先看数据库里发生了什么
数据库审计负责留下操作轨迹。
师傅
“配方管理员刚修改了一份配方。”
小白
“审计记录应该看到什么？”
师傅
“账号、时间、来源、对象、操作和结果。”
小白
“如果使用共享管理员账号，就很难知道具体是谁。”
师傅
“对。”
【 第 8 步 】
数据防护中心
师傅：“产品已经开始接入，今天我们集中看几种直接保护数据的技术。工厂的数据库每天会发生查询、修改和导出，我们用数据库审计记录谁在什么时候、从哪里、对什么数据做了什么；客服查询会员资料时使用动态脱敏，测试环境需要副本时可以使用静态脱敏；
数据通过邮件、Web上传、移动介质或打印外发时，可以用数据防泄露（DLP）进行识别和控制；重要导出文件还可以增加水印帮助追溯来源。对于高敏感数据，不能只依赖一种技术，而要把加密、最小权限、脱敏、审批、审计、告警和到期清理组成一套组合保护。”
01 · 现场对话
数据防护中心的知识任务
同一字段按场景展示
动态脱敏根据访问者显示不同内容。
客服人员
“客服只需要确认手机号后4位。”
小白
“那页面不用显示完整号码。”
师傅
“这就是动态脱敏。”
小白
“测试部门需要一份数据副本呢？”
师傅
“可以生成经过处理的静态脱敏副本。”
数据外发时继续控制
DLP关注不同离开渠道。
小白
“员工把会员名单发到个人邮箱怎么办？”
师傅
“DLP可以识别敏感内容并按照策略提醒、阻断或记录。”
小白
“U盘、Web上传和打印也可以纳入？”
师傅
“对，但还要设计合理的例外流程，避免影响正常业务。”
水印负责追溯
水印不能替代访问控制。
小白
“文件加水印以后就不会泄露了吗？”
师傅
“水印主要帮助追溯和提醒。”
小白
“所以高敏感导出还需要审批、限量和权限。”
师傅
“对。多项措施组合起来才完整。”
02 · 小白做现场笔记
重要概念及注释
数据库审计
- 正式含义
- 记录和分析数据库登录、查询、修改、删除、导出和授权等访问行为。
- 六个审计维度
- 主体 → 谁操作 对象 → 哪个库、表、字段 操作 → 查询、修改、导出等 时间 → 什么时候、持续多久 结果 → 成功、失败或拒绝 处置 → 告警、工单和结论教材以这六个维度组织数据库审计。
数据库审计回答：谁在什么时间，从哪里，对什么数据做了什么。
审计策略
- 正式含义
- 决定数据库审计重点监测哪些账号、数据和操作的规则。
- 优先关注
- 核心数据库 敏感数据表 高权限账号 批量查询 全表导出 异常时间访问 频繁失败
审计不是把所有日志堆起来，而是重点盯住高价值数据和高风险操作。
动态脱敏
- 正式含义
- 用户访问数据时，根据角色和业务场景实时显示不同粒度的内容。
- 面包厂场景
- 客服查看手机号 → 138****1234 授权主管 → 在批准条件下查看完整号码
动态脱敏不改变原数据，改变的是“这个人现在看到什么”。
静态脱敏
- 正式含义
- 对数据进行处理后生成一份新的脱敏数据副本。
- 常见场景
- 开发 测试 培训 数据分析教材明确区分：动态脱敏是在访问时按角色展示，静态脱敏则生成脱敏副本。
- 易混辨析
- 动态脱敏：原数据仍在 → 不同人员看到不同内容静态脱敏：生成新的处理后副本
动态脱敏改变展示，静态脱敏生成新副本。
数据防泄露 DLP
- 正式含义
- 识别并控制敏感数据通过终端、邮件、Web、网盘、移动介质和打印等渠道外发。
- 主要渠道
- 终端复制 邮件附件 Web上传 网盘 即时通信 U盘 移动硬盘 打印教材将这些渠道作为DLP的重点控制范围。
DLP主要盯住“敏感数据准备从哪里出去”。
DLP例外
- 正式含义
- 正常业务确实需要执行可能触发DLP规则的操作时，经过受控申请和审批给予临时例外。
- 基本流程
- 申请 ↓ 说明业务原因 ↓ 审批 ↓ 设置范围和期限 ↓ 执行 ↓ 日志记录 ↓ 到期复核
安全规则不是把正常业务全部挡住，而是让必要例外也受到控制。
水印
- 正式含义
- 在文件、页面或数据中加入来源、使用者、时间等标识，用于提醒和追溯。
- 两类常见水印
- 可见水印 → 直接看到人员、时间或用途 隐形水印 → 不明显影响内容展示，用于后续追踪教材明确指出，水印用于追溯和震慑，并不能替代访问控制和加密。
水印主要回答“这份数据从哪里出来”，不是单独阻止泄露。
组合保护
- 正式含义
- 针对高敏感数据，在传输、存储、使用、导出、监测和退出阶段组合使用多项安全措施。
- 面包厂示例
- 核心会员字段：传输 → 加密 + 接口鉴权 存储 → 字段加密 + 密钥管理 使用 → 最小权限 + 动态脱敏 导出 → 审批 + 限量 + 水印 监测 → 数据库审计 + 告警 退出 → 到期删除 + 副本清理
高风险数据不能只靠一把锁，而要让多项措施共同保护。
03 · 经验和难点
小结
这一站，小白把数据库审计、动态脱敏、静态脱敏、DLP和水印放进不同的数据使用场景，并认识了组合保护的思路。最值得记住的经验是：不同技术解决不同问题，高敏感数据通常需要多项措施共同保护。初学者最容易遇到的难点，是认为安装某一种产品以后就可以替代权限、审批、加密和日志等其他控制。