此篇文章发布距今已超过791天，您需要注意文章的内容或图片是否可用！
近日，《ISC 2022十年网安行业代表性案例》由ISC互联网安全大会联合数说安全共同发布，收录了十大网络安全最具代表性案例和31个网络安全优秀案例，描绘行业典型案例成果全景画卷，致力于帮助客户及广大企业把握数字经济发展趋势和规律，赋能数字化转型升级。炼石产品支撑的健康码疫情防控个人信息保护项目，凭借在数据安全领域的技术创新与服务，以及良好的市场反馈，入选“ISC 2022十年网安政企行业优秀案例”。
本次活动，由赛博英杰创始人谭晓生，数世咨询创始人李少鹏，赛迪顾问业务总监高丹，数说安全创始人于江，360数字安全集团副总裁、ISC 主理人卜思南，安全419创始人张毅等业内权威专家组成的评审团队，基于案例客户多维度曝光、案例考评集多方共议、案例征集全领域触达、案例价值深层次剖析的四大运营机制，挖掘近十年中引领行业发展风向，具有重要借鉴意义与推广价值的数字安全典型案例，汇编《ISC 2022十年网安行业代表性案例》。
疫情联防联控时期，健康码作为健康出行通行凭证，供市民在线进行健康状况申报自查，替代了纸质通行证，实现自动化、可追溯、数据流通、非接触式身份验证，在疫情防控及复工复产中发挥了关键作用。然而，看似简单的健康码背后却包含大量个人隐私信息。某省健康码与医疗机构、电信运营商、海关、民航、铁路、社区等应用系统紧密相连，采集了1亿多人口的确诊/疑似等病情病例数据、密切接触者数据、医学检测数据、发热门诊数据、位置轨迹数据等海量个人隐私信息。
个人信息利用在疫情期间的让渡，并不意味着对个人信息保护的漠视，公共安全与隐私保护两者并不冲突。随着《个人健康信息码 参考模型》《个人健康信息码 数据格式》《个人健康信息码 应用接口》等相关行业规范的出台，明确规定个人健康信息服务及其应用应达到GB/T22239-2019等级保护第三级的要求；健康码在应用端应被妥善保护，采用符合国家密码管理要求的算法进行加密保存，其使用宜配合用户的口令确认。对于对数据监测的隐私提出了明确的保护要求，确保特殊情况下的动态平衡。对于某省健康码的加密改造，难以通过改造应用系统增强数据安全能力；同时，难以在应用系统工作时段对数据实施加密处理，因此只能利用夜间较短时间窗口快速部署；解决方案需满足个人健康信息服务及其应用应达到GB/T22239-2019等级保护第三级的要求；数据量巨大，需针对1亿多的个人隐私信息，包含姓名、年龄、体温数据、居住地、职业、轨迹、居住地、职业、轨迹等，进行数据加密保护；系统访问量大，加密执行需具备高性能、高可用性，不能影响系统的正常使用；时间紧，上线时间临近，任务重。健康码背后是一套复杂的大数据应用系统在支撑，其中包含了数十个子系统，并且集成和打通了卫健委、公安、电信运营商、卫生医疗机构、民航铁路等机构的系统和数据，业务逻辑复杂、数据交互实时性要求极高。通过对存量应用系统开发改造的方式实现密码合规和安全增强，周期长难度大，对7*24小时运行的健康码业务也存在中断风险。所以需要易于落地的创新密码技术，敏捷实施对健康码数据的安全保护。因此，针对健康码应用密码技术应用路线应考虑如下方面：对未来的增量系统：以合规为牵引，以落地实践为参考，按照商用密码体系标准执行健康码密码技术方案设计与落地。对目前的存量系统：以评促改，以安全合规为基线，建议采用易部署、免改造的密码技术路线，敏捷实施对健康码数据的安全保护。健康码疫情防控个人信息保护项目以应用层为抓手，重建安全访问机制，实现数据细粒度防护。作为典型的存量系统，某省健康码开展个人信息加密保护，涉及到众多核心应用服务、应用服务器，以及上亿条敏感数据，在进行充分测试演练后，在数天内完成了切割上线，目前该方案目前已顺利实施并成功交付，加密后对用户体验无影响，实现了个人隐私信息保护。某省健康码没有采用传统“堆砌硬件密码机+代码开发改造”模式，而采用了免开发改造应用的“密码中间件”技术，基于高性能商用密码模块，在应用层实施数据加密，实现了面向服务侧的敏感数据存储加密，与面向用户侧的数据动态脱敏。该技术路线实施周期短，可使商用密码技术保护健康码数据安全迅速见效，也从技术路线上初步验证了商用密码技术保护海量健康码数据的可行性。结合某省健康码服务系统行业特点，对应用层的健康码、社区互扫、卡口、工作台、基础服务、外部服务等各个环节涉及数据作系统性梳理，分析找出身份信息、位置、移动轨迹、健康信息等需要加密保护的数据，通过部署AOE面向切面的模块，免开发改造应用，仅需要配置的方式便可以敏捷实施。兼容所有数据库类型，包括商业数据库、开源数据库、国产数据库以及新的大数据。将数据加密、访问控制、审计相结合，确保访问控制一定经过加解密的一个环节，构建“防绕过”的数据安全防护机制，实现高置信度的审计，打造以密码技术为核心，把系统安全技术相结的实战化防护体系。方案在应用内部署加密模块，应用无需改造，实现敏捷实施，有效控制流动中的数据。不改变之前的运行机制，也不影响企业现有系统的稳定性，可保证已上线系统的正常运营，实现服务侧存储加密。方案通过在应用系统内部署加密模块，管理员通过设置加解密策略，提供“主体到应用内用户，客体到字段级”的安全防护能力，实现面向用户侧动态脱敏、面向服务侧存储加密，有效防范内部业务人员越权、外部黑客入侵拖库等风险。炼石提供PCT国际专利保护的高性能国密技术，在单颗Intel CPU上实现SM4加解密速度突破140Gbps，加密10亿条手机号仅耗时20秒，保障用户业务系统使用国产密码保护后，不影响运行效率和使用体验。方案支持丰富的数据库类型，如：关系型数据库Oracle、MySQL、PostgreSQL等，大数据平台Hadoop、Teradata、MongoDB等。用户只需在应用中进行模块配置，重启服务即可完成安装。方案支持国外密码算法的同时，还可以提供国密算法（SM2/SM3/SM4/SM9）能力，业务封装层提供面向应用开发人员的、结合业务要素的密码封装接口，让应用软件开发者可以无门槛实现集成密码能力。
炼石免改造数据安全，让数据开发利用与有效保护二者兼得。炼石免改造应用的数据安全方案，结合国家“四法四条例”以及各个行业监管要求，以“数据”为中心，以“应用”为抓手，打造应用内嵌式数据安全产品，形成“一平台、多模块”产品体系，贯穿识别、防护、检测/响应、追溯等环节。方案防护能力覆盖应用系统、数据库、文件系统、磁盘、终端等多层级，在不同的数据控制点，可发现识别目标数据结构及用户身份，并整合加密、去标识化、身份认证、访问控制、行为审计等安全能力，实现“主体到人、客体到字段”的细粒度防护，实现防绕过的数据安全机制。方案适用于政府、金融、运营商、交通、教医旅、工业等用户的个人信息保护、商业数据保护、DSM数据安全管理合规改造、国密合规改造等场景，打造实战化数据安全防护体系。炼石免改造数据安全方案无需改动目标应用系统的代码，即可实现为应用系统增强数据安全保护能力，针对数据流转过程中的多个免改造控制点，对数据施加保护能力，可覆盖结构化和非结构化数据保护。炼石免改造数据安全方案包括多种模式，比较典型的比如有AOE-Plugin（应用插件模式）、AOE-Proxy（代理网关模式）、TFE（文件安全）、FDE（全磁盘加密）以及TDE（透明数据加密）等，可有效兼容支持企业用户的广泛应用架构，比如能够实现兼容JAVA、C/C++、Python、PHP等主流开发语言、兼容开放协议的关系型数据库和非关系型数据库、兼容Linux/信创OS/Windows等，同时，炼石免改造数据安全方案还能够利用数据库内置存储代理机制实现国密合规。炼石免改造数据安全方案面向应用系统，在应用层以数据为抓手实现数据安全保护，达到“密码安全一体化”的实战防护，使用加解密技术给数据重构“新边界”，在新边界上再施加事前防护、事中检测响应、事后审计追溯等数据保护能力，同时面向运维侧和用户侧的数据威胁，打造防绕过的数据保护体系。炼石免改造数据安全方案可以打造以应用为单元的细粒度保护。AOE-Plugin等控制点模块，可根据业务数据流向，灵活配置加密、解密、脱敏等安全规则，在OLAP等复杂数据分析场景下可提供精细的数据流转权限控制。进一步地，产品模块可以获取到当前应用内访问者的身份信息，从而实现“主体到人、客体到字段”的细粒度访问控制。
此次，炼石产品支撑的某省健康码疫情防控个人信息保护项目入选ISC 2022十年网安行业代表性案例-政企行业优秀案例，体现了业内对炼石技术创新能力、产品成熟度、方案竞争力的认可。未来，炼石将持续专注于数据安全领域，以技术创新作为企业立足之本，持续打磨升级产品和服务，为用户的数字化转型发展保驾护航，为网络强国、数字中国建设贡献力量。
炼石网络是一家数据安全技术创新厂商，先后获得安天、国科嘉和、腾讯等投资，面向个人信息和商业数据保护等场景，开创自研“免改造数据安全”产品，以及DSM数据安全管理平台。炼石免改造数据安全夺得第七届互联网安全大会（ISC 2019）首届“创新独角兽沙盒大赛”总冠军，技术特色是免开发改造应用的数据保护、高性能国产密码和去标识化技术，为政府、金融、运营商、交通、教医旅、工业等用户提供个人信息保护、商业数据保护、DSM数据安全管理合规改造、国密合规改造。面向《密码法》《数据安全法》《个人信息保护法》等法律法规，企业重要数据与个人信息亟待提升防护水平与合规改造。炼石基于免改造数据安全技术，通过高覆盖率的数据控制点，横向覆盖广泛应用，纵向叠加发现识别、加密、去标识化、检测/响应、审计追溯等安全能力，有效保护结构化与非结构化数据，实现集中式管控、分布式保护，可应用在数据存储、使用、加工、传输、提供等环节。炼石方案可在不影响业务的前提下敏捷实施上线，将安全与业务在技术上解耦、但又在能力上融合交织，实现主体到应用内用户、客体到字段/文档级的有效保护，打造实战化数据安全防护体系。
推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
宙飒天下网
还没有评论，来说两句吧...