商業銀行SECaaS架構設計與實現

金磐石　郭漢利　曹文中　張　輝

(中國建設銀行股份有限公司　北京 100033)

?

商業銀行SECaaS架構設計與實現

金磐石郭漢利曹文中張輝

(中國建設銀行股份有限公司北京 100033)

目前,商業銀行應用系統安全功能與應用系統緊密耦合，普遍存在安全功能無法復用、難以實施統一安全策略、難以有效應對新型安全威脅的問題。在商業銀行信息安全架構實踐基礎上，運用面向服務架構SOA技術，提出安全即服務SECaaS(Securityasaservice)架構，將安全功能從應用中解耦，實現安全功能的組件化、標準化、智能化和參數化。將安全功能以安全服務的形式為應用系統提供完備、透明、高效、可靠的安全支撐，不僅有效保障商業銀行信息系統的安全穩定運行，也前瞻性地將信息安全由傳統的支撐信息化建設轉變為業務發展的助力者。

商業銀行安全架構組件化SECaaS安全服務

0　引　言

近年來，信息技術快速發展，商業銀行業務類型日益多元化，信息系統數量和規模不斷增長。商業銀行在信息系統建設時，通常各信息系統的安全功能獨立進行開發或建設，系統之間很少復用或共用，并且安全功能往往與應用系統緊密耦合。各系統開發人員按自身理解落實安全策略，存在安全策略不統一、不一致，安全防護不能形成合力，難以應對復雜、跨系統的安全威脅。

當前，攻擊者的動機更具功利性，受政治、經濟、意識形態等多方面的影響，攻擊者正在形成擁有強大技術、經濟實力的有組織攻擊團體；同時，攻擊者的目標選擇更明確，攻擊更為專注。傳統的識別、檢測、防護的安全保護模式，越來越無法應對未知的、高級的新一代安全威脅。新一代安全威脅的智能化、持續性及危害性已經迫在眉睫，而且日益靈活多變的業務需求，讓傳統安全防護模式的力量日顯薄弱。

此外，云計算、虛擬化、大數據、移動互聯網等新型信息技術應用的快速發展，在為用戶提供更為靈活、實用的應用及服務模式的同時，也不可避免地引入新的安全問題，并對當前的信息安全防護能力提出新的挑戰。

為了應對新的安全威脅及IT技術應用的挑戰，本文在商業銀行信息安全架構實踐基礎上，運用SOA技術，提出SECaaS架構，將安全功能從應用中解耦，實現安全功能的組件化、標準化、智能化和參數化，為信息系統建設提供組件式安全服務。并通過集中策略管控，實現商業銀行的統一安全策略管控、協同防護、縱深防御。

1　SECaaS架構設計與實現

1.1架構設計原則

商業銀行SECaaS架構設計遵循以下三個原則：

1) 業務驅動

適應業務發展為導向的安全管控是安全服務、安全基礎框架的建設目標和方向，指導安全服務和安全基礎各項工作的展開。企業級的風險管控以銀行內部用戶和外部客戶的業務流程為保護對象，可以將各個業務流程進行統一的標準化管理，針對不同的業務流程制定專屬的安全管理策略，并對所有的安全策略集中管理，全局管控企業的安全管理發展方向。將安全管理由傳統的以技術領域劃分轉變為以業務應用場景和流程劃分，從信息系統安全延伸到業務、應用安全，從單點控制提升到企業級、全局風險管控的管理高度。

2) 組件化可定制

組件化可定制的安全服務是核心，從風險角度出發組合定制安全基礎平臺提供的服務，貫徹安全管控的策略和原則。安全服務全面涵蓋國際標準、國家監管和業界最佳實踐，集中為應用系統提供安全保障。同時，針對業務不同發展階段、業務場景，平衡安全和客戶體驗，提供差異化的安全服務，滿足安全需求，幫助業務建立適當的安全服務機制。

3) 完備的基礎框架

全面完備的安全基礎框架是架構的基礎，提供基礎的安全功能和產品，為定制化安全服務提供支撐。安全基礎框架應具有安全功能高效、服務平臺通用、安全管理統一的特征。同時，在充分保證性能和可靠性的前提下，能夠快速適應新技術、新應用對安全保障的需求，將安全功能以無縫透明的形式向應用系統提供服務。另外，安全基礎框架應可以將繁多的信息安全技術進行標準化和模塊化處理，通過各種統一的標準模塊將安全功能靈活快速組合，并可根據應用系統的個性化需求提供定制化的安全支撐，滿足各個應用系統的個性化安全需求。

1.2架構設計

商業銀行SECaaS架構將傳統的安全服務組件化，為基礎設施、應用系統提供定制化的安全服務。架構整體上包括服務接入層、應用安全服務層、基礎設施安全服務層和安全策略管理中心，架構整體結構如圖1所示。

圖1　商業銀行SECaaS架構

1) 基礎設施安全服務層

基礎設施安全服務層為終端、系統、網絡、主機、云等基礎設施，提供設備認證、非法外聯、系統安全加固及規范配置、云防病毒、網絡隔離、防拒絕服務攻擊等各類安全服務。

2) 應用安全服務層

提供統一、規范的安全措施，主要包括用戶認證、客戶認證、密碼服務、數據安全、安全監控等，以安全服務的形式供應用調用，便捷地實現各個業務應用系統中所需的安全保障。

3) 服務接入層

基于硬件無關性的設計，適應不同業務應用，提供多樣化的服務模式和統一的服務接口，使安全功能與應用松耦合，易于擴展安全服務，支撐安全功能的快速部署。

4) 安全策略管理中心

通過統一的安全策略管理，部署一體化安全管理機制，實現信息安全管理的標準化、規范化，保障安全架構的有效落實和運轉。

1.3架構實現

1.3.1基礎設施安全服務層

基礎設施安全組件在終端、網絡、系統、云等方面，通過終端設備認證、非法外聯、系統安全加固及規范配置、云防病毒、網絡隔離、防拒絕服務攻擊各類安全控制機制，保障基礎設施安全，延伸企業安全邊界，擴展銀行業務辦理渠道，為應用安全提供基礎保障。基礎設施安全服務層的結構如圖2所示。

圖2　基礎設施安全服務層

網絡安全方面，以銀行安全策略為總體原則，實現網絡安全域劃分，不同網絡區域采取隔離措施，嚴格訪問控制，滿足管理策略中對基礎設施安全的要求。其中網絡安全包括劃分網絡安全域、互聯網隔離、滲透性測試、互聯網數據防泄露(DLP)、入侵檢測系統(IDS)、分布式拒絕服務(DDOS)防護、網絡訪問控制和SSLVPN等安全服務；系統安全包括運維管理平臺、系統安全配置、系統身份認證、安全加固、系統賬戶管理、系統防惡意代碼、系統入侵檢測和漏洞掃描等安全服務；終端安全包括終端設備認證、終端防泄露、沙盒、加密U盤、桌面云以及非法外法監控等安全服務；云安全包括服務器虛擬化安全、桌面云安全，服務器虛擬化安全采取了防逃逸和網絡隔離產品，桌面云安全部署了防病毒和敏感信息監控產品。

1.3.2應用安全服務層

應用安全服務層提供了信息系統安全的核心功能，包括用戶認證、客戶認證、密碼服務、數據安全和安全監控。將安全功能從應用中解耦，實現了安全功能的組件化、標準化、專業化，面向所有安全對象，建立全面、集中、統一、靈活的安全服務體系，提供全面、透明、高效、可靠、面向服務的安全機制。

1) 用戶認證組件

用戶認證組件為銀行員工多渠道接入提供統一規范、靈活便捷的身份認證和單點登錄服務，支持用戶多應用一站式登錄，支持不同內部辦公、業務及管理系統，滿足不同員工的安全需求，提升銀行內部員工認證效率和安全水平。用戶認證組件的結構如圖3所示。

圖3　用戶認證組件

企業級身份認證平臺，采用多認證方式，靈活支持員工使用多種認證方式進行身份認證，如極強靜態口令、動態口令、指紋，并為數字證書、臉型等認證方式保留擴展接口。實現多協議接入，為C/S應用系統提供基于HTTPS協議的認證與單點登錄接口，為B/S應用系統提供統一認證與統一登錄服務，為VPN接入、網絡設備提供RADIUS、LDAP協議。

2) 客戶認證組件

客戶身份認證使用銀行統一的外部客戶認證組件實現，提供多種方式的身份認證機制，為不同業務系統提供接入安全保證，滿足不同業務需求和業務創新需求。客戶認證組件的結構如圖4所示。

圖4　客戶認證組件

客戶認證組件對傳統業務、電子業務和智慧銀行提供了靜態口令、動態口令、短信驗證、數字證書等傳統認證方式。針對客戶風險等級、交易限額采取相應的認證措施，有效提升了銀行系統的安全性和客戶資金的安全性。

同時，客戶認證組件也實現了生物特征認證方式，如虹膜識別技術代替密碼、令牌等身份認證方式，解決了銀行客戶身份的確認，有效驗證人、卡一致性，解決卡片欺詐和銀行卡安全等問題。為客戶提供一種安全、便捷的銀行交易身份認證新模式。

客戶認證組件實現了聯盟認證服務，客戶使用商業銀行發行的網銀盾等安全產品登錄第三方的系統，實現了商業銀行、第三方的共贏，方便了客戶。

3) 密碼服務組件

密碼服務組件通過構建銀行統一的密鑰管理方案，為銀行各個平臺以及外聯單位的數據傳輸和數據存儲提供透明的密鑰管理服務，是確保數據機密性、完整性和防抵賴的重要手段。密碼服務組件為銀行業務系統提供統一的密鑰管理機制，能夠有效提升全行業務系統的安全等級。密碼服務組件的結構如圖5所示。

圖5　密碼服務組件

密碼服務組件以服務平臺的形式為業務系統提供統一、完整、全面、豐富可用的密碼安全機制，降低業務系統開發項目中的密碼運算和密鑰管理的工作復雜度，避免了各個業務系統為達到安全要求的重復開發。

密碼服務組件以安全服務方式為各應用組件提供機制統一的安全服務，實現分布式和集中式的密鑰應用方式的管理，不僅能為銀行內部系統提供企業級的傳輸與存儲安全，還能為外聯單位接入銀行提供安全保障；實現密碼算法庫的開發，支持軟件和硬件實現方式，同時支持國際算法和國產算法；提供豐富可用的API接口，支持多種密碼算法和安全功能，可支持報文安全需求和文件安全需求，滿足C/Java的調用方式；提供密碼設備集中管理、統一調度、實時監控的服務。設計開發符合信息系統體系架構的密鑰管理模塊，為工作密鑰集中管理和存儲加密密鑰管理提供服務。協助安全節點之間完成工作密鑰的協商，為存儲加密密鑰提供生成、分發、存儲、備份、歸檔、撤銷等全生命周期的管理服務，提高節點密鑰管理能力，提高可用性和服務效率。

為業務系統提供透明、動態配置加解密服務，密鑰管理由安全代理與密鑰管理中心交互完成，框架集成安全插件，并負責密碼計算接口的調用。安全策略由密鑰管理中心統一配置，通過輪詢、增量下載機制實現動態管理。

4) 數據安全組件

數據安全組件提供數據集散地、數據脫敏、文檔權限控制、數據水印、在線瀏覽、數據銷毀等安全功能和服務。通過構建多個安全區域實現數據的分級分類保護和方便使用。數據集散地實現數據在各安全區域內部、安全區域之間、安全區域與數據集散地之間發布和流轉，并集成了數據脫敏、在線瀏覽等功能，保障數據跨區域流轉的安全。通過文檔權限控制、數據水印和數據銷毀功能實現對數據本身的安全加固，保證數據全生命周期權限的統一管理。數據安全組件有效提升了全行的數據保護能力。數據安全組件的結構如圖6所示。

圖6　數據安全組件

數據安全組件提供環境識別組件,確定用戶使用環境的安全區域等級，根據不同安全區域等級靈活訂制客戶端訪問及敏感數據共享策略，提供多種不同的數據安全保障措施。同時利用沙盒客戶端、文檔權限控制客戶端等在客戶端層面豐富敏感數據保護手段。

同時為滿足用戶不同終端環境和安全區域的敏感數據存儲需求，數據安全組件提供個人網盤功能，為每個用戶提供了存儲敏感數據文件的空間。用戶可以根據自身需要，像桌面管理操作系統文件一樣，組織管理自己的敏感數據文件。敏感數據文件被系統邏輯分割到不同的存儲位置，這樣既保證用戶的正常數據存儲使用等功能，又防止了敏感數據外泄的風險。

數據安全組件通過構建數據集散地，實現數據在不同安全區域內部及之間的發布和流轉，簡化數據流轉流程，提高數據使用的易用性、便捷性。針對數據文件一對多發布的需求，提供用戶組、組文件空間功能，實現便捷、易用的共享功能。組管理員可以通過Web界面維護組內成員信息，組內成員都可以通過上傳文檔在組內共享數據文件，確保一對多的共享效率更高。

數據安全組件有效提升了全行的數據保護能力。數據安全組件全方位與統一安全無縫集成，包括策略管理中心、統一認證、安全審計組件，提供了完整、統一、集中的策略管理界面和安全、可靠的認證體系，以及完備、詳細的事后審計。數據安全組件提供了郵件、短信通知功能，讓用戶可以及時獲取、處理任務信息。

5) 安全監控組件

安全監控組件負責全面采集各類安全監控對象(主機、網絡設備、終端設備、安全設備、應用組件、技術組件、安全組件、運維平臺等)的安全日志信息，分析安全風險事件，展示全行IT風險態勢，及時發現來自內外部的攻擊威脅、違規行為，識別潛在風險和安全隱患，保障銀行信息系統的持續安全運營。安全監控組件的結構如圖7所示。

圖7　安全監控組件

組件建立統一日志采集平臺，提供多樣化的日志采集模式，集中體系內基礎設施日志、應用安全日志、應用業務數據和外部安全數據。組件可根據安全監控對象的日志數據格式進行多種適配，支持通用的SysLog、文件、數據庫3種格式的采集模式，可自定義日志數據格式滿足個性化要求。

組件提供基于關鍵字、行為特征、行為習慣等多樣化的分析機制，建立多維度的風險事件分析模型，及時發現風險，準確定位事件責任主體；通過對大量歷史數據的挖掘與分析，識別潛在風險和安全隱患；組件提供緊急事件分析環境及分析手段，以適應案件新特征和多變性。

基于關鍵字的分析模型是指通過某個特定關鍵字(一般為事件責任主體，如某個人、某臺機器)分析該事件所有相關信息，包括時間、行為、周圍環境等。基于行為特征的分析模型是指依據事件責任主體行為特征確定為安全事件的分析方法，如：客戶在短時間內在多個地區登錄網銀系統，這些特征被定義為異常登錄行為，有可能是客戶密碼被盜取。基于行為習慣的分析模型是指依據事件責任主體的日常行為進行數據統計，得出其正常行為習慣,當異常行為發生時能及時發現的分析方法。

安全監控組件提供對攻擊威脅、信息泄漏、用戶終端、客戶資金安全等風險主題的多視角關聯展示，統一呈現全行IT風險態勢。通過對防火墻、入侵檢測系統、防病毒網關、郵件網關、Web服務等日志和事件的關聯分析，發現來自外部的攻擊和威脅；通過跟蹤數據、介質的使用情況和分析數據使用環境的日志，發現信息泄漏行為；通過審計和跟蹤用戶管理、用戶操作行為，監控終端健康狀況，發現風險和安全隱患；通過對交易IT信息、交易賬戶和行為等關聯分析，發現風險賬戶和可疑行為，豐富業務風險識別手段。風險態勢重點通過兩個角度進行展示，一是違反安全監控策略的安全事件，另一個則是通過展示日常安全風險態勢，發現異態，進行預判并跟蹤風險或事件的走向。

1.3.3服務接入層

服務接入層作用為將信息安全功能以服務的形式接入到各個業務應用系統中。該層提供安全代理、安全插件和安全客戶端，獨立于業務應用系統。為業務應用系統提供安全相關功能接口的集合，主要包括加解密運算、數字簽名、用戶認證等安全功能，是業務系統與安全服務發生直接聯系的窗口。將業務系統與安全服務進行了解耦，安全服務調整將不影響業務系統。應用系統使用傳統安全架構與SECaaS安全架構對比如圖8所示。

圖8　傳統安全架構與SECaaS安全架構對比

安全代理和安全插件支持多平臺部署，提供安全功能和安全服務的統一接口，實現安全功能的合理分布，達到安全功能部署集中與高效的平衡。

應用系統可依據自身的技術架構選擇部署安全代理或安全插件，代理和插件部署在各個應用平臺，為應用系統集中提供安全服務。安全代理和安全插件采用頒發給應用系統數字證書綁定應用系統的身份，在提供安全服務的過程中應用系統需要使用數字證書進行身份認證。

安全代理對應用系統提供安全服務的API接口，通過調用接口，應用系統可觸發相應的安全服務。安全代理和插件也會定期檢查應用系統的安全服務狀態，例如：自動檢測密鑰的有效期，在密鑰到達有效期后自動發起密鑰協商操作，實現對應用的透明服務。同時，安全代理和安全插件也可開啟監聽服務，接收來自其他安全代理和插件的相關請求。

例如加密服務，應用組件看到的只有一個加密的服務功能，即可以用加密組件進行數據加密。但后臺有復雜的安全邏輯，包括采用什么樣的算法，如何協商、生成、更新和交換密鑰等，這些內容都被安全服務封裝起來。表面上看，業務應用就是用了加密服務去加密一條數據，但后臺其實已經實現了國密算法的選擇和改造，或者RSA2048的升級，以及復雜的密鑰管理過程。因為是以服務的方式提供，業務應用無需關注安全服務的具體實現方式。

1.3.4安全策略管理中心

安全策略管理中心實現全行的統一安全策略管理，為安全架構提供策略支持，建立全行統一的安全管理視圖。安全策略管理中心實現了對安全對象(安全節點、客戶端、安全代理、插件等)的統一管理，對安全策略(認證策略、憑證策略、密鑰策略、終端策略等)的統一發布，提升了安全架構的管控能力。同時，安全策略管理中心通過對認證服務和加密服務等安全服務的可用性監測，提升安全服務可用性；通過參數管理，提升精細化管理的粒度，實現參數化管理安全策略。安全策略管理中心的結構如圖9所示。

圖9　安全策略管理中心

安全策略管理中心主要實現了以下功能：

1) 提供安全策略發布服務

對于安全服務、安全代理及插件、安全客戶端，統一發布包括認證管理、憑證管理、密鑰管理和終端管理在內的相關策略。安全策略的發布方式包括服務下載、自動同步、離線分發等多種方式。

2) 提供參數發布服務

通過對安全服務、安全代理及插件、安全客戶端中相關配置參數的管理，實現對安全策略的精細化管理。

3) 統一管理安全實體

對安全節點、用戶、憑證、令牌等安全實體集中管理，管理安全實體從創建、維護到注銷的整個生命周期。安全實體的信息由安全策略管理中心統一同步給其他安全組件。

4) 提供安全服務狀態監測服務

使用定時器和探針，通過定時發起模擬交易方式監控認證服務、加密服務的可用性，結合預定義的服務狀態判斷策略，獲得監控結果，并決定是否通過短信通知運維人員進行處理。安全服務狀態檢測增強了對安全服務可用性的監控力度，減少應急響應時間，提升應急處理能力。

5) 提供安全交易統計功能

對于內部用戶認證，提供精確到交易類型、交易時間、機構的交易日志報表，可用于用戶認證行為分析及認證服務能力分析，并做出相應的認證策略調整。對密碼服務提供安全代理客戶端全局狀態視圖，可查看實時的密鑰管理整體狀態。

2　SECaaS架構在商業銀行應用效果分析

中國建設銀行已在國內率先實現了SECaaS架構，通過SECaaS架構的實施給中國建設銀行的信息系統開發和業務運營帶來了很多積極變化。

2.1安全功能實現工作量分析

SECaaS架構實現了安全功能與應用系統的解耦，方便安全功能的復用。通過對比SECaaS架構實施前安全功能實現工作量與實施后的工作量，能客觀評價SECaaS架構在應用系統開發建設方面的貢獻。本文選取了商業銀行中對公信貸管理系統、對私信貸管理系統、信用卡業務系統、支付結算系統和網上銀行系統等五個重要交易類系統的安全功能實現工作量，進行了對比分析，工作量對比如圖10所示。

圖10　SECaaS架構實施前后安全功能實現工作量對比

SECaaS架構實施前，各應用系統的安全功能獨立進行開發，開發所需要的工作量分別為26、24、32、23、52人月；SECaaS架構實施后，安全功能的實現所需要的工作量分別為5、4.5、5.3、4、8人月，平均減少82.5%的工作量。SECaaS架構的實施，大大減少應用系統安全功能開發工作量，縮短了開發周期，為銀行金融業務市場拓展贏得先機。

2.2服務能力分析

SECaaS架構實現了安全功能的集中服務、集中管控，安全服務能力與傳統分散式的架構相比，通過安全服務資源池，安全服務能力大大提升。本文選擇客戶認證、用戶認證和加密服務三個安全服務，對SECaaS架構實施前的最大服務能力、SECaaS架構實施后的最大服務能力、2016年4月實際峰值服務量進行對比分析，分析結果如圖11所示。

圖11　SECaaS架構實施前后安全服務能力對比

SECaaS架構實施前，中國建設銀行的客戶認證最大服務能力為每日4000萬筆，用戶認證為每日300萬筆，加密服務為40萬筆；而SECaaS架構實施后，客戶認證最大服務能力為每日12 000萬筆，用戶認證為每日1100萬筆，加密服務為150萬筆。2016年4月，中國建設銀行實際的峰值服務量為客戶認證4500萬筆、用戶認證590萬筆、加密服務63萬筆。通過對比分析可以看出，SECaaS架構的實施有效地滿足了業務發展需求，并且通過資源池的擴充還可繼續提高安全服務能力。

2.3安全防護效果分析

SECaaS架構實現了邊界防護和縱深防御并重，由傳統的“木桶原理”從終端、應用、系統、網絡、主機和基礎設施層面劃分安全管理對象和防護的理念，轉變為由業務交易為主線，從可信接入、可信交易環境、可信數據和可信行為等幾個方面進行有效關聯，面向業務交易開展安全管理和防范。將傳統邊界防護“木桶原理”發展為縱深排列的“多層水閘式”的防范體系，有效避免了安全的短板效應。本文選擇網銀渠道、手機銀行渠道平均每月的業務交易風險攔截數量進行分析，分析結果如圖12所示。

圖12　SECaaS架構實施前后業務交易風險攔截能力對比

SECaaS架構實施前，中國建設銀行的網銀渠道平均業務交易風險攔截為每月1629筆，手機渠道為每月1135筆；而SECaaS架構實施后，網銀渠道平均業務交易風險攔截為每月3578筆，手機渠道為每月2966筆。通過對比分析可以看出，SECaaS架構的實施有效提高業務交易風險的關聯要素和維度，業務交易風險識別能力大大提升，形成了面向業務交易的縱深安全管控體系。

3　結　語

本文通過商業銀行所面臨的信息安全現狀和商業銀行信息科技未來發展趨勢的研究。首次在業界提出了商業銀行SECaaS架構的概念和模型，并在架構模型的基礎上完成了銀行SECaaS架構的建設工作，將安全功能從應用中解耦，實現安全功能的組件化、標準化、專業化開發；面向所有安全對象，建立全面、集中、靈活、智能的安全架構；實現了“安全即服務”業界領先的安全服務體系，向應用系統提供高效、可靠的、面向服務的安全機制。

[1]FurfaroA,GarrA,TundisA.TowardsSecurityasaService(SecaaS):OnthemodelingofSecurityServicesforCloudComputing[C]//2014InternationalCarnahanConferenceonSecurityTechnology(ICCST).IEEE,2014:1-6.

[2]HussainM,AbdulsalamH.SECaaS:securityasaserviceforcloud-basedapplications[C]//ProceedingsoftheSecondKuwaitConferenceone-Servicesande-Systems.ACM,2011:1-4.

[3]SenkC.Adoptionofsecurityasaservice[J].JournalofInternetServicesandApplications,2013,4(1):1-16.

[4] 林闖,蘇文博,孟坤,等.云計算安全:架構、機制與模型評價[J].計算機學報,2013,36(9):1765-1784.[5] Gartner.Survey Analysis:Top 10 Information Security Technology 2014[M].USA:Gartner,2014.

[6] Gartner.Survey Analysis:Risk Management 2013[M].USA:Gartner,2013.

[7] Basel Committee on Banking Supervision[S].Core Principles for Effective Banking Supervision,2012.

[8] The 2011 Standard of Good practice for Information Security[S].UK:Information Security Forum (ISF),2011.

[9] The Business Model for Information Security (BMIS)[S].USA:ISACA,2010.

[10] Guide for Assessing the Information Security Controls in Federal Information Systems and Organizations:Building Effective Security Assessment Plans[S].USA:Department of Commerce,2010.

[11] NST.Technical Guide for Assessing the Security Controls in Federal Information System and Organizations[S].USA:Special Publication,2010.

[12] Common Security Framework (CSF)[S].USA:Health Information Trust Alliance (HITRUST),2009.

DESIGNANDIMPLEMENTATIONOFSECAASARCHITECTUREFORCOMMERCIALBANK

JinPanshiGuoHanliCaoWenzhongZhangHui

(ChinaConstructionBank,Beijing100033,China)

Currently,thesecurityfunctionofcommercialbanksapplicationsystemwastightlycoupledwithapplicationsystem,thecommonexistingproblemsweregeneratedsuchasthesecurityfunctioncannotbereused,theintegratedsecuritystrategywashardtobeimplementedandnewsecuritythreatsweredifficulttocounter.Basedonthecommoninformationsecurityarchitectureofcommercialbanks,thispaperproposestheSECaaS(Securityasaservice)architecturebyusingSOAanddecouplesthesecurityfunctionfromtheapplication.Therefore,thecomponentization,standardization,intellectualizationandconfigurabilityofsecurityfunctionwereaccomplished.Thesecurityfunction,whichcouldbeconsideredasthesecurityservices,providesthesupportforapplicationsystemwithintegrity,transparency,effectivenessandreliability.ItnotonlyeffectivelyguaranteestheITsystemsafeandstableoperation,butalsoprospectivelychangestheroleofinformationsecurityfromformerITdevelopmentsupportertotheboosterofbusinessdevelopment.

CommercialbankSecurityarchitectureModulizationSECaaSSecurityservice

2016-06-20。金磐石，高工，主研領域：信息科技治理。郭漢利，高工。曹文中，高工。張輝，碩士。

TP

ADOI:10.3969/j.issn.1000-386x.2016.10.024