数据安全运维指导建议

数据安全运维指导建议一概述1.数据安全的含义数据安全有两方面的含义：一是数据本身的安全，主要是指采用现代密码算法对数据进行主动保护，如数据保密、数据完整性、双向身份认证等，二是数据防护的安全，主要是采用现代信息存储手段对数据进行主动防护，如通过磁盘阵列、数据备份、异地容灾等手段保证数据的安全。数据处理的安全是指如何有效的防止数据在录入、处理、统计或打印中由于硬件故障、断电、死机、人为的误操作、程序缺陷、病毒或黑客等造成的数据库损坏或数据丢失现象，某些敏感或保密的数据可能不具备资格的人员或操作员阅读，而造成数据泄密等后果。而数据存储的安全是指数据库在系统运行之外的可读性。一旦数据库被盗，即使没有原来的系统程序，照样可以另外编写程序对盗取的数据库进行查看或修改。从这个角度说，不加密的数据库是不安全的，容易造成商业泄密，所以便衍生出数据防泄密这一概念这就涉及了计算机网络通信的保密、安全及软件保护等问题。2.威胁数据安全的因素威胁数据安全的因素有很多，主要有以下几个比较常见：1）硬盘驱动器损坏：一个硬盘驱动器的物理损坏意味着数据丢失。设备的运行损耗、存储介质失效、运行环境以及人为的破坏等，都能造成硬盘驱动器设备造成影响。2）人为错误：由于操作失误，使用者可能会误删除系统的重要文件，或者修改影响系统运行的参数，以及没有按照规定要求或操作不当导致的系统宕机。3）黑客：入侵者借助系统漏洞、监管不力等通过网络远程入侵系统。4）病毒：计算机感染病毒而招致破坏，甚至造成的重大经济损失，计算机病毒的复制能力强，感染性强，特别是网络环境下，传播性更快。5）信息窃取：从计算机上复制、删除信息或干脆把计算机偷走。6）自然灾害7）电源故障：电源供给系统故障，一个瞬间过载电功率会损坏在硬盘或存储设备上的数据。二关键数据的保护方法数据是信息化系统真正的核心，企业已经把关键数据视为正常运作的基础。一旦遭遇数据灾难，那么整体工作会陷入瘫痪，带来难以估量的损失。保护关键的业务数据有许多种方法，但以下三种是基本方法：1.备份关键数据备份数据就是在其他介质上保存数据的副本。有两种基本的备份方法：完整备份和增量备份。完整备份会把所选的数据完整地复制到其他介质。增量备份仅备份上次完整备份以来添加或更改的数据。4.优化安全策略对安全策略进行有针对性的设置，例如设置最大错误登陆次数、口令解锁时间、口令复杂度。同时在安装数据库，针对实际使用情况，关闭不需要的服务和模块。5.加强信息加密管理数据库管理员要经常修改系统中的banner信息，可以通过设置服务口令来防治信息泄露。此外，还可以要求开发厂商对于数据库的敏感信息进行加密设置，使用较为强壮的加密算法，保证关键信息不被外泄.6.设置审计策略建议用户开启数据库日志审核模块，开放审计登录事件、数据库操作事件、敏感信息操作事件等。7.合理使用综合防护措施设置数据库访问控制策略，并限制访问数据库的IP，此外，对于防火墙也需要进行有效的设置，防止黑客利用防火墙漏洞进行攻击。8.数据库安全产品在条件允许的情况下，可以选择第三方的数据库审计、数据防泄密、数据加密等数据库安全产品进行数据的保护。四数据安全管理制度根据国家法律和有关规定制定适合本单位的数据安全制度，大致需要制定如下几个方面的管理制度：1）对应用系统使用、产生的介质或数据按其重要性进行分类，对存放有重要数据的介质，应备份必要份数，并分别存放在不同的安全地方（防火、防高温、防震、防磁、防静电及防盗），建立严格的保密保管制度。2）根据数据的保密规定和用途，确定使用人员的存取权限、存取方式和审批手续。4）重要数据（介质）库，应设专人负责登记保管，未经批准，不得随意挪用重要数据（介质）。5）在使用重要数据（介质）期间，应严格按国家保密规定控制转借或复制，需要使用或复制的须经批准。6）对所有重要数据（介质）应定期检查，要考虑介质的安全保存期限，及时更新复制。损坏、废弃或过时的重要数据(介质)应由专人负责消磁处理，秘密级以上的重要数据（介质）在过保密期或废弃不用时，要及时销毁。7）机密数据处理作业结束时，应及时清除存储器、联机磁带、磁盘及其它介质上有关作业的程序和数据。8）机密级及以上秘密信息存储设备不得并入互联网。重要数据不得外泄，重要数据的输入及修改应由专人来完成。重要数据的打印输出及外存介质应存放在安全的地方，打印出的废纸应及时销毁。五表格附件附件1备份介质借用申请表申请日期：年月日申请单编号借用人借用部门数据名称数据类型一般数据□重要数据用途借用时间年月日预计归还时间年月日部门负责人建议信息管理部建议以下资料由信息管理部填写借出备份材料编号备注借出时间借出人归还时间回收人附件2数据库权限申请表申请时间：年月日申请人所属部门申请权限类型申请理由申请人申请人联系电话协议数据库用户名密码不得外借他人，如果账号在使用中出现违反支付事业部相关法规和制度，以及公司相关保密制度，将由其本人承担一切后果，同时部门将追究申请人所属部门的责任。申请人（签字）申请部门负责人意见：签名盖章年月日信息主管领导意见：签名盖章年月日附近3数据备份/恢复测试记录