现状上百个系统安全各管各的某水务集团下辖 14 座自来水厂、2 万余公里供水管网信息化部门把水厂生产数据、管网压力、水质监测数据统一汇入集团数据中台。收到住建部门供水安全与智慧水务合规要求后安全自查发现一个尴尬事实上百个系统的账号口令、数据加密、密钥管理没有一套统一标准。有的水厂数据库明文存储有的系统还在用固定密码密钥分散在各系统自己管。这不是个例。智慧水务建设推进很快但数据安全体系往往没跟上——住建部对供水安全有明确监管要求智慧水务数据的安全直接关系供水可靠性。问题是建设从哪入手、按什么标准选型先想清楚为什么不能各系统各搞各的一家中型水务集团核心业务系统通常 60-120 个账号口令几百个数据表上千张。靠每个系统自己搞安全永远补不完——这是智慧水务数据安全建设从哪入手这个问题没有标准答案、但有通用解法的原因。关键认知对存量系统多的行业先管住资产和口令比先上零信任更务实。改造预算有限先做能立竿见影、能过检查的再谈演进。选型路线图五个动作按序排布数据安全建设是体系工程五个动作正好对应等保三级和住建部供水安全要求里的五个评分维度建设方向解决什么问题优先级统一身份认证账号口令分散、共用账号① 先做数据透明加密敏感数据明文落库① 先做凭据统一管理固定密码、硬编码口令② 随后密钥统一管理密钥各系统自管② 随后防勒索兜底勒索病毒加密数据③ 兜底为什么认证和加密并列第一优先级因为它们是等保三级身份鉴别和数据保密性两个独立评分项——认证解决谁在操作加密解决数据可不可信缺一个都过不了检查。五个动作的落地要点① 统一身份认证上百个系统统一身份源SSO 单点登录 UKEY/OTP 双因素认证# 统一身份认证策略sso_policy:auth_factor:UKEY OTP 双因素identity_source:AD/LDAP 钉钉# 多身份源融合app_scope:水厂SCADA / 营业系统 / 数据中台audit:全量登录审计绑定到人身份统一之后水厂 SCADA、营业系统、中台一次认证全域访问共用账号清零。② 数据透明加密水厂生产、水质监测数据库在驱动层 SM4 加密应用零改造、不停机性能损耗 3%-- 水质监测数据表启用透明加密在线加密不停机EXECtde_enable_table_encryptiondatabase_namewater_quality,table_namet_wq_monitor,encryption_algorithmSM4_256,key_idtde_wq_key,rotation_interval_days90,modeonline;③ 凭据统一管理数据库账号、API 密钥、系统口令统一加密托管自动轮换杜绝硬编码和固定密码# 凭据管理策略credential_policy:storage:加密托管基于密钥硬件保护rotation:90天自动轮换scope:数据库账号 / API密钥 / 系统口令cleanup:硬编码口令一次性清除④ 密钥统一管理全集团加密密钥统一由 KSP 管理三级密钥体系90 天自动轮换根密钥进 HSM 永不导出全链路审计# 密钥自动轮换配置90天凌晨执行在线轮换curl-XPOST https://ksp.internal.gasgroup.cn/api/v1/keys/rotation-policy\-HAuthorization: Bearer ksp_admin\-d{ key_id: tde_wq_key, rotation_interval_days: 90, rotation_time: 02:00, online_rotation: true }⑤ 防勒索兜底数据中台部署 RDM 防勒索双引擎行为监测进程白名单 异常加密行为识别勒索软件批量加密前主动拦截——守住中台最后防线。验收四条查询证明体系真的建起来了-- 验证1无授权直连水质监测库SELECT*FROMwater_quality.t_wq_monitorORDERBYtsDESCLIMIT10;-- 输出密文非授权进程不解密-- 验证2授权业务进程查同一张表SELECT*FROMwater_quality.t_wq_monitorWHEREplant_idP-003LIMIT10;-- 输出明文授权进程自动解密业务照常-- 验证3查口令托管与轮换状态SELECTsystem_name,last_rotation,next_rotationFROMsms_vault.credential_statusORDERBYnext_rotationLIMIT20;-- 输出全集团口令统一托管轮换可查-- 验证4查密钥轮换审计SELECTkey_id,operator,rotation_timeFROMksp_audit.rotation_logORDERBYrotation_timeDESCLIMIT20;-- 输出密钥轮换绑定到人全程可追溯合规上对应什么合规标准要求对应动作住建部供水安全要求供水运行数据安全可追溯加密落盘全链路审计等保2.0三级-身份鉴别双因素认证统一身份认证等保2.0三级-数据保密性数据加密存储透明加密等保2.0三级-数据完整性防篡改加密审计日志GB/T 39786-2021密码应用合规产品国密局认证证书直接举证建议的启动顺序步骤做什么周期1资产与口令盘点系统/账号/数据表/密钥摸底2-3周2统一身份认证 凭据接管2周3核心数据透明加密2周4密钥统一纳管 防勒索兜底2周数据安全体系 8 周内搭建成形核心系统全程无中断。安当 ASP 统一身份认证、TDE 数据库透明加密、SMS 凭据管理、KSP 密钥管理、RDM 防勒索可提供智慧水务数据安全建设的完整落地支持。文章作者安当加密技术负责人