中国IDC圈11月4日报道：在业务发展和各类信息化新技术的推动下，银行业金融机构相继开展或在一定程度上完成了数据大集中。数据集中极大提升了银行的核心竞争力和服务水平，但同时也将数据安全风险集中到了数据中心。本文结合区域数据中心面临的主要技术风险，对区域数据中心的信息安全防护技术进行了初步探讨。
随着各项业务不断推陈出新，我国各大银行业金融机构陆续着手加强自身的信息化基础设施建设，以丰富信息利用手段、提高决策判断水平。在此过程中，各商业银行分别将数据集中到省级数据中心，或者建立大型区域数据中心，有的甚至形成了成熟完整的国家数据中心，数据集中进程发展迅速。数据集中极大提升了银行的核心竞争力和服务水平，但同时也将数据安全风险集中到了数据中心，由于各种类型的业务数据直接汇聚到数据中心进行统一管理，数据中心变得愈加庞大和复杂，其中的数据也变得愈加关键。本文在区域数据中心建设的背景下探讨如何认识和提高信息安全防护技术。
一、信息安全防护技术的发展
（一）信息安全的概念
信息安全是指数据信息在存储、传递和处理过程中保持其完整、真实、可用和不被泄漏的特性，即保密性、完整性、可用性、可控性和可审查性。信息安全的对象主要有实体安全、网络安全、传输安全、应用安全和用户安全。
（二）信息安全技术防护发展历史
信息安全技术防护的发展历史大致可分为三个阶段。
1.系统审计技术阶段。主要是侧重于记录用户使用信息系统的过程，以便审计人员事后发现用户的违规操作行为，但其管理功能有限，且无法及时阻止违规行为的发生。
2.主机监控技术阶段。主要是防止单台主机信息泄漏和违规操作行为发生，具有初步的主动防护功能并有较强的控制手段，女N夕t-设控制、主机网络控制、用户认证等，但采用的主要还是单点加固的机制，防护体系不够完整，存在安全“瓶颈”。
3.可信网络与数据安全技术阶段。在这一阶段，强化了整体防御能力，增加了“可信”的概念，其中包括可信终端、可信软件和可信用户等内容。整个控制过程不仅仅限于单一的时间点，而是从终端系统接入网络开始的整个生命周期，利用交换机、防火墙对非法终端进行隔离，利用入侵检测、防病毒、漏洞扫描、审计软件等对用户行为进行检测，借助补丁软件、木马专杀工具对终端进行保护。除整体防御之外，它也更加贴近关键数据，通过透明的加密技术、虚拟磁盘技术、文件重定向技术直接保护电-T文档和数据的安全。
二、区域数据中心面临的主要技术风险
除了承受自然灾害、人为破坏、操作失误、系统软硬件故障等风险外，由于区域数据中心是将全省或者几个省的业务和数据集于一体，具有联网网点数量巨大、联网网点地域分布广阔、联网交易数量庞大等特点，因而又面临由集中带来的以下几类技术风险。
（一）业务系统整合带来的风险。根据区域数据中心“数据集中、资源整合”的要求，原来分散开发和部署的应用系统在数据集中的环境下需要作进一步的梳理和整合，在此转变过程中，硬件的更新、软件的升级以及整合之后系统之间的相互制约，都会对各系统产生一定的影响。如果迁移整合过程没有规范的标准作为准则，或者出现细节上的失误，都会对各系统的平稳连续运行造成不良影响。
（二）数据自身的安全风险。随着大部分业务数据都基本上集中在数据中心，其分析利用的效率固然会大大提高，但数据集中的过程也是风险相对集中的过程，一旦数据中心的存储数据发生丢失、混乱或是被破坏等现象，造成的后果将蔓延至整个区域范围，造成大范围的不良影响。
（三）系统设计不科学带来的风险。区域数据中心业务系统应具有基本的海量联机事务处理能力，在对此类系统进行开发之前，对单位时间内事务或交易发生量的估算非常重要，下方面要对基本的处理能力作准确估算，同时不失前瞻性，另一方面又要防止过度夸大业务量，造成信息资源浪费。因此，在开发业务系统时（尤其是在自主开发时），一定程度上存在着业务系统处理能力不足或者资源闲置的风险。
（四）网络通信“瓶颈”风险。数据集中同时也意味着网络压力的集中，网络带宽如果无法满足大量网络终端实时联机交易的数据传输要求，就会存在由于通信阻塞造成联机交易失败或失效的风险。
（五）维护与管理风险。由于区域数据中心的体系结构和运行管理相对复杂，由此对技术人员的运维和管理水平提出了更高的要求，如果科技队伍的技术水平没有配套地提升，如果没有针对数据集中的工作环境制订详细的运维管理和应急处置制度，那么面对突如其来的风险事故时，将难以及时处理以确保系统连续稳定的运行。
（六）遭受攻击与入侵风险。区域数据中心的作用和风险都较以往分散式的体系结构更为突出，因此在一定程度上就更加可能成为入侵攻击的目标与对象，且与以往相比，由于地位突出，区域数据中心遭受攻击强度会更大、持续时间会更长、方式种类会更多，故一旦没有配套的安全防护技术体系，后果将不堪设想。
（七）应急事件的风险。区域数据中心为发挥其业务处理和分析的高效性，需要跨部门开展多层次、多种类的协作，在此业务架构和技术架构下，应急演练涉及面广、操作难度大，可能会造成无法开展应急演练或演练次数锐减的情况，演练实质效果很难保证，从而导致区域数据中心发生重大故障时，业务恢复效率低，技术风险不断扩大。
（八）其它配套体系不完善带来的风险。区域数据中心的建设过程同样也是配套设施不断完善的过程，在此期间，灾难备份中心建设相对滞后，IT资源监控的技术手段有待丰富，区域数据中心在风险方面的宣传仍是空白，当核心系统或设备发生故障时，由于自身风险定位不明确，将难以迅速地采取有效的应对措施。
热门专题
