1. 聚能聊>
  2. 话题详情

盘点2018数据泄露,数据权限放还是不放?

来自网络数据:网络安全年终盘点:2018年数据泄露事件回顾
image
Facebook 数据泄露,致市值大跌!
时间:2018年3月、泄露数据量:约8700万用户数据
安德玛1.5亿用户信息泄露
时间:2018年3月、泄露数据量:1.5亿
A站惨遭拖库,近千万用户数据外泄
时间:2018年6月、泄露数据量:近千万
快递行业惨遭重创,圆通10亿条用户信息数据外泄
时间:2018年6月、泄露数据量:10亿
重蹈覆辙,顺丰快递3亿用户信息外泄
时间:2018年7月、波及用户:约3亿
华住集团5亿用户数据泄露
时间:2018年8月、泄露数据量:约5亿
万豪集团步华住集团后尘
时间:2018年11月、泄露数据量:约5亿

简直触目惊心!
数据泄露事件在2018年可谓是接二连三的发生,企业数据安全建设是企业不容忽视的数据屏障,数据库表账号密码等权限急需收口管控。除了严防黑客,也不能给内部员工犯错机会,不管是有意的还是无意的,当然管控的同时也不能影响研发流程和工作效率。
传统数据库安全管控方案漏洞频出
传统的人为数据安全管控方案有两种,集权管理和分权管理。使用集权管理方案需要在业务代码使用账号之外,创建独立的读写账号、只读账号,只给与DBA、运维等特定的人员,但是这种方案的弊端在于,对于有些需要快速响应查看数据进行决策的场景,繁琐的步骤将直接影响研发效率。如果采用分权管理,创建独立的读写账号、只读账号,分发到一线负责人,相较于集权管理,效率有一定的提升,但是接触数据库账号密码人员较多,人员变动时需要及时变更账号密码信息确保安全。

阿里云数据管理DMS企业版针对此问题,提供了从访问源头开始防护的完善、成熟的数据安全访问解决方案。
作为业界领先的面向企业的数据库DevOps解决方案,DMS企业版旨在帮助企业安全、高效的使用数据库,提升研发与DBA运维的协作效率,为企业核心数据提供更安全的访问管控和操作记录查询审计。通过DMS企业版,员工不再直接接触数据库账号密码,但可在DMS平台完成库表权限申请、字段分级、数据变更、数据导出、数据查询、结构设计、库表同步、SQLReview、访问IP白名单、自定义审批流程、操作审计等在内的多项功能和服务。
2019年2月27日,数据管理DMS企业版重磅升级研发流程和安全管控,并将直播发布,免费报名观看>>
数据安全升级:
引入数据保护伞实现库表字段元数据、表内数据的规则自动扫描打标,帮助用户更有效的进行数据的分级管理;避免不必要的敏感数据流出风险。
研发流程升级:
新增界面化表结构设计功能支持MySQL、DRDS、OceanBase引擎企业按需指定设计规范、设计流程,进行有效的变更管控;同时新增MySQL引擎的完全不锁表结构变更支持,规避业务在结构变更期间锁表造成的阻塞问题。
同时,数据管理DMS重磅推出云数据库实验室,提供免费空间,让你无需拥有数据库即可玩转数据管理!快来体验吧!

问题来啦,按照下面格式回复赢奖品!
1、你们企业的研发可以直接接触数据库账号密码吗?操作权限有怎样的审批流程,是否影响研发效率?
2、在你看来,身边有哪些数据安全隐患?
3、从企业数据安全出发,你认为的数据权限该不该放给研发,该如何放?
数据管理DMS年度升级,阿里云数据库实验室直播传送门!

参与话题

奖品区域 活动规则 已 结束

  • 奖品一

    阿里云代金券 x 3

  • 奖品二

    云栖定制电脑包 x 1

  • 奖品三

    福禄寿淘公仔 x 1

58个回答

1

古散

1、你们企业的研发可以直接接触数据库账号密码吗?操作权限有怎样的审批流程,是否影响研发效率?
不可以,只有一个只读权限的账户,需要逐级审批,不过一般比较快,有一些影响,不过还在能接受的范围

2、在你看来,身边有哪些数据安全隐患?
使用的破解版的开发工具,感觉会有安全问题
3、从企业数据安全出发,你认为的数据权限该不该放给研发,该如何放?

把权利放到笼子里,逐级审批还是有作用的,一些致命权限必须要审批

1

黄二刀 已获得阿里云代金券 复制链接去分享

1、你们企业的研发可以直接接触数据库账号密码吗?操作权限有怎样的审批流程,是否影响研发效率?
我们有专门的测试库,所以可以直接接触到数据库账号密码,生产库是不允许触碰的,风险太大了。如果获取权限还要走审批那效率就太低了,不走审批,风险又太大。
2、在你看来,身边有哪些数据安全隐患?
物理删除、硬盘损坏、数据泄露、非法篡改。
3、从企业数据安全出发,你认为的数据权限该不该放给研发,该如何放?
在生产库上给出只读不写的权限是可以的,毕竟有些异常没有真实数据是没办法测出来的。

1

tony1991 已获得阿里云代金券 复制链接去分享

1、你们企业的研发可以直接接触数据库账号密码吗?操作权限有怎样的审批流程,是否影响研发效率?
生产环境除运维外,其他人不能直接接触密码,若研发需登录生产必须由运维登录一个只有查询权限的账号。

2、在你看来,身边有哪些数据安全隐患?
数据库弱口令,数据库密码长期不进行变更

3、从企业数据安全出发,你认为的数据权限该不该放给研发,该如何放?
生产数据不允许直接备份还原至测试环境,必须对数据进行完全脱敏,并且还原时必须走特定的审批流程,由关键负责人进行审批。

3

wangccsy 复制链接去分享

1、你们企业的研发可以直接接触数据库账号密码吗?操作权限有怎样的审批流程,是否影响研发效率?
研发对自己研发产品的数据是直接访问的。所以也没什么安全。只允许本机访问,所以采用的是系统集成验证。对于公司的数据,却是不能访问的。也没有权限去访问,所以没有审批流程。
2、在你看来,身边有哪些数据安全隐患?
我们产品的数据信息,是不加密存放数据库的。在客户现场也是这样,服务人员可以(或者经用户允许的其它厂商的人员)可以很轻松的拷贝我们的数据库,但得到的是用户的数据。
3、从企业数据安全出发,你认为的数据权限该不该放给研发,该如何放?
数据权限本不应该下放给研发的,除非是在进行相应产品的维护。如果研发要使用,最好由系统维护人员提供API供研发查询使用,不可直接访问。

1

doogoot 复制链接去分享

1、你们企业的研发可以直接接触数据库账号密码吗?操作权限有怎样的审批流程,是否影响研发效率?
知道密码。但是数据库访问做了ip限制。有审批流程,也有不需要审批,但是有操作记录。不影响开发效率,现在想收紧权限。

2、在你看来,身边有哪些数据安全隐患?
有一个数据查询功能,能看到全部数据,没有做到数据保护。

3、从企业数据安全出发,你认为的数据权限该不该放给研发,该如何放?
按需分配。

有一个问题:
数据分析师要在一个数据库里自己建一些表辅助统计和分析,怎么设置权限比较好?

数据管理dms 回复

这个建议是通过企业版,给这个同学开通对应数据库的“变更”权限,然后由这个同学去提交【数据变更】工单进行相应表的新建与修改SQL的提交。提交之后按照你们配置的这个实例的【安全规则】走到对应的审批流程进行管控确认,若这个实例为分析师专属环境也可以免审批提交语法正确通过就可以执行,若为共用实例建议还是走相应的一些审批流程确认后再通过工单触发执行

实现的效果是:人员还是不接触数据库账号密码,但是变更能够得到有效、快速的实施,不影响研发效率。

评论
1

浮生递归 复制链接去分享

1、你们企业的研发可以直接接触数据库账号密码吗?操作权限有怎样的审批流程,是否影响研发效率?
可以,没有专门的数据库管理人员,都是谁的开发项目,就谁管这个项目的数据库。操作权限曾经有过规范化的计划,但是只执行了一段时间就没执行了。主要原因也是因为虽然安全性提高了,但是太繁琐,严重降低开发效率,也就是增加企业成本,用户体验也不好,所以在实施过程中慢慢淡化掉了。

2、在你看来,身边有哪些数据安全隐患?
很多,非常多。比如新进员工接触单位重大项目的服务器,而代码和数据库都在同一个服务器上。删库跑路这种基本套路,不是危言耸听。还有数据库也没有实时备份,万一数据出错甚至丢失,那就玩完了。

3、从企业数据安全出发,你认为的数据权限该不该放给研发,该如何放?
看规模,规模大的企业,权限应当要分开。规模越大,分得越细。但是小微企业可能就没有可行性了。毕竟要考虑到各种成本,只能冒险把权限直接给研发。如果数据安全做好了,但是企业却因为人力成本太高,导致亏本而关门歇业,那所谓的安全也是没有意义的。首先是生存,然后才是发展。

1

耳东@Erdong 复制链接去分享

1、你们企业的研发可以直接接触数据库账号密码吗?操作权限有怎样的审批流程,是否影响研发效率?

研发不能直接接触数据库,不允许研发接触生产库。不影响研发效率。
2、在你看来,身边有哪些数据安全隐患?

数据库语句编写不合规。
3、从企业数据安全出发,你认为的数据权限该不该放给研发,该如何放?

数据权限可以定期同步生产库到一个固定地方。给研发特定库表的只读权限,用完就收回。

1

游客amsvaa2fenbww 复制链接去分享

1、你们企业的研发可以直接接触数据库账号密码吗?操作权限有怎样的审批流程,是否影响研发效率?
可以直接接触,操作权限因人而异,根据岗位调配权限专员负责,及时解决权限丢失问题,一般影响不到效率。
2、在你看来,身边有哪些数据安全隐患?
人员素质和价值观的认可上。
3、从企业数据安全出发,你认为的数据权限该不该放给研发,该如何放?
该发放。及时做到收放有记录。

0

orcas 复制链接去分享

很多公司为了使用方便会开放权限

0

凉筑 复制链接去分享

数据权限还是把握在有责任心,有道德的人手里,权限不放

0

sw520.cc 复制链接去分享

1、你们企业的研发可以直接接触数据库账号密码吗?操作权限有怎样的审批流程,是否影响研发效率?
可以,没有专门的数据库管理人员,都是谁的开发项目,就谁管这个项目的数据库。操作权限曾经有过规范化的计划,但是只执行了一段时间就没执行了。主要原因也是因为虽然安全性提高了,但是太繁琐,严重降低开发效率,也就是增加企业成本,用户体验也不好,所以在实施过程中慢慢淡化掉了。
2、在你看来,身边有哪些数据安全隐患?
很多,非常多。比如新进员工接触单位重大项目的服务器,而代码和数据库都在同一个服务器上。删库跑路这种基本套路,不是危言耸听。还有数据库也没有实时备份,万一数据出错甚至丢失,那就玩完了。
3、从企业数据安全出发,你认为的数据权限该不该放给研发,该如何放?
看规模,规模大的企业,权限应当要分开。规模越大,分得越细。但是小微企业可能就没有可行性了。毕竟要考虑到各种成本,只能冒险把权限直接给研发。如果数据安全做好了,但是企业却因为人力成本太高,导致亏本而关门歇业,那所谓的安全也是没有意义的。首先是生存,然后才是发展。

0

1535491482356349 复制链接去分享

1、你们企业的研发可以直接接触数据库账号密码吗?操作权限有怎样的审批流程,是否影响研发效率?
开发时密码是通密,不用审批
2、在你看来,身边有哪些数据安全隐患?
密码的复杂程度
3、从企业数据安全出发,你认为的数据权限该不该放给研发,该如何放?
放,上线只放给核心层

0

叶龙杰 复制链接去分享

数据库系统必须要保证安全 用户信息不可泄露 权限当然要慎重管理 层层审批

0

蹦蹦的蹦 复制链接去分享

不放

0

aoteman675 复制链接去分享

1、你们企业的研发可以直接接触数据库账号密码吗?操作权限有怎样的审批流程,是否影响研发效率?
账号只有一个,密码是随机的,进入数据库需要主管授权密码才行,而且生产环境和测试环境是隔离的,生产环境不允许测试,

2、在你看来,身边有哪些数据安全隐患?
数据库端口都不改,账号都是默认的,密码不更新。数据出入日志常年不维护。

3、从企业数据安全出发,你认为的数据权限该不该放给研发,该如何放?
放给研发,数据泄露大增,因为业务测试有多种可能性,放给研发的数据要审核,而且要多级审核。

0

鸭组duck 复制链接去分享

有人定期排查么 企业都不注意安全

0

商海精英 复制链接去分享

不放弃

0

游客us5ljljgaak4e 复制链接去分享

放不放,技术层次都是不是重点 我觉得在于在技术之上把控一个度

0

游客us5ljljgaak4e 复制链接去分享

放不放,技术层次都是不是重点 我觉得在于在技术之上把控一个度

0

游客us5ljljgaak4e 复制链接去分享

放不放,技术层次都是不是重点 我觉得在于在技术之上把控一个度

3