数据防泄漏保护咨询方案课件

目录数据防泄漏保护一般原理数据防泄漏保护一般原理1 1易聆科数据防泄漏方案易聆科数据防泄漏方案2 2信息安全保护什么C C机密性（Confidentiality）确保信息在存储、使用、传输过程中不会泄漏给非授权用户或实体。完整性（Integrity）确保信息在存储、使用、传输过程中不会被非授权篡改，防止授权用户或实体不恰当地修改信息，保持信息内部和外部的一致性。可用性（Availability）确保授权用户或实体对信息及资源的正常使用不会被异常拒绝，允许其可靠而及时地访问信息及资源。保护信息资产的机密性、完整性和可用性（C.I.A）让组织的业务运作顺畅、安全I IA A一般原理业务报表设计资料客户资料财务报告战略报告审计报告重要邮件会议纪要企业秘密客户信息知识产权隐私数据健康数据信用卡号合规数据数据是企业信息安全的核心目标一般原理4发现和评估数据分类定义有效的策略实施控制监控,报告和审计1234512345发现保存在所有位置的敏感数据，对风险进行评估确保安全的数据处理流程正常运转创建策略用于保护数据，并且确保策略的有效性控制机密数据的授权访问和安全传输通过报警和事件管理来确保成功的数据安全防护数据保护最佳实践一般原理5数据来源用户操作执行策略目的地控制存储中使用中传输中拷贝到设备刻录光盘剪切复制拷贝打印上传加密教育监控带出工作地点发布到Web网络传送数据保护需要动态和全面一般原理DLP(数据泄漏保护数据泄漏保护)DRM(数据权限数据权限保护保护)Encryption(加密加密)Management(管理管理)Data企业企业数据数据 DRM可以决定数据的访问和使用方式，功能强大仅限于特定的文档类型需要与企业应用紧密集成，大量依靠人工参与部署实施十分复杂并难以持续运维仅适用于研发等少数小组技术不能解决所有的问题，仍然需要以下辅助风险教育行政管理物理安全刑事诉讼全面评估信息风险，包括网络、端点和存储全面检测数据库、文件、邮件、文字等泄密通道，及时报警或阻止统一制定防泄漏策略遵从监管法案法规实施和部署简单，无需更改流程，无需人工参与，可在企业范围应用能够有效的与DRM/加密工具集成使用，使得后者更有效能够阻止没有权限的人非法获取信息，即使丢失也没关系依赖手工进行密钥的管理是个复杂问题不能解决无意识泄密和主动泄密仅适用于笔记本或者少量文件服务器主流数据保护方法一般原理67CD/DVDUSB数据数据挖掘挖掘邮件安全邮件安全Web安全安全即时即时信息信息安全安全数据库数据库安全安全Exchange/DominoSharepoint/Web文件服务器文件服务器安全安全DLP 策略策略监控监控 预防预防发现发现 保护保护EmailFTP安全安全P2PWeb即时消息即时消息打印打印/传真传真粘贴粘贴/拷贝拷贝FTPDLP监控的数据流转途径一般原理lDLP的方法的方法它通过内容分析，按照中央策略，识别、监控和保护数据l关键特征关键特征深度内容分析中央策略管理广泛内容覆盖l内容相关是其最大的优势内容相关是其最大的优势与文件格式和类型无关与网络协议无关支持模糊匹配，关键字匹配支持高精度匹配，误报低支持相似度匹配支持统计分析，关联分析策略可根据敏感数据类型分类，并预置大量分类策略模板lDLP的缺点的缺点仅具备基本的主动式防泄漏能力，不善于阻止对硬件的要求很高不符合用户最直接的思维习惯隐藏数据可以逃避国内外DLP产品对比一般原理l将敏感数据防泄漏产品分为终端防泄漏专控软件、防泄漏网关，通过这两者的配合来完成数据防泄漏功能。l解决方案主要是以信息分类为基础，结合外设及网络协议控制、信息过滤等技术来防止敏感数据泄露。l优点优点：对使用、存储和移动中的数据，实现全方位数据防泄漏；具有较强的敏感数据检测机制；全面保护来自于不同数据源，不同载体，不同类别的数据。l缺点缺点：不能对整个硬盘进行加密；不能解决非授权用户的数据外泄问题；不能解决内部恶意的数据外泄。l以文档透明加密和权限管理为核心，对文档（数据）采用双重保护手段。一是文件级的加密权限保护，二是磁盘级的加密保护。l优点优点：实现企业内部敏感数据的统一管理，防止未授权使用、防篡改和防拷贝；可以实现动态透明加解密。l缺点：缺点：功能单一，无法实现全方位的数据保密；策略制定较为简单。国外：国外：以以防止无意泄漏为防止无意泄漏为目标目标。内容识别、审计是核心手段。内容识别、审计是核心手段。国内：国内：以以防止任何方式的泄漏为目标防止任何方式的泄漏为目标。文档加密是核心手段。文档加密是核心手段。数据识别是保护的前提一般原理p数据的两种形式l结构化数据：存储在数据库中，包括智能卡、移动用户资料等关键并且敏感的信息。l非结构化数据：主要存储在文件服务器以及大量的工作终端。p数据保护的核心思路l定义企业的机密信息l制定对不同等级机密信息的监视和防护策略l部署策略监控阻断信息泄漏1010识别企业整体风险并有效阻止识别企业整体风险并有效阻止httpftpWebmailIMUSBDVD共享数据库文件服务器网络网络端点端点存储存储DLP加密加密针对个体的机密文档针对个体的机密文档 密钥管理密钥管理文档分级文档分级自动加密自动加密针对个别部门的重要文档针对个别部门的重要文档用户权限应用程序文档分类文档分类DRM文档授权文档授权文档级别文档类型文档位置应用程序p抓大放小抓大放小p先简后繁先简后繁p拾漏拾漏补遗补遗10数据保护建议流程一般原理目录数据防泄漏保护一般原理数据防泄漏保护一般原理1 1易聆科数据防泄漏方案易聆科数据防泄漏方案2 211创建创建/获取获取传递传递销毁销毁存存 储储 /备份备份使用使用数据安全不仅数据安全不仅是目的，是目的，更是动态的过程！更是动态的过程！数据全生命周期保护方案产生产生获取获取传输传输使用使用存存储储备份与备份与恢复恢复销毁销毁电子电子数据、纸质数数据、纸质数据：据：数据密级保持一致数据密级保持一致只能只能由预先定义的岗位角色才能阅读由预先定义的岗位角色才能阅读/创建创建/修改修改/传输传输/销毁销毁业务流程内的保护级别一致业务流程内的保护级别一致允许数据密级变化的允许数据密级变化的特例：特例：数据数据在业务流程里的密级发生变化，例如披露前和披露后的数据在业务流程里的密级发生变化，例如披露前和披露后的数据需要定义好在流程哪些节点密级发生了变化需要定义好在流程哪些节点密级发生了变化数据一致性保护方案实施技术和管理措施，预防数据泄露事前控制数据安全保护制度人员保密意识培训数据识别与密级分类人员岗位权限描述岗位角色对数据的访问能力DLP系统的部署保障管理和技术措施持续有效，监控数据泄露事中控制DLP运行维护流程数据安全检查人员保密意识持续提升分析数据泄露原因，改进管控措施事后控制数据泄露事件调查与审计改进管理和技术措施管理技术动态管控 操作 数据保护框架方案一个中心：以风险评估为中心，数据安全的前提是充分认识其风险，岗位对数据的多对多映射决定了数据保护的复杂性。通过系统的数据风险分析，将达成持续的数据安全预防、监控保护效果。两个基本点：以岗位职责定义和数据密级分类为基本点。商业秘密、合规数据在整个生命期内的密级决定了需要保护的策略；岗位职责定义了每个岗位能操作什么业务，业务依赖于系统，系统承载着数据。因此岗位决定了人员的数据操作权限。岗位业务数据权限系统密级处理储存传输采集风险评估数据保护策略核心方案数据保护实施过程方案流程梳理业务流程识别行政办公流程识别数据分级数据密级分类数据承载资源分类以流程识别数据和承载资源定义数据及其宿主密级 数据识别过程方案业务链由一系列活组成，每个活动包含四个要素：1、输入(Input)：活动处理的事务、对象或信息；2、输出(Output)：经由活动处理后的新的事务、对象或数据；3、控制(Control)：活动所需的条件限制，即活动可以启动的前提条件；4、机制(Mechanisms)：完成活动所需的资源，包括人员、IT系统、办公设备等。流程流程梳理目的梳理目的：以业务流程为主线识别核心价值数据，辅以头脑风暴进行检查和复审以补充遗漏的数据。识别出关联的信息系统，为后续识别人员数据操作能力打下基础。数据动态性数据易控性数据全面性数据价值性 流程梳理方案19样样例例结售售汇平平盘（国（国际业务，8：3017：30服服务，swift系系统24小小时开机）开机）活活动单位位输入输出控制机制自自营外外汇买卖登登记MT300（交易对手行发出）登记结售汇平盘相关信息MT300、MT202报文，外汇买卖交易审批表报文格式正确，网络状态良好国际业务系统，swift终端，内网通信其他其他应付交割付交割自营外汇买卖应付交割信息卖出币种应付交割信息确认内网通信国际业务系统其他其他应收交割收交割我行买入币种收款行买入币种入账户行内网通信国际业务系统修修改改未未复复核核交交易易自营外汇买卖信息包修改后的自营外汇买卖信息包内网通信国际业务系统，swift终端复核交易复核交易自营外汇买卖信息包MT300、MT202报文，外汇交易买卖审批表内网通信国际业务系统，swift终端ASPASP数数据据宿主宿主样样例例基于流程识别数据方案敏感信息敏感信息现现状状辅以访谈保障数据完备性方案20依据数据对海富通公司的价值力，定义数据的保密程度由高到低可能依次分为：公司绝密级（C=5）公司机密级（C=4）公司秘密级（C=3）公司内部级（C=2）公司公开级（C=1）公开内部秘密机密绝密【备注备注】密级密级级别将根据具体情况做合适的划分，一般通常划分级别是级别将根据具体情况做合适的划分，一般通常划分级别是4545个级别个级别级别数据数据依附的依附的业务备注注绝密密财务表财务公司健康运营保证机密机密账户信息核心业务泄露会受到投诉秘密秘密信用证国际业务只限于国际业务部处理内部内部制度文件行政办公只限于内部，外泄会引发猜想公开公开新闻报道行政办公需要披露的正面报道样样例例数据分级方案系统名称系统名称一级分类信息一级分类信息二级分类信息二级分类信息三级分类信息三级分类信息资产名称资产名称信息内容信息内容A系统经营业务信息客户信息个人客户基本资料个人客户基本信息身份证号、地址、联系电话经营业务信息客户资产信息个人与机构账户信息客户账号信息客户股权信息资金、股份经营业务信息客户交易信息个人客户交易信息个人客户交易信息个人客户的委托交易、交易流水经营业务信息客户身份鉴别信息登陆密码交易密码登陆密码交易密码集中交易客户登陆密码、集中交易客户交易密码B系统经营业务信息客户信息个人客户基本资料个人客户基本资料身份证号、地址、联系电话经营业务信息客户资产信息个人客户资金和持仓信息个人客户资金和持仓信息资金、股份经营业务信息客户交易信息个人客户交易信息个人客户交易信息委托成交数据经营业务信息客户信息个人客户基本资料个人客户基本资料客户征信授信信息经营业务信息客户信息机构客户基本资料机构客户基本资料客户征信授信信息运营支撑信息其他运营支撑信息其他业务支撑信息法律法规管理客户合约信息C系统经营业务信息客户资产信息个人与机构账户信息客户账号信息资金/证券账户，银行账号D系统经营业务信息客户信息个人客户基本资料个人客户身份信息用户身份信息运营支撑信息其他运营支撑信息人事管理信息员工基本信息员工身份信息经营业务信息客户身份鉴别信息数字证书数字证书客户数字证书，员工数字证书E系统经营业务信息客户资产信息个人与机构账户信息客户账户信息客户基金账户信息经营业务信息客户交易信息个人客户交易信息个人客户交易信息基金交易信息经营业务信息客户资产信息个人客户资金和持仓信息个人客户资金和持仓信息客户基金份额、对账信息和分红信息分类一级分类二级分类三级分类内容业务信息客户信息个人客户基本资料名称信息、概要信息、证件信息、授信信息、地址信息、联系方式、工作情况信息、经纪关系信息、佣金信息、投资顾问客户关系等信息、客户分级信息、客户服务信息。机构客户基本资料机构注册信息、开户信息、联系人信息、法人信息、负责人信息、经办人信息、证明信息、同业金融客户信息等信息客户身份鉴别信息登录密码、交易密码、查询密码、认证码、数字证书集中交易客户登录密码、集中交易客户交易密码、数字证书、公司门户网站客户密码、网上交易系统高级行情客户密码等鉴别信息。客户资产信息个人与机构账户信息债券销售账户信息、储蓄银行账户、基金账户信息、自营交易账户信息、融资融券-头寸资金账户、资产帐号、资金账户机构客户资金与持仓信息机构客户资金、期货持仓（自营）信息、债券持仓基本信息、证券持有基本信息、基金份额基本信息市场公共信息证券期货行业产品信息股票、基金、债券、期货等产品基本信息（名称、代码、英文简称、交易单位、行业种类等）行情信息基金行情、期货行情、债券行情、证券行情、历史行情资讯信息指数指标、AB股日行情指标、基金份额、存贷款品种代码、指数成份、法定存款利率、股本、行业成分、证券类型代码、证券停牌信息、财务指标、新证券信息、期货席位信息、市场交易量信息运营支撑信息IT运营管理信息系统运维管理信息业务应用系统、OS、DB、中间件、网络设备、安全设备等系统的运维以及使用的帐号及其密码业务应用系统、OS、DB、中间件、网络设备、安全设备等系统参数、配置文件、操作日志等其他信息IT服务流程制度、手册网络拓扑、网络区域划分、网络访问控制策略、IP地址分配状况等信息。加密密钥信息（会话密钥除外）信息安全管理信息应急响应文档，安全制度和流程文档，日志记录IT管理信息采购信息，厂商列表，合同信息业务系统研发相关信息研发管理信息、系统需求信息与文档、系统设计文档、测试数据、系统源代码、软件安装包、知识产权信息，项目管理文档其他运营支撑信息人事管理信息员工基本信息、家庭成员信息、履历信息、联系方式、证件信息、薪酬信息、社保信息、绩效考核信息、培训信息、考勤、部门岗位信息、员工协议信息、员工业务信息其他业务支撑信息法律法规信息、合规管理信息、稽核管理信息、风控管理信息、战略规划信息、财务管理信息、综合管理信息、管理制度文档、合同信息、培训资料、收发文、会议纪要、工作报告、宣传信息、证照信息、采购信息、项目信息、组织机构信息数数据分据分级级数数据据资产资产清清单单22获得数据分级清单方案敏感敏感数数据据分布分布静静态视图态视图系统名称系统名称 一级分类信息一级分类信息 二级分类信息二级分类信息 三级分类信息三级分类信息 资产名称资产名称信息内容信息内容A系统经营业务信息 客户信息个人客户基本资料个人客户基本信息身份证号、地址、联系电话经营业务信息 客户资产信息个人与机构账户信息客户账号信息客户股权信息资金、股份经营业务信息 客户交易信息个人客户交易信息个人客户交易信息个人客户的委托交易、交易流水经营业务信息客户身份鉴别信息登陆密码交易密码登陆密码交易密码集中交易客户登陆密码、集中交易客户交易密码B系统经营业务信息 客户信息个人客户基本资料个人客户基本资料身份证号、地址、联系电话经营业务信息 客户资产信息个人客户资金和持仓信息个人客户资金和持仓信息资金、股份经营业务信息 客户交易信息个人客户交易信息个人客户交易信息委托成交数据经营业务信息 客户信息个人客户基本资料个人客户基本资料客户征信授信信息经营业务信息 客户信息机构客户基本资料机构客户基本资料客户征信授信信息运营支撑信息其他运营支撑信息其他业务支撑信息法律法规管理 客户合约信息C系统经营业务信息 客户资产信息个人与机构账户信息客户账号信息资金/证券账户，银行账号D系统经营业务信息 客户信息个人客户基本资料个人客户身份信息用户身份信息运营支撑信息其他运营支撑信息人事管理信息 员工基本信息 员工身份信息经营业务信息客户身份鉴别信息数字证书数字证书客户数字证书，员工数字证书E系统经营业务信息 客户资产信息个人与机构账户信息客户账户信息客户基金账户信息经营业务信息 客户交易信息个人客户交易信息个人客户交易信息基金交易信息经营业务信息 客户资产信息个人客户资金和持仓信息个人客户资金和持仓信息客户基金份额、对账信息和分红信息资产资产清清单单数据的静态视图方案24岗位权限业务流中的岗位识别岗位对数据操作权限识别定义岗位数据操作能力岗位权限识别方案25客户的业务角色分析 利用流程梳理表 增加操作角色属性 罗列出业务中每个岗位 角色 形成岗位在业务中操作 能力业务岗位操作能力业务岗位操作能力岗位角色岗位角色客户经客户经理理风险经风险经理理首席风首席风险官险官行长行长业务业务1 1活动活动1 1生成无无无无无无无活动活动h h处理 处理 处理无无无无无活动活动1 1活动活动m m业务业务n n活动活动1 1活动活动n nXX业务（风险管理管理业务，24小小时服服务）活活动单位位输入输出操作角色业务申申请（客（客户经理理发起起业务）客户信息业务申请信息客户经理合合规审查申请信息合规审查结论风险经理风险经理理审查申请信息/合规审查结论风险经理审查结论风险经理风险总经理理审批批申请信息风险总经理审批结论风险经理首席首席风险官官审批批申请信息首席风险官审批结论首席风险官总行行行行长审批批申请信息总行行长审批结论总行行长风险经理出理出账审核核审批结论出账审核结论风险经理保函用信保函用信审查出账审核结论审查结论客户经理样样例例汇总全部业务的操作能力，汇总全部业务的操作能力，形成形成“业务业务岗位岗位”操作操作能力总表能力总表样样例例岗位的业务操作能力方案数据操作能力数据操作能力岗位角色客户经理风险经理首席风险官行长绝密数据1数据h机密数据1数据i秘密数据1客户信息读/写读读读申请信息写/修改读读读数据j审批结论读写读/写/修改读/写/修改内部公开数据1数据m外部公开数据1数据n样样例例根据数据密级定义表、业务岗位操作能力表“岗位岗位数据数据”控制控制矩阵矩阵生成数据销毁数据处理数据分发数据 岗位的数据操作能力方案风险评估数据生命周期路径数据生命周期风险评估数据生命期动态风险数据风险评估方案敏感敏感数数据据流流转转动态视图动态视图数据的动态视图方案28敏感敏感敏感数数数据据据分布分布分布静静静态态态视图视图视图数数据据风险风险29敏感敏感敏感数数数据据据流流流转转转动态视图动态视图动态视图岗岗岗位位位数数数据操作能力据操作能力据操作能力数据风险评估方案保护策略设计人员-岗位映射表建立人员对数据的访问权限建立数据安全管理和审计制度设计人员数据保护策略数据保护策略设计方案责任责任制度制度技术技术手段手段客户关客户关系管理系管理业务开发业务开发与运营与运营网络及网络及系统运系统运营营供应商供应商/合合作伙伴开作伙伴开发与管理发与管理企业企业管理管理l以信息安全管理责任以信息安全管理责任、制度建设、技术手段为、制度建设、技术手段为“栏栏”，以与信息安全相关的业务流程为以与信息安全相关的业务流程为“栅栅”;l推动业务流程与信息安全管理责任相结合、推动业务流程与信息安全管理责任相结合、与与业务制度相结合业务制度相结合，并配套相关的技术手段，并配套相关的技术手段，通过不断细化完善通过不断细化完善各流程环节的信息安全责任和要求，深化和完善信息安全管理体系。各流程环节的信息安全责任和要求，深化和完善信息安全管理体系。“敏感数据安全敏感数据安全敏感数据安全敏感数据安全”作为其中作为其中作为其中作为其中1“1“1“1“栅栅栅栅”，应引起高度重视，应引起高度重视，应引起高度重视，应引起高度重视数据保护策略设计方案3132“人员人员对数据的访问对数据的访问控制控制”是是DLP规划规划的核心依据的核心依据人员岗位映射人员岗位映射岗位角色岗位角色客户经理客户经理 风险经理风险经理首席风险首席风险官官行长行长姓名1：部门1姓名2：部门2依据数据密级定义、岗位对数据的访问矩阵、数据泄露点分析、人员岗位映射表，可以明确设计人员对数据的访问控制策略。例如，只能读XX数据、可以自由外发数据、可以修改数据等等。样样例例人员数据访问控制策略DLP部署准准备数据保护技术策略设计方案制定数据保护管理制度制定日常数据安全检查办法制定数据泄露审计办法制定持续性保密意识宣传、培训计划进行普通员工和高级管理层的信息安全保密意识培训数据保护管理与责任体系方案34制定管理规范，预防数据泄露数据管理数据安全保护管理办法数据密级分类规范部门数据安全责任表部门数据安全考核表考核表样样例例数据保护管理体系方案意识培训体系方案36产品监理DLP产品部署指导、测试、验收技术落地方案数据保护产品实施监理方案37DLP评估功能评估二次开发评估评估报告DLP是否满足需求报告DLP选择DLP采购指导数据保护产品部署指导方案部署计划检查部署节点检查配置策略检查DLP试运行检查制定DLP配置策略制定DLP维护流程制定DLP检查表 结束语当你尽了自己的最大努力时，失败也是伟大的，所以不要放弃，坚持就是正确的。When You Do Your Best,Failure Is Great,So DonT Give Up,Stick To The End谢谢大家荣幸这一路，与你同行ItS An Honor To Walk With You All The Way演讲人：XXXXXX 时 间：XX年XX月XX日