金融行业的阿克琉斯之踵
跑了一整年的金融用户，见过五大行，去过城商行，也交流了很多互金公司最深的感触是：金融行业的信息化体系建设已经非常完善，相较其他行业处于领先地位，但相比信息化程度，安全建设水平却并不持平。
事实上，金融行业的数据具有极高的价值和丰富的交易渠道，已经形成了暗潮汹涌的成熟黑产链条，为了在这条利益链条上分一杯羹，外部黑客不惜串通内部员工利用各种途径窃取数据，金融黑产的繁华热闹一直令金融行业的CIO们顶着巨大的压力。
2017年年中的时候我们接触了一家国内排名前十的互联网金融公司，公司 CTO对于数据库安全非常头痛。用户告诉我们：在与我们接触之前的三年间，公司已经陆续有好几波内部人员被公安机关带走，原因均为窃取商业机密，把偷走的用户资料进行贩卖，给公司造成重大经济利益损失的同时，严重影响了企业声誉和形象。讽刺的是，该互金公司并非在信息安全建设方面毫无作为，前期投入大量资金建设安全防护体系，搭建了完善的边界防护体系、网络层防护体系、终端防护体系、应用防护体系，但泄密事件依然没有杜绝。
为转变局面，公司甚至专门从国内某IT巨头挖了一整个数据安全团队，该团队在清晰了解了公司的安全体系现状以及具体的泄密事件后，最终把安全强化目标锁定为数据库这一环节。安全团队为公司规划设计了数据库层面的整体安全方案，覆盖管理制度、使用规范、安全培训、支撑技术等各个维度。在方案的具体推进执行过程中，用户找到了我们，希望借助安华在数据库安全领域的专业技术，帮助他们进行技术体系建设连同具体的落地实施。
综上，如何解决数据安全问题，不仅仅是该互金公司的迫切需求，更是整个金融行业普遍存在的痛，也是金融行业无法规避的阿克琉斯之踵。
金融用户的安全痛点
经过与用户的反复交流，我们了解到仅用户方已知的这几次泄密事件就包含了三种泄密方式，背后潜伏着三大严重安全隐患：
- 业务人员利用业务系统的查询功能批量窃取数据
- 运维人员利用高权限数据库账号直连数据库批量导出数据
- 测试库里面存放了大量真实的生产数据，为测试人员窃取数据大开方便之门
其中，第三种泄密途径体现了公司层面对生产数据管理不力的重大责任：生产数据离开生产环境要经过脱敏处理，这已经是金融行业重要的数据安全标准。
观一叶而知天下秋，该互金用户所面临的上述三类风险实际上也是目前金融行业普遍存在的主要安全隐患。金融行业的数据本身存在着巨大的吸引力，是牟利者觊觎的对象，因此敏感数据所面临的风险还远不止这三类。鉴于安全体系的建设需要循序渐进的开展，对该互金企业而言：
第一步：依靠政策、法律法规等制度来进行意识培养和教育，并对违法行为形成震慑；
第二步：通过技术手段彻底切断内部人员窃取数据的通道，杜绝出现类似的泄密事件；
第三步：做好监管和审计工作，形成可定责追责的完整管理体系。
结合安华此前服务于金融机构积累的经验，针对该用户的风险场景进行深入分析，在技术层面加大数据安全防范力度：
第一 控制业务系统调取数据能力，避免业务人员通过业务系统批量导出数据；
第二， 建立运维制度，结合技术手段控制运维人员行为规范，重点控制DBA及第三方人员；
第三， 整改测试环境，建立敏感数据的脱敏机制，杜绝测试环境再次出现生产数据。
安全之路四步走
解决方案的方向确定下来，用户方给予了认可。不过这其实才是双方建立良好合作的开始，具体到落地实施过程中如何保障项目收益，如何避免对业务运行产生负面影响，如何应对项目推进中可能遇到的各方阻力，才是一场硬仗。所以，需要将方案真正落地所必须要考虑的因素，所以项目执行遵循的原则是：
1、防护体系不能一刀切，要有针对性，不能过多的影响业务效率
2、防护体系尽量不改变用户原有使用习惯，避免项目推进过程中受阻
为了贯彻项目建设原则，在方案落实的时候坚持四步走：
首先，第一步盘点用户资产，利用资产梳理产品全面统计环境中的数据的数量、类型、分布等情况。再结合人工经验以及用户自身的数据特点，对所有数据进行分类和分级。这个动作是为后续的安全防护体系建设服务的，便于针对不同类型以及不同敏感级别的数据设置不同的安全策略，从而避免针对所有数据采取的防护策略为一刀切模式，避免造成业务运行遭受负面影响。
其次，我们建议用户部署数据库防火墙系统，利用该系统的阈值管控功能限制业务系统的使用人员每天可以查询数据的上限值，上限值的设置可以根据不同人员的工作需要进行灵活设置，从而关闭内部人员利用业务系统批量导出数据的通道。
再次，建立数据库运维管理制度，实现运维工作的规范化、流程化，改变以往随时、随机、随性、随心的运维乱象。同时，部署数据库安全运维系统，利用技术手段将运维制度和流程强制化执行，实现运维工作的事前有申请、事中有控制、事后有审计的目标。通过制度与技术的结合，确保运维工作严格按照制度与流程的要求来开展，实现运维工作的可管、可控、可视，关闭运维人员利用数据库账号私自访问数据库窃取敏感数据的通道。
最后，清理测试环境数据库，确保测试环境不再有任何真实的生产数据。部署脱敏系统，使脱敏系统成为生产数据离开生产环境的唯一出口，从而关闭通过测试环境窃取数据的通道。
后记
2017年4月25日，中共中央政治局就维护国家金融安全进行第四十次集体学习，习总书记在主持学习时强调，金融是国家重要的核心竞争力，金融安全是国家安全的重要组成部分，是经济平稳健康发展的重要基础。必须充分认识金融在经济发展和社会生活中的重要地位和作用，切实把维护金融安全作为治国理政的一件大事，扎扎实实把金融工作做好。
国家已经将金融行业定位到“国之重器”的高度，将金融安全从技术层面提升到了战略层面。随着金融行业地位的提升，整个行业的信息安全也变得更加重要，随之而来的挑战也更加严峻。目前，整个金融行业的数据库安全体系建设尚不完善，上述互金公司的事件并非个例，而是整个金融行业的缩影，映射出了金融行业目前普遍存在的风险、需求。当然，这种局面也会推动金融行业越来越重视数据库以及数据的安全建设，驱动行业主动寻找相关的产品或厂商去解决问题。在数据库安全这个属于安华的主场里，凭借丰富的成熟案例和经验积累、专业的技术与完善的产品线，为用户的数据安全保驾护航。
张海涛，安华金和方案部高级方案专家，多年数据库安全领域技术咨询经验。因为认可安华的技术实力和企业文化而加入进来，主攻金融行业安全方案咨询。入职近两年，为上百个大、中型金融用户进行安全方案咨询与规划，平均2天见1个用户，如此近距离高频度交流，让他对金融行业各类用户的数据安全建设状况及业务场景具备深度了解，对用户安全需求点足够敏锐，能够最快感知客户痛点，捕捉到鲜活的客户需求。
声明：本文来自安华金和，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
