最全安全方案架构设计
导语：
随着各项安全法规的相继落地，安全体系建设对于企业显得尤为重要，本文将从终端层、网络层、云平台、数据、身份、特殊场景的安全角度出发整体进行安全体系架构的设计。
安全环境大背景：
- 木马
- 网络攻击
- 勒索病毒
- log4j
- 企业数据泄露
- 企业境外上市数据安全违规
……
近几年安全事件频发，且攻击手段不断创新，各类安全法规也相继不断出台，安全成为企业IT建设中不可或缺且极为重要的部分；安全事件的发生，可能带来企业资产、业务发展、品牌形象等不同程度的损失，因为针对安全部分的建设，必须进行整体全面的考虑与规划，只有将安全防护体系建设的更全面才能将攻击拦在墙外。
整体方案架构设计：
全面考虑现有安全场景及法律法规相关要求，从多个维度整体考虑安全防护方案，整体分为三横三纵6大模块，部分模块可能在安全设计上存在一定重叠。
终端安全：终端安全是安全防护的最前端，特点是数量多，分布散，公网面接触大，个人行为个性化可控性差。整体以下几个角度进行终端安全建设：终端设备防护、终端行为管控、零信任体系、移动端安全以及云桌面的桌面托管方案。
网络安全：网络安全涉及业务的公网入口，攻击的第一道入口。进行网络安全的防护主要从以下几个角度考虑：链路安全、传输层进行加密、DDos防护、云防火墙、web防火墙、混合云网络边界安全防护。
云平台安全：如果网络层被攻破，云平台会面临直接威胁，云平台层的安全防护将会作为最后一道防线。云平台的安全主要从以下几个维度进行建设：主机安全、容器安全、平台审计、运维安全。
纵向维度安全：
身份安全：通过身份安全实现对整个平台及链路访问人员及管理人员的认证与管理，身份安全主要有以下几个维度：多因子认证、身份管理、身份验证
数据安全：《数安法》及《个保法》的颁布实施进一步加强了数据安全的重要性，数据安全从以下几个方面进行考虑：敏感数据识别、数据脱敏、数据加密、数据分类分级、数据资产标签等
场景安全：除了通用的平台及技术安全考虑之外，还有其他一些特殊场景的安全需要进行额外考虑，比如外卖、电商场景下的个人信息保护，可以考虑使用号码保护的方案；个保法要求之下，app等需要通过隐私合规的检测才能上架，不符合隐私合规要求的app会面临下架、通报、整改等风险；除此之外，小程序已经成为企业主流的前端选择，关于小程序安全的建设也同样不可忽略
以下针对各部分安全建设进行一定展开
终端安全
终端设备防护
- 病毒查杀
- 主动防御和拦截
- 专业漏洞修复
- 异常登录检测
- 访问习惯、关系异常检测
- 系统加固
- 文件、数据管理/水印
- 外设管控
- 终端应用安全
终端行为管控
- 数据防泄漏
- 高危行为识别
- 员工违规操作可追溯
零信任
- 无流量是默认“可信任”
- 基于用户的身份和行为动态授权
移动端安全：
- 设备注册
- 设备策略设置
- 设备信息随时获取
- 设备运行监控
- 远程控制
- 设备回收安全
- 安全工作空间
云桌面
- 本地操作，运行与云端
- 数据全部存储在云端，无法下载本地
网络安全：
传输加密
- https/ssl证书
- 私有协议加密
混合云网络安全
- V**
- 专线
- SDWAN
DDos防护
- 流量清洗
云防火墙
- 基于区域的ACL
- IPS防护
平台安全
主机安全
- 资产管理
- 入侵检测
- 漏洞&安全基线
- 安全运营&防御
容器安全
- 镜像安全
- 镜像仓库安全
- 集群安全
- api安全
- 运行环境安全
权限及审计
- 用户权限设置
- 平台操作日志
运维安全
- 身份管理
- 权限管理
- 访问管理
- 运维日志追溯审计
身份安全
多因子认证
- 动态令牌口令
- MFA软令牌
- 短信令牌
- 手机app令牌
身份管理
- 内部员工数据源
- 外部员工数据源
- 组织架构分层
- 权限管理
- 账号审计
身份验证
- 人脸核身
- 微信实名认证
- 银行卡二要素、三要素、四要素验证
- 运营商三要素
数据安全
敏感数据识别
- 出生日期
- 姓名
- 身份证号
- 银行卡号
- 电话号码
- ……
数据脱敏
- 静态脱敏
- 动态脱敏
数据分类分级
- 1级-业务订购关系等
- 2级-消费信息等
- 3级-自然人身份标识等
- 4级-实体身份证明等
- ……
数据资产标签
- 资产发现
- 自动化数据标签
- 风险监控
细粒度授权
- 结构化数据授权
- 非结构化数据授权
- 字段（行、列）授权
- 文件（查看、外发、修改）授权
数据策略管控
- 办公、运维等多场景数据访问区分控制
- 数据安全审计
数据加密
- 敏感数据加密
- 透明加解密
- 信封加密
- 防盗链
- 视频加密
内容安全
- 网页防篡改
- 文件水印
- 文档预览
- 反爬虫
数据容灾备份
- 数据备份
- 文件备份
- 同城双活
- 异地灾备
- 两地三中心
场景安全
号码保护
- 隐藏号码
- 中间号通话
隐私合规检测
- 行为合规检测
- 权限合规检测
- 第三方SDK合规检测
小程序安全
- 促销安全
- 会员安全
- 代码安全
- 交易安全
由于方案涉及内容过多，未做完全展开，只分模块拆分核心点
附录：
相关安全法规参考：
1、等保2.0
《信息安全技术网络安全等级保护基本要求》
《信息安全技术网络安全等级保护测评要求》
《信息安全技术网络安全等级保护安全设计技术要求》
2、法律：
《中华人民共和国数据安全法》
《中华人民共和国网络安全法》
《全国人民代表大会常务委员会关于加强网络信息保护的决定》
《关键信息基础设施安全保护条例》
3、行政法规：
•《网络产品安全漏洞管理规定》
•《互联网上网服务营业场所管理条例》
•《信息网络传播权保护条例》
•《互联网信息服务管理办法》
•《国务院关于授权国家互联网信息办公室负责互联网信息内容管理工作的通知》
•《2006—2020年国家信息化发展战略》
•《网络信息安全等级保护制度》
•《信息安全等级保护管理办法(试行) 》
•《信息网络传播权保护条例》
•《联网单位安全员管理办法（试行） 》
•《公用电信网间互联管理规定》
•《中华人民共和国计算机信息系统安全保护条例》
•《文化部关于加强网络文化市场管理的通知》
•《中华人民共和国电信条例》
•《电子认证服务密码管理办法》
•《公用电信网间互联管理规定》
•《中华人民共和国计算机信息系统安全保护条例》
•《文化部关于加强网络文化市场管理的通知》
•《中华人民共和国电信条例》
•《电子认证服务密码管理办法》
•《国家信息化领导小组关于我国电子政务建设指导意见》
•《计算机软件保护条例》
•《计算机信息系统国际联网保密管理规定》
•《科学技术保密规定》
•《中国互联网络域名管理办法》
•《证券期货业信息安全保障管理暂行办法》
•《中华人民共和国认证认可条例》
•《认证咨询机构管理办法》
•《中华人民共和国电子签名法》
•《计算机病毒防治管理办法》
•《互联网IP地址备案管理办法》
•《中华人民共和国产品质量认证管理条例》
•《商用密码管理条例》
•《信息安全产品测评认证管理办法》
