哪个机构拥有最完备的公民信息？公安机构！公安机构拥有“百科全书式”的公民信息，其信息系统存储着全国人口基本信息资源库、全国在逃人员信息资源库、全国违法犯罪人员信息资源库等重要数据信息。

近年来，国家公安部门大力实施“金盾工程”（公安通信网络与计算机信息系统建设工程）建设，全国公安信息巨型网络正逐步成型。经过“金盾工程”一期、二期建设的推进，公安机关建成了以警综平台、大情报等为核心的多个业务系统，为保障业务系统中的数据安全，安全保障系统中安全专项系统也相继建设上线，但这些系统基本上是边界安全系统，关注网络边界防护、事后审计，无法从源头上避免数据泄露的发生。

作为社会安全的保障机构，社会信息安全标准的制定者，公安机构自身的数据安全问题同样至关重要。

如何对数据库资源的访问和使用，做到“可视化”管理，建立数据库健全的防控机制，且来看广西壮族自治区公安厅的数据安全保护“对策”。

客户简介

广西壮族自治区公安厅（简称：广西公安厅）是广西壮族自治区人民政府下设主管全区公安工作的职能部门，主要职责包含：预防、制止和侦查违法犯罪活动；维护社会治安秩序，依法查处危害社会治安秩序的行为；维护交通安全和交通秩序，处理交通事故；监督管理计算机信息系统的安全保护工作等。

需求背景

广西公安厅的信息化建设已具规模，与南宁、柳州、贺州、百色等全区各地市各级公安机关信息联网，实现数据流动、共享。其网络与信息安全建设一直走在行业前列，采用了网络防火墙、网闸、漏洞扫描等多种安全系统，核心系统等级保护建设渐趋完善，在各种测评中都得到很高的评价。

美创科技安全服务团队围绕核心数据保护，开展深度安全检测后发现，现有的安全建设不尽完善，数据库安全仍有待进一步的改善提升：

1. 黑客可利用业务系统和数据库漏洞，入侵数据库；
2. 离职员工账户密码未及时回收，离职后仍可使用账户密码浏览敏感数据；
3. 第三方运维人员在完成工作后仍保留有数据库账户密码，存在安全隐患；
4. 系统建设方未经批准允许，存在擅自将数据共享给其他公司开展相关业务的风险；

为确保对信息系统的访问安全，整体把控全区公安系统数据安全规划、建设、管理，实现全区联动，广西公安厅提出了更为“严苛”的要求：

1. 各级公安机构从数据库权限管理、运维人员操作管理、数据库准入、数据库审计等方面，对数据库进行全方位的保护；
2. 各地市各级公安，将日志统一汇总到公安厅，实现统一的管理、展现；
3. 安全系统具备统一的管理平台能够实现，规则下发，实现全区公安数据安全协同作战。

解决方案

针对广西公安厅日益迫切的业务和数据库安全保障需求，美创科技结合“数据集中、统一管理”的要求，提出了基于“敏感数据”统一管理平台，集成数据库防水坝、数据库准入系统、数据库审计系统，全方位完成以“敏感数据”为基础的数据库安全管理整体解决方案，分别应用于广西公安厅，以及南宁、柳州、贺州、百色四个地市公安机构。

数据库防水坝

把广西公安厅数据库业务系统纳入敏感数据范围，敏感数据的分级分类，特权账户管理和敏感数据隔离；内含众多法规的配置向导和完整的报表方便运维操作完成法规遵循，降低运营风险；危险性操作控制、误操作防御和快速恢复。

数据库准入系统

采用双因素或者多因素验证，仅允许合法的、可信任的人或者设备接入数据库，并且实时检测密码猜测和密码泄露，全面防御密码攻击。通过沉淀的海量数据库准入信息分析，发现潜在的数据库准入风险，配置更加适当的数据库准入策略。

数据库审计系统

采用事先预防的过滤机制，过滤掉不合规的用户、终端、应用来访问敏感数据；采用事中控制的阻断机制，建立强大的规则库，自动识别非法的访问请求，并阻断其访问敏感数据；采用全面审计机制，来确保审计的完整性，当发生异常访问时，通过全面的审计信息和强大的审计搜索引擎，实现对异常访问的快速定位和处理。

图：拓扑图

客户收益

01

规范管理外部维护、开发人员，实现敏感数据分权管理。在多个维度设定安全策略限制数据库的非法连接，保障数据安全。

02

在全区各级公安机关的原有访问控制 、恶意代码防范等安全防护手段基础上，建成了区、市、县三级数据库安全防护系统，提高了全区公安现有业务信息系统数据库的系统安全性，规范了第三方运维开发人员的数据库准入、访问控制等操作。

03

提高广西公安厅数据库安全建设项目信息系统的整体安全等级，为广西公安厅数据库安全建设项目的业务发展提供坚实的信息安全保障。