某金融信息服務(wù)有限公司，成立于2014年，總部設(shè)立在廣州。作為撮合借貸雙方交易的中介平臺(tái)，專(zhuān)注于供應(yīng)鏈金融服務(wù)；為從事供應(yīng)鏈業(yè)務(wù)的中小企業(yè)主提供個(gè)性化的融資及財(cái)務(wù)增值服務(wù)。

隨著公司業(yè)務(wù)規(guī)模的不斷擴(kuò)張，信息化建設(shè)一直在推動(dòng)著公司的業(yè)務(wù)發(fā)展，信息化安全建設(shè)不僅需要滿(mǎn)足公司現(xiàn)有快速發(fā)展需求，同時(shí)也需配合國(guó)家信息安全等級(jí)保護(hù)制度建設(shè)政策的建設(shè)工作，銀監(jiān)會(huì)等部門(mén)發(fā)布的《網(wǎng)絡(luò)借貸信息中介機(jī)構(gòu)業(yè)務(wù)活動(dòng)管理暫行辦法(征求意見(jiàn)稿)》中明確要求：“金融類(lèi)機(jī)構(gòu)應(yīng)按照國(guó)家網(wǎng)絡(luò)安全相關(guān)規(guī)定和國(guó)家信息安全等級(jí)保護(hù)制度的要求，開(kāi)展信息系統(tǒng)定級(jí)備案和等級(jí)測(cè)試”；作為非銀機(jī)構(gòu)，爭(zhēng)取通過(guò)國(guó)家信息安全等級(jí)保護(hù)認(rèn)證，這表明的信息系統(tǒng)安全級(jí)別，足以比肩部分的銀行金融機(jī)構(gòu)。

同時(shí)，在互聯(lián)網(wǎng)金融行業(yè)內(nèi)鮮有平臺(tái)獲得級(jí)別認(rèn)證，這有力印證了信息系統(tǒng)安全管控水平，體現(xiàn)了為用戶(hù)打造的“安全、透明、專(zhuān)業(yè)”的自在理財(cái)環(huán)境，有效保障了用戶(hù)信隱私安全以及信息安全。

方案設(shè)計(jì)

基于現(xiàn)在所有的業(yè)務(wù)系統(tǒng)都是在阿里云上，所以此本項(xiàng)目是在成功通過(guò)云等保3級(jí)的基礎(chǔ)上做相關(guān)安全配置。全產(chǎn)品直接在阿里云上購(gòu)買(mǎi)部署即可。下圖為整改后的網(wǎng)絡(luò)架構(gòu)：

通過(guò)阿里的態(tài)勢(shì)感知收集客戶(hù)整個(gè)網(wǎng)絡(luò)的數(shù)據(jù)，發(fā)現(xiàn)潛在的入侵和搞隱蔽性攻擊，回溯攻擊歷史，預(yù)測(cè)即將發(fā)生的安全事件，滿(mǎn)足三級(jí)等級(jí)保護(hù)的入侵防范等要求。

某金融在阿里云上的業(yè)務(wù)系統(tǒng)是web應(yīng)用、對(duì)公服務(wù)并且有保存大量的用戶(hù)信息，為了保護(hù)web應(yīng)用防御外部攻擊，故此本次項(xiàng)目部署了云WAF。

為了滿(mǎn)足滿(mǎn)足三級(jí)等保的要求以及實(shí)時(shí)記錄運(yùn)維人員的操作防止惡意操作無(wú)據(jù)可依，故本次項(xiàng)目部署了云堡壘機(jī)。

為了滿(mǎn)足三級(jí)等保的主機(jī)的惡意代碼防護(hù)要求，本次方案部署了安騎

為了滿(mǎn)足三級(jí)等保的要求：數(shù)據(jù)庫(kù)需要有日志記錄并且能夠周期性統(tǒng)計(jì)分析，生產(chǎn)報(bào)表的要求，我們?yōu)榭蛻?hù)部署了阿里云上的數(shù)據(jù)庫(kù)審計(jì)產(chǎn)品

根據(jù)以往經(jīng)歷，國(guó)內(nèi)500強(qiáng)金融機(jī)構(gòu)半年來(lái)遭到600次DDoS攻擊，為了保證某金融的業(yè)務(wù)系統(tǒng)持續(xù)運(yùn)行并且外部不受攻擊，本次項(xiàng)目部署了阿里的DDoS高防。

眾所周知，一個(gè)安全的網(wǎng)絡(luò)體系主要是靠著三分技術(shù)，七分管理。而且為了滿(mǎn)足等級(jí)保護(hù)對(duì)于安全管理制度、機(jī)構(gòu)、人員、建設(shè)、運(yùn)維等管理的要求，我們還為客戶(hù)提供人工的服務(wù)（安全加固、滲透測(cè)試）

客戶(hù)收益

通過(guò)本次項(xiàng)目的完成，我們協(xié)助客戶(hù)通過(guò)了國(guó)家要求的信息系統(tǒng)等級(jí)保護(hù)的驗(yàn)收。

• 保障基礎(chǔ)設(shè)施安全：

保障網(wǎng)絡(luò)周邊環(huán)境和物理特性引起的網(wǎng)絡(luò)設(shè)備和線(xiàn)路的持續(xù)使用。

• 保障網(wǎng)絡(luò)連接安全：

保障網(wǎng)絡(luò)傳輸中的安全，尤其保障網(wǎng)絡(luò)邊界和外部接入中的安全。

• 保障計(jì)算環(huán)境的安全：

保障操作系統(tǒng)、數(shù)據(jù)庫(kù)、服務(wù)器、用戶(hù)終端及相關(guān)商用產(chǎn)品的安全。

• 保障應(yīng)用系統(tǒng)安全：

保障應(yīng)用程序?qū)訉?duì)網(wǎng)絡(luò)信息的保密性、完整性和信源的真實(shí)的保護(hù)和鑒別，防止和抵御各種安全威脅和攻擊手段，在一定程度上彌補(bǔ)和完善現(xiàn)有操作系統(tǒng)和網(wǎng)絡(luò)信息系統(tǒng)的安全風(fēng)險(xiǎn)。

• 保障數(shù)據(jù)安全及備份恢復(fù)：

保障數(shù)據(jù)完整性、數(shù)據(jù)保密性、備份和恢復(fù)等。

• 安全管理體系保障：

根據(jù)國(guó)家有關(guān)信息安全等級(jí)保護(hù)方面的標(biāo)準(zhǔn)和規(guī)范要求，建立一套切實(shí)可行的安全管理體系，加強(qiáng)安全管理機(jī)制。