雲端儲存架構中企業級資料流轉平臺技術方案

　如何保障資料實現企業內集中雲端儲存，且實現便攜交換傳輸的同時又能防止因資料外洩而引發安全事件，同時做到內控追溯審計並達到外部監管要求，是當前企業在資料雲端儲存建設方面面臨的一個重要課題。

　 　一、當前背景

　　隨著銀行業金融創新的快速發展和資訊科技的日新月異，銀行積累的資料量呈現幾何倍數的增長，除了日益增長的辦公資料外，還包括大量的客戶資訊和交易資料。私密資訊的外洩可能會引發法律訴訟、安全事件、負面新聞等多方面不利影響。在金融行業，中國人民銀行已於2020年釋出了《個人金融資訊保護技術規範》，該規範對個人金融、個人隱私等重要資訊資料的保護方面提出了明確的管理要求。

　　目前，銀行針對外部攻擊的安全建設，已透過部署諸如防火牆、入侵檢測、抗DDOS攻擊等安全產品，用以進行安全事件監測和阻止未授權的外部訪問。因此，因遭受到外部攻擊而引發資訊洩露等安全隱患事件的機率已經很低，而內部使用者在進行資料傳輸的行為正在成為資訊洩漏中的主要安全隱患，因為內部使用者採用類似FTP形式的檔案傳輸裝置可以進行跨網檔案複製，無論是主動違反（如批次把客戶資訊、運營資料及原始碼等敏感檔案從內網傳至外網）安全政策還是無意識造成的資訊丟失（如隨身碟丟失），都會造成資訊洩漏的風險。

　　因此，如何保障資料實現企業內集中雲端儲存，且實現便攜交換傳輸的同時又能防止因資料外洩而引發安全事件，同時做到內控追溯審計並達到外部監管要求，是當前企業在資料雲端儲存建設方面面臨的一個重要課題。

　　二、業務現狀

　　企業現有檔案交換方式需要採用隨身碟、FTP方式，雖然能夠解決臨時性資料互動和資料儲存問題，但在安全上、管理上存在一定的侷限性，主要體現為：

　　無法對儲存的互動檔案進行敏感資訊檢測與匹配。

　　採用ftp方式進行複製流轉，互動效率不高，且缺乏必要的稽核。

　　隨身碟儲存無法對檔案攜帶病毒等情況及時感知，容易攜帶病毒木馬。

　　當前的方式不適用於大網路、終端分散環境下的資料儲存需求管理，需要在每一個部門、網點部署此類裝置才能滿足行內辦公過程中檔案儲存需求。

　　無法實現部門內部檔案共享、員工回家辦公等相關應用場景。

　 　三、設計要求

　　基於企業業務現狀，在建立行內資料儲存平臺的意義在於在現有安全管理的基礎上，需進一步完善企業內網安全建設與資料安全治理，既保證行內業務網、網際網路和開發測試網終端及資料安全，又最大程度為終端使用者提供便捷使用網路與終端辦公。

　　圖1：資料交換平臺架構圖

　　為最大化的促進企業對於檔案儲存的需求，為員工提拱一套高效、安全、可控、唯一的檔案儲存平臺，將企業IT網路打造成為一個可信網路，對企業內部人員在生產網與非生產網的資料實現“可管、可控、可審”的目標，同時，建設可信的資料雲端儲存平臺還需要考慮平臺自身的安全性和整合度，因此對平臺需要具備如下能力：

　　資料儲存平臺系統滿足上級監管單位的網路隔離要求。

　　提供高效、便捷的網間資料儲存平臺。

　　具備敏感資訊檢測、防護、審批、阻斷機制，並能夠與OA系統實現審批流的對接，建立並完善銀行系統檔案外出的審批機制。

　　在檔案入網前實現精準查殺，有效緩解病毒木馬傳播。

　　系統、完善的檔案互動審計資訊，能夠做到事後可追溯、可審計。

　　對存放資料安全加密。

　　圖2 ：部署示意圖

　　1、資料雲端儲存業務控制

　　資料儲存業務安全控制，具體包括三個方面，一是業務操作的控制，即每次資料擺渡的操作須經過稽核控制；二是業務內容的控制，在稽核控制的同時應採取資訊科技實現對交換資料的格式和內容的控制(配合使用者定義的安全策略)，同時交換過程應避免由於交換內容引入惡意程式碼，從而導致銀行內部網路的機密性、完整性、可用性受影響，例如在交換過程被惡意人員利用導致將病毒傳入內部敏感網路區域；三是業務主體要素控制，可信的資料擺渡必須保證資料擺渡的操作主體的相關要素是可控的，包括操作人、操作裝置、操作位置等，必須滿足操作主體要素是可信任且處於平臺管控範圍之內。

　　 2、資料雲端儲存業務審計

　　除了對資料儲存的事中控制外，每次儲存的過程均應保留相關記錄以滿足內外部審計要求，交換業務操作記錄應當足夠完整以便於審計的需要，包括由誰發起，為何發起，何時發起，何處發起，交換的內容等等。同時，由於審計記錄包括了資料儲存的內容，因此，還必須保障審計資訊的完整性和機密性，以免由於審計資訊的外洩導致更大批次的敏感資訊外洩。

　　3、資料雲端儲存業務管理

　　由於業務需要，各部門往往存在很多業務資料儲存的需求，在實現安全控制與審計的同時，必須提供相應手段，以方便業務部門人員在保障安全性的同時可以方便快捷的開展資料儲存業務操作，包括資訊化技術實現資料儲存的自動化流程，資料儲存操作支援、使用者許可權管理、交換區域管理等等、並對使用者進行資料儲存業務提供必要和靈活的資源保證(如儲存空間、網路流量保障、系統可靠性等)，儘量無需使用者干涉，方便使用者快捷的執行資料儲存業務操作，從而在安全性和易用性之間的獲得平衡。

　　4、平臺本身安全性

　　由於資料雲端儲存的業務特點，行內資料儲存平臺必然需要透過某種方式連線不同等級的安全區域，因此平臺必須提供足夠的技術保障，以確保本身不能被作為一個攻擊業務敏感區域的網路攻擊滲透節點。理想目標是，即使平臺被惡意人員攻破，也無法獲取到交換過程中的敏感資料，同時，也無法利用平臺滲透到高等級安全區域。

　　 四、安全設計

　　1、通訊安全

　　透過虛擬化隔離技術，在一臺硬體裝置上啟動2到多個虛擬機器和共享檔案系統，且虛擬機器之間的IP協議是斷開的，虛擬機器之間的資料儲存透過共享檔案系統和私有的共享記憶體指令來進行，從架構方面保障在網路隔離的情況下實現安全的資料儲存。通常情況下使用私有的交換指令完成虛擬機器與宿主機、虛擬機器與虛擬機器之間的安全資料交換。

　　2、後臺程式安全

　　通常採用私有應用層協議，防止利用已知漏洞進行攻擊；涉及密碼部分內容應以加密方式儲存；應用程式日誌中禁止輸出敏感資訊；所有後臺程式全部以普通使用者許可權執行。

　　3、敏感資訊監測

　　對透過資料儲存和交換平臺進行上傳、分享、外發文件進行內容檢查、新增文件標籤，對根據資料流轉安全規則禁止外發或需要審批的文件，自動阻止、審批等相對應的流程，防止內網檔案外傳洩密。

　　4、病毒掃描監測

　　資料儲存平臺需要實現檔案上傳實時查殺，內建防病毒引擎的功能，也可與第三方防病毒系統聯動，支援線上更新和離線更新，統計分析防病毒審計資訊，判斷某終端是否中病毒，從而控制風險檔案蔓延。

　　5、資料加密

　　可採用各類加密技術對儲存資料進行加密，如隱私計算等可以保證其加密運算的高安全性與高效率執行的同時，實現資料可用可見、可用不可見、資料洩露自動失效等不同安全級別。

　 　五、應用場景

　　1、使用者檔案儲存備份

　　透過應用整合，實現使用者賬號的統一建立與認證，由企業為使用者發放個人賬號，並統一配置一定配額個人使用空間（按需分配邏輯空間），使用者可以隨處透過任何裝置訪問檔案。

　　使用者可以用雲端的“個人空間”來儲存自己的各類企業企業資料、各種資料、企業材料課件和研究素材等，使用者上課時就無須用移動儲存裝置來使用資料，透過雲端可以電腦手機等可以隨時隨地訪問資料。使用者日常出差在外的使用者也可以使用雲盤服務。

　　使用者將個人的檔案或者資料夾共享給企業機構內部或者系統內部的使用者，隨時把資料共享給機構內部的其他教研室使用者或者教研組。可以將個人資料或者有許可權訪問的“公共資源”的資料，透過連結或者“二維碼”分享給外部使用者（包括供應商、出差同事），外部使用者透過連結實現快速的檔案訪問檢視。

　　如果使用者分享的是“資料夾”，可以透過分享時設定“上傳”許可權，實現外部使用者透過“連結或者“二維碼””將外部的資料快速彙總到指定的雲端儲存位置。

　　2、檔案分享、協同辦公

　　多人線上協同編輯功能，可以實現了多人同時線上編輯同一檔案，協助使用者實現協同編輯文件的需求。

　　3、跨網檔案交換

　　實現在多個隔離網路直接進行檔案交換，並針對檔案上傳下載檔案進行DLP內容檢測與審計，涉及到敏感檔案後自動匹配策略進行阻斷、審批、審計等管控措施。

　 　六、效益和價值

　　雲架構儲存平臺能夠實現多個隔離網路之間的資料安全互動員工日常辦公的檔案儲存與備份需求，既保證了資料高效、便捷交換傳輸流轉使用，又建立起了網間的資料防洩漏體系。打破高價值鏈資料孤島，無縫支撐高通量、高價值資料安全、高效的共享、流轉和使用，實現可觀經濟效益。

　　在確保網路隔離的前提下，在資料安全治理“堵”的同時，提供可靠、安全高效“疏”的通道，實現網間資料防洩漏管理體系。透過內嵌的防病毒引擎，可以使檔案網間流轉過程中降低病毒木馬傳播風險。實現多個網路進行資料交換。加之詳細的行為審計和內容審計，透過靈活的審批流程，實現對檔案多級審批和人工審批，支援與OA進行審批對接，建立並完善了資料出網的審批機制。大大提升了企業資料安全能力。