银行信息资产安全内控系统建设与应用方案.docx

《银行信息资产安全内控系统建设与应用方案.docx》由会员分享，可在线阅读，更多相关《银行信息资产安全内控系统建设与应用方案.docx（38页珍藏版）》请在第一文库网上搜索。

1、企业信息资产安全内控系统银行业应用方案目录总论41 i72银行业在信息资产安全内控方面的主要风险点83系统解决方案101.1 行内机密文件外泄风险101.2 行内机密文件流转范围控制风险111.3 机密文件外发被二次扩散风险121.4 移动终端泄密风险131.5 文m员毁丢失风险141.6 网间文彳辘渡风险151.7 OA系统中机密信息文件外泄风险174企业信息资产安全内控系统概述184.1 文件在流转过程中的安全184.1.1 驱动级透明加解密技术184.1.2 多维权限控制194.1.4 灵活的防扩散设置策略204.1.5 默认离线214.1.6 离线申请214.1.7 外发申请224.1

2、.8 解密申请224.1.9 工作流标隹234.2 文件在客户端的安全234.2.1 客户端吾曙234.2.2 客户端的兼容性244.2.3 客户端资源占用24424客户端的安全接入254.2.5 客户端的安全登录25426客户端防破解25427客户端进程屏蔽254.2.8 客户端文件自动同步264.2.9 客户端扫描加密2643文件在服务器端的安全2643.1 自构的1inux系统2643.2 OSS存储架构2743.3 硬件安全2843.4 4系统监控2843.6 整合第三方认证系统2943.7 网络交互294.4 系统蛇拓扑图304.4.1 单点单SS:304.4.2 多点单SS304.

3、4.3 多点多SS314.5 系统应用收益325应用案例345.1 客户的挑战与目标345.1.1 科技部门科技类文档345.1.2 提供给业务部分析的交易数据345.1.3 磁信用卡中心345.2 项目解决方案35521科技类文档的安全使用355.2.1 交易数据的安全使用355.2.2 外包信用卡中信息的安全使用35524安全网络交互365.2.5 法规遵从、日志审计365.2.6 部署示意图37总论企业信息资产安全内科系统采用软硬一体的设计架构,能将分散在各部门各员工个人手中的电子文件进行集中管理、安全的保存，并让这些文件（包括集中管理的和各终端电脑上的底可控状态下使用、不会被外泄、进行

4、有效的防扩散，即使被非法外带也不能打开获取其中的内容。软硬一体的解决方案给客户提供了一套完整的解决方案。在企业的信息管理中，对于管理员的管理往往是最大的漏洞。管理员通常拥有最高的权限，可以通过种种手段对企业的信息系统进行泄露和破坏,而其对于机密文件的涉密级别往往又是非常低的，系统软硬一体的解决方案，从最大程度上规避了管理员的黑洞问题：传统文档安全的软件解决方案我司解决方案文档安全管理员拥有服务器最高权限，可以任意复制、删除服务器操作系统中的机密文档。甚至重置用户密码从而获得相应权限。管理员无法访问服务端文件，系统可以限制管理员重置用户密码。底层数据管理员可以查看其他任何人的信息，即使安全系统对

5、管理员的权限做了限制，管理员也可以绕开系统直接查看底层数据库来访问企业的关键信息。软硬一体的解决方案，屏蔽所有底层实现细节和数据，安全可靠。克隆镜像管理员可以通过Ghost等工具将公司的文档安全系统或文件系统带到外部，再进行暴力破解或泄密。屏蔽底层操作系统，无法被镜像工具克隆或复制。反编译管理员可以通过DbgView.Softice等工具对公司的安全系统进行反编译破解。软硬一体的架构彻只提供了Web管理界面，彻底堵死了这种漏洞权限管理管理员往往可以任意分配权限，具有巨大的安全漏洞。通过硬件狗管理权限分配等敏感操作，限制了管理员的权限。灵活的安全策略用户可以选择全局主动加密和局部被动加密的配置方

6、案；加密进程可以根据不同的部门和机器组进行设置厩根据不同的部门或机器可以设定文件是由程序自动进行强制加密还是由用户自行判断当前文件是否需要加密,这样在一个企业内部可以同时存在不同安全级别的应用环境,在安全性及可用性上实现了最大的平衡。易用性客户端针对同一种文彳牛格式（如：word文档），可以同时存在加密的文件和非加密的文件。客户端可以同时打开机密文件和非机密文件，此时数据可以方便的从非机密文件流转到机密文件，但不能从机密文件外泄到非机密文件。细致的文件授权通过精细化的共享权限设置,文档可以在不同的用户、角色、部门之间共享，还可以与特定机器绑定，策略设置灵活，共享范围可控。采用驱动级透明加解密技

7、术采用微软最新MiniFiIter驱动架构,和操作系统、杀毒软件、应用程序等具有广泛的兼容性，和微软操作系统后续版本的兼容性上将更具优势。组织内正常工作使用文件不受任何影响，一旦脱离组织环境，文件被非法带出后将不能使用，更不能打开获取文件的内容。机密文档集中管理在企业中机密文件往往包含着至关重要的企业商业机密，这些内容是企业信息资产的一部分,对于企业业务拓展、保持业务可持续发展都有着关键性的作用,因此不应任由这些关键性的企业资产留存于员工的个人电脑中,将其统一集中的保存起来变得尤为关键。系统通过软硬一体的整体解决方案实现了对非结构化数据的全生命周期管理。对企业内部文件的共享、归档、流转、数据备

8、份等方面实现了整体有效控制1前言信息安全是金融行业永恒的话题。如何利用信息技术的优势加强金融机构的内部控制，提高金融监管和服务水平，防范和化解金融风险，促进金融改革和创新，从而推动我国经济社会的发展，是当前我国金融业信息化建设面临的重大问题。金融信息系统各应用系统相互牵连、使用对象多样化、安全风险的多方位、信息可靠性、保密性要求高等特征构成了金融系统的突出特点。国际金融危机以来，金融系统的风险控制和监管被提到了前所未有的高度。2银行业在信息资产安全内控方面的主要风险点随着社会经济的发展，银行业务呈现出业务量大、种类多、服务需更加便民等特点,这些都要求信息系统建设持续发展,核心账务系统、网银系统

9、、个贷系统、自助终端等蓬勃发展。在系统的开发、实施、维护过程中，很大程度上需要和第三方合作;为掌握相关信息往往需要从相关应用系统中导出一些信息提交给相关部门进行挖掘分析；内外网虽已进行隔离，但内外网通过移动存储设备等进行数据交互时的安全控制策略比较薄弱。以上这些情况都存在信息资产泄露的风险，下面我们列举一些日常工作中存在信息资产泄露风险的工作场景：1、科技部门经常需要从部分业务系统导出一些交易数据给相关部门进行挖掘分析，这些交易数据本身包含大量的客户信息，如果外泄将会给银行带来巨大的负面影响，分析的结果如果外泄到竞争对手处或在行内扩大了流转范围也会带来巨大的损失。2、科技部门在进行系统的开发、

10、实施及维护的过程中，产生大量的科技文档，像网络拓扑、系统参数配置、运维规范、紧急预案等。这类文档如外泄到一些有不良企图的人手中，相关系统就会多一分安全隐患；另外这类文件的损毁或丢失也可能直接或间接的将直接影响到银行业务系统的正常运行。3、现阶段，银行各网点基本都有ATM等便民设备,这些设备的维护需要一定的专业技术和人力成本，一些银行将这些维护工作外包给第三方，第三方在进行设备维护时经常需要银行提供这些设备的参数配置信息，这些参数配置信息文件如外泄到有不良企图的人员手中，相关设备就会增加一分安全隐患。4、信用卡部的很多业务都是外包给第三方的，这些外包公司在日常工作中接触很多银行内部的信息文件，其

11、中一些文件含有大量的银行客户的信息资料,如姓名、住址、联系方式、收入情况等，这些信息如外泄将会给银行带来严重的负面影响，如何保证这些信息文件外包公司在银行内正常使用又不会被他们外泄呢？5、一些银行允许一些管理人员回家后加班并使用行内系统中的相关文件，如何保障这些人员在使用相关文件时不泄露这些文件呢？6、已进行内外网隔离，但内外网间还需要进行文件交互，一些银行采用移动存储或安全U盘的方式在内外间进行文件交互,如何保障内外网在进行文件交互时内网的敏感信息文件不会被外泄外网的不安全的可执行文件不会传输到内网？7、OA系统给行里日常办公带来极大的规范性和便捷性，该系统里含有大量的行里的需要保密的文件，

12、如何保证这些文件不外泄呢？综上所述我们可以将这些场景的风险点汇总为：D行内机密文件外泄风险2）行内机密文件流转范围控制风险3）机密文件外发被二次扩散风险4）移动终端泄密风险5）文件损毁丢失风险6）网间文件摆渡风险7）OA系统机密信息文件外泄风险接下来我们看一下企业信息资产安全内控系统是如何解决上述日常工作中存在的信息资产安全内控方面的风险点的。3系统解决方案企业信息资产安全内控系统银行业需求解决方案正是在了解银行业在信息资产安全内控方面的各风险点的基础上推出的整体解决方案,下面就安全内控系统各功能点如何解决上述各风险点进行描述：3.1 行内机密文件外泄风险在行内部署企业安全内控系统，在日常工作

13、中要接触使用带有机密信息文件的终端电脑上部署安全内控系统客户端，将含有机密信息的文件进行加密。在行内被授权的用户在认证过的合法终端上可正常使用这些机密文件,感觉不到加解密过程，不改变用户的使用习惯。而这些机密文件被保护后，用户使用任何传播途径（包括U盘、移动硬盘、邮件、光盘等）都无法使机密文件在公司外部等无认证的环境下使用。这样前面描述的业务分析部门使用的交易数据、挖掘分析的结果，科技部门的科技文档，信用卡部的客户信息资料就不会被外泄，非法外带的机密文件将不3.2 能打开使用。3.3 行内机密文件流转范围控制风险首先，在日常工作中要接触使用带有机密信息文件的终端电脑上部署安全内控系统客户端，将

14、需要控制访问范围的文件上传到系统服务器上（也可直接针对本地机密文件直接操作），并针对不同的用户、部门、角色设定访问功能点授权（包括查看、下载、修改、覆盖、打印、截屏、再授权、删除权限，还可设定授予权限的截止时间点系统另外还提供针对硬件终端的授权，机密文件的流转范围可以限制为整个行内、部门内、甚至细化到某台终端电脑上。工作的文档同时还可以设定文件密级以进一步控制文件流转范围。前面提到的交易数据挖掘分析结果及科技类文档都可通过权限控制在行内控制机密文件的流转范围，没有得到授权的人是看不到相关文件的，更不可能获取机密文件的内容信息。3.43.5 机密文件外发被二次扩散风险该风险点可通过安全内控系统的

15、机密文件外发功能解决，在相关责任人审批同意后以外发包的形式将这些文件外发给第三方,可对这些外发的文件进行有效的控制，可控制使用时间段、打开次数、在那台终端电脑上使用、是否允许打印、在那些打印机上打印，防止这些文件被二次扩散。3.6 前面说的将ATM维护外包给第三方的情况，银行在提交ATM相关设备的参数配置信息文件时可通过安全内控系统的外发功能控制这些文件的使用时间段、打开次数、是否允许打印等，从而防止这类文件外发后被二次扩散。3.7 移动终端泄密风险在脱离银行环境还要使用行内信息文件的移动终端电脑上部署安全内控系统客户端,被授权的用户在许可的范围内通过这些认证过的合法移动终端可正常使用行里的相关信息文件，合法移动终端可通过VPN方式连接到行里，安全内控系统的客户端和服务器间的通讯采用SS1加密协议，在通讯过程中外界无法通过非法手段进行相关信息的窃取。这些文件如被非法移出这些合法的移动终端将不能打开使用，非法打开的表现形式如下图。移动终端如丢失，拾到者也无法非法打开使用终端上的机密信息