提交需求
*
*

*
*
*
立即提交
点击”立即提交”,表明我理解并同意 《美创科技隐私条款》

logo

    产品与服务
    解决方案
    技术支持
    合作发展
    关于美创

    申请试用
      分享 | 数据安全之内控安全
      发布时间:2019-06-14 阅读次数: 1281 次

      随着网络安全法、数据安全管理办法(征求意见稿)、网络安全等级保护2.0系列标准、个人信息保护法(草案)、《个人信息出境安全评估办法(征求意见稿)》等各种法规出台、标准发布,数据安全与个人信息隐私保护成为焦点,主管机构、科研院所、互联网及传统安全厂商、政企事业单位分别从政策、学术、产业、技术等各个维度进行分析、建设。


      2019年6月13日,NSC 大会成功举办,云安全和数据安全论坛人气最旺,可见其受关注的程度。杭州美创科技有限公司(简称:美创科技)技术经理王燕楠向与会嘉宾分享了数据安全整体方案,重点阐述了内控安全的防护和建设。


      图  王燕楠分享


      王燕楠表示,过去,IT时代,由于企业内部各个系统相对独立,数据整合利用有限,因此,企业往往在边界端进行安全防护,保证信息的机密性、完整性。


      DT 时代到来,使信息系统间开始打通、共享、协同,数据开始越来越多地从单一的信息系统和工作环境中“走出来”,在组织及组织相关的业务及应用间频繁地流动共享,为商业发展激发创新活力。


      然而,数据从静止走向流动同样意味着安全风险的改变,传统边界安全机制的“上锁”无法再保护流转到边界外的数据。因此,数据安全整体防护和架构应考虑数据在从系统区域、业务区域、终端区域、外部区域流动中面临的危险进行分析,采取相应的安全措施。


      据此,2018年5月,CS6 数据安全解决方案大会上美创科技副总经理闻建霞率先提出第二代流动数据安全体系,涵盖敏感数据的梳理、内控安全、流动数据安全、外部安全多个维度。


      图  数据安全整体解决方案


      谈及数据安全,我们绕不开黑客,从最初的“脚本小子”到现在高级黑客,攻击渗透手段不断升级,其核心是为了争夺数据的控制权但数据无边界时代,随着数据在采集、传输、存储、处理、共享、销毁等各个环节被各类人员接触和使用,由内部引发的数据安全同样值得注意。数据显示,超过75%的数据泄漏事件来自企业内部人员有意或无意的违规行为。


      提到内控安全,王燕楠谈到:当前,很多企业单位是靠流程、制度的约定,而没有技术手段做相应的管控。以第三方运维人员、研发人员为例,这些特权用户可以通过超级账户直接访问核心敏感数据库,也因此发生多起数据被删除、倒卖事件,造成恶劣影响。


      从内控安全防护的角度,王燕楠建议需要关注两点:准入控制和危险操作的管控



      一、对于接触核心敏感数据的运维人员、第三方人员、系统管理人员的权限进行细化与鉴权,建立包括账号、密码、IP地址、机器指纹、数字证书、应用程序、登陆时间等多维度的身份准入机制,对于不合规的用户访问予以阻断与预警,同时能够根据实际情况进行临时访问动态授权,阻断撞库、高频登录等异常行为。


      二、由于人的情绪和技能问题,不可避免的存在误操作、恶意操作引发的删库、脱库等事件。对于数据而言,需要对DDL、DML、甚至代码类的危险操作,进行细颗粒度访问控制、实现误操作防范、恶意操作阻断并告警,对于运维人员必须的危险性操作进行临时授权。


      图 内控安全



      从落地方案和建设的角度,涉及如数据资产梳理、数据库安全、数据分析等。美创聚焦在数据安全和治理领域14年,产品涵盖了内控安全、外部安全、流动安全、连续性安全、终端安全、云安全等,目前已经在政府、医疗、金融、民生等领域展开应用和推广。





      免费试用
      服务热线

      马上咨询

      400-811-3777

      回到顶部