1、建设背景
本期项目建设主要依据《2022年省级基础电信企业网络与信息安全工作考核要点与评分标准》《电信领域数据安全保护指南（试行）》，结合今年中期的数据安全检查结果、某省运营商现有能力情况及内生数据安全风险需要，进行数据安全能力的优化升级建设。
2、建设目标
通过增加建设数据库审计、数据库访问控制（数据库防火墙）、加密、运维动脱和数据安全态势，补齐数据安全的短板，并对已有的数据资产管理、脱敏、接口安全进行优化升级（考虑增加纳管数据库数量和提升处理性能），以满足两部委考核要求和内生的数据安全风险需要。最后通过数据安全态势实现结构化数据防护的整体态势，协助某省运营商形成全面的数据安全防护体系。
基于新建和升级的数据安全能力，针对2022年电信行业的监管要求的重要数据和核心数据，实现逐步覆盖。纳管系统包括但不限于信令系统，日志留存系统，性能管理系统等。
3、实施方案
以新建的数据安全态势作为数据安全综合管控平台，弱耦合数据资产管理、脱敏、接口安全管理、加密，以及数据库审计、数据库防火墙、运维动脱，合计7项数据安全能力，从技术实现可能性和应用的实用性角度出发，通过数据安全统一管理，实现对处理结构化数据安全的数据能力实现统一管控。
（1）数据资产识别管理通过主动扫描方式与数据库协议分析，结合高效数据识别与可视化等技术，实现自动化数据分类分级及数据资产动态分析。提供相关接口以便快速打通安全链上下游能力，为全局性数据态势感知与数据精准差异化管控提供有效支撑。
解决问题
提供数据资产可视化、管理和跟踪、强大的数据接口支持，支撑资产内部数据多渠道和多应用场景应用等。
（2）数据脱敏管理提供多种脱敏方案，保证脱敏后的数据仍然可以保留原有的语义和关联关系，保证数据在各个场景中的可用性、规范性以及真实性。
解决问题
提供对隐私数据保护、提高测试数据的数据质量、减轻人员的工作负担。
（3）接口安全管理提供统一标准的数据对外合作报备和审批方案，并依据数据对外合作备案结果对接口使用情况进行评估。提供数据接口审计功能，保障数据安全合规的同时增强全方位安全侦测能力。
解决问题
提供数据综合检查手段、对外开发共享检测、接口敏感信息检测、安全链上下游结合。
（4）加密敏感数据以密文的形式存储，保证即使在存储介质被窃取，或数据文件被非法复制的情况下，敏感数据安全。通过密码技术实现三权分离，避免DBA密码泄漏带来的批量数据泄漏风险。
解决问题
本加密系统具有卓越的安全性和处理能力，能够在不修改原有应用程序的情况下透明的接入系统中。
（5）数据库审计
基于数据库通讯协议和SQL解析技术的数据库安全产品，能够实时监控记录用户对数据库的所有访问行为，并对数据库所遭受的风险行为进行告警，帮助用户快速生成事后合规性报表与对事故的追根溯源。
解决问题
可视化数据库资产访问和风险情况，安全事件追溯，对事件进行回放、追踪、追责、定责。
发现风险访问、SQL攻击等非法访问数据行为，并及时告警。
（6）数据库防火墙
基于身份鉴别和行为分析的主动防御机制，能够主动实时监控、识别、告警、阻断针对数据库的安全威胁，实现数据库的行为特征分析、访问行为监控和危险操作阻断。从根本上解决数据操作过程中所面临的各样数据安全问题，有效满足内部安全保障需求及外部国家合规安全图管理规范要求。
解决问题
防止外部攻击，窃取数据，防止内部人员泄密，防止敏感数据被未授权访问。
（7）运维脱敏
数据库安全运维系统通过截获并修改数据库通讯内容，对数据库中的敏感数据进行在线屏蔽、变形、字符替换、随机替换等处理，达到对用户访问敏感数据真实内容的权限控制。对于存储于数据库中的敏感数据，通过脱敏系统，不同权限的用户将会得到不同结果展现。
解决问题
提供控制用户对敏感数据的访问行为，减少在线访问、运维等环节的数据泄漏。
4、方案价值
本项目以总体目标为指引，明确数据安全监管与处置发展主线，从“6全”为着力点，依托场景底座，利用关键能力，逐步实现某省运营商管控平台建设。
本项目关键技术能力包括基础安全能力、管控能力、风险监测能力、态势感知能力、核查评估能力、运维能力。通过三阶段建设逐步搭建全域、全周期、全员、全过程、全威胁与全面性等方面监测、处置应用场景，实现“6全”覆盖。
