政务云大数据安全建设（二）技术支撑2

数据权限统一管理

       建设目的：传统的数据授权方式是针对数据库账号的授权，应用系统可以通过配置好的数据库账号访问数据库，由于数据库自身限制，不能实现针对数据的细粒度授权，数据的规范使用和越权访问无法有效控制。因此，建设基于数据的权控系统，不但能够实现数据权限最小化，还可以实现用户、应用、数据的三级关联，大大降低数据越权访问和违规使用的概率。

主要功能：

1、基础信息管理：用户和应用的添加、删除、修改，数据资产（库、表、字段）自动发现，通过配置操作，将用户、应用、数据进行关联授权。

2、授权模式：

a.   静态授权：针对用户和应用的数据使用授权，包含授权周期、绑定终端；

b.   动态授权：临时需要使用更高级别数据或权限外的数据，通过临时授权的方式提供；

c.   维护授权：针对数据维护的角色和职责进行授权，数据维护人员在非授权情况下维护数据默认为脱敏状态， 支持对数据维护动作的细粒度授权，严格控制维护行为。

3、授权审批：数据权限的最终确定需要通过审批，在审批过程中即对用户、应用进行认证，确保其身份的合法可靠。

敏感数据发现和梳理

概述：一般政务云大规模应用的后台数据库都有上百个表和上千个列，要保护核心数据资产，首先要了解哪些数据是敏感数据，通过敏感数据发现功能对表和列进行扫描，来发现密码、个人标识信息、信用卡账户等敏感数据，同时用户也可以通过自定义敏感对象搜索关键字的方式来发现用户特定的敏感数据。

协助完善数据分级分类机制：不同数据拥有不同敏感级别和密级，所需的安全策略和加固方式也不同。通过对敏感数据完善的定级机制，便于制定政务云数据安全策略或采取合适数据加固措施。

监控数据权限变化：让管理员实时了解数据资产的权限变化，可按照用户维度、对象维度对数据库的权限进行分析整理，并且对比不同轮次扫描之间权限的变化。实时查看，展现数据库实时安全视图；定期扫描，反映当前安全状况相对于基线的变化；查看详细变化状况。

主要功能：

1、云数据库自动嗅探：提供自动搜索专有云中数据库的功能，也可以指定IP段和端口的范围进行搜索。自动发现数据库的基本信息包括：端口号、类型、实例名、服务器IP地址等。

2、自动识别敏感数据

能够按照指定部分敏感数据的特征或预定义的敏感数据特征，在执行任务过程中对数据进行自动识别，发现敏感数据。通过自动识别敏感数据，避免按照字段定义敏感数据元的繁琐工作，同时能够持续的发现新的敏感数据。

3、敏感数据分类分级

根据不同数据特征，可对常见的如姓名、证件号、银行账户、金额、日期、住址、电话号码、Email地址、车牌号、车架号、企业名称、工商注册号、组织机构代码、纳税人识别号等敏感数据进行分类。针对不同数据类型指定不同敏感级别，系统自动对包含了敏感数据的表、模式、库进行敏感度评分。

4、权限梳理

能够对数据库中不同用户、不同对象的权限进行梳理并监控权限变化。权限梳理从两个维度展开：监控数据库中的用户的启用状态、权限划分、角色归属等基本信息；对数据库中的对象可被哪些用户访问的情况进行归纳总结，特别是对包含了敏感列的表或者敏感度评分较高的对象，着重监测其访问权限划分情况。