由谷安研究院、安全牛聯合安華金和、明朝萬達等數據安全領域代表性技術廠商編寫的《中小銀行數據安全治理報告》現已正式發布！作為數據安全治理在國內的首倡者與踐行者，《報告》重點收錄了安華金和數據安全治理研究成果以及在中小銀行數據脫敏、數據庫安全審計等方面的觀點、建議與典型案例等內容。此前，安華金和已同安全牛有過多次深度合作，聯合發布過《數據脫敏應用指南報告》、《數據庫安全應用指南》等一系列行業重磅參考資料。
近期，安華金和已通過多篇分析文章，針對數據脫敏技術在政府、金融等重要行業的應用難點、挑戰、關鍵指標、選型方法與解決方案進行了詳細解讀。本文中，我們將繼續介紹“動+靜”與“用+護”的數據脫敏技術應用內容，并于文末提供“數據脫敏技術應用資料合輯”下載二維碼！
動與靜的“三點”不同
動態數據脫敏與靜態數據脫敏的區別
1、應用場景的不同
靜態脫敏：適用于將數據從生產環境抽取出來，脫敏后分發至開發、測試、培訓、數據分析或外部第三方等場景。
靜態脫敏是將數據抽取并進行脫敏處理后下發至測試庫，以供開發、測試、培訓、數據分析或外部第三方人員使用；脫敏后的數據與生產環境隔離，在滿足業務需要的同時保障了生產數據庫的安全，可看做是對數據的“搬移與仿真替換”。
動態脫敏：適用于在不脫離生產環境的情況下，對敏感數據的查詢和調用結果進行“實時”脫敏等場景。
動態脫敏是根據“權限最小化原則”對生產庫返回的數據進行實時脫敏處理，確保脫敏后數據安全、可用。例如：需要在應用中呈現部分數據，但不希望應用賬號查看全部數據；需要人員維護表結構、進行系統調優，但不希望運維人員檢索或導出真實數據等等，可看做是對數據的“邊脫敏，邊使用”。
2、技術路線的不同
靜態脫敏：通過屏蔽、變形、替換、隨機、格式保留加密（FPE）和強加密算法（如AES）等多種脫敏算法，針對不同數據類型進行數據掩碼擾亂，并將脫敏后的數據按用戶需求裝載至不同的環境中；可提供文件至文件，文件至數據庫，數據庫至數據庫，數據庫至文件等不同裝載方式。
動態脫敏：通過準確解析SQL語句匹配脫敏條件，例如：訪問IP、MAC、數據庫用戶、客戶端工具、操作系統用戶、主機名、時間、影響行數等，在匹配成功后通過改寫訪問敏感數據的SQL語句來實現動態脫敏，并將性能影響降至最低，不會影響業務系統的正常運行以及日常運維操作的時效性。
3、部署方式的不同
靜態脫敏：將脫敏設備部署于生產環境與測試、開發、共享環境之間，通過脫敏服務器實現靜態數據抽取、脫敏、裝載；在安全要求較高的場景下，可在業務部門數據出口及測試部門數據入口分別部署脫敏服務器，通過offline的加密文件傳輸方式，將生產環境數據靜態脫敏至非生產環境。
動態脫敏：采用代理部署方式：物理旁路，邏輯串聯。應用或者運維人員對數據庫的訪問必須經過動態脫敏設備，并根據系統規則對數據訪問結果進行動態脫敏。
中小銀行動態數據脫敏
應用難點、挑戰與關鍵指標
《在中小銀行數據脫敏技術應用的解決思路》一文中主要講述靜態脫敏的應用，下面來談談動態數據脫敏在中小銀行的技術應用難點、挑戰與關鍵指標：
一、技術應用難點與挑戰
1、“應用系統改造”投入巨大！銀行具有繁多的業務應用系統，實現對應用數據訪問的實時動態脫敏，需要對每套業務應用進行改造，從而產生巨大的人力與財力消耗；如果現行業務應用已使用多年，還可能面臨對應廠商已不在售后服務期內等問題；因此，銀行想要通過“應用代碼改造”這一途徑達到對數據訪問的實時動態脫敏目的，在短時間內難以有效實現。
2、現行業務應用系統無法實現應用用戶權限與敏感數據脫敏強關聯！難以達成“對應用用戶權限進行有效管理，并結合不同數據使用場景，對不同用戶給予不同的敏感數據訪問權限”這一關鍵需求目標。
3、對數據泄露事件無法進行準確的追蹤溯源！敏感數據在共享、外發、訪問過程中一旦發生泄露，業務應用服務系統無法在事中完整、詳細地記錄數據泄露過程及泄露源頭，不能為事后追責、定責提供有力依據，從而導致損失和損害擴大化等問題。
二、技術應用關鍵指標
1、適配不同數據庫協議的能力：在中小銀行中，可能存在一個數據中心使用不同類型數據庫的情況，需要動態數據脫敏產品能夠對國際主流數據庫（如Oracle、MySQL、SQL Server、Db2、Informix、 Postgre SQL、HANA ）、國產數據庫（如達夢DM、GBase ）、 大數據組件（如Hive ）等不同類型的數據庫協議進行適配支持，滿足用戶對不同數據庫動態數據脫敏的需求。
2、高性能脫敏能力保障業務訪問連續性：以高性能確保連續性，是對數據訪問進行實時動態脫敏的重要前提！否則，一旦遇到大量業務應用訪問的情況，輕則因過長訪問等待時間影響用戶體驗，甚至可能導致業務應用癱瘓；因此，動態數據脫敏產品應具備毫秒級的脫敏性能，從而滿足銀行用戶對高精度、高性能的實時動態數據脫敏需求。
3、動態脫敏后數據高仿真，可用性滿足平臺要求：對于數據分析或業務報表統計等平臺而言，在實時訪問數據的場景下，它們需要數據經過動態脫敏后仍具有高仿真性與可用性，確保能夠進行二次使用。這也對動態數據脫敏產品提出了更高的要求。
4、實時解析，精準脫敏：如何從復雜的SQL 語句中精準識別語句和語義，并定位出真正需要被脫敏的是哪個敏感字段，是動態數據脫敏的真正價值所在。在中小銀行業務應用系統中，訪問數據時的業務SQL 語句大都較為復雜，常常出現多表關聯、嵌套、多語句等情況；對于這些復雜語句，需要廠商進行技術攻關，做到能夠在協議解析基礎上進行語法解析，從而實現精準的實時動態數據脫敏。
5、動態脫敏水印技術實現數據分發溯源：在數據實時訪問過程中，常發生“因數據分發給相關部門導致敏感數據泄露”的情況，且溯源、定責難度大，應用動態脫敏水印技術可有效應對此類難題——針對不同的分發場景，應用不同的偽行、偽列、文本水印、數值水印等動態脫敏水印技術與產品功能；當出現數據泄露事件后，便可通過泄露數據樣本中的數據水印對數據泄露途徑進行追溯。
【擴展閱讀】
產品咨詢：4000 258 365 
