客戶案例_【美創科(kē)技(jì )】

某省人社廳

數據庫防水壩數據庫安(ān)全審計運維脫敏誤操作(zuò)恢複隔離特權賬号與敏感數據全面、精(jīng)确審計運維工(gōng)單審批

當前，随着金保工(gōng)程的不斷推進以及互聯網技(jì )術的廣泛應用(yòng)，民(mín)衆足不出戶就能(néng)進行社會保障、醫(yī)療保險等業務(wù)的查詢、辦(bàn)理(lǐ)。同時人社系統積累了海量的數據資源，在傳輸和使用(yòng)過程中(zhōng)确保數據保密性、完整性、可(kě)用(yòng)性至關重要。

根據相關數據顯示，我國(guó)多(duō)個省市衛生和社保系統曾出現漏洞，圍繞社保、公(gōng)務(wù)員等信息系統的漏洞超過30個，涉及人員數量達數千萬，其中(zhōng)包括個人身份證、社保參保信息、财務(wù)、薪酬、房屋等敏感信息。

人社事業事關國(guó)計民(mín)生，一旦信息洩露将造成嚴重影響。美創助力某省人社廳構建多(duō)方位、立體(tǐ)化的信息安(ān)全保障體(tǐ)系，通過數據庫防水壩、數據庫安(ān)全審計等産(chǎn)品，全力保障人社數據安(ān)全，讓黑客“進不來、拿(ná)不走、改不掉、走不脫”。

需求分(fēn)析

近年來，由内部人員運維、開發人員誤操作(zuò)或者違規操作(zuò)導緻數據庫損壞和數據丢失現象時有(yǒu)發生。因此，作(zuò)為(wèi)關系國(guó)計民(mín)生的人力資源和社保單位，該省人社廳也在積極籌劃加強自身的信息安(ān)全防護體(tǐ)系的建設。

在該省人社廳現有(yǒu)的安(ān)全防護體(tǐ)系中(zhōng)，均為(wèi)雲上的邊界的網絡安(ān)全設備，針對數據庫層面安(ān)全防護非常薄弱。尤其對于單位内部人員、第三方人員對敏感數據的訪問、數據庫日常操作(zuò)，缺少細粒度的權限控制、監控審計手段，數據庫的非授權訪問和操作(zuò)面臨不受監管和約束的風險。

解決方案

經過現場考察及分(fēn)析，美創科(kē)技(jì )基于多(duō)年來在人社行業數據安(ān)全經驗，通過部署數據庫防水壩和數據庫安(ān)全審計提升該省人社廳數據安(ān)全保障能(néng)力。

通過數據庫防水壩的準入控制、權限控制、工(gōng)單申請、動态脫敏的機制，以及數據庫審計的監控與溯源能(néng)力來預防内部人員、第三方人員直接接觸所有(yǒu)敏感數據、違規和惡意操作(zuò)破壞數據庫系統。

運維脫敏

為(wèi)了有(yǒu)效的防止高權限運維人員的接觸敏感數據，本次項目美創科(kē)技(jì )通過動态脫敏機制對未授權的賬戶訪問敏感數據實現動态脫敏，來防止第三方運維人員接觸重要的敏感數據信息和業務(wù)的個人隐私數據，并提高運維安(ān)全。

誤操作(zuò)恢複

通過垃圾箱機制對于“ｄｒｏｐ Table、ｄｒｏｐ Partition、ｔｒｕｎｃａｔｅ table、ｔｒｕｎｃａｔｅ Partition、ｄｒｏｐ Tablespace”等誤操作(zuò)或者入侵者破壞時，執行快速恢複，實現幾秒(miǎo)之内完成任意規模表格的數據恢複。

隔離特權賬号與敏感數據

為(wèi)避免運維過程中(zhōng)涉及的敏感數據洩露，通過隔離特權賬号與敏感數據使SYSDBA和DBA等高權限權限的人員不再具(jù)有(yǒu)訪問敏感數據以及執行高危操作(zuò)的權限，從而确保了敏感數據的保護和數據庫的運行穩定。

運維工(gōng)單審批

通過利用(yòng)美創防水壩的工(gōng)單審批機制，該省人社廳達到了預防内部人員執行惡意操作(zuò)、高危操作(zuò)導緻對業務(wù)造成危害行為(wèi)的發生。

通過工(gōng)單審批機制，當運維人員對要重點保護的數據庫進行訪問、修改、以及執行高危操作(zuò)命令時會進行工(gōng)單審批，而未審核通過後的訪問和操作(zuò)系統會即予以阻斷并告警。這樣就可(kě)以預防運維人員未經授權或許可(kě)的情況下，竊取敏感數據、違規操作(zuò)和惡意操作(zuò)數據庫的危害行為(wèi)發生。

全面、精(jīng)确審計

當運維人員完成對數據庫運維操作(zuò)後，數據庫審計系統會對運維操作(zuò)内容均會被記錄下來，定期彙總生成報表，規範流程管理(lǐ)的同時，可(kě)以做到有(yǒu)效的追責定責。

方案價值

1、防止内部高危操作(zuò)

系統維護人員、外包人員、開發人員等，沒有(yǒu)了直接訪問數據庫的權限，也無法進行有(yǒu)意無意的進行高危操作(zuò)來破壞數據庫系統和數據。

2、防止應用(yòng)違規操作(zuò)

業務(wù)操作(zuò)人員和開發人員，通過應用(yòng)系統賬号也無法非法登錄數據庫，以及執行違規操作(zuò)，篡改或盜取敏感數據。

3、防止敏感數據洩漏

黑客、開發人員無法通過應用(yòng)批量下載敏感數據，内部維護人員無法執行遠(yuǎn)程或本地批量導出敏感數據的操作(zuò)。

4、增強威懾

通過審計加強了威懾力，并針對運維工(gōng)作(zuò)規範和流程進行了加強。也提高了業務(wù)操作(zuò)人員安(ān)全意識，保障業務(wù)數據安(ān)全。

5、滿足合規要求

滿足《網絡安(ān)全法》、《網絡安(ān)全等級保護2.0》、《社會保險個人權益記錄管理(lǐ)辦(bàn)法》（人社部令第14号）、《人力資源和社會保障數據中(zhōng)心數據庫安(ān)全管理(lǐ)規範（試行）》（人社廳發﹝2014﹞48）、《人力資源社會保障數據安(ān)全管理(lǐ)規範（試行）》（人社廳發﹝2019﹞37号）等法律法規要求下人社系統内部人員的數據安(ān)全專項要求。

上一條：省農業農村廳
下一條：深圳市大數據資源管理(lǐ)中(zhōng)心