浙江省经信厅 | 省级“政务数据仓库”数据安全建设的最佳实践
近年来，浙江省坚持以人民为中心发展思想，以“最多跑一次”改革为总抓手、“四张清单一张网”改革为引领，不断深化一体化在线政务服务平台建设，全方位推动数字化改革，数字浙江建设进入全新阶段！
随着浙江省政府数字化转型进入深水区，浙江省经济和信息化厅（以下简称“省经信厅”）工作领域不断加宽,服务对象不断增多,数据积累与经济和社会的发展同步增长。为在充分发挥公共政务数据价值的同时，保障公共政务数据安全安全存储，省经信厅积极响应“整体智治”政府建设号召，依托全省统一的大数据平台，建设了经信部门数据仓。
为确保数据仓数据的安全应用，省经信厅目前已初步完成对数据仓及数据安全体系项目的建设，实现对经信厅所有数据资源的统一管理，并且已做到对用户权限、运行监管、系统监管、资源管理等可复用的能力进行集约化一体化的管理。同时，为了满足数据外发后进行数据去向追踪，出现安全事件后第一时间发现数据泄露源并及时进行应急处置，建立了以水印为核心的追踪溯源体系。
为进一步保护数据安全，实现对省经信厅内部业务系统敏感数据的有效识别，将访问用户职责与敏感数据相关联，实现基于角色、属性、强制性访问控制策略，现需对数据安全管控体系进行完善建设，补齐安全短板。
针对省经信厅对于数据仓安全防护体系建设的需求，美创科技通过部署数据库防水坝采取敏感数据管控、身份识别、数据库准入、行为阻断、授权管理等技术手段，实现敏感数据内部管控，防止敏感信息内部泄露。
在省经信厅数据仓的使用过程中，传统的安全技术手段控制力度较为宽泛，无法有效的防范授权用户的违规操作，包括违规数据导出、批量数据查询、数据篡改等。同时，负责日常运维的第三方人员主要通过个人终端对数据库进行后台运维操作，整个运维过程直接接触数据存在很大的安全风险，当前仅依赖静态用户名密码口令的身份鉴别方式也无法有效确认运维人员的真实身份。因此我们需要构建一套对数据库访问的强身份认证机制与细粒度的访问控制安全防护策略。
数据库的登录控制，采用多因素方式联合认证，包括终端信息、安全客户端、数字证书、登录时间等。终端登录数据库均需要通过数字证书进行认证，数字证书签发到个人。
访问控制策略精细到表级、字段级，对涉敏数据的查询，返回结果进行脱敏处理。
对具备敏感数据访问权限的用户，控制其查询数据的频率和最大返回行数，并限制其对数据的导出能力。
通过工单系统建立高危操作审批机制，当数据仓维护人员必须进行某些危险性操作或者需要访问敏感数据时，通过工单系统提交临时申请，由安全管理员进行逐级审批后方可进行操作。
通过安全系统可视化大屏，实时展现数据访问现状，并提供基于会话的事件回溯能力。
1、协助省经信厅用户建立了数据访问权限管理能力，采用集中认证和细粒度访问控制技术建立了数据仓数据访问统一入口，实现了数据访问权限的统一认证和数据库表、字段级别的访问控制，并结合数据脱敏技术，在满足数据仓开发、运维等多个场景下的数据访问需求的同时保证了敏感数据的安全。
2、协助省经信厅建立了数据仓数据访问过程中的风险监测能力，通过检测用户对数据的访问和操作行为，结合常见攻击手段识别，帮助用户了解数据仓可能面临的潜在安全风险。
3、落实并满足《中华人民共和国网络安全法》、《全国人民代表大会常务委员会关于加强网络信息保护的决定》、《中华人民共和国数据安全法》（草案）等法律法规和主管部门的各项规定，切实加强了政务敏感隐私数据的安全保护。
请输入标题
请输入标题
请输入标题
请输入标题