当前位置:首页->交流->实务
浅谈大数据信息化稽核规划
2014-10-22 11:25:44

为了应对当前复杂多变的互联网金融服务市场现状,集团制定了互联网应用战略规划方案,计划通过利用移动互联网、物联网、大数据和云计算等技术,实施六大关键举措,充实五大支撑体系,打造网络金融平台经济新模式。

集团互联网应用战略规划共包括网络金融、产品生态、产品与风控、营销与服务转型、集团治理、科技动力等六大举措,共25个项目。  

为了配合集团互联网信息化建设的战略规划,发挥稽核中心在集团中的核心稽核功能,迎接伴随大数据、云计算而来的大稽核时代的来临,稽核中心非现场稽核部致力于建立完善的非现场风险监控管理体系,尤其重点关注信息化建设的风险监控等相关内容,并积极进行探索研究。

一、 大数据背景介绍

大数据技术能够将隐藏于海量数据中的信息和知识挖掘出来,为企业高层管理人员提供决策依据,从而提高各个业务部门的运行效率,大大提高企业管理的集约化程度,故发展大数据产业将有力地推动转变企业的经营管理方式,对于提升企业竞争力和管理服务能力具有紧迫的积极意义。

当前国内互联网应用呈现井喷式的发展。从上图,我们可以看出,随着用户数量、应用数量以及终端数量的激增,其产生的信息量也成几何倍数地增长着,而信息量的急剧增长同时也对信息安全也带来了严重的挑战。

二、 大数据时代带来的信息安全挑战

一方面,大数据时代的迅速发展对集团共享中心的基础架构设施的体系建设提出了严峻的挑战,因其用户访问量是前所未有的,可以预见的是更多的网络设备将同时访问数据中心,这包括智能手机、平板电脑、台式机、笔记本、甚至正在马路上行驶的汽车。此时,共享中心数据机房面临的压力将是难以想象的,比如铁道部当年推出的在线订票系统,成千上万的人同时访问的时候,网站所有服务都陷入了瘫痪。

另一方面,大数据产品的专业性和其不同于传统的解决方案,需要提供产品开发方案的外包厂商提供全方位的专业化的服务,帮助共享中心跨过应用开发门槛。此外,针对用户在整个数据处理环节提供全方位的专业化的服务,外包厂商亦需协助共享中心应用开发部门明确用户应用需求,选择适合的软硬件架构,提供开发方面的支持,并帮助共享中心开发部门把程序从原有的传统模式移植到大数据互联网处理模式下,从调整优化直至上线应用提供整体一条龙的服务

从以上两个角度考虑,信息量的剧增给基础架构设施建设带来的严峻挑战、互联网应用产品处理方案的模式转移的复杂多样性、外包厂商的管理控制可能出现的疏忽,未来都有可能会导致共享中心出现信息安全的问题。对此类集团信息化建设中的信息安全问题,稽核中心一直以来均保持密切关注,并于2013年组织实施了“共享中心信息安全IT稽核项目”,对集团共享中心的信息化管理现状从整体上作了全面有效的评估,今后亦会继续保持持续监控,并重点关注大数据方面带来的信息安全相关风险。

要深入理解大数据时代带来的信息安全问题及相关的风险控制措施,我们可以从数据提供者、大数据应用提供者、大数据架构提供者、数据消费者的数据交互的关键控制节点进行风险识别及分类,详见以下A、B两图:

A: 数据提供者、大数据应用提供者、大数据架构提供者、数据消费者的角色职责与交互功能。

                   

B: 数据提供者、大数据应用提供者、大数据架构提供者、数据消费者信息交互过程中应该关注的控制元素。

                    

从上面A、B两图可以看出:

在大数据提供者与大数据应用提供者之间,应重点关注终端输入有效性、实时安全监控、数据发现及分类、安全数据聚合等,进一步结合系统软件生命周期的开发管理流程来阐述,即稽核中心会关注产险、寿险、养老等专业子公司相关业务部门与共享中心在互联网应用开发过程中的需求沟通、系统架构设计、系统上线测试变更、系统部署及运维管理、最终产品验收的管理标准等一系列关键流程节点;

在大数据应用提供者与大数据架构提供者之间,稽核中心会关注外包人员管理制度的标准规范化、数据的安全加密、共享中心的安全访问控制、敏感数据颗粒度的划分的合理性、数据存储安全与日志监控、DDoS攻击等;

在大数据应用提供者与数据消费者之间,稽核中心会重点关注数据的隐私保护、系统数据流的全过程监控、业务流程的可用合理性、监管部门的合规检查、因数据泄露可能引起的法律声誉风险等。

三、 大数据时代的信息安全监控体系规划

通过分析信息安全面临的各项挑战,可以进一步归纳分类,便于集中管理控制,参见以下C图:

                               

通过分析以上C图的信息安全问题,稽核中心准备在今后的工作中在基础架构安全、数据隐私、数据管理、完整性被动安全这四大层面上明确一级关键风险指标及对应的控制措施,并在此基础上大胆尝试并积极探索非现场监控体系—大数据安全部分的风险监控指标体系,满足集团领导强调的稽核关口前移的工作要求:

1) 基础架构安全

风险监控体系指标:

Ø 敏感数据的访问

Ø 缺乏严格的身份认证和授权机制

Ø 节点数据的通信安全

Ø 代码编写的标准不统一

Ø SQL注入

Ø 

风险应对控制措施:

严格落实权限访问控制措施

中间件执行控制

加密传输数据,不使用明文密码

对SSL/TLS进行节点通信防护

2) 数据隐私

风险监控体系指标:

Ø 主机漏洞被利用

Ø 内部威胁

Ø 外包人员计算机的非法访问

Ø 角色与权限矩阵的持续跟踪

Ø 

风险应对控制措施:

对非使用中的数据加密、执行访问控制及认证措施等

职责分离强化控制

全同态加密

加强数据库访问日志的持续监控

3) 数据管理

风险监控体系指标:

Ø 数据机密性及完整性

Ø 审计信息分散凌乱

Ø 不能确定数据来源的安全性

Ø 数据与原数据的一致性

Ø 

风险应对控制措施:

加密及数字签名

身份认证技术

信息摘要

采用统一的数据平台管理软件

4) 完整性被动安全

风险监测体系指标:

Ø 终端设备或APP被篡改

Ø 终端设备被克隆仿制

Ø 安全监测软件的自我检测

Ø 恶意病毒的植入窃取并损坏数据

Ø 

风险应对控制措施:

软件增强防篡改性

授权认证及授权设备

安全编程规范检查

异常值发现及分析

今后,稽核中心会继续深入探索,针对集团的互联网战略规划研究可行的稽核应对方案,并积极与共享中心、产险、寿险、养老等集团各子公司进行深入交流,以应对大数据时代带来的各项信息安全风险挑战。(中国太平保险集团稽核中心 刘国慧