银行数据大集中密码安全体系解决方案.docVIP

银行数据大集中密码平安体系解决方案

－密钥平安效劳平台

北京江南科友科技

入世后的中国金融行业面临国际同行业带来的剧烈竞争，新兴的商业银行所面临的挑战更是巨大的。因此各商业银行决定向管理要效益，以科技应用带动经营模式的转变，以最快的速度建立全行的数据大集中系统，将分散于各分行和直属支行的柜面业务数据集中到总行(或区域)的数据中心，对全行业务系统进行整体规划、统一管理以及集中维护，建立全国性的高速、统一和平安的信息平台。

由于银行机构的特殊性质，其网络上传输的大局部数据为金融敏感信息，而且大集中后所有的业务数据都要传送到数据中心进行集中处理，因此银行业务数据的平安处理和平安传输将成为关系到整个银行数据大集中系统战略成败的关键。如果不采取有效平安措施，这些数据的平安将可能受到危害和攻击，带来不可弥补的经济损失和社会影响。为了保证数据集中处理和数据传输的平安性，必须采用先进的密码技术来提供平安保障。

因此，针对银行数据大集中，建立一套完善且统一的密码体系来保障整个银行系统中业务数据的平安性，将具有十分重要的意义，同时也是一项复杂的系统工程。

北京江南科友科技(简称：江南科友)是由江南计算技术研究所(简称：江南所)与广州科友科技股份密切合作成立的高新技术企业，并作为江南计算技术研究所的技术效劳和应用推广中心。公司以信息平安和密码体系为主业，依据客户需求，为客户提供信息平安和密码体系领域的技术咨询、效劳和整体解决方案。

江南科友公司长期致力于银行密码体系的根底研究和技术推广，在银行领域积累了丰富的经验和赢得了客户普遍的赞誉，针对银行大集中密码体系的需求，提出了一种全新的密码体系解决方案，即密钥平安效劳平台。

一、银行现有网络结构

银行现有的网络采用多级网络结构模式，如下列图所示：

银行总行与各地分行之间采用帧中继(FR)或DDN网络进行数据通讯，采用或卫星线路进行备份；各地分行与下属支行或网点之间通过也采用帧中继(FR)或DDN进行数据通讯，采用ISDN或PSTN进行备份。整个银行系统体系中，总行及各分行节点主机采用双机热备份方式，共享磁盘阵列。

现有系统中对业务数据关键信息的平安保障一般采用软件加密模块(软件加密存在天生的平安隐患)；即使采用硬件加密机制，也是不同的应用系统采用不同的加密模块或不同的密码体系。

银行业为适应现代化信息处理的需要，针对目前应用系统的平安性标准提出平安改造需求，采用数据大集中的模式，所有帐务数据将集中在总行(或区域)数据中心、并在总行(或区域)主机上进行集中处理；各地分行将不设帐务数据，只起业务数据转发功能。

银行数据大集中后，将迫使全行密码体系也需要集中化管理，对密码体系提出更高、更多以及更新的需求，而现存的加密机制已经无法满足新的要求和适应新的开展，同时市场化改革的深化以及入世后竞争的加剧，将使这种需求显得非常迫切和十分关键。

二、银行大集中密码体系解决方案

针对大集中数据平安的新需求，江南科友公司提出了一套全新的数据平安密码体系解决方案：即密钥平安效劳平台。

部署密钥平安效劳平台后的网络结构，将演变成如下列图所示：

密钥平安效劳平台作为整体系统密码体系解决方案，由密钥平安效劳主中心(简称：主中心)和密钥平安效劳子中心(简称：子中心)组成。

主中心只有一个，不仅负责本中心的平安密钥管理、密钥效劳管理和密码设备管理，而且还负责对所有子中心进行集中管理和集中监控。主中心主要由密码机阵列系统、密码机集群系统和平安管理控制中心组成。主中心一般部署在总行(或区域)数据中心。

子中心可以有多个，主要负责本中心的平安密钥管理、密钥效劳管理和密码设备管理。子中心主要由密码机集群系统和密码机阵列系统组成。子中心一般部署在各个下属分行或支行系统中。

在总行(或区域)数据中心建设一个密钥平安效劳主中心。由于考虑到数据中心对系统可靠性及容错能力的要求，密码机集群系统采用双机热备。密码机集群系统位于密码机阵列之前，在完成业务主机与密码机交易报文转换的同时也将密码机与银行网络隔离，即，任何对密码机的访问必须由密码机集群系统进行身份认证和授权处理，从而保证了整个密钥系统的平安性。此外，密码机集群系统还负责密码机阵列的负载均衡、多机热备以及状态检测等功能。密码机设备建议采用江南所的SJL06金融数据密码机，根据目前银行数据大集中系统的总体要求，使用两到三台高速密码机就可以满足要求，但是考虑到备份机制及将来业务开展的需要，因此数据中心密码机采用n+1的部署方式。

在总行(或区域)数据中心内部同时部署一套平安管理控制中心系统，主要完成银行主密钥的在线平安分发和更新、工作密钥的在线平安更新、监控全行平安系统的运行状况以及数据挖掘和决策分析等。

银行所有业务数据集中保存在总行(或区域)数据中心、并在数据中心主机上进行集中处理，各地分行不设业务