案例｜助力河南省水利厅数据安全综合能力提标扩面！

2021年7月，台风“烟花”导致河南郑州市的郭家咀小型水库洪水漫坝，常庄、五星等中型水库出现重大险情，贾鲁河、双洎河主要河流多处出现了较重险情。

灾后，河南省水利厅组织针对灾害期间防汛工作的深度复盘与总结。为确保灾后重建项目的顺利推进，提高整体的水利防汛应急管理能力，需要加快推进升级河南省防汛通信信息系统的数据安全能力建设工作。拟通过部署应用美创科技数据安全专业工具，全面增强该信息系统的安全管理水平与响应效率，从而为灾后重建工作奠定坚实的基础。

河南省水利厅提出，该系统的数据安全能力建设需要以“一个中心、三重防护”为核心指导思想，完全满足等级保护三级标准，构建集防护、检测、响应、恢复于一体的全面的安全防护框架。

河南省防汛通信信息系统涉及的计算环境和设备类型众多，对数据安全能力的综合提升有明确需求：

需求拆解

1

数据安全建设整体不够体系化，没有从数据全生命周期来考虑数据安全建设，基于合规要求部署数据库防火墙、数据库审计等单点防御、检测设备，必然在数据使用、数据共享等环节存在安全管理缺位，难于规范和约束数据的合理使用和安全流转，难于预测和防范发生数据安全事件。

2

缺乏最佳数据安全建设实践指引，没有从账号、风险、业务、策略进行整体规划和前瞻性设计，多是“头痛医头、脚痛医脚”方式陆续部署一些单点安全设备。

3

涉及系统多、流程复杂，数据各类多、格式多、数量大，还得与第三方对接需求多。经年累月下来，很难理清有哪些数据，数据都存在哪里，为哪些人员开放了哪些数据操作权限，存在哪些数据安全风险，数据安全建设无从下手。

4

各部门各机构间要打破数据壁垒，消除“数据孤岛”和“数据烟囱”，加强数据共享交换，让数据流动起来，挖掘更大的数据价值。数据流动产生更多新的场景，接触更多的组织和人员，导致数据不可控，从而加大了数据安全风险。

5

参照《网络安全法》、《数据安全法》、《个人信息保护法》、《关键信息基础设施安全保护条例》、“等保2.0”等法律法规要求开展数据安全体系建设，有序开展数据安全体系建设满足合规要求。

此外，还需依据以下法律法规和标准进行落地：

针对河南省水利厅的数据安全整体建设需求，美创科技制定了一套从数据外部安全防护到内部的敏感数据安全防护、数据流动安全、溯源安全审计、数据库智能化运维等五大维度的针对性地对策与方案，形成安全防御闭环，构成整体数据安全防御体系。

STEP 1

第一步

外部安全防御-数据库防火墙

数据库防火墙部署在统一认证平台等系统的应用和数据库之间，建立数据层面的外部攻击防御体系重点就在数据库的漏洞攻击防护、SQL注入攻击防护以及业务数据访问安全基线防护三个方面。用于隔离外部威胁，有效防止外部黑客入侵数据库，提供SQL注入检测和防御、漏洞检测和虚拟布丁等功能。通过在数据库前端部署数据库防火墙可以防御来自于外及内部等访问途径的SQL注入攻击和基于漏洞的数据库攻击，深化在数据库层面的安全防御，抵御外部风险威胁。

STEP 2

第二步

内部安全防护-数据库防水坝

将包含水利敏感信息的数据从海量数据中分离出来，并将这一部分数据脱离数据库原有的访问机制。

在数据分离之后，除了核心业务系统外，其他人员将无法访问敏感数据，从而为数据安全泄露管理打下坚实基础。

其次，针对单位内部技术人员以及第三方运维人员权限过大的问题，通过数据安全解决方案将DBA以及其他大权限用户权限进行分离，使DBA以及其他大权限用户不再先天具有访问和管理“敏感数据”的权限，从而实现DBA以及其他大权限用户职责分离，保护“敏感数据”。

最后，对于业务需要敏感数据访问，需要严格遵循敏感数据操作授权和审批。从而使敏感数据泄露的可能性降到最低。并且对于提供全面的运维审计功能，可对数据库查询、新增、修改、删除等行为进行监控，并能够锁定操作终端，可基于单个会话进行事件回溯审计。

STEP 3

第三步

数据流动安全防护-数据脱敏&数据水印

涉及到开发、共享及分析等数据是流动的，为防止数据流动过程中出现敏感信息泄露的风险，在数据流出安全防护的领域之前，需要对其中的敏感数据进行安全脱敏处理。在测试环境中形成一份“仿真数据”，保障开发测试场景中流动数据的安全、可靠、有效。

通过数据水印产品及技术将标识信息以不可见的方式嵌入进文本、关系型数据库等文件中，在开展数据对外共享业务时，解决数据对外分发数据泄漏后，无法追踪、查询泄漏人员，泄漏地点等问题。

STEP 4

第四步

溯源安全审计-数据库审计

数据库审计主要是对电子签章系统、数据中台、统一认证门户等系统进行访问留痕审计。数据库审计系统实现对所有数据库访问行为（不论业务和运维侧）进行审计分析、安全管理，通过深度解析网络流量中的数据库协议来还原数据库操作行为（针对数据库的增删改查等操作行为），实现对各类数据库访问行为的监控和记录，并对异常访问、异常删除数据等行为进行实时告警，为安全事件的溯源提供精准的依据。为水利厅保护自身合法权益提供必要的依据。

STEP 5

第五步

数据库监控运维

对核心业务系统进行保护，实现7*24自动巡检，高效率高安全地完成故障提前感知、问题智能定位以及故障智能解决，实现数据中心一体化监控以及数据库的智能化运维。

数据库运行安全管理平台，能够全局展示配置到平台内所有数据库资产分布以及最近24小时内的监控告警和巡检预警情况。运维人员能够清晰的了解到各资产分布以及高可用架构分布，对资产架构、分布等做到胸有成竹；同时，监控告警、巡检预警、错误日志、计划任务以及变更的数量统计，帮助运维人员全局掌握所有数据库资产当前运行状况。

数据库运行安全管理平台内置数据库运维工具箱，覆盖数据库日常运维场景，包括巡检平台、性能优化、故障处理等不同类型工具，融合AI技术提供智能预测和趋势分析。释放运维压力，能轻松实现数据库复杂的运维和管理工作，提升运维工程师的运维效率。

建设成果

1

实现数据安全风险可视、可控、可溯，显著提升数据安全保障工作的整体效率和工作质量。

2

全面提升河南省水利厅整体数据安全防护能力，有效防止核心数据泄露，避免资产流失。

3

凭借自动化、标准化、流程化、规范化的综合数据安全体系建设，大大降低了数据安全保障工作过程中人力、物力、时间的投入，节省成本的同时提升整体数据安全收益。

4

满足《数据安全法》、《个人信息保护法》、《关键信息基础设施安全保护条例》、《河北省水利厅数据安全管理办法（试行）》等法律、政策要求。

相关案例实践

作为一家年手术量超30万台的超大型三甲医院，郑大一附院核心系统的数据量较为庞大。其中HIS系统生产环境数据量达到10T以上，日常平均连接数维持在10000+，每日新增数据量在8G以上，总数据量及日常增长量十分庞大。一旦HIS系统出现故障，将导致相关医疗业务、服务停摆，医疗业务数据丢失，同时对医院造成无法估量的名誉及经济损失。

针对郑大一附院的实际需求，美创科技从保障业务连续性以及数据资产的完整性、可用性角度出发，提出容灾建设解决方案，并在2021年7月台风“烟花”过境期间，成功保障医院的医疗业务数据全数安全切换到灾备环境，医疗业务、服务正常运行。

（点击图片，了解案例详情）