背景介紹

進(jìn)入金融科技時(shí)代之后，以大數(shù)據(jù)、云計(jì)算、人工智能、5G等為代表的新技術(shù)在與金融行業(yè)進(jìn)行深度融合的同時(shí)，也為金融機(jī)構(gòu)的信息安全帶來了新挑戰(zhàn)。漏洞數(shù)量不斷攀升，新技術(shù)引入新型風(fēng)險(xiǎn)與隱患，網(wǎng)絡(luò)安全形勢(shì)日益嚴(yán)峻。金融行業(yè)在國(guó)民經(jīng)濟(jì)發(fā)展中占據(jù)重要地位，一旦發(fā)生安全事件將可能造成重大社會(huì)影響，甚至危及國(guó)家安全，建立一套完善有效的安全保障體系已經(jīng)成為金融科技工作的重中之重。2020年11月11日，中國(guó)人民銀行發(fā)布《金融行業(yè)網(wǎng)絡(luò)安全等級(jí)保護(hù)實(shí)施指引》和《金融行業(yè)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)指南》系列標(biāo)準(zhǔn)，為金融行業(yè)數(shù)字化轉(zhuǎn)型提供了網(wǎng)絡(luò)安全建設(shè)的方法論、具體的建設(shè)措施及技術(shù)指導(dǎo)，完善了金融行業(yè)網(wǎng)絡(luò)安全等級(jí)保護(hù)體系，幫助金融機(jī)構(gòu)更好地適應(yīng)新技術(shù)的應(yīng)用，全面提升金融行業(yè)網(wǎng)絡(luò)安全整體防護(hù)水平。

方案概述

寸草心網(wǎng)盾自2006年成功實(shí)施第一個(gè)金融行業(yè)等級(jí)保護(hù)試點(diǎn)項(xiàng)目以來，持續(xù)投入，至今已經(jīng)在金融行業(yè)積累了豐富的等級(jí)保護(hù)建設(shè)經(jīng)驗(yàn)與成功案例。本方案在遵循國(guó)標(biāo)《網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》第三級(jí)要求的基礎(chǔ)上，依據(jù)《金融行業(yè)網(wǎng)絡(luò)安全等級(jí)保護(hù)實(shí)施指引》等標(biāo)準(zhǔn)要求，合理評(píng)估金融機(jī)構(gòu)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，結(jié)合金融行業(yè)實(shí)際業(yè)務(wù)場(chǎng)景，進(jìn)行科學(xué)設(shè)計(jì)。

通過建設(shè)“一個(gè)中心”管理下的“安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計(jì)算環(huán)境”，并結(jié)合金融行業(yè)的系統(tǒng)與業(yè)務(wù)現(xiàn)狀，進(jìn)行分區(qū)分域保護(hù)，為金融機(jī)構(gòu)建立縱深防御的技術(shù)體系。結(jié)合金融機(jī)構(gòu)實(shí)際安全需求，從安全管理制度、安全管理組織、安全建設(shè)管理和安全運(yùn)維管理等方面進(jìn)行設(shè)計(jì)，規(guī)范、約束相關(guān)系統(tǒng)運(yùn)行維護(hù)的安全操作行為，明確執(zhí)行安全策略的各項(xiàng)要求，幫助金融機(jī)構(gòu)建立規(guī)范的網(wǎng)絡(luò)安全管理體系。充分利用寸草心網(wǎng)盾安全服務(wù)優(yōu)勢(shì)，對(duì)金融機(jī)構(gòu)核心信息資產(chǎn)、各類威脅與風(fēng)險(xiǎn)進(jìn)行持續(xù)監(jiān)測(cè)分析、預(yù)警及應(yīng)急處置，不斷提升網(wǎng)絡(luò)整體安全防護(hù)能力，持續(xù)滿足監(jiān)管合規(guī)要求。

設(shè)計(jì)要點(diǎn)

l技術(shù)體系設(shè)計(jì)

依據(jù)金融行業(yè)的組織結(jié)構(gòu)和網(wǎng)絡(luò)架構(gòu)，將金融機(jī)構(gòu)總部和各個(gè)分支機(jī)構(gòu)分別劃分為獨(dú)立的安全域，每個(gè)安全域又細(xì)分為安全計(jì)算環(huán)境、安全區(qū)域邊界、安全通信網(wǎng)絡(luò)和安全支撐設(shè)施域。安全管理中心作為統(tǒng)一的管理中心關(guān)聯(lián)總部和一級(jí)分支、二級(jí)分支的安全保護(hù)環(huán)境。針對(duì)每個(gè)安全域，依據(jù)其重要程度、業(yè)務(wù)特點(diǎn)和實(shí)際安全需求，給出相應(yīng)的保護(hù)措施，從而建立縱深防御體系，實(shí)現(xiàn)安全防護(hù)目標(biāo)。

安全通信網(wǎng)絡(luò)層面的設(shè)計(jì)通過合理規(guī)劃網(wǎng)絡(luò)區(qū)域、分配網(wǎng)絡(luò)資源以及設(shè)計(jì)安全的網(wǎng)絡(luò)架構(gòu)，保證網(wǎng)絡(luò)的可用性，實(shí)現(xiàn)不同網(wǎng)絡(luò)區(qū)域之間的安全隔離。通過對(duì)通信雙方進(jìn)行可信鑒別驗(yàn)證，建立安全通道，并實(shí)施數(shù)據(jù)傳輸保護(hù)，確保數(shù)據(jù)在傳輸過程中不會(huì)被竊聽、篡改和破壞。

安全區(qū)域邊界層面的設(shè)計(jì)通過部署抗拒絕服務(wù)攻擊系統(tǒng)、防火墻、入侵防御系統(tǒng)、WAF、網(wǎng)絡(luò)數(shù)據(jù)防泄漏系統(tǒng)、入侵檢測(cè)系統(tǒng)、APT安全監(jiān)測(cè)系統(tǒng)、蜜罐等設(shè)備，對(duì)進(jìn)入和流出應(yīng)用環(huán)境的信息流進(jìn)行安全檢查和訪問控制，保證應(yīng)用系統(tǒng)中的敏感信息不會(huì)泄漏出去，同時(shí)也防止應(yīng)用系統(tǒng)遭受外界的惡意攻擊和破壞。

安全計(jì)算環(huán)境層面的設(shè)計(jì)通過部署堡壘主機(jī)、數(shù)據(jù)庫審計(jì)、主機(jī)監(jiān)控與審計(jì)、日志審計(jì)、終端威脅防御、漏洞掃描、數(shù)據(jù)防泄漏系統(tǒng)、容災(zāi)備份系統(tǒng)等產(chǎn)品，在操作系統(tǒng)核心層設(shè)置以訪問控制為主體的系統(tǒng)安全機(jī)制，形成嚴(yán)密的安全保護(hù)環(huán)境，有效防止非授權(quán)用戶訪問和授權(quán)用戶越權(quán)訪問，為系統(tǒng)的正常運(yùn)行、免遭惡意破壞提供支撐和保障。

安全管理中心通過堡壘機(jī)、日志審計(jì)、網(wǎng)管軟件安全策略管理系統(tǒng)、網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)、主機(jī)監(jiān)控與審計(jì)系統(tǒng)等設(shè)備，實(shí)現(xiàn)對(duì)金融機(jī)構(gòu)總部和一級(jí)分支、二級(jí)分支機(jī)構(gòu)的技術(shù)體系的統(tǒng)一管理，包括系統(tǒng)管理、審計(jì)管理、安全管理、集中管控。同時(shí)支撐安全監(jiān)測(cè)、分析、預(yù)警、響應(yīng)、處置、追溯等安全管理和運(yùn)維工作。

l管理體系設(shè)計(jì)

根據(jù)金融機(jī)構(gòu)信息化建設(shè)進(jìn)程的實(shí)際需求，遵從PDCA模型，首先幫助金融機(jī)構(gòu)設(shè)立安全管理機(jī)構(gòu)，制定安全策略、管理制度、操作規(guī)程、記錄表單等安全管理制度，并配備相應(yīng)的安全管理人員。其次通過執(zhí)行安全管理制度，提高網(wǎng)絡(luò)安全保障能力。同時(shí)持續(xù)監(jiān)控制度執(zhí)行的效果，根據(jù)執(zhí)行結(jié)果檢查各項(xiàng)制度存在的問題。Zui后結(jié)合金融機(jī)構(gòu)的風(fēng)險(xiǎn)現(xiàn)狀對(duì)制度進(jìn)行改進(jìn)優(yōu)化，從而形成規(guī)劃和建立、實(shí)施和執(zhí)行、監(jiān)控和審計(jì)、保持和改進(jìn)的循環(huán)過程，形成完善的管理體系。

l安全運(yùn)維保障

為確保金融機(jī)構(gòu)信息系統(tǒng)長(zhǎng)期穩(wěn)定、可靠、安全地運(yùn)行，需要建立專有的對(duì)信息系統(tǒng)進(jìn)行安全運(yùn)維的組織團(tuán)隊(duì)。通過周期性風(fēng)險(xiǎn)評(píng)估、周期性安全加固、定期安全巡檢、定期安全通告、系統(tǒng)上線檢測(cè)、應(yīng)急響應(yīng)及安全培訓(xùn)教育等安全服務(wù)，動(dòng)態(tài)維護(hù)金融機(jī)構(gòu)信息系統(tǒng)的安全，與安全技術(shù)體系、安全管理體系相互支撐、相互協(xié)同、相互補(bǔ)充，共同保障金融機(jī)構(gòu)信息系統(tǒng)的整體安全，使信息系統(tǒng)安全保障能力始終保持在較高水平。