大型銀行數(shù)據(jù)中心用戶安全管理

隨著信息技術(shù)日新月異，銀行業(yè)務(wù)高度信息化并穩(wěn)步邁入大數(shù)據(jù)時代。數(shù)據(jù)中心作為銀行信息化、大數(shù)據(jù)的核心基礎(chǔ)，其IT系統(tǒng)龐雜，多則上千，涉及用戶過萬。面對如此規(guī)模的系統(tǒng)，如何安全高效的管理成為了普遍性難題。為破解用戶管控難題，不少銀行采取增加人手、加大投入、購置各類管控工具等措施，但多因管控分散、主客體管理割裂、自動化程度不高等問題，導致各類探索和嘗試總體效果收效甚微、合規(guī)管控差強人意，屢屢墜入安全陷阱，制約了銀行信息技術(shù)進一步跨越式發(fā)展。據(jù)Verizon（威瑞森電信公司）數(shù)據(jù)泄露調(diào)查報告，全球近十年間發(fā)生的數(shù)據(jù)泄露案件中有19%是由于用戶安全管理等內(nèi)部管理失誤造成的，在金融行業(yè)中，用戶安全管理問題也是數(shù)據(jù)泄露發(fā)生的四大原因之一。

面對海量用戶管理壓力和安全合規(guī)的緊迫性，我們著眼于整合和統(tǒng)一規(guī)范跨各種系統(tǒng)類型用戶管理，變?nèi)斯す芾頌樽詣庸芾恚岢鲇脩舭踩芾淼募谢⒔y(tǒng)一化和自動化，構(gòu)建銀行數(shù)據(jù)中心安全可控的用戶管理中心。本文將通過分析當前用戶安全管理現(xiàn)狀和業(yè)內(nèi)先進實踐經(jīng)驗，探索適應(yīng)大型銀行數(shù)據(jù)中心的用戶安全管理模式，闡述用戶管理中心建設(shè)思路、關(guān)鍵技術(shù)引入以及實踐原則和方法，并對管理實踐所取得的收益和成效加以分析。

用戶安全管控理念的演進

大型銀行用戶管理困境

大型銀行數(shù)據(jù)中心用戶管理一般分為兩大類：一類是對人員用戶的管理，即對人員本身的管理；一類是對IT資源用戶的管理，即運維人員通過各類資源用戶直接訪問或操作生產(chǎn)信息系統(tǒng)的底層操作系統(tǒng)、數(shù)據(jù)庫、中間件以及應(yīng)用程序，此類用戶權(quán)限高、種類繁多、操作風險大。兩類用戶在數(shù)據(jù)中心運行過程中是主客體關(guān)系，兩者聯(lián)系緊密，但實際管理中往往相互割裂，管理難以到位。2011年韓國農(nóng)協(xié)銀行由于用戶權(quán)限管理不到位，造成了提現(xiàn)和轉(zhuǎn)賬等關(guān)鍵服務(wù)癱瘓達3天之久，波及面大，教訓深刻。

數(shù)據(jù)中心用戶的安全管控上，業(yè)內(nèi)已經(jīng)采取了諸多措施，但因缺乏自動化、統(tǒng)一化的管理，成效有限：一是在業(yè)務(wù)急速擴張背景下，用戶數(shù)量呈幾何級增長，依靠手工管理，運維人員疲于操作、顧此失彼，安全往往被忽視；二是各專業(yè)按分工建立的專業(yè)性用戶管理系統(tǒng)，管理上獨立分散不統(tǒng)一，不同類型的系統(tǒng)和設(shè)備歸不同部門管理，各個專業(yè)條線間缺乏橫向聯(lián)系，用戶管控缺乏統(tǒng)一規(guī)范；三是用戶安全合規(guī)管控要求大多以人工來實現(xiàn)，由于管理半徑長，極易受主觀干擾，執(zhí)行準確率不高，全覆蓋難度大。

業(yè)界用戶安全管理探索

近年來，數(shù)據(jù)中心的安全管理正從以操作為中心向以用戶為中心轉(zhuǎn)變。往常的逐一對活動進行訪問控制或設(shè)置安全策略的方式效率和成效都欠佳，越來越無法適應(yīng)當前形勢。

在信息化互聯(lián)浪潮的推動下，借助通信技術(shù)領(lǐng)域的的快速發(fā)展，電信行業(yè)率先進行了用戶集中安全管控的探索。電信行業(yè)與大型銀行相比較具有三個利于先行先試的特點：一是系統(tǒng)類型相對單一，主要以通信交換設(shè)備為主，對兼容性要求不高；二是信息系統(tǒng)集中度相對不高，以各省域數(shù)據(jù)中心為主，集中用戶管理規(guī)模壓力較輕；三是系統(tǒng)可用性要求較金融業(yè)相對寬松。在此背景下，集中化用戶管理平臺的運用既滿足了安全要求，對現(xiàn)有信息系統(tǒng)運行現(xiàn)狀又不會產(chǎn)生較大的影響。

某電信公司于2011年建設(shè)了具有集中管理特點的4A安全管控平臺，取得了一定的成效。一是在各省范圍建立了集中化的具有授權(quán)和審計功能的用戶集中管理平臺，依托自動化提升用戶運維管理效率，對用戶使用行為進行有效控制。二是形成了企業(yè)統(tǒng)一的用戶管理規(guī)范，在制度層面對各類用戶管理進行標準化。此種以用戶為中心的安全管理模式的優(yōu)勢主要體現(xiàn)在三個方面：一是所有運維行為均以用戶為載體，管控住了用戶就牽住了牛鼻子；二是運維活動發(fā)起方為用戶，控制用戶就意味著控制了源頭；三是對用戶設(shè)置的安全控制措施將有效覆蓋所有由此用戶產(chǎn)生的活動。

大型銀行用戶安全管理的優(yōu)選模式

根據(jù)業(yè)界先進的用戶安全管理實踐經(jīng)驗和理念，結(jié)合大型銀行數(shù)據(jù)中心安全管理現(xiàn)狀，用戶的安全管理應(yīng)做到以下兩點：一是在管理意識上，將用戶的安全管理置于整個安全管理架構(gòu)的中心位置（圖1）；二是在推進實現(xiàn)上，建設(shè)具備更高統(tǒng)一性、高效性和可用性用戶管理中心。

數(shù)據(jù)中心在管理、操作和運維業(yè)務(wù)信息系統(tǒng)過程中，表現(xiàn)形式為各類用戶使用，安全控制最終也就是對用戶管控。構(gòu)建用戶中心、管理中心、監(jiān)控中心等三大管控中心是數(shù)據(jù)中心實現(xiàn)安全管理統(tǒng)一化、自動化和集中化的必由之路。用戶管理是人員和信息實體管理的聯(lián)系紐帶和抓手，用戶管理中心也就成為三大安全中心建設(shè)的前提和重點，是數(shù)據(jù)中心安全管理的基石。

用戶管理中心建設(shè)路線圖

某大型銀行借鑒業(yè)界先進理念，從實際出發(fā)，建設(shè)了用戶管理中心（PIM系統(tǒng)），滿足了大型銀行數(shù)據(jù)中心用戶安全合規(guī)需求、整合防控手段、提升管理效率的集中型管理信息系統(tǒng)。系統(tǒng)按照跨平臺兼容性、性能優(yōu)越性、高可用性等技術(shù)標準進行前瞻性設(shè)計和規(guī)劃，以適應(yīng)數(shù)據(jù)中心未來一體化、智能化管理的發(fā)展趨勢。

建設(shè)目標

建設(shè)用戶安全管理中心主要目標是構(gòu)建集中化、統(tǒng)一化、自動化的用戶使用和管理全流程的安全控制系統(tǒng)，系統(tǒng)主要分三個控制層面（圖2）：一是事前控制，對用戶的使用采取審批授權(quán)控制，針對每個用戶單獨限制使用期，一次一授權(quán)實現(xiàn)權(quán)限的最小化；二是事中監(jiān)控，通過對用戶操作行為的實時監(jiān)控，對高風險操作和違規(guī)操作進行告警，以及時發(fā)現(xiàn)風險并開展相關(guān)處置；三是事后審計，完整記錄用戶操作行為，通過綜合分析和行為數(shù)據(jù)回顧，發(fā)現(xiàn)潛在風險和趨勢，以便后續(xù)采取措施防患于未然。

為夯實用戶使用過程的安全控制基礎(chǔ)，形成扎口效應(yīng)，同時減少人工干預(yù)，用戶管理中心實現(xiàn)了集中化的用戶和用戶密碼的安全管理：一是用戶和用戶密碼的集中安全保存；二是實現(xiàn)安全合規(guī)的用戶密碼策略，包括密碼高復雜度、定期自動更換等。

關(guān)鍵技術(shù)引入

用戶管控系統(tǒng)搭建了人與資源的交互橋梁，建立了資源用戶與使用人員的一一對應(yīng)關(guān)系，解決了以往兩者相互割裂的問題，確保了授權(quán)的安全精準。該系統(tǒng)重點運用了以下四個方面的技術(shù)。

系統(tǒng)實現(xiàn)自身的安全性。關(guān)鍵技術(shù)有：一是系統(tǒng)對用戶信息等關(guān)鍵數(shù)據(jù)進行加密存儲；二是系統(tǒng)各組件間采用SSL等安全協(xié)議進行通信；三是對系統(tǒng)進行安全加固，配置嚴格的網(wǎng)絡(luò)訪問控制；四是系統(tǒng)本身運維用戶也納入管理，確保用戶管理統(tǒng)一性。

系統(tǒng)優(yōu)良的健壯性。為保證中樞式用戶管理中心更高的可用性標準，系統(tǒng)引入了諸多高可用技術(shù)（圖3）：一是針對基于WEB服務(wù)的模塊采取多個節(jié)點集群部署，并通過網(wǎng)絡(luò)負載均衡設(shè)備進行流量分配；二是數(shù)據(jù)庫等關(guān)鍵組件通過共享存儲構(gòu)建雙機HA架構(gòu)；三是功能模塊內(nèi)設(shè)計成由多個調(diào)度和處理單元構(gòu)成的應(yīng)用群集；四是設(shè)計了獨立于主系統(tǒng)的應(yīng)急系統(tǒng)，確保在主系統(tǒng)全面不可用情況下用戶使用的連續(xù)性。

系統(tǒng)良好的兼容適應(yīng)能力。通過完全解析和模擬用戶原操作，實現(xiàn)自動化運行，無需在資源端安裝代理插件，有效避免對資源端的影響，最大限度實現(xiàn)跨資源的兼容性；特別是針對主機Z/OS資源，對TN3270協(xié)議進行了解析，實現(xiàn)該類資源的接管。同時，系統(tǒng)還采用了應(yīng)用虛擬化技術(shù)，對用戶使用過程中涉及的客戶端軟件進行標準化整體推送，有效避免了繁瑣的逐一置備終端環(huán)境，進一步增強了系統(tǒng)運用的適應(yīng)性。

系統(tǒng)自動化處理的實現(xiàn)。針對集中大批量密碼修改等用戶管理需求，一方面，系統(tǒng)通過設(shè)計多線程并發(fā)調(diào)度組件，自動根據(jù)負載進行線程數(shù)量調(diào)度，實現(xiàn)良好的批量處理能力；另一方面，引入模擬代填技術(shù)，通過自動對用戶和密碼的代填，實現(xiàn)用戶登錄資源的自動化，不但節(jié)省了登錄時間、提升了效率，也減少了操作復雜度，降低了操作風險。

模塊化架構(gòu)設(shè)計

根據(jù)建設(shè)目標，用戶管理中心技術(shù)架構(gòu)采用模塊化設(shè)計，主要分為八個邏輯功能單元（圖4）。

門戶：作為用戶管理中心對外提供服務(wù)的唯一入口，訪問門戶是使用和管理人員日常的操作界面。門戶集成雙因子認證方式，確保具備高安全防護級別。

訪問控制：管理中心內(nèi)部資源管理權(quán)、人員管理權(quán)、審計監(jiān)督權(quán)三權(quán)分立，各類角色權(quán)限相互制衡，實現(xiàn)訪問控制。

流程管理：通過在線申請、復核及審批等環(huán)節(jié)的流程化，實現(xiàn)對使用期限和權(quán)限的授予、回收等精細化控制。

單點登錄：資源使用者在門戶一次認證后多次登錄訪問目標資源，登錄過程無需用戶密碼，實現(xiàn)了一鍵式的便捷用戶登錄。

密碼管理：自動化管理各類信息系統(tǒng)資源用戶的驅(qū)動模塊，實現(xiàn)用戶生命周期管理、密碼安全策略管理等功能，自動執(zhí)行批量密碼定期更換等策略。

數(shù)據(jù)呈現(xiàn)：提供對用戶操作行為的實時監(jiān)控和會話記錄檢索回放功能，自動生成相關(guān)行為審計報表。

操作審計：全程記錄各類用戶的使用行為，字符型會話以文本方式記錄，圖形界面會話以錄像方式記錄，同時還記錄管理中心自身操作日志，實現(xiàn)日志記錄全覆蓋。

數(shù)據(jù)存儲：實現(xiàn)各類管理數(shù)據(jù)和行為記錄的安全存儲。

實施原則和管理方法

系統(tǒng)實施遵循以下兩個原則：一是分步分階段原則，采取先試點后推廣，先易后難的推進方式，逐步實現(xiàn)與各種生產(chǎn)信息系統(tǒng)資源對接；二是審慎嚴謹原則，資源納入系統(tǒng)管理前，制備應(yīng)急備用用戶，在穩(wěn)定接管后，備用用戶一并納入管理并定期加密導出和物理封存，防止產(chǎn)生因系統(tǒng)不可用致使運維操作無法開展的巨大風險。

用戶管理不僅僅是技術(shù)系統(tǒng)的部署，管理方法的優(yōu)化同樣重要。一是開展用戶分類分級。根據(jù)所在業(yè)務(wù)系統(tǒng)的重要程度以及權(quán)限確定級別，不同級別的用戶授權(quán)和審批流程不同，高等級用戶授權(quán)審批級別越高，流程越復雜，限制越多。二是重構(gòu)跨部門跨專業(yè)條線的用戶管理流程，明確用戶使用管理過程中的各自職責，遵循“誰使用誰負責，誰授權(quán)誰負責”原則。三是總結(jié)和提出用戶管理標準和規(guī)范，將用戶安全標準、管理流程、角色權(quán)責等明確固化為制度章程，組織進行宣貫教育，培養(yǎng)意識共識。

用戶安全管理實踐收效

總體實踐狀況

某大型銀行數(shù)據(jù)中心經(jīng)過幾年的研究和探索，在用戶管理上已初步建成技術(shù)平臺，已納入管理的信息系統(tǒng)逾4000臺/套，包含大型機、小型機及網(wǎng)絡(luò)設(shè)備等主要信息系統(tǒng)類型，接管用戶達2萬余個，覆蓋系統(tǒng)、網(wǎng)絡(luò)、運行、應(yīng)用運維等主要生產(chǎn)運維部門，各項管控流程和措施已穩(wěn)步運行，生產(chǎn)運維操作中心入口和樞紐基本形成，安全扎口管控成效顯著。

管理收益和成效

通過推行用戶管理中心模式，實現(xiàn)了跨專業(yè)跨平臺各類用戶的全面集中化、統(tǒng)一化和自動化控制，在行業(yè)內(nèi)用戶管理實踐上進行了創(chuàng)新性的探索和嘗試，也取得了階段性成果。此模式的順利推進，使得中心樞紐式用戶管理模型得到了實踐的檢驗，為進一步完善和進化積累了經(jīng)驗。

該模式的順利實施，在安全合規(guī)上破解了多項難題：一是密碼合規(guī)性全覆蓋，所有用戶密碼集中管理，按照高復雜度策略隨機生成，這是以往由人工記憶方式管理不可能實現(xiàn)的；二是精細化控制，用戶訪問使用均經(jīng)授權(quán)審批環(huán)節(jié)，并嚴格按照申請期限管理，用戶的生效和注銷均由平臺動態(tài)實時控制，精確到秒，杜絕了以往人工管理逾期、濫用等情況；三是行為記錄完整，用戶所有訪問均通過中央門戶，一切行為操作均被完整記錄，且每條記錄均與自然人對應(yīng)，行為主體清晰可回溯，為后續(xù)開展回顧監(jiān)督提供了數(shù)據(jù)支撐。

安全與效率本是一對矛盾體，自動化技術(shù)的引入實現(xiàn)了雙贏，在解決安全問題的同時也提高了勞動效率，將運維人員從日常繁瑣的操作中解放出來：一是單點登錄技術(shù)，一次認證后可多次一鍵式登錄資源，不僅節(jié)省操作時間，而且降低了操作風險，經(jīng)測算時間精簡約40%；二是自動化密碼技術(shù)，使得開放系統(tǒng)資源每用戶密碼更改時間由原人工操作的平均半分鐘縮短至3秒，壓縮比達10∶1。

結(jié)語

未來，在技術(shù)進步的驅(qū)動下，用戶管理將不斷向一體化方向演進。一方面能夠在大型銀行總分支機構(gòu)中得到全面推行，實現(xiàn)全局一體化管理；另一方面，在整體IT架構(gòu)中發(fā)揮核心作用，與各安全控制系統(tǒng)集成聯(lián)動，實現(xiàn)基于用戶的安全統(tǒng)一管理平臺，將信息資產(chǎn)全生命周期納入安全管理，全方位提升企業(yè)IT基礎(chǔ)管理水平。

數(shù)據(jù)中心用戶管理的研究和實踐是大型銀行在用戶管理模式探索道路上所邁出的堅實一步，用戶管理是銀行業(yè)等大型信息化企業(yè)的管理基礎(chǔ)，在管理就是競爭力、安全即效益的時代，只有運用優(yōu)秀的技術(shù)并結(jié)合高效的安全管理方法，才能實現(xiàn)用戶管理效率和安全的平衡，提高勞動生產(chǎn)率，降低操作風險，最終實現(xiàn)企業(yè)競爭力的穩(wěn)步提升。

課題組成員：謝以清，岑奭，張煜，張志峰，孫英明

（作者單位：中國農(nóng)業(yè)銀行數(shù)據(jù)中心）