等保2.0概述与数据库安全要求
大家好，我是老田。搞数据库安全这些年，我遇到过不少客户拿着等保测评报告来找我救火。说实话，很多问题其实在系统设计阶段就能避免。今天我们就从等保2.0说起，看看它对数据库到底提了哪些要求。
等保2.0，全称叫《信息安全技术 网络安全等级保护基本要求》，2019年正式发布。跟之前版本相比，最大的变化就是——范围扩大了。以前主要盯着信息系统，现在云计算、移动互联、物联网、工业控制这些全得纳入监管。说白了，只要你的系统存了数据，就得管。
等保2.0的核心目标就一个：防得住、查得到、恢复得了。怎么实现？它有一套完整的安全框架，我把它画成了下面这张图，你一看就明白。
等保2.0的五个关键等级
等保2.0把安全保护等级分成五级，每一级的防护强度都不一样。我直接给你列个表，看着更清楚。
| 等级 | 名称 | 适用场景举例 |
|---|---|---|
| 第一级 | 用户自主保护级 | 非重要、非敏感的个人信息系统 |
| 第二级 | 系统审计保护级 | 一般企事业单位内部系统 |
| 第三级 | 安全标记保护级 | 政府、金融、医疗等核心业务系统 |
| 第四级 | 结构化保护级 | 国家关键信息基础设施 |
| 第五级 | 访问验证保护级 | 国家安全等级最高的系统 |
注意：我在实际项目中发现，大部分企业做的等保测评是三级。三级意味着什么？数据库必须做加密、审计和备份恢复，这是硬指标。
数据库安全面临的核心威胁
你想想看，数据库里存的是什么？用户密码、交易记录、病历档案、身份证号……这些数据一旦泄露，后果可不只是罚款那么简单。我总结了几种常见的威胁场景：
- 拖库攻击：黑客通过SQL注入或者漏洞直接导出数据库文件。
- 内部泄密：DBA（数据库管理员）或者开发人员能直接看到明文数据。
- 备份文件丢失：物理硬盘被盗、服务器宕机，数据恢复不了。
- 违规查询：没有权限的账号查到了敏感字段。
这些威胁，等保2.0都给出了明确的对策。咱们挑跟数据库最相关的几个来说。
等保2.0对数据库的具体安全要求
等保2.0标准里，数据库属于“安全计算环境”这一块。具体要求挺多的，我挑几个重点讲。
数据完整性：防篡改
等保要求数据库必须能检测到数据是否被非法修改。怎么做到？一种常见做法是加哈希校验。比如每行数据存一个校验值，读数据时重新算一遍，对比一下就知道有没有被改过。
数据保密性：防泄露
这是咱们加密SDK负责的核心区域。等保明确要求：敏感字段存储时必须加密。注意，是字段级加密，不是整个数据库加密。为什么？因为全量加密性能扛不住，而且没办法做模糊查询。
说白了，就是你要把身份证号、银行卡号、手机号这些字段单独拿出来用算法加密。我举个例子：
-- 假设你要加密用户的手机号
-- 明文：13800001111
-- 密文（加密后）：AES_ENCRYPT('13800001111', '密钥')
-- 存储结果：0x7E2B6F9A4C8D1E3F...小技巧：实际项目中我习惯把密钥跟业务数据分开存储。密钥放在独立的密钥管理服务里，应用层只拿个令牌。这样就算数据库被拖了，密文也解不开。
数据备份恢复：防丢失
等保要求数据库必须定期备份，而且备份文件也要加密。我遇到过不少团队，备份文件直接裸存放在磁盘上——这跟把密码写在门口有啥区别？
安全审计：可追溯
谁在什么时候查了哪些数据，都得有日志。等保要求日志保存不少于180天。加密SDK的审计功能就必须包含：加密操作、解密操作、密钥变更、权限提升等关键事件。
加密技术如何满足等保要求
要满足等保2.0的数据库安全要求，加密是绕不开的技术路线。我简单梳理一下常见的加密方案：
| 加密方案 | 实现方式 | 是否满足等保 | 性能影响 |
|---|---|---|---|
| 全盘加密 | 操作系统或硬件层对整个磁盘加密 | 部分满足（缺字段级控制） | 低 |
| 透明数据加密（TDE） | 数据库引擎层面加密表空间或日志文件 | 部分满足（缺字段级粒度） | 中 |
| 字段级加密 | 应用层或数据库层对敏感字段单独加密 | 完全满足 | 较高（需优化） |
| 列级加密SDK | 通过SDK在应用层或中间件加密，对业务代码透明 | 完全满足 | 中（可水平扩展） |
避坑提示：我曾经踩过一个典型的坑——全盘加密加完后，备份文件没做独立加密。等保测评时被指出“备份文件明文存储，不符合保密性要求”。后来我们改了，备份也用AES256加密，测评一次性通过。
加密SDK落地的核心组件
要实现等保2.0合规的数据库加密，一个完整的SDK至少需要包含以下几个组件：
- 密钥管理模块：负责密钥的生成、存储、轮换和销毁。不能硬编码在代码里，我见过太多开发把密钥写在配置文件里了
- 加密/解密引擎：支持SM4（国密）、AES-256等算法。等保三级以上推荐优先用国密算法
- 权限拦截器：判断当前用户是否有权限解密特定字段。没有权限就返回密文，或者直接报错
- 审计日志器：把每次加解密操作的时间、用户、操作对象、结果记录到日志文件中
- 配置管理界面：方便运维人员配置哪些字段要加密、用什么密钥、轮换周期多久
嗯，这些组件怎么集成到业务系统里，咱们后面的章节会一个一个拆开讲。
总结一下
等保2.0对数据库安全的要求，说白了就是三件事：防止数据被偷看（加密）、防止数据被篡改（完整性校验）、防止数据丢了回不来（加密备份）。加密SDK就是解决第一件事的最直接工具。但别以为加个密就完事了——密钥管理、性能优化、合规审计，样样都不能少。
到这儿，你应该对等保2.0的数据库安全要求有底了。下一部分我们来聊聊加密算法的选择，到底是AES还是SM4，怎么选才不会踩雷。