总行恒丰银行数据安全管控平台建设需求POC测试供应商征集公告

标包

采购

内容

数量

供应商资格要求

1

***平台建设需求POC测试供应商征集

1宗

1.供应商须在中国境内注册，具有独立法人资格，持有合法的营业执照。2.供应商须为所投产品原厂商。
3.供应商自2023年1月1日至今须至少***平台类似项目合作案例。
4.供应商未被“信用中国”网站(http:/www.creditchina.gov.cn)列入失信被执行人、重大税收违法失信主体、政府采购严重违法失信行为记录名单；
5.本项目不接受联合体POC测试。

序号

名称

功能描述

1

应用管理

为支持按应用维度进行配置、数据资产、访问控制策略等管理，提供应用数据管理功能，支持应用基础信息、应用配置管理。

2

数据资产自动测绘

支持自动梳理应用接口数据资产，包括自动解析接口数据结构、接口分支，接口数据字段，针对数据库，支持导入已有的分类分级结果，生成数字化的资产清单，为访问控制、风险监测、访问审计提供基础。

3

基于属性的上下文模型管理

为支持对各种应用的不同数据接口以及数据库表进行访问控制，支持随着安全需求不断提升访问控制模型需要做出的改变，构建可灵活扩展的数据访问控制上下文模型，以支持从访问环境上下文、业务上下文、机构属性、用户属性等多种维度进行应用接口数据、数据库表数据的动态脱敏控制。支持自定义访问控制上下文，以满足业务的个性化访问控制需求。

4

基于角色的权限模型管理

支持定义数据标签，建立标签与数据库数据字段关联关系，并将数据标签组装为多种权限模型，支持管理用户角色，以此构建角色权限模型。通过权限模型可完成数据库数据查询范围的权限管控。

5

属性数据管理

支持访问控制属性数据管理，属性支持字符、日期等多种基础类型，同时支持对其他类型的嵌套。属性可设置固定值、默认值、校验规则、安全等级、隐私等级等元数据信息。

6

数据访问控制策略可视化配置

基于属性的上下文模型和基于角色的权限模型，实现数据权限、数据脱敏规则的可视化配置和管理。

7

访问控制决策引擎

决策引擎基于在构件缓存的访问控制策略和访问控制信息，进行访问控制决策，并基于访问控制决策结果，进行访问控制控制策略执行，包括SQL语句解析与重构：基于访问控制决策结果，实现对SQL语句的解析和重构，实现数据过滤和脱敏，完成根据用户权限控制行数据的访问控制。API数据过滤：基于访问控制决策结果，通过提供JAVA SDK或部署JAVA AGENT或者流量的方式，在应用API返回数据前根据权限对数据进行列过滤，对敏感字段脱敏。

8

访问风险监测与告警

支持记录并分析用户数据访问日志，并对高频率访问、非工作时间段访问、高敏感数据访问进行告警。无法对数据进行直接过滤的情况，可检测是否返回了不应该返回的行数据，并且记录访问风险。

9

访问审计与报表

根据数据访问的审计需求，记录是哪个用户，在什么时间，通过什么系统，访问了哪个接口资产的哪些敏感数据，或访问了哪个数据库的哪个表下哪些敏感数据，支持根据敏感数据内容查询被访问字段的审计日志，并生成报表。

10

系统非功能

决策引擎执行策略异常时（如发生处理超时、策略逻辑错误等问题），其访问控制失效，即返回原始数据或不执行过滤，首先保障业务连续性不受影响；决策引擎在服务本地执行策略，执行策略时，****中心***网络通信，***网络影响；其次策略条件逻辑设计具有先进性，通常一条策略可实现多种访问控制需求，无需配置复杂冗余的策略条件，避免策略爆炸；再次执行策略具有优先级机制，优先执行高优先级策略，在高优先级策略匹配后，不再对低优先级策略进行判断，以上机制保障了决策引擎的执行性能。