云學堂通過美創數據庫防水壩系統，對核心業務系統數據庫進行運維安全加固，做到事前有規范化的數據使用審批流程，事中數據操作全面的權限管控，事后安全事件溯源分析，為事件定性提供技術依據和支撐。

云學堂（全稱：江蘇云學堂網絡科技有限公司）作為一家科技企業，為客戶提供數字化企業學習解決方案服務，其中包括：軟件SaaS服務、內容解決方案服務、數字化企業學習咨詢和運營服務，目前已服務包括世界500強、中國500強在內的眾多行業頭部公司，獲得業界一致認可與好評。

01需求背景

當前，云學堂已建立了比較完善的IT信息化體系，數據庫作為信息系統的核心和基礎，承載著公司越來越多的關鍵業務系統，儲存著大量作為公司核心資產的重要和敏感信息。

針對數據庫操作與運維中面臨的風險，公司擬建設一套數據庫安全管控平臺，滿足公司數據庫操作層面的安全管控需求，具體具體需求如下：

共享賬號、臨時賬號管理紊亂，需要規范賬號管理，避免出現數據安全事件發生時，難以定位賬號實際使用者和責任人的現象；

加強操作透明化，用技術手段對運維人員統一管控；

加強危險性操作受控性，避免數據庫誤操作（Drop Table,Truncate Table等操作）帶來的巨大安全風險；

安全事件審計快速追溯，并具備定時提供相應統計報表功能，防微杜漸。

02建設方案

圍繞公司核心業務數據庫，云學堂通過美創數據庫防水壩系統針對數據庫運維進行統一管理，并針對敏感數據實現權限的劃分，防止業務系統敏感數據泄露；對于運維人員的未授權訪問或者臨時訪問則通過工單的方式進行申請，從而使得在數據庫運維層面具有流程保障同時也具備一定的數據安全防護水平。

主要實現功能

敏感數據分類分級管理：依照國家及行業相關標準，通過自動掃描發現的方式高效、方便、全面的獲取敏感信息，從Schema級別、表格或者表格列、業務單元三方面來進行數據的分類分級。

分權管理：把數據從數據庫原有權限體系中解放出來，將核心數據進行分類分級，將同類數據進行歸類，形成資產集合，后續可以針對敏感集合不同的敏感級分級開放權限，避免一刀切的數據管理模式。

工具登錄控制：不管是外部人員使用自帶電腦登錄數據庫，還是在任意地點登錄數據庫，美創數據庫防水壩對于接入數據庫的行為提供多維度的監控。身份管理通過應用程序名、IP地址、主機名、操作系統賬戶、數據庫賬戶、數據庫實例名、時間、U盾、安全客戶端等因素進行任意組合，形成新的登錄認證規則，U盾和安全客戶端具有唯一的可識別的數字證書，保證一人一號，合法登錄，同時還可以對連接數據庫的運維工具進行認證，只有指定運維工具可以連接，防止帶毒工具或者帶有后門的工具連入數據庫。

細粒度訪問控制：針對DML語句控制命令類型、表格或用戶、響應行為等；針對DDL/DCL操作訪問控制數據庫系統權限、數據庫對象權限、數據庫代碼等；提供細粒度的數據操作權限控制。

誤操作恢復：合法用戶在合法的操作過程中，不可避免會產生誤操作行為，美創數據庫防水壩支持對誤刪除的表格數據進行恢復，用戶一旦發生誤操作行為，安全管理員可在管理端頁面進行語句追蹤，找回誤刪除的數據。

合規審計：每個用戶對數據庫的操作行為，包括用戶名、IP地址、MAC地址、客戶端程序名、執行語句的時間、執行的SQL語句、操作的對象等，對其行為進行全程細粒度的審計分析。同時，提供基于會話的審計分析。

03客戶收益

通過美創數據庫防水壩系統，建立了云學堂數據層面的內部數據使用安全管控體系，完善了整體的信息安全架構。

基于人員與數據資產的內部數據安全使用管控能力，能夠有效防止內部數據安全泄露風險，提升云學堂整體的數據安全防御能力。

敏感數據分類分級，形成了數據安全的底層基礎為后續數據安全建設的擴展延伸打下了堅實的基礎。

立足數據安全風險管控，保障企業重要數據以及學員個人敏感隱私數據安全，滿足《數據安全法》、《個人信息保護法》等相關政策要求。