4.2运营商-Chinasec数据安全解决方案简版-V1.2

电信运营商行业Chinasec数据安全解决方案北京明朝万达科技有限公司2011 / 121 前言随着全面信息化时代的到来和电信运营商业务支撑网的快速发展，对于电信运营商自身来说，业务支撑网包含了很多重要的信息资料，如业务支撑网积累和掌握了大量的客户信息、生产数据和运营信息等，企业不希望这些资料离开内部的网络环境，甚至不允许在网络外部传递与交流，该采取什么防范措施？现代企业不能拒绝互联网的交互，不能将机构封闭在一个信息孤岛。

但用户在随意上传下载和发行网络中的文件的同时，可能会把企业的许多重要信息流通到网络外部，从而单位内部敏感数据受到严重侵害。

敏感数据的保护需要依靠法律和行政手段进行规范和管理，同时利用必要的技术手段辅助实现敏感数据保护的可管理性。

从管理和技术两个层面杜绝机密信息的泄漏，才是解决问题的根本办法，才能防患于未然。

2 信息现状由于运营商的核心目的是通过网络技术来加快人与人之间信息化交流，因此目前国内各大运营商的IT建设相对超前与其他行业，建设了包括boss系统、bomc系统、客服系统等，此类系统统称为业务支撑系统，同时还包括OA、CRM系统等常规办公系统。

由于每个系统所关注的业务角度不同，因此其涉及到的人员也有所不同。

在此基础上，每个系统的人员又根据‘使用环节’和‘运维环节’而定义出不同的工作形态。

因此，目前国内运营商的业务网络相对其他行业而言比较复杂。

但是，根据数据生命周期的基本原则：生成->存储->使用->传输，我们可以进行比较明确的归类，本文以BOSS系统为例，如下图所示：系统生命周期业务环节涉及角色业务形态BOSS 系统数据生成使用环节业务前端人员（营业员、客户经理、市场人员等）面向最终客户群体，运营商内部信息向外部传输和外部信息向内部录入的最基础端业务系统操作人员维护环节业务系统管理员、后台、主机数据库管理员支持对前端业务系统和后台数据库的日常管理，同时也会兼职‘使用环节’中的部分业务数据存储使用环节业务支撑中心人员负责对整个业务的支撑运维工作。

是整个业务系统正常运行的核心。

维护环节第三方维护人员负责协助业务支持中心对业务进行维护。

数据使用使用环节业务前端人员、后台主机、数据库管理员、业务支撑中心对整个业务支撑系统中的数据进行使用。

维护环节业务支持中心开发测试人员、第三方维护人员通过对支撑业务中数据的调用，来维护、研发、测试相关业务应用。

数据传输使用环节业务前端人员（特别是手机卖场、营业厅等人员出入复杂环境下的前端业务人员）、业务支撑中心按照规章，业务前端人员无数据传输需求。

业务支撑中心的数据传输应该是为其工作而服务的合法传输。

维护环节业务支撑中心在业务维护的过程中，进行有利于正常工作的合法传输。

注：由于每个运营商不同以及所属区域的不同，所以列表中所代表的要素可能会有所偏移。

我们可以按照这种思路，继续推衍出其他系统的相关架构，由于运营商的业务系统太多，本文此处不一一进行归类。

3 风险分析在目前运营商的业务体系中，数据在应用过程中不管在服务器上还是在终端计算机上，都是处于明文存储状态，任何人只要接触这个文件既可以进行恣意的传播。

一旦把重要资料交给他人，就完全失去了对文档的管理控制，接收方获取文件后可以进行任意的传播，并且是无限期拥有，可以随时使用资料。

虽然业务系统本身提供很多系统运行相关的日志，但是对于敏感信息保存在各终端计算机以后就完全失去了监控权，信息即使出现泄密也无法准确的找到泄密的源头，无法追究相关的责任，因此需要数据加密技术对数据源进行保护。

同时，由于业务系统过于庞大，使用角色过多，所以人员身份的核实也需要进行相关的加强。

再次，由于前端人员的对工作效率的需求较强，因此会考虑通过网络准入、桌面管控等技术辅助数据保密工作。

考虑到目前运营商的业务以及人员的复杂性，不同的人员在不同的业务系统下是具有不同的风险以及需求，‘一刀切’的解决思路不合适于当前环境，所以首先要分析出运营商的不同的风险点和需求点。

经过Chinasec的专家团队多年的市场调研，运营商的风险需求可以分为如下三大部分：总体目标具体目标风险需求业务系统数据BOSS系统（本文以Boss系统为例）用户身份冒用业务数据丢失数据使用越权日志审计冗余数据二次泄密在绝对不会破坏业务系统正常运行的前提下，有针对性的对业务系统中的数据，按照不同的角色进行数据保密。

终端数据运营商内部人员终端使用混乱移动家庭办公业务数据丢失终端资产变更网络准入失查不影响内部员工正常工作的前提下，以低风险的保密方式，对内部员工进行数据保密工作。

第三方维护人员管理难度较高移动办公普遍数据访问越权业务数据丢失网络准入失查以保护业务系统数据为核心，对第三方维护人员从身份确认、数据保密、行为管理三方面进行适当的安全保护，在保护的同时，又能兼顾到第三方人员非运营商数据的正常使用。

移动增值业务移动办公安全移动接入安全移动应用安全移动终端管理随着移动办公的普及，需保证移动终端用户的接入安全、应用安全及终端管理等问题4 Chinasec数据安全建设方案Chinasec(安元)的专家团队通过多年对电信运营商行业信息化建设的调研，针对运营商遇到的内网数据安全问题，结合多年的服务经验，最终提出了一份适合运营商需求的数据安全的信息化改造方案。

4.1 核心业务系统数据安全解方案（如：BOSS、OA等）随着竞争的加剧，各运营商不断的依赖各个管理系统来提高自身管理水平及服务水平，目前，各管理系统都是通过帐号和密码等进行访问权限控制，当拥有权限的人从管理系统上导出数据后，就无法保证数据的安全性，为了规避此类风险，Chinasec(安元)应用保护系统为运营商业务系统构建了数据保密体系，精确定位数据泄密风险，客户端采用插件形式部署，当用户登陆系统后（用户的身份识别还是依赖管理系统）从受保护的业务系统导出数据，这个数据就是加密文件，通过对业务系统上下载的文件采用加密技术不仅仅精确定位受保护的数据而且还有效的规避了数据泄密的源头和风险点。

4.1.1文档加密管理为了解决从业务系统中导出的数据无法得到有效保护的问题，Chinasec（安元）应用保护系统可以自动判断访问的目标地址是否属于受保护的业务系统，如属于保护范围之内，Chinasec（安元）应用保护系统会自动对导出的文件进行加密处理，从而有效的保护了从业务系统中导出数据的安全性。

4.1.2文档权限控制管理文档权限管理是文档保密体系中的核心，文档权限管理包括：只读、编辑、拷贝、截屏、脱密、离线、时间、次数等；策略定义主要包含在线和离线的两种状态，根据不同的状态实现不同的权限。

Chinasec应用保护系统在开发过程中已经预留出接口，可以与运营商内部的文档权限进行结合，有效保证了文档权限的统一管理。

4.1.3文档权限变更在实际应用过程中，由于默认权限执行的相对严格，当使用者需要使用更高权限时则可以通过权限变更实现。

文件权限提升是可以针对目前使用的文件提升获取更高权限（明文是最高权限）。

文件权限变更是由发起人、审批人组成，通过系统内嵌一套变更流程（具体的流程支持自定义）完成；系统在对文件权限变更过程中还支持细粒度的权限控制策略，权限控制包括的只读、编辑、另存、打印、拷贝、截屏、水印、脱密、时间、打开次数等访问权限控制；且最高权限可以是脱密成明文。

4.1.4日志的跟踪和审计在数据对外进行交换过程中，Chinasec数据安全解决方案除了采用文件权限变更进行管理以外，还提供了数据的跟踪和审计功能。

文件的权限变更信息将自动进行保存，并传到日志服务器上，录入查询数据库中。

Chinasec解决方案还提供了多种数据跟踪机制，包括对业务系统获取的重要信息的打开，和违规操作，比如不允许打印的文件尝试打印等。

可通过报表平台根据时间、文件关键字、发送人、IP地址、计算机名等多种信息进行综合查询。

为了确保对整个网络的实时日志的审计记录和报警，Chinasec解决方案提供了日志报警器。

通过日志报警器，管理员可以在不登录管理控制台的情况下，实时接收Chinasec可信网络安全平台各个系统的实时状态信息，这些信息包括：普通日志信息，包括用户登录、文件日志和其他日志信息。

4.2 终端数据安全解决方案4.2.1内部人员终端的数据安全管控针对移动内部人员应用比较复杂，内部数据交换频繁，数据传输量较大的特点，因此建议运营商内部人员采用“区域内透明，区域外保护”的保护思路，就是要求根据环境对涉及到的敏感数据终端进行安全的防护，当数据在受信任的区域内存放时，用户可以随意对数据进行操作。

当数据脱离受信任的区域时，数据就会受到相关权限的控制。

受信任区域的划分可以按照部门、地域、临时工作组等。

如上图所示，Chinasec 通过对网络、U 盘、外设、磁盘、直连等出口的控制，数据在受信区域内部完全自由使用，一旦离开受信区域将自动加密，无法使用。

若要离开区域使用，必须经过审批员审核，审核过后的数据可以在外部使用。

同时，对于笔记本移动办公通过离线策略，进行保护。

4.2.2 第三方接入终端的数据安全管控对于第三方办公人员采用‘安全准入，模式切换’的保密思路，就是对于要访问到业务系统，进行业务维护的时候，比如要经过安全认证，将终端切入到‘工作模式’下，经过认证的终端才有资格连接到业务系统，进行维护工作，产生到本地的数据依旧受到保护，并且可以根据每个维护人员角色的不同，对其能访问的服务器资源进行具体定义。

当第三方维护人员不进行维护工作的时候，可以切换到‘普通模式’下，进行私人工作，但是不能访问到本地中的敏感数据以及业务系统服务器中的数据。

受信区域U 盘加密网络外发加密网络传输控制 磁盘加密 外设控制 @ 非法/强行外带乱码明文外带 密文外带出差外带离线策略 计算机受控审批外带管理 外发4.3 数据防泄漏解决方案关键数据是维系企业和社会发展的重要动力，这使其成为黑客和恶意内部人士觊觎的目标，也是监管机构严格审查的对象；同时企业还需要防止员工无意中泄露机密。

企业既要保护敏感数据的安全，保持监管合规性，又要在不改变现有业务流程的前提下快速部署实施，并且能够有效控制成本，降低复杂度和风险。

IDC和Gartner等多家研究机构认为，数据安全已经成为当今企业信息安全面临的最大挑战：-59%的失业或离职员工承认窃取了公司机密文档；-监管机构对企业敏感数据管理的要求更加严格，内容更加广泛；-管理者对公司内机密信息缺少管理深表忧虑；-企业数据泄露事件有90%是员工无意中造成的；-2011年美国发生了22万亿条个人财务信息泄露；-散落在云存储和云计算应用中的数据，更加难以发现和管理；-我国的个人信息保护法规已经于2013年开始执行。

针对非结构化数据的内容识别，一直是信息技术领域的难点和壁垒。