内部安全合规管控案例分享 – 作者:datasecurity-安全小百科

“至暗时刻”是每个企业都难以避免的。

最近，由内部人员引发的数据泄漏事件，接二连三的冲击我们的视野。其中，数据库作为数据的核心载体，因为各种问题，如：

☛ 缺乏严格准入控制，账号共享滥用屡见不鲜；

☛ DBA们掌握“生杀大权”，操作行为难以掌控；

☛ 误操作致关键数据丢失，数据恢复困难重重；

☛ 数据库内部操作难审计，事后追责无据可查；

更是严重威胁数据资产的****。前不久的微盟删库惨案，就使公司市值直接蒸发30亿，一环出错，满盘遭殃。

相对于外部入侵，祸起“墙内”可谓防不胜防。那么，在核心数据掌握企业命脉的年代，企业单位除了靠流程、制度的约定之外，如何利用技术手段加强内部管控，让数据更安全，企业不再轻易“失去”？

抛开纸上谈兵，本文从实际案例场景出发，看数据库防水坝如何让数据资产“滴水不漏”。

（一图看美创数据库防水坝）

政府行业

作为2002年4月成立的民政部直属单位，国家减灾中心的大部分灾害、灾情等数据都存储在内部网络。

随着信息化建设的不断深入，数据库自身存在不少安全威胁，特别是内部核心敏感的数据，缺少必要的技术安全保障手段。比如：

▐ 存在多名运维人员共享同一账号，或运维人员使用临时创建或授权的新账号情况，账户管理不明确。

▐ 单位内部涉及第三方运维人员，流动性大，对于数据库读取、写入操作通过现有管控无法全面监控；

▐ 针对数据库的使用操作，除运维人员访问操作外，还存在大量应用程序和运维类工具，若假冒或伪造合法应用程序及运维工具进行数据读取操作，有可能会引发数据被篡改或盗取；

▐ 在管控措施失效、内部高权限用户的数据窃取和绕开合法应用系统直接访问数据库等风险造成数据脱库风险；

对此，国家减灾中心通过部署美创数据库防水坝，实现对核心数据库的安全管控。

电力行业

电力行业在信息安全建设方面存在“共性”，即针对数据的保护主要侧重于对外部的防御，比如部署防火墙、入侵检测、漏洞扫描等传统网络安全防护措施，但对数据库核心数据缺乏有效的保护。

天津电网同样如此，由于职工数量庞杂，人员的职责、流程有待完善，内部员工的日常操作不甚规范。数据库管理员、业务操作人员、第三方运维人员等都可直接访问敏感数据。现有的数据库内部操作不明，无法通过外部的任何安全工具来阻止内部用户的恶意操作、滥用资源和泄露企业机密信息等行为。

针对天津电网存在的安全隐患，美创数据库防水坝有效解决。

数据库防水坝从源头上对运维人员和业务人员进行分离管控，多维度安全访问控制和授权管理，解决运维过程中账户共享、临时账号，账号管理混乱、运维操作不透明、第三方业务单位运维过程数据安全风险问题。
对核心生产库的重要敏感数据进行动态脱敏，实现敏感资产数据和非敏感数据的分离，防止运维人员涉及重要敏感数据信息。
智能化报表与告警订阅，利于整体把控数据库运维整体安全态势。

医疗行业

医疗机构由于缺乏足够、专业的运维人员，不得不依靠第三方运维团队，运维环节的数据泄露成为重要的安全隐患之一。

济南市儿童医院便面临以下安全风险：

▐ 医院现有的数据库账号密码管理，主要依托于HIS相关厂商和医院信息科管理人员双重认证登录，虽然一定程度保障安全性，但流程操作相对繁琐。

▐ 运维操作过程中，没有相关操作行为记录，在发生安全事件时难以快速定位账号的实际使用者和责任人。

▐ 运维人员使用绿色版运维工具，存在安全漏洞及操作后门，威胁数据库自身安全，也给了勒索病毒可乘之机。

▐ 运维网络和业务网络相互交叉关联，存在一定程度上管理复杂、管理难度大。

通过对运维人员、开发人员、业务操作人员等予以分类，该医院部署美创数据库防水坝，实现数据库安全运维管理。