亚洲日本免费-啊轻点灬太粗太长了三男一女-麻豆av电影在线观看-日韩一级片毛片|www.grbbt.com

一、改造背景

早在2012年，工信部和公安部通告了RSA1024算法被破解的風(fēng)險(xiǎn)，為保證金融行業(yè)各基礎(chǔ)信息系統(tǒng)安全，中國人民銀行要求各銀行對網(wǎng)上銀行等信息系統(tǒng)進(jìn)行國產(chǎn)密碼算法改造。2012年，中國人民銀行向多家銀行發(fā)布了《銀行業(yè)國產(chǎn)密碼應(yīng)用總體規(guī)劃》及《總體方案》征求意見稿；同年，人民銀行轉(zhuǎn)發(fā)了發(fā)改委的試點(diǎn)通知并建議網(wǎng)銀用戶5000萬以上的銀行參與網(wǎng)銀系統(tǒng)國密算法改造試點(diǎn)項(xiàng)目。2014年國務(wù)院轉(zhuǎn)發(fā)了多部門聯(lián)合制定的《金融領(lǐng)域密碼應(yīng)用指導(dǎo)意見》（國辦發(fā)【2014】6號），要求各金融機(jī)構(gòu)5年內(nèi)完成在網(wǎng)上銀行、移動支付、網(wǎng)上證券等重點(diǎn)領(lǐng)域國產(chǎn)密碼算法的全面應(yīng)用。

經(jīng)過幾年的推進(jìn)，銀行業(yè)基本完成國密的改造，金融其他行業(yè)陸續(xù)進(jìn)行中，近期人行又發(fā)布了相關(guān)通知，要求非銀支付機(jī)構(gòu)2022年10月完成相關(guān)國密改造，作者所在公司為非銀支付行業(yè)，已經(jīng)開始了完成部分國密改造項(xiàng)，記錄此文作為探討分享，不足指出請多多指教。

二、改造要求

人行發(fā)布的改造項(xiàng)，強(qiáng)制項(xiàng)為必須改造完成，否則造成監(jiān)管合規(guī)問題，會給公司帶來不可預(yù)期的后果，改造要求如下：

2.1、已完成：數(shù)據(jù)原發(fā)抗抵賴和數(shù)據(jù)接收的抗抵賴項(xiàng)，即交易抗抵賴

改造方案架構(gòu)圖：

改造業(yè)務(wù)調(diào)用流程：

改造后的效果（國密SM2算法）

國密改造是個漫長且對業(yè)務(wù)侵入較大的工作，需要公司多個部門配合，可以由風(fēng)險(xiǎn)與合規(guī)部門牽頭負(fù)責(zé)與監(jiān)管部門溝通，負(fù)責(zé)上報(bào)進(jìn)度和合規(guī)事項(xiàng)確認(rèn)，架構(gòu)組和安全團(tuán)隊(duì)對技術(shù)方案評估評審，討論出既合規(guī)又對業(yè)務(wù)影響較小的方案，以及后續(xù)推進(jìn)工作，當(dāng)然也需要廠商的支持。

2.2、敏感信息國密算法存儲，即內(nèi)部系統(tǒng)存儲機(jī)密性項(xiàng)，作者公司目前正在改造。

如果說CA證書國密改造難度是個小兒科，那敏感信息國密算法存儲改造難度就是個大boss，剛開始我以為國密存儲改造只要使用國密算法加密完成改造不就完了？事實(shí)證明太年輕，由于之前推動完成了公司敏感信息存儲項(xiàng)目，所以我單純的認(rèn)為國密改造無非就是換個加密算法嘛，于是興高采烈的拉上架構(gòu)組開會商討，讓架構(gòu)組開發(fā)一套支持國密算法的sdk，架構(gòu)組很快完成了，那接下來推動各業(yè)務(wù)整改唄。按照慣例，在開始推動之前，要找檢測機(jī)構(gòu)確認(rèn)我們的方案是否可行，不能上去就是干啊，于是向監(jiān)管老師介紹方案，哪知方案還沒介紹完，老師得知是軟加密的方式，直接當(dāng)頭一棒說你們這方案肯定不行，說數(shù)據(jù)加密一定要通過硬件加密機(jī)和管理秘鑰。

因?yàn)橐糜布用艿姆绞剑凑毡O(jiān)管老師的說法，數(shù)據(jù)加密的動作也要在加密機(jī)里完成，這對解密機(jī)性能要求和高可用就非常高，因?yàn)橐粋€QPS過來，如果牽涉數(shù)據(jù)查詢，關(guān)聯(lián)查詢，數(shù)據(jù)加密，都是對加密機(jī)的考驗(yàn)，雖說都是C3/C4的數(shù)據(jù)，這個量也是很大的，更不用說活動的峰值了。

通過與各個業(yè)務(wù)、架構(gòu)、廠商的討論，認(rèn)為采用硬件加密機(jī)進(jìn)行數(shù)據(jù)加密動作風(fēng)險(xiǎn)太高，于是又反復(fù)向監(jiān)管老師確認(rèn)，能否加密機(jī)只做秘鑰的管理，加密的動作在應(yīng)用本地完成。通過多番多方確認(rèn)，確定可行。

于是出現(xiàn)了以下方案，架構(gòu)圖如下：

到此算是完成了架構(gòu)方案的設(shè)計(jì)，部署加密機(jī)，封裝服務(wù)，完成整個項(xiàng)目的30%，接下來推動業(yè)務(wù)整改，真正的挑戰(zhàn)才剛開始。

首先、整改要明確整改范圍，一般為監(jiān)管上報(bào)的核心支付相關(guān)系統(tǒng)，建議可由風(fēng)險(xiǎn)合規(guī)部門確認(rèn)，其次，要確認(rèn)有哪些敏感加密字段，大家可以參考《金融數(shù)據(jù)安全分級指南》敏感數(shù)據(jù)定義去梳理公司的敏感數(shù)據(jù)，由于作者之前作為owner推動整改過加密項(xiàng)目，已經(jīng)梳理過各個系統(tǒng)的敏感字段，所以這部分工作輕松完成。接下來，就是推動各個業(yè)務(wù)排期改造，此過程最消耗精力，因?yàn)楦鱾€業(yè)務(wù)數(shù)據(jù)調(diào)用上下游依賴程度不同，有的直接通過數(shù)據(jù)庫調(diào)用，如大數(shù)據(jù)，TIDB，需要制定不同的推動方案進(jìn)行區(qū)別推動，目前進(jìn)行中。

三、一些感悟

金融作為受強(qiáng)監(jiān)管的行業(yè)，各種合規(guī)的改造項(xiàng)目不得不進(jìn)行，這其中有容易的，也有很難改造的，比如像國密改造項(xiàng)目對業(yè)務(wù)侵入大，涉及部門多，周期長，改造難度阻力非常大。不過，隨著數(shù)據(jù)安全法，個人信息保護(hù)法，以及關(guān)基認(rèn)定的實(shí)施，還有滴滴事件的發(fā)生，相信各個公司已經(jīng)越來越重視數(shù)據(jù)安全，合規(guī)安全，大多公司領(lǐng)導(dǎo)的已經(jīng)改變了重業(yè)務(wù)，輕安全的認(rèn)識，使得項(xiàng)目的推動也變得順利，按時(shí)完成。除此同時(shí)，建議時(shí)刻保持與監(jiān)管檢測機(jī)構(gòu)的緊密溝通，因?yàn)樽罱K改造項(xiàng)是否合規(guī)，能否通過，由他們進(jìn)行測評和判定，切勿閉門造車，以免重復(fù)勞動。

來源：安全客