一、访问入口
- 是否允许开发、运维、DBA、外包人员使用 Navicat、DataGrip、DBeaver 等工具直连生产数据库？
- 是否所有生产数据库访问都经过统一入口？
- 是否能限制不同人员可访问的数据库、实例、库、表、字段？
- 是否能记录每一次数据库连接、查询、导出、变更操作？
OVERVIEW
适用对象
本自查表适用于医院、高校、政企、能源、制造、金融等单位，帮助安全负责人、数据库负责人、运维负责人和合规负责人梳理生产数据库访问风险。
自查结果可用于判断是否需要建设数据库堡垒机、数据库访问管控平台、SQL 审核平台、数据库动态脱敏和外包人员数据库访问审计能力。
HOW TO SCORE
自查表怎么打分？
下面每一条自查问题都需要单独评分。建议由安全、运维、数据库、业务系统负责人一起评估，按实际情况选择对应分值，最后把所有问题的分数相加。
0
当前总分
0 / 0
已完成项
待自查
风险等级
分数越高，说明数据库访问入口、账号权限、SQL 审核、敏感数据保护、审计追溯或外包管控风险越高。
- 0-15 分
- 风险较低，建议持续优化审计、权限治理和敏感数据保护策略。
- 16-35 分
- 存在明显风险，建议建立统一数据库访问管控机制，补齐 SQL 审核和审计追溯能力。
- 36 分以上
- 风险较高，建议尽快开展数据库访问安全整改、风险评估和 POC 测试。
CHECKLIST
七个维度检查数据库访问风险
填写方式：
每个问题按“是 / 部分满足 / 否 / 不确定”选择并记录分值，完成后汇总总分，再对照页面下方的风险等级说明。
二、账号与权限
- 是否存在多人共用数据库账号？
- 是否存在长期有效的高权限账号？
- 是否能按人员、角色、部门、项目分配数据库权限？
- 人员离职、转岗、外包退场后，数据库权限是否能及时回收？
- 是否定期检查数据库账号和权限？
三、SQL 审核与高危操作
- delete、update、drop、truncate 等高危 SQL 是否需要审批？
- 是否能识别无 where 条件更新或删除？
- 是否能限制批量查询、批量导出、全表扫描等操作？
- 是否能在执行前拦截高风险 SQL？
- 是否保留 SQL 执行前后的审计记录？
四、敏感数据保护
- 是否识别了身份证号、手机号、银行卡号、患者信息、师生信息等敏感字段？
- 敏感字段查询时是否支持动态脱敏？
- 是否限制敏感数据复制、导出、下载？
- 是否能按人员权限展示不同脱敏结果？
- 是否能追踪敏感数据访问行为？
五、审计追溯
- 是否能精确记录谁、在什么时间、通过什么工具、访问了哪个数据库、执行了什么 SQL？
- 是否能关联真实人员和数据库账号？
- 是否支持按人员、数据库、SQL 类型、风险等级检索审计日志？
- 是否能导出审计报告，用于安全检查或等保检查？
- 发生误删、越权访问、数据泄露时，是否能快速还原过程？
六、外包人员管控
- 外包人员是否能直接接触生产数据库账号？
- 是否能限制外包人员只访问授权库表？
- 是否能限制外包人员导出数据？
- 外包人员操作是否全程留痕？
- 外包人员退场后权限是否能统一回收？
七、等保与合规
- 是否具备数据库访问控制措施？
- 是否具备数据库操作审计能力？
- 是否具备敏感数据保护措施？
- 是否能提供权限审批、操作审计、风险拦截等证据？
- 是否能满足等保三级、数据安全、个人信息保护相关检查要求？
完成自查后点击查看当前风险等级。