Dataphin數(shù)據(jù)治理系列：提升企業(yè)全鏈路數(shù)據(jù)安全保障

瓴羊旗下開發(fā)云核心產(chǎn)品Dataphin（智能數(shù)據(jù)建設(shè)與治理），一直在探索數(shù)據(jù)安全管理能力的產(chǎn)品化最佳實踐，即如何幫助企業(yè)利用產(chǎn)品工具能力，基于法律法規(guī)、主管部門要求和自身行業(yè)和業(yè)務(wù)的需要，建立起規(guī)范的分級分類制度，并對敏感數(shù)據(jù)制定相應(yīng)的保護策略。企業(yè)通過Dataphin構(gòu)建起合規(guī)的數(shù)據(jù)安全體系，將數(shù)據(jù)安全風(fēng)險降至最低，讓數(shù)據(jù)資產(chǎn)在安全合規(guī)的基礎(chǔ)上，得到最大的價值釋放。

在權(quán)威組織「DAMA國際」發(fā)布的數(shù)據(jù)治理框架中，數(shù)據(jù)安全是十分重要的組成部分。在Dataphin的數(shù)據(jù)治理相關(guān)功能版塊中，數(shù)據(jù)安全也至關(guān)重要。Dataphin和DAMA都認為，數(shù)據(jù)安全應(yīng)包括安全策略和過程的規(guī)劃、建立與執(zhí)行，為數(shù)據(jù)和信息資產(chǎn)提供正確的身份驗證、授權(quán)、訪問和審計。

與數(shù)據(jù)管理的其他職責(zé)類似，數(shù)據(jù)安全最好在企業(yè)級層面開展。如果缺乏協(xié)同努力，業(yè)務(wù)單元各自尋找安全需求解決方案，那么將會導(dǎo)致總成本的增加，同時還可能由于不一致的保護措施而降低安全性。使用Dataphin開展企業(yè)級的數(shù)據(jù)安全管理，將使整個工作流程更加嚴謹和高效。

綜上所述，在企業(yè)內(nèi)部，一個完整的數(shù)據(jù)安全管理工作流，會分為事前制定規(guī)范、事中執(zhí)行管控和事后審查優(yōu)化三個核心階段。企業(yè)在識別自身的數(shù)據(jù)安全需求后，需要制定企業(yè)管理規(guī)范，然后可以借助Dataphin的工具化能力，高效開展敏感數(shù)據(jù)保護、權(quán)限體系管控、以及研發(fā)安全保護的全鏈路安全管理工作。

一、更全面的數(shù)據(jù)分類分級

要進行具體的安全管理工作，首先要對組織數(shù)據(jù)進行分類分級，以便識別需要保護的數(shù)據(jù)。整個流程包括以下步驟：

業(yè)務(wù)上：

1)識別敏感數(shù)據(jù)資產(chǎn)并分類分級。有一些數(shù)據(jù)資產(chǎn)和敏感數(shù)據(jù)（包括個人身份識別、醫(yī)療數(shù)據(jù)、財務(wù)數(shù)據(jù)等）需要根據(jù)所屬行業(yè)和組織類型等進行分類分級。

2)識別敏感數(shù)據(jù)在業(yè)務(wù)流程中如何使用。需要對業(yè)務(wù)流程進行分析，如敏感數(shù)據(jù)可能在數(shù)據(jù)加工、數(shù)據(jù)分析、數(shù)據(jù)下載等場景被訪問，需要確定在什么條件下允許哪些訪問。

3)確定敏感數(shù)據(jù)保護方案。針對梳理出來的敏感數(shù)據(jù)，和數(shù)據(jù)訪問場景，結(jié)合用戶身份權(quán)限，制定完善的敏感數(shù)據(jù)保護方案。

技術(shù)上：

1）在企業(yè)中定位敏感數(shù)據(jù)。這取決于數(shù)據(jù)存儲的位置，其安全要求可能有所不同。大量敏感數(shù)據(jù)存儲在單一位置，如果這個位置遭到破壞，那么將會帶來極高的風(fēng)險。

2）確定保護每項資產(chǎn)的方法。根據(jù)數(shù)據(jù)內(nèi)容和技術(shù)類型不同，確保采取針對性的安全措施。

數(shù)據(jù)分級是對數(shù)據(jù)敏感等級的設(shè)定，數(shù)據(jù)分類是對數(shù)據(jù)使用領(lǐng)域的設(shè)定，輔助區(qū)分數(shù)據(jù)的敏感程度。瓴羊Dataphin內(nèi)置了多個滿足國家和行業(yè)分類要求的數(shù)據(jù)分級分類模型，包括分類層級、數(shù)據(jù)分類和數(shù)據(jù)分級信息，供企業(yè)安全管理團隊借鑒引用，全面融合外部政策要求和內(nèi)部管理規(guī)范。

除了引用內(nèi)置分類分級模型以外，企業(yè)也可以通過Dataphin安全模塊中的數(shù)據(jù)分類分級能力進行分級分類創(chuàng)建及管理。

點擊Dataphin新建數(shù)據(jù)分類，在彈出框填寫相關(guān)信息，以及數(shù)據(jù)敏感程度等級后，選擇識別特征、優(yōu)先級和掃描方式，點擊確定就完成了新建數(shù)據(jù)分類。完成數(shù)據(jù)分類后，可以在數(shù)據(jù)分類頁面查看目前的數(shù)據(jù)分類情況和詳細信息。

進入到Dataphin分級頁面，可以查看系統(tǒng)中的數(shù)據(jù)分級，及每個數(shù)據(jù)分級的詳細信息。點擊新建數(shù)據(jù)分級，就可以快速完成自定義的數(shù)據(jù)分級創(chuàng)建，操作十分簡單快捷。

二、更智能的敏感數(shù)據(jù)保護

在DAMA出品的數(shù)據(jù)治理經(jīng)典教材《DMBOK2》中也提到，除了對數(shù)據(jù)本身進行分類分級外，還需對外部威脅和內(nèi)部風(fēng)險（由員工和流程產(chǎn)生）進行評估。許多數(shù)據(jù)的丟失或暴露是由于員工對高度敏感的信息缺乏認識或者繞過安全策略視而不見造成的。

因此，企業(yè)可以借助Dataphin的敏感數(shù)據(jù)識別及脫敏能力，對數(shù)據(jù)的采、建、管、用全流程進行安全保障。

通過Dataphin可以配置敏感數(shù)據(jù)識別規(guī)則，系統(tǒng)會根據(jù)識別規(guī)則配置的數(shù)據(jù)分類和數(shù)據(jù)分級，自動對字段打標生成識別結(jié)果，也可以用EXCEL上傳識別結(jié)果或手動添加識別結(jié)果。識別出敏感數(shù)據(jù)之后，就可以配置脫敏規(guī)則保護敏感數(shù)據(jù)了。

在Dataphin的安全模塊中，可以在脫敏算法頁面查看相關(guān)算法說明、算法函數(shù)的使用介紹和數(shù)據(jù)脫敏實現(xiàn)方式。并通過Dataphin的敏感數(shù)據(jù)脫敏能力（包含靜態(tài)脫敏和動態(tài)脫敏），對企業(yè)的數(shù)據(jù)資產(chǎn)開展安全保護。

Dataphin的數(shù)據(jù)靜態(tài)脫敏能力是在數(shù)據(jù)開發(fā)和集成頁面完成，直接對底層數(shù)據(jù)進行脫敏。動態(tài)脫敏是指不改變底層數(shù)據(jù)，只有在做數(shù)據(jù)開發(fā)查詢等操作的時候，做脫敏處理保證數(shù)據(jù)安全。當(dāng)需要進行數(shù)據(jù)問題排查等特殊場景需要展示具體數(shù)據(jù)，可以通過Dataphin的動態(tài)脫敏白名單功能實現(xiàn)。

三、更精細的權(quán)限體系管控

數(shù)據(jù)安全需求和過程分為4個方面：訪問（Access）、審計（Audit）、驗證（Authentication）和授權(quán)（Authorization）。為了有效遵守數(shù)據(jù)法規(guī)，還增加了一個E，即權(quán)限（Entitlement）。數(shù)據(jù)分類、訪問權(quán)限、角色組、用戶和密碼是實施策略和滿足4A的一些常用手段。

企業(yè)數(shù)據(jù)資產(chǎn)管理員可以借助Dataphin的用戶角色體系、權(quán)限申請/審批/審計等功能，對權(quán)限進行精細化管控，為企業(yè)不同的崗位角色配置不同的數(shù)據(jù)權(quán)限，將權(quán)限體系與安全規(guī)范深度結(jié)合。

同時企業(yè)數(shù)據(jù)資產(chǎn)管理員可以利用Dataphin定義不同的權(quán)限申請/審批流程，并對可能不合規(guī)的流程開展審計工作。有了Dataphin，企業(yè)數(shù)據(jù)資產(chǎn)管理員能夠擁有更清晰的全盤視角，持續(xù)對數(shù)據(jù)安全進行監(jiān)控和風(fēng)險分析，將人為引發(fā)的數(shù)據(jù)安全風(fēng)險降到最低。

四、隱私計算保障數(shù)據(jù)流通安全

數(shù)據(jù)資產(chǎn)在流程場景中，往往可以發(fā)揮出更大的價值，但之前企業(yè)困于安全保護技術(shù)的限制，對于數(shù)據(jù)流通存在的數(shù)據(jù)泄漏和安全監(jiān)管風(fēng)險無法處理。比如，在外部數(shù)據(jù)流通場景，明文數(shù)據(jù)容易被不法之徒竊取。這個時候，企業(yè)就可以使用Dataphin進行數(shù)據(jù)集成加解密，或者啟用隱私計算這類安全保護措施。

Dataphin隱私計算能力基于時下最流行的隱私計算技術(shù)，如多方安全計算、聯(lián)邦學(xué)習(xí)、同態(tài)加密、差分隱私等技術(shù)路線，幫助企業(yè)在各類數(shù)據(jù)流通場景實現(xiàn)價值釋放。企業(yè)數(shù)據(jù)不需要出域，即可實現(xiàn)多方數(shù)據(jù)價值交換，在數(shù)據(jù)傳輸流通場景真正實現(xiàn)數(shù)據(jù)可用不可見，不僅免去企業(yè)安全隱憂，還能讓數(shù)據(jù)激發(fā)出更多的價值。

五、確保全鏈路數(shù)據(jù)安全

在數(shù)據(jù)建設(shè)過程中，Dataphin不僅能提供租戶空間、項目空間等能力支持多種隔離場景，還會在開發(fā)等鏈路中根據(jù)數(shù)據(jù)工程師角色權(quán)限，全程進行自動化的脫敏保護，對數(shù)據(jù)研發(fā)生產(chǎn)的全鏈路進行嚴格的安全規(guī)范約束。

以上安全能力經(jīng)多方權(quán)威機構(gòu)測評認證，確保企業(yè)的數(shù)據(jù)從進入Dataphin到輸出，全鏈路安全可控，讓企業(yè)在數(shù)據(jù)安全體系建設(shè)的過程中，享受到Dataphin更實時和全面的安全保障。

未來，Dataphin將融合DAMA數(shù)據(jù)治理理論框架，持續(xù)圍繞數(shù)據(jù)質(zhì)量、數(shù)據(jù)標準、數(shù)據(jù)安全、資源成本等領(lǐng)域提升Dataphin數(shù)據(jù)治理產(chǎn)品化能力，幫助企業(yè)更高效地開展數(shù)據(jù)治理工作，取得顯著成果。