平安数据安全实践 平安集团信息安全部平安集团信息安全平台部 高级经理 超过10年的信息安全工作经验，曾就职于携程、一号店、暴雪中国，擅长于通过产品技术提升信 息安全管理、运营中的质量和效率。刘明 数据安全问题与挑战 数据在2020年由国务院明确为一种生产要素， 也是企业的一种资产，企业开展数据治理之 前第一步依然是明确持有多少重要数据资产， 这些数据目前在哪里，以什么样的形态存在、 使用。重要数据在内部不能再处于“裸奔”的状态， 为了确保有效保护、合法利用，在企业内部 需要对重要数据采取加密、脱敏保护，重要 数据的访问需要严格遵循最小必须。这些控 制措施会增加数据在内部的使用成本，特别 是在企业的信息数字化成熟度不高的场景。数据作为一种生产要素是给企业带来盈利的 一项核心资产，除了围绕数据资产独立开展 业务经营的场景，如果企业不能一刀切中断 数据对外合作，那么在过程中如何保障数据 可用不可见，虽然我们目前有相关的隐私计 算技术，但这依然给数据交换带来了不小的 成本增加。①企业有哪些重要数据？数据安全治理关键问题点：《数据安全法》对“数据安全”的定义为-确保数据处于有效保护、合法利用的状态，并应具备能力保障以上安全状态的持续。在 这样一种共识下，企业，特别是持有大量重要数据并以此为业务核心资产的企业来讲，主要需要考虑以下三个问题。 ②重要数据的对内“管理成本” ③重要数据的对外“交换成本” 挑战 制 度 标 准 流 程 规 范 产 品 技 术如何在数据资产入库阶段 就做好分类盘点？ （数据采集点多且分散）如何对齐国家行业标准与 业务数据基本认知？ （缺乏分类分级经验积累） 如何盘点海量的历史存量 数据资产？ （缺乏自动化发现/梳理手段）如何在数据多点使用场景统一 安全控制标准？ （数据使用高频场景众多） 如何提供合规高效的加密服务？ 如何有效降低加密改造成本、风险？ 如何支持数据加密后数据使用？ （数据保护是一次全面复杂的技术梳理改造工作）如何建立各分类级别数据对应各 场景下的安全要求规范？ （数据使用习惯打破改变的代价高）如何要求三方和企业共同承担数据 安全保护责任？ （三方承担承担责任的动力意愿低） 如何确保三方遵循数据保护要求，履行 义务？ （对三方行为可见性差，检查监督困难） 如何应用隐私计算技术从根本上断绝三方 滥用隐私重要数据风险？ （隐私计算技术不成熟、代价高，合作基础本身围绕隐私）01 02 0304 05 0607 08 09内部是否有足够的专家、熟练者支持 判断各场景中遇到的问题，进行决策？ 数据安全数据是一种高频、灵活使用的资产，有限的资源难以应对数据安全治理的复杂场景要求 数据使用 业务数据查询 数据统计分析 生产排障查询 生产数据变更 风控内控审计 监管报送 制卡、档案管理 人事、律所、财务 客服、物流、广告 对外合作项目 法治 人治 内部是否制定了完整、详实、落地性 强的制度标准，来指导各场景安全使 用数据？面对每天汹涌的数据使用需求，法治上我们是否有详实细致的指导规范？人治上我们 是否有足够具备实践知识经验的人才？ 各标准及监管法规的细节还需要进一步补充，才能达到落地应用的要求，外部可参考 最佳实践案例稀缺，需要引入大量的外脑咨询来做试点，进行知识经验的迁移应用， 强化内部人员的实践知识和经验，形成落地性强的内部制度和标准，完成0到1，下一 步产品技术才能接手重复的工作缓解专家人员的压力。 数据安全平安集团面向数据全生命周期的产品方案 平安数据安全端到端产品方案 输入端 输出端 安全基础能力底座敏感数据脱敏 文件敏感信息扫描 消息敏感信息检测 国密算法库 KMS密钥管理脱敏 敏感数据特征检测 加密重要数据资产发现&管理 数据采集 数据内部使用 数据跨专业公司 数据外发 业务应用 数据分析 数据库 敏感文件 敏感日志 即席查询 数据采集 数据碰撞 监管报送 ★数据国密加密 应用数据流向探测★数据安全访问代理 ★敏感数据扫描发现 敏感数据分类分级 敏感数据地图终端屏幕水印 数据脱敏平台★数据隐私计算 文件敏感信息检测 敏感文件押运 方案价值 减少明文暴露 01 使用合规国密 02安全 合规 成本 效率高自研高开放03 低占用低打扰04提高数据资产自动化盘点能力，从源头上加密保护数据，在数据使 用场景以解密为技术抓手，最大程度降低敏感数据明文暴露机会。 使用符合资质要求、经过评审的国密算法和秘钥方案，确保加密改 造符合密评、监管要求。通过对三方能力的封装，提高方案的自研比例以及开放性，以融入、 复用现有分公司的流程平台，降低双方集成开发、流程改造成本。 采用”经济”的加密算法降低存储膨胀，优化加密算法降低计算消耗， 并尽量保证用户现有流程不变，减少管理上打扰增加对效率的影响。在几年前，数据安全就开始逐步确立为集团安全的头号工作，集团业态丰富，数据多种多样，除了管理规范的细化，我们还需要核心的数据保护技术与 应用产品，来确保规范要求的落地与执行。数据安全是平安集团安全的头号工作，没有之一 数据安全 DB DB DB敏感数据 管理平台实时扫描 定时扫描 敏感数据 资产地图数据加密服务平台加密策略配置 密钥服务网关硬件密码机 颁发加解 密策略加密服务已经获得国密局认证。 符合GM/T 0028第二级要求，满足密评。 为应用生成密钥数据安全 访问代理加密数据 查询采集数据发现、保护、使用的完整解决方案 基础架构在架构中，应用、中间件的关联关系，用 于了解数据库被哪些应用使用，是否有从 库、容灾库等。应用架构信息 应用、中间件实例的负责人或组织，用于 了解数据的属主，数据库的访问地址。IT资产信息 数据库中间件访问权限管理方式，在进行 数据资产盘点时，获取相应只读权限。特权管理方式信息安全将敏感数据扫描后的结果落地汇总为敏感 数据资产地图，记录有什么样的敏感数据， 在哪里，什么时候发现的等信息。敏感数据地图 哪些数据已经进行了加密，加密使用的什 么样的算法、密钥ID信息。加密策略清单结合敏感数据地图和加密策略清单，我们能够回答敏感数据 有多少、在哪里、保护现状进展的问题。 同时敏感数据地图也是作为数据分类分级的重要输入。数据 分类分级 数据分类 分级清单获取密钥国密算法SDK 涉敏涉密应用加密解密 ①敏感数据 在哪里？ ②敏感数据 如何加密？zo0O68492…g57185用户端 13853549248 13853549248 zo0O68492…g57185 ③数据加密后 运维如何使用？ ④密钥如何 安全管理？ ⑤数据如何 分类分级？模型打标专家咨询敏感数据地图 SDMP 敏感数据管理平台 扫描任务配置账密数据库信息 授权配置 敏感数据识 别规则配置扫描引擎 平 台 应 用 成 效已覆盖平安12400+关系型数据库扫描 平台近期已完成65000+次稳定扫描任务 近期支持平安内部完成1000+次数据库脱敏任务定时/实时发 现任务配置 平 台 技 术 特 性涵盖35类敏感数据特征识别算法 平台支持包括一致性脱敏在内的7类脱敏算法 数据安全SDMP敏感数据管理平台：敏感数据发现、敏感数据资产、敏感数据脱敏 ①敏感数据发现 脱敏任务配置②敏感数据脱敏 数据库信息 授权配置 脱敏策略 配置脱敏引擎密码 保险箱 账密 密码 保险箱source target source target 脱敏任务跟踪②敏感数据脱敏(Sensitive Data Manage Platform) ③敏感数据资产元数据清单 敏感数据分布 人工审核纠正 注：来自敏感数据扫描发现归一化结果数据安全 符合国密技术要求 方案已获取《商用密码产品认证证书》（二级），符合密评要求。 国密算法底层优化 SDK中的国密算法采用C编写，与JAVA采用JNI接口进行交互。算法针对集团环 境进行了优化。以11位手机号为例，加密需0.43微秒，解密需0.34微秒。平 台 技 术 特 性平 台 应 用 成 效已覆盖平安100+应用，4100+张数据表 平台平均每天0.8个应用接入速度递增 目前总计进行了70亿次稳定加解密计算 密钥调用优化 在SDK、网关侧对密钥调用进行了多级调用优化，并进行了充分的安全保护， 因此大大降低了对密钥加密机的性能要求。敏感数据地图CryptoP数据加密服务平台：安全合规、稳定高效的国密加解密服务 +哪个库表列里 含有敏感数据？ +应用架构信息数据库归属 与哪个应用？ IT资产信息应用是哪个 人/组织负责？ 来自企业CMDB CryptoP (Crypto Platform) 数据加解密平台加密SDK (SM3/4)密钥 网关密钥安全通道加密策略 配置服务台 KMS身份加密机 身份认证 (SM2/9)身份 注册 密钥加密机密钥 申请数据资产 与人/组织 的关系涉敏涉密应用加密 解密用户端 13853549248 应用数据库 zo0O68492…g57185应用运维 应用开发配置哪些 数据加密 加密SDK 集成来自SDMP 在平安内部，开发为了降低加解 密改造的成本，有多个下游解决 方案实践可供参考。内部下游最佳实践