粹御：物流巨頭順豐發布數據安全整體解決方案
責編：gltian ｜2019-07-03 16:14:00長期以來，我們經常能聽見安全廠商在分享自己的安全能力，自己在實踐過程中的落地經驗，很少有機會能聽到安全能力的需求者——甲方廠商的經驗與實戰。但是，如果說甲方不僅僅有能力做好自己的安全，還根據自己的經驗與實踐，整合出了自己的安全產品，又是怎樣的結果呢？
在上周四于深圳舉辦的第三屆順豐信息安全峰會上，順豐的安全人員不僅為我們帶來了順豐在數據加解密管理上的經驗分享，還介紹了順豐通過自己在數據安全上的實踐整合出的數據安全整體解決方案——粹御。
數據加解密的推行有什么難題？
順豐信息安全工程師郭琦分享順豐的數據安全經驗
順豐在 2015 年就開始著重加強自己的數據安全建設。作為全國最大的物流公司之一，順豐掌握著大量用戶的個人信息。在信息系統方面，順豐現在擁有3個數據中心，超過 500 個業務系統，數據庫系統達 1.3萬，網絡接入節點達 1.2 萬，全網有超過 30 萬個終端，每日交易數量達 2.5GB——可以說，順豐面臨的是海量數據的安全防護。
順豐對數據安全的解決策略是圍繞數據本身進行安全防護，而其中重要的一環就是對數據本身的加解密處理。
最初的處理方式，是讓系統方面自行研發，對自身所產生的敏感數據進行加密。但這種方式在實踐過程中卻有很多弊端：
1. 業務和研發部門對敏感數據的理解都分別有其局限性，使得很多真正的敏感信息并未得到加密，
2. 由于由相關系統部門自行研發，安全部門就難以對整個 IT 環境中的加解密情況進行有效的管理，更無法核實各項政策的實際落地情況，明確落地效果。
3. 系統、業務部門本身對安全技術以及加解密技術的了解不足，使得對加解密技術的使用不當，反而對整個業務的運作產生負面影響。
在這些問題的影響下，順豐決定從加密機的角度來推進對數據加解密管理的項目。為了更好地實現新的管理，順豐的安全團隊 項目開始時提出了以下的問題：
1. 敏感數據在哪里？
2. 敏感數據從哪里來？
3. 敏感數據的加密會對現在的系統有什么影響？
4. 哪些系統需要改造才能適應新的加密能力？
評
加解密固然是數據安全中必不可少的一項技術，但是在實行過程中往往面臨很多的問題。組織和機構在使用加解密技術的過程中，需要根據自身的情況使用適當的加解密技術，并且進行管理。否則，反而會對自身的業務運作造成損害。
順豐的數據加解密實踐經驗
順豐信息安全產品負責人劉小龍講解粹御
在數據的梳理階段，順豐動用了大量的技術人員，對每一個數據庫、每一個表字段進行核實，整理出存在的敏感數據庫。在獲得敏感數據庫的基礎上，對數據庫的責任部門進行溯源，與對應的應用系統研發進行溝通，通過梳理出各個敏感數據庫的上下游對接的情況，了解順豐敏感數據流動的全貌。
順豐的信息安全工程師郭琦提到，在整個梳理環節中，最大的問題在于存量系統的統計與數據庫的變化過程（包括表的增減、上下游的變化）中是否存在遺漏。為了應對這個問題，順豐再一次投入了大量的人員進行反復落實。
安全的能力不只是技術的實現，也需要管理的支持與政策的制定。順豐的安全部門在數據加解密系統對應用系統的改造過程中，將業務運營、業務場景的變化都進行了考量。同時，隨著國內外不同新的法律法規的出臺，順豐也對數據加解密的使用進行相應的調整。
在整個數據加解密項目的落地過程中，順豐總結出了以下幾條心得：
1. 整體有機統一，安全對接業務，要了解用戶的特性、行為，并滿足用戶的需求。
2. 管理方面需要制度的有效落地，給執行相應的支持。
3. 在運營層面形成從監管到流水線的操作流程。
4. 將數據全生命周期中每個環節的信息都貫穿整個生命周期，做到統一和聯動。
5. 將系統融合貫通，能夠了解企業的敏感數據從哪里來、到哪里去，以及應該用什么樣的方式進行防護。
6. 對數據安全要進行場景化的落地。
評
順豐在數據安全的落地過程中，我們可以發現，不僅僅需要將數據安全與業務、場景相關聯，在對數據最初的梳理過程中依然需要投入大量的人力。人工智能固然能解決很多問題，但是在對于最初的數據類型的整理、樣本的處理方面，依然需要大量的人類智能進行支持。在安全方面，我們不能盲信技術。
從實踐中誕生的數據安全解決方案——粹御
在順豐將自身的數據安全成功落地后，根據自身的經驗與實踐，整合出了自己的數據安全整體解決方案——粹御。
粹御有五個模塊，解決了企業安全中的三大問題：數據資產管理與隱私數據管理解決了 “數據在哪” 的問題、數據追溯管理解決了 “數據從哪里來到哪里去” 的問題、數據脫敏管理與數據加密管理解決了 “如何保護數據” 的問題。
1. 數據資產管理：對數據資產的保護首先要明確數據資產在哪，有哪些的問題。通過主動式的掃描和被動式的人工掃描，識別出數據資產，同時可以根據數據庫、文件、應用和郵件等類別將數據資產進行分類。
2. 隱私數據管理：在明確了數據資產的情況后，企業會需要進一歩地發現自己數據中的隱私數據，進行管理。但是，精確定位敏感數據位置是一大難題。順豐在自身的安全實踐的基礎上進行歸納、總結，從而使粹御能夠通過對正則、機器學習模型、字典等多規則組合識別引擎發現數據資產中的敏感數據，并且通過可視化模塊，快速定位敏感數據的位置。在順豐自身的落地實踐中，對敏感數據的識別率達到了 98% 以上。
3. 數據追溯管理：對于數據的防護不僅僅是對于靜止狀態數據的防護，還有對于在流動中的數據的防護——但是首先要明確數據的流轉路徑。粹御通過梳理出應用系統中的數據接口，基于字段級的數據關系和動態流量分析，構建出應用的數據動態路徑圖；在統一的數據關聯分析基礎上，構建應用的數據關系管道，完成對數據流的追蹤和溯源。
4. 數據脫敏管理：在識別敏感數據的基礎上對數據進行脫敏處理，保證敏感數據在開發、測試、數據分析等場景下不被泄露，從而滿足各類法規要求。
5. 加解密管理：正如前文提到的，順豐自己在數據加解密的落地過程中發現了大量的問題，從而設置了專門的項目進行落地。粹御的加解密能力正是順豐實踐落地的體現。在傳統加密機的使用過程中，由于缺乏統一的管理，應用接入與變更復雜，同時應用于硬件統一管理困難，造成硬件資源無法被充分利用。粹御的加解密管理模塊，通過在加密機與相關應用之間增加加解密管理系統，以一種“軟件定義加解密”的方式對加密機的能力進行統一的調配管理，將加密機的使用性打造得更加靈活。
評
順豐從自身的安全實踐中出發，系統性地整合出了基于數據的整體解決方案：從數據梳理，到敏感數據的識別，再對整個數據流的追蹤監控，到脫敏和加密的保護，對數據的全生命周期進行了保護。粹御的五個模組可以一起使用，也可以分開根據企業自身的需求進行配置，讓企業可以自己去完善數據安全中的空缺。