保险行业安全解决架构.ppt

FEERTInET 现代保险智能Ⅳ安全架构建设 技术总监:李宏凯 2010.6 丌T信息化建设的安全威胁 In Severity. In Complexity. 恶意软件指数级的增长(单位:千) 攻击的动机从吸引注意力转向 ■混合型攻击现在成为主流 经济利益 ■检测层次需要提升 ■网络安全的重要性越来越高 ■性能压力增强 Hackers Breach heartland Payment Credit Card System (120200 11 200C20032004200520%62002《e 000 merchants Conlent Fiber 美国国防部报告的恶意网络行为 lectricity Grid in U.s ated by spies Anton (单位:千) enetrated the U.S 日awus Intrusions Investigate Possible North 792009 1g7s19808 pOOs Today eN T Network Protection FE-ERTINET 丌T信息化的商业需求日益提高 Network Throughput Budgetary Constraints Regulatory Pressures ■网络需求正不断加速 企业的信息安全需要遵循更多的 ■安全建设随之发展加速 ■安全开销增加 致性要求既来自于政府颁布的 法律法规,也会来自于行业规定 2009至2010年服务花销变化 或商业伙伴的要求 OGB SOX 404 5 HIPAA Multi-GB FISMA 02 1% EU Data Protection 10MB 100MB 123 Be Time Network Protection FE-RTINET 现代保险行业T安全建设重点 动态威胁安全防御能力 完善的安全防御覆盖能力(数据 内容等) 动态安全的服务能力(自动适应性更新) 行业安全法规的遵从 业务稳定性保持 稳定的性能和高效运营 良好的运营维护管理能力 完整的产品部署解决方案 良好的投资回报性能 复合性安全效能回报 良好的TCO总体投入和维护成本保护 绿色能源遵从 ·绿色能源消耗优化 物理空间节约 Re Time Network Protection FERTINET 金融保险系统行业安全规范 成立于2004年12月,由5家最顶尖的金融系统企业发起 发布了PC|DSs,使各企业自有的安全策略保持一致 VSA 制定是为了确保在金融保险企业存储、处理、传输用户数据 应满足最低级别的安全风险 MERICAN DPRESS 金融保险系统建设用户数据存储及网络时,建议遵从新的PC标 ·保护在线web业务系统,防范常见的编码漏洞,特别是WAsP Master card (开放的web业务服务安全组织)中定义的漏洞 编码检查或确保在公开的Web应用前部署Web应用防火墙,以D| SCOVER 检测并阻止基于Web的攻击。 ·增强合规企业的信誉,降低安全风险,是现代金融企业安 全标准 Fortinet是PC安全标准委员会的成员之一(2009年10月6日 Re Time Network Protection FERTINET c|SP/Pc|安全规范遵从方案 Pc|数据安全标准 Fortinet解决方案 构建并维护安全网络1.安装并维护防火墙配置以保护持卡人 FortiGate集成的防火墙功能 FortiDB漏洞评估管理和审计 2.不使用供应商缺省设置的系统密码和 其他安全参数 保护用户存储数据3.保护存储的用户数据 Forti Gate集成的VPN功能 4.加密通过公共网络传输的持卡人数据 FortiWeb web应用安全网关 和敏感性信息 维护漏洞管理计划.使用反病毒软件并定期更新 FortiGate集成病毒网关 6.开发、维护安全系统和应用程序 FortiClient桌面反病毒 FortiDB数据库漏洞管理和审计 Fortinet具有成本效益的金融机构类产品帮助金融机构匹配和维持clsP/PcI法规 Re Time Network Protection FERTINET CSP/PC|安全规范遵从方案 Pc数据安全标准描述 Fortinet解决方案 施可靠的访问控制7.只有具备业务需求的人扌能访问持卡 FortiGate安全用户认证授权 FortiDB数 人数据 据库权限审计 8.为每位拥有计算机访问权限的用户分 配唯一的1D 9.严格限制对持卡人数据的物理访问 定期监控和测试网络10.跟踪和监控访问网络资源和持卡人数据 FortiAnalyzer网络日志报告审计 的所有操作 FortiDB漏洞评估扫描和审计 11.定期测试安全系统和流程 维护信息安全策略12维护针对信息安全的