A水利厅主要负责拟订全区水利发展政策与规划，拟订全区及跨区域水资源中长期供求规划、水量分配方案，监督实施水利基础设施网络建设，同时，参与指导重要河湖水库的治理、开发和保护，河湖水生态保护与修复、河湖生态流量、水量管理，以及河湖水系连通工作等。
近年来，伴随A水利厅需要处理的数据量级不断攀升，其信息化程度也逐步提升，现已完成“政务上云”相关云计算建设工作，所有业务系统已整体上云，在显著缩减应用系统响应时间的同时，云上数据面临的安全隐患和威胁也与日俱增。
治理需求
根据《黄河水资源管理与调度系统运行维护考核方案及评分技术标准》有关要求：
1.黄河水资源管理与调度系统的各站点需密切联系与协调，打通数据传输屏障。
2.水文中心与黄委会水调局、水文局及信息中心等单位密切联系，积极协调中国移动等运营单位，合力完成联网互通，打通数据传输屏障，保障数据安全。
3.实现监测、采集数据的关联同步、数据整合与实时共享，提高黄河A区段水资源管理与调度信息化水平。
水利信息中心数据安全治理实践痛点分析
A区政府应用系统对水利数据的使用，以及水利数据交换共享平台中的数据，均于云计算中心中进行“流动”。在“流动”的过程中，不可避免会存在诸多数据安全隐患和问题。因此，如何有效加强数据在其全生命周期中的安全保障，同时在遵守《网络安全法》、《数据安全法》、等保2.0等相关法律法规内容的前提下，满足黄委会对A水利数据的共享及安全的要求，成为摆在A水利厅信息中心面前的一项重要工作。
1、数据库自身安全漏洞
A水利厅信息中心由多种类型数据库构成，包括：oracle、mysql、mssql、mongodb等，加之各类数据库系统功能繁多、结构复杂，且对应的应用客户端众多，导致各系统自身漏洞也屡见不鲜，从而威胁到数据库的安全。据CVE统计，数据库漏洞呈现逐年上升趋势，其中不少黑客或恶意用户会利用各类漏洞对数据库发动攻击进而入侵数据库系统，一旦得手将导致重要敏感数据被泄露或被破坏等严重后果，对A区水利厅数据安全防护工作造成重大损失及负面影响。
2、外部SQL注入攻击
A水利厅业务系统中存在部分对外开放的业务服务系统，不法分子可能通过互联网针对业务平台系统进行试探和攻击，比如：利用SQL注入非法入侵业务平台数据库系统，引发一系列数据安全问题。
3、违规操作非法篡改
A水利厅业务系统中的内部数据库维护人员或第三方维护人员有可能利用自身高权限，完成篡改后台数据等严重违规操作，对相关业务系统的正常运行造成直接危害。
4、数据明文存储存隐患
明文存储于数据库中的敏感信息面临泄露或被篡改的风险极大。由于A水利厅信息中心的业务系统中存有大量水资源及纳税人信息等敏感数据，一旦发生数据安全事件，将造成十分恶劣的社会影响，甚至危及国家安全。
建设思路
为解决A水利厅所面临的数据安全问题，结合A区电子政务云实际网络架构，在A区电子政务云分配给A区水利厅的云资源中部署“云数据库安全防护系统”和“云数据库加密系统”，构建对云上数据的安全防护机制，主要包括：
1.对A水利厅信息中心的各个数据库进行精细化访问控制，防止人员随意访问数据库，以杜绝各类误操作或恶意行为。
2.通过应用虚拟补丁功能，对A水利厅内无法打补丁且存有漏洞的数据库进行安全防护。
3.对A水利厅内存有明文数据的数据库进行底层加密，从根源阻断不法分子批量窃取、泄露重要敏感数据等恶意操作行为。
解决方案
安华金和云数据库安全防护系统
A水利厅的业务应用系统种类繁多，其中不乏有需要对公众开放的系统，而WEB服务器被暴露在网络之中，攻击者只要对WEB服务器进行网段扫描就很容易得到后台数据的IP和开放端口。因此，对于此类隐患需进行数据库级别的访问行为控制、危险操作阻断、可疑行为拦截；而面对来自于外部的入侵行为，需提供防SQL注入禁止与数据库虚拟补订包功能；同时，通过虚拟补丁防护，保证数据库系统不用升级、打补丁亦可完成对主要数据库漏洞的安全防控，从而有效保护后台数据库不会暴露在复杂的网络环境中，以构建更为完善的数据库安全防护体系。
1、应用身份识别
通过对A水利厅应用身份的精准识别，让合法应用发出的SQL语句可以直接访问数据库，而未经授权或绑定的其他登录工具或应用均无法登录后台数据库，以确保数据被正确的人员访问和使用。
2、抵御SQL注入
通过建立SQL注入特征库，对SQL语句进行注入特征描述，从而完成对恶意“SQL注入”行为的准确检测和及时阻断。
3、虚拟补丁防护
于数据库外的网络访问路径上创建一个安全层，数据库在无需打补丁的情况下即可实现对各类主要数据库漏洞的安全防护，而对有“扩展脚本”或“缓冲区溢出”攻击特征的SQL语句，则通过匹配特征库直接对其进行拦截。
4、阻断漏洞攻击
将对数据库的访问设置为“许可”或“禁止”模型，并按照SQL自身语法结构划分SQL类别，从而通过自定义模型添加新的SQL注入特征，以有效阻断相关风险；同时，通过开启虚拟补丁配置策略，对数据库漏洞攻击进行安全防护。
5、权限细粒度管理
构建更为详细的虚拟权限控制，对相关用户进行细粒度控制策略，例如：用户+操作+对象+时间；同时，在控制操作中增加了UpdateNowhere、deleteNowhere等高危操作阻断；并对返回行数和影响行数进行精确控制。
安华金和云数据库加密系统
针对数据库存储的明文数据，应对敏感字段做加密存储，对敏感数据也要做数据脱敏，以确保数据即便丢失也不会导致整库泄密。同时，备份文件也应严格管理，如对敏感列采用加密方式存储等。此外，在登录数据库服务器本地维护与应急数据库操作期间，存在明文数据泄漏的风险，因此需要安全管理员同时在场，而对保密要求更高的数据需要进行加密存储，并通过“三权分立”的方式对数据库进行有效管理。
1、透明数据加密
在部署数据库加密系统的过程中不需要对A水利厅原有应用系统进行任何更改，即可实现仅具备密文访问权限的合法用户可访问对应的明文数据，且该操作过程对用户是完全透明的。
2、多样数据加密
对数据按列进行加密，可对指定列采用指定的加密算法和密钥进行加密处理；加密后的数据以密文的形式存储在表空间中；且能够实现对VARCHAR、VARCHAR2、CHAR、NUMBER、DATE、CLOB、BLOB类型的加密。
3、密文权限管理
对加密数据库增设虚拟权限管理员，以确保原有的管理员与虚拟权限管理员能够完全独立，共同针对敏感字段的进行强存取控制，从而实现真正的“责权一致”；如此，既可由原有DBA实现对普通字段的一般性访问权限控制，亦可由虚拟权限管理员实现对敏感字段的密文访问权限控制于加解密处理。
4、细粒度访问控制
对密文数据的访问权限进行精细控制，做到按时间、按地点的授权模式，从而使数据库用户在规定的时间范围内、通过指定的IP地址进行密文数据的访问权限控制，以防止特权用户对敏感数据的非法访问，而是只有被授权用户才能看到明文数据。同时，因授权按列进行，具备很好的灵活性和安全性，使得非授权用户无法读取加密列（查询）或更改加密列的数据。
5、高效数据检索
对数据库进行安全加密增强后，依然能够对加密数据进行索引查询，从而保持了合法用户对数据库的高效访问需求。
应用效果
云数据安全防护系统、云数据库安全加密系统，帮助A区水利厅显著提升了其数据安全防护能力与水平。同时，规范了A水利厅业务侧及运维侧对数据库的访问和操作行为，也强化了客户方的数据安全防护意识：
1.实现网络可信：逻辑串联部署在业务平台数据库的前端，避免黑客无法绕过数据库安全防护直接访问数据库。
2.实现应用服务器可信：通过对业务系统进行IP/MAC绑定，确保只有经过授权的服务器和设备能够访问数据库。
3.实现底层数据加密：对数据库底层数据进行加密，从源头解决数据明文存储的安全隐患。
4.实现独立权控体系：在数据库权控之上，新建独立的权控体系，以防止超级账号对权限的滥用。