HR行业方案与应用

概述

product description

数据库运维人员的水平直接影响数据库是否安全,而不少企业中数据库运维人员的高流动性给数据库安全带来了巨大的隐患。其中HR SaaS服务厂商(以下简称HR服务厂商)就是其中十分具有代表性的企业。

随着“互联网+政务”的发展,政府网站建设也不再是将线下业务原封不动地搬运到线上,而是通过优化流程,为公众提供“一站式”高效便捷服务。但现实中不少人却都经历过网上办事的尴尬:只是开一个证明,却需要在出生地和现居住地之间来回折腾;明明是同样的个人信息,却需要在不同政府部门反复提交……

安华金和客户中的一家HR服务厂商就指出了自己的问题:

“从线下到云上,我们企业已经做了20年了,有超过1000家‘有头有脸’的客户信息包括其员工信息和社保信息都在我们这里,有时候觉得简直是烫手的山芋,我们公司运维人员经验比较少,而且由于其日常工作内容和公司核心业务相去甚远,所以公司一直比较担心这块,再加上人员流动性的问题,感觉问题迫在眉睫。”

从安华金和多年的数据库安全领域的经验来看,运维人员水平不足、运维人员工作边缘化(监管缺失)、运维人员高流动性的确是公司数据库频频出现“内鬼”的核心原因。更有甚者,许多初创型企业根本没有运维人员,这无疑是“抱着金条的孩子在马路上跑”。

针对HR服务厂商的担心与需求,安华金和整理了一整套解决方案,不但解决了该行业的问题,任何具有相似需求的企业都可以借鉴。

企业内部人员作案被发现的风险很小,而一旦成功,获益又高得惊人,这导致一个又一个“内鬼”前赴后继,给HR服务厂商带来了致命的伤害。安华金和云数据库安全运维系统,可以有效防范来自内部的隐患。

部署该系统后,通过细粒度的访问与操作权限控制,明确每个内部人员的权限范围,通过对批量数据导出、drop、truncate及No Where更新删除等操作的控制,避免了内部人为操作给公司资产带来的损失。动态的敏感数据脱敏,在不影响正常运维工作的前提下,又能保证运维人员无法查看敏感的数据,降低信息从内部泄漏的机率。所有的运维操作都会留下日志记录,一旦发现某员工恶意操作及误操作的行为,管理人员都会及时与之沟通确认,避免事件升级,给公司带来不可挽回的损失。

黑客利用HR网站及APP应用缺陷及数据库漏洞,侵入服务器内部,提升操作权限,进行一些初步破坏,并威胁企业:如果不付出指定代价,将会执行更大程度的破坏。往往此时,企业为了减少损失,只能打掉了牙往肚里咽,乖乖交上赎金。然而能否息事宁人,还要看黑客们的脸色。

企业在云上,面临着相关政策法规的要求。网络安全法要求,采取监测、记录网络运行状态、并规定留存日志不少于六个月;云等保要求,等保二级以上信息系统进行安全审计、安全控制,同时也明确要求了审计和控制的范围、内容等,粒度要求到用户级、数据表、字段级。

安华金和云数据库审计系统,符合网络安全法和云等保要求,并已成功帮助数十家企业通过云等保,安华金和建议HR服务厂商部署云数据库审计,以满足合规要求。

对于HR服务厂商,最终的解决方案如下图所示:

在部署该解决方案后,HR服务厂商可以有效阻止来自外部黑客的攻击与勒索,掐断内鬼泄露信息的通道,安全、合规地运营地企业用户提供人力资源服务。