０、引言
伴随DT时代的到来，数据已经渗透到各行各业，成为重要的生产要素。然而，与每个人息息相关的个人信息，由于传输速度快、数据量大、共享频率高的特点，在数据流转过程中不可避免地产生暴露面和攻击面，面临严峻的安全失控、信息泄露等风险。
个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。据中国民用航空局发布的《2019年民航行业发展统计公报》，全行业完成旅客运输量65993.42万人次，比上年增长7.9%。除民航业外，政府、金融、交通、医疗等民生行业，均掌握数不胜数的个人隐私信息，关系到每个公民的切身利益，价值量巨大。这些数据也是网络攻击者所觊觎的目标，一旦泄露，不仅使公民的个人财产和人身安全受损，同时也为企业带来重大的经济损失，严重者甚至影响国家安全。
个人信息安全的重要性不言而喻，世界各国高度重视个人信息保护。《网络安全法》明确要求“网络运营者不得泄露、篡改、毁损其收集的个人信息，应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失”。《信息安全技术网络安全等级保护基本要求》即等保2.0提到，应采用校验技术或密码技术保证通信过程中数据的完整性；应采用密码技术保证通信过程中数据的保密性。此外，国内《密码法》，中共中央、国务院《关于构建更加完善的要素市场化配置体制机制的意见》，立法中的《个人信息保护法》
《数据安全法》，以及欧洲GDPR等法律法规均对各行业个人信息保护、构建密码技术防护体系提出了更明确的要求，对个人信息防护的颗粒度也更加精细化。
因此，大力推动信息化建设的同时，广泛应用密码技术来保护个人信息数据，构建密码数据安全防护体系成为当下各行业的重中之重。
１、个人数据安全防护面临挑战
目前，政府、运营商、金融以及众多互联网企业均收集、保存着海量用户的个人信息，个人信息的产生和存储均在信息系统中发生。而信息系统普遍缺失数据安全保护能力，需要补充和增强，这就面临诸多数据安全改造挑战。然而，信息化应用通过大规模开发改造方式补充和增强安全能力不可行。大量应用系统如果以开发改造的方式增强和补充安全能力，特别是加入密码能力，必须从应用底层架构入手，需要投入大量人力物力，而且需要较长周期。同时，改造在线系统还会带来运营风险，造成间接业务损失。
个人信息数据量巨大，在应用密码技术进行安全防护的同时要保障效率问题。海量的个人信息数据每时每刻都在高速流转，采用密码技术对个人信息进行安全保护的同时，不能影响到数据的流转效率及业务的正常开展。
众多信息系统所采用的数据库品牌不统一，增加了采用密码技术保护数据的难度。在不同阶段建设的信息系统，或者直接采购的成套信息系统产品，存在机构内部多个品牌数据库并存的情况，而且相同品牌的数据库版本也不统一，要针对每个品牌和版本的数据库进行数据安全保护，就需要可落地的方案能够支持各种数据库。
各信息系统供应商所采用的应用开发技术不统一，给密码技术落地，实现数据安全防护增加了复杂度。各个时期建设的信息系统由不同的开发商供应，所使用的应用开发技术不统一，比如有JAVA、.NET、PHP、C等技术，要实现数据安全防护，就要对接不同的开发技术，实现密码技术与信息系统的结合，从而实现为信息系统中的数据提供安全防护。
应用密码技术实现数据安全防护，需要符合密码合规要求。采用密码技术实现个人信息数据安全的同时，需要遵循国家密码管理局对于密码应用合规性的要求，使得实施方案能够通过密码应用安全性评估。
２、免改造应用的细粒度防护
过去十几年，大量应用系统在建设过程中没有将应用内建安全考虑进来，造成国内大量的已建应用缺失安全防护能力，只能对应用系统二次开发改造以增强安全。
本方案支持免开发改造企业应用系统，在不改变应用运行机制的情况下，提升数据安全防护能力。
2.1面向切面加密，打造实战化数据防护
炼石以应用为抓手，将数据加密、访问控制以及高置信度审计结合，重建个人信息的安全防护机制，实现数据全生命周期的细粒度防护。
图1易实施的实战化数据防护
如图1所示，炼石个人信息安全防护方案支持将应用系统用户与字段级、文档级数据结合起来，提供“主体到用户，客体到字段级”的细粒度访问控制，做到精细化数据安全保护。
面向服务侧，个人信息数据在落盘阶段支持数据加密存储，能够有效防范DBA运维人员越权访问数据，以及外部黑客入侵拖库风险；面向用户侧，在个人信息显示的各个环节，结合用户身份对敏感数据脱敏处理，这能够有效防范内部业务人员的越权。
同时，本方案支持可追溯、防篡改的第三方数据库审计，以独立于业务应用之外的方式实现审计，每条日志支持主体追溯到应用业务用户，并为审计日志进行完整性保护，保证信息泄漏后可追溯源头。
本方案支持基于云模式的规模化部署，支持批量应用的分布式加密与集中式管控，降低维护和管理成本，只需配置级部署即可完成实施。本方案同时解耦数据库类型，支持丰富的数据库类型，如：关系型数据库Oracle、MySQL、Postgresql等；数据仓库Teradata，以及MongoDB等新型数据库。
图2支持批量应用的分布式加密与集中式管控
企业业务系统一般对实时性要求较高，本方案中基于SM4的格式保留加密算法每秒可加密5000万条手机号，同时在i9单颗CPU上SM4加解密性能突破130Gbps，实现对国外AES算法的等效替换，对生产场景业务效率的影响降到更低。
进一步讲，如图2所示本方案支持多台硬件以集群模式部署，大幅度提升系统的可用度，并支持“两地三中心”灾备模式，在极端故障情况下保障企业核心业务系统的可用性和可恢复性。
2.2方案优势
（1）应用免开发改造，敏捷部署
本方案既无需开发改造应用，也无需适配数据库，通过在应用以配置方式部署，便可实现敏捷部署。
（2）融入数据使用场景的细粒度加密防护提供“主体到应用内用户，客体到字段级”
的安全防护能力，可将应用内的用户身份、字段或文档级数据结合起来，提供细粒度安全控制。可通过设置加解密策略，对不同的数据行、列等采用不同加密算法和密钥，实现对企业内部人员的敏感数据访问授权最小化。
（3）密码控审一体化，安全威胁同时防
本方案把数据锚点解密与访问控制、审计等技术结合，可以构建“防绕过”的数据安全防护体系，在数据加解密的锚点施加访问控制策略，可以打造防绕过的数据防护机制，并支持可追溯、防篡改的第三方数据操作审计，每条日志支持主体追溯到人，保证可事后追责。
（4）卓越的密码工程化能力
同时支持SM系列算法和国际算法，以及对手机号、证件号、邮箱等字段的保留格式加密（基于SM4或AES）。在单CPU上SM4加解密速度突破130Gbps，单CPU加密10亿条手机号仅耗时20秒（即每秒5000万条），高性能密码实现保障了用户使用密码技术后不影响效率和体验。
（5）大规模部署统一管控
面对企业信息系统多、数据库多的情况，可部署统一数据库加密管理平台和密钥生命周期管理平台，集中管理。
（6）满足合规要求
支持商用密码算法（SM2、SM3、SM4等），具有国家密码管理局颁发的商用密码产品型号证书，同时支持AES、RSA、SHA256等算法。满足密评标准——GＭ/T 0054-2018《信息系统密码应用基本要求》中的合规要求。
３、应用案例
炼石个人信息保护方案助力民航领域个人信息保护，提升密码数据安全防控能力。炼石从旅客数据安全技术管理角度，梳理了民航旅客服务系统相关法规和标准，包括国内的等保2.0、密评，以及GDPR、PCI-DSS等。结合民航旅客服务系统行业特点，对购票、值机、托运、安检、通关、登机等各个环节涉及的数据作系统性梳理，分析找出旅客个人信息防护的脆弱性和风险点。提供应用免开发改造的创新技术，以应用为抓手，将数据加密、访问控制以及高置信度审计结合，重建敏感信息的安全防护机制，实现数据全生命周期的细粒度防护。
炼石针对民航业旅客个人信息保护解决方案，全面提升民航业密码保障能力，有效应对数据泄露威胁，重构数据安全防线，为民航业信息化与业务发展保驾护航。
４、结语
数据安全已成为事关国家安全与经济社会发展的重大议题。炼石基于商用密码的个人信息保护方案，支持免改造实现用户级与字段级的加密、访问控制及审计，打造“以密码技术为核心，访问控制与审计等技术相互结合”的安全防护体系，有效应对信息系统数据安全挑战，促进数据共享，发挥数据价值的同时保障数据安全，创造更加安全、开放、可靠的网络空间。
