搜索

[15293] 2020-04-24_金融江湖，锐少的数据安全治理

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-04-24_金融江湖，锐少的数据安全治理 金 融 江 湖 ， 锐 少 的 数 据 安 全 治 理 原 创   k i r a z h o u   F r e e B u f   2 0 2 0 - 0 4 - 2 4 如 果 说 企 业 是 海 ， 数 据 就 是 海 里 的 鱼 。 一 眼 看 到 的 ， 不 足 千 万 分 之 一 。 想 要 统 计 一 下 这 些 鱼 长 得 好 不 好 、 一 共 有 多 少 。 难 。 最 开 始 的 时 候 ， 大 家 都 下 海 摸 鱼 （ 原 始 的 人 工 数 据 处 理 ） ， 后 来 ， 开 船 捕 鱼 （ 搞 起 自 动 化 、 智 能 化 大 数 据 处 理 ） ， 但 船 只 有 限 ， 掌 舵 人 （ 企 业 安 全 部 门 人 员 ） 有 限 ， 几 条 船 “ 称 霸 ” 不 了 海 洋 。 所 以 ， 经 常 听 到 安 全 圈 的 朋 友 说 ， 数 据 安 全 治 理 太 难 做 了 。 “ （ 网 络 安 全 ） 是 为 了 人 类 福 祉 （ 网 络 安 全 ） 是 为 了 人 类 福 祉 ” 。 。 乍 一 听 有 点 中 二 ， 再 一 听 ， 有 点 意 思 。 乍 一 听 有 点 中 二 ， 再 一 听 ， 有 点 意 思 。 这 句 话 被 锐 少 ， 也 就 是 今 天 的 主 角 赵 锐 反 复 说 到 。 这 是 一 个 曾 在 游 戏 里 和 好 友 互 称 “ 少 侠 ” ， 最 后 顶 着 “ 锐 少 ” 这 个 名 字 在 安 全 圈 行 走 十 几 年 的 网 安 人 ， 或 者 用 锐 少 的 话 来 说 ， 一 个 网 络 安 全 布 道 者 。 或 许 ， 一 些 人 对 锐 少 （ 赵 锐 ） 这 个 名 字 会 有 点 耳 熟 ， 没 准 你 可 能 在 国 家 网 络 安 全 宣 传 周 的 公 益 培 训 上 ， O p e n   G r o u p 年 度 峰 会 、 C 3 安 全 峰 会 、 C I F I 安 全 峰 会 、 D e v O p s 国 际 峰 会 甚 至 F r e e B u f 过 往 举 办 的 安 全 峰 会 上 听 过 他 的 演 讲 ， 又 或 者 ， 在 一 些 信 息 安 全 专 业 书 籍 、 报 告 里 见 过 他 的 名 字 。
赵 锐 （ 锐 少 ） ， 世 界 5 0 0 强 企 业 中 国 区 信 息 安 全 和 风 险 负 责 人 ， 联 合 国 I T U - T   D e v O p s 国 际 标 准 核 心 编 写 专 家 、 国 家 网 络 安 全 周 （ 上 海 地 区 ） 网 络 安 全 金 牌 讲 师 、 C S A 云 安 全 联 盟 专 家 、 上 海 市 信 息 网 络 安 全 管 理 协 会 专 家 、 金 融 网 络 安 全 优 秀 解 决 方 案 评 委 、 G O P S 金 牌 讲 师 、 G O P S 优 秀 讲 师 、 上 海 新 金 融 风 险 实 验 室 安 全 专 家 、 C C S F 优 秀 首 席 信 息 安 全 官 、 网 络 安 全 公 益 大 使 、 诸 子 云 上 海 会 长 。 再 多 介 绍 先 就 此 打 住 ， 先 来 聊 聊 一 些 更 有 意 思 的 事 情 。 网 络 安 全 网 络 安 全 “ 三 道 口 三 道 口 ” 十 几 年 前 ， 锐 少 的 面 前 摆 着 2 条 路 ： 金 融 机 构 o r 电 网 。 这 是 父 母 辈 的 期 望 。 但 是 ， 走 一 条 不 一 样 的 路 ， 去 看 规 划 以 外 的
风 景 ， 这 个 念 头 一 直 埋 在 了 他 心 里 。 九 十 年 代 ， 锐 少 拥 有 了 人 生 中 的 第 一 台 电 脑 。 那 个 高 中 毕 业 的 暑 假 里 ， 他 郑 重 地 填 下 了 计 算 机 专 业 的 志 愿 ， 也 是 在 那 段 时 间 ， 折 腾 着 家 里 的 电 脑 开 发 w e b 相 关 软 件 ， 结 果 发 现 了 微 软 浏 览 器 的 一 个 J A V A 漏 洞 。 当 时 把 漏 洞 上 报 给 微 软 中 国 社 区 后 ， 锐 少 甚 至 收 到 了 邀 请 ， 请 他 去 参 加 微 软 技 术 大 会 T e c h E d 。 不 过 ， 最 后 没 去 成 。 因 为 门 票 免 费 ， 路 费 自 理 ， 当 时 的 穷 学 生 果 断 放 弃 之 。 当 然 ， 最 后 还 是 收 到 了 一 件 微 软 技 术 大 会 T e c h E d 的 纪 念 冲 锋 衣 作 为 漏 洞 奖 励 … … 从 十 几 岁 到 过 了 三 十 而 立 ， 锐 少 对 于 计 算 机 网 络 的 好 奇 和 兴 趣 好 像 一 直 没 有 消 失 ， 就 像 2 0 0 5 年 的 毕 业 季 ， 他 决 定 放 弃 国 家 电 网 的 工 作 机 会 ， 接 下 了 信 雅 达 的 o f f e r 。 他 做 好 了 走 自 己 想 走 的 这 一 条 路 的 准 备 。 如 果 说 ， 在 1 5 年 的 走 向 网 络 安 全 的 工 作 历 程 中 ， 信 雅 达 是 一 个 开 始 — — 在 那 里 锐 少 负 责 开 发 风 险 预 警 系 统 ， 管 理 银 行 业 务 安 全 风 险 ， 了 解 了 银 行 所 有 零 售 业 务 、 公 司 业 务 和 个 人 银 行 卡 的 业 务 逻 辑 及 相 关 风 险 。 那 么 ， 2 0 0 7 年 ， 一 定 是 一 个 重 要 的 转 折 点 。 这 一 年 ， 锐 少 为 爱 情 奔 赴 上 海 。 因 为 对 银 行 业 务 安 全 的 工 作 经 验 ， 锐 少 收 到 了 来 自 银 联 的 橄 榄 枝 。 他 真 正 从 开 发 、 风 控 转 向 网 络 安 全 ， 几 个 契 机 都 发 生 在 银 联 的 4 年 里 。 彼 时 ， 上 海 作 为 等 保 的 试 点 ， 而 金 融 行 业 又 一 向 是 政 策 先 行 区 ， 这 样 的 背 景 下 ， 锐 少 被 委 任 全 权 负 责 等 保 的 落 地 工 作 ， 这 让 他 在 法 规 层 面 对 于 网 络 安 全 有 了 全 面 的 直 观 的 了 解 。 后 来 ， 由 于 银 联 开 展 P C I   D S S （ 支 付 卡 行 业 数 据 安 全 标 准 ） 项 目 — — 全 球 最 严 格 、 级 别 最 高 的 金 融 数 据 安 全 认 证 标 准 。 主 要 针 对 支 付 卡 行 业 数 据 安 全 ， 降 低 持 卡 人 数 据 在 支 付 处 理 环 节 被 泄 露 的 安 全 风 险 。 这 个 阶 段 ， 由 于 当 时 是 国 内 首 个 P C I   D S S 项 目 ， 所 以 团 队 也 是 摸 着 石 头 过 河 ， 从 0 到 1 ， 从 数 据 安 全 标 准 、 保 护 持 卡 人 数 据 ， 维 护 漏 洞 管 理 程 序 到 保 障 支 付 卡 安 全 地 一 步 步 推 进 。 可 以 说 ， 等 保 和 P C I D S S 在 银 联 的 逐 步 落 地 ， 见 证 了 锐 少 在 网 络 安 全 领 域 的 成 长 轨 迹 ： 将 网 络 安 全 相 关 的 内 容 融 会 贯 通 ， 也 在 漏 洞 扫 描 和 渗 透 测 试 方 面 有 了 更 多 的 学 习 和 积 累 。 至 于 第 三 个 契 机 ， 则 是 前 文 提 到 的 “ 安 全 布 道 者 ” 。 正 逢 银 联 准 备 建 立 企 业 讲 师 体 系 ， 锐 少 听 闻 后 自 告 奋 勇 ， 又 因 为 口 才 好 能 力 强 ， 顺 利 地 成 为 了 银 联 的 企 业 内 部 讲 师 。 将 自 己 的 网 络 安 全 认 知 与 经 验 通 过 生 动 有 趣 的 方 式 传 播 给 更 多 的 人 ， 安 全 布 道 就 此 成 为 锐 少 的 一 个 关 键 标 签 。 （ 后 来 ， 他 连 续 多 年 参 加 国 家 网 络 安 全 宣 传 周 的 公 益 培 训 ， 给 多 个 政 府 部 门 、 各 类 院 校 、 企 事 业 单 位 分 享 网 络 安 全 、 信 息 安 全 。 ） 上 海 给 他 留 下 了 爱 情 和 面 包 ， 还 有 理 想 。 上 海 给 他 留 下 了 爱 情 和 面 包 ， 还 有 理 想 。 术 业 有 专 攻 术 业 有 专 攻 不 是 所 有 人 都 有 一 样 的 数 据 安 全 意 识 不 是 所 有 人 都 有 一 样 的 数 据 安 全 意 识 2 0 1 1 年 ， 锐 少 加 入 了 农 商 银 行 。 当 时 ， 农 商 银 行 正 在 准 备 建 设 新 一 代 核 心 银 行 系 统 ， 锐 少 又 被 委 任 负 责 新 一 代 的 整 体 数 据 安 全 ， 参 与 核 心 数 据 分 类 分 级 （ 包 括 客 户 数 据 、 源 代 码 、 生 产 密 钥 ， 生 产 运 维 和 业 务 运 营 过 程 中 的 重 要 数 据 ） 并 采 取 合 适 的 保 护 措 施 。 此 后 ， 他 先 后 参 与 并 推 动 了 开 发 测 试 数 据 变 形 的 标 准 和 方 案 以 及 桌 面 虚 拟 化 的 落 地 ， 在 开 发 测 试 环 境 中 使 用 人 造 数 据 或 是 变 形 数 据 ， 以 此 保 护 农 商 银 行 生 产 数 据 安 全 。 或 许 是 金 融 机 构 的 人 总 是 对 数 据 安 全 更 敏 感 一 些 吧 ， 其 实 从 2 0 0 7 年 开 始 ， 因 为 负 责 P C I   D S S 的 原 因 ， 锐 少 就 开 始 关 注 金 融 数 据 安 全 问 题 ， 尤 其 是 持 卡 人 数 据 的 安 全 。 他 还 负 责 过 某 银 行 信 用 卡 核 心 系 统 从 新 加 坡 迁 移 到 上 海 项 目 的 数 据 安 全 ， 在 项 目 中 积 累 了 丰 富 的 数 据 安 全 经 验 。 数 据 就 像 石 油 一 样 ， 重 要 性 不 言 而 喻 。 4 月 9 日 ， 中 央 发 布 重 磅 意 见 《 中 共 中 央 、 国 务 院 关 于 构 建 更 加 完 善 的 要 素 市 场 化 配 置 体 制 机 制 的 意 见 》 ， 数 据 首 次 正 式 被 纳 入 生 产 要 素 范 围 ， 文 件 中 还 提 出 需 要 加 强 数 据 资 源 整 合 和 安 全 保 护 。 而 早 在 2 0 1 5 年 ， G a r t n e r 研 究 中 已 经 提 出 了 数 据 安 全 治 理 这 一 概 念 和 相 应 的 原 则 与 框 架 。 过 去 的 一 年 里 ， 我 国 更 是 一 直 致 力 推 动 数 据 隐 私 保 护 与 合 规 。
但 是 ， 数 据 安 全 事 件 依 然 在 全 球 范 围 内 几 乎 每 天 都 在 发 生 。 在 个 人 、 企 业 乃 至 国 家 对 数 据 安 全 与 隐 私 保 护 的 高 度 重 视 之 下 ， 是 数 据 安 全 事 件 频 出 的 现 实 矛 盾 ， 而 矛 盾 的 出 路 或 许 就 在 数 据 安 全 治 理 上 。 锐 少 认 为 ， 身 为 安 全 从 业 者 、 I T 从 业 者 甚 至 企 业 法 务 人 员 ， 由 于 自 身 职 能 ， 一 般 会 相 对 确 切 地 知 道 数 据 安 全 与 合 规 的 重 要 性 ， 日 常 对 于 数 据 泄 露 网 络 攻 击 时 刻 关 注 ， 但 除 他 们 之 外 的 业 务 、 市 场 、 人 力 资 源 、 财 务 等 等 其 他 部 门 ， 对 数 据 安 全 的 认 识 的 水 位 线 是 不 一 样 的 。 这 种 对 数 据 安 全 的 认 知 偏 差 、 重 视 程 度 有 别 都 是 阻 碍 企 业 数 据 安 全 治 理 的 首 要 问 题 。 但 这 个 问 题 无 关 对 错 ， 只 是 大 家 的 角 色 不 一 样 ， 工 作 职 能 有 区 别 。 对 此 ， 企 业 可 以 通 过 培 训 和 内 部 数 据 安 全 规 范 的 制 定 来 弥 补 这 种 安 全 意 识 上 的 差 距 。 1 、 人 员 意 识 、 人 员 意 识 开 展 定 期 的 内 部 人 员 安 全 意 识 培 训 ， 让 数 据 安 全 融 入 企 业 的 文 化 之 中 。 对 于 新 出 台 的 法 律 法 规 、 重 大 安 全 事 件 、 监 管 通 报 ， 以 每 季 度 乃 至 每 个 月 为 周 期 ， 通 过 邮 件 、 易 拉 宝 或 海 报 的 形 式 ， 进 行 全 员 宣 传 。 在 安 全 意 识 培 训 下 ， 潜 移 默 化 地 提 升 员 工 对 数 据 的 安 全 敏 感 。 2 、 流 程 制 定 、 流 程 制 定 在 人 员 有 了 安 全 意 识 后 ， 还 需 要 有 相 关 行 为 依 据 作 为 参 考 。 企 业 可 以 参 考 最 佳 实 践 ， 结 合 国 家 的 法 律 法 规 ， 制 定 数 据 安 全 的 规 章 制 度 ， 明 确 红 线 。 3 、 技 术 补 充 、 技 术 补 充 技 术 作 为 补 充 手 段 ， 进 一 步 保 障 企 业 数 据 安 全 。 如 控 制 数 据 只 能 存 储 在 企 业 服 务 器 ， 员 工 有 权 利 进 行 登 录 访 问 但 不 能 本 地 下 载 等 。 锐 少 认 为 ， “ 每 个 人 都 要 对 安 全 负 责 ” ， 这 是 企 业 应 该 传 递 给 每 一 个 员 工 的 理 念 。 当 所 有 人 都 有 了 基 本 的 安 全 意 识 后 ， 企 业 的 内 防 才 能 有 效 。 数 据 安 全 治 理 数 据 安 全 治 理 独 木 难 成 舟 独 木 难 成 舟 数 据 的 流 动 性 ， 海 量 性 ， 导 致 很 多 企 业 对 于 已 有 数 据 看 不 全 理 不 清 ， 加 上 网 络 安 全 部 门 在 人 力 物 力 方 面 的 权 利 有 限 ， 这 些 都 是 企 业 数 据 安 全 治 理 面 临 的 现 实 问 题 。 数 据 安 全 治 理 的 思 路 ， 是 将 数 据 安 全 技 术 与 数 据 安 全 管 理 融 合 在 一 起 ， 综 合 业 务 、 安 全 、 网 络 等 多 部 门 多 角 色 的 诉 求 ， 总 结 归 纳 为 系 统 化 的 思 路 和 方 法 。 核 心 5 个 字 ： 独 木 难 成 舟 。 所 以 还 是 那 句 话 ， “ 每 个 人 都 要 对 安 全 负 责 ” 。 安 全 部 门 忙 不 过 来 指 挥 不 动 ？ 数 据 安 全 治 理 不 是 一 个 部 门 的 事 ， 要 做 ， 就 要 拉 上 利 益 相 关 部 门 一 起 做 。 比 如 ， 风 控 合 规 部 门 要 处 理 数 据 使 用 过 程 中 的 风 险 与 合 规 问 题 ， 法 务 部 可 以 处 理 有 关 数 据 合 作 过 程 中 的 法 律 问 题 … … … … 1 、 数 据 安 全 治 理 为 什 么 要 、 数 据 安 全 治 理 为 什 么 要 “ 一 起 做 一 起 做 ” ？ ？ 数 据 安 全 问 题 一 出 ， 相 关 部 门 同 样 有 责 任 ， 要 承 担 对 应 风 险 ； 数 据 规 范 化 、 标 准 化 以 后 ， 相 关 部 门 是 受 益 者 ， 比 如 业 务 部 门 更 容 易 获 取 、 分 析 、 应 用 数 据 ， 可 以 直 接 推 动 公 司 业 务 发 展 。 当 安 全 部 门 站 在 其 他 部 门 的 角 度 思 考 他 们 的 需 求 ， 可 以 将 利 益 相 关 部 门 联 合 起 来 。 第 一 步 ， 建 立 一 个 数 据 安 全 治 理 委
员 会 （ 也 可 以 叫 别 的 名 字 ， 总 之 是 一 个 专 门 的 企 业 数 据 安 全 治 理 机 构 ） ， 确 定 落 实 和 监 督 不 同 环 节 的 数 据 安 全 治 理 是 由 谁 长 期 负 责 ， 也 就 是 每 个 部 门 需 要 选 出 数 据 安 全 治 理 负 责 人 和 联 系 人 ， 保 证 责 任 到 人 。 第 二 步 ， 梳 理 企 业 所 有 的 业 务 流 和 数 据 流 ， 明 确 数 据 安 全 治 理 的 策 略 和 流 程 ， 以 及 制 定 面 向 企 业 内 部 的 、 外 部 供 应 商 的 统 一 数 据 质 量 要 求 和 标 准 。 第 三 步 ， 数 据 安 全 技 术 支 持 。 在 “ 命 运 共 同 体 ” 的 理 念 下 ， 安 全 部 门 一 定 要 牵 头 ， 让 更 多 部 门 参 与 整 体 性 系 统 化 的 数 据 安 全 治 理 ， 这 个 过 程 中 ， 业 务 等 其 他 部 门 能 够 更 深 刻 地 了 解 到 安 全 的 重 要 性 并 自 然 纳 入 流 程 之 中 ， 安 全 部 门 也 能 更 深 入 业 务 ， 对 于 开 展 业 务 安 全 工 作 有 很 大 的 帮 助 。 2 、 企 业 存 在 运 行 已 久 的 老 旧 系 统 ， 隐 藏 数 据 安 全 隐 患 ？ 、 企 业 存 在 运 行 已 久 的 老 旧 系 统 ， 隐 藏 数 据 安 全 隐 患 ？ 面 对 “ 历 史 遗 留 问 题 ” ， 如 何 用 最 小 的 成 本 ， 最 高 的 效 率 去 解 决 。 首 先 ， 安 全 部 门 要 帮 助 公 司 揭 示 数 据 安 全 风 险 ， 通 过 对 系 统 的 业 务 流 和 数 据 流 进 行 梳 理 ， 将 存 在 的 安 全 风 险 及 可 能 造 成 的 损 失 都 梳 理 罗 列 出 来 ， 然 后 和 相 关 部 门 沟 通 ， 沟 通 重 点 在 于 ： 这 些 风 险 对 于 公 司 的 业 务 会 造 成 怎 样 的 危 害 和 损 失 ； 在 合 规 需 求 下 ， 这 些 安 全 问 题 让 企 业 不 能 满 足 监 管 要 求 ； 一 旦 引 发 数 据 泄 露 事 件 ， 相 关 部 门 都 有 不 可 推 脱 的 责 任 ； 最 后 ， 只 需 要 从 每 年 的 系 统 运 维 、 改 造 的 费 用 中 拿 出 一 部 分 经 费 去 解 决 问 题 即 可 。 最 后 ， 其 实 我 们 还 谈 到 了 这 些 ： 锐 少 说 ， “ 在 这 个 （ 网 络 安 全 ） 圈 子 里 ， 你 努 力 了 就 会 有 回 报 ， 你 所 接 触 的 同 行 大 多 数 是 诚 实 可 信 的 人 ， 是 能 够 依 赖 、 一 同 进 步 的 伙 伴 。 很 多 时 候 ， 大 家 也 愿 意 来 分 享 工 作 中 踩 过 的 坑 ， 而 分 享 者 也 能 收 获 成 就 感 。 ” 所 以 ， 他 始 终 热 衷 于 布 道 、 演 讲 分 享 ， 一 方 面 是 希 望 能 够 在 网 络 安 全 周 ， 网 络 安 全 进 校 园 等 活 动 的 宣 传 中 ， 提 升 普 通 大 众 的 网 络 安 全 意 识 ， 尽 可 能 降 低 网 络 诈 骗 等 日 常 网 络 攻 击 事 件 ， 另 一 方 面 ， 虽 然 中 国 在 网 络 安 全 领 域 起 步 比 较 晚 ， 但 是 希 望 安 全 圈 内 前 辈 的 有 效 分 享 ， 能 够 帮 助 新 人 迅 速 地 成 长 ， 助 力 中 国 网 络 安 全 行 业 发 展 。 网 络 安 全 是 为 了 人 类 的 福 祉 。 他 想 得 挺 简 单 ， 做 得 也 很 认 真 。 网 络 安 全 是 为 了 人 类 的 福 祉 。 他 想 得 挺 简 单 ， 做 得 也 很 认 真 。 * 本 文 作 者 ： 本 文 作 者 ： k i r a z h o u ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理