炼石参编《2024网信自主创新调研报告》正式发布｜附下载

关注炼石的本公众号（或从微信中搜索公众号：炼石网络CipherGateway）并后台回复关键词“炼石就是数据安全177”，下载《2024网信自主创新调研报告》PDF版（版权所有：网信自主创新调研报告编委会）。

某市组织部的智慧党建系统内含重要敏感信息，需要全面提升数据安全水平。在数据资产方面，该系统的数据库中有数百个字段、超亿条数据，须对这些敏感字段实施加密保护。在部署环境方面，由于系统部署于政务数据中心，硬件产品需托管至IDC机房并经过安全专项测评。在系统维护方面，网站访问量大时，加密操作不能影响系统正常运行，系统需支持微服务改造、分库分表等定制化需求。北京炼石网络技术有限公司提供了融入业务的数据安全主平台解决方案。

该方案集成了密钥管理系统、数据安全平台以及加密插件等安全构件。政务数据中心（政务云）使用硬件密码机生成的根密钥进行加密。政务内网中部署数据安全平台，为党建系统需要加密的字段配置加密策略。在应用服务器上部署加密插件，获取安全平台的策略和密管系统的密钥，为经过应用服务的数据提供基于商用密码算法的字段级加解密服务。

该方案基于面向切面的加密技术，将安全与业务在技术上解耦，但又在能力上融合交织，实现主体到应用内用户、客体到字段级的防护。既无需开发改造应用，也无需适配数据库，在应用侧通过配置的方式实现敏捷部署。同时，平台把数据锚点解密与访问控制、审计等技术结合，构建防绕过的数据防护机制，提供融入数据使用场景的细粒度加密防护和安全控制，实现敏感数据访问授权最小化，并支持可追溯、防篡改的第三方数据操作审计。性能方面，平台在单CPU上SM4算法加解密速度突破140Gbps，单CPU加密10亿条手机号耗时20秒。

该平台构建了一个以密码技术为核心的实战化数据安全防护体系，满足政务信息系统密码应用和安全性评估的标准。目前，系统及其安全机制运行稳定。项目的成功实施，得益于免改造部署方式和高性能密码技术的支撑。

某保险公司在数据安全实践中发现，高价值业务数据存储和流转于巨大的存量业务系统中，大量业务处理与安全机制纽结缠绕、难以分割。复杂异构的应用系统、开发语言和数据库抬高了工程化技术门槛。该保险公司对数据安全建设提出如下需求:

一是有效防范内外部安全风险。针对内部人员恶意泄露数据、外部黑客攻击窃取数据，或第三方机构、DBA等泄露、篡改、毁损数据等潜在风险，应具备安全防护能力。

二是化解数据传输存储等安全威胁。保险数据流转具有长链条、多主体、跨地域等特征，因此数据在传输、本地存储、集中存储等多环节均需采取适当手段保障数据安全。

三是跨越工程化技术门槛。保险应用系统分布式位于虚拟化、云化、实体机等多元环境中，同时涉及char、varchar、blob、clob、json等多类型字段，包含关系型、非关系型等多样数据库，存在分库分表、存储过程、模糊查询等丰富使用场景，面对复杂异构应用，通过改造应用叠加安全，成本高、周期长、风险大，需采用免改造安全降低技术应用门槛、防范安全威胁。

四是支撑数十亿体量敏感数据保护。面向数以亿计的业务实时数据和已有存量数据进行加密保护，加解密对业务操作延时不超过10%且不影响或中断正常业务运行。

北京炼石网络技术有限公司围绕保险用户核心业务应用，提供基于免改造的个人信息与数据安全保护建设，通过打造免改造技术引擎平台，将安全能力系统融入用户基础设施和应用服务内部。针对保险数据在不同处理环节的免改造控制面，施加防绕过动态保护，实现横向覆盖长护、医改、大病、城市平台等广泛应用，纵向叠加识别、加密、脱敏、访问控制、审计追溯等多阶安全能力，面向运维侧防范内部DBA、外包、黑客拖库攻击，面向用户侧防范业务人员越权访问及风险操作，并实现集中式管控、分布式保护、分阶段上线，增强保险用户的安全保障能力。

图：基于免改造安全的数据保护方案

在实际建设中，集团数据中心部署炼石免改造技术引擎平台和密钥管理系统，长护、医改、新大病、城市平台等多个应用系统的服务节点分别部署炼石数据安全模块，可实现敏感数据的分布式加密脱敏、安全策略和密钥的集中式管控。当用户登录各自系统输入信息时，应用服务通过数据安全模块对信息进行加密策略判定，并将需要加密的敏感字段（如个人身份信息、医疗信息等）进行加密，密文存储于数据库中。在用户查询信息时，应用服务通过数据安全模块解密相应密文数据，再将明文返回前台展示。

针对关系型和非关系型数据库存储、数据传输、数据清洗处理等典型应用场景，可通过数据安全模块实现数据加密保护。该模块基于炼石免改造安全技术，在不对应用源代码进行修改的前提下，实现任意指定字段的数据库存储加密，可结合登录用户身份，实现数据动态脱敏和审计。模块内置的密钥和策略缓存机制，保证在平台断连的情况下业务不中断。此外，系统还支持微服务场景下的应用服务器数量扩展需求。

本方案适用于保险行业复杂场景的安全防护需求，实施后已完成数十个应用系统、数百个应用节点、数十亿条数据的安全保护，构建了网络、平台、数据之间环环相扣、协同联动的防御能力，可覆盖事前事中事后安全防控，满足GB/T 39786-2021《信息安全技术信息系统密码应用基本要求》第三级密码应用要求，为保险行业数据安全防护和合规建设提供了有效的安全支撑。