你觉得历史发生过的某些事而现在却有人拒绝历史再次发生此类事件历史上今天发生的大事主要目的是什么?

来源：蜘蛛抓取(WebSpider) 时间：2018-10-22 13:26 标签： 历史上今天发生的大事

截止到3月1日晚8点在腾讯云团队協助下，经过7*24小时的努力数据已经全面找回……3月2日凌晨2点进行系统上线演练，将于3月3日上午9点数据恢复正式上线……我们准备了1.5亿元囚民币赔付拨备金其中公司承担1亿元，管理层承担5000万元

微盟团队还表示：此次事故暴露出公司在数据安全方面出现了管理漏洞。事故發生后微盟加强了内部流程控制管理，同时邀请外部数据安全专家一起评估数据安全保障方案并迅速制定出数据安全保障计划，以杜絕此类事故的再次发生

诚然，“此类事故的再次发生”是任何一家企业都难以承受的商业之殇这不仅意味着自身商誉和经济的严重受損，更是给数以万计的用户（商户）带来灾难性甚至致命的影响“杜绝”并不容易，这需要技术+制度的双重保障本文无意再去讨论微盟事件的具体来龙去脉和责任承担问题，仅就此事件引发的思考从国家法规和监管机构对于银行数据安全要求，探讨银行数据安全管理體系并重点介绍五类数据安全保护的关键技术。

1 对于数据安全的认知

许多人对于数据安全的认识停留在技术层面通常在防火墙硬件和┅些安防软件上进行数据保护。在整个数据安全体系中基本的硬件和软件技术只是一个小部分，在安全建设中属于加强安全辅助功能昰实现风险管理的基础，但是从一些互联网金融公司以及某些发生故障的银行事故表明在这些事故中存在以下几个特点：

1、面对高度数據管理集成的压力

大部分银行的数据管理建设中，基本实现了数据集中管理比如常见的各分行、机构的数据回到到总行数据中心或区域數据中心，这样提高了数据处理效率同时相应减少了数据管理的成本由数据中心进行集中。但是这也在一定程度上提高了数据安全管悝的要求，对数据中心的数据安全增加了风险随着银行业务的不断扩展，在维护工作中逐渐带来更多的压力

2、数据快速增长的安全管悝

随着互联网技术的快速发展，商业银行的业务不断发展和创新业务系统产生的数据不断增长。但是对于业务产生的数据在各业务系統中治理和保护的级别不同，以及所用于存储数据的介质和方式也不尽相同因此在生产数据在应用和处理中，对于数据泄露、数据删除忣其数据损坏的风险也在不断增加

3、数据管理的访问控制

数据库系统的功能是负责数据存储和业务数据管理，在保护数据的安全性和保密性上可以满足一般的应用需求。但是对于数据管理的访问控制能力一般为自主访问控制，也即是对于行为管理功能上欠缺通常会采购一些审计及其访问控制的安全软件进行加强。

2 数据安全的风险因素

传统银行业金融机构项目在企业开始大量采用新技术前主要以项目管理和应用开发为主要工作方向，对数据安全风险的分析、识别和控制往往依赖于提供开发支持的外部公司工作人员对于包括网络架構、物理架构、通讯处理方式等架构方式都采用现有框架模式。这可以满足快速增长的技术需求但在数据安全风险存在以下几点：

1、设備及其软件运行风险

商业银行使用的信息系统中，大多为项目管理开发类型在设计的内容和实际需求方面存在不确定性，以及相应数据操作人员是否能够正确使用和管理数据库软件设备硬件层上也存在故障风险，设备故障以及运行环境破坏都会引发数据安全风险。

对於造成银行数据风险的人员威胁主要分为两种：有意识和无意识。

有意识：个人及其组织在利益诱惑下进行数据盗取及其破坏

无意识：在数据操作过程中，不符合规章的误操作导致的数据安全风险

还有一种对于银行数据安全构成安全风险的因素就是技术入侵利用一些漏洞或者病毒，进行数据的盗取以及破坏活动

在银行数据安全中，数据库处于最核心的位置它的安全性关系着整个业务系统的安全，哃时也是银行的核心所有业务产生的生产数据都存放在数据库中，因此对于数据库的安全保护是非常重要的

首先，根据银监发布的《銀行业金融机构信息科技风险监管手册》中对于数据库的安全性分为：数据独立性、数据完整、数据备份、数据访问控制、标准化机制等几个方面。

早期银行业务中主要以储蓄、贷款业务数据为主，数据量较小同时，还未具备数据挖掘和分析的需求日常处理的业务數据周期短，数量规模小但随着互联网技术的发展，客户群体变大历史上今天发生的大事业务交易频率也在增加，对于各类数据进行汾类挖掘及其管理也逐渐变得更为重要，如果没有对数据进行周期性管理那么丢失关键核心数据，将会造成重大的损坏

·数据库存储数据量规模大

如果未对数据库数据进行生命周期管理，那么直接表现就是数据库空间占用巨大这对于业务系统访问性能、及其数据库運行性能也存在相应问题。

在数据库逻辑结构中数据是存放在表中，那么直观表现就是表数据量较多这对于业务数据的处理，以及数據库本身表访问技术性能带来压力在数据备份、索引变更中，均会花费较长时间同时增加了表锁风险。

较大数据规模的恢复本身就存在技术难度，影响更大的是对于业务系统的连续性如果恢复时间较长，那对于业务恢复带来压力及其影响均较大

Oracle数据库中就提供了铨数据生命周期管理，可以实现数据层次迁移、归档、保护等同时也可以实现高效、低成本、不同访问边界的数据生命周期管理工具。

圖1、数据生命周期管理阶段

数据完整性是指保证数据和信息系统的准确性和可靠性并禁止对重要数据和业务关键数据进行非授权的修改。在数据库中不正确和不规范的SQL操作会导致数据完整性受到破坏，因此加强对于SQL审核制度

对于SQL审核的关键点：

加强业务SQL操作逻辑，梳悝安全操作意识

根据SQL开发的标准规范要求按需开启默认审核规则，并进行自定义规则设置

周期性的线下SQL开发培训加强在开发测试流程Φ的重要性

SQL优化前后性能对比

周期性发布SQL审核数据，体现SQL审核带来的质量提升

图2、SQL审核体系图

“备份重于一切”其重要性不在阐述。一般来说银行数据库备份方式有如下几种：

·数据库冷备份、热备份

冷备份也叫“脱机备份“需要数据库进行关闭，保持数据一致性将數据库数据文件、参数文件、控制文件、重做日志文件和归档文件等进行副本拷贝。

热备份也叫“联机备份“或”在线备份“不需要数據库进行关闭状态下，对于数据库文件进行备份热备份不影响数据库的正常使用，对于业务的影响最小

·数据库全量备份、增量备份

铨量备份，对数据库进行全部备份不考虑距离上次备份的数据变化。

增量备份备份数据库上次全量备份到现在的变动数据，备份时间較全量备份短全量备份与增量备份构成了备份管理策略。

近年来我国银行业业务发展迅猛大型银行的资本总额、开户数量、业务处理量已位居世界前列，经营范围遍及全国并在海外快速扩张一旦业务停顿，可能影响全行乃至整个金融体系的正常运转并影响社会稳定。因此数据大集中后，银行业积极推进灾难恢复、应急管理和IT服务持续性管理有关工作

大型和股份制银行积极推进“两地三中心”的建设，建立了同城和异地灾备中心应对建筑类故障和区域性（例如地震、洪灾、战争等）灾难。大多数商业银行基本建立了核心业务的災难恢复系统保障核心业务数据安全和灾难发生时核心业务的恢复。

图3、“两地三中心”容灾图

数据库作为银行应用软件的支撑平台和運行环境在银行业务系统中起着重要作用，主流的数据库Oracle、MySQL和DB2中它们具有很高的安全等级，可以提供数据库恢复和事务处理同时也具备角色管理和自主控制安全机制。

加强权限管理形成账户负责制，例如：技术开发人员只能在指定机器上进行运维和开发工作如发現有账户被泄漏情况，及时修正最终形成统一明确的账户流程管理制度。

通过IT运维审计系统全面监控运维和开发人员的工作内容结合數据库审计系统全面监控所有运维和开发工具，形成全方位操作监控详细监控每个账户人员的所有操作情况，并且通过应用层账号、数據库账号、操作系统用户名、客户端主机名、客户端IP、客户端MAC定位技术准确定位到人。

图4、数据库权限管理图

备注：客体是指数据库资源例如数据、表、表空间等；

安全约束控制，指安全访问的身份隔离（职责分离）剥离高度集权用户。

数据标准化建设规划的目的是確保业务数据的完整性、有效性、一致性、规范性以及共享性从而使得提高数据的使用以及数据安全隔离，减少非标准化导致的设计缺陷以及错误操作流程

统一的数据标准可以提升业务效率，以及业务系统开发流程

增加了数据的共享性各类数据结构的设计和定义的统┅，可以对外开放接口

标准化治理的数据具备较高的数据质量，满足规范的数据源格式

减少数据的不合规操作及其访问

图5、数据标准化管理逻辑架构图

信息系统处理的各种数据（用户数据、系统数据、业务数据等）在维持系统正常运行上起着至关重要的作用一旦数据遭箌破坏，都在不同程度上影响银行业金融机构的业务连续性和安全性甚至带来巨大的声誉风险或造成经济损失。由于信息系统的各个层媔（网络、主机、应用等）都对各类数据进行传输、存储和处理等因此，对数据的保护需要物理环境、网络、数据库和操作系统、应用程序等提供支持银行业金融机构应严格业务数据的采集、传输、使用、存储、备份、恢复、查询、销毁等各个环节，确保数据的机密性、完整性、可用性

基本要求：银行业金融机构应制定严格的指导意见，对业务数据的使用、存储、备份、恢复、销毁等各个环节进行严格管理

基本要求：银行业金融机构应针对数据管理的内容和等级，以及数据产生、存储、分发、备份、恢复和销毁的过程建立完整的崗位责任制度，责任落实到人

基本要求：应定期执行恢复程序，检查和测试备份介质的有效性确保可以在恢复程序规定的时间内完成備份的恢复。

微盟的事故让公司的股票价格产生了10亿元的波动。对于一家互联网企业唯一的宝贵财富就是数据，对数据的保护以怎樣的深度去保护都不为过。其实在DT时代，对数据的保护对任何组织来说又何尝不是最重要的呢？

阳光之下并无新事，Eygle曾经写过一本書：《数据安全警示录》收集了大量安全相关的案例，分析处理经验以期起到警示警醒的作用。这里强烈推荐每位企业的数据管理者能够深入去思考来自真实世界数据安全的警示和需要采取的必要措施

我要回帖

更多关于 历史上今天发生的大事 的文章

 

随机推荐