P1現狀與需求01P2銀行零信任安全框架04P3業務場景實現08P4安全合規與隱私保護134.2安全訪問P5總結與展望25現狀與需求11環境背景 ●1.1環境背景"十四五"時期，我國金融業安全和信息化發展的外部環境和內部條件發生復雜而深刻的變化，機遇與挑戰前所未有。作為數據密集型行業，銀行業更需要嚴格落實法律法規，將監管要求的網絡與數據信息安全指導方針、風險管理、監督和檢查管理的流程和機制等內容整合到現有安全管理策略和制度建設當中。健全數據安全治理體系，強化數據全生命周期安全防護，嚴防數據誤用濫用。推動數據分級分類管理，科學界定數據所有權、使用權、管理權和據適用范圍成為金融機構首要基礎安全建設。近年來，國內外網絡攻擊和數據泄露事件頻發，攻擊手段不斷升級，從數據的采集、傳輸、存儲、處理到訪問，國家、企業和個人面臨著各類的網絡與數據后，于2021年陸續發布《數據安全法》、《個人信息保護法進網絡與數據安全建設提供了法理依據。●12安全挑戰隨著云計算、互聯網、移動計算和物聯網的發展，銀行業務場景復雜導致的數據安全受到更多的威脅。由于業務的不斷快速發展，金融機構的業務系統多達幾百上千個，應用場景繁多，其中承載著大量的客戶基礎信息、業務交易數據、業務產品數據、企業經營數據、機構數據、認證信息、生物特征信息、企業員工信息等大量業務和系統數據。這些數據由于業務需要在各個系統間不停的流轉銀行面臨的安全挑戰有以下方面：派拉軟件發展研究院瓜@零信任安全架構銀行零信任安全框架21技術特點銀行零信任安全框架風險，主要從身份安全、終端安全、網絡安全、API安全結合銀行業的遠程辦公、銀行一體化安全邏輯架構如圖2-1所示外部觸點外部觸點人《遠程辦公義交換與安全平臺￥信創平臺服務治理數據治理系統運維數字銀行》》這一解決終端運行環境的安全問題，由終端感知與終端防護兩部分組成。終端感知包括安全事件檢測、安全事件調查、遏制安全事件、以及修復至感染前的狀態；終端防護由漏洞利用預防/內存保護、應用控制/白名單、系統信任保證、網絡防火墻、可視性及微隔離幾大類組成。API安全W=解決各資源的數據交互與共享，實現API資產管理與監控，提供API編排滿足業務擴展的需要。對外提供最小權限的接口服務訪問，在實現業務互聯互通的前提下完成接口服務訪問控制，提供監控與審計，提高業務效率，增加用戶體驗，促進企業的合規性。目支持本地或私有云部署，如果涉及遠程辦公，臺網關服務器，組成SDP服務解決網絡訪問關服務器地址需要能被公有云和私有云訪問32數字銀行33系統運維業務場景實現●3.1遠程辦公隨著疫情常態化以及遠程辦公的發展，加快了越來越多的員工通過遠程方式接入金融體系內網系統，進行辦公和生產，金融企業在傳統辦公模式下的安全邊界正在被逐漸打破。為更加有效識別訪問對象與權限，保護后端網絡和服務資源，實現便捷、高效與安全辦公，已成為普遍共識，圍繞著從終端身份、訪問資源的用戶身份、終端到資源端的鏈路安全到訪問資源權限的自適應，以及資源實現隱藏來避免外部探測和攻擊等問題，我們需要構建基于零信任安全模型的遠程如圖3-1所示員工/用戶員工/用戶￥公藝CD￥API數據交換安全平臺￥圖3-1一體化安全辦公借助于零信任的ZTaaS可實現后端網絡的隱藏，實現終端身份先認證后連接，終端身份與用戶身份同時驗證，避免了匿名和不安全終端的接入，在鏈路建立之前就可獲得用戶對后端資源是否有訪問的權限，解決了匿名或未授權用戶的建設數字銀行的安全框架平臺，基于用戶、設備、系統等不同的訪問對象，統一內外部服務的安全接入，通過訪問身份認證和鑒權，減少身份與API數據泄露和攻擊風險，實現數據安全訪問；通過打通移動APP、微信小程序、第三方合作伙伴和企業內部應用的數據互聯互通，實現數據安全共享；通過API資產的統一管理與檢查API權限的安全，實現資產統計與業務系統安全保護；打通企業上下游業務，整合內外部服務能力，實現敏捷應對業務的變化。可實現企業生態建設，降低運營成本、擴大數據積累、提升客戶體驗。業務的發展需要用大量的操作系統與網絡設備來支撐，傳統的運維管理模式很難滿足安全與效率的平衡，甚至二者都不沾邊，運維人員的工作變得異常復雜和高風險，尤其對特權賬號的申請與授權非常敏感。金融機構面臨著如何實現資源的統一管控與特權賬號的全生命周期管理，操作系統或數據庫的細粒度訪問控制與審計，實現事前、事中、事后的全方位安全保護，在保障安全、監控、審計的前提下最大限度提高工作效率等多方面問題，要解決這些問題，我們需要構建一體化的安全運維平臺來解決。如圖3-3所示問安全合規與隱私保護派拉軟件發展研究院 數據安全是構建客戶信任的基礎，在數字經濟穩步發展的背景之下，數字化帶來的安全挑戰成為業界熱門話題，網絡安全也隨之升級為數字安全，安全合規與隱私保護愈發受到越來越多企業的關注。因此，從企業角度，應當著重從身份和權限治理、安全訪問、服務安全三個方面進行安全保護。在企業中，用戶或設備的身份信息都分散在各個業務系統中，企業在使用不同的業務服務過程中都存在由于身份信息的不同而存在數據的不一致性，權限也不盡相同，企業需要在每個業務系統中手動完成身份與權限信息的維護，容易引發以下幾個問題：中國人姓名的重名率很高，在數字化系統授權時往往造成困擾，甚至導致錯△每一員工的入職、轉正、更換部門或升職、離職都需要在所有的數字化系統外部用戶或供應商需要手工創建身份信息，在供應商完成工作后往往沒有及△離職員工不及時關閉賬號導致數據泄露。 過度授權導致用戶可以查看超出應有權限的數據，造成企業信息安全風險。△通過郵件或即時消息溝通身份和授權，往往會發生遺漏、錯誤的情況，從而A用AEAA用Am 身份管理平臺可連接多數據源，通過與HR系統聯動，當員工入職在HR中確認，員工身份數據實時同步到身份管理平臺中，平臺利用內置的規則，自動化開通相關的應用的訪問賬號(比如郵箱，OA,CRM等系統);當員工相關的數據變更的情況下，如改換手機號，平臺將實時同步數據到所有更改員工相關的業務系統中；當員工離職時，在幾秒鐘內即可完成所有賬號的鎖定，該員工將無法再訪問企業的業務系統。這些自動化的操作將很大程度提升管理效率，降低由于手工操作代來的風險。在身份管理中，所有的用戶、設備、系統身份和業務權限將集中呈現。設備和用戶的身份訪問前將同時驗證，每一個實體在哪些業務系統中擁有身份和權限將一目了然。身份和權限的可視化不僅提升管理員的工作效率，也有助于企業進行權限審計和管理，最大程度上避免過度授權。一方面，平臺通過單點登錄(SingleSignOn-SSO)來實現一次登錄全局訪問的能力，用戶只需登錄一次，通過平臺的用戶門戶即可訪問所有的經授權的數字化系統。另一方面，平臺提供用戶自助平臺，可以幫助用戶完成應用訪問申請、個人信息修改、綁定訪問設備、綁定社交賬號登錄等等，提升數字化應用的使用體驗。《業權管理一體化m——開時法加業切切 傳統的訪問需要借助于終端工具，例如VPN,而這種方式已遠不能滿足企業VPN包含終端軟件和服務端軟件，終端要建立與服務端的連接需要提供賬號終端需要事先知道服務端的地址和端口，驗證身份憑據后建立加密隧道，然后用戶通過其他工具訪問企業資源，如果用同一個VPN賬號和密碼在任何終端上同樣不具備細粒度訪問控制VPN的服務端只對來自終端的網絡身份進行驗證，至于用戶想干什么并不知道或者對是否有權限訪問企業中的資源無能為力，這就導致有網絡身份的用戶在訪問資源未驗證身份前在后端環境中可為所欲為，由于無法識別，整個后端環境VPN的終端只是解決與服務端的連接，而服務端到資源端的不存在加密隧道連接，也不提供對終端環境的檢測和保護，如果終端不安全，會據直接進入到后端環境。例如用戶換了終端繼續工作，如果更換的終端環境是高風險的，而用戶的權限并沒有發生變化，這就很可能出現安全問題，服務端到資源端的整個環境及易受到感染和攻擊。壓通平臺的零信任客戶端提供終端安全容器，對訪問設備進行安全保護，從終端到資源端提供全鏈路加密隧道來保障端到端的安全，在訪問過程中，不僅對用戶進行身份認證，同時也對訪問設備進行認證。對服務資源進行訪問時，直接參與到資源授權環節，保證了從設備到業務全程的安全管理。零信任訪問的數據定義邊界，需要通過軟件定義邊界(SoftwareDefinedPerimeter-SDP)技術，實現在建立訪問連接前需要完成安全認證。只有通過安全認證，SDP網關才能打開端口，從而降低網絡暴露面，減少攻擊的可能性。用戶要訪問后端的資源服務，啟動終端軟件后，輸入憑據，終端會向服務端的的認證服務發起單包認證模式，終端不會收到任何響應，直到服務端的認證服務完成對來自該終端的身份驗證后才通知服務端的可信網關開放有效端口給終端進行再次連接。利用零信任的網絡隱身能力，企業可以在任何環境下構建基于安全數據中心。零信任訪問中，不僅僅依賴于用戶和設備的認證。零信任通過訪問網關收集用戶訪問數據和訪問上下文信息(如常用設備，常用訪問地點，時間，設備指紋，訪問的操作行為等等)。通過大數據安全算法，分析當前用戶訪問的風險，到風險過高的情況下對訪問進行實時阻斷。4自適應最小權限授權●用戶在任何情況下都需要保持最小權限的訪問，平臺在運行過程中會采集用戶訪問期間在終端、網絡、可信網關、認證服務、后端的資源服務等信息，如果發現環境有變化，平臺會自動完成身份權限的調整，保持訪問安全。端到端的安全訪問基于用戶行為的風險分析網絡隱身能力自適應最小權限授權金m三性 API接口之間的調用缺乏有效管控，在企業沒有統一的標準下，各個服務供應商會根據自己的軟件標準實現相互的調用，由于沒有監管API的安全，結果會存在未授權的API、API授權過度、相互的調用無法追溯等API資產風險。要實現API安全，需要用到API管理平臺來解決，從API管理、API門戶、API網關、到API監控、API編排，平臺提供了完整的服務與安全功能，滿足服務安全的需求。以下是平臺的能力：0101API安全管理：API管理提供了API標準接口的定義、發布、上線、下線全生命周期管理，包括環境管理，通過平臺可以很直觀的看到各接口服務的數量與使用狀態，以及調用雙方與時間。當一個業務API無法滿足另一個業務時，平臺提供API接口編排的方式來滿足，實現了API的重復利用。2權限與審計：API網關會對接口服務的調用進行身份識別與鑒權，保障API的調用為最小權限，并對接口調用雙方進行全方位的審計，做到調用可追溯，當被調方繁忙或在設定的時間范圍內沒響應時，會實現接口間的負載均衡做出及時響應，避免調用方的超時異常，增加了業務之間訪問的可持續性和高可用性，促進了企業的合規性。3服務自助接入：平臺提供API門戶，按照企業的統一接入標準提供自助接入SDK和文檔說明，供API發布或使用廠商及自開發應用人員完成調用接口開發與對接，實現標準接口注冊、授權、注銷流程化，最大限度提高了業務的敏捷與安全。4數據可視化：API監控為業務系統API安全及API之間的調用狀態提供了監管可視化，包括時間范圍內