美创案例｜盐城公积金管理中心数据安全创新实践

盐城市住房公积金管理中心（以下简称“管理中心”）履行国务院颁布的《住房公积金管理条例》规定的各项工作职责，对全市住房公积金实行统一管理、统一核算。具体承担编制、执行住房公积金的归集和使用计划；负责记载职工住房公积金的缴存、提取、使用等情况；负责住房公积金的核算；审批住房公积金的提取、使用；负责住房公积金的保值和归还；编制住房公积金归集、使用计划执行情况的报告；承办住房公积金管理委员会决定的其他事项。通过全渠道的住房公积金综合服务平台，实现同公安、市场监督、民政等部门的业务系统数据共享、互联互通。

随着公积金数字化进程的快速推进，公积金、个人信息等数据迎来爆发式增长，海量数据汇聚、跨平台流动和开放共享增加了数据安全风险，对管理中心的数据安全防护能力提出了更高的要求。

图片源自网络

本项目对接管理中心技术信息处，该处负责拟定信息化建设与管理相关规章制度，编制并组织实施住房公积金信息系统建设计划和中长期发展规划。同时，信息处负责系统运行安全管理，以及相关系统数据管理、技术档案保密管理工作，也是本次创新实践项目的牵头小组。为响应国家、行业内数据安全要求内容，信息处联合美创科技，结合数据安全需求共同构建基于分类分级的创新数据安全体系，全面提升管理中心数据安全水平。

虽然前期管理中心已按照三级等保要求，进行了信息化相关的网络安全建设和优化，但随着政策的变更、业务服务标准的提升、信息化技术的发展，管理中心信息化发展面临着新的挑战。

安全需求

为满足业务发展及监管合规需求，有效应对数据窃取、数据泄露、数据滥用等风险和挑战，管理中心希望在理清资产基础上，进一步完善数据安全防护措施，健全数据安全管理制度，建立体系化、全面化的数据安全防护能力。目前具体的需求如下：

◎海量公积金业务数据的自动化发现和敏感识别、分类分级；

◎数据安全体系尚未建立，防护面不完整；

◎安全手段和措施不足，缺乏精细化管控措施，尤其是特权账号管控措施；

◎单点防御为主，尚未形成整体合力。

解决方案

根据《数据安全法》《个人信息保护法》以及网络信息安全相关管理规定和要求，美创科技在既有的容灾备份、数据脱敏等能力基础上，系统规划、逐步建设、补齐分类分级、数据库运维审计、数据库审计、数据水印溯源等能力，基于数据分类分级实现对公积金数据的差异化管理和防护，建设更全面、更体系化的数据安全保障体系，以保障全市公积金资金和数据安全。

◼︎采用自动化工具进行数据资产的自动化发现和分类分级，同时基于分类分级结果进行合规数据资产管理及数据资产安全防护，建立相适应的安全管控策略。

◼︎ 基于当前风险评估结果及现有的安全能力，新增数据库审计、数据库防水坝、数据水印溯源、数据库运行安全管理等技术，同时建立健全数据安全管理制度，构建以数据为中心“体系化”的数据安全防护能力，保障核心业务的安全运行，以及数据的全生命周期的安全。

具体服务内容包括：

敏感资产梳理及数据分类分级

基于《信息安全技术个人信息安全规范》（GB/T 35273-2020）、《住房公积金基础数据标准》等标准，通过调研访谈、文件分析、工具探查，多维度了解数据资产，明确数据资产组成、特征、范围及流转情况，形成数据资产清单、数据权限现状和数据流向图，理清数据资产。

采用内置数据识别规则和分类分级策略的自动化工具「数据安全分类分级平台」，调试并形成数据发现模型和分类分级模版，自动识别和发现数据，并根据分类分级策略智能化处理分类分级标签，可视化呈现数据分类分级结果。

图-数据梳理与分类分级流程

针对数据分类分级的结果，明确不同等级的处理策略，可对数据的获取与提供，制定不同的数据访问权限或提取等管理审批流程。

基于分类分级实现细粒度运维安全管控

基于数据分类分级结果进行多环节的安全管控，通过数据库防水坝对接入数据库的行为提供多维度的监控，将系统管理员、数据库管理员、第三方代维人员和运维开发人员等的身份进行统一管理、隔离敏感数据，限制特权账户随意访问敏感数据，限制针对敏感数据的危险操作，运维操作更加规范、透明、可控，有效降低运维环境复杂易存在非授权访问敏感数据、运维误操作、高危指令等风险。

图-运维管控过程

数据库行为全面审计

部署数据库审计系统，以数据资产安全访问合规为出发点，以精确审计、全面审计为基础，提供围绕数据库的日常化运营、可疑分析和安全报告，全面管理整个数据库安全事件的生命周期，针对业务系统过来的SQL注入攻击、数据库漏洞攻击、密码口令猜解、敏感数据越权访问等行为进行精确审计，实现数据库访问增删改查等各类操作行为的监控和记录、审计溯源。

图-数据库审计

公共数据共享安全管控

部署水印溯源系统，加强在跨层级、跨地域、跨系统、跨部门、跨业务等数据共享及互联互通场景下的公积金数据安全保障。

图-数据溯源流程

基于数据库运维安全管理平台的精准运维服务

部署数据库运行管理平台（OSM），聚焦数据库运行安全，覆盖数据库监控、全面巡检、上下班巡检、AWR报告解读、工具箱、安全检测、资产管理、自动化部署等数据库日常运维场景，通过智能监控告警+工具箱自动处理+人工运维干预，实现对管理中心不同类型的数据库资产的一站式全景运维、监控变化、控制变更，结合数据库运维服务，有效保障业务系统的安全稳定运行。。

图-数据库运行管理平台

案例亮点

公积金行业数据安全分类定级的落地实践：在当时没有明确分类分级标准指导的前提下，基于供应商美创科技丰富的行业实践和标准研究，结合公积金行业业务情况、数据特征及管理中心自身特点，基于国家标准探索并最终确定适用于该管理中心的数据分级分类策略。

数据分类分级策略落地及运营：通过数据特征分析和NLP（自然语义识别）技术识别数据含义等能力的自动识别技术，同时根据LLM大模型、数据特征自动提取规则，实现规则的快速补充及智能推荐，确保识别覆盖率。数据分类分级结果，与数据脱敏、权限管理、访问控制、审计溯源等防护措施进行策略联动，匹配细粒度的安全策略，实现以“身份+数据”为中心的数据安全防护能力建设，有效降低技术落地的整体建设成本，数据安全管理能力质效双增。

数据共享安全防护：通过数据水印溯源系统实现了对数据文件中的内容进行全自动读取、识别、水印加注、溯源，能够自动化发现源数据中的数据类型，并自动对数据增加仿真水印，以应对数据泄露后的溯源追责和版权宣示。

一站式全景运维：通过部署数据库运行安全管理平台，针对管理中心核心系统数据库实现7*24小时自动巡检，高效率高安全地完成故障提前感知、问题智能定位以及故障智能解决，实现数据中心一体化监控以及数据库的智能化运维。

客户收益

在盐城市住房公积金管理中心基于分类分级的数据安全体系化建设，通过工具进行业务数据的自动化发现和敏感识别、数据分类分级等工作。数据资产盘点及分类分级涉及公积金核心业务系统，并根据识别结果形成《数据资产清单》《数据分类分级管理目录》及《数据分类分级报告》等。

管理中心进行了体系规划、分段实施，引入数据分类分级、数据库审计、数据库运维审计、数据水印溯源等技术手段，建立覆盖数据全链路的数据安全技术防护体系，并结合相关意识培训、技术培训、制度建设等，全面、系统提升管理中心整体的数据安全防护能力，既贯彻落实了《数据安全法》《个人信息保护法》及公共数据管理等的相关要求，同时为数据共享交换保驾护航，相关实践和探索也为公积金行业其他单位的数据安全建设树立了行业标杆。

美创科技基于多年数据安全实践经验，结合《数据安全法》和《个人信息保护法》等法律法规的要求和实际风险场景，为数据安全建设提供全方位的产品、服务、解决方案，让数据管理与共享更加合规、安全。作为国内数据安全专业且具备完善产品服务体系布局的厂商，美创科技持续地助力各行业数据安全体系化建设。

数据安全体系化建设相关案例（点击下方标题，即可了解案例详情）：

➧