敏感数据安全解决方案.pptx

1、敏感数据安全解决方案,目录Contents,进入数据安全的时代,数据安全防护方法,数据安全实践讨论,安全事件:敏感数据泄漏事故,安全事件:离职人员故意删除数据库数据,比离职员工删库跑路更频繁发生的是各种意外删除数据的事件,安全事件:误删除数据库数据,网络安全法：重点关注的内容,4,监管机构互动安全评估监测安全事件上报参与应急演练,个人信息保护个人权利个人信息保护要求投诉、举报处理机制,网络运行安全,网络安全保护义务、责任网络关键设备和网络安全 专用产品设备网络安全事件应急预案,中华人民共和国主席令第五十三号中华人民共和国网络安全法已由中华人民 共和国第十二届全国人民代表大会常务委员会 第二十四

2、次会议于2016年11月7日通过，现予公 布，自2017年6月1日起施行。中华人民共和国主席 习近平2016年11月7日,第10 条,第21 条,第21(4)条,第 31 条,第34(3)条,第42条,网 络 安 全 法,网络运行安全重点环节-网络数据安全管理.,维护网络数据的完整性、保密性和可用性,防止网络数据泄露或者被窃取、篡改,采取数据分类、重要数据备份和加密等措施,国家对一旦遭到破坏、丧失功能或者数据泄 露实行重点保护。,对重要系统和数据库进行容灾备份,个人隐私信息，共享、使用环节匿名化处理,数据安全,数据保护,数据传输,数据加密,数据备份,数据脱敏,网络安全法：数据安全要求,规定,保

3、护什么？,监管驱动业务驱动,对外：客户、潜在客户个人信息对内：员工、合作伙伴个人信息,网络安全法：个人信息保护,“个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人 生物识别信息、住址、电话号码等。.”,本次网络安全法与国际其他国家在个 人信息保护的法律法规保持了相当高 的一致性。,目标是什么？,目录Contents,进入数据安全的时代,数据安全防护方法,数据安全实践讨论,什么是数据安全？,定义：信息安全是指保护资产不被滥用。信息安全从技术层面展开分为物理安全、网络安全、应用安全、主机安全、数据安

4、全；数据安全可以说是在保护资产不被滥用的最后一道屏障。威胁数据安全的因素有很多！存储介质损坏、人为因素（误操作、恶意操作、黑客）、病毒、信息窃取、自然灾害、电源故障、磁干扰,亡羊补牢和羊的悲哀,牧羊人羊圈里的羊狼,亡羊补牢，为时未完还是周而复始？,在数字世界里，羊很可能被 狼一次性的叼走了！,问题概况,详细说明缺乏管控重点数据量庞大，需要区分类型及敏感程度，,重要数据重点管控。,问题如何解决？,管控 粒度,管控 体验,管控 对象,管控 过程,重拦截，轻体验多数一刀切的安全管理方式，导致业务流程执行不畅。,缺乏数据保护意识传统安全主要针对物理、主机、网络、应用进行防护，缺乏对敏感数据的保护。,忽

5、略事后审计缺乏数据泄露后的追溯与审计能力。,如何发现那些数据 需要管控？,如何降低信息安全 建设对业务流程的 影响？,如何解决敏感数据 泄露的问题？,如何在安全事件发 生后定位到人？,数据安全建设挑战,数据全生命周期安全风险分析,数据使用,数据共享,数据销毁,主要关注对数据创造 者的身份核查，同时 确认产生的数据是否 合规。,主要关注数据传输过 程中是否会被窃取、拦截。,主要关注存储数据加 密保护，防范越权访 问。,主要关注访问者身 份的真实性，数据 操作行为的合规性 及抵赖性,主要关注敏感数据 共享过程中是否脱 敏，共享数据是否 可追溯可审计。,主要关注误操作、恶意操作造成的数 据丢失问题,

6、数据,产生,传输,使用,共享,销毁,存储,基于数据全生命周期的安全风险分析,数据产生,数据传输,数据存储,基于数据全生命周期的纵深防御体系,目录Contents,进入数据安全的时代,数据安全防护方法,数据安全实践讨论,普遍缺乏对核心数据实施保护,2016 IOUG 数据安全报告,数据库防水坝数据库审计数据脱敏系统数据库加密 数据库防火墙数据库准入系统,DCAP 敏感数据保护体系,入侵 防护,风险 内控,一站式,泄露 防护,安全 审计,特权用户权限控制,事 件 回 溯,危险操作防范和误操作恢复,数 据 库 防 火 墙,数 据 库 防 水 坝,数据库审计,数据脱敏&加密,敏感数据分类分级,SQL注

7、入检测和防御,漏洞扫描检测与防御,虚拟补丁,机器自学习模型,敏感数据自动发现,数据变形,登录控制引擎,全面审计,未知威胁智能化告警,透 明加 密,敏感数据保护解决方案赋能,围绕数据全生命周期的解决方案数据产生数据传输,数据存储,数据销毁,数据共享,数据使用,DCAP数据安全解决方案,全方位的防护,事前安全检测敏感数据分级分类数据库漏洞扫描实时检测漏洞和虚拟补丁开发以及测试数据必须脱敏敏感数据透明加密多因素身份验证,事中,事后,事先,应用黑/白名单SQL注入攻击检测与阻断智能化检测未知风险后续行为检测与控制智能化告警权限分离越权操作的非法行为阻断与告警DBA等大权限用户授权访问敏感数据通普用户提权的操作授权控制,全面的审计记录全面安全管理精确审计到人审计信息回溯与分析,出具全面的安全分析报表数据库误操作防御与快速恢复,THANK YOU!,