9月3日，由网信联盟与中国保密协会主办的“保密技术创新与产业发展论坛”召开，现场聚集了来自政府部门、科研院所及保密行业的相关专家学者等百余位嘉宾，以“推动保密技术创新融合，构筑产业发展大格局”为主题，围绕保密产业发展形势、相关政策、行业趋势等方面进行探讨。

安华金和曾参与政府、军工等行业用户多个涉密项目的数据安全建设，作为数据安全领域的企业代表，安华金和受邀参会并带来主题分享《新保密形势下数据库安全技术路线》 ，主要围绕几大方面：

1、信息安全建设的新形势；

2、数据库安全现状；

2、安全保密的建设依据；

3、数据库安全技术路线。

信息安全建设新形势——聚焦数据

最近几年，信息安全建设的重点和焦点一直在发生动态转移变化，从最初的边界安全建设，到网络安全建设，到主机的风控，再到人员的管控，经历了几个阶段，每个阶段都有新的需求出现。随着数据资产价值的攀升，今天信息安全的防护焦点已经从边界安全防护转移到了数据本身，作为数据的主要载体，数据库系统的安全建设正在被越来越多的企业和组织所关注。

数据库安全现状

从目前的数据库安全现状看，即使涉密信息系统能够得到企业和组织更多的重视，然而缺乏整体的数据库安全防护仍然使涉密数据面临不小的安全风险，从技术角度来看，数据库本身会存在安全漏洞，加上很多单位还仍明文形式存储涉密数据；另一方面，数据库系统面临内部运维人员、第三方外包人员和开发、测试人员等的多角色访问，无形中加剧了可能存在的安全隐患。于是，我们经常在媒体、网络上看到数据泄露事件发生，这其中不乏涉及国家机密信息的安全事件。涉密系统的数据安全防护工作，需要在防范外部攻击、内部窃取等安全威胁的前提下，确保数据的正常使用和共享。

安全保密的建设依据——分保合规

涉密信息系统中存储和使用的数据涉及国家机密信息，需要施行更高等级的安全防护措施。国家涉密信息系统分级保护政策中，从运行管理、身份鉴别、访问控制、安全审计、存储加密和数据库安全等方面进行了一系列的技术和测评要求，并占据了较高的比重。

就企业安全建设现状来看，目前数据库安全对于涉密单位信息安全建设来说是核心和关键，使得真正处于核心层的敏感数据载体-数据库的保障能力得到提升，抗攻击能力进一步增强，从而保障敏感信息的安全存储与使用，让数据安全保密工作真正由“短板”变成强项。

而真正满足分保政策合规是涉密系统数据安全建设的基础和前提。

数据库安全技术路线

保密新形势下的数据安全防护工作，同样面临着外部攻击、内部窃取的安全威胁，同时也要确保数据在共享、流转过程中的安全使用。接下来，我们以某电子政务内网的分保建设要求切入，了解安全保密工作与数据库安全技术路线的映射关系。

1、安全域边界防护

要求：安全域之间的边界划分明确，相互之间数据通信应安全可控；不同等级的安全域间通信，有严格的流向要求。

解决：数据库防火墙技术保障业务访问安全，实现不同机密与之前的数据库在正常访问的情况下，同时实现安全域与安全域之间的安全可控；可禁止高等级安全域流向低等级。

2、数据存储

要求：实现完整性检测，防止非法篡改重要敏感数据。

解决：数据库加密技术实现对涉密数据进行加密存储，并提供密文水印；防止数据文件级破坏、数据记录级的行间篡改。

3、运行安全

要求：对于数据库用户需要进行身份鉴别，对于可疑的访问行为进行告警，能识别恶意代码，并及时更新恶意代码库。

解决：数据库漏扫工具：可以对数据库的配置项进行检测，如登陆失败的处理和失败次数的选项设置，能够在可疑身份多次登录失败时进行告警，并且能够检测存储过程、函数中存在的恶意代码。

数据库防火墙技术：基于SQL注入等漏洞特征库，提供虚拟补丁等访问控制功能，防范恶意攻击。

4、访问控制

要求：重要信息采用分类分级的强制访问控制策略；做好精确的主体的访问控制。

解决：这里可以考虑三种技术手段的结合：

1）数据资产梳理：涉密系统中对于数据的分级分类已有清晰的基础，不同密级的信息应当采取不同的保护手段。如果数据规模庞大，可以使用动态梳理技术对数据的访问来源、试用热度、分布情况定进行梳理，为下一步建立访问控制策略打基础。

2）数据库防火墙：对数据库用户进行强制访问控制，实现唯一内网接入通道，同时通过IP访问控制规则，实现数据库访问安全保证 

3）数据库加密：对于密级程度较高的数据进行加密存储，数据按照列、行记录可以分成不同的访问级别，利用三权分立机制实现密文访问的权限控制和校验。

5、安全审计

要求：审计记录要全面，应提供足够的信息，并具备相应的告警能力。增加对涉密信息的访问事件审计，对于重要信息系统的审计要更精细化。

解决：数据库审计技术提供数据库全面操作的审计记录，有阈值设置，自动告警，并支持审计记录归档、及按最早时间进行覆盖的策略。包括日期、时间、IP地址、数据库用户等主体，表或存储过程等客体，以及操作内容、结果等。审计安全管理员的密文权限授予行为，记录用户权限变更事件；审计数据库用户对密文数据的增、删、改、查操作行为。

我们以某电子政务内网的安全需求入手，在满足分级保护要求的基础上，提供从边界防护、数据存储、运行安全、访问控制、到安全审计的数据安全建设思路，供大家参考。

另外，涉密信息系统中使用的安全保密产品原则上应选国产设备，安全保密产品应通过国家相应主管部分授权的测评机构的检测。选择国内自主知识产权的信息安全产品，同时经过国保局测评并取得涉密资质。目前安华金和的数据库加密、数据库审计、数据库防火墙、数据库漏扫等都是满足上述合规要求的安全保护产品。