长期以来，我们经常能听见安全厂商在分享自己的安全能力，自己在实践过程中的落地经验，很少有机会能听到安全能力的需求者——甲方厂商的经验与实战。但是，如果说甲方不仅仅有能力做好自己的安全，还根据自己的经验与实践，整合出了自己的安全产品，又是怎样的结果呢？

在上周四于深圳举办的第三届顺丰信息安全峰会上，顺丰的安全人员不仅为我们带来了顺丰在数据加解密管理上的经验分享，还介绍了顺丰通过自己在数据安全上的实践整合出的数据安全整体解决方案——粹御。

数据加解密的推行有什么难题？

顺丰信息安全工程师郭琦分享顺丰的数据安全经验

顺丰在 2015 年就开始着重加强自己的数据安全建设。作为全国最大的物流公司之一，顺丰掌握着大量用户的个人信息。在信息系统方面，顺丰现在拥有3个数据中心，超过 500 个业务系统，数据库系统达 1.3万，网络接入节点达 1.2 万，全网有超过 30 万个终端，每日交易数量达 2.5GB——可以说，顺丰面临的是海量数据的安全防护。

顺丰对数据安全的解决策略是围绕数据本身进行安全防护，而其中重要的一环就是对数据本身的加解密处理。

最初的处理方式，是让系统方面自行研发，对自身所产生的敏感数据进行加密。但这种方式在实践过程中却有很多弊端：

1. 业务和研发部门对敏感数据的理解都分别有其局限性，使得很多真正的敏感信息并未得到加密，

2. 由于由相关系统部门自行研发，安全部门就难以对整个 IT 环境中的加解密情况进行有效的管理，更无法核实各项政策的实际落地情况，明确落地效果。

3. 系统、业务部门本身对安全技术以及加解密技术的了解不足，使得对加解密技术的使用不当，反而对整个业务的运作产生负面影响。

在这些问题的影响下，顺丰决定从加密机的角度来推进对数据加解密管理的项目。为了更好地实现新的管理，顺丰的安全团队 项目开始时提出了以下的问题：

1. 敏感数据在哪里？

2. 敏感数据从哪里来？

3. 敏感数据的加密会对现在的系统有什么影响？

4. 哪些系统需要改造才能适应新的加密能力？

评

加解密固然是数据安全中必不可少的一项技术，但是在实行过程中往往面临很多的问题。组织和机构在使用加解密技术的过程中，需要根据自身的情况使用适当的加解密技术，并且进行管理。否则，反而会对自身的业务运作造成损害。

顺丰的数据加解密实践经验

顺丰信息安全产品负责人刘小龙讲解粹御

在数据的梳理阶段，顺丰动用了大量的技术人员，对每一个数据库、每一个表字段进行核实，整理出存在的敏感数据库。在获得敏感数据库的基础上，对数据库的责任部门进行溯源，与对应的应用系统研发进行沟通，通过梳理出各个敏感数据库的上下游对接的情况，了解顺丰敏感数据流动的全貌。

顺丰的信息安全工程师郭琦提到，在整个梳理环节中，最大的问题在于存量系统的统计与数据库的变化过程（包括表的增减、上下游的变化）中是否存在遗漏。为了应对这个问题，顺丰再一次投入了大量的人员进行反复落实。

安全的能力不只是技术的实现，也需要管理的支持与政策的制定。顺丰的安全部门在数据加解密系统对应用系统的改造过程中，将业务运营、业务场景的变化都进行了考量。同时，随着国内外不同新的法律法规的出台，顺丰也对数据加解密的使用进行相应的调整。

在整个数据加解密项目的落地过程中，顺丰总结出了以下几条心得：

1. 整体有机统一，安全对接业务，要了解用户的特性、行为，并满足用户的需求。

2. 管理方面需要制度的有效落地，给执行相应的支持。

3. 在运营层面形成从监管到流水线的操作流程。

4. 将数据全生命周期中每个环节的信息都贯穿整个生命周期，做到统一和联动。

5. 将系统融合贯通，能够了解企业的敏感数据从哪里来、到哪里去，以及应该用什么样的方式进行防护。

6. 对数据安全要进行场景化的落地。

评

顺丰在数据安全的落地过程中，我们可以发现，不仅仅需要将数据安全与业务、场景相关联，在对数据最初的梳理过程中依然需要投入大量的人力。人工智能固然能解决很多问题，但是在对于最初的数据类型的整理、样本的处理方面，依然需要大量的人类智能进行支持。在安全方面，我们不能盲信技术。

从实践中诞生的数据安全解决方案——粹御

在顺丰将自身的数据安全成功落地后，根据自身的经验与实践，整合出了自己的数据安全整体解决方案——粹御。

粹御有五个模块，解决了企业安全中的三大问题：数据资产管理与隐私数据管理解决了 “数据在哪” 的问题、数据追溯管理解决了 “数据从哪里来到哪里去” 的问题、数据脱敏管理与数据加密管理解决了 “如何保护数据” 的问题。

1. 数据资产管理：对数据资产的保护首先要明确数据资产在哪，有哪些的问题。通过主动式的扫描和被动式的人工扫描，识别出数据资产，同时可以根据数据库、文件、应用和邮件等类别将数据资产进行分类。

2. 隐私数据管理：在明确了数据资产的情况后，企业会需要进一歩地发现自己数据中的隐私数据，进行管理。但是，精确定位敏感数据位置是一大难题。顺丰在自身的安全实践的基础上进行归纳、总结，从而使粹御能够通过对正则、机器学习模型、字典等多规则组合识别引擎发现数据资产中的敏感数据，并且通过可视化模块，快速定位敏感数据的位置。在顺丰自身的落地实践中，对敏感数据的识别率达到了 98% 以上。

3. 数据追溯管理：对于数据的防护不仅仅是对于静止状态数据的防护，还有对于在流动中的数据的防护——但是首先要明确数据的流转路径。粹御通过梳理出应用系统中的数据接口，基于字段级的数据关系和动态流量分析，构建出应用的数据动态路径图；在统一的数据关联分析基础上，构建应用的数据关系管道，完成对数据流的追踪和溯源。

4. 数据脱敏管理：在识别敏感数据的基础上对数据进行脱敏处理，保证敏感数据在开发、测试、数据分析等场景下不被泄露，从而满足各类法规要求。

5. 加解密管理：正如前文提到的，顺丰自己在数据加解密的落地过程中发现了大量的问题，从而设置了专门的项目进行落地。粹御的加解密能力正是顺丰实践落地的体现。在传统加密机的使用过程中，由于缺乏统一的管理，应用接入与变更复杂，同时应用于硬件统一管理困难，造成硬件资源无法被充分利用。粹御的加解密管理模块，通过在加密机与相关应用之间增加加解密管理系统，以一种“软件定义加解密”的方式对加密机的能力进行统一的调配管理，将加密机的使用性打造得更加灵活。

评

顺丰从自身的安全实践中出发，系统性地整合出了基于数据的整体解决方案：从数据梳理，到敏感数据的识别，再对整个数据流的追踪监控，到脱敏和加密的保护，对数据的全生命周期进行了保护。粹御的五个模组可以一起使用，也可以分开根据企业自身的需求进行配置，让企业可以自己去完善数据安全中的空缺。