京東科技：面向金融行業(yè)的云密碼服務(wù)平臺

　　核心提示京東科技方案基于云計算技術(shù)架構(gòu)與金融業(yè)務(wù)場景，形成“金融+云密碼”的創(chuàng)新服務(wù)模式，為金融行業(yè)信息系統(tǒng)提供統(tǒng)一的密碼資源池管理、統(tǒng)一的密碼接口規(guī)范、統(tǒng)一的密碼運維與監(jiān)控等服務(wù)，滿足金融行業(yè)密碼應(yīng)用安全合規(guī)要求。

　　　　案例名稱

　　面向金融行業(yè)的云密碼服務(wù)平臺

　　　　案例簡介

　　京東科技面向金融行業(yè)商用密碼應(yīng)用的核心場景，結(jié)合京東支付業(yè)務(wù)的密碼應(yīng)用實踐與京東云的云計算技術(shù)能力，打造了面向金融行業(yè)、支持多云異構(gòu)場景的“金融云密碼服務(wù)平臺”解決方案。

　　方案基于云計算技術(shù)架構(gòu)與金融業(yè)務(wù)場景，形成“金融+云密碼”的創(chuàng)新服務(wù)模式，為金融行業(yè)信息系統(tǒng)提供統(tǒng)一的密碼資源池管理、統(tǒng)一的密碼接口規(guī)范、統(tǒng)一的密碼運維與監(jiān)控等服務(wù)，滿足金融行業(yè)密碼應(yīng)用安全合規(guī)要求。

　　創(chuàng)新技術(shù)/模式應(yīng)用

　　在金融信息系統(tǒng)的密碼應(yīng)用實踐中，通常會涉及多種密碼設(shè)備的接入。由于多種密碼設(shè)備堆疊提供服務(wù)，造成了京東支付的密碼應(yīng)用過程面臨成本高、管理難、無法適配云環(huán)境、難以統(tǒng)一監(jiān)控等實際問題。

　　針對上述問題，京東科技基于京東云的云計算技術(shù)架構(gòu)，打造了面向金融場景的自研云密碼服務(wù)平臺解決方案。主要創(chuàng)新技術(shù)有以下五點：

　　1.技術(shù)架構(gòu)創(chuàng)新：云化技術(shù)、資源整合

　　在技術(shù)架構(gòu)上，金融云密碼服務(wù)平臺依托京東云計算技術(shù)體系，實現(xiàn)了從傳統(tǒng)的設(shè)備直連模式到云化服務(wù)架構(gòu)的突破，架構(gòu)如下：

　　利用密碼設(shè)備構(gòu)建密碼資源池，通過虛擬化技術(shù)實現(xiàn)密碼服務(wù)平臺，面向上層應(yīng)用提供CRaaS（密碼資源服務(wù)）、CFaaS（密碼功能服務(wù)）和CBaaS（密碼業(yè)務(wù)服務(wù)）等服務(wù)，實現(xiàn)密碼資源的云化部署與管理。

　　2.服務(wù)模式創(chuàng)新：面向金融、多種服務(wù)

　　在服務(wù)模式上，金融云密碼服務(wù)平臺整合多種密碼應(yīng)用場景，實現(xiàn)從單一密碼功能到統(tǒng)一密碼服務(wù)的轉(zhuǎn)變。提供金融密碼服務(wù)、通用密碼服務(wù)、典型密碼服務(wù)等多種密碼服務(wù)模式，業(yè)務(wù)應(yīng)用可以根據(jù)自身的業(yè)務(wù)屬性靈活選擇。

　　3.業(yè)務(wù)接入創(chuàng)新：快捷接入、業(yè)務(wù)無感

　　在業(yè)務(wù)接入上，金融云密碼服務(wù)平臺實現(xiàn)了新增業(yè)務(wù)快捷接入、既有業(yè)務(wù)無感接入的創(chuàng)新模式。新增業(yè)務(wù)服務(wù)通過統(tǒng)一的密碼原子接口實現(xiàn)不同場景的業(yè)務(wù)服務(wù)接口；既有業(yè)務(wù)通過平臺進行透傳服務(wù)接入，不會影響既有業(yè)務(wù)的穩(wěn)定運行。

　　4.運維管理創(chuàng)新：集約賦能、一站管理

　　在運維管理上，金融云密碼服務(wù)平臺通過平臺一體化設(shè)計，解決了傳統(tǒng)密碼模式中密碼設(shè)備不可見、不可控的問題。平臺支持對密碼設(shè)備進行統(tǒng)一運維、管理、監(jiān)控以及密碼設(shè)備、密碼服務(wù)運行狀態(tài)可視化。

　　5.部署方案創(chuàng)新：靈活部署、便捷交付

　　在部署方案上，金融云密碼服務(wù)平臺打通了云上與云下兩種不同的部署方式，實現(xiàn)部署場景全覆蓋。平臺既可以通過云平臺的計算資源實現(xiàn)部署，也可以通過自身的虛擬化技術(shù)完成云化部署，同時支持云環(huán)境與非云環(huán)境的密碼建設(shè)。

　　項目效果評估

　　1.解決痛點

　�。�1）密碼設(shè)備種類多、系統(tǒng)對接成本高

　　金融云密碼服務(wù)平臺基于云計算技術(shù)架構(gòu)整合多元異構(gòu)密碼設(shè)備的高效管理，提供統(tǒng)一的密碼資源池管理、密碼接口規(guī)范、密碼策略配置以及密碼安全應(yīng)用，滿足應(yīng)用信息系統(tǒng)的安全合規(guī)要求、密碼技術(shù)統(tǒng)一標準化改造和密碼資源統(tǒng)一管理與運維等要求，將密碼系統(tǒng)設(shè)計、部署、運維、管理，計費等組合成一體化解決方案，以服務(wù)方式解決用戶的各類密碼應(yīng)用需求。

　�。�2）現(xiàn)有密碼體系與云環(huán)境適配性差

　　云計算背景下的金融密碼體系建設(shè)，需從產(chǎn)品形態(tài)、部署方式、商業(yè)模式等多個層面適應(yīng)云計算中的服務(wù)化需求。金融云密碼服務(wù)平臺解決方案結(jié)合了京東自身在金融、云計算與密碼領(lǐng)域多年的積累與實踐，形成面向租戶、彈性擴容、靈活部署的全棧云密碼體系建設(shè)方案，為金融行業(yè)用戶提供一站式云密碼建設(shè)服務(wù)。

　�。�3）金融行業(yè)信息系統(tǒng)商業(yè)密碼應(yīng)用改造

　　金融云密碼服務(wù)平臺及密碼資源池中各密碼設(shè)備均具備商用密碼產(chǎn)品認證二級資質(zhì)，滿足《GB/T 39786-2021 信息安全技術(shù) 信息系統(tǒng)密碼應(yīng)用基本要求》、《JR/T 0255-2022 金融行業(yè)信息系統(tǒng)商用密碼應(yīng)用基本要求》等密評標準要求，可支持金融行業(yè)云平臺與云上應(yīng)用的密評改造建設(shè)。

　�。�4）復(fù)雜系統(tǒng)架構(gòu)下密碼資源難以統(tǒng)一納管

　　金融行業(yè)常面臨多云（公有云、專有云、混合云）以及非云化環(huán)境下的資源統(tǒng)籌管理難題。金融云密碼服務(wù)平臺解決方案支持對多個金融信息系統(tǒng)的異構(gòu)密碼資源進行集中管理，建立混合多云密碼服務(wù)統(tǒng)一管理平臺，對各系統(tǒng)密碼服務(wù)進行全流程監(jiān)控與管理，實現(xiàn)統(tǒng)一納管。

　　2.效果數(shù)據(jù)

　　目前京東支付業(yè)務(wù)已全面接入建設(shè)金融云密碼服務(wù)平臺，架構(gòu)如下：

　　平臺同時支撐了京東科技內(nèi)部1300+應(yīng)用，并在億級用戶體量下經(jīng)歷了11.11、618等大促考驗。

　　在2022年京東618大促期間，平臺提供的密碼服務(wù)峰值TPS達到百億量級，平均延時小于2毫秒。此外，本系統(tǒng)支持了京東科技通過等保、PCI DSS、銀聯(lián)支付信息安全合規(guī)、可信云等17類檢測與評審。

　　項目牽頭人

　　劉會 機構(gòu)負責人