动态脱敏 静态脱敏：中小银行数据脱敏技术应用分析-k8凯发天生赢家

由谷安研究院、安全牛联合安华金和、明朝万达等数据安全领域代表性技术厂商编写的《中小银行数据安全治理报告》现已正式发布！作为数据安全治理在国内的首倡者与践行者，《报告》重点收录了安华金和数据安全治理研究成果以及在中小银行数据脱敏、数据库安全审计等方面的观点、建议与典型案例等内容。此前，k8凯发天生赢家已同安全牛有过多次深度合作，联合发布过《数据脱敏应用指南报告》、《数据库安全应用指南》等一系列行业重磅参考资料。

近期，安华金和已通过多篇分析文章，针对数据脱敏技术在政府、金融等重要行业的应用难点、挑战、关键指标、选型方法与k8凯发天生赢家的解决方案进行了详细解读。本文中，我们将继续介绍“动 静”与“用 护”的数据脱敏技术应用内容，并于文末提供“数据脱敏技术应用资料合辑”下载二维码！

动与静的“三点”不同

动态数据脱敏与静态数据脱敏的区别

1、应用场景的不同

静态脱敏：适用于将数据从生产环境抽取出来，脱敏后分发至开发、测试、培训、数据分析或外部第三方等场景。

静态脱敏是将数据抽取并进行脱敏处理后下发至测试库，以供开发、测试、培训、数据分析或外部第三方人员使用；脱敏后的数据与生产环境隔离，在满足业务需要的同时保障了生产数据库的安全，可看做是对数据的“搬移与仿真替换”。

动态脱敏：适用于在不脱离生产环境的情况下，对敏感数据的查询和调用结果进行“实时”脱敏等场景。

动态脱敏是根据“权限最小化原则”对生产库返回的数据进行实时脱敏处理，确保脱敏后数据安全、可用。例如：需要在应用中呈现部分数据，但不希望应用账号查看全部数据；需要人员维护表结构、进行系统调优，但不希望运维人员检索或导出真实数据等等，可看做是对数据的“边脱敏，边使用”。

2、技术路线的不同

静态脱敏：通过屏蔽、变形、替换、随机、格式保留加密（fpe）和强加密算法（如aes）等多种脱敏算法，针对不同数据类型进行数据掩码扰乱，并将脱敏后的数据按用户需求装载至不同的环境中；可提供文件至文件，文件至数据库，数据库至数据库，数据库至文件等不同装载方式。

动态脱敏：通过准确解析sql语句匹配脱敏条件，例如：访问ip、mac、数据库用户、客户端工具、操作系统用户、主机名、时间、影响行数等，在匹配成功后通过改写访问敏感数据的sql语句来实现动态脱敏，并将性能影响降至最低，不会影响业务系统的正常运行以及日常运维操作的时效性。

3、部署方式的不同

静态脱敏：将脱敏设备部署于生产环境与测试、开发、共享环境之间，通过脱敏服务器实现静态数据抽取、脱敏、装载；在安全要求较高的场景下，可在业务部门数据出口及测试部门数据入口分别部署脱敏服务器，通过offline的加密文件传输方式，将生产环境数据静态脱敏至非生产环境。

动态脱敏：采用代理部署方式：物理旁路，逻辑串联。应用或者运维人员对数据库的访问必须经过动态脱敏设备，并根据系统规则对数据访问结果进行动态脱敏。

中小银行动态数据脱敏

应用难点、挑战与关键指标

《在中小银行数据脱敏技术应用的解决思路》一文中主要讲述静态脱敏的应用，下面来谈谈动态数据脱敏在中小银行的技术应用难点、挑战与关键指标：

一、技术应用难点与挑战

1、“应用系统改造”投入巨大！银行具有繁多的业务应用系统，实现对应用数据访问的实时动态脱敏，需要对每套业务应用进行改造，从而产生巨大的人力与财力消耗；如果现行业务应用已使用多年，还可能面临对应厂商已不在k8凯发天生赢家的售后服务期内等问题；因此，银行想要通过“应用代码改造”这一途径达到对数据访问的实时动态脱敏目的，在短时间内难以有效实现。

2、现行业务应用系统无法实现应用用户权限与敏感数据脱敏强关联！难以达成“对应用用户权限进行有效管理，并结合不同数据使用场景，对不同用户给予不同的敏感数据访问权限”这一关键需求目标。

3、对数据泄露事件无法进行准确的追踪溯源！敏感数据在共享、外发、访问过程中一旦发生泄露，业务应用服务系统无法在事中完整、详细地记录数据泄露过程及泄露源头，不能为事后追责、定责提供有力依据，从而导致损失和损害扩大化等问题。

二、技术应用关键指标

1、适配不同数据库协议的能力：在中小银行中，可能存在一个数据中心使用不同类型数据库的情况，需要动态数据脱敏产品能够对国际主流数据库（如oracle、mysql、sql server、db2、informix、 postgre sql、hana ）、国产数据库（如达梦dm、gbase ）、 大数据组件（如hive ）等不同类型的数据库协议进行适配支持，满足用户对不同数据库动态数据脱敏的需求。

2、高性能脱敏能力保障业务访问连续性：以高性能确保连续性，是对数据访问进行实时动态脱敏的重要前提！否则，一旦遇到大量业务应用访问的情况，轻则因过长访问等待时间影响用户体验，甚至可能导致业务应用瘫痪；因此，动态数据脱敏产品应具备毫秒级的脱敏性能，从而满足银行用户对高精度、高性能的实时动态数据脱敏需求。

3、动态脱敏后数据高仿真，可用性满足平台要求：对于数据分析或业务报表统计等平台而言，在实时访问数据的场景下，它们需要数据经过动态脱敏后仍具有高仿真性与可用性，确保能够进行二次使用。这也对动态数据脱敏产品提出了更高的要求。

4、实时解析，精准脱敏：如何从复杂的sql 语句中精准识别语句和语义，并定位出真正需要被脱敏的是哪个敏感字段，是动态数据脱敏的真正价值所在。在中小银行业务应用系统中，访问数据时的业务sql 语句大都较为复杂，常常出现多表关联、嵌套、多语句等情况；对于这些复杂语句，需要厂商进行技术攻关，做到能够在协议解析基础上进行语法解析，从而实现精准的实时动态数据脱敏。

5、动态脱敏水印技术实现数据分发溯源：在数据实时访问过程中，常发生“因数据分发给相关部门导致敏感数据泄露”的情况，且溯源、定责难度大，应用动态脱敏水印技术可有效应对此类难题——针对不同的分发场景，应用不同的伪行、伪列、文本水印、数值水印等动态脱敏水印技术与产品功能；当出现数据泄露事件后，便可通过泄露数据样本中的数据水印对数据泄露途径进行追溯。

【扩展阅读】

数据脱敏技术发展现状与产品选型建议

银行数据安全治理痛点与整体应对思路

金融行业数据脱敏的类型、难点和办法

安华金和数据脱敏系统在银行数据外发场景中的实践

安华金和数据脱敏产品在多场景下的脱敏实践