《1-3 阿里云数据安全治理实践.pdf》由会员分享,可在线阅读,更多相关《1-3 阿里云数据安全治理实践.pdf(42页珍藏版)》请在三个皮匠报告上搜索。
1、阿里云数据安全治理实践数据安全治理6问刘天鸢 阿里云DataWorks产品专家DataWorks安全能力建设负责人|02目录 CONTENT|数据安全治理的本质与方向01数据安全治理与法律法规04阿里云数据安全治理场景与案例03阿里云DataWorks数据治理建设实践数据安全治理与法律法规01|数据安全治理与法律法规逐步完善的法律法规2017.62019.82021.15部数据安全能力成熟度模型民法典2017.5 双高解释关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释2018.5 银行业金融机构数据治理指引2019.1 关于开展APP违法违规收集使用个人信息专项治理的公告2019.11
2、 APP违法违规认证办法2021.1 电信网和互联网数据安全风险评估实施方法2021.4 金融数据安全数据生命周期安全规范2020.2 个人金融信息保护技术规范2020.3 个人信息去标识化指南2020.6 网络安全审查办法2020.7 APP违法违规收集使用个人信息自评估指南2020.9 金融数据安全 数据安全分级指南2020.10个人信息安全规范2021.11个人信息保护法2021.9数据安全法|2016前网络安全法2003-商业银行法“应遵循为存款人保密的原则”2004-传染病防治法规定“故意泄露病人信息,给予处分”2011-居民身份证法“工作中获得的身份证信息,应当予以保密”2015-
3、刑法修正案(九)“侵犯公民个人信息罪”立法零散非计划性2017.12GB/T 35273-2017 信息安全技术 个人信息安全规范“个人信息控制者开展个人信息处理活动,应遵循以下基本原则”“网络运营者应当时对其收集的用户信息严格保密,并建立健全用户信息保护制度”思路明确规则具体处罚严重2022.09数据出境安全评估办法2019.12等保2.0数据安全治理与法律法规法律条文中的数据安全治理第一章 第三条举例:中华人民共和国数据安全法要点解读本法所称数据,是指任何以电子或者其他方式对信息的记录。数据处理,包括数据的收集、存储、使用、加工、传输、提供、公开等。数据安全,是指通过采取必要措施,确保数据
4、处于有效保护和合法利用的状态,以及具备保障持续安全状态的能力。第一章 第四条维护数据安全,应当坚持总体国家安全观,建立健全数据安全治理体系,提高数据安全保障能力。GB/T 37988-2019 数据安全能力成熟度模型(DSMM)首次提出:以数据为中心,从数据全生命周期角度出发开展数据安全管理工作。30个PA几乎覆盖所有安全领域:用户管理、登录认证、授权&鉴权、传输加密、数据脱敏、分级分类、操作审计、安全响应.|数据安全治理与法律法规法律条文中的数据安全治理第三章 第二十一条国家建立数据分类分级保护制度,根据数据在经济社会发展中的重要程度,以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用,对国
5、家安全、公共利益或者个人、组织合法权益造成的危害程度,对数据实行分类分级保护。国家数据安全工作协调机制统筹协调有关部门制定重要数据目录,加强对重要数据的保护。金融数据安全 数据安全分级指南 JR-T 0197-2020基础电信企业重要数据识别指南 YD/T 3867-2021基础电信企业数据分类分级方法 YDT 3813-2020信息安全技术 健康医疗数据安全指南 GB/T 39725-2020信息技术 大数据 数据分类指南 GB/T 38667-2020 证券期货业数据分类分级指引 JR/T 0158-2018贵州省政府数据分类分级指南 DB 52/T 1123-2016 行业标准:地方标准
6、:重庆市公共数据分类分级指南国家标准:个人金融信息保护技术规范 JR/T 0171-2020举例:中华人民共和国数据安全法要点解读|数据安全治理与法律法规法律条文中的数据安全治理第三章 第二十四条国家建立数据安全审查制度,对影响或者可能影响国家安全的数据处理活动进行国家安全审查。第四章 第二十九条开展数据处理活动应当加强风险监测,发现数据安全缺陷、漏洞等风险时,应当立即采取补救措施;发生数据安全事件时,应当立即采取处置措施,按照规定及时告知用户并向有关主管部门报告。事中安全措施:事后安全措施:操作审计:谁?在什么时间点?在什么位置?通过什么手段?做了什么?数据溯源场景化响应措施:告警、阻断、审
7、批举例:中华人民共和国数据安全法要点解读|数据安全治理与法律法规逐步完善的法律法规合法合规行动指南三驾马车+民法典网络安全法数据安全法个性信息保护法民法典GB-强制性国家标准等保2.0GB/T-国家推荐性标准GB/Z-国家标准指导性技术文件行业标准GB/T 37988-2019信息安全技术 数据安全能力成熟度模型(DSMM)JR/T 0197-2020 金融数据数据安全 数据分级指南JR/T 0171-2020 个人金融信息技术保护规范GB/T 41479-2022 信息安全技术 网络数据处理安全要求强调运营商、服务提供商义务相对宽泛的技术要求以数据为中心的具体措施描述强调对个人信息的保护强调
8、分级、加密、去标识化、知情同意进一步强化隐私权、个人信息、数据保护|数据安全治理的本质与方向02|数据安全治理的本质处理好身份、行为、资产之间的关系身份自然人、自然人编写的程序代码资产信息层数据层IAAS层PAAS/SAAS层行为读写、变更、修改、删除.【Example】电商行业分析师-订单事实表-统计月收入环比。(身份)(资产)(行为)电商行业开发者-用户维度表-读取个人信息。(身份)(资产)(行为)电商行业分析师-下载软件(服务)-本地存储。(身份)(资产)(行为)|数据安全治理的目的保护企业命脉,体现社会责任|合规国家法律安全监管风险内部威胁外部攻击社会责任的体现&企业命脉的保护运营体系
9、管理体系技术体系一系列活动数据安全治理思路变化从粗暴式隔离与防御,到精细化的管理与融合数据安全治理思路东西向安全(内部威胁)从前现在南北向安全(外部威胁)目标对象内部人员行为外部黑客入侵分级分类+合理流动隔离理念手段过程安全技术边界安全技术实施技术、管理分离技术、管理融合数据安全治理体系组织建设决策层(高管,CIO)管理层(数据安全管理团队,CISO)执行层(数据安全运行团队、技术团队)审计监督层制度流程方针总纲管理制度管理办法流程规范指南模板计划报告记录日志技术工具分级分类权限管理开发管理脱敏加密审计数据全生命周期安全治理数据采集(传输)数据存储数据处理数据交换数据销毁谁来做?目标是什么?愿
10、景是什么?怎么做?用什么做?|零信任为什么火起来了?数据安全治理工作开展1条链路上,管理者数据安全治理6问对哪些对象?做了什么?如何治理?在什么时候?在什么地方?谁?|非预期行为身份鉴别访问控制用户管理操作审计资产管理风险管理各类数据安全治理能力建设阿里云DataWorks数据治理建设实践03|什么是DataWorks?阿里云全链路大数据开发治理平台DataWorks基于MaxCompute/Hologres/EMR/CDP等大数据引擎,为数据仓库/数据湖/湖仓一体等解决方案提供统一的全链路大数据开发治理平台,包含智能数据建模、全域数据集成、高效数据开发、主动数据治理、全面数据安全、快速分析服
11、务的六大全链路数据治理能力。作为阿里巴巴数据中台的建设者,DataWorks从2009年起不断沉淀阿里巴巴大数据建设方法论,同时与数万名政务/金融/零售/互联网/能源/制造等客户携手,助力产业数字化升级。|身份提供商(Idp)浏览器SSOSSOSTSSTS阿里云云上环境12354登录至DataWorks登录阿里云-RAM角色登录本地环境(若有)6RAM角色RAM用户是RAM的一种实体身份类型,有确定的身份ID和身份凭证,它通常与某个确定的人或应用程序一一对应。阿里云RAM角色是一种虚拟用户,没有确定的身份认证密钥,需要被一个受信的实体用户扮演才能正常使用。自然人/程序登录阿里云-RAM用户与大
12、数据引擎的融合对哪些对象?做了什么?如何治理?在什么时候?在什么地方?谁?|DataWorks答云上大数据安全六问谁?通过什么方式能来使用大数据系统?生产账号身份基于实体所知:账密(最常见)基于实体所有:U2F实体秘钥多因素鉴别:虚拟MFA安全码开发人员运维人员分析师资产管理员CIO|对哪些对象?做了什么?如何治理?在什么时候?在什么地方?谁?DataWorks答云上大数据安全六问用户在哪、通过哪个入口访问大数据系统?管控台Web端API/CMD云上本地数据中心住宅IPsec-VPNSSL-VPN公网|对哪些对象?做了什么?如何治理?在什么时候?在什么地方?谁?DataWorks答云上大数据安
13、全六问用户在什么时候访问大数据系统?自然人维度资产维度工作时间非工作时间授权时长资产生命周期|对哪些对象?做了什么?如何治理?在什么时候?在什么地方?谁?任务类规则类策略类建模类数据计算任务数据传输任务数据质量规则任务报警规则数据类表UDF指标数据标准维度/事实模型审批策略数据源数据服务API查询结果策略数据识别策略风险识别策略工作空间类业务空间数仓分层空间资源类引擎实例资源组实例DataWorks答云上大数据安全六问哪些资产对象会被操作?数据源表/函数/任务/数据API数据质量规则|对哪些对象?做了什么?如何治理?在什么时候?在什么地方?谁?针对对象的各类操作行为大量清空/删除敏感数据大量查
14、询敏感数据更新敏感数据大量导出敏感数据新增导出任务写读执行增删查询结果下载新增发布数据服务API非工作时间查询个人信息修改表结构删除表数据跨境流动DataWorks答云上大数据安全六问用户在何时何地可能产生哪些行为?|如何逐步治理各类数据安全风险?对哪些对象?做了什么?如何治理?在什么时候?在什么地方?谁?错误的组合将导致数据安全风险应对哪些对象?应做什么?如何治理?应在什么时候?应在什么地方?谁?从不同视角规划工作空间|应对哪些对象?应做什么?如何治理?应在什么时候?应在什么地方?谁?开发库生产库ODS空间开发库生产库CMD空间开发库生产库ADS空间业务空间开发库生产库季度销售冲刺战役高管驾
15、驶舱报表方式二:按数仓层次划分方式三:按部门划分空间方式一:按业务场景组织任务春季安全生产大检查开发库生产库生产部开发库生产库营销部开发库生产库人力资源部资产规划&梳理DataWorks如何支撑数据安全治理?|应对哪些对象?应做什么?如何治理?应在什么时候?应在什么地方?谁?识别层敏感字段类型敏感文件类型信息熵模型数据分类决策输出层自定义识别能力AI智能识别能力语义特征统计特征内容特征元数据特征数据标准化数据资产发现层内置专家规则数据血缘推理行业分类分级模板元数据识别模型语言模型自生成识别模型字段名称匹配多条件与或关系正则表达式字段注释匹配命中阈值调整样本库枚举值难度-40%准召率95%55+
16、效率+35%准确率+40%数据分级特征层融合蚂蚁集团数据保护伞金融级别数据安全能力,识别各类敏感数据并进行分级分类DataWorks如何支撑数据安全治理?资产规划&梳理|应对哪些对象?应做什么?如何治理?应在什么时候?应在什么地方?谁?DataWorks如何支撑数据安全治理?资产规划&梳理融合蚂蚁集团数据保护伞金融级别数据安全能力,识别各类敏感数据并进行分级分类|通过RAM Policy支持对DataWorks空间级授权管理。应对哪些对象?应做什么?如何治理?应在什么时候?应在什么地方?谁?DataWorks如何支撑数据安全治理?CreateWorkspaceModifyWorkspaceDe
17、leteWorkspaceDisableWorkspace授权管理-管控权限:for 企业IT运维团队ModifyWorkspaceDeleteWorkspaceDisableWorkspaceListResourceGroupCreateResourceGroupShowResourceGroupDetailModifyResourceGroupDataWorks如何支撑数据安全治理?|通过RBAC角色权限模型执行场景化打包授权。应对哪些对象?应做什么?如何治理?应在什么时候?应在什么地方?谁?授权管理-功能权限:for 企业数据团队通过RBAC角色权限模型执行场景化打包授权。授权管理-功能
18、权限:for 企业数据团队DataWorks如何支撑数据安全治理?|应对哪些对象?应做什么?如何治理?应在什么时候?应在什么地方?谁?L1类数据L2类数据L3类数据开发者表Owner开发者部门安全负责人表Owner开发者部门安全负责人表OwnerCIO自定义敏感数据审批流程通过申请、审批制规范化执行数据授权。授权管理-数据权限:for 企业数据团队DataWorks如何支撑数据安全治理?|应对哪些对象?应做什么?如何治理?应在什么时候?应在什么地方?谁?Web端(功能页)API端(命令行)Version:1,Statement:Effect:Deny,Action:dataworks:*,Re
19、source:acs:dataworks:*:*:*,Condition:NotIpAddress:acs:SourceIp:10.0.1.x,192.168.2.x,“xx.xx.xx.xx”,StringEquals:dataworks:Scope:PageVersion:1,Statement:Effect:Deny,Action:dataworks:*,Resource:acs:dataworks:*:*:*,Condition:NotIpAddress:acs:SourceIp:10.0.0.x,192.168.2.x,“xx.xx.xx.xx”,StringEquals:dataw
20、orks:Scope:OpenAPI访问位置访问方式访问位置访问方式Ram_userRam_Rolegrant分析师/开发者身份Ram_userRam_Role生产账号身份grant通过RAM Policy配置操作地点与操作方式的边界授权管理-位置权限:for 企业数据团队DataWorks如何支撑数据安全治理?|应对哪些对象?应做什么?如何治理?应在什么时候?应在什么地方?谁?|事前安全就足够了吗?基于机器学习的AI风险识别模型,智能判断各类风险操作行为风险处置与响应风险总览风险检测趋势风险类型分布风险分布排名数据操作行为审计数据访问行为数据导出行为数据操作行为风险明细风险明细查询风险触发条
21、件风险处置标记风险发现从多种数据源汇总数据风险场景分析方法数据采集用户行为分析UBAGartner UBA三要素风险(事中)类型合作伙伴内部人员外包人员更多数据来源更多基础应用更多外部合作更多跨域流动数据流动保护风险数据权限风险数据导出风险数据访问风险数据操作风险数据业务过程风险国家机密个人隐私商业机密利用统计模型、机器学习、规则策略、基线分析等方法构建安全预置并检测异常行为。DataWorks如何支撑数据安全治理?应对哪些对象?应做什么?如何治理?应在什么时候?应在什么地方?谁?以风险场景为核心制定不同分析规则和策略组合告警阻断审批放行去标识化数据脱敏支持保留格式加密、掩盖、HASH加密、字
22、符替换区间变换、取整、置空等多种方式。数据分析场景下的敏感数据保护开发测试场景下的敏感数据保护数据平台应用系统去标识化的数据动态数据脱敏系统数据源数据源数据源数据源静态数据脱敏系统开发测试数仓开发测试应用数据保护:有效保护敏感数据内容不被泄露、窃取。满足合规:符合个人信息保护法,国标35273等主流要求。效率兼顾:在脱敏前提下支撑业务分析,兼顾安全与效率。数据保护:有效保护敏感数据内容不被泄露、窃取。合规:缩减合规范围,个人信息保护法规定匿名化后的数据不再属于“个人信息”范畴;效率兼顾:脱敏后数据保留业务属性和数据分布特征,不影响开发测试需求,兼顾安全与效率。能力价值DataWorks如何支撑
23、数据安全治理?应对哪些对象?应做什么?如何治理?应在什么时候?应在什么地方?谁?数据直接风险行为响应:去标识化数据脱敏支持保留格式加密、掩盖、HASH加密、字符替换区间变换、取整、置空等多种方式。DataWorks如何支撑数据安全治理?应对哪些对象?应做什么?如何治理?应在什么时候?应在什么地方?谁?数据直接风险行为响应:去标识化阻断:数据直接泄露风险行为大规模查询结果展示大规模查询结果复制大规模查询结果下载告警:数据异常访问行为(场景拓展中,可自定义阻断策略)(场景拓展中,可自定义报警策略)事件发生时间异常非工作时间数据操作事件发生频率异常单位时间数据操作偏离高风险数据操作指令导出大量敏感数
24、据同账号使用IP数量偏离基线访问大量高敏感数据同账号个人范围IP首次出现高敏感查询条件通过基础安全策略、统计模型、机器学习模型、基线分析等手段支撑数据风险告警与阻断。DataWorks如何支撑数据安全治理?应对哪些对象?应做什么?如何治理?应在什么时候?应在什么地方?谁?数据直接风险行为响应:告警与阻断低风险数据导出开发者表Owner开发者部门安全负责人表Owner开发者部门安全负责人表OwnerCIO中风险数据导出搞风险数据导出低风险数据API发布开发者数据源Owner开发者部门安全负责人数据源Owner开发者部门安全负责人数据源OwnerCIO数据跨境传输开发者部门安全负责人CIO中风险数
25、据API发布高风险数据API发布企业合规管理员更多DataWorks如何支撑数据安全治理?应对哪些对象?应做什么?如何治理?应在什么时候?应在什么地方?谁?非直接访问数据的风险行为响应:审批策略DataWorks安全能力概览|成员管理身份鉴别授权管理审计管理风险管理租户管理租户隔离功能操作审计数据权限功能权限管控权限权限审批(自定义)权限审计数据操作审计管控操作审计操作行为分析安全资产管理部门级角色组织级角色离职转交数据分级分类敏感数据识别项目空间管理任务/规则/策略管理实体所知实体所有多因素引擎身份映射跨境传输管理风险识别规则定义存储加密传输加密风险行为发现风险处置风险响应:放行、告警、审批
26、、去标识化、阻断前页已提及前页未提及数据溯源阿里云数据安全治理场景与案例04|国内某头部能源集团公司数据安全治理项目|集团公司总部在业务发展及监管要求下,需要建立统一的覆盖集团总部-省公司-分支机构的数据安全管理体系,数据表量级在百万级以上,数据访问人员分布广,业务使用场景复杂,数据安全风险形势严峻,客户侧重点关注敏感数据发现、数据分类、数据分级、数据脱敏(动态)、数据风险审计等业务环节。基于数据保护伞,帮助客户在本地建立数据安全治理体系,包括制度规范、风险识别自动化及安全运营三个核心部分 概述:数据安全治理体系目前已上线敏感数据识别,分类分级,脱敏保护,事件监控预警,操作风险审计等能力,使得
27、海量复杂数据安全管理成为可能,并极大解放了人力。解决方案 成果一:在打破数据孤岛的前提下,落地集团内多租隔离数据中台。成果二:发现十万敏感字段,数万张敏感表单。成果三:核心表访问流转风险发现达千余次。成果四:构建分钟级数百张表识别能力,根本消除人工分级分类成本。成果无:结合业务特性,形成完整的数据分类分级制度规范,实现集团内赋能。项目成果数据发现安全运营数据保护项目背景多租隔离的数据中台安全治理基于飞速发展的数据业务构建数据安全能力|安全痛点业务数据体量呈指数型增长人员流动导致权限管理成本高授权粒度不够细妨碍安全管理审计日志缺失导致无法审计敏感数据泄露安全需求统一云上安全治理平台权限管理流程化
28、、自动化、批量化全域安全审计支持更多个性化权限场景数据脱敏解决方案单平台实现云上全域数据安全治理覆盖OPEN API+Policy实现权限管理流程化、自动化、批量化安全审计实现数据访问、操作行为审计业务价值 管理降本:告别开源组件,单平台覆盖云上全域数据安全治理 节省人力:释放人肉权限管理,提效5倍以上。补缺:零成本落地敏感数据管理方案,告别治理盲区。API预设规则一键触发A空间A项目B空间B项目C空间C项目DataWorks安全中心数据保护伞操作行为审计数据分级分类数据发现数据访问设计数据风险识别姓名身份证张三5325*11李四5325*09开发人员管理员字段级权限申请、下载权限申请权限审批
29、MaxCompute Policy“Version”:“1”,“Statement”:“Effect”:“*”,“Principal”:“*”,“Action”:“odps:CreateTable”,“Resource”:“acs:odps:*:*Condition:DateLessThan:acs:CurrentTime:xx数据脱敏国内某头部电商客户数据安全能力建设|业务账户信息分级:2金额信息介质信息冻结信息特有账户信息个人自然信息分级:3个人联系信息个人财产信息个人地理位置信息个人联系信息个人身份鉴别信息分级:4基于金融数据安全 数据安全分级指南(JR/T 0197-2020)分级分类
30、智能识别:个人信息/支付信息自定义识别规则:正则匹配/识别模型访问控制安全策略2级数据3级数据4级数据开发者表Owner开发者部门安全负责人表Owner开发者部门安全负责人表OwnerCIO业务数据看板/开发域/分析域姓名身份证分级昨日访问次数张三532*11C3100李四535*9C3200产品视图测试DataWorks传输加密/数据源安全全域审计角色登录自定义RBAC生产开发传统鉴别信息弱隐私生物特征信息强隐私生物特征信息开发/测试/提交Review/审批/发布Review/审批/发布某海外保险业巨头安全能力建设高安全要求泛金融行业客户典型解决方案落地方案中国人民银行某分行数据安全治理项目
31、|敏感数据分状况敏感数据访问状况敏感数据访问账号授权状况敏感数据访问审批与权限管控数据存储加密及加密数据高效访问数据模糊化(脱敏)和业务仿真数据共享流转和数据溯源追踪批量数据泄漏防护账号权限变更管理及追踪数据操作行为全面审计异常行为发现与系统潜在风险发现重点事项如何开展?落地方案1、确定开展范围以央行数字化平台为试点,然后逐步推广。如何冷启动数据安全治理?2、确定实施场景(1)数据开发安全防护(2)数据使用访问控制(3)数据共享安全管控聚焦哪些数据安全核心场景?3、建设安全能力(1)组织建设,安全虚拟小组(执行层、决策层);(2)制度流程,针对数据安全核心场景,建立相应的制度和流程规范;(3)
32、技术工具,配套建设使用相关的数据安全防护和管控工具;如何推进数据安全能力建设?(1)数据应用:统一登录+权限管控(2)数据平台:权限审批+安全规范+Dataworks管控2、数据访问控制(1)数据加解密工具(2)数据脱敏工具3、数据保护控制4、数据共享流转控制数据状况梳理(事前)敏感数据访问管控(事中)数据安全稽核(事后)1、数据、权限、行为梳理(1)静态梳理:数据分类分级(2)动态梳理:数据访问情况清单(3)权限梳理:数据授权情况清单5、数据审计与风险管理(1)权限审计:授权历史记录及审计(2)操作审计:操作行为记录及审计(3)风险发现:异常分析及风险分析拒绝“先乱再治”,安全与业务齐头并进非常感谢您的观看|