湖北武汉数据安全解决方案数据安全法

1.  概述

随着信息技术的不断发展，尤其是大数据技术创新应用，数据逐渐成为物质、能源后国家第三大基础战略资源和创新生产原料。数据技术及其应用正深刻而广泛的影响和改变人类的社会，甚至将重构人类社会。2019年8月23日，习主席在致首届中国国际智能产业博览会的贺信中明确提出“加快推进数字产业化、产业数字化”的重要方略，标志着我国数字经济进入快速发展期。

传统行业正不断向数字领域延伸或转型，数据逐渐成为其核心资产。随着数据的价值不断的提升，组织核心数据频繁面临数据泄露的安全风险。尤其政府、金融、保险、教育、医疗、科技等行业作为数据的“洼地”，已成为黑客和黑产的主要攻击目标。纵观历年数据泄露事故，不仅泄漏数据规模惊人，动辄千万级甚至上亿，同时泄露数据的颗粒度愈发精细、全面，对于组织和用户都造成了直接或间接的巨大损失。根据Identify Theft Research Center中心的数据显示，与2021年同期相比，2022年的数据泄漏事件增长了14%，公用事业企业、医疗机构、金融服务公司、制造企业是黑客的首要攻击目标。数据隐私泄露事件频发，涉及面广，影响力大，各类机构、组织因此陷入数据保护合规与社会舆情压力的双重危机，根据已公开的数据泄露事件的泄漏点和受影响人数，梳理近年来数据泄密事件，包含如下：

l     安全基线配置错误。2021年8月 B2B 营销公司 OneMoreLead 将至少6300万美国人的私人数据存储在一个不安全数据库中，该公司任由此数据库完全敞开。该数据库包含列出的每个人的基本个人身份信息数据，以及有关其工作和雇主的类似数据和信息。

l   API非法调用。2021年6月17日消息，商丘市睢阳区人民法院在裁判文书网，公开显示一名住在河南商丘市的本科毕业的大学生逯某自2019年11月起，对淘宝实施了长达八个月的数据爬取并盗走大量用户数据。在阿里巴巴注意到这一问题前，已经有11亿条用户信息泄露。

l    内部人员或合作商泄密。2021年6月，大众和奥迪 一家第三方营销服务提供商公布了美国和加拿大330万大众和奥迪消费者的PII。姓名、邮政地址、电子邮件账户、手机号码，以及有关购买、租赁或查询的汽车的信息

l  终端泄露。2022年1月，Conti勒索软件团伙开始泄露从美国营销巨头RR Donnelly(RRD)公司终端窃取的用户数据，总计为2.5GB。随后，RRD公司就泄露的数据与Conti团队展开谈判

l   测试环境泄露。2021年8月T-Mobile证实，不法分子利用了解技术系统的专长以及专门工具和功能，访问了该公司的测试环境，随后进入到了含有客户数据的 IT 服务器，导致数百万客户数据泄密。

l    越权访问。根据中国裁判文书网披露，华为员工易某在2016年12月27日至2018年2月28日期间，易某通过特定操作绕过ERP系统中的POL采购小程序权限控制查看系统数据，多次通过邮箱将华为公司多个供应商共1183个线缆类编码物料的采购价格发送给上市公司、华为的供应商金信诺。

l   明文存储。2022年07月滴滴公司共存在八个方面共十六项违法事实，其中第五方面就包括：以明文形式存储司机身份证号信息5780.26万条；

l  认证缺失/弱口令。2022年3月，美国征信巨头TransUnion的南非公司遭巴西黑客团伙袭击，5400万消费者征信数据泄露，绝大多数为南非公民，而南非总人口约6060万人。黑客团伙透露，通过暴力破解入侵了一台存有大量消费者数据的SFTP服务器，该服务器密码为“Password”

l  数据勒索病毒。2022年2月底，全球芯片制造巨头英伟达被爆遭到勒索软件攻击，入侵者成功访问并在线泄露了员工私密信息及登录数据，勒索软件组织Lapsus$表示他们可访问1TB的企业数据，并向英伟达索取100万美元的赎金和一定比例的未指明费用。

l 程序漏洞。2021年12月8号爆出的log4j2的远程代码执行漏洞，Acunetix 工程负责人表示∶“利用这个漏洞，攻击者几乎可以获得无限的权力，比如他们可以提取敏感数据、将文件上传到服务器、删除数据、安装勒索软件、或进一步散播到其它服务器”。

安全是信息化、数字化发展的基础，国家的“十三五”规划明确指出，加强数据资源安全保护，建立大数据安全管理制度，实行数据资源分类分级管理，保障安全高效可信应用。《中华人民共和国网络安全法》中也指出，采取数据分类、重要数据安全保护等措施，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、泄漏。

2.  数据安全背景

2.1.   数据已经成为第五类生产要素

《中共中央国务院关于构建更加完善的要素市场化配置体制机制的意见》是中央第一份关于要素市场化配置的文件，也是在这份中央文件中，数据作为与土地、劳动力、资本、技术等传统要素并列为要素之一，第一次写入中央文件。数据成为生产要素，必然要对产权、价值、交易规则进行明确，由于数据具有可复制性，保护数据安全的法规和标准体系必然加速推出，而保护数据保护技术也必然是网络安全发展的新热点。

2.2.   数字化转型与数据安全

中国信息通信研究院发布《中国数字经济发展与就业白皮书（2020年）》显示，2019年，我国数字经济规模达到35.8万亿元，占GDP比重为36.2%，数字经济对经济增长的贡献率为67.7%。数字化转型需要通过生产工具数字化和经营决策数字化来实现，而生产工具数字化和经营决策数字化都需要有效的保证数据安全。生产工具数字化是将传统的机器人、机床、专业设备等传统工具升级为3D打印、数控机床、加工中心、自动分检系统等智能工具，以及CAD、CAE、CAM等软件工具的大量使用，这些智能工具和软件的生产和使用依赖于数据，生产过程中也会产生大量的数据，一旦这些数据被窃取或者破坏，轻则造成生产紊乱、良品率下降等，重则会造成知识产权损失或者停工停产，形成巨大的经济损失。EPR、CRM、SCM、MES等通用软件和自研软件系统的使用使经营决策实现数字化，通过不断挖掘、汇聚、分析消费者以及研发、生产、供应链等数据，基于数据+算法构建一套新的决策机制，替代传统的经验决策，实现更加高效、科学、精准、及时的决策，以适应经营环境的快速变化，而数据的质量、真实性、完整性会直接影响到经营决策的过程和结果，并且，一旦生产经营数据泄露还面临个人信息保护、信息披露等法律风险，保护数据安全对经营决策同样重要。

2.3.  数据安全风险

数据安全风险，是指通过检测、评估、信息搜集、授权监测等手段获取的，包括但不限于数据泄露、数据篡改、数据滥用、违规传输、非法访问、流量异常等数据安全风险。

l  数据未分类分级

现网环境中哪里、有哪些类型的数据？有哪些是敏感数据？这些数据的敏感等级分别是什么？只有明确了保护的目标，才能针对安全风险进行有针对性的防护。

敏感数据分布是资产梳理的关键一步，只有明确敏感数据资产都有哪些、在被哪些部门、哪些人员如何使用，才能真正保证数据在使用中的安全。

我国相关法律法规也要求对不同安全级别的数据需采取不同的安全保护措施与手段。

举例来说，若政务大数据平台中的数据未进行分类分级，则会按照政务网数据默认敏感等级进行安全保护，从而造成以下问题：首先，进行安全防护工作需要投入更大量的人力物力财力；其次，未分类数据中敏感级别低于默认敏感级别的数据会被过度保护，存在安全资源过度投入，防护过度也会导致系统运作效率的降低；另外，被默认级别保护的数据中还将含有大量敏感级别高于默认级别的数据，从而出现高敏感数据保护不足的风险。对于企业来说也存在同样的问题。

l   数据库漏洞利用风险

很多数据库管理员并没有及时修复漏洞，因为他们害怕补丁修复程序会对他们的数据库产生业务影响。但是现在，存在漏洞的数据库被攻击的风险比安装补丁的风险要高得多。

尽管意识到数据库安全的重要性，但开发者在开发、集成应用程序或修补漏洞、更新数据库的时候还是会犯一些错误，让黑客们有机可乘。

2003年发生的SQL Slammer蠕虫病毒在10分钟内感染超过90%的脆弱设备，该病毒可以在几分钟内感染破坏成千上万的数据库。通过利用在微软SQL Server数据库中发现的漏洞进行传播，导致全球范围内的互联网瘫痪。这种蠕虫的成功充分说明了保护数据库安全的重要性。不幸的是，由于缺乏资源和时间，大多数企业不会为他们的系统提供常规的补丁，因此，他们很容易遭受蠕虫病毒攻击。

l  账号安全风险

针对账号安全的攻击数不胜数，渗透用户账号是黑客最常用的攻击方式之一。攻击者在进行渗透攻击时，除了采用漏洞，很多攻击落脚点还是用户账号，通过弱密码、常用密码进行单点突破、横向移动和权限提升。据权威机构统计，80%的数据泄露都与账号失陷有关。

常见的普遍账号安全风险包含默认密码未改、长期未改密、幽灵账号、僵尸账号、后门账号、弱口令账号、提权账号、账号共用、员工离职、社工攻击、横向移动、异地登录和暴力破解等。

以上诸多风险都是长期存在的，因为账号的数量实在太多，种类太杂，没有数据的支撑很难对这些账号风险进行识别，更无法做到可视化的直观展现。这是我们过去长期在客户当中看到非常共性的问题。

账号安全通常会引发严重问题，包含敏感数据泄漏、非法篡改、越权访问、恶意操作、挖矿木马、肉鸡后门和敲诈勒索等。

l  权限失控风险

数据面临的访问权限问题主要有：员工被赋予过多的超出其工作所需的权限；反之，则是没有开启足够的权限；另外，权限还可能被恶意使用。

例如在医疗行业，医生可能会由于多种原因违规篡改处方；有人会通过篡改医疗记录骗钱医疗保险；DBA会受到利益驱使进行统方操作。

每种数据库都有超级管理员账号，超级用户是数据库创建过程中的缺省用户，可以认为是数据库中的“造物主”，他们就像Unix系统的root用户或Windows的Adminstrator用户，有着至高无上的权力。当然，为了安全一般这种超级用户的口令都被掌握在极少数人手里，但是过度集中的权力同样也会带来安全问题，当超级用户拥有最高权力的情况下，意味着他可以做任何想做的事，并且不留下任何痕迹，因此还存在权限失控风险。

l   开发测试环节数据泄漏风险

随着业务系统越来越复杂，而开发周期却越来越短，对开发和测试要求随之提高，比如对于业务系统的性能测试往往需要准备大量的高质量的数据，由于开发测试环境中使用生产数据造成的数据泄露，在各行各业都时有发生，2014年韩国发生三大发卡行由于开发测试环节泄露信用卡信息，一时轰动全球。

l 运维人员篡改拖库风险

运维人员使用数据库账号进行运维管理，该账号的权限有可能超出实际运维管理所需要的标准。如果对其缺少访问行为控制管理，运维人员技术层面上就可以进行与运维任务无关的操作。受利益驱动，运维人员篡改交易或者支付数据牟利，或者直接泄露数以亿计个人信息的案例也屡屡见诸报端。

l   数据明文存储

由于数据库的存储架构中，数据以数据文件的形式明文存储在操作系统中，由于数据存储介质遗失，或者黑客和不怀好意的人直接通过操作系统获取数据库文件，都会造成数据大量泄露。

l  终端数据泄露风险

通常，信息安全防护体系是由服务器、网络和终端三个环节组成，任何一个环节的安全缺失都会使安全防护形同虚设。也就是说，服务端、网络和终端三个环节必须形成安全闭环。然而，在信息安全体系中，最薄弱环节是终端安全防护。目前，终端安全防护的技术手段极为有限，终端存在诸多安全隐患，其中最大的问题是终端普遍存在数据泄露风险。

l   审计线索不足，数据泄露无法追溯

监控整个组织中的数据访问是追查取证的重要手段，不断地检查数据库以及时发现任何异常之处非常有必要。 无法监视数据操作合规性异常，无法收集数据库活动的审计详细信息，以及在数据泄露后无法进行溯源分析，这在许多层面上都构成了严重的组织风险。异常的数据治理行为（例如非法执行数据查询脚本）会导致隐私泄漏。如果没有分析审计手段，当异常行为发生时不能及时告警，异常行为发生后也无法追查取证。

当发生重大敏感数据泄漏事件后，必须要进行全面的事件还原和严肃的追责处理。但往往由于数据访问者较多，泄密途径不确定，导致定责模糊、取证困难，最后追溯行动不了了之。数据泄露溯源能力的缺乏极可能导致二次泄露事件的发生。

l   数据共享泄露风险（API安全）

数据共享往往通过restful API方式为业务应用提供数据服务，API提供了对于数据的访问权限，攻击者可能存在滥用或非法访问，从而导致数据资产被恶意爬取。目前缺少有效手段进行API安全管控。API请求来源是否合法，是否存在超授权范围访问调用，比如业务应用拿了接口后，进行二次封装；以及API调用过程中是否存在敏感数据访问。API的访问往往认证授权在应用层级，如何精确到用户层级的细粒度API调用数据访问监控审计。例如通过监控API的调用情况，识别出是否存在敏感数据非法访问，有针对性地进行API动态脱敏。

3.   方案设计

3.1.  建设目的

数据安全的目标是保障数据安全收集、安全使用、安全传输、安全存储、安全共享、安全交换，防止数据泄漏，并满足合规要求（包括法律法规的要求、监管的要求、合同义务、认证/测评机构认可的行业最佳实践等）。

采用预防性建设为主、检测响应为辅的思路，以数据位中心，设计并构建覆盖数据采集安全、数据存储安全、数据交换与传输安全、访问控制安全、数据加密安全、数据备份与恢复、数据使用申请与管理以及数据回收与销毁等生命周期的数据安全治理体系。明确各类业务数据在数据全生命周期各个业务场景下保障要素，以合规为基线，以业务流程为导向，结合制度规范，建立完善的数据生命周期的安全保障和监管措施。同时建立数据安全监测预警、信息通报和应急处置机制，逐步实现从“基于威胁的被动保护”向“基于风险的主动防控”转变，提升数据安全能力，形成数据安全保障闭环，有效防止数据泄露、数据篡改等事件发生，实现数据的安全可控。

3.1.1.   建立基于数据安全分类分级的数据安全体系

《中华人民共和国数据安全法》和中共中央国务院发布《关于构建更加完善的要素市场化配置体制机制的意见》都明确提到对数据进行分类分级保护，因此，数据安全体系应建立在敏感数据识别和数据安全分级的基础上。数据分类分级在整个数据安全保障体系中起到承上启下的作用，从运维制度、保障措施、岗位职责等多个方面的数据安全管理中都需依托数据分类分级进行针对性编制，管理流程与分类分级的结合，可强化管理的落地执行性；根据不同数据级别，实现不同安全防护，如高安全级的数据需要实现细粒度规则管控和严密防护，低安全级的数据仅进行简单的监控即可。

3.1.2.   加强覆盖数据生命周期的防护能力

随着数据共享和开放的推进，各部门的数据开始共享和流通，加大了数据泄露和被非法利用的风险。传统的基于边界隔离的围栏式安全保护方法将彻底不能满足数据流动下的安全防护需求，亟需构建新的数据安全防护体系，确保数据流动安全。目前对于数据层面的安全技术措施和手段略显不足，从数据产生到销毁的整个流动阶段，缺少有效的数据自动化分类分级措施、敏感数据的存储加密和共享脱敏手段、数据使用过程的复杂多用户授权管理、数据交换共享的合规性监控能力、数据流动全过程的溯源机制、数据销毁的软硬件系统等，无法很好的辅助数据安全管理制度的有效落地。

3.1.3.网络安全优势技术融入到用数场景

目前，大多数组织、机构缺乏对数据安全对象整体数据安全水平感知和分析能力，难以实时掌控数据安全动态，发生数据安全险情时，也无法进行精准预警。为实时掌握数据安全情况和安全动态，发生安全隐患时可以进行快速、精准预警， 需依托大数据技术建立数据安全感知分析能力，实现精准匹配、重点分析。并需通过多个维度，提供可视化方式的大数据分析结果，为研判、决策及重要时 期的数据安全保障工作提供有效支撑。基于法规和监管要求，敏感数据识别和分类，为整个技术体系提供敏感数据管理支撑，包含敏感数据的定义、敏感数据识别及分类分级、敏感数据流转监控等。基于风险的安全控制策略，除提供基础的审计和风险事件溯源能力外，还可以基于敏感数据管理的策略，从数据流量、人员行为等视角建立威胁分析模型进行风险监测和未知风险预测，并结合自身风险控制策略管理，与加密、脱敏等风控技术工具进行联动实现实时风险控制能力。

3.1.4.  建立实战化的数据安全运营体系

将数据保护与监测预警技术中所有功能以最小归集化的融合，成为数据安全运营相关技术工具使用、应用、运行等的统一入口。作为的核心措施，还应是技术应用效果监控的窗口，将抽象的数据安全态势转化成直观、可视的实体。从数据使用、存储、传输、共享、交换、流转的全流动视角，实时展现当前敏感数据流转的态势和数据安全风险，第一时间掌控数据安全态势，快速决策，有效指导运维团队定位和解决数据风险。

3.2.  方案设计的原则

3.2.1.   身份和数据双中心

保护数据安全的目标之一是防止未经授权的用户进行非法数据访问和操作。所以需同时从访问者“身份”和访问对象“数据”两个方向入手，双管齐下。在没有经过身份鉴别之前，不信任企业内部和外部的任何人/系统/设备，建立基于身份认证和授权，执行以身份为中心的动态访问控制。聚焦以数据为中心进行安全建设，有针对性的保护高价值数据及业务，数据发现和分类分级是以数据为中心保护的重要基础。

3.2.2.  全面覆盖立体化防护

横向上需全面覆盖数据资源的收集、存储、加工、使用、提供、交易、公开等行为活动的整个生命周期，采用多种安全工具支撑安全策略的实施。纵向上通过风险评估、数据梳理、访问监控、大数据分析，进行数据资产价值评估、数据资产弱点评估、数据资产威胁评估，最终形成数据安全态势感知。通过组织、制度、场景、技术、人员等自上而下的落实来构建立体化的数据安全防护体系。

3.2.3.  智能化、体系化

在信息技术和业务环境越来越复杂的当下，仅靠人工方式来运维和管理安全已经捉襟见肘了，人工智能、大数据已经有相当的成熟度，如UEBA异常行为分析、NLP加持的识别算法、场景化脱敏算法等；同时，仅靠单独技术措施只能解决单方面的问题，必须形成体系化的思维，通过能力模块间的联动打通，形成体系化的整体数据安全保障能力，并持续优化和改进，从而提升整体安全运营和管理的质量和效率。

3.3.   以CAPE能力框架构建数据安全体系

3.3.1.  风险核查（C）

风险核查（C）：Check，风险核查的目的是通过风险核查让数据资产管理员全面了解数据资产运行环境是否存在风险。具体技术手段包括：口令检测、漏洞扫描、配置检查、风险评估等。通过风险核查让数据资产管理员全面了解数据库资产运行环境是否存在安全风险。通过安全现状评估能有效发现当前数据库系统的安全问题，对数据库的安全状况进行持续化监控，保持数据库的安全健康状态。数据库漏洞、弱口令、错误的部署或配置不当都会很容易让数据库陷入危难之中。

l     漏洞扫描

帮助用户快速完成对数据库的漏洞扫描和分析工作，覆盖权限绕过漏洞、SQL注入漏洞、访问控制漏洞等，并提供详细的漏洞描述和修复建议。

l   弱口令检测

基于各种主流数据库口令生成规则实现口令匹配扫描。提供基于字典库，基于规则，基于穷举等多种模式下的弱口令检测。

l   配置检查

帮助用户规避由于数据库或系统的配置不当造成的安全缺陷或风险，检测是否存在账号权限、身份鉴别、密码策略、访问控制、安全审计和入侵防范等安全配置风险。基于最佳安全实践的加固标准，提供重要安全加固项以及修复建议，降低配置弱点被攻击和配置变更风险。

3.3.2.  数据梳理（A）

数据梳理（A）：Assort，包含以身份为中心的身份认证和设备识别、以数据为中心的识别与分级分类、账号权限梳理，形成数据目录。并制定数据安全策略，降低数据安全风险。具体技术手段包括：身份认证、数据资产识别、敏感数据发现、数据分类分级、账号权限梳理、生成数据目录等。

l    以身份为中心的身份认证和设备识别

网络位置不再决定访问权限，在访问被允许之前，所有访问主体都需要经过身份认证和授权。身份认证不再仅仅针对用户，还将对终端设备、应用软件等多种身份进行多维度、关联性的识别和认证，并且在访问过程中可以根据需要多次发起身份认证。授权决策不再仅仅基于网络位置、用户角色或属性等传统静态访问控制模型，而是通过持续的安全监测和信任评估，进行动态、细粒度的授权。安全监测和信任评估结论是基于尽可能多的数据源计算出来的。

l    以数据为中心的识别与分类分级

进行数据安全治理前，需要先明确治理的对象，企业拥有庞大的数据资产，本着高效原则，刘博建议，应当优先对敏感数据分布进行梳理，“数据分类分级”是整体数据安全建设的核心且最关键的一步。通过对全部数据资产进行梳理，明确数据类型、属性、分布、账号权限、使用频率等，绘制“数据目录”，以此为依据对不同级别数据实行合理的安全防护手段。这个基础也会为客户数据安全保护进行信息化赋能和策略支撑，如数据加密、数据脱敏、防泄漏和数据访问控制等。

3.3.3.    数据保护（P）

数据保护（P）：Protect，数据保护是在基于风险核查和数据梳理的基础上实施安全工具，采用多种安全工具支撑安全策略的落地，基于多种数据使用场景实施相应的安全保护措施，完成数据安全策略配置同步、下发，确保敏感数据全生命周期内的安全。具体技术手段包括：数据加密、秘钥管理、静态脱敏、水印溯源、数据防泄露、身份认证、API监测、访问控制、运维工单、动态脱敏等。

数据是流动的，数据结构和形态会在整个生命周期中不断变化，需要采用多种安全工具支撑安全策略的实施。CAPE框架体系中提出了实现数据安全保护的6个工具/技术手段：

l    数据加密

包括数据存储加密、传输加密等多种技术。

存储加密：为保障数据在存储中的机密性、完整 性，采用加密技术对数据进行加密存储，防止可能会发生授权的数据被窃取、伪造和篡改等安全风险，保障数据在存储时的安全性。

传输加密：采用加密保护措施，防止数据在通过不可信或者较低安全性的网络进行传输时，发生数据被窃取、伪造和篡改等安全风险，保障数据在传输过程中的安全性。比如采用HTTPS协议保障传输链路的加密、采用国密算法(SM2、SM3、SM4)保障业务数据安全传输等，最大限度的保障敏感数据安全。

l    密钥管理

⾯向业务系统提供密钥服务，负责业务系统的对称密钥和⾮对称密钥对的管理，保证密钥的安全性。

l   数据脱敏

数据脱敏旨在通过向用户提供高度仿真的数据，而不是真实和敏感的数据，同时保持其执行业务流程的能力，从而防止滥用敏感数据。脱敏分为静态脱敏和动态脱敏。

静态脱敏：用于对开发或测试中的数据集而不是生产中的数据集。数据在使用之前被脱敏，因此数据在存储和随后的使用或传播过程中受到保护。

动态脱敏：在应用程序或个人根据授权访问数据时，实时进行脱敏操作。原始敏感数据驻留在底层存储库中，并且在应用程序访问时按策略授权进行数据提供，没有权限访问敏感信息的用户和应用程序提供了脱敏数据。动态脱敏不会更改底层存储库中的数据。

l   水印溯源

是对数据进行打标签、加水印、植入溯源种子的方式，水印信息具有一定的隐秘性、不对外显示，用以记录数据流转的过程及泄露时能确认具体的泄露节点及责任人，以此进行数据泄露的审计和跟踪，从而解决数据的非授权扩散监管问题。

l   数据防泄漏

DLP工具提供对敏感数据的可见性，无论是在端点上（使用）、在网络上（运动）还是在文件共享上。使用DLP组织可以实时保护端点或网络中传输和外发数据，实时预警和阻止数据被泄漏的行为发生。

l   访问控制

基于通过IP、MAC、客户端主机名、操作系统用户名、客户端工具名和数据库账号等多个维度对用户身份进行管理，确保设备是可信的设备，应用是认证应用。通过全面的身份化，实现对网络参与的各个实体在统一的框架下进行统一的身份认证，结合数据分类分级实现基于数据和身份的细粒度访问控制功能。

3.3.4.   监控预警（E）

监控预警（E）：Examine，数据安全风险、数据异常访问行为持续监测、告警，全方位监控数据使用和流动，最终形成数据安全态势感知。具体技术手段包括：行为分析、权限变化、访问监控、态势感知。制定并实施适当的技术措施，以识别数据安全事件的发生，提供快速的应急响应能力及风险事件处置能力。

l    行为分析

能够对进出核心数据库的访问流量进行数据报文字段级的解析操作，完全还原出操作的细节，并给出详尽的操作返回结果，UEBA可以根据用户历史访问活动的信息刻画出一个数据的访问“基线”，而之后则可以利用这个基线对后续的访问活动做进一步的判别，以检测出异常行为。

l    权限变化

能够对数据库中不同用户，不同对象的权限进行梳理并监控权限变化，权限梳理应从用户和对象两个维度展开。一旦用户维度或者对象维度权限发生了变更，能够及时向用户反馈。

用户维度：可以监控数据库中用户启用状态、权限划分、角色归属等基本信息。

对象维度：能够对数据库对象可被哪些用户访问进行归纳总结，特别是对包含了敏感列的表或者敏感度评分较高的对象，可以着重监测其访问权限划分情况。

l     访问监控

实时监控数据库的活动信息，当用户与数据库进行交互时，系统应自动根据预设置的风险控制策略，进行特征检测及审计规则检测，监控预警任何尝试的攻击或违反审计规则的行为。

3.3.5.    数据安全运营能力

数据安全运营是将技术、人员、流程进行有机结合的系统性工程，是保证数据安全治理体系有效运行的重要环节。数据安全运营遵循“运营流程化、流程标准化、标准数字化、响应智能化”的思想进行构建，数据安全运营的需要实现流程落实到人，责任到人，流程可追溯，结果可验证等能力。同时，数据安全运营需贯穿安全监测、安全分析、事件处置、安全运维流程，全面覆盖安全运营工作，满足不同类型、不同等级安全事件的监测、分析、响应、处置流程全域可知和可控。其主要包含数据资源运营、数据安全策略运营、数据安全风险运营、数据安全事件运营和数据安全应急响应几个部分。

图 数据安全运营组成

数据安全运营包含持续性的安全基线检查、漏洞检测、差距分析，安全事件和安全风险的响应、处置、通报，数据安全复盘分析等，强调数据安全管理工作过程中对数据运营目标的针对性，如数据资产梳理（含数据地图、敏感数据梳理、数据分类分级、数据访问流向分析、数据访问热度分析等）、下发数据安全管控策略、数据安全持续性评估、数据安全运营指标监测、安全阈值的设定等，还包括通过运用流程检测和事件处置结果的考评，对运营人员的能力进行评估，及对现有技术控制措施有效性的评估。

数据安全运营机制涵盖：

预防检测：包括主动风险检查、渗透攻击测试、敏感核查和数据安全基线扫描等手段。

安全防御：包括安全加固、控制拦截等手段。

持续监测：包括数据安全事件监测、确定及定性风险检测、隔离事件等手段。

应急预案：包括对数据安全事件的识别、分级及处置过程中组织分工、处置流程、升级流程等；

事件及风险处置、通报：包括流程工单、安全策略管理、安全风险及事件处置、处置状态通报等手段。