美创科技打造县域医疗灾备新标杆|神木市医院 HIS 系统数据库分钟级切换演练实录
2025-07-02
百万罚单警示!DCAS助力金融机构筑牢数据安全防线,实现监管合规
2025-06-20
2025中国互联网产业年会丨《中国互联网产业绿色算力发展倡议》正式发布
2025-02-07
美创用户专访 | 精细化管理:医疗行业数据分类分级的策略与实践
2025-01-10
容灾演练双月报|美创助力某特大型通信基础设施央企顺利完成多个核心系统异地容灾演练
2025-01-10
存储域
数据库加密 诺亚防勒索访问域
数据库防水坝 数据库防火墙 数据库安全审计 动态脱敏流动域
静态脱敏 数据水印 API审计 API防控 医疗防统方运维服务
数据库运维服务 中间件运维服务 国产信创改造服务 驻场运维服务 供数服务安全咨询服务
数据出境安全治理服务 数据安全能力评估认证服务 数据安全风险评估服务 数据安全治理咨询服务 数据分类分级咨询服务 个人信息风险评估服务 数据安全检查服务随着网络安全法、数据安全管理办法(征求意见稿)、网络安全等级保护2.0系列标准、个人信息保护法(草案)、《个人信息出境安全评估办法(征求意见稿)》等各种法规出台、标准发布,数据安全与个人信息隐私保护成为焦点,主管机构、科研院所、互联网及传统安全厂商、政企事业单位分别从政策、学术、产业、技术等各个维度进行分析、建设。
2019年6月13日,NSC 大会成功举办,云安全和数据安全论坛人气最旺,可见其受关注的程度。杭州美创科技有限公司(简称:美创科技)技术经理王燕楠向与会嘉宾分享了数据安全整体方案,重点阐述了内控安全的防护和建设。
图 王燕楠分享
王燕楠表示,过去,IT时代,由于企业内部各个系统相对独立,数据整合利用有限,因此,企业往往在边界端进行安全防护,保证信息的机密性、完整性。
DT 时代到来,使信息系统间开始打通、共享、协同,数据开始越来越多地从单一的信息系统和工作环境中“走出来”,在组织及组织相关的业务及应用间频繁地流动共享,为商业发展激发创新活力。
然而,数据从静止走向流动同样意味着安全风险的改变,传统边界安全机制的“上锁”无法再保护流转到边界外的数据。因此,数据安全整体防护和架构应考虑数据在从系统区域、业务区域、终端区域、外部区域流动中面临的危险进行分析,采取相应的安全措施。
据此,2018年5月,CS6 数据安全解决方案大会上美创科技副总经理闻建霞率先提出第二代流动数据安全体系,涵盖敏感数据的梳理、内控安全、流动数据安全、外部安全多个维度。
图 数据安全整体解决方案
谈及数据安全,我们绕不开黑客,从最初的“脚本小子”到现在高级黑客,攻击渗透手段不断升级,其核心是为了争夺数据的控制权。但数据无边界时代,随着数据在采集、传输、存储、处理、共享、销毁等各个环节被各类人员接触和使用,由内部引发的数据安全同样值得注意。数据显示,超过75%的数据泄漏事件来自企业内部人员有意或无意的违规行为。
提到内控安全,王燕楠谈到:当前,很多企业单位是靠流程、制度的约定,而没有技术手段做相应的管控。以第三方运维人员、研发人员为例,这些特权用户可以通过超级账户直接访问核心敏感数据库,也因此发生多起数据被删除、倒卖事件,造成恶劣影响。
从内控安全防护的角度,王燕楠建议需要关注两点:准入控制和危险操作的管控。
一、对于接触核心敏感数据的运维人员、第三方人员、系统管理人员的权限进行细化与鉴权,建立包括账号、密码、IP地址、机器指纹、数字证书、应用程序、登陆时间等多维度的身份准入机制,对于不合规的用户访问予以阻断与预警,同时能够根据实际情况进行临时访问动态授权,阻断撞库、高频登录等异常行为。
二、由于人的情绪和技能问题,不可避免的存在误操作、恶意操作引发的删库、脱库等事件。对于数据而言,需要对DDL、DML、甚至代码类的危险操作,进行细颗粒度访问控制、实现误操作防范、恶意操作阻断并告警,对于运维人员必须的危险性操作进行临时授权。
图 内控安全
从落地方案和建设的角度,涉及如数据资产梳理、数据库安全、数据分析等。美创聚焦在数据安全和治理领域14年,产品涵盖了内控安全、外部安全、流动安全、连续性安全、终端安全、云安全等,目前已经在政府、医疗、金融、民生等领域展开应用和推广。