数据安全运营体系建设方案

数据安全运营体系建设方案一安全事件及法一安全事件及法规二二安全系安全系统建建设方案方案简介介三三安全管理体系建安全管理体系建设四四安全安全监控体系建控体系建设五五安全运安全运营体系建体系建设六案例介六案例介绍数据泄露事件频发据安全情报供应商RiskBasedSecurity(RBS)2020年第三季度数据泄露报告，截至2020年9月30日，全球公开披露的数据泄露事件2953起，相比2019年的6021起减少近50%，但是，数据泄露的数量与事件报告数量形成鲜明对比，2020年泄漏数据量360亿条，相比2019年的83亿条迅猛增加332。2016.06 徐玉玉电信诈骗事件，大学资金被骗，最终导致惨案2018.08 华住2.4亿入住记录泄露，敏感信息包含身份证号、家庭住址、银行卡号2018.09 顺丰数据泄露 3亿条用户数据在暗网售卖，顺丰企业信誉严重受损2020.02 微盟删库事件 众多商家数据丢失、系统无法使用而遭受经济损失，市值暴跌10亿港币2020.05 南通特大暗网侵犯公民个人信息案，公民个人信息数据5000万+，犯罪嫌疑人27余人2020.05 淮阴建行员工贩卖客户信息 涉案金额2000万+，涉及公民个人信息5万+，情节严重恶劣2020.07 圆通内部员工泄密案 40万+个人信息遭泄露，信息预备以每条1元的价格打包贩卖至全国及东南亚等电信诈骗高发区。公民财产安全遭受威胁，圆通公司被约谈，涉案嫌疑人已于9月落网2021.01 农行被银保监会罚款420万人民币 因涉及发生重要信息系统突发事件未报告、数据安全管理粗放存在数据泄露风险、互联网门户网站泄露敏感信息等六项问题。法规要求网络安全法数据安全法（草案）个人信息安全规范数据出境管理办法关键信息基础设施安全保护条例01040203银保监会信息科技风险现场检查指南中国银监会办公厅关于加强网络信息安全与客户信息保护有关事项的通知证券期货业数据分类分级指引金融数据安全 数据安全分级指南06090708个人金融信息保护技术规范一安全事件及法一安全事件及法规二二安全系安全系统建建设方案方案简介介三三安全管理体系建安全管理体系建设四四安全安全监控体系建控体系建设五五安全运安全运营体系建体系建设六案例介六案例介绍数据安全治理体系框架建设目标：技术+管理+运营，形成闭环可持续的数据安全管理、监控、运营能力管理体系建设监控体系建设运营体系建设运营体系建设资产策略监测处置分析渗透加固应急培训保障监控体系建设应用分析加工分发测试运维采集存储传输处理交换销毁管理体系建设梳理评估定级定规检查一安全事件及法一安全事件及法规二二安全系安全系统建建设方案方案简介介三三安全管理体系建安全管理体系建设四四安全安全监控体系建控体系建设五五安全运安全运营体系建体系建设六案例介六案例介绍管理体系建设框架梳理定级安全评估体系建设数据安全现状梳理数据定级标准建立数据共享管控规范数据资产安全评估基础设施安全技术评估方针策略组织机构人员安全分类分级操作规范记录表单标准支撑网络安全法等级保护2.0数据安全法（草案）个人信息保护法(草案)安全自查数据安全技术评估政务共享数据安全技术要求（送审稿）自查人员自查周期自查内容自查方法自查报告自查整改管理体系建设成果数据安全评估服务（3报告）管理制度建设服务（10个制度 17个规范 4个流程）数据安全自查服务梳理/定级服务（2图2报告3清单1指南）1、业务流转图2、敏感数据操作视图3、现状及问题分析报告4、敏感数据分布报告5、数据资产清单6、敏感数据清单7、数据定级指南8、数据分级清单1、数据资产安全评估报告2、数据生命周期评估报告3、数据应用安全评估报告1、数据安全管理制度2、数据安全组织架构和安全职责3、数据资产管理制度数据资产备案规范数据资产备案申请表4、数据资产分类分级管理制度数据资产分类分级规范分类分级实施指引5、数据生命周期安全管理制度数据资产采集准入规范数据安全存储管理规范数据安全使用管理规范数据安全共享管理规范数据资产销毁管理规范6、数据安全驻场运维管理制度数据资产梳理管理规范数据资产安全评估流程数据安全事件监测规则和流程数据安全加固管理规范7、数据安全事件管理制度数据安全事件分类规范数据安全事件处置规范数据安全应急响应预案数据安全应急响应流程8、第三方人员安全管理制度第三方人员登记备案规范第三方人员业务流程访问规范第三方人员业务访问权限规定(含保密协议)9、数据安全用户权限管理制度业务系统用户角色矩阵用户访问权限规范10、敏感数据安全开放管理制度敏感数据加密规范敏感数据脱敏规范11、数据安全审计管理制度数据安全合规管理规范数据安全稽核流程1、数据安全检查规范2、数据安全能力检查指南3、数据安全能力评分表管理体系建设-技术支撑DSAS 数据资产评估工具数据资产的梳理效果应用场景产品功能对大型数据中心的敏感数据资产实现动态管理实现对数据资产的动态发现，实现对敏感数据资产的定位，实现跟基于数据特征和数据字典的分级分类管理，实现对数据资产访问状况的摸底，实现对数据资产的能热性分析，实现数据资产周期性报表梳理前梳理后未纳入管理约300个约500个约200个通过基于敏感数据特征的静态扫描和动态流量分析技术，辅助用户形成敏感数据资产清单、敏感数据元数据清单、数据资产分布统计表发现规则（内置规则库，可自定义）创建敏感数据识别任务（选择数据源配置规则执行）敏感数据清单敏感数据统计分析管理体系建设-技术支撑-数据梳理管理体系建设-技术支撑-账户权限梳理基于数据库扫描技术，可自动发现数据库中账户权限分布情况、敏感数据访问权限状况、高权限账户分布、新账户、权限变更账户；数据库账户清单（敏感账户、高权限账户）数据库账户权限情况敏感数据的权限分布权限梳理结合参考业务系统敏感数据使用分析评估报告，安全管理员与各业务系统主管和相关负责人对敏感数据使用进行最小化授权，形成敏感数据最小化授权指南管理体系建设-技术支撑-分类分级建设数据分类统计行业分类分类标准模版包分类分类规则配置分类分类目录清单系统具有半自动化分类分级功能，辅助用户形成分类分级标准、分类分级统计分析、分类分级目录清单；管理体系建设-技术支撑-数据使用梳理通过动态探针采集动态流量数据进行SQL解析分析，形成数据使用状况分析-热度分析、数据流向分析、访问源、访问行为分析；数据库热度分析敏感数据流向分析访问行为分析管理体系建设-案例-某部委安华方案数据资产量级很大、业务系统繁多、系统运行存续时间久；因新系统上线和旧系统下线，加之新老员工更迭交替，部分数据资产责任方变得模糊；一些未登记且未使用数据资产陆续出现；数据资产梳理依赖人工，时间和精力成本高，且统计结果不准确；是否还存在未登记备案的数据资产不清楚；缺少技术手段和自动化工具验证。业务系统复杂，涉及敏感和重要业务数据的操作需要进行审计监管，能及时发现违规访问和数据泄露风险。由于业务需要，需要向第三方提供业务数据进行数据分析，优化数据质量、挖掘数据价值，如何保证提供给第三方的数据不会被大规模泄漏通过自动发现和“静态+动态”梳理技术，实现数据资产底账管理与准入准出管控；可在数据库很多、数据量很大的情况下，实现梳理产品能够不影响业务使用的同时多任务多线程执行梳理工作，保证了资产梳理工作质量；通过数据使用与监测分析技术，厘清信息中心各业务系统敏感数据使用状况及流向关系，为实施数据使用最小化原则及访问控制策略提供依据；实现对中心全部数据资产的可视化分析，为促进资产的安全管理打下坚实基础。通过部署5台数据库审计系统，满足信息中心的重要数据资产全范围业务操作审计，审计数据保留六个月以上，满足监管要求。*录入系统监管*数据库*前台系统查*数据库信息中心数据资产梳理n底账清查摸底n敏感数据核查n定期基线检查12客户痛点标杆案例：某部委数据中心一期数据资产梳理实施案例金融行业分类分级规则辅助一安全事件及法一安全事件及法规二二安全系安全系统建建设方案方案简介介三三安全管理体系建安全管理体系建设四四安全安全监控体系建控体系建设五五安全运安全运营体系建体系建设六案例介六案例介绍数据管控-面向各种使用场景的数据管控数据管控对外及时阻断外部攻击和探测防黑客渗透造成数据泄漏和丢失01业务系统访问安全p防护黑客攻击p虚拟补丁修复漏洞04数据分发安全p分发数据水印溯源追踪06数据存储安全p明文数据存储加密p加密数据访问权限管理p防止第三方平台引起数据泄露03测试开发安全p测试数据模糊化和仿真脱敏p防止第三方开发测试引起数据泄露05数据共享安全p明文共享数据p实时动态脱敏02第三方运维访问安全p访问操作权限细粒度管控p敏感数据访问在线审批p敏感数据动态遮蔽、脱敏对内防止通过第三方泄漏应用侧访问安全防护防止穿过waf防护后通过业务系统进行的数据攻击行为防止SQL注入、防止批量数据下载、防止数据库漏洞攻击、防止后门数据窃取程序；具备bypass、主备、主主等多种高可用保护；具备透明网桥、代理等多种网络接入模式；具备低延迟、高并发访问能力。应用场景产品功能运维行为安全管控针对对运维行为提供流程化管理机制，数据运维精细化安全管控,避免运维及第三方人员的误操作或恶意操作行为对数据库运维人员的运维行为进行安全管理数据库口令暴露、存在高危和风险操作、用户身份不清数据库终端和用户准入、数据库用户身份代填、敏感数据遮蔽、高危行为阻断、运维行为审批应用场景产品功能用户挑战开发测试场景敏感数据保护DMS-S 静态脱敏-测试开发环境数据安全最佳工具对测试开发环境、BI分析和培训场景的数据安全高度模拟生产数据仿真脱敏、支持所有国际主流数据库、支持CSV-XML-HTML-JSON-DCM格式文件脱敏、支持DMP文件脱敏、支持同构异构源库脱敏、具备复杂脱敏项目管理，具备集群脱敏能力应用场景产品功能测试开发环境的生产数据模拟数据共享场景敏感数据防护降低应用侧、运维侧实时访问敏感数据时的数据泄露隐患，使数据使用者可以恰如其分的访问敏感数据业务系统敏感数据遮蔽敏感数据发现与管理、数据动态脱敏和遮蔽、根据敏感数据类别的策略设置、根据业务人员身份和业务模块的例外设置应用场景产品功能DMS-D 动态脱敏-业务系统隐私保护的利器数据外发数据安全通过自动化水印处理，避免内部人员外发数据泄露无法对事件追溯，提高数据传递的安全性和可追溯能力DWS 数据水印-提供可溯源的数据分发共享技术数据存储安全通过数据加密存储、强化访问控制，从根本上杜绝数据库由于明文存储带来的拖库、篡改、泄密等安全隐患DES 数据加密-数据汇聚存储安全的基石数据库安全审计实时监控数据库访问行为，风险事件即时告警，精准快速追踪溯源，满足合规的基础上全方位监控风险DAS 数据库审计-数据安全基线产品综合管理平台统一监控语句集中统计风险集中呈现会话集中汇总可下钻可检索可跳转统计数据集中分析结果汇总集中报表管理统一策略集中配置变更集中策略管理配置下发策略下发集中运维设备状况集中license管理集中运维设备状况查看资源监控系统日志系统升级证书管理告警管理统一部署统一展示使统一的数据安全管理成为可能大型数据中心分散多样的数据安全设备统一管理对分散的敏感数据建立统一的视图和策略cc主从主从主从主从主从主从互联网区公共区DPS数据库安全防护系统DPS数据库安全防护系统DES数据库加密系统DES数据库加密系统n几亿次访问/天n疫情扫码数据政务云数据库重要数据加密存储(透明加解密)GB政务云某省人社-数据安全防护旁路部署DMS-S，便捷高效地将提供给其他单位的敏感数据脱敏处理，同时保证数据可用性，确保敏感数据不外泄的同时不影响业务运行数据外发场景方案部署方式：采用主从双中心保障业务稳定运行。DPS以主备代理方式部署确保核心数据库安全。且和核心交换机都以万兆聚合交叉互联，保证链路稳定。防护方案：用户单位数据库都是以集群部署，无法用传统ip+port方式进行防护，故采用划分13个地级市数据库用户名，且每个用户名登录IP限定。保证各地市都能以不同的数据库用户名登录数据库且操作都可以被管控。漏洞防护：数据库防火墙的