返回大厅
炼石政务免改造应用数据加密方案
投票数量：278 票
助力海报
解决方案介绍
技术框架及优势
应用场景
荣誉及资质
2023年2月27日，中共中央和国务院联合发布了《数字中国建设整体布局规划》提出，到2025年，要在确保发展与安全并重的前提下，建立起一个横向集成、纵向联动、协调有力的一体化推进体系，提升政务数字化和智能化的水平，全面增强数字安全保障能力，完善数字治理体系。然而，在数字化进程中，政务数据因其体量大、价值点多、风险敞口广，往往容易成为攻击者的目标，因此政务数据安全保护成为当务之急。
政务行业安全与业务纽结缠绕，改造成本抵消安全增益陷入两难。在实践应用中，炼石发现数据安全建设最大痛点在于，安全机制和业务处理纽结缠绕、难以改造。例如，个人信息与重要数据保护主要是面向应用的功能型安全需求，容易遇到业务与安全研发排期不吻合，业务团队技术与响应跟不上；功能型安全需求要在应用中融合实现，但改造应用成本高、风险大、周期长；数据保护不落实，则合规风险越来越大、因泄露导致的业务风险会快速累积等问题。放眼数字化转型及数字经济产业发展，不仅是CPU、操作系统、数据库等基础软件的升级涉及广泛行业应用软件亟待升级替换是更大的市场空间。然而，目前应用软件普遍缺失内置的安全机制，缺乏有效手段增强数据安全能力，因为无法破解开发改造模式成本极高、影响业务连续性，还有源代码维护等技术可行性挑战。这也意味着，应用改造带来的高难度、高风险、长周期，再叠加复杂的数据安全能力，使得企业投入成本在一定程度上抵消了安全带来的增益，企业数据安全建设面临“不改有风险、强改会要命”的两难困境。
针对上述挑战，本方案以实战化和新合规为双重导向，创新性地实现了免开发改造应用，敏捷实施细粒度数据保护。依托国产商用密码技术为核心，融合多种数据安全防护手段，构建起实战化的数据安全密码防护体系。该体系将安全能力深度融入政务业务全流程，具有应用架构兼容多、免改造应用交付快、密码安全一体化防护好、安全建设成本省优势，实现覆盖事前事中事后的闭环安全防控，构建起数据安全主动式纵深防线。
在数据保护方案的实践中，深入挖掘政务行业对密码真实性、机密性、完整性、可用性及抗抵赖性的需求，精准施策，以商用密码为核心实施数据安全防护。方案充分利用商用密码算法的高性能优势，推动政务行业现有密码应用业务场景的优化完善，填补了各场景在存储、鉴权及权限管理等方面的数据保护空白。同时，方案兼顾业务性能与数据安全，针对政务行业信息系统数量庞大、逻辑复杂、数据高速流转的特点，直接作用于敏感数据，易于部署且无需开发改造，真正在实战中发挥了关键作用。
具体而言，该方案围绕政务数据安全重点建设了四方面能力：一是数据发现能力，能够主动扫描目标应用系统，发现未被保护的敏感数据；二是访问审计能力，记录数据访问行为的完整过程，并实现细粒度访问控制及动态脱敏；三是数据加密能力，针对高价值敏感数据，采用国密算法进行高性能加密保护；四是业务数据加密平台，提供用户访问控制、字段级数据加密及动态脱敏防护服务。这些能力的建设，不仅满足了行业批量系统应用数据加密的需求，有效保护了客户和员工隐私数据安全，还提升了系统整体安全水平，符合国家关于个人隐私数据保护及商用密码信息系统密码应用的规范要求。
方案的成功部署，得益于高性能密码技术的有力支撑。通过将安全机制与用户现有流程无缝对接，全方位提升了数据安全防护能力。在真实环境中验证了密码应用的稳健性、可行性与安全性，也将带动更多行业将国产商用密码技术纳入安全建设范畴，推动行业及场景数据安全建设的进一步拓展与深化。
1.技术框架
采用免应用开发改造的面向切面加密（AOE）技术对政务行业敏感数据的机密性和完整性保护。
数据加密系统由AOE插件、数据安全管理平台和密钥管理系统组成：
（1）AOE插件部署在应用服务端，只需进行简单配置，应用无需再进行任何额外修改，即可向数据库存储密文。数据库加密插件包含高性能国密软件（国密SDK），在对数据进行加解密时，插件调用国密SDK在本地执行加解密工作，适用于业务高速运转，数据大量交互的场景。插件与数据安全管理平台进行交互，获取安全策略以及密钥。
（2）数据安全管理平台旁路部署，提供可视化管理控制台，管理员可进行加解密权限规则的设置，颗粒度可以达到数据库表的字段级，加密策略的内容包括选择要加密的字段，以及所使用的加密算法，是否进行保留格式的加密；其中在加密时使用SM4-GCM模式，加密的密文中包含GMAC，可用于进行完整性保护。
（3）密钥管理系统统一进行加解密所使用的密钥的管理工作。密钥管理实现标准的三级密钥机制，在数据安全管理平台中根据加密策略具体生成工作密钥，最终下发给AOE插件以执行加解密。
2.亮点
免改造方案兼容多、交付快、防护好、成本省。兼容多，适应大多数的企业应用架构，如JAVA、C等主流开发语言、兼容开放协议的关系型数据库和非关系型数据库、兼容Linux/信创OS/Windows等。交付快，通过免改造应用增强数据安全保护能力，实现敏捷交付。防护好，密码安全一体化，炼石免改造数据安全产品面向应用系统，在应用层以数据为抓手实现数据安全保护，基于“密码安全一体化”，覆盖事前事中事后，实现“主体到人、客体到字段”的细粒度实战防护。成本省，免改造技术在建设期节约了应用系统的开发改造成本，在运维期通过灵活策略节约应用系统的规则适配成本。
3.效果
（1）策略和密钥集中管控，密文流转不是问题
本方案的数据安全管理平台能够集中设置多个应用的加解密策略和脱敏策略，以及统一密钥管理，完全可以做到密文流转而不用担心不能解密问题。
（2）采用高性能国密算法，不影响业务系统的性能
通过实现SM系列算法的高性能，可以使国密算法等效替换国外算法，实现密码应用的合规性要求。国密算法在很长一段时期内无法成为主流的一大原因，即是性能不能满足业务运转的需求，用户不得不选择国外算法，从而带来了供应链风险。高性能国密软件在保证了国密算法性能满足应用的同时，也实现了自主可控。
（3）免改造应用增强安全能力
传统的通过开发改造目标应用系统的方式来实现数据安全防护的方案，需要投入大量的工作，会影响到正常业务的开展。而将数据加密模块以插件的形式放在应用服务器，可以在不改造应用代码的情况下，赋予应用内生安全，既能快速实施，又可以降低风险。
（4）主体到人客体到字段或文件的的细粒度访问控制
部署在应用中的AOE数据安全模块可以获取当前登录用户的信息，因此对细粒度访问控制提供了可能。现有的应用访问控制粒度较粗，无法达到精细化管控的目的。将访问的客体精细到数据库中的字段，访问主体到应用中的用户，将加解密技术和访问控制技术相结合，形成无法绕过的细粒度安全访问控制。
1.应用场景
（1）政务数据处理与存储加密场景
1）政务信息系统内部加密
敏感数据存储：在政务信息系统内部，如数据库、文件服务器等存储介质中，对包含个人隐私、政策决策、国家安全等敏感信息的数据进行加密存储，确保即使数据被盗也无法被直接读取。
数据备份加密：政务数据的备份同样需要加密处理，以防备份数据在传输或存储过程中被非法访问。
2） 数据传输加密
内部网络传输：政务内部网络中，敏感数据的传输应采用加密协议（如HTTPS、SSL/TLS）进行，确保数据在传输过程中不被窃取或篡改。
跨网络数据传输：政务系统与外部机构或公众进行数据交换时，需通过加密通道（如VPN、加密邮件）确保数据的安全传输。
（2）政务移动办公与远程访问加密场景
移动办公应用加密：政务移动办公APP或系统需内置数据加密和访问控制机制，确保移动设备上存储和处理的政务数据安全。
远程访问加密：政务人员通过远程桌面、VPN等方式访问内部系统时，需采用强认证和加密技术，防止数据在远程连接过程中被泄露。
（3）政务信息发布与共享加密场景
1）政务信息公开发布加密
敏感信息脱敏处理：对于需要公开但包含敏感信息的政务数据，应进行脱敏处理后再发布，以保护个人隐私和国家安全。
2）政务数据跨部门共享加密
数据交换平台加密：政务数据交换平台应采用加密技术，对传输和存储的数据进行保护，防止数据泄露。
2.解决的安全问题
（1）数据交换过程中的安全痛点
政务行业在数据共享平台管理方面，数据安全存在着两方面的威胁，第一，数据泄漏风险，政务行业在共享平台的环境下，对数据和业务系统的控制能力会减弱，平台服务商具有访问、利用、控制政务行业数据和业务系统的能力，间接增加了政务数据泄露的风险。第二，数据残留风险，当政务行业退出共享交换平台时，数据很难百分百被迁出，会有数据残留，从而损害了数据的所有权和支配权，存在潜在风险。
（3）数据在互联网环境下安全痛点
政务行业的大多数IT系统都与互联网连接，数据的安全很难得到保障，比如办公自动化系统与互联网连接，同时，系统中流转的业务数据大多都是明文状态，一旦泄露，不法分子就能够直接获利。互联网具有“信息共享”的特性，黑客可以把互联网当成媒介，来获取电脑系统中的价值数据，因此需要建立商用密码数据安全护城河，减少或避免互联网带来的安全风险。
（4）内部人员非法操作的安全痛点
政务行业的内部人员非法操作问题一直都很难从根本上得到解决，一些内部人员通过自身权限，能够从政务系统中导出大量重要数据，将数据非法售卖，从而谋取私利。政务行业想要真正解决内部人员非法操作的问题，一方面是要通过员工培训教育，提高强内部员工的道德觉悟，增强法制观念；另一方面可以通过技术手段，给内部人员的权限加上“紧箍咒”，双管齐下，能够有效解决政务内部人员非法操作带来的安全痛点。
（5）数据泄露准确追溯的安全痛点
政务行业属于数据泄露的高危行业，数据泄露发生后，如何准确追溯成为不可忽视的安全痛点。数据是客观存在的，在读取数据时，得到的数据都是直接传递的，无法确定数据来源。如果为数据源打上标签，标签中包含数据源的IP地址、系统名称、传递时间、负责人等信息，数据便有了可追溯性和问责性，从而能够做到高置信度的行文审计，保障数据在发生安全事件后可追溯。
1.获得资质数量：企业资质20项
(1)国家级专精特新“小巨人”企业
(2)国家高新技术企业
(3)中关村高新技术企业
第二批“中关村企业专利、技术标准等资助资金”拟支持企业
(5)软件密码模块（服务端）CipherSuite-Server V3.0
(6)服务器密码机SJJ1941 V3.0
(7)密钥管理与数据加密及认证平台（密码模块）CASBV3.0
(8)密码卡PCIe HSM V3.0
(9)计算机信息系统安全专用产品销售许可证-云访问安全代理GM001112220210042/CASB/V3.0
(10)信息技术产品安全测试证书-云访问安全代理
(11)涉密信息系统产品检测证书-炼石数据库安全网关 CASB V3.0
(12)通信网络安全服务能力评定证书（安全设计与集成一级）
(13)网络安全应急服务支撑单位证书（数据与软件安全评测领域）
(14)FIPS 140-2 三级国际认证
(15)ISO9001质量管理体系认证中/英文版
(16)ISO27001信息安全管理体系认证中/英文版
(17)ISO14001环境管理体系认证中/英文版
(18)ISO45001职业健康安全管理体系认证中/英文版
(19)麒麟软件适配认证证书
(20)神州通用产品兼容互认证明
2.奖项数量：69项（由于字数限制仅列出10项）
(1)2024年8月，炼石入选《互联网周刊》、德本咨询、中科院信息化研究中心及eNet研究院发布的“2024中国信创500强”
(2)2024年8月，炼石入选切面联盟与蚂蚁集团联合主办的首批“切面联盟技术合作伙伴计划”
(3)2024年7月，炼石入选信通院首期《数字安全护航技术能力全景图》
(4)2024年7月，炼石上榜数说安全《2024中国网络安全全景图》“数据安全”与“密码”领域
(5)2024年6月，炼石入选“晋数所”首批数据安全专业服务机构公示名单
(6)2024年6月，炼石入选GoUpSec中国网安行业《数据安全产品及服务购买决策参考》
(7)2024年6月，炼石实力登榜数世咨询“中国数据安全50强”
(8)2024年4月，炼石入选成都市经济和信息化局“成都市工业领域网络和数据安全技术支撑备选单位名录”https://cdjx.chengdu.gov.cn/cdsjxw/c132869/2024-04/23/content_73874b8960f64a2ca55aeb4e4fdde507.shtml
(9)2024年4月，炼石工业领域实践“基于免改造数据安全技术的工业领域数据安全保护方案”入选ISC《2024数据安全技术创新发展报告》
(10)2024年4月，炼石入选国内专业安全媒体安全牛发布的《中国网络安全行业全景图（第十一版）》“数据分类分级、加解密、数据脱敏、数据库安全、数据安全态势感知、个人信息保护”等六大数据安全关键领域
3.软件著作权和专利：73项（由于字数限制仅列出10项）
软件著作权如下：
(1)CipherGateway业务应用安全网关平台
(2)基于事件驱动与业务感知的CipherGateway云安全中间件
(3)基于VXLAN的多链路传输软件
(4)基于HTTP协议的多链路传输软件
(5)基于模型驱动架构的Qucikbundle快速应用开发平台
(6)SM2/SM3/SM4国产密码算法实现软件
(7)CipherGateway安全接入客户端软件
(8)支持国产密码算法的TLS协议实现软件
(9)CipherGateway业务应用安全审计网关系统
(10)炼石CipherGateway业务应用安全审计平台
专利：
(1)一种具有自身安全防御功能的数据安全网关平台
(2)基于传输层封包的数据传输方法、数据传输装置及系统
(3)用于非结构化数据安全处理的方法、装置及其系统
(4)安全高效的分组密码算法实现的方法与装置
(5)安全かつ効率的なプロック暗号アルゴリズムの実現方法と装置
(6)METHODS AND APPARATUS FOR SECUREAND EFFICIENT IMPLEMENTATION OF BLOCK
(7)对现存应用系统的业务及数据安全防护方法、装置及系统
(8)一种用于分布式数据安全防护的装置、方法及其系统
(9)基于SIMD指令的SM4的并行计算方法及其装置、计算机可读存储介质
(10)基于ODBC驱动代理的结构化数据细粒度加解密的方法和系统
(11)一种可扩展的格式保留加密方法的实现方式
(12)采用分组对称密钥算法对多消息并行加解密方法
(13)基于数据库的细粒度数据加密方法、系统及装置
(14)基于GA算法的数据安全入侵检测方法、装置及设备
(15)一种用于数据可用不可转安全共享的装置、方法及系统
(16)一种分组密码的保留格式加解密算法的实现方法及系统
(17)一种多源异构密码资源池复用方法及装置
(18)安全备份密钥、恢复密钥方法及系统
长按海报可保存至本地
提供云计算服务
