《数据库安全加固规范》深度解读

技术白皮书·安全合规数据库安全加固规范深度解读条款逐章解析·DBA落地指南等保合规对标汇报时间：2026“}ಯ;规范全景与安全基线建立加固框架身份认证与鉴别加固落实双因素认证访问控制与权限管理最小权限与三权分立数据加密与密钥管理存储传输加密落地安全审计与日志管理审计留痕防篡改备份恢复与容灾建设备份策略与异地容灾合规落地与持续运营差距整改常态化CONTENTS解读导览七个篇章逐条拆解数据库安全加固规范，帮助DBA建立全篇认知地图。GA/T2380-202601020304050607规范全景与安全基线从等保2.0到GA/T2380-2026，构建数据库安全加固的合规坐标01规范解读·总览规范定位与安全目标核心命题：把合规条款翻译成可执行的运维动作四大加固维度访问控制数据加密备份与恢复安全审计三个落地关键词01身份可识别02权限最小化03操作可追溯先建全局框架，再谈单项加固数据库安全加固规范深度解读·GA/T2380-202604/30制度依据·等保2.0等保2.0框架与三重防护《数据库安全加固规范》的刚性依据是等保2.0——GB/T22239-2019《信息安全技术

网络安全等级保护基本要求》，2019年12月1日全国正式实施。一个中心，三重防护一个中心安全管理中心统一管控安全策略与审计三重防护安全通信网络保障传输链路安全三重防护安全区域边界防火墙、准入控制协同主战场安全计算环境数据库加固的主战场以下条款全部在安全计算环境维度展开身份鉴别访问控制安全审计数据完整性数据保密性数据备份恢复孤立整改只调数据库参数，不管边界防护体系协同数据库作为计算环境节点，与区域边界联动DBA整改路径1先对照等保级别确定适用条款2再逐项核查数据库配置是否达标数据库安全加固规范深度解读·GA/T2380-202605/30新规背景GA/T2380新规聚焦数据安全2026年6月1日起，《GA/T2380—2026信息安全技术

网络安全等级保护数据安全基本要求》正式施行。新规升级方向从框架细化到技术活动，全面收紧数据安全要求在等保2.0框架下细化数据安全要求，新增“安全数据处理”独立章节专门规范数据溯源、数据识别、数据标记、数据脱敏等技术活动安全计算环境下拓展身份鉴别、访问控制、数据完整性、个人信息保护等十余项子项对DBA的直接影响数据安全从附属项上升为核心考核维度数据安全权重提升至

40%

，从附属项上升为核心考核维度加固范围从“管库”扩展到“管数据”须关注数据全生命周期的分类分级、加密覆盖和流转管控数据库安全加固规范深度解读·GA/T2380-20260606/30体系总览规范条款体系总览六大模块，各管一段身份认证01解决「谁在登录」标识唯一、多因素组合鉴别访问控制02解决「能干什么」最小权限、三权分立数据加密03解决「拿走也看不懂」存储与传输双环节，采用

AES-256

等高强度算法安全审计04解决「干了什么有记录」审计留痕、日志防篡改备份恢复05解决「坏了能恢复」本地备份到异地容灾逐级递进合规运营06贯穿全程贯穿全程的常态化保障产品标准另有双系统鉴别机制：数据库原生认证与安全加固组件双重验证。六个模块相互支撑，任一短板都会被测评放大。数据库安全加固规范深度解读·GA/T2380-202607/30身份认证与鉴别加固让每一次登录都可识别、可追溯02安全计算环境·身份鉴别身份标识必须唯一条款要求8.1.4.1登录用户须进行身份标识和鉴别，身份标识具有唯一性。——等保2.0安全计算环境条款8.1.4.1处置动作禁用或删除默认账号与示例库；为每个运维人员、每个应用系统分配独立账号。落地核查·DBA重点排查三处空密码账号无口令保护，任何人皆可登录默认账号MySQLanonymous、SQLServerguest多人共用的运维账号操作无法对应到具体责任人唯一标识是审计定位到人、权限追溯到人的前提——没有它，审计记录只能落到「某个IP」，无法落到「某个人」。数据库安全加固规范深度解读·GA/T2380-202609/30身份鉴别双因素认证组合鉴别硬性要求等保规定「两种及以上鉴别技术组合」，仅账号密码不满足。合格组合≠简单叠加密码+动态令牌两类不同因素密码+确认密码同类因素，不算数三类因素知道什么拥有什么是什么DBA落地动作管理类账号强制启用MFA数据库登录优先联动堡垒机，统一完成人机双认证应用账号用连接串证书或设备指纹作第二因素敏感操作（改密、批量删除）需二次验证测评补强账号口令与设备指纹或证书绑定，由准入侧统一完成双重验证。数据库安全加固规范深度解读·GA/T2380-202610/30身份鉴别·密码策略密码策略逐项落地配置了≠生效了——密码策略是最容易被「假合规」掩盖的环节。Windows服务器端六项实测配置逐项核对，不做笼统勾选密码符合复杂性要求启用密码长度最小值8位密码最短使用期限1天密码最长使用期限90天强制密码历史记住5个可还原加密存储禁用数据库侧对照落地同名能力在数据库层的对应入口MySQLvalidate_password

组件设置复杂度达梦PWD_POLICY

参数控制SQLServer登录策略

CHECK_POLICY

启用常见失误：策略未应用到正确的组织单元（OU），域环境下配置形同虚设。收尾动作：用普通账号实测登录，确认策略真正生效，不停留在参数界面。数据库安全加固规范深度解读·GA/T2380-202611/30身份鉴别·账户安全账户锁定与登录失败处理三维锁定参数5次无效登录触发锁定，锁定阈值与重置窗口联动，防止暴力破解持续试探。重置计数器30分钟锁定时长30分钟特权账户单独设防管理员账号放宽阈值与窗口期，避免被恶意锁定导致运维中断——锁定策略在普通账户与管理账户之间分层设置。会话超时兜底防运维人员离席后会话被劫持：MySQL设连接过期，达梦配空闲超时，MongoDB结合操作系统账户策略。失败事件必须留痕高频失败尝试是大规模扫描或定向攻击的前兆，登录失败事件须完整记录，作为安全监测与溯源的依据。数据库安全加固规范深度解读·GA/T2380-202612/30实操落地国产数据库认证实操达梦DM评测前先查三件事版本是否

DM8及以上安全版本COMPATIBLE_MODE

参数是否影响密码策略权限体系是三权分立还是四权分立检查集中在

V$DM_INI

视图，重点查询

PWD_POLICY、ENABLE_AUDIT、AUDIT_MAX_FILE_SIZE

等安全参数。MongoDB等保三级必查项必须启用

security.authorization验证是否存在密码为空或含

root、__system

角色的高危账户执行

connectionStatus

命令，查看

authInfo.authenticatedUsers

是否为空——空则说明未走认证流程共同逻辑01先查现状02再改配置03最后验证生效认证配置完成后，所有节点包括

mongos、configserver

都必须统一开启；副本集成员间通信还需配置

keyfile

或

x509证书。数据库安全加固规范深度解读·GA/T2380-202613/30访问控制与权限管理权限最小化，风险最小化03访问控制最小权限是加固核心最小权限是数据库安全加固的重中之重：每个用户、每个应用只授予完成工作所需的最小权限集，避免过度授权。等保2.0三级要求基于

RBAC

模型实施最小权限≤200条以内ACL规则数量，定期优化数据库侧落地口径应用账号：仅授SELECT、INSERT、UPDATE等表级权限禁用DROP、ALTER、CREATEDATABASE等DDL权限开发账号：禁止访问生产库测试环境：数据脱敏，不映射生产账号体系DBA日常动作定期巡检权限分配，执行SELECTuser,host,Select_privFROMmysql.user识别越权账号并及时回收离职人员、停用系统账号纳入回收清单，避免僵尸权限数据库安全加固规范深度解读·GA/T2380-202615/30安全加固·账号权限禁用超级账号运行应用超级账号是整库沦陷的单点。应用一旦被注入或泄露连接串，root/sa

权限意味着攻击者可直接提权、删库、拖库。现状应用直连root/sa，运维人员直接持有root口令。做法01每个应用建独立账号，按业务授表级或库级权限02运维走堡垒机提权，个人账号操作，不碰root口令03确需临时表或存储过程时，单独授

CREATETEMPORARYTABLES

或

EXECUTE，不给

ALL判断标准删掉这个权限，应用还能正常跑？能跑，就不该给。等保测评中属高频核查项，评审专家会直接调取连接串与账号权限对比。数据库安全加固规范深度解读·GA/T2380-202616/30权限分离三权分立防单人失控系统管理员岗位职责负责日常配置与维护安全管理员岗位职责负责安全策略、加密配置与账号权限审批审计管理员岗位职责只可查看审计日志，不能修改或删除落地差异达梦等国产数据库原生支持三权或四权分立，初始化时即可选择；MySQL等开源库需通过账号体系手工划分。最易失守的边界审计管理员"只能看日志、无法改权限"这条线最常被忽视。若只有一名DBA既管配置又能清日志，三权分立即告失效。一人分饰三角，等于没有分立。数据库安全加固规范深度解读·GA/T2380-202617/30访问控制·网络层网络访问控制收紧入口网络层是入口闸门，与账号权限缺一不可。规范要求数据库服务器部署在独立内网，禁止直接公网访问防火墙仅放行授权IP访问数据库端口：MySQL3306、SQLServer1433远程运维必须走加密VPN隧道，禁止明文传输常见失误与正确做法MySQLbindIp

配成

0.0.0.0，等于把门敞开显式绑定内网地址或可信网段MongoDB分片集群端口管控20000configserver禁止对外存有整个集群元数据，沦陷即交出控制权30000mongos仅应用访问应用服务器只允许访问mongos的端口mongod数据端口仅限集群内仅对同集群节点开放数据库安全加固规范深度解读·GA/T2380-202618/30访问控制·权限治理敏感标记与权限动态回收敏感标记等保三级要求对重要信息资源设置敏感标记，按主体身份与安全级别控制访问。权限颗粒度能看整库只能看脱敏字段全生命周期管控临时授权/外部共享设定期限，到期自动失效调岗/离职权限即时回收应用下线账号及时停用评审高频检查点是否存在过期未收回的分享或授权是否对外暴露无密码的敏感数据DBA落地动作建立权限台账，每月对照组织架构变动做一次权限复核，改掉“权限只增不减”的惯性。权限管控的本质不是一次配置，而是持续收敛的动态过程。数据库安全加固规范深度解读·GA/T2380-202619/30数据加密与密钥管理数据加密是最后一道防线04存储加密·数据静态防护TDE静态加密落地三类风险磁盘被盗备份泄露DBA越权查看覆盖范围数据文件日志文件备份文件三者缺一即防护缺口规范要求TDE或文件系统加密保护数据文件，算法采用

AES-256

等高强度对称算法TDE优势加密整个数据库文件，不影响应用逻辑原生支持SQLServer、Oracle、AzureSQL、PostgreSQL企业版；MySQL8.0经InnoDB表空间加密实现落地三注意1启用前先备份主密钥与证书，否则密钥丢失数据无法恢复2TDE只防物理介质泄露，不防有权限账号查询，敏感字段需补充应用层加密3禁用BASE64等可逆编码代替加密——那只是编码，不是加密数据库安全加固规范深度解读·GA/T2380-202621/30传输加密TLS传输加密强制启用等保2.0三级要求重要数据传输具备保密性与完整性，必须采用密码技术实现。协议与算法要求优先启用

TLS1.2

及以上版本国密改造场景部署

TLCP

协议，采用

SM2/SM3/SM4

体系主流数据库配置MySQLrequire_secure_transport=ON用户开启

REQUIRESSL，分发CA证书验证服务端PostgreSQLssl=onpg_hba.conf

的host行改为

hostssl，拒绝非SSL连接验证连接后执行

STATUS

或

SHOWssl

查看SSL信息常见失分启用加密却未关闭低版本协议与不安全加密套件，评审直接判定不达标数据库安全加固规范深度解读·GA/T2380-20262222/30加密与密钥管理国密算法替换与适配2026年三级等保新规：核心敏感数据必须采用SM4等国密算法加密存储，并建立密钥分权管理机制。全环节替换范围改造不止换算法串推进节奏密评联动数据库安全加固规范深度解读·GA/T2380-202623/30网络通信、数据存储、身份认证：SM2、SM3、SM4替代传统国际算法SSL证书：须为OV/EV级国密证书密钥管理、证书体系、信任链须同步改造分布式数据库需完成透明加密适配先在测试库完成SM4替换，验证应用兼容性与性能损耗再逐步覆盖生产环境产品资质、密钥策略、操作记录持续留存避免测评前突击补材料安全规范解读·密钥管理密钥管理全生命周期四类高风险问题测评失分重灾区密钥硬编码在配置或代码中密钥与密文数据同机存放无轮换策略无备份与应急恢复预案全生命周期管控四个阶段生成合规随机源存储使用权限与硬件保护，根密钥入

HSM

或加密机分发凭身份与策略授权轮换·归档·销毁全程记录可审计DBA落地优先采用专业

KMS

统一管理，把生成、存储、使用、轮换收敛为统一服务，按策略分发并全程审计。切忌把密钥写进应用配置文件后被版本管理工具扩散。密钥明文存放，等于把锁挂在门上。数据库安全加固规范深度解读·GA/T2380-202624/30字段级加密敏感字段应用层加密TDE管介质，字段级加密管高敏数据——身份证号、手机号、银行卡号，应用层加密后再入库。加密算法