安永数据库加密系统

1、需求分析

随着数据规模、流通需求不断增加，作为数字经济时代最主要生产要素的数据，其安全性亟待保护。

在各类系统中，数据库系统担负着存储和管理信息的任务，集中存放着大量敏感数据，又为众多用户直接共享。这些信息很容易招致泄露或破坏，而数据库中的数据大多以明文形式存储，一旦泄露，不仅造成业务受损，给企业和社会带来巨大损失，甚至危及国家安全，必须要采取适当的措施进行数据库内数据的防护。

2、产品简介

安永数据库加密系统是基于芯片级密钥安全、可搜索加密(Searchable Encryption)、硬件可信执行环境 (Trusted Execution Environment) 等实现敏感数据加密存储的数据库防泄漏产品。系统支持使用国产加密算法SM4对敏感数据加密，支持列/表/库等不同细粒度的加密配置，可应用于关系型数据库的结构化数据加密，支持国产信创环境，有效满足各类用户的等保、分保测评、数据安全防护需求。

3、产品优势

（1）基于TEE技术

密钥管理及使用限定TEE内部，密钥不明文存在于内存中，确保密钥安全。

（2）芯片级密钥安全

基于信创底层安全能力，研发芯片级的密钥保护技术，保证密钥安全。

（3）高效加密索引

独有且经过工程化验证的可搜索加密技术，确保加密后的高效索引，解决行业痛点。

（4）独立密钥管理

支持软件、密码机、加密卡等多种密钥生成方式，加密密钥独立生成、独立管理。

（5）适配信创环境

产品可支持信创环境运行，可在龙芯、飞腾、海光、兆芯、鲲鹏等各类国产化环境高效运行。

4、功能特点

（1）动态加解密

加解密以智能化对存储在数据库中的数据进行自动实时灵活的动态加密解密，不需要人为干涉，完全实现对数据的安全存储、安全使用，防止信息涉密。

（2）高容灾能力

支持加密系统双机部署，主从互备，防止主机故障、网络故障、程序故障引起的业务损失。通过分批次加解密、数据校验保护、数据库运行状态监控、预加密验证、备份恢复等一系列可靠性保护技术，确保数据加解密过程中的安全、可靠和可恢复性。

（3）全透明访问

加密后对外部保持全透明特性，支持查询、插入、更新、删除等操作，应用系统无需改造。客户语句操作和应用程序不需修改，对应用开发接口全面透明，常用第三方管理工具可正常使用，对存储过程和函数透明。

（4）独立权控

提供针对加密数据的权限控制，从客户端的程序、IP、时间、星期多个维度限制部分用户的增删改查操作，防止敏感数据泄露。对授权用户提供无感知的自动加解密和透明访问，对非授权用户提供独立于数据库权限体系之外的第三方独立访问控制。

（5）支持多种数据类型和平台

可支持Oracle、 MySQL、PostgrelSQL、达梦、人大金仓、高斯DB、神舟通用、南大通用等多种数据库类型，支持 Linux 操作系统，包括龙芯、飞腾在内的绝大多数国产化环境。

5、应用价值

（1）防黑客拖库

通过数据库透明加密产品对敏感数据进行加密存储，确保他人即使拿到了数据文件，也无法获取敏感信息。可有效防止黑客利用数据库漏洞攻击入侵数据库，最终针对数据库中的数据进行拖库。

（2）防越权访问

数据库维护人员，一般拥有DBA权限，可获取数据库中所有的敏感信息，存在内部人泄露风险，不符合安全规范。通过独立的、增强的权限控制、三权分立机制，确保任何用户在没有获得密文权限时无法获取数据库敏感信息。

（3）满足合规要求

加密是众多安全政策的硬性要求，《网络安全法》要求采取数据分类、重要数据备份和加密等措施。《工业和信息化部关于近期部分互联网站信息泄漏事件的通告》，要求各互联网站采用加密方式存储用户信息。等级保护相关规定要求三级以上系统应采用加密或其他有效措施；实现系统管理数据、鉴别信息和重要业务数据存储保密性。 分级保护要求系统内的涉密信息存储应采取密码措施进行保护，数据库应采用安全加强措施。部署数据库加密系统可以实现合法合规的目标。

6、部署模式

数据加密产品采用旁路部署模式，与客户数据库系统路由可达即可，现有系统及网络拓扑均无需改动。外置设备部署完毕之后，系统功能开启后会自动在客户数据库系统中部署，无需人工干预，简便快速。