数据保护系列-风险指令访问控制

去年，中国某知名搜索引擎企业质量效能部门负责测试开发工作的员工，因不满公司公司安排人员来接手自己的项目，进而对项目程序数据库内的数据进行删改，导致系统无法正常产出相关的项目质量评估数据，而给公司带来巨大损失。

诸如“删库跑路”等恶意操作、误操作导致的数据安全事件屡屡发生，成为业内关注的热点事件的同时，也反复提醒着各家企业针对风险行为的管控手段需要进一步加强和完善。

 

当前风险指令访问控制存在的问题

1、误操作、恶意操作导致的数据泄露和生产事故多发

无论开发、测试、运维等内部人员，还是外包人员，在高频访问数据的情况下，难免存在误操作行为，由此导致的数据泄漏等数据安全问题也日益多发。相对于误操作，恶意操作导致的数据销毁或数据库异常问题则更严重，甚至直接导致业务无法运行，给企业声誉和利润带来巨大损失。

2、无法精确到具体人员，部分必须业务难以进行

现有的技术手段虽然可以识别风险指令，进行拦截，但都无法对访问人员进行精确管控。这就导致了在业务过程中，当部分指令存在风险，但业务又必须通过该指令才能访问数据库时无法操作，致使业务无法继续。

3、分散管理，运营维护难度大、成本高

针对本地部署的数据库，目前技术手段只能实现单点管控，对于异地或者云上数据库则无法进行有效管理。而云服务厂商提供的数据管理工具则只能针对云上数据进行管控，对于本地部署及其他云平台的数据库则无法实现管控。从而导致了数据管控工作分散，运营维护难度大、成本高。

原点-风险指令访问控制方案

1、预置访问控制策略

原点安全一体化数据保护平台（CDPP）产品内部预置了20+风险指令访问控制策略，可满足企业日常的风险指令访问控制，风险告警，无需企业自身单独花时间去配置风险控制策略，帮助企业一键开启，接入即保护。

2、自定义策略/策略模型

除预置的20+风险指令访问控制策略外，平台还可以一方面根据行业风险指令实际更新情况，持续为客户提供新的控制策略。另一方面，允许客户自定义策略，企业可以针对自定义的数据集以及用户、用户组， 配置并执行访问控制策略，能够允许、拒绝或告警特定用户对特定数据集的访问。 同时支持根据敏感数据类型、安全级别、用户标签配置访问控制策略。

3、统一数据安全平台

原点统一管控控制台 MCC（Management Control Center）是 CDPP 产品的集中统一管理控制入口，数据安全管理人员可以使用 MCC 管理和配置数据源，基于敏感数据资产目录配置敏感数据访问控制策略和数据交付策略，对数据保护和审计控制能力进行一体化编排，检索查询数据安全审计日志并出具审计报告，进行数据安全风险事件的分析和处置。通过一个平台实现对本地、多云、混合云数据库风险指令访问的控制，解决企业数据安全管理分散的问题。

方案优势

原点安全一体化数据保护平台（CDPP）支持 SQL 请求的安全审计，基于告警事件、异常访问模型进行数据安全风险分析。根据 SQL 指令配置风险指令访问控制策略，可以阻断高风险 SQL 指令的执行。帮助企业数据安全管理人员及时发现针对重要数据和敏感数据的外部攻击、内部人员威胁和异常，开展数据泄露事件的追踪溯源。