針對安徽省高速公路聯網運營有限公司的實際訴求，美創科技基于數據脫敏系統+數據庫透明加密系統，為客戶制定如下建設方案：
依托美創數據庫透明加密系統，在保障業務系統透明訪問的前提下，實現數據存儲加密、訪問控制增強；依托美創數據脫敏系統，自動化發現敏感數據，并對敏感數據按需進行漂白、變形、遮蓋等處理，避免開發、測試、培訓以及第三方數據分析等非生產場景下的數據泄露。
數據庫透明加密采用存儲層加密，被加密的數據以密文的形態存儲在磁盤上，在缺乏密鑰的情況下即使數據庫文件失竊也不會導致敏感數據泄露。數據庫透明加密在字段層面支持對各種常用數據類型，如ｃｈａｒ、VARCHAR2、VARCHAR、RAW、LOB、NUMBER、DATE等，同時支持表、列等級別加密。在應用中，為了有效保證數據的安全性，防止相同數據的加密結果一致，同時也能保障加密數據的結果更加隨機化，加密系統支持隨機加密策略，可有效防止相同的數據的加密結果一致而導致的數據泄密。數據加密配置及快速恢復策略等均以圖形化WEB界面配置。
為保證數據安全，在數據加密的同時，提供Oralce、SQL Server等數據庫的重要日志文件、數據庫rman備份、索引數據等相關數據加密保護，支持BLOB數據、CLOB數據、IOT表的Mapping表、B*Tree索引、Bitmap索引、全局索引等特殊數據類型和索引類型的加密正常讀寫、相等和范圍查詢，同時能夠基于密文索引實現數據的相等和范圍查詢，且密文索引能夠被數據庫系統自動識別，整體提升了數據存儲的安全性。
3）多維度訪問控制
為保證數據存儲安全，數據庫透明加密系統支持三權分立功能，提供多維度的訪問控制管理，包括數據庫準入認證、特權賬戶權限隔離、直連訪問、訪問授權等。
4）敏感數據動態屏蔽
為保證數據安全存儲，實現數據安全訪問，數據庫透明加密系統支持SQLPLUS、PLSQLDEV等SQL管理工具查詢加密數據時的動態屏蔽，可根據用戶身份以及設置的屏蔽規則，通過多種屏蔽規則算法，對不同權限的用戶返回真實數據、部分遮蓋、全部遮蓋以及其他屏蔽算法得到的結果，從而保證業務人員、運維人員等訪問數據的安全性。
5）業務透明無感知
數據庫透明加密在加解密數據的過程中對于業務是完全無影響的，且無需改遍應用和任何業務邏輯，整體增強了業務訪問的便利性。業務程序無需改變任何業務邏輯，無需知道秘鑰，無需改變任何代碼，透明訪問加密的敏感數據；加解密過程透明，對于具備密文訪問權限的應用自動進行加解密，反之則拒絕；透明加密系統無需改變索引策略，保證業務程序性能無損；對于SQL語句中的增刪改查操作、函數、存儲過程等均透明；對于主外鍵、唯一索引、NOTNULL等重要約束透明。
為保護加解密密鑰的安全性管理，加密系統支持對安全密鑰以及加密策略的備份恢復機制。同時加密系統支持多級、混合的密鑰管理方案，將密鑰分為主密鑰和工作密鑰，主密鑰保護工作密鑰，工作密鑰用于保護被加密的目標（敏感表、字段）。為了保護密鑰的安全性，主密鑰和工作密鑰支持目標數據庫外保存，同時也支持存儲于加密設備或者UKEY中，實施離線保存機制。
美創數據庫透明加密系統全面兼容多種國密、國際標準算法，如SM4國密算法，DES、3DES、AES128、AES192、AES256等國際標準算法，實現為數據加密提供高效的密碼運算和加解密服務，同時具備領先的加解密性能，保證敏感數據的機密性、真實性、完整性和抗抵賴性。
8）運維行為審計
在數據庫維護工作中，運維行為中存在眾多的風險操作，數據庫透明加密提供針對運維人員訪問行為審計，審計運維的全過程，并記錄詳細的用戶行為信息，精確到操作人、具體操作、操作終端等，確保運維行為的合規性，保證數據存儲的安全性。
針對安徽省高速公路聯網運營有限公司各業務系統數據需進行共享交換、開發測試時敏感數據保護的問題。通過部署數據脫敏系統實現不同場景敏感數據脫敏問題。數據脫敏系統滿足為不同環境提供脫敏后的生產數據，即使需要將數據共享給第三方，脫離管控，也可以通過數據水印功能進行版本溯源。
浙公網安備 33010502006954號 
