实践|美创助力“云学堂”数据安全风险管控建设

云学堂通过美创数据库防水坝系统，对核心业务系统数据库进行运维安全加固，做到事前有规范化的数据使用审批流程，事中数据操作全面的权限管控，事后安全事件溯源分析，为事件定性提供技术依据和支撑。

云学堂（全称：江苏云学堂网络科技有限公司）作为一家科技企业，为客户提供数字化企业学习解决方案服务，其中包括：软件SaaS服务、内容解决方案服务、数字化企业学习咨询和运营服务，目前已服务包括世界500强、中国500强在内的众多行业头部公司，获得业界一致认可与好评。

01需求背景

当前，云学堂已建立了比较完善的IT信息化体系，数据库作为信息系统的核心和基础，承载着公司越来越多的关键业务系统，储存着大量作为公司核心资产的重要和敏感信息。

针对数据库操作与运维中面临的风险，公司拟建设一套数据库安全管控平台，满足公司数据库操作层面的安全管控需求，具体具体需求如下：

共享账号、临时账号管理紊乱，需要规范账号管理，避免出现数据安全事件发生时，难以定位账号实际使用者和责任人的现象；

加强操作透明化，用技术手段对运维人员统一管控；

加强危险性操作受控性，避免数据库误操作（Drop Table,Truncate Table等操作）带来的巨大安全风险；

安全事件审计快速追溯，并具备定时提供相应统计报表功能，防微杜渐。

02建设方案

围绕公司核心业务数据库，云学堂通过美创数据库防水坝系统针对数据库运维进行统一管理，并针对敏感数据实现权限的划分，防止业务系统敏感数据泄露；对于运维人员的未授权访问或者临时访问则通过工单的方式进行申请，从而使得在数据库运维层面具有流程保障同时也具备一定的数据安全防护水平。

 
主要实现功能

敏感数据分类分级管理：依照国家及行业相关标准，通过自动扫描发现的方式高效、方便、全面的获取敏感信息，从Schema级别、表格或者表格列、业务单元三方面来进行数据的分类分级。

分权管理：把数据从数据库原有权限体系中解放出来，将核心数据进行分类分级，将同类数据进行归类，形成资产集合，后续可以针对敏感集合不同的敏感级分级开放权限，避免一刀切的数据管理模式。

工具登录控制：不管是外部人员使用自带电脑登录数据库，还是在任意地点登录数据库，美创数据库防水坝对于接入数据库的行为提供多维度的监控。身份管理通过应用程序名、IP地址、主机名、操作系统账户、数据库账户、数据库实例名、时间、U盾、安全客户端等因素进行任意组合，形成新的登录认证规则，U盾和安全客户端具有唯一的可识别的数字证书，保证一人一号，合法登录，同时还可以对连接数据库的运维工具进行认证，只有指定运维工具可以连接，防止带毒工具或者带有后门的工具连入数据库。

细粒度访问控制：针对DML语句控制命令类型、表格或用户、响应行为等；针对DDL/DCL操作访问控制数据库系统权限、数据库对象权限、数据库代码等；提供细粒度的数据操作权限控制。

误操作恢复：合法用户在合法的操作过程中，不可避免会产生误操作行为，美创数据库防水坝支持对误删除的表格数据进行恢复，用户一旦发生误操作行为，安全管理员可在管理端页面进行语句追踪，找回误删除的数据。

合规审计：每个用户对数据库的操作行为，包括用户名、IP地址、MAC地址、客户端程序名、执行语句的时间、执行的SQL语句、操作的对象等，对其行为进行全程细粒度的审计分析。同时，提供基于会话的审计分析。

03客户收益

通过美创数据库防水坝系统，建立了云学堂数据层面的内部数据使用安全管控体系，完善了整体的信息安全架构。

基于人员与数据资产的内部数据安全使用管控能力，能够有效防止内部数据安全泄露风险，提升云学堂整体的数据安全防御能力。

敏感数据分类分级，形成了数据安全的底层基础为后续数据安全建设的扩展延伸打下了坚实的基础。

立足数据安全风险管控，保障企业重要数据以及学员个人敏感隐私数据安全，满足《数据安全法》、《个人信息保护法》等相关政策要求。