以往,數據是孤立、靜止的,是存在于單位內部的“自有資產”,通過建立“安全邊界”予以保護。邊界安全時代,安全建設強調邊界防御,安全解決方案關注單位內部有沒有安全漏洞、安全后門,以及發生安全事件后是否有能力進行回溯。
隨著“互聯網+”的推進,數據作為一種“資源”,不斷流動、集中、交換、共享,發揮巨大價值。信息孤島被打破的同時,安全邊界也在逐漸消失,新安全時代,傳統的邊界安全機制無法保護流動中的數據安全,數據安全面臨新的挑戰。
國家層面對數據安全的要求上升到一個新的高度。2017年6月,《網絡安全法》正式實行,2018年6月,又新發布了《網絡安全等級保護條例(征求意見稿)》。作為《網絡安全法》的重要配套法規,對數據擁有者安全保護責任和義務提出了更加具體、操作性也更強的要求。
為解決無邊界網絡中的數據安全問題,Forrester的John Kindervag于2010年,提出了“零信任架構”的概念,如今,零信任架構已經成為最流行的網絡安全框架之一。
“零信任架構”的中心思想是,企業不應自動信任內部或外部的任何人/事/物,應在授權前對任何試圖接入企業系統的人/事/物進行驗證。零信任模型上打破了舊式邊界防護思維,即專注防御邊界,假定已經在邊界內的任何事物都不會造成威脅,因而邊界內部事物基本暢通無阻,全都擁有訪問權限。而零信任的策略就是,不相信任何人,“因為如果你信任所有東西,你就沒機會保住任何東西的安全”。
美創以零信任架構重構數據安全。
1、多維度身份認證、實時檢測密碼猜測和密碼泄露,加強安全準入;
2、提供全面、精確的操作審計;
3、對敏感數據進行加密保護,對應用系統“透明”,防止拖庫等攻擊。
1、動態脫敏規范運維訪問;
2、靜態脫敏管理來自開發、測試、數據倉庫應用等的數據請求;
3、利用白名單和SQL注入特征庫進行威脅的發現和自動攔截,防止外部入侵;
4、業務安全監測系統來復原業務操作,規范業務操作流程,防止業務流程違規。
1、防勒索產品對落地數據進行保護。以應用白名單為核心,只有被信任的應用才可以修改被保護的文檔和數據庫、在啞終端上運行。
1、整個流動數據安全保護的核心,涉及個人隱私且與業務無關的共享數據,都要進行脫敏保護;
2、業務安全監測系統對來自外網的訪問流量進行學習、分析、建模和違規預警;
3、核心區域的敏感數據支持字段級別加密,數據文件離開核心區域后,非法恢復的數據是亂碼,從而保證數據流動過程中的安全性。