研发部门数据安全保护最佳实践

研发部门数据安全保护最佳实践 保护代码产权防止信息泄露 Ftrans飞驰云联©2021 前言 3 第一章研发部门有哪些资料需要保护？5 研发部门会产生哪些数据资料？5 哪些数据是需要保护的6 第二章研发部门的泄密方式7 造成数据泄密的人为原因7 造成数据泄密的技术原因8 数据泄密的方式9 第三章研发代码泄密对企业造成的影响12 近年代码泄密事故13 代码泄密对企业的影响14 第四章代码等数据的常见保护方法16 针对代码本身的技术保护手段16 研发部门内部管控手段18 第五章网络隔离方式介绍22 DMZ区隔离22 双网卡主机隔离22 防火墙隔离23 VLAN隔离23 网闸/光闸隔离23 虚拟桌面隔离24 第六章研发数据如何跨隔离网安全交换？25 研发数据需要跨隔离网交换25 开端口26 人工操作26 网闸摆渡27 FTP传输27 专用跨网文件交换方案介绍28 几种常见的跨网文件交换方案对比30 研发部门数据保护的最佳实践31 附录：跨网文件交换Demo视频演示32 研发部门数据安全保护最佳实践 前言 经过三次审议的《中华人民共和国数据安全法》（以下简称《数据安全法》）公布，于今年2021年9月1日起施行。这是数据领域的基础性法律，也是国家安全领域的一部重要法律，使数据的有效监管实现了有法可依，填补了数据安全保护立法的空白，完善了网络空间安全治理的法律体系。在数据海量聚集的当下，这部法律的出台，可以说是正当其时，其助力守好安全底线，支持创新应用，有利于促进数字经济良性发展。 数安法的颁布实施，给数据安全市场带来了“春天”，也为数据安全产品技术的发展注入了一剂强心剂，无论是普通的公民，还是在数据安全市场耕耘的厂商以及国家职能监管部门，通过此法应该对数据安全的概念及应用领域都有了更加深刻的认识，也将共同为促进中国的“数据安全”健康发展贡献更大的力量与智慧。 研发部门数据安全保护最佳实践 第一章研发部门有哪些资料需要保护？ 研发部门会产生哪些数据资料？ 我们先以一个完整的软件项目开发过程为例，看看这个过程中有哪些文档资料产出： 项目章程 项目计划 资源计划 预算文档 沟通方案 需求变更流程 需求列表 RQM 需求文档 设计文档 开发文档 代码文件 测试计划 测试用例 测试报告 哪些数据是需要保护的？ 我们先来看一组国内领先的网络安全行业门户Freebuf就对网络安全专业人士进行的一项在线调查，一半以上（60%）的受访者认为客户信息需要保护，这个无可厚非，毕竟大部分企业的生存是需要靠客户的。有一半（49%）的受访者认为知识产权是需要保护的数据。 数据来源：Freebuf 那么，知识产权包括哪些呢？主要包括专利（发明专利、实用新型专利、外观专利）、软件著作权、作品著作权、集成电路布图设计、商标等。 这些大部分都是跟研发部门相关的，比如专利、软件著作权、集成电路布图设计等，都是研发部门的智慧成果。尤其是软件开发类、游戏、手机等企业的源代码、技术专利等，都是企业尤为重要的核心数据。 研发部门数据安全保护最佳实践 第二章研发部门的泄密方式 造成数据泄密的人为原因 据安全专家统计报告说明，企业在遭遇数据泄露事件时，有百分之八十的概率是出现在内部人员泄密身上。这样的结果表明，内部数据安全问题远远比网络攻击更加可怕。尤其是在研发型企业里，代码这种重要又值钱的数据，是最容易让别有用心之人动歪心思的。其原因就是在于企业数据管理上，没有部署有效的保护体系，让数据安全一次次遭受严重打击。 企业内部人员泄密主要有这么几种可能： 过于分散--很多重要文件和科研成果都分散存储在个人电脑上，无法集中管控，无法控制数据主动或无意的外泄 离职跳槽--离职创业或者高薪跳槽，为了谋求更好的发展，有意识的窃密； 共享泄密--文件共享过程中，无法控制使用者的权限，给数据安全造成巨大隐患 为谋私利--员工受到金钱诱惑出卖公司的机密文件； 商业间谍--竞争对手获取商业机密常用的手段； 无意泄密--员工使用计算机和互联网的过程中无意识的泄密 造成数据泄密的技术原因 1、数据通信安全：网络端口、数据传输等都会因各种原因造成电磁泄露，企业数据库存储未安置防护设施，信息在通信传输过程中未进行加密处置(SSL证书)，窃听、非法终端接入、利用非应用方式侵入数据库、线路干扰等方式都可以得知通信信息数据。 2、数据库管理系统脆弱性：数据及数据库管理系统通常以分级管理，由此DBMS必然存在很多弱点。另外，为了方便访问数据，DBMS会留下不少接口，但其与操作系统的配套必然存在不少不足之处，而且这种不足是先天的，无法完全克服。 3、病毒与非法入侵：由于病毒或者非法入侵而导致数据泄漏，病毒入侵感染后，破坏数据、勒索加密数据等导致数据不可用，甚至盗取拖库，非法入侵指恶意攻击者运用不道德的手段侵入数据库或者数据存储空间，盗取数据。 4、系统漏洞：系统内数据库漏洞、操作系统漏洞，硬件上防火墙、存储设备等网络产品的漏洞，补丁更新不及时或不安全配置，导致恶意攻击者主动发现了系统存在的漏洞，从而窃取数据。 5、访问控制和权限管理不善：人和数据的权限分层、安全分级，帐号的生命周期管理，安全的访问控制，以及因为人的脆弱性存在而导致的数据泄露屡见不鲜。 数据泄密的方式 窃密 攻击者主动窃密：恶意攻击者或外部竞争对手，基于经济利益或政治原因驱动，通过层出不穷的高超技术手段，窃取企业的各种重要数据。 每年都会披露出来多起外部恶意攻击导致的数据泄露事件，大部分都是中大型企业，从小型的入侵窃密事件到超大型的入侵窃密事件，从黑客激进分子（hacktivism）到网络间谍，再到为钱作案的网络犯罪集团，有太多太多的事情发生了。 这一类的泄密途径主要来自于外部的威胁，网络上的各种木马、蠕虫、勒索软件层出不穷，通过服务器缝隙、桌面缝隙、移动代码、在邮件中选用嵌入式HTML、对HTTP和HTTPS的遍及访问、cookie窃取、通过大量ping攻击服务器、脚本攻击对应网站 泄密 这一类的泄密不仅仅是主动泄密，也包括被动泄密。泄密的途径主要有： 离职人员泄密：由于权限管理疏忽等，离职人员在离职时有意或无意违规带走大量核心数据(专利著作及源码数据等)。 内部人员泄密： 由于内部员工安全意识薄弱，数据安全分级不明确，操作失误，部分涉密人员无意中泄露数据； 将企业内部文档私自拷贝外带及复用泄密(USB/网络/即时通讯/刻录); 通过截屏/录屏/复制等方式泄露企业机密信息 盗用他人账号及设备非法访问数据泄密 通过打印机、传真机等将敏感数据进行介质转换泄密 对敏感数据的恶意传播及扩散泄密; 对核心应用系统的非安全接入及访问泄密; 移动笔记本、USB存储设备遗失或失窃导致数据泄密 邮件或网络误操作、误发送等，数据的误用引起的泄密 感染病毒、木马后引发的敏感数据泄密; 将存放重要数据的机器、存储介质随意交与他人使用引发的泄密 不遵守管理制度的其他导致数据泄密的行为等 失密 权限失控失密：由于帐号生命周期管理不善，权限划分及认证鉴别方式失控，导致人员对数据的密级访问权限不对等，高密级数据流向低权限帐号，涉密数据流向无权限帐号等。 数据维护及处置失密：不安全的加密方式或明文存储、公开的存储位置、管理密钥或存储介质丢失、未完全擦除报废，存储数据发生泄露。 信息发布失密：合作渠道商管理不善数据交互泄露，发布信息审核不当涉及密级数据泄露，信息数据流入未授权、竞争关系的第三方。 因此，需要技术手段和管控制度相结合 研发部门数据安全保护最佳实践 第三章研发代码泄密对企业造成的影响 近年代码泄密事故 关于代码泄露的报道，我们在网上也经常看到，代码泄露不但是小公司，连苹果、微软这样防范严密的大公司也无法幸免，国内的大疆、B站也都发生过，下面是最近几年的几个事例： 2017年，大疆前员工将含有公司商业机密的代码上传到了GitHub的公有仓库中，造成源代码泄露的事件。根据当时的报道，通过这些源代码，攻击者能够访问客户的敏感信息，比如用户信息、飞行日志等等。 2018年2月，一位名为“ZioShiba”的用户在开源代码托管平台GitHub上泄露了苹果公司专有的iBoot源代码。根据苹果公司的声明，遭到泄露的是两年前iOS9的源代码，与现在相隔甚远，不会导致大规模安全事件。但仍然可能被相关iOS安全研究人员和越狱爱好者加以利用，在iPhone锁定系统中发现其他新的漏洞。 2019年4月，B站整个网站后台工程源码泄露，并且“不少用户密码被硬编码在代码里面，谁都可以用”。当天，在开源及私有软件项目托管平台GitHub上，出现了名为“哔哩哔哩bilibili网站后台工程源码”的项目。导致当日B站股价跌3.27%。 2020年3月，AMD发布了一条公告，宣布有黑客窃取了AMD现在及即将发布的图形产品及子集的测试文件，尽管目前已知的并不是AMD图形产品的核心机密，但还不确定黑客是否还拥有其他任何AMDIP。 2020年7月，包括微软、Adobe、联想、AMD、高通、联发科、通用电气、任天堂、迪士尼在内的50家知名公司的源代码泄露，并被发布在了公开网络上。据报道，泄露的代码由某瑞士软件开发人员收集，并以「机密&专有(excoconfidential)」的名称放在公开访问的GitLab存储库中。该公共仓库中大约包含了超过50家公司的源码。 2021年1月，三井住友银行的一名前员工，为了找工作，在开源网站GitHub上传了自己写过的三井住友银行的部分源代码。1月29日，三井住友银行（SMBC）1月29日公开回应，网传的银行系统源代码泄露确有其事，但是泄露的代码已经是6年前的版本，对客户信息和交易安全不会产生影响。除了三井住友银行之外，还有许多知名日企如NTTdata、NEC的源代码也同时泄露。 代码泄密对企业的影响 企业公众声望受损 当企业发生数据泄露时，公众会对企业产生不信任感，这种不信任感会影响公众的选择，因此，数据泄密事故可能会令企业失去一批客户，包括潜在客户。 比如雅虎邮箱曝出泄密事件后，大批用户弃用，正在商谈收购事宜的雅虎甚至一度难以卖出。 企业经济利益受损 一方面，数据本身就是企业财产的一部分，当数据泄露，这部分数据资产相当于拱手让给别人，对企业的竞争力会产生威胁，间接提高了成本、且减少收益。另一方面，声望折损会导致企业股价下跌、用户流失，这都将对企业经济利益产生直接影响。 之前，趣店发生用户数据泄露时，股价出现连续下跌，甚至一度出现开盘跳水30%。 面临诉讼等法律指控 数据一旦发生泄露，必定会出现受害者，受害者可能是数据来源者本身，也可能是企业的下游客户或遭受数据泄露影响的其他合作者。 美国征信巨头EquiFax发生1.43亿用户泄露后，面临一场美国波特兰联邦法庭的集体诉讼，赔偿金额高达700亿美元。 内部易产生不和谐因素 有的数据泄露是黑客攻击造成的，有的则是内部管理不善造成的，后者更容易让员工对企业产生不信任感，继而影响企业整体的团结。 世界500强公司之一的英国超市Morrisons曾发生一起泄漏事故——10万名员工的工资细节、住址、银行账户等被内部审计员盗取并泄露贩卖，不仅审计员入狱，Morrisons也因此被5千多名员工集体告上法庭，要求企业为此负责并赔偿。 引发高层震荡 一场数据泄露背后必然有企业内部的各种问题，而当企业发生严重的数据泄露时，通常会有高管为此担责甚至被下台。 美国小姐CEO被曝出邮件丑闻后，该CEO随即离职；Uber曝出10万黑客封口费后，首席安全官被罢免。 由此看来，数据泄露的代价对于企业来说的确是十分昂贵的，损失不可估量，有的小型或者创业期企业，一旦发生核心数据泄密，会导致企业身家性命丢了一半，甚至因此而倒闭。 研发部门数据安全保护最佳实践 第四章代码等数据的常见保护方法 针对代码本身的技术保护手段 代码