派拉軟件：2022銀行零信任安全白皮書（31頁）.pdf

1、銀行零信任安全白皮書Zero Trust Security Bank派拉軟件發展研究院銀行零信任安全白皮書Zero Trust Security Bank派拉軟件發展研究院摘 要 近年來，隨著新技術在銀行業的廣泛應用，加快了銀行業數字化轉型的步伐，銀行的業務和管理向著線上化、數字化、智能化演進，銀行的價值鏈也由封閉走向開放。隨著銀行業數字化進程的逐漸深入，信息安全風險也日益凸顯。零信任作為信息安全領域的又一次技術革新，正在成為銀行業構建信息安全防護體系的重點之一。本白皮書意在指引利用零信任安全技術的優勢，加快推進銀行業務安全的建設，針對銀行業的安全挑戰，提出銀行零信任安全框架，并對銀行的業務場

2、景實現、數據安全與隱私保護等方面進行闡述，以期對銀行業務安全提供發展指引，供讀者思考和實操參考。summary派拉軟件發展研究院content目錄P11.1 環境背景1.2 安全挑戰01現狀與需求 P33.1 遠程辦公3.2 數字銀行3.3 系統運維08業務場景實現 P44.1身份和權限治理4.2安全訪問4.3 API安全4.4數據安全13安全合規與隱私保護P55.1 銀行業零信任安全總結5.2 銀行業零信任安全發展趨勢25總結與展望P22.1 技術特點2.2 部署方式04銀行零信任安全框架 page 01派拉軟件發展研究院1.1 環境背景1.2 安全挑戰現狀與需求 p art011.2 安全

3、挑戰 派拉軟件發展研究院現狀與需求1.1 環境背景 隨著云計算、互聯網、移動計算和物聯網的發展，銀行業務場景復雜導致的數據安全受到更多的威脅。由于業務的不斷快速發展，金融機構的業務系統多達幾百上千個，應用場景繁多，其中承載著大量的客戶基礎信息、業務交易數據、業務產品數據、企業經營數據、機構數據、認證信息、生物特征信息、企業員工信息等大量業務和系統數據。這些數據由于業務需要在各個系統間不停的流轉,其面臨的風險也隨之變化。銀行面臨的安全挑戰有以下方面：“十四五”時期，我國金融業安全和信息化發展的外部環境和內部條件發生復雜而深刻的變化，機遇與挑戰前所未有。作為數據密集型行業，銀行業更需要嚴格落實法律

4、法規，將監管要求的網絡與數據信息安全指導方針、風險管理、監督和檢查管理的流程和機制 等內容整合到現有安全管理策略和制度建設當中。健全數據安全治理體系，強化數據全生命周期安全防護，嚴防數據誤用濫用。推動數據分級分類管理，科學界定數據所有權、使用權、管理權和收益權，明確數據適用范圍成為金融機構首要基礎安全建設。近年來，國內外網絡攻擊和數據泄露事件頻發，攻擊手段不斷升級，從數據的采集、傳輸、存儲、處理到訪問，國家、企業和個人面臨著各類的網絡與數據安全威脅。國家高度重視網絡與數據安全工作，網絡安全法在2017年起實施后，于2021年陸續發布數據安全法、個人信息保護法等法律法規，為推進網絡與數據安全建設

5、提供了法理依據。page 02派拉軟件發展研究院 (1)基于網絡物理邊界的防護理念在新型的安全攻擊下暴 露 出 很 多 問 題，先連接后認證的方式增加了后端服務的危險，即便是VPN本身也只解決訪問網絡的身份，不會對終端以及訪問服務的身份與權限進行驗證；另外，后端服務無法做到隱藏，對外固定的端口很容易受到外部惡意的探測與攻擊，導致服務崩潰而無法訪問?；谀涿K端和無權限訪問服務的身份認證影響著整個后端服務安全，而端到端沒有建立加密隧道的連接方式也影響著整個網絡安全。（2）數字化轉型的大背景下，銀行系統架構除了支持進行數據治理，還要提供采集、傳輸、處理、存儲、訪問整個數據安全周期的保障，其中 各

6、業 務 系 統API的安全成為關鍵，不僅涉及到業務的互聯互通，還與數據安全周期的保障直接關聯，也關系到企業API資產統計與管理?，F有的RBAC授權模式已無法提供對敏感數據的訪問保護；大量的API權限范圍的合法性也需要監管；非一對一關系的業務請求涉及到多個業務系統接口的組合和編排，安全性如何保障？這些問題充滿著安全挑戰，現有的系統架構已無法滿足。（3)傳統防護技術的升級，往往是有針對性的、局部的，且僅限于預設靜態防范模式，并沒有整體的動態安全防護概念，無法做到一體化的安全架構體系，即“持續訪問，持續驗證”的理念，根據請求者、終端環境、網絡環境、服務環境實現訪問權限自適應，自動把風險控制到最低，直

7、至完全隔離或消除。要解決以上安全挑戰，我們需要構建銀行零信任安全架構，把身份安全、終端安全、網絡安全、API安全包含進去，在滿足業務需求的前提下提供一體化的安全保障。銀行零信任安全架構身份安全網絡安全終端安全API安全page 03page 04派拉軟件發展研究院銀行零信任安全框架 p art022.1 技術特點2.2 部署方式派拉軟件發展研究院銀行零信任安全框架 銀行零信任安全架構保障網絡和數據的安全，降低由于數字化轉型帶來的安全風險，主要從身份安全、終端安全、網絡安全、API安全結合銀行業的遠程辦公、數字銀行、系統運維幾個業務場景來實現。銀行一體化安全邏輯架構 如圖2-1所示圖2-1 銀行

8、一體化安全邏輯架構外部觸點交換與安全平臺服務治理數據治理ZTaaS身份安全網絡安全終端安全API安全數據安全pcAPPWEB微信系統運維遠程辦公數字銀行信創平臺page 05派拉軟件發展研究院page 06解決用戶、設備、數據相關業務及訪問的唯一標識與權限問題，實現終端與服務身份的統一管理與權限驗證，是跨多個系統和應用程序管理數字身份和訪問權限的工具。這些工具有助于確保只有合適的人才能在合適的時間出于合適的原因獲得合適的資源（例如應用程序和數據）的權限，基于細粒度動態授權模式，實現“持續訪問，持續驗證”，保證訪問權限的最小化。身份安全解決終端運行環境的安全問題，由終端感知與終端防護兩部分組成。

9、終端感知包括安全事件檢測、安全事件調查、遏制安全事件、以及修復至感染前的狀態；終端防護由漏洞利用預防/內存保護、應用控制/白名單、系統信任保證、網絡防火墻、可視性及微隔離幾大類組成。終端安全解決了終端到資源端的鏈路安全問題，實現先認證后連接，隱藏后端服務網關、資源服務，免受被惡意探測和攻擊，通過微隔離完成數據的安全過濾與導流，以及訪問資源的負載均衡。網絡安全解決了數據采集、傳輸、處理、存儲、訪問全生命周期的安全問題，提供元數據的定義與授權，基于細粒度的授權模式，對敏感屬性自動過濾與加密，結合業務安全模型與風險評估，可動態實現數據的訪問權限控制，數據安全網關可實現客戶端工具訪問的統一管理與配置，

10、防止SQL注入與特權帳號的安全管理與監控。解決各資源的數據交互與共享，實現API資產管理與監控，提供API編排滿足業務擴展的需要。對外提供最小權限的接口服務訪問，在實現業務互聯互通的前提下完成接口服務訪問控制，提供監控與審計，提高業務效率，增加用戶體驗，促進企業的合規性。API安全2.1 技術特點 數據安全派拉軟件發展研究院2.2 部署方式 支持本地或私有云部署，如果涉及遠程辦公，需要部署一臺能連續內外網的SPA控制器，一臺網關服務器，組成SDP服務解決網絡訪問安全，其他的IAM服務、API網關、UEBA服務等可部署在內網。支持混合云部署，SDP服務的SPA控制器、網關服務器地址需要能被公有云

11、和私有 云 訪 問，其他的IAM服務、API網關、UEBA服務等部署在私有云內，為解決云之間的鏈路安全，每個公有云需要部署一臺應用服務網關，提供端到端的安全鏈接服務。支持公有云部署，SDP服務的SPA控制器、網關服務器、IAM服務、API網關、UEBA服務等部署公有云內，外網不通過SPA控制器和網關服務器的認證，無法直接訪問IAM、API網關、UEBA等服務，同樣，為解決云之間的鏈路安全，每個公有云需要部署一臺應用服務網關，提供端到端的安全鏈接服務。本地/私有云混合云公有云page 07page 08派拉軟件發展研究院3.1 遠程辦公3.2 數字銀行 3.3 系統運維業務場景實現 p art0

12、3數據安全派拉軟件發展研究院業務場景實現3.1 遠程辦公 隨著疫情常態化以及遠程辦公的發展，加快了越來越多的員工通過遠程方式接入金融體系內網系統，進行辦公和生產，金融企業在傳統辦公模式下的安全邊界正在被逐漸打破。為更加有效識別訪問對象與權限，保護后端網絡和服務資源，實現便捷、高效與安全辦公，已成為普遍共識，圍繞著從終端身份、訪問資源的用戶身份、終端到資源端的鏈路安全到訪問資源權限的自適應，以及資源實現隱藏來避免外部探測和攻擊等問題，我們需要構建基于零信任安全模型的遠程辦公解決方案。如圖3-1所示 借助于零信任的ZTaaS可實現后端網絡的隱藏，實現終端身份先認證后連接，終端身份與用戶身份同時驗證

13、，避免了匿名和不安全終端的接入，在鏈路建立之前就可獲得用戶對后端資源是否有訪問的權限，解決了匿名或未授權用戶的異常訪問。信創平臺圖3-1 一體化安全辦公API數據交換安全平臺ZTaaS業務集成身份安全網絡安全終端安全外部觸點pcAPPWEB微信應用集成數據集成流程集成安全集成.人力資源系統運維管理平臺內控和風險管理統一支付平臺資產負債管理客戶信息管理.資源服務管理層員工/用戶.page 09派拉軟件發展研究院page 103.2 數字銀行 區別于傳統銀行，銀行服務不再依賴于實體銀行網點，而是以數字網絡作為銀行的核心，借助前沿技術為客戶提供網上銀行、手機銀行、移動支付等一系列服務，服務趨向定制化

14、和互動化，如何打通業務之間的互聯互通，實現API的安全訪問、API資產的管理與安全保護成為首要面對的問題。關于如何建設數字銀行，中國人民銀行印發的金融科技發展規劃（2022-2025年）給出了建設思路 打造基于API 技術的數字化生態銀行：“借助應用程序接口（API）、軟件開發工具包（SDK）等手段深化跨界合作構建開放、合作、共贏的金融服務生態體系。通過系統嵌入、API等手段，實時獲取風險信息、自動抓取業務特征數據，保證監管信息的真實性和實效性?！便y行的安全服務不僅需要滿足內部需求，而且也需要滿足外部需求，需要解決API的安全訪問，也要解決API資產管理與安全保護。數字銀行建設的解決方案 如圖

15、3-2所示信創平臺圖3-2 數字銀行的安全框架API數據交換安全平臺安全訪問ZTaaS業務集成身份安全網絡安全終端安全數據安全外部觸點網點平臺移動平臺信息交互平臺電商平臺應用集成數據集成渠道互聯外部合作.資金業務平臺電子商業匯票私人銀行理財系統信貸業務平臺貸記卡系統客戶管理平臺.資源服務.派拉軟件發展研究院 建設數字銀行的安全框架平臺，基于用戶、設備、系統等不同的訪問對象，統一內外部服務的安全接入，通過訪問身份認證和鑒權，減少身份與API數據泄露和攻擊風險，實現數據安全訪問；通過打通移動APP、微信小程序、第三方合作伙伴和企業內部應用的數據互聯互通，實現數據安全共享；通過API資產的統一管理與

16、檢查API權限的安全，實現資產統計與業務系統安全保護；打通企業上下游業務，整合內外部服務能力，實現敏捷應對業務的變化?？蓪崿F企業生態建設，降低運營成本、擴大數據積累、提升客戶體驗。3.3 系統運維 業務的發展需要用大量的操作系統與網絡設備來支撐，傳統的運維管理模式很難滿足安全與效率的平衡，甚至二者都不沾邊，運維人員的工作變得異常復雜和高風險，尤其對特權賬號的申請與授權非常敏感。金融機構面臨著如何實現資源的統一管控與特權賬號的全生命周期管理，操作系統或數據庫的細粒度訪問控制與審計，實現事前、事中、事后的全方位安全保護，在保障安全、監控、審計的前提下最大限度提高工作效率等多方面問題，要解決這些問題

17、，我們需要構建一體化的安全運維平臺來解決。如圖3-3所示page 11派拉軟件發展研究院page 12 通過平臺的集中管理，可實現對金融資產信息（包括運維人員、資源信息、資源賬號信息、授權管控、審計信息、密碼管理等）進行標準化的管理，為管理員和運維人員的訪問資源提供了安全性和高效性。通過關聯用戶的訪問資源行為，對非法登錄和非法操作實時分析、定位和響應，為安全審計和追蹤提供依據。數據安全圖3-3 一體化安全運維API數據交換安全平臺ZTaaSPAM身份安全網絡安全終端安全外部觸點pcAPPWEB微信資源注冊賬號與密碼管理安全審計訪問監控.操作系統數據庫應用系統交換機/路由器中間件虛擬設備.資源服

18、務管理員運維人員.派拉軟件發展研究院4.1身份和權限治理4.2安全訪問4.3 API安全4.4數據安全 安全合規與隱私保護 p art04page 13派拉軟件發展研究院page 14安全合規與隱私保護4.1身份和權限治理 在企業中，用戶或設備的身份信息都分散在各個業務系統中，企業在使用不同的業務服務過程中都存在由于身份信息的不同而存在數據的不一致性，權限也不盡相同，企業需要在每個業務系統中手動完成身份與權限信息的維護，容易引發以下幾個問題：數據安全是構建客戶信任的基礎，在數字經濟穩步發展的背景之下,數字化帶來的安全挑戰成為業界熱門話題，網絡安全也隨之升級為數字安全，安全合規與隱私保護愈發受到

19、越來越多企業的關注。因此，從企業角度，應當著重從身份和權限治理、安全訪問、服務安全三個方面進行安全保護。Q1數據與授權隱患 中國人姓名的重名率很高，在數字化系統授權時往往造成困擾，甚至導致錯誤授權。外部用戶或供應商需要手工創建身份信息，在供應商完成工作后往往沒有及時刪除用戶賬號和授權信息，導致安全威脅。離職員工不及時關閉賬號導致數據泄露。過度授權導致用戶可以查看超出應有權限的數據，造成企業信息安全風險。通過郵件或即時消息溝通身份和授權，往往會發生遺漏、錯誤的情況，從而導致安全風險。每一員工的入職、轉正、更換部門或升職、離職都需要在所有的數字化系統中進行添加、變更、刪除、鎖定等操作。一位員工的變

20、動，管理員往往需要操作幾十個授權動作，工作量巨大。派拉軟件發展研究院Q2特權賬號隱患 特權賬號與用戶在一對多的關系中，每個用戶在訪問的時候都需要知道特權賬號和密碼，密碼存在泄漏風險。特權賬號密碼定期更新的本意是加強密碼安全，但在多個使用特權賬號的用戶都需要知道密碼的情況下，密碼定期更新就變成了一種形式，泄漏的風險依然存在。如果使用特權賬號的用戶發生工作或崗位變動，特權賬號的安全隱患將會變得更高。如果企業存在多個業務系統，用戶可能要記多個特權賬號信息，由于特權賬號的權限是共享的，用戶的訪問并非是最小權限，這就為誤操作、數據的泄漏、勒索病毒的侵入埋下了安全隱患?，F在的大部分終端設備都是匿名的，后端

21、不會驗證終端設備的身份，即便驗證了由于與訪問的資源沒有交集而變得形同虛設，有風險的終端設備在訪問資源權限沒有變化的前提下還是會污染后端環境，由于不可識別，惡意的探測和攻擊將會同時存在，整個后端環境會受其影響，這給服務資源帶來了巨大風險 要解決身份和權限治理問題，加強身份的安全，實現對特權賬號的安全保護，需要通過身份管理平臺來完成,可實現：有些企業會用數字證書，但也只是與終端設備進行了綁定，終端設備如被別人使用，安全隱患將更大。Q3匿名終端設備隱患身份數據自動化業權管理一體化特權訪問全生命周期管理安全合規page 15派拉軟件發展研究院page 16 身份管理平臺可連接多數據源，通過與HR系統聯

22、動，當員工入職在HR中確認，員工身份數據實時同步到身份管理平臺中，平臺利用內置的規則，自動化開通相關的應用的訪問賬號（比如郵箱，OA，CRM等系統）；當員工相關的數據變更的情況下，如改換手機號，平臺將實時同步數據到所有更改員工相關的業務系統中；當員工離職時，在幾秒鐘內即可完成所有賬號的鎖定，該員工將無法再訪問企業的業務系統。這些自動化的操作將很大程度提升管理效率，降低由于手工操作代來的風險。在身份管理中，所有的用戶、設備、系統身份和業務權限將集中呈現。設備和用戶的身份訪問前將同時驗證，每一個實體在哪些業務系統中擁有身份和權限將一目了然。身份和權限的可視化不僅提升管理員的工作效率，也有助于企業進

23、行權限審計和管理，最大程度上避免過度授權。一方面，平臺通過單點登錄（Single Sign On-SSO）來實現一次登錄全局訪問的能力，用戶只需登錄一次，通過平臺的用戶門戶即可訪問所有的經授權的數字化系統。另一方面，平臺提供用戶自助平臺，可以幫助用戶完成應用訪問申請、個人信息修改、綁定訪問設備、綁定社交賬號登錄等等，提升數字化應用的使用體驗。身份數據自動化業權管理一體化派拉軟件發展研究院 區別于共享特權賬號，運維管理員是有唯一身份標識的，從訪問開始到訪問結束的整個過程可追溯，當運維管理員訪問云環境前平臺需要驗證個人的用戶身份、操作的業務、有效時間范圍；在訪問過程中，平臺可切換用戶身份為特權賬號

24、。在訪問過程中，所有操作均可控可追溯。特權賬號與密碼統一由平臺實行管理，用戶訪問與操作業務不需要知道特權賬號和密碼，當用戶有使用特權賬號的需求時，可通過業務進行申請，例如，用戶要使用后端中的業務虛機，選擇該業務虛機和訪問的時間段，以及要執行的操作進行申請，申請流程通過后即可訪問，訪問期間完成合法身份驗證后，平臺會自動為用戶完成對系統、數據庫的登錄，用戶直接執行操作即可，執行操作的合法性也交給平臺來處理。另外，當有較多的服務器時，定時修改密碼變成非常大的工作量。特權賬號密碼的定時更新由平臺根據密碼規則自動完成并批量快速完成修改。特權訪問全生命周期管理安全合規 平臺幫助企業滿足國家和國際的信息安全

25、法規。比如，通過采用平臺可以提升安全等級保護到三級水平。平臺同時提供GDPR對于個人信息和隱私的保護，幫助企業合規出海，拓展國際化業務。page 17派拉軟件發展研究院page 184.2安全訪問 傳統的訪問需要借助于終端工具，例如VPN，而這種方式已遠不能滿足企業對安全訪問的需求。容易受到攻擊 VPN包含終端軟件和服務端軟件，終端要建立與服務端的連接需要提供賬號和密碼，或者數字證書，作為網絡連接的身份憑據，VPN是先連接后認證的模式，終端需要事先知道服務端的地址和端口，驗證身份憑據后建立加密隧道，然后用戶通過其他工具訪問企業資源，如果用同一個VPN賬號和密碼在任何終端上同樣可以建立到服務資源

26、的連接，這對企業的資源造成了安全隱患，另外VPN服務端對外暴露的地址和端口極容易受到外網的探測和攻擊，導致癱瘓和勒索病毒入侵。不具備細粒度訪問控制 VPN的服務端只對來自終端的網絡身份進行驗證，至于用戶想干什么并不知道或者對是否有權限訪問企業中的資源無能為力，這就導致有網絡身份的用戶在訪問資源未驗證身份前在后端環境中可為所欲為，由于無法識別，整個后端環境中的資源安全變得不可控制。訪問風險無法被識別 VPN的終端只是解決與服務端的連接，而服務端到資源端的不存在加密隧道連接，也不提供對終端環境的檢測和保護，如果終端不安全，會導致有風險的數據直接進入到后端環境。例如用戶換了終端繼續工作，如果更換的終

27、端環境是高風險的，而用戶的權限并沒有發生變化，這就很可能出現安全問題，服務端到資源端的整個環境及易受到感染和攻擊。派拉軟件發展研究院資源訪問無安全保障 訪問操作系統、數據庫的工具雜亂，權限和訪問審計無法統一監管，很難做到事前和事中的有效控制，事后也很難追溯。對訪問過程中出現的隱藏風險無法進行有效監測與預警，對歷史的訪問行為沒有進行有效分析，數據無法做到可視化。要實現安全訪問，需要用到零信任一體化平臺來解決這些問題，從終端到連接，再到后端服務資源，提供整體的安全服務保障，滿足安全訪問的需求。以下是平臺的能力：平臺的零信任客戶端提供終端安全容器，對訪問設備進行安全保護，從終端到資源端提供全鏈路加密

28、隧道來保障端到端的安全，在訪問過程中，不僅對用戶進行身份認證，同時也對訪問設備進行認證。對服務資源進行訪問時，直接參與到資源授權環節，保證了從設備到業務全程的安全管理。端到端的安全訪問1網絡隱身能力2零信任訪問的數據 定 義 邊 界，需 要 通 過 軟 件 定 義 邊 界（Software Defined Perimeter-SDP）技 術，實 現 在建立訪問連接前需要完成安全認證。只有通過安全認證，SDP網關才能打開端口，從而降低網絡暴露面，減少攻擊的可能性。用戶要訪問后端的資源服務，啟動終端軟件后，輸入憑據，終端會向服務端的的認證服務發起單包認證模式，終端不會收到任何響應，直到服務端的認證

29、服務完成對來自該終端的身份驗證后才通知服務端的可信網關開放有效端口給終端進行再次連接。利用零信任的網絡隱身能力，企業可以在任何環境下構建基于安全數據中心。page 19派拉軟件發展研究院page 20零信任訪問中，不僅僅依賴于用戶和設備的認證。零信任通過訪問網關收集用戶訪問數據和訪問上下文信息（如常用設備，常用訪問地點，時間，設備指紋，訪問的操作行為等等）。通過大數據安全算法，分析當前用戶訪問的風險，到風險過高的情況下對訪問進行實時阻斷?；谟脩粜袨榈娘L險分析3自適應最小權限授權4用戶在任何情況下都需要保持最小權限的訪問，平臺在運行過程中會采集用戶訪問期間在終端、網絡、可信網關、認證服務、后端

30、的資源服務等信息，如果發現環境有變化，平臺會自動完成身份權限的調整，保持訪問安全。端到端的安全訪問網絡隱身能力基于用戶行為的風險分析自適應最小權限授權4.3 API安全 企業服務資源的增多與微服務化的普遍應用，API接口服務變得越來越多，服務的治理與安全已是企業亟需解決的問題：Q1沒有統一的標準 每個服務供應商都有適合本身軟件的服務接口標準，但集中到企業就會出現問題，由于不兼容，數據的同步變得困難，接口服務很難進行統一管理，數據也變得無法共享，導致企業決策缺少全局數據，例如客戶畫像、精準營銷等，直接限制了企業的發展和創新。Q2 權限混亂 接口服務的訪問涉及到授權，各個服務供應商授權的方式和顆粒

31、度、周期管理很難保持一致，人員也存在違規操作，賬號濫用的情況，導致接口服務被第三方所使用，提供的接口服務無法做到基于請求者的最小權限，會造成授權過大，使與本次請求無聯系的敏感數據泄露，數據權限的混亂給企業帶來巨大的安全風險。Q3API資產梳理不清 由于存在大量不斷變化的接口服務，人工梳理復雜且不準確導致統計困難，哪些接口服務在相互調用無法明確會帶來業務數據的混亂，也無法進行有效的API資產管理。派拉軟件發展研究院page 21page 22Q4API資產風險無管控 API接口之間的調用缺乏有效管控，在企業沒有統一的標準下，各個服務供應商會根據自己的軟件標準實現相互的調用，由于沒有監管API的安

32、全，結果會存在未授權的API、API授權過度、相互的調用無法追溯等API資產風險。要實現API安全，需要用到API管理平臺來解決，從API管理、API門戶、API網關、到API監控、API編排，平臺提供了完整的服務與安全功能，滿足服務安全的需求。以下是平臺的能力：派拉軟件發展研究院 API管理提供了API標準接口的定義、發布、上線、下線全生命周期管理，包括環境管理，通過平臺可以很直觀的看到各接口服務的數量與使用狀態，以及調用雙方與時間。當一個業務API無法滿足另一個業務時，平臺提供API接口編排的方式來滿足，實現了API的重復利用。API安全管理:1權限與審計:2 API網關會對接口服務的調用

33、進行身份識別與鑒權，保障API的調用為最小權限，并對接口調用雙方進行全方位的審計，做到調用可追溯，當被調方繁忙或在設定的時間范圍內沒響應時，會實現接口間的負載均衡做出及時響應，避免調用方的超時異常，增加了業務之間訪問的可持續性和高可用性，促進了企業的合規性。平臺提供API門戶，按照企業的統一接入標準提供自助接入SDK和文檔說明，供API發布或使用廠商及自開發應用人員完成調用接口開發與對接，實現標準接口注冊、授權、注銷流程化，最大限度提高了業務的敏捷與安全。服務自助接入:3數據可視化:4 API監控為業務系統API安全及API之間的調用狀態提供了監管可視化，包括時間范圍內接口調用的頻繁度，數據的

34、流轉與異常，時間段內業務系統API的安全狀態以及權限范圍的巡檢，為企業提供了全局的服務安全駕駛艙，能直觀的定位業務問題，解決問題。4.4數據安全 數據作為生產要素之一，越來越受到企業的重視，而隨著數據安全法的頒布，如何實現數據的安全成為企業首要解決的問題。Q1授權顆粒度過大 關系型數據的存儲大部分都基于庫和表的授權，這就導致基于角色或組的授權模式很容易引起用戶訪問權限過大的問題，管理員可以看到所有庫和表里的字段與數據，這種無法控制也無法滿足敏感數據的保護。例如，員工的家庭地址、手機號、薪酬情況，除了員工本人，正常下是不允許其他人可見的。Q2 元數據缺乏定義 隨著數據來自不同業務越來越多，不同業

35、務部門所需要查看自己相關的數據變得越來越困難，由于缺乏元數據的定義，數據不僅處理與解析響應能力受混合數據影響，而且展現的數據往往存在越權其他業務的問題，提供的許多數據由于雜亂導致業務信息不準確。Q3訪問缺乏控制與審計 IT運維人員都會安裝不同的數據庫客戶端工具直接訪問數據庫進行運維，很容易出現行為不可控，誤操作、SQL注入、特權帳號濫用問題，無法事先和事中進行控制，對數據的安全造成很大的隱患。要實現數據的安全，通過數據安全服務可實現細粒度授權、統一訪問控制與審計，對敏感的數據進行保護與分解，滿足數據安全的要求，以下是平臺的能力：派拉軟件發展研究院page 23page 24派拉軟件發展研究院

36、細粒度授權提供了數據字段或屬性的授權控制，是基于ABAC的授權模式，解決了由于基于庫和表的RBAC模式導致授權顆粒度過大，可基于策略的定義，動態化敏感數據的過濾和保護，實現按需展現。細粒度授權:1 可通過定義業務類型，提供數據的分類分級，根據業務數據的需求不同，提供元數據的定義與授權，不同業務部門只能看見自己的數據，上級部門根據需求不同可以看見該部門下不同業務數據的組合和分離。數據分類分級:2 提供IT運維統一的Web服務模式，實現訪問時間段、特權帳號申請、命令過濾和審計，實時監控，在訪問前和訪問中提供訪問控制與審計，保障數據訪問的安全。訪問控制:3數據分類分級提供元數據的定義與授權細粒度授權

37、RBACABAC統一訪問控制與審計提供IT運維統一的Web服務模式保障數據安全派拉軟件發展研究院5.1 銀行業零信任安全總結5.2 銀行業零信任安全發展趨勢總結與展望 p art05page 255.1 銀行業零信任安全總結 零信任不僅解決了網絡安全問題，同時也解決了服務安全問題，“持續訪問，持續驗證”的模式符合銀行業對安全要求高強度的特征，為銀行數字化轉型提供了安全保障，解決了監管對銀行提出的安全指標，銀行可更多關注業務與運維本身，加快業務敏捷與創新。要實現零信任安全架構，銀行可根據自身的實際信息化程度按遞進式建設，正常情況下分幾個階段來完成：派拉軟件發展研究院page 26總結與展望身份安

38、全階段網絡安全階段自適應階段 一是要實現業務互聯互通，打通業務系統完成數據的共享，同時保障API的安全與管理，提供訪問細粒度ABAC控制；二是需要實現統一身份與認證管理，提供單點登錄和員工門戶服務。打通終端和服務身份統一，提供端到端的安全鏈路，通過先認證后連接來保障終端接入與服務的安全，在驗證請求者身份的同時完成對訪問服務權限的認證，實現終端與服務安全的一體化。當請求者、終端環境、網絡環境、服務環境發生變化會引起訪問權限的變化，實現“持續訪問，持續驗證”的安全模式，通過訪問行為信息的收集結合威脅情報進行風險評估，基于策略決策完成授權的動態調整，實現訪問權限最小化自適應。5.2 銀行業零信任安全

39、發展趨勢派拉軟件發展研究院 零信任的安全包含終端、連接、訪問、數據、身份等很多方面，終端安全包括動態感知、環境隔離；連接安全包括先認證后連接，端到端加密隧道、微隔離；訪問與數據安全包括最小權限、動態授權；身份安全包括設備安全、用戶身份安全。零信任中的自適應是基于策略的動態授權，終端也僅限于以防御為主，如何實現策略的自動調整與安全的動態預測、防御、監控、響應？就需要構建自適應安全架構的數字化業務平臺，該框架早在2015年Gartner十大安全趨勢報告就已涉及，在2018年，正式確認了“持續自適應風險與信任評估”（CARTA：Contin-uous Adaptive Risk and Trust

40、Assessment）的安全趨勢，自適應安全框架對銀行的業務安全提供了完整的預測、防御、監控、響應閉環性處理機制。未來，使用高級 AI 分析的服務后，設備環境可實現自動化工作流程和可回滾的代理活動恢復到以前的狀態控制，也可以通過策略的方式增強警報或修復，并提供生成腳本和自動化的操作，允許通過策略來選擇設備是否加入全自動修復。大量提升終端的安全可靠性，降低銀行的安全事件發生，在提 升 用 戶 體 驗 的 同時，實現業務敏捷與安全的同步。零信任安全終端安全動態感知環境隔離.連接安全微隔離端到端加密隧道.訪問安全數據安全最小權限動態授權.身份安全設備安全用戶身份安全.隱私保護元數據定義與授權.page 27