歐盟市場特點

歐盟是一個相對不平衡的市場，有類似我國東西部的差距，但歐洲同時是一個相對一體化的市場。

在歐盟，尤其是西部及北部是高度發(fā)達的國家，業(yè)務本身有以下特點：

1) IOT及數(shù)據(jù)業(yè)務增長快速，流量費用快速下降；

2) Level 1 的運營商已經(jīng)開始采購外部SAAS服務；

3) 數(shù)據(jù)交換比較多，存在大量企業(yè)間、企業(yè)與政府的數(shù)據(jù)同步。

在安全層面，有以下特點：

1) 數(shù)據(jù)泄露仍然高發(fā)，歐盟是僅次于美國的第二數(shù)據(jù)泄露地區(qū)（數(shù)據(jù)來源https://infowatch.com/） ；

2) 數(shù)據(jù)泄露是在各種嚴格監(jiān)管要求下發(fā)生的，監(jiān)管包括歐盟的regulation 及directive，各成員國自己的regulation 及directive及各種行業(yè)標準；

3) 最新的數(shù)據(jù)保護法General data protection regulation 進一步加強了對個人數(shù)據(jù)的保護；

4) 相對少量非法，灰色交易，歐盟法律更在意個人數(shù)據(jù)的保護，嚴禁泄露，比如我們將他人私人電話未經(jīng)同意就轉給其他人算作違法。

對國內(nèi)運營的啟示

對于數(shù)據(jù)保護及互聯(lián)網(wǎng)服務的嘗試，歐盟運營商相對領先，所以歐盟運營商在相關安全上有些是值得國內(nèi)借鑒，以下亞信認為比較重要的幾點。

1、注重隔離，不相信其它內(nèi)部系統(tǒng)

注重隔離，不相信其它系統(tǒng)： 對于哪怕是電信運營商自己的系統(tǒng)，接入同樣要進行安全控制。

國內(nèi)運營商多渠道化后，很多系統(tǒng)（例如面向互聯(lián)網(wǎng)的APP）都會接入BSS核心系統(tǒng),這種安全控制是值得去參考的。作為核心的BSS系統(tǒng)的安全，一定要基于假定任何接入系統(tǒng)可能被黑客控制的情況下進行對接。

2、注意內(nèi)部防護

歐盟運營商的安全人員首先考慮如何控制內(nèi)部人員的風險，控制內(nèi)部人員接觸個人數(shù)據(jù)的概率。

對于個人信息在界面的展現(xiàn)，全部要求模糊化，個別不能模糊化的需要得到安全團隊的批準。

很注意維護功能，要求所有的維護、尤其是個人數(shù)據(jù)的修改必須通過界面來進行，這樣可以極大降低運維人員通過數(shù)據(jù)庫接觸個人信息的必要性。

3、個人數(shù)據(jù)清單非常重要

系統(tǒng)要有完整的個人數(shù)據(jù)清單，能標示出系統(tǒng)中哪些表、哪些字段是敏感數(shù)據(jù)，有了這個清單，才能根據(jù)這些信息進行后續(xù)控制，如：

1) 數(shù)據(jù)的加密處理

2) 數(shù)據(jù)的模糊化處理

3) 在測試環(huán)境的數(shù)據(jù)脫敏

4) 個人數(shù)據(jù)備份

5) 個人數(shù)據(jù)在線、離線保存年限

6) 法律糾紛時候的個人數(shù)據(jù)收集

3、事中管理及主動發(fā)現(xiàn)

注重事中管理，audit及audit trace 是系統(tǒng)必備功能，SIEM（安全信息及事件管理）系統(tǒng)也是基本部件，這樣雖然還不能做到一線互聯(lián)網(wǎng)通過大數(shù)據(jù)來進行的主動發(fā)現(xiàn)，但通過SIEM 也是同樣可以通過主動分析拿到安全預警。

4、安全是管理及設計出來的

另外從歐洲運營商的觀點及亞信的實施經(jīng)驗看，安全防護已經(jīng)不是僅僅傳統(tǒng)防止外部入侵、防止Ddos攻擊，有如下特點：

1) 安全是需要根據(jù)安全規(guī)范，從設計就開始考慮如何實施的事情

2) 安全設計、實施必須尊守相關法律及安全標準

3) 日常的安全監(jiān)管及相關執(zhí)行很重要，安全是一個長期性及持續(xù)性工作

4) 安全是很貴的，安全投入必須單獨考慮

另外，這些也值得國內(nèi)借鑒，不能簡單通過上線前或者臨時滲透來判斷系統(tǒng)是否符合安全標準。

亞信的BSS安全體系

安全體系不是簡單的軟件架構及防入侵，還包括很多日常工作，包括非常重要的合規(guī)性工作。

以下是亞信安全體系，請注意體系并不僅僅是軟件架構，體系覆蓋了管控、運維環(huán)節(jié)，覆蓋了支持的環(huán)境及遵循的標準等;

最下層是環(huán)境： 明確亞信安全體系能夠支持的環(huán)境、從裸機、私有云到公有云及混合云。

中間是標準，即明確體系需要完全滿足的各種業(yè)界標準，目前亞信核心標準是以下四種：

1) Open security architecture ，架構層面需要滿足的標準

2) S-SDLC, 開發(fā)流程需要準守的標準

3) ISO 2700X, 日常工作、項目運維需要遵循的標準

4) ITIL， 日常運維需要滿足的標準

此外根據(jù)項目是否包括信用卡相關支付類信息，來決定是否要支持PCI-DSS及ISAE3402。并且開始嘗試將DevSecOps 要求貫穿開發(fā)過程。

在標準之上是基礎層，包括：

1) 以OSA為基礎的安全架構，不僅僅考慮運行，還覆蓋運維需求，如數(shù)據(jù)管理框架。

2) 安全工具，包括外購的代碼掃描、內(nèi)部與CI結合代碼安全限制、自動化安全掃描腳本集等。

3) 內(nèi)部安全管控， 以S-SDLC及ISO 2700X為核心的內(nèi)部日常安全管控。

最后是亞信最終在每個BSS項目可以展現(xiàn)的安全功能，包括：

1) Identity and Access management，身份識別及訪問控制 。 這塊是安全比較常見的基礎功能，識別用戶并對訪問權限進行控制。

2) Vulnerability Management弱點管理，為每個項目建立安全弱點識別，定期更新并根據(jù)識別結果進行安全加固，軟件版本升級。

3) Data lifecycle management數(shù)據(jù)生命周期管理，對于敏感數(shù)據(jù)，歐盟及安全規(guī)范有保留周期、清理方式要求，數(shù)據(jù)生命周期主要關注如何滿足這些要求。

4) Configuration and Asset management配置及資產(chǎn)管理，主要圍繞CMDB實現(xiàn)各環(huán)境的資產(chǎn)管理，比如管理屬于部署是符合規(guī)劃，避免出現(xiàn)誤安裝出現(xiàn)錯誤及安全弱點。

5) DRP & BCP災難恢復計劃及業(yè)務持續(xù)計劃，根據(jù)現(xiàn)場實施情況，制定出符合ISO標準的災難恢復計劃及各種人為、自然災害下，如何保持業(yè)務持續(xù)的計劃（BCP）。

6) Security Governance安全管控, 依靠內(nèi)部管控為每個項目實現(xiàn)最終項目安全管控。

7) Monitoring and Incident Management監(jiān)控及事故管理，除常見的監(jiān)控，這塊還包括：

錯誤處理（error-handling）

出現(xiàn)安全事故的處理流程，如如何聯(lián)系被泄露數(shù)據(jù)的客戶，那個級別的數(shù)據(jù)泄露需要在多長時間內(nèi)進行升級、如何通知監(jiān)控機構等。

亞信的能力

通過在歐洲項目的實施，亞信可以幫助國內(nèi)運營商：

1、建立日常的安全管理流程

建立起符合ISO2700X及ITIL 的日常安全管理流程，檢查日常運維是否符合安全要求，建立起以audit、audit trace及SIEM 為核心的事中管理及主動發(fā)現(xiàn)的安全體系，提前發(fā)現(xiàn)安全問題。

2、加強對個人數(shù)據(jù)的保護

協(xié)助運營商強化對個人數(shù)據(jù)的保護，建立一整套的個人數(shù)據(jù)生命周期管理機制，包括：

1) 訪問審計

2) 數(shù)據(jù)備份

3) 數(shù)據(jù)清理

4) 數(shù)據(jù)恢復

5) 個人信息采樣

6) 測試環(huán)境數(shù)據(jù)混淆

3、增加目前產(chǎn)品部署、運維方面的安全性

以符合OSA，ITIL等標準，重新審視目前產(chǎn)品的安全缺陷，通過分析、論證、實施協(xié)助等過程：

1) 提升目前產(chǎn)品部署、運維等方面的安全性。

2) 提升提供商在安全設計、安全開發(fā)、安全測試方面的能力。

未來演進方向

在未來方向上，除保證符合GDPR要求以外，亞信BSS安全將重點向以下方向發(fā)展：

1) 建立虛擬化環(huán)境下安全體系；

2) 增強對IOT下，多種未知設備模式、高并發(fā)下的安全體系；

3) 加強對實時大數(shù)據(jù)的管控、保護敏感數(shù)據(jù)；

4) 引入大數(shù)據(jù)分析進行安全控制；

5) 從Devops 走向DevSecOps。