiàn)狀又不會(huì)產(chǎn)生較大的影響。

某電信公司于2011年建設(shè)了具有集中管理特點(diǎn)的4A安全管控平臺(tái)，取得了一定的成效。一是在各省范圍建立了集中化的具有授權(quán)和審計(jì)功能的用戶集中管理平臺(tái)，依托自動(dòng)化提升用戶運(yùn)維管理效率，對(duì)用戶使用行為進(jìn)行有效控制。二是形成了企業(yè)統(tǒng)一的用戶管理規(guī)范，在制度層面對(duì)各類用戶管理進(jìn)行標(biāo)準(zhǔn)化。此種以用戶為中心的安全管理模式的優(yōu)勢(shì)主要體現(xiàn)在三個(gè)方面：一是所有運(yùn)維行為均以用戶為載體，管控住了用戶就牽住了牛鼻子；二是運(yùn)維活動(dòng)發(fā)起方為用戶，控制用戶就意味著控制了源頭；三是對(duì)用戶設(shè)置的安全控制措施將有效覆蓋所有由此用戶產(chǎn)生的活動(dòng)。

大型銀行用戶安全管理的優(yōu)選模式

根據(jù)業(yè)界先進(jìn)的用戶安全管理實(shí)踐經(jīng)驗(yàn)和理念，結(jié)合大型銀行數(shù)據(jù)中心安全管理現(xiàn)狀，用戶的安全管理應(yīng)做到以下兩點(diǎn)：一是在管理意識(shí)上，將用戶的安全管理置于整個(gè)安全管理架構(gòu)的中心位置（圖1）；二是在推進(jìn)實(shí)現(xiàn)上，建設(shè)具備更高統(tǒng)一性、高效性和可用性用戶管理中心。

數(shù)據(jù)中心在管理、操作和運(yùn)維業(yè)務(wù)信息系統(tǒng)過(guò)程中，表現(xiàn)形式為各類用戶使用，安全控制最終也就是對(duì)用戶管控。構(gòu)建用戶中心、管理中心、監(jiān)控中心等三大管控中心是數(shù)據(jù)中心實(shí)現(xiàn)安全管理統(tǒng)一化、自動(dòng)化和集中化的必由之路。用戶管理是人員和信息實(shí)體管理的聯(lián)系紐帶和抓手，用戶管理中心也就成為三大安全中心建設(shè)的前提和重點(diǎn)，是數(shù)據(jù)中心安全管理的基石。

用戶管理中心建設(shè)路線圖

某大型銀行借鑒業(yè)界先進(jìn)理念，從實(shí)際出發(fā)，建設(shè)了用戶管理中心（PIM系統(tǒng)），滿足了大型銀行數(shù)據(jù)中心用戶安全合規(guī)需求、整合防控手段、提升管理效率的集中型管理信息系統(tǒng)。系統(tǒng)按照跨平臺(tái)兼容性、性能優(yōu)越性、高可用性等技術(shù)標(biāo)準(zhǔn)進(jìn)行前瞻性設(shè)計(jì)和規(guī)劃，以適應(yīng)數(shù)據(jù)中心未來(lái)一體化、智能化管理的發(fā)展趨勢(shì)。

建設(shè)目標(biāo)

建設(shè)用戶安全管理中心主要目標(biāo)是構(gòu)建集中化、統(tǒng)一化、自動(dòng)化的用戶使用和管理全流程的安全控制系統(tǒng)，系統(tǒng)主要分三個(gè)控制層面（圖2）：一是事前控制，對(duì)用戶的使用采取審批授權(quán)控制，針對(duì)每個(gè)用戶單獨(dú)限制使用期，一次一授權(quán)實(shí)現(xiàn)權(quán)限的最小化；二是事中監(jiān)控，通過(guò)對(duì)用戶操作行為的實(shí)時(shí)監(jiān)控，對(duì)高風(fēng)險(xiǎn)操作和違規(guī)操作進(jìn)行告警，以及時(shí)發(fā)現(xiàn)風(fēng)險(xiǎn)并開(kāi)展相關(guān)處置；三是事后審計(jì)，完整記錄用戶操作行為，通過(guò)綜合分析和行為數(shù)據(jù)回顧，發(fā)現(xiàn)潛在風(fēng)險(xiǎn)和趨勢(shì)，以便后續(xù)采取措施防患于未然。

為夯實(shí)用戶使用過(guò)程的安全控制基礎(chǔ)，形成扎口效應(yīng)，同時(shí)減少人工干預(yù)，用戶管理中心實(shí)現(xiàn)了集中化的用戶和用戶密碼的安全管理：一是用戶和用戶密碼的集中安全保存；二是實(shí)現(xiàn)安全合規(guī)的用戶密碼策略，包括密碼高復(fù)雜度、定期自動(dòng)更換等。

關(guān)鍵技術(shù)引入

用戶管控系統(tǒng)搭建了人與資源的交互橋梁，建立了資源用戶與使用人員的一一對(duì)應(yīng)關(guān)系，解決了以往兩者相互割裂的問(wèn)題，確保了授權(quán)的安全精準(zhǔn)。該系統(tǒng)重點(diǎn)運(yùn)用了以下四個(gè)方面的技術(shù)。

系統(tǒng)實(shí)現(xiàn)自身的安全性。關(guān)鍵技術(shù)有：一是系統(tǒng)對(duì)用戶信息等關(guān)鍵數(shù)據(jù)進(jìn)行加密存儲(chǔ)；二是系統(tǒng)各組件間采用SSL等安全協(xié)議進(jìn)行通信；三是對(duì)系統(tǒng)進(jìn)行安全加固，配置嚴(yán)格的網(wǎng)絡(luò)訪問(wèn)控制；四是系統(tǒng)本身運(yùn)維用戶也納入管理，確保用戶管理統(tǒng)一性。

系統(tǒng)優(yōu)良的健壯性。為保證中樞式用戶管理中心更高的可用性標(biāo)準(zhǔn)，系統(tǒng)引入了諸多高可用技術(shù)（圖3）：一是針對(duì)基于WEB服務(wù)的模塊采取多個(gè)節(jié)點(diǎn)集群部署，并通過(guò)網(wǎng)絡(luò)負(fù)載均衡設(shè)備進(jìn)行流量分配；二是數(shù)據(jù)庫(kù)等關(guān)鍵組件通過(guò)共享存儲(chǔ)構(gòu)建雙機(jī)HA架構(gòu)；三是功能模塊內(nèi)設(shè)計(jì)成由多個(gè)調(diào)度和處理單元構(gòu)成的應(yīng)用群集；四是設(shè)計(jì)了獨(dú)立于主系統(tǒng)的應(yīng)急系統(tǒng)，確保在主系統(tǒng)全面不可用情況下用戶使用的連續(xù)性。

系統(tǒng)良好的兼容適應(yīng)能力。通過(guò)完全解析和模擬用戶原操作，實(shí)現(xiàn)自動(dòng)化運(yùn)行，無(wú)需在資源端安裝代理插件，有效避免對(duì)資源端的影響，最大限度實(shí)現(xiàn)跨資源的兼容性；特別是針對(duì)主機(jī)Z/OS資源，對(duì)TN3270協(xié)議進(jìn)行了解析，實(shí)現(xiàn)該類資源的接管。同時(shí)，系統(tǒng)還采用了應(yīng)用虛擬化技術(shù)，對(duì)用戶使用過(guò)程中涉及的客戶端軟件進(jìn)行標(biāo)準(zhǔn)化整體推送，有效避免了繁瑣的逐一置備終端環(huán)境，進(jìn)一步增強(qiáng)了系統(tǒng)運(yùn)用的適應(yīng)性。

系統(tǒng)自動(dòng)化處理的實(shí)現(xiàn)。針對(duì)集中大批量密碼修改等用戶管理需求，一方面，系統(tǒng)通過(guò)設(shè)計(jì)多線程并發(fā)調(diào)度組件，自動(dòng)根據(jù)負(fù)載進(jìn)行線程數(shù)量調(diào)度，實(shí)現(xiàn)良好的批量處理能力；另一方面，引入模擬代填技術(shù)，通過(guò)自動(dòng)對(duì)用戶和密碼的代填，實(shí)現(xiàn)用戶登錄資源的自動(dòng)化，不但節(jié)省了登錄時(shí)間、提升了效率，也減少了操作復(fù)雜度，降低了操作風(fēng)險(xiǎn)。

模塊化架構(gòu)設(shè)計(jì)

根據(jù)建設(shè)目標(biāo)，用戶管理中心技術(shù)架構(gòu)采用模塊化設(shè)計(jì)，主要分為八個(gè)邏輯功能單元（圖4）。

門戶：作為用戶管理中心對(duì)外提供服務(wù)的唯一入口，訪問(wèn)門戶是使用和管理人員日常的操作界面。門戶集成雙因子認(rèn)證方式，確保具備高安全防護(hù)級(jí)別。

訪問(wèn)控制：管理中心內(nèi)部資源管理權(quán)、人員管理權(quán)、審計(jì)監(jiān)督權(quán)三權(quán)分立，各類角色權(quán)限相互制衡，實(shí)現(xiàn)訪問(wèn)控制。

流程管理：通過(guò)在線申請(qǐng)、復(fù)核及審批等環(huán)節(jié)的流程化，實(shí)現(xiàn)對(duì)使用期限和權(quán)限的授予、回收等精細(xì)化控制。

單點(diǎn)登錄：資源使用者在門戶一次認(rèn)證后多次登錄訪問(wèn)目標(biāo)資源，登錄過(guò)程無(wú)需用戶密碼，實(shí)現(xiàn)了一鍵式的便捷用戶登錄。

密碼管理：自動(dòng)化管理各類信息系統(tǒng)資源用戶的驅(qū)動(dòng)模塊，實(shí)現(xiàn)用戶生命周期管理、密碼安全策略管理等功能，自動(dòng)執(zhí)行批量密碼定期更換等策略。

數(shù)據(jù)呈現(xiàn)：提供對(duì)用戶操作行為的實(shí)時(shí)監(jiān)控和會(huì)話記錄檢索回放功能，自動(dòng)生成相關(guān)行為審計(jì)報(bào)表。

操作審計(jì)：全程記錄各類用戶的使用行為，字符型會(huì)話以文本方式記錄，圖形界面會(huì)話以錄像方式記錄，同時(shí)還記錄管理中心自身操作日志，實(shí)現(xiàn)日志記錄全覆蓋。

數(shù)據(jù)存儲(chǔ)：實(shí)現(xiàn)各類管理數(shù)據(jù)和行為記錄的安全存儲(chǔ)。

實(shí)施原則和管理方法

系統(tǒng)實(shí)施遵循以下兩個(gè)原則：一是分步分階段原則，采取先試點(diǎn)后推廣，先易后難的推進(jìn)方式，逐步實(shí)現(xiàn)與各種生產(chǎn)信息系統(tǒng)資源對(duì)接；二是審慎嚴(yán)謹(jǐn)原則，資源納入系統(tǒng)管理前，制備應(yīng)急備用用戶，在穩(wěn)定接管后，備用用戶一并納入管理并定期加密導(dǎo)出和物理封存，防止產(chǎn)生因系統(tǒng)不可用致使運(yùn)維操作無(wú)法開(kāi)展的巨大風(fēng)險(xiǎn)。

用戶管理不僅僅是技術(shù)系統(tǒng)的部署，管理方法的優(yōu)化同樣重要。一是開(kāi)展用戶分類分級(jí)。根據(jù)所在業(yè)務(wù)系統(tǒng)的重要程度以及權(quán)限確定級(jí)別，不同級(jí)別的用戶授權(quán)和審批流程不同，高等級(jí)用戶授權(quán)審批級(jí)別越高，流程越復(fù)雜，限制越多。二是重構(gòu)跨部門跨專業(yè)條線的用戶管理流程，明確用戶使用管理過(guò)程中的各自職責(zé)，遵循“誰(shuí)使用誰(shuí)負(fù)責(zé)，誰(shuí)授權(quán)誰(shuí)負(fù)責(zé)”原則。三是總結(jié)和提出用戶管理標(biāo)準(zhǔn)和規(guī)范，將用戶安全標(biāo)準(zhǔn)、管理流程、角色權(quán)責(zé)等明確固化為制度章程，組織進(jìn)行宣貫教育，培養(yǎng)意識(shí)共識(shí)。

用戶安全管理實(shí)踐收效

總體實(shí)踐狀況

某大型銀行數(shù)據(jù)中心經(jīng)過(guò)幾年的研究和探索，在用戶管理上已初步建成技術(shù)平臺(tái)，已納入管理的信息系統(tǒng)逾4000臺(tái)/套，包含大型機(jī)、小型機(jī)及網(wǎng)絡(luò)設(shè)備等主要信息系統(tǒng)類型，接管用戶達(dá)2萬(wàn)余個(gè)，覆蓋系統(tǒng)、網(wǎng)絡(luò)、運(yùn)行、應(yīng)用運(yùn)維等主要生產(chǎn)運(yùn)維部門，各項(xiàng)管控流程和措施已穩(wěn)步運(yùn)行，生產(chǎn)運(yùn)維操作中心入口和樞紐基本形成，安全扎口管控成效顯著。

管理收益和成效

通過(guò)推行用戶管理中心模式，實(shí)現(xiàn)了跨專業(yè)跨平臺(tái)各類用戶的全面集中化、統(tǒng)一化和自動(dòng)化控制，在行業(yè)內(nèi)用戶管理實(shí)踐上進(jìn)行了創(chuàng)新性的探索和嘗試，也取得了階段性成果。此模式的順利推進(jìn)，使得中心樞紐式用戶管理模型得到了實(shí)踐的檢驗(yàn)，為進(jìn)一步完善和進(jìn)化積累了經(jīng)驗(yàn)。

該模式的順利實(shí)施，在安全合規(guī)上破解了多項(xiàng)難題：一是密碼合規(guī)性全覆蓋，所有用戶密碼集中管理，按照高復(fù)雜度策略隨機(jī)生成，這是以往由人工記憶方式管理不可能實(shí)現(xiàn)的；二是精細(xì)化控制，用戶訪問(wèn)使用均經(jīng)授權(quán)審批環(huán)節(jié)，并嚴(yán)格按照申請(qǐng)期限管理，用戶的生效和注銷均由平臺(tái)動(dòng)態(tài)實(shí)時(shí)控制，精確到秒，杜絕了以往人工管理逾期、濫用等情況；三是行為記錄完整，用戶所有訪問(wèn)均通過(guò)中央門戶，一切行為操作均被完整記錄，且每條記錄均與自然人對(duì)應(yīng)，行為主體清晰可回溯，為后續(xù)開(kāi)展回顧監(jiān)督提供了數(shù)據(jù)支撐。

安全與效率本是一對(duì)矛盾體，自動(dòng)化技術(shù)的引入實(shí)現(xiàn)了雙贏，在解決安全問(wèn)題的同時(shí)也提高了勞動(dòng)效率，將運(yùn)維人員從日常繁瑣的操作中解放出來(lái)：一是單點(diǎn)登錄技術(shù)，一次認(rèn)證后可多次一鍵式登錄資源，不僅節(jié)省操作時(shí)間，而且降低了操作風(fēng)險(xiǎn)，經(jīng)測(cè)算時(shí)間精簡(jiǎn)約40%；二是自動(dòng)化密碼技術(shù)，使得開(kāi)放系統(tǒng)資源每用戶密碼更改時(shí)間由原人工操作的平均半分鐘縮短至3秒，壓縮比達(dá)10∶1。

結(jié)語(yǔ)

未來(lái)，在技術(shù)進(jìn)步的驅(qū)動(dòng)下，用戶管理將不斷向一體化方向演進(jìn)。一方面能夠在大型銀行總分支機(jī)構(gòu)中得到全面推行，實(shí)現(xiàn)全局一體化管理；另一方面，在整體IT架構(gòu)中發(fā)揮核心作用，與各安全控制系統(tǒng)集成聯(lián)動(dòng)，實(shí)現(xiàn)基于用戶的安全統(tǒng)一管理平臺(tái)，將信息資產(chǎn)全生命周期納入安全管理，全方位提升企業(yè)IT基礎(chǔ)管理水平。

數(shù)據(jù)中心用戶管理的研究和實(shí)踐是大型銀行在用戶管理模式探索道路上所邁出的堅(jiān)實(shí)一步，用戶管理是銀行業(yè)等大型信息化企業(yè)的管理基礎(chǔ)，在管理就是競(jìng)爭(zhēng)力、安全即效益的時(shí)代，只有運(yùn)用優(yōu)秀的技術(shù)并結(jié)合高效的安全管理方法，才能實(shí)現(xiàn)用戶管理效率和安全的平衡，提高勞動(dòng)生產(chǎn)率，降低操作風(fēng)險(xiǎn)，最終實(shí)現(xiàn)企業(yè)競(jìng)爭(zhēng)力的穩(wěn)步提升。

課題組成員：謝以清，岑奭，張煜，張志峰，孫英明

（作者單位：中國(guó)農(nóng)業(yè)銀行數(shù)據(jù)中心）