数据安全背景

近年来国内外众多行业信息泄露事件频发,信息泄密的方式和影响范围不断升级,给涉事单位造成重大经济损失及不良社会影响,一系列信息泄露事件也给人们敲响保护数据安全的警钟。

信息泄露事件频发的背后,是互联网地下黑色产业链正日益壮大:黑客用技术手段对企事业单位网络系统进行攻击,然后将获得数据中的用户信息拿到“黑市”上贩卖;并根据数据内容的价值,为其标注不同的价格。10000条用户数据就能卖到几百至上千元不等的价格,而这也成为黑客攻击网站、系统,获得信息数据的最大驱动力。信息泄露事件逐年增多为国家级各行业部门敲响了警钟。

国土行业现状分析

整体业务现状

按照国土行业“一个平台、两个市场”项目的总体规划部署,利用云计算和大数据等新技术,依照“平台+数据+应用”的设计理念,完成了以土地类和矿产类为主的各类数据资源的汇聚和整合,建立了土地和矿产“一张图”核心数据库,建成了政务办公、土地管理、矿产管理、测绘管理、地质环境管理、执法监察、综合监管和数据应用8类业务。

随着国务院新组建“自然资源部”的挂牌,各省级行政职能及业务系统也将同步调整,对应的数据整合、平台整合工作也将快速推进中。在信息共享、权限分配、审批流程等方面也将不断融合。

在此整合调整期间将不可避免的会产生数据安全防护滞后,存在数据信息泄密的风险,加强对数据安全用户行为的审计工作,将是不可或缺的业务支撑保障手段之一。

业务需求分析

为全面提升省国土厅信息化安全建设水平,构建完善的网络安全体系,加强对业务敏感数据防护能力,可在现有信息化安全防护手段的基础上,建立“数据安全运营服务平台”,运营服务平台采用省国土资源厅提出建设规划,安全承建方与国土厅共同参与运营的思路。采用“人+平台+服务”的综合模式,实现对国土行业业务系统的综合监测,定期出具监测报告及分析报告;根据国土行业的业务管理要求,运营双方共同梳理理解业务部门的管理要求,定义业务管理规则,不断监测业务运转情况,并优化业务规则,逐步完善数据安全防护管理能力;人工研判是运营工作中个性化管理,业务优化提升的关键,通过组织相关人员不断对数据安全综合防护运营管理平台的数据分析、流程流转数据分析,去除合规操作,从而找出非法不合规项,从而提升数据分析的价值,为业务系统的优化提升,做好数据分析保障。

解决方案

数据安全运营服务理念

随着国家对网络安全的重视,国家网络安全法的发布实施,《国务院办公厅关于印发政务信息系统整合共享实施方案的通知》(国办发〔2017〕39号)以及山东省人民政府办公厅《关于印发山东省政务信息系统整合共享实施方案的通知》(鲁政办发〔2017〕75号)的印发,山东省政务信息系统将按照“先联通,后提高”的原则,在2017年年底初步实现部门主要政务信息资源共享和开放基础上,力争到2018年年底,通过“统筹一片云(电子政务云),规范两张网(电子政务内网、电子政务外网),建成三大体系(数据资源体系、政务服务体系、业务协同体系),强化四个支撑(政策支撑、产业支撑、标准支撑、安全支撑),落实五项保障(体制保障、财力保障、智力保障、监督保障、审计保障)”,形成设施集约统一、资源有效共享、业务有机协同、工作有力推进的“12345”发展格局。

随着通知中要求推进的“12345”发展格局的建设,越来越多的单位已经意识到数据安全运营服务的重要性,通过加强各单位的数据安全运营服务的能力,更好地提升业务数据的安全性,从而保障业务工作的良性发展。

当前的网络安全模式的发展可分为非体系化防护、体系化防护、效益运营三个阶段。

非体系化防护阶段:各单位部署基本的防护设备,实现事件的应对处理;

体系化防护阶段:各单位搭建基本的安全体系结构,实现基本的风险管理,保障业务的连续性和应急处理,满足合 规性管理要求;

效益防护阶段:个别单位构建完备的安全运营体系,建立高持续威胁防御,做到灾难预见防护,实现有效性效益性提升。 规性管理要求;

效益防护阶段的安全思路需要从结构化思维转换到运营思维、流思维,最终落实到包含业务体系、威胁体系、保障体系等三方面体系的安全三要素上面。并以日志审计类技术保障为基础,收集各类业务日志、安全日志,进行深度业务流程分析、高级事件分析,从而提升整个业务安全保障体系的有效性,最终升华到“威胁场景”的高度,形成三要素思维、运营思维。以面向业务价值保护为目标,形成业务威胁结构与业务威胁实例的的流思维。最终形成包含业务运营体系、威胁运营体系、安全保障运营体系的整体运营体系建设。

数据安全运营服务实现以效益运营为目标,打造一套运营体系,建设一个数据安全运营服务平台,提升三项运营能力。

运营体系是数据安全运营服务的指导纲领,主要内容包括:

在运营体系,结构化建模上遵循标准规范的前提下,以安全技术体系为实现基础,融合业务管理的安全思路,最终实现技术与管理结合保障,运维与风险持续可控,做到全网安全与业务的统筹监管,人员能力全面提高,符合信息发展的科学规划。

数据安全运营服务方案架构

数据安全运营服务方案架构,采用对全网各业务系统信息源的数据采集,通过对现有网络安全设备、业务系统数据、业务管理规则、业务日志数据等的数据感知,把相关数据提取推送至大数据技术平台中,通过大数据技术平台的数据分类存储、数据泛化、数据模型的运算,实现数据的有序存储,根据安全运营服务平台中定义的业务规则、安全规则、策略定义、预警阈值的设定等配置工作,为业务部门用户、信息及运维部门用户等提供相应的数据分析、报表统计、业务预警、综合数据分析展示等功能。

数据安全运营服务价值

数据安全运营服务是一个长期的系统性工程,采用“人+平台+服务”的持续监控与分析,通过“总体规划、分步实施”的建设理念,逐步建成“闭环的数据安全运营管理服务”体系,从而发挥系统性的价值,主要价值包括:

威胁预测能力
通过对全网威胁情报预警的攻击预测、全面掌握数据安全资产、实现日常及重要时期的安全检查工作,提升威胁攻击预测能力。
威胁防护能力
通过业务规则优化、安全策略优化、安全基线评估加固、系统上线安全检查、安全产品运行维护等工作的开展,达到事件的预防能力。
持续检测能力
通过对业务系统、全网流量的数据风险分析、应用系统失陷检测及代码审计、渗透测试等工作的开展,配合等级保护测评工作的合规性检查工作,实现对事件的持续检测能力。
响应处置能力
通过对业务数据风险、安全事件的研判分析,安全事件的实时通报及安全应急响应处置,进行不定期的攻防演练,做到对事件的控制,提升响应处置能力。

数据安全背景

近年来国内外众多行业信息泄露事件频发,信息泄密的方式和影响范围不断升级,给涉事单位造成重大经济损失及不良社会影响,一系列信息泄露事件也给人们敲响保护数据安全的警钟。

信息泄露事件频发的背后,是互联网地下黑色产业链正日益壮大:黑客用技术手段对企事业单位网络系统进行攻击,然后将获得数据中的用户信息拿到“黑市”上贩卖;并根据数据内容的价值,为其标注不同的价格。10000条用户数据就能卖到几百至上千元不等的价格,而这也成为黑客攻击网站、系统,获得信息数据的最大驱动力。信息泄露事件逐年增多为国家级各行业部门敲响了警钟。

在数据资产价值持续升温的今天,数据安全用户行为审计已成为信息安全的基础防御手段。数据安全用户行为审计不但需要满足各类法令法规(如SOX、PCI、企业内控管理、等级保护等)的要求,同时还是政府和企业降低自身运营风险的必要手段。

需求分析及存在的风险

近年来国内外众多行业信息泄露事件频发,信息泄密的方式和影响范围不断升级,给涉事单位造成重大经济损失及不良社会影响,一系列信息泄露事件也给人们敲响保护数据安全的警钟。

信息泄露事件频发的背后,是互联网地下黑色产业链正日益壮大:黑客用技术手段对企事业单位网络系统进行攻击,然后将获得数据中的用户信息拿到“黑市”上贩卖;并根据数据内容的价值,为其标注不同的价格。10000条用户数据就能卖到几百至上千元不等的价格,而这也成为黑客攻击网站、系统,获得信息数据的最大驱动力。信息泄露事件逐年增多为国家级各行业部门敲响了警钟。

在数据资产价值持续升温的今天,数据安全用户行为审计已成为信息安全的基础防御手段。数据安全用户行为审计不但需要满足各类法令法规(如SOX、PCI、企业内控管理、等级保护等)的要求,同时还是政府和企业降低自身运营风险的必要手段。

业务需求分析

随着国家对确权登记工作的业务深入开展,特别是自2016年全面开展不动产登记工作以来,登记信息的管理越来越受到各级部门的重视,如2016年3月18日,网上曝光某明星房产信息泄露事件等,已经造成社会对隐私信息保护的担忧。

国土资源部办公厅《关于做好不动产登记信息安全工作的通知》(国土资厅发〔2015〕38号)中要求“一、高度重视,强化信息安全责任意识 …必须从源头上防止登记资料丢失、数据泄密等信息安全问题的产生。三、加强监管,消除信息安全隐患 …定期对工作人员进行信息安全教育培训,从技术、人员等方面进行全方位全程监管,及时消除隐患,阻塞漏洞。对违反信息安全规定的,要给予严肃处理,对造成信息安全事故的,要依法追究当事人和有关负责人的责任。”

数据安全存在的风险

经过安全行业统计,有78%的数据泄密是人为泄密,这其中“内部恶意人士偷盗数据”的占统计的58%,“操作失误导致数据丢失或泄密”的占统计的12%,“错误的权限管理体系”的占统计的8%,“来自企业外部的病毒木马入侵”占统计的22%。

(图一:风险场景一)

国土资源部门作为国家重要管理部门,各业务系统中均包含大量用户资料及涉密信息,这些数据信息能够被工作人员、业务接口人员查询,并可趁办业务之机,查询客户资料,截图或拍照并私存或倒卖,稍微对企业不满或者被不法分子拉拢的员工都可能通过各种形式窃取这些敏感资料,从中非法获利,存在极大的数据资产泄密风险。

(图二:风险场景二)

在内部的非法威胁中包括P2P公司、小额贷款公司为了对借款人的信用进行评估,通过非正常的金钱交易获取相关信息,追债公司为了对借款人定位及还款能力进行确认,通过金钱方式从内部人员获取信息,以及房屋中介公司为了经营方便,通过内部人员获取大量房产信息来支撑市场等倒卖信息的情况发生。近几年媒体频频曝光不法分子非法获得个人房产信息、数量、位置等信息并发布在网络环境中,已经造成社会对隐私信息保护的担忧。

实现方案

数据安全用户行为审计系统是为减少企事业敏感数据泄密问题,而面向各单位核心数据的防护而开发的敏感数据用户行为审计系统系统。审计系统致力于解决单位内部人员,在业务操作过程中人为因素而造成的泄密问题,实现追根溯源,定位泄密责任人,从而加强企业内部的敏感数据安全管理。发布在网络环境中,已经造成社会对隐私信息保护的担忧。

系统架构
业务范围

敏感网页审计:以网页方式操作的应用系统的包含敏感信息的页面审计。

数据库审计:实现对Oracle、DB2、SQL Server等主流数据库的审计。

协议审计:实现对Telnet, FTP, HTTP, VLAN, MPLS,POP3,SMTP等协议审计。

终端管控审计:移动存储使用、无线网卡使用、打印机的使用、即时通讯的使用审计。

业务操作审计:实现对前台操作同步录像功能。

深化方向

用户行为审计的方向以业务系统账号审计为基础,发现账户操作中的不合规性,逐步扩展到业务流程审计的深化,提升业务流程的优化调整,最终实现关联分析的综合审计,提升业务系统的运行效率。

实现目标

审计系统主要从业务人员行为审计、行为控制、敏感操作报警等角度出发,使敏感数据在可控制范围内被合理使用。通过记录针对操作员操作行为的安全日志,为审计管理、事故定责提供凭证,提升数据安全管控能力。

审计系统可监控员工对敏感数据的操作,精确识别敏感内容。对可疑的敏感操作以及泄密动作,能快速定位员工账号,同时发出实时报警,并记录行为日志;

审计系统嵌入了基于内容检索的日志专用搜索引擎,支持TB级数据快速检索,从海量的数据中迅速提取所需数据,能够快速便捷的协助安全专员查询审计日志;

审计系统报表统计功能,从全局统计各类业务操作的次数、趋势、比例等,协助安全员发现异常数据,为信息安全改进计划提供数据支持;

审计系统能根据业务数据流向,将各设备日志、软硬件上获取的日志进行整合,通过内容检索引擎,形成基于业务流程的行为审计日志;

通过平台审计报表,管理层将全局了解IT安全现状。图形化的统计结果使敏感数据使用情况一目了然,为决策提供支持;

通过终端管控,阻断信息泄露途径,配合视频监控、打印监控等功能震慑违法行为。

解决方案价值

符合国家有关法律法规的要求,满足IT审计需要。例如《国土资源部办公厅关于做好不动产登记信息安全工作的通知 国土资厅发〔2015〕38号》

对单位的业务系统来说,真正重要的核心信息资产往往存放在少数几个关键系统上(如数据库服务器、应用服务器等),通过使用安全审计系统,能够加强对这些关键系统的审计以及敏感数据的外泄,从而有效地减少对核心信息资产的破坏和泄漏。

敏感数据审计及防泄密监控体系能够完整的诠释责任认定体系。通过稳定而成熟的安全防护技术,可以建立起一个行为不可抵赖、数据可靠,完整并且强有力的责任认定体系。

通过从不同层面对支付系统中各种设备的操作和管理行为,包括本地操作和远程操作的综合审计,可以很好的将上述行为记录下来,并且长时间保存,可以达到很好的达到审计监控目的,从而有效进行责任认定。

从内控的角度来看,IT系统的使用权、管理权与监督权必须三权分立。在三权分立的基础上实施内控与审计,有效地控制操作风险(包括业务操作风险与运维操作风险等)。安全审计实现独立的审计与三权分立,完善IT内控机制。

从关键页面的访问及操作频率分析出有风险的违规操作(例如频繁访问特殊姓名、数字、页面等),对异常操作进行预警,可以有效防范违规操作及数据泄露事件的发生。同时配合完善的内控机制,可以杜绝信息泄露的可能性。