人社行業資料庫安全應用指南

一.  人社行業 資料庫安全 現狀

隨著人力資源和社會保障資訊化建設的推進，隨之而來的安全威脅日益增多。近年來，社保系統成為個人資訊洩露的重災區。據媒體報道，僅從14年4月到15年4月，涉及國內19個省份的社保系統存在高危漏洞，共計5200萬人的個人資訊可能洩露。

二.  人社行業 資料庫安全 面臨的威脅

在人社行業，較為典型的網路環境，可分為公務員網、辦公網、業務專網、公共服務網四張業務網路。本報告主要針對業務專網和公共服務網。

2.1  業務專網的安全威脅分析

1）資料庫運維風險

通常，人力資源和社會保障單位的資料庫維護都委託第三方單位。因此，管理手段不完善，賬號共享、主機共享的現象普遍存在，這也造成了更加難以管理運維人員的行為，如：日常運維操作，存在操作身份不明確、操作過程不透明、操作行為不可控、操作事故不可回溯等安全風險。一旦事故發生，其後果的嚴重性將不可預估。

2）敏感資訊洩露風險

機關保、社保卡、就業、人事人才、居民社保和基礎資訊庫等系統中存在大量的敏感資訊，DBA和第三方人員等任何人只要具備資料庫訪問許可權都能直接接觸到明文儲存的敏感資訊，從而引發敏感資訊洩密等風險。

3）資料共享使用風險

業務專網資料庫系統中積累了大量的敏感資訊和資料，而這些敏感的生產資料在人社的很多工作場景中都會使用。例如，新業務系統開發、業務系統測試、業務培訓資料使用以及第三方資料使用與共享等等，都會使用到真實的業務資料和資訊，所以存在真實資訊洩密等風險。

4）安全事件無法溯源

在人社行業，核心系統的資訊保安建設需要滿足等級保護三級要求。在等保三級中明確要求實現資料庫訪問行為安全審計，否則安全事件無法做到追根溯源。

2.2  公共服務網的安全威脅分析

面對社會公眾提供的公共服務主要涉及就業、社會保險、人事人才、勞動關係和勞動行政等幾個方面。公共服務系統需要將傳統的內網資料遷移到政府提供的雲服務平臺，面向公眾提供便民服務。與此同時，資料由安全的內網區域，向外網區域遷移的過程中，安全風險增加。

1）網際網路滲透威脅

黑客可以通過網際網路，向人社的公共服務系統資料庫發起攻擊，利用SQL注入技術執行惡意的SQL命令，非法入侵某人社資料庫系統，對系統資料惡意拷貝或者刪除，進行有目的的敏感資訊破壞行為。

2）利用漏洞進行攻擊

儘管，人社系統已經針對主機、軟體做了一些防範措施，但真正承載敏感資料的核心層——資料庫的保障能力偏低，仍然存在可被外部黑客利用的資料庫漏洞，一旦這些資料庫漏洞被利用，將極可能發生資訊洩露，直接威脅到社保資訊的安全。

3）缺乏底線防守

傳統防護手段缺乏底線防守機制，黑客一旦通過網際網路入侵資料庫，就可以竊取到明文儲存的資料，經過解析或異地恢復後便可獲得所有資料。

4）資料運維風險

存在高危操作

隨意操作資料庫物件：現有的紙質審批流程和監管手段僅能實現事前審批和事後審計，無法在事中進行精準管控；

惡意操作行為：直接訪問資料庫進行惡意操作；

誤操作、高危操作：依賴於人的精準操作，一旦出現失誤，導致出現 資料安全 威脅；

資料庫口令暴露

任意客戶端登入；

無統一的訪問出入口；

運維、開發人員知曉資料庫口令；

三.  人社行業 資料庫安全 解決方案

3.1  業務專網

3.1.1  資料庫運維安全

資料庫運維遵循“一事一工單”原則，修改資料等運維操作，需要提交運維申請至 資料庫安全運維繫統 ，申請內容含本次修改所包含的資料庫、資料表、SQL語句、修改時間等。待審批人稽核通過後運維人方可進入資料庫執行該SQL語句，在執行語句的過程中，系統實時檢測，如果運維人執行的SQL超過工單申請範圍之外，立即阻斷告警。

3.1.2  資料儲存安全

採用專門 資料庫加密 技術，對其重要核心資料庫進行加密。

1）敏感資料加密：對人社的敏感資訊以列為單位進行加密，加密後的資料可以在儲存層以密文形態存在。

2）密文訪問控制： 資料庫加密 的獨立的訪問控制體系，可以保證資料庫管理員、第三方運維人員等非授權使用者即使擁有資料庫賬號也無法訪問密文資料。

3.1.3  資料共享安全

採用專門的脫敏演算法對敏感資料進行變形、遮蔽、替換、隨機化、加密，將敏感資料轉化為虛構資料，隱藏真正的隱私資訊，為資料的安全使用提供基礎保障。

3.1.4  資料安全稽核

對資料庫的使用情況進行審計分析，並根據結果形成安全基線報告。定期稽核是保障資料安全治理規範性的關鍵，在滿足合規性要求的情況下對資料庫訪問行為進行全審計，以提高資料庫監管能力，同時通過實時風險告警系統來加快響應速度，通過精準的關聯審計解決追責難題。

3.2  公共服務網

3.2.1  業務 資料安全

1）SQL注入防護

通過專業的資料庫防火牆自身提供的預設SQL注入特徵庫以及對SQL語句進行注入特徵描述，完成對SQL注入行為的檢測和阻斷。

2）虛擬補丁技術

CVE上公佈了2000多個數據庫安全漏洞，這些漏洞給入侵者敞開了大門。資料庫廠商會定期推出資料庫漏洞補丁，由於資料庫打補丁工作的複雜性和對應用穩定性的考慮，大多數企業無法及時更新補丁。

專業的資料庫防火牆提供了虛擬補丁功能，在資料庫外的網路層建立了一個安全層，使用者在無需補丁情況下，完成對資料庫漏洞的防護。

3.2.2  資料儲存安全

1）敏感資訊密文儲存

對人社公共服務平臺數據庫可以以列為單位進行資料加密，加密後的資料在儲存層以密文形態存在，保證他人即使拿到資料檔案，也“看不懂”。

2）密文訪問控制

資料庫加密技術的密文訪問控制體系，可以保證即使資料庫自身的許可權被突破，非授權使用者仍然無法訪問密文資料。

加密截圖

四.  使用者證言

“為了確保資料的安全，我們將一些特殊敏感人群的身份資訊、參保資訊等做了底層資料加密，即便被竊取也無法開啟，也沒有販賣的價值，安華金和 資料庫加密 系統為我們的核心資料提供了一個保險箱！”

–某省社保局資訊處處長

“公積金行業資訊化建設起步晚，基礎差。但是公積金管理系統裡記錄儲存了全市十幾萬公積金繳納人的個人資訊，為了公積金貸款稽核的需要，這些資訊記錄既全面又詳盡，很具有商業價值。有了安華金和 資料庫脫敏系統 ，不用再熬夜製造“假資料”，個把小時就能把生產庫的資料脫敏成為模擬實資料，不僅不會洩露公積金使用者的個人資訊，而且資料更加“真實”，直接可以拿去跑系統，大大提高了工作效率。”

–某地市公積金管理中心資訊科科長

“人社的資訊系統越來越多，支撐系統的資料庫也隨之增加。為了提高核心資料庫的安全性，我們採購了安華金和的資料庫防火牆、 資料庫脫敏 、 資料庫審計 等產品，形成了一個對醫保、養老生產資料庫的基本防護解決方案，增加了資料庫訪問者身份的識別、許可權的管控、SQL語言的解析等防護手段，並解決了兄弟單位常來取資料的煩惱。即滿足資料的分享要求，又不洩露敏感資訊。資料庫的審計系統則記錄了所有資料庫操作的記錄，比照防火牆的阻斷和告警記錄，隨時可以找出問題所在，還能據此順利揪出內鬼和黑客。”

–某地市人社局資訊中心主任