盐城市住房公积金管理中心（以下简称“管理中心”）履行国务院颁布的《住房公积金管理条例》规定的各项工作职责，对全市住房公积金实行统一管理、统一核算。具体承担编制、执行住房公积金的归集和使用计划；负责记载职工住房公积金的缴存、提取、使用等情况；负责住房公积金的核算；审批住房公积金的提取、使用；负责住房公积金的保值和归还；编制住房公积金归集、使用计划执行情况的报告；承办住房公积金管理委员会决定的其他事项。通过全渠道的住房公积金综合服务平台，实现同公安、市场监督、民政等部门的业务系统数据共享、互联互通。
随着公积金数字化进程的快速推进，公积金、个人信息等数据迎来爆发式增长，海量数据汇聚、跨平台流动和开放共享增加了数据安全风险，对管理中心的数据安全防护能力提出了更高的要求。
本项目对接管理中心技术信息处，该处负责拟定信息化建设与管理相关规章制度，编制并组织实施住房公积金信息系统建设计划和中长期发展规划。同时，信息处负责系统运行安全管理，以及相关系统数据管理、技术档案保密管理工作，也是本次创新实践项目的牵头小组。为响应国家、行业内数据安全要求内容，信息处联合美创科技，结合数据安全需求共同构建基于分类分级的创新数据安全体系，全面提升管理中心数据安全水平。
虽然前期管理中心已按照三级等保要求，进行了信息化相关的网络安全建设和优化，但随着政策的变更、业务服务标准的提升、信息化技术的发展，管理中心信息化发展面临着新的挑战。
为满足业务发展及监管合规需求，有效应对数据窃取、数据泄露、数据滥用等风险和挑战，管理中心希望在理清资产基础上，进一步完善数据安全防护措施，健全数据安全管理制度，建立体系化、全面化的数据安全防护能力。目前具体的需求如下：
◎海量公积金业务数据的自动化发现和敏感识别、分类分级；
◎数据安全体系尚未建立，防护面不完整；
◎安全手段和措施不足，缺乏精细化管控措施，尤其是特权账号管控措施；
◎单点防御为主，尚未形成整体合力。
根据《数据安全法》《个人信息保护法》以及网络信息安全相关管理规定和要求，美创科技在既有的容灾备份、数据脱敏等能力基础上，系统规划、逐步建设、补齐分类分级、数据库运维审计、数据库审计、数据水印溯源等能力，基于数据分类分级实现对公积金数据的差异化管理和防护，建设更全面、更体系化的数据安全保障体系，以保障全市公积金资金和数据安全。
◼︎ 采用自动化工具进行数据资产的自动化发现和分类分级，同时基于分类分级结果进行合规数据资产管理及数据资产安全防护，建立相适应的安全管控策略。
◼︎ 基于当前风险评估结果及现有的安全能力，新增数据库审计、数据库防水坝、数据水印溯源、数据库运行安全管理等技术，同时建立健全数据安全管理制度，构建以数据为中心“体系化”的数据安全防护能力，保障核心业务的安全运行，以及数据的全生命周期的安全。
具体服务内容包括：
敏感资产梳理及数据分类分级
基于《信息安全技术个人信息安全规范》（GB/T 35273-2020）、《住房公积金基础数据标准》等标准，通过调研访谈、文件分析、工具探查，多维度了解数据资产，明确数据资产组成、特征、范围及流转情况，形成数据资产清单、数据权限现状和数据流向图，理清数据资产。
采用内置数据识别规则和分类分级策略的自动化工具「数据安全分类分级平台」，调试并形成数据发现模型和分类分级模版，自动识别和发现数据，并根据分类分级策略智能化处理分类分级标签，可视化呈现数据分类分级结果。
针对数据分类分级的结果，明确不同等级的处理策略，可对数据的获取与提供，制定不同的数据访问权限或提取等管理审批流程。
基于分类分级实现细粒度运维安全管控
基于数据分类分级结果进行多环节的安全管控，通过数据库防水坝对接入数据库的行为提供多维度的监控，将系统管理员、数据库管理员、第三方代维人员和运维开发人员等的身份进行统一管理、隔离敏感数据，限制特权账户随意访问敏感数据，限制针对敏感数据的危险操作，运维操作更加规范、透明、可控，有效降低运维环境复杂易存在非授权访问敏感数据、运维误操作、高危指令等风险。
数据库行为全面审计
部署数据库审计系统，以数据资产安全访问合规为出发点，以精确审计、全面审计为基础，提供围绕数据库的日常化运营、可疑分析和安全报告，全面管理整个数据库安全事件的生命周期，针对业务系统过来的SQL注入攻击、数据库漏洞攻击、密码口令猜解、敏感数据越权访问等行为进行精确审计，实现数据库访问增删改查等各类操作行为的监控和记录、审计溯源。
公共数据共享安全管控
部署水印溯源系统，加强在跨层级、跨地域、跨系统、跨部门、跨业务等数据共享及互联互通场景下的公积金数据安全保障。
基于数据库运维安全管理平台的精准运维服务
部署数据库运行管理平台（OSM），聚焦数据库运行安全，覆盖数据库监控、全面巡检、上下班巡检、AWR报告解读、工具箱、安全检测、资产管理、自动化部署等数据库日常运维场景，通过智能监控告警+工具箱自动处理+人工运维干预，实现对管理中心不同类型的数据库资产的一站式全景运维、监控变化、控制变更，结合数据库运维服务，有效保障业务系统的安全稳定运行。。
美创科技基于多年数据安全实践经验，结合《数据安全法》和《个人信息保护法》等法律法规的要求和实际风险场景，为数据安全建设提供全方位的产品、服务、解决方案，让数据管理与共享更加合规、安全。作为国内数据安全专业且具备完善产品服务体系布局的厂商，美创科技持续地助力各行业数据安全体系化建设。
数据安全体系化建设相关案例（点击下方标题，即可了解案例详情）：
浙公网安备 33010502006954号 
