近日，国家标准新闻发布会在市场监管总局马甸办公区新闻发布厅召开，网络安全等级保护制度2.0标准正式发布，相关的《信息安全技术 网络安全等级保护基本要求》、《信息安全技术 网络安全等级保护测评要求》、《信息安全技术 网络安全等级保护安全设计技术要求》等国家标准也随之正式发布并于2019年12月1日开始实施。

与等保1.0相比较，等保2.0在结构、要求项数量、覆盖范围、防护理念和定级流程等方面都进行了更新，实现了对传统信息系统、基础信息网络、云计算、大数据、物联网、移动互联和工业控制信息系统等保护对象的全覆盖并从等保1.0标准被动防御的安全体系向事前预防、事中响应、事后审计的动态保障体系转变，注重全方位主动防御、安全可信、动态感知和全面审计。

作为专业数据安全厂商，安华金和对等保2.0中数据安全相关要求进行梳理和合规解读。

等保二级

等保二级在安全通用要求、云计算安全扩展要求和参考要求中都分别对数据安全进行了要求。

安全通用要求

安全运维管理

7.1.10.5漏洞和风险管理

应采取必要的措施识别安全漏洞和隐患，对发现的安全漏洞和隐患及时进行修补或评估可能的影响后进行修补。

合规解读：

应及时对数据库漏洞、弱口令、缺省配置、权限宽泛等风险隐患进行评估，并通过人工+技术工具的方式进行针对性修补。

云计算安全扩展要求

安全计算环境

7.2.4.3数据完整性和保密性

b)应确保只有在云服务客户授权下，云服务商或第三方才具有云服务客户数据的管理权限。

c)应确保虚拟机迁移过程中重要数据的完整性，并在检测到完整性受到破坏时采取必要的恢复措施。

合规解读：

应对云服务客户数据提供控制保障机制，服务商需通过审批方式获得云服务客户的授权，进而获得数据的管理权限。

应对云计算环境中数据进行加密，即使云服务方私自复制镜像或数据，也不能从底层拿到明文客户数据。

应在迁移前通过后台备份重要数据库的方式，确保具备恢复能力。备份工作需要经过审批授权后方可执行。同时通过数据库加密机制，从根本上保证数据在虚拟机迁移过程中的安全，即使反向解析数据文件后，看到的加数据仍是密文。

二级参考要求

安全计算环境

H.3.3安全计算环境

f)大数据平台应提供静态脱敏和去标识化的工具或服务组件技术；

g)对外提供服务的大数据平台，平台或第三方只有在大数据应用授权下才可以对大数据应用的数据资源进行访问、使用和管理。

合规解读：

应通过技术工具对平台中的敏感信息进行脱敏。

应通过流程审批、操作命令等方式对变更性运维进行细粒度控制。同时提供完整执行记录。

等保三级

等保三级在安全通用要求、云计算安全扩展要求及参考要求中对安全区域边界、安全计算环境、安全管理人员、安全通讯网络等方面进行了更进一步的要求。

安全通用要求

安全区域边界

8.1.3.2访问控制

c)应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝数据包进出；

e)应对进出网络的数据流实现基于应用协议和应用内容的访问控制。

合规解读：

应基于地址、ip、时间、执行语句、语句影响范围等因素对数据库协议和内容进行细粒度控制。

安全计算环境

8.1.4.2访问控制

f)访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级；

g)应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。

8.1.4.8数据保密性

b)应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。

8.1.4.11个人信息保护

a)应仅采集和保存业务必需的用户个人信息；

b)应禁止未授权访问和非法使用用户个人信息。

合规解读：

对数据库操作控制力度：控制主体、数据库账户、应用程序、应用账户，对操作对象（表、列、存储过程名称）、SQL语句进行细粒度控制

实现基于密文的增强访问权限控制，防止主体如DBA及高权限用户对敏感客体数据进行访问。

被保护客体字段的权限控制独立于数据库的权限控制，防止主体数据库用户的权限提升访问被保护数据。

对主体用户、操作（DML、DDL、DCL）和客体对象进行访问控制的限定

通过加密存储机制，从根本上保证数据安全。可支持按列、按表空间方式进行加密。

对通过业务系统、app等方式收集的个人信息进行盘点统计，明确业务系统所需要的数据内容。避免过量采集、非法采集个人信息。

应对业务系统收集的信息进行梳理统计，同时对个人信息是使用进行管理控制。

安全管理人员

8.1.8.4外部人员访问管理

d)获得系统访问授权的外部人员应签署保密协议，不得进行非授权操作，不得复制和泄露任何敏感信息。

合规解读：

应对外部人员访问数据库等操作进行监督控制。

安全建设管理

8.1.9.3产品采购和使用

b)应确保密码产品与服务的采购和使用符合国家密码管理主管部门的要求。

合规解读：

应采购符合密码管理局要求，具备相应资质的产品。

安全运维管理

8.1.10.2资产管理

b)应根据资产的重要程度对资产进行标识管理，根据资产的价值选择相应的管理措施；

8.1.10.6网络和系统安全管理

g)应严格控制变更性运维，经过审批后才可改变连接、安装系统组件或调整配置参数，操作过程中应保留不可更改的审计日志，操作结束后应同步更新配置信息库；

i)应严格控制远程运维的开通，经过审批后才可开通远程运维接口或通道，操作过程中应保留不可更改的审计日志，操作结束后立即关闭接口或通道。

合规解读：

应对现有资产进行梳理后，根据业务重要程度进行不同级别的安全防护。

应通过流程审批、操作命令等方式对变更性运维进行细粒度控制。同时提供完整执行记录。

应对数据库运维进行流程控制及完整审计。

云计算扩展要求

安全通信网络

8.2.2.1网络架构

e)应提供开放接口或开放性安全服务，允许云服务客户接入第三方安全产品或在云计算平台选择第三方安全服务。

合规解读：

云服务客户应根据安全需要选择引入独立于平台的第三方产品。

安全区域边界

8.2.3.3安全审计

b)应保证云服务商对云服务客户系统和数据的操作可被云服务客户审计。

合规解读：

应具备独立于云服务商的第三方审计能力，确保云服务商在对云服务客户数据操作的审计能力。

安全计算环境

8.2.4.4镜像和快照保护

c)应采取密码技术或其他技术手段防止虚拟机镜像、快照中可能存在的敏感资源被非法访问。

合规解读：

应对云服务客户数据提供控制保障机制，服务商需通过审批方式获得云服务客户的授权，进而获得数据的管理权限。

8.2.4.5数据完整性和保密性

d)应支持云服务客户部署密钥管理解决方案，保证云服务客户自行实现数据的加解密过程。

合规解读：

应对云计算环境中数据进行加密，即使云服务方私自复制镜像或数据，也不能从底层拿到明文客户数据。

应通过数据库加密机制，将密文管理权限与数据库权限相分离，进而实现云服务客户自行管理的目的。

安全管理中心

8.2.5.1集中管理

c)应根据云服务商和云服务客户的职责划分，收集各自控制部分的审计数据并实现各自的集中审计；

合规解读：

应具备数据库审计能力，同时可对审计信息进行划分，避免审计信息泄露。

参考要求

大数据应用

安全计算环境

H.4.3安全计算环境

h)大数据平台应提供数据分类分级安全管理功能，供大数据应用针对不同类别级别的数据采取不同的安全保护措施；

i)大数据平台应提供设置数据安全标记功能，基于安全标记的授权和访问控制措施，满足细粒度授权访问控制管理能力要求；

j)大数据平台应在数据采集、存储、处理、分析等各个环节，支持对数据进行分类分级处置，并保证安全保护策略保持一致；

k)涉及重要数据接口、重要服务接口的调用，应实施访问控制，包括但不限于数据处理、使用、分析、导出、共享、交换等相关操作；

l)应在数据清洗和转换过程中对重要数据进行保护,以保证重要数据清洗和转换后的一致性，避免数据失真,并在产生问题时能有效还原和恢复；

m)应跟踪和记录数据采集、处理、分析和挖掘等过程，保证溯源数据能重现相应过程，溯源数据满足合规审计要求；

n)大数据平台应保证不同客户大数据应用的审计数据隔离存放，并提供不同客户审计数据收集汇总和集中分析的能力。

合规解读：

应建立完整数据库资产清单，并根据数据安全级别不同，选择不同数据库防御方案。

通过数据库加密等技术工具，对数据库中重要数据进行安全标记，带有标记的数据访问需遵守严格的访问条件。

应具备数据梳理能力，确保数据资产完整性，进而为分类分级提供依据。

应具备数据库访问控制能力。控制对象包括不局限于时间、ip、命令、语句影响范围等。

应具备可逆脱敏能力，同时保证脱敏数据之间的一致性、关联性。

应具备数据使用、分发的溯源能力。

应具备不同客户分别审计不同数据库的能力。

大数据应用

安全运维管理

H.4.5安全运维管理

b)应制定并执行数据分类分级保护策略，针对不同类别级别的数据制定不同的安全保护措施；

c)应在数据分类分级的基础上，划分重要数字资产范围，明确重要数据进行自动脱敏或去标识的使用场景和业务处理流程；

d)应定期评审数据的类别和级别，如需要变更数据的类别或级别，应依据变更审批流程执行变更。

合规解读：

应根据不同级别数据，选择不同数据库防御方案。

应根据不同业务场景，选择全部替换、部分替换、部分遮蔽等脱敏方案。

应通过技术工具，定期对重要数据进行梳理、定位，配合数据评审工作的开展。

作为国内数据安全治理理念的提出者，安华金和积极响应等保2.0要求，推出相应解决方案，助力用户合规，让数据使用自由而安全。