簡(jiǎn)介：《數(shù)據(jù)安全法》的發(fā)布，對(duì)企業(yè)的數(shù)據(jù)安全使用和管理提出了更高的要求。Dataphin提供基于數(shù)據(jù)分級(jí)分類和數(shù)據(jù)脫敏的敏感數(shù)據(jù)識(shí)別和保護(hù)能力，助力企業(yè)建立合規(guī)的數(shù)據(jù)安全體系，保障企業(yè)數(shù)據(jù)安全。本篇，我們就來(lái)聊聊Dataphin的數(shù)據(jù)安全能力。

1、企業(yè)的數(shù)據(jù)安全挑戰(zhàn)

“2021年6月10日，經(jīng)第十三屆全國(guó)人民代表大會(huì)常務(wù)委員會(huì)第二十九次會(huì)議審議，通過(guò)了《中華人民共和國(guó)數(shù)據(jù)安全法》（簡(jiǎn)稱‘《數(shù)據(jù)安全法》’），該法將于2021年9月1日起施行。”

近幾年，隨著消費(fèi)者個(gè)人意識(shí)的崛起和對(duì)隱私的重視，數(shù)據(jù)安全成為了一個(gè)越來(lái)越熱門(mén)的話題，國(guó)家也陸續(xù)發(fā)布了一些相關(guān)規(guī)定，來(lái)規(guī)范數(shù)據(jù)的采集和使用。而《數(shù)據(jù)安全法》的正式發(fā)布，標(biāo)志著數(shù)據(jù)的開(kāi)發(fā)利用和數(shù)據(jù)的安全保障正式進(jìn)入法律范疇，從而對(duì)企業(yè)的數(shù)據(jù)安全管控提出了更高的要求。

在企業(yè)的發(fā)展過(guò)程中，如果不重視敏感數(shù)據(jù)的保護(hù)，不重視數(shù)據(jù)安全體系的建設(shè)，那么一旦發(fā)生了敏感數(shù)據(jù)泄漏事件，輕則企業(yè)口碑受損，業(yè)務(wù)受影響；重則會(huì)直接觸法律，受到主管部門(mén)的處罰和制裁。對(duì)企業(yè)來(lái)說(shuō)，可以考慮以下措施，來(lái)構(gòu)建合規(guī)的數(shù)據(jù)體系：

1、樹(shù)立全面的數(shù)據(jù)合規(guī)理念。對(duì)數(shù)據(jù)安全相關(guān)的法律法規(guī)進(jìn)行關(guān)注和及時(shí)響應(yīng)，同時(shí)建立企業(yè)內(nèi)部的安全合規(guī)團(tuán)隊(duì)，對(duì)企業(yè)數(shù)據(jù)安全的方方面面進(jìn)行安全設(shè)計(jì)和審計(jì)。

2、事前：做好數(shù)據(jù)分類分級(jí)和敏感數(shù)據(jù)保護(hù)?；诜煞ㄒ?guī)、主管部門(mén)要求和自身行業(yè)和業(yè)務(wù)的需要，建立企業(yè)的數(shù)據(jù)分類分級(jí)制度，并對(duì)敏感數(shù)據(jù)制定相應(yīng)的保護(hù)策略。

3、事中：做好風(fēng)險(xiǎn)審計(jì)和風(fēng)險(xiǎn)識(shí)別。成立專門(mén)的數(shù)據(jù)安全小組，定期開(kāi)展數(shù)據(jù)安全的風(fēng)險(xiǎn)評(píng)估，及時(shí)發(fā)現(xiàn)風(fēng)險(xiǎn)，消滅風(fēng)險(xiǎn)。

4、事后：做好事故追溯和補(bǔ)救措施，加固安全措施。出現(xiàn)安全事故后，要立即追責(zé)，同時(shí)視影響的嚴(yán)重程度，上報(bào)主管部門(mén)，并即時(shí)進(jìn)行止損，將影響降低到最小。

本文，我們重點(diǎn)關(guān)注一下數(shù)據(jù)資產(chǎn)安全能力，資產(chǎn)安全為Dataphin提供了數(shù)據(jù)生命周期中統(tǒng)一的敏感數(shù)據(jù)識(shí)別與保護(hù)能力。通過(guò)數(shù)據(jù)分類分級(jí)、敏感數(shù)據(jù)識(shí)別、敏感數(shù)據(jù)脫敏等措施，幫助客戶建立完善的數(shù)據(jù)安全體系，確保數(shù)據(jù)使用的安全合規(guī)。

2、Dataphin的數(shù)據(jù)安全能力

數(shù)據(jù)安全如此重要，當(dāng)然不能只靠人來(lái)治理，而需要有一套成熟的產(chǎn)品和流程來(lái)進(jìn)行安全的管控。這時(shí)候，企業(yè)一般面臨著自建系統(tǒng)和采購(gòu)第三方安全系統(tǒng)的決策問(wèn)題。

選擇企業(yè)自己建設(shè)數(shù)據(jù)安全產(chǎn)品，存在較多的弊端：

1、消耗大量的研發(fā)資源，且后續(xù)需要不斷投入資源進(jìn)行維護(hù)升級(jí)

2、在產(chǎn)品的設(shè)計(jì)和實(shí)現(xiàn)上可能存在漏洞，導(dǎo)致安全隱患

3、存在生產(chǎn)和實(shí)際存在偏差，導(dǎo)致無(wú)法落地到實(shí)際生產(chǎn)中的情況。比如數(shù)據(jù)安全產(chǎn)品和數(shù)據(jù)生產(chǎn)平臺(tái)結(jié)合不緊密；產(chǎn)品功能沒(méi)有滿足國(guó)家的數(shù)據(jù)安全標(biāo)準(zhǔn)等。

對(duì)比企業(yè)自建數(shù)據(jù)安全產(chǎn)品，使用Dataphin數(shù)據(jù)安全產(chǎn)品，存在以下優(yōu)勢(shì)：

1、Dataphin數(shù)據(jù)安全能力齊全，開(kāi)箱即用，幫助您低成本的快速構(gòu)建數(shù)據(jù)安全體系

2、Dataphin數(shù)據(jù)安全能力和數(shù)據(jù)開(kāi)發(fā)過(guò)程緊密結(jié)合，確保數(shù)據(jù)開(kāi)發(fā)全鏈路上的數(shù)據(jù)安全

3、Dataphin實(shí)時(shí)跟蹤政策和行業(yè)動(dòng)態(tài)，不斷升級(jí)安全能力，保障您的企業(yè)一直享受先進(jìn)技術(shù)的保護(hù)

4、Dataphin有完善的專家咨詢和專業(yè)化服務(wù)，幫助您更好的在企業(yè)構(gòu)建數(shù)據(jù)安全體系

Dataphin作為智能數(shù)據(jù)構(gòu)建與管理平臺(tái)，作為企業(yè)數(shù)字化轉(zhuǎn)型中的核心引擎，對(duì)數(shù)據(jù)生產(chǎn)和管理過(guò)程中的數(shù)據(jù)安全，當(dāng)然十分重視。Dataphin提供了完整的產(chǎn)品能力，來(lái)保障數(shù)據(jù)建設(shè)中的數(shù)據(jù)安全，并且整個(gè)安全體系和數(shù)據(jù)研發(fā)生產(chǎn)緊密結(jié)合，確保數(shù)據(jù)從進(jìn)入Dataphin開(kāi)始，到從Dataphin輸出的全鏈路，都安全可控。

圖1：Dataphin安全概覽

Dataphin安全能力圖解

在Dataphin的能力大圖上，安全模塊出現(xiàn)在資產(chǎn)管理模塊，但在實(shí)際的安全體系中，從系統(tǒng)的底座安全、研發(fā)過(guò)程的數(shù)據(jù)處理安全、到數(shù)據(jù)資產(chǎn)的管理、數(shù)據(jù)消費(fèi)的安全，都會(huì)涉及到并提供安全保障。

當(dāng)前Dataphin提供了以下安全能力來(lái)確保客戶的數(shù)據(jù)安全：

1、底座安全：保障底層的系統(tǒng)安全和網(wǎng)絡(luò)安全，這一部分主要由云底座提供安全保障。在底座的安全措施之外，Dataphin提供了租戶隔離、網(wǎng)絡(luò)控制、敏感信息安全加密存儲(chǔ)等安全功能，確保系統(tǒng)的底層安全。

2、平臺(tái)安全（權(quán)限）：在Dataphin內(nèi)部，提供了完整的角色體系，以及權(quán)限申請(qǐng)與審批功能。讓企業(yè)能夠?qū)崿F(xiàn)精細(xì)化授權(quán)管理，可以對(duì)用戶執(zhí)行最小粒度的授權(quán)和管控，防止權(quán)限漏洞。

3、數(shù)據(jù)安全：Dataphin提供了數(shù)據(jù)分類分級(jí)、敏感數(shù)據(jù)識(shí)別和脫敏功能，來(lái)保障數(shù)據(jù)流轉(zhuǎn)過(guò)程中的數(shù)據(jù)安全。通過(guò)敏感數(shù)據(jù)保護(hù)功能，在不改變底層數(shù)據(jù)的情況下，保障日常流轉(zhuǎn)中展示的數(shù)據(jù)都是加密脫敏后的數(shù)據(jù)，確保敏感數(shù)據(jù)不泄漏。

4、安全服務(wù)：為了更好的幫助客戶建設(shè)數(shù)據(jù)安全體系，Dataphin還集成了眾多生態(tài)產(chǎn)品、專家服務(wù)和文檔服務(wù)，保障客戶建立起完善的數(shù)據(jù)安全體系。

圖2：Dataphin安全能力圖解（簡(jiǎn)化版）

上圖是Dataphin安全能力的整體圖解，為了方便理解，簡(jiǎn)化了模塊內(nèi)部的詳細(xì)功能?？梢钥吹剑珼ataphin對(duì)整個(gè)數(shù)據(jù)的生產(chǎn)和管理體系，進(jìn)行了全方位的數(shù)據(jù)安全保障。

3、Dataphin數(shù)據(jù)安全應(yīng)用場(chǎng)景

首先，我們先看一下數(shù)據(jù)安全模塊的應(yīng)用場(chǎng)景，從而對(duì)數(shù)據(jù)安全的價(jià)值有一個(gè)更直觀的認(rèn)知。以下是通過(guò)Dataphin實(shí)現(xiàn)數(shù)據(jù)安全保護(hù)的一些典型的場(chǎng)景：

場(chǎng)景1：數(shù)據(jù)業(yè)務(wù)中的敏感數(shù)據(jù)保護(hù)

在日常的數(shù)據(jù)業(yè)務(wù)運(yùn)轉(zhuǎn)中，數(shù)倉(cāng)工程師/數(shù)據(jù)研發(fā)、數(shù)據(jù)分析師/業(yè)務(wù)分析師，需要經(jīng)常接觸數(shù)據(jù)，包括對(duì)數(shù)據(jù)的查詢、統(tǒng)計(jì)、修改等。在這個(gè)過(guò)程中，存在著大量的數(shù)據(jù)泄漏的風(fēng)險(xiǎn)，比如可以直接查詢到用戶的姓名、手機(jī)號(hào)等。雖然可以通過(guò)授權(quán)的方式，嚴(yán)格控制人員的數(shù)據(jù)權(quán)限，但是因?yàn)榻佑|的是明文的敏感信息，所以仍然存在數(shù)據(jù)泄漏的風(fēng)險(xiǎn)。

而基于Dataphin的敏感數(shù)據(jù)識(shí)別和保護(hù)能力，可以讓敏感數(shù)據(jù)在日常的流轉(zhuǎn)和查詢中，對(duì)外展示的始終是脫敏之后的數(shù)據(jù)，如姓名【張三】顯示為【*三】，手機(jī)【18612345678】顯示為【186****5678】，確保數(shù)據(jù)在流轉(zhuǎn)過(guò)程中，不會(huì)異常泄漏。

場(chǎng)景2：脫敏白名單的靈活運(yùn)用

前面兩個(gè)場(chǎng)景簡(jiǎn)單介紹了在正常場(chǎng)景下對(duì)數(shù)據(jù)的保護(hù)，那在有些場(chǎng)景下，有需要看到最原始的數(shù)據(jù)，那么就需要用到脫敏白名單的功能，在特定的時(shí)間，對(duì)特定的用戶或者角色開(kāi)放原始數(shù)據(jù)。

場(chǎng)景1：對(duì)于企業(yè)中一些比較敏感的數(shù)據(jù)，比如上市公司的財(cái)務(wù)數(shù)據(jù)，特殊人員（如高層級(jí)的員工、公司宏觀決策支持分析師）在一定時(shí)間段（比如公司財(cái)報(bào)發(fā)布前一個(gè)月）是可以看到明文，但是一般人員或這些人員其他時(shí)間不可以，就可以通過(guò)設(shè)置脫敏的白名單及有效時(shí)間來(lái)實(shí)現(xiàn)。

場(chǎng)景2：對(duì)于電商每天的銷售額，正常情況下不能展示真實(shí)數(shù)字，一般都是脫敏展示為***元，但是在雙十一等特殊場(chǎng)景，需要顯示真實(shí)銷售額用于宣傳的情況下，可以開(kāi)啟為期一天的白名單，可以看到當(dāng)天的銷售額數(shù)據(jù)。

4、如何使用Dataphin實(shí)現(xiàn)敏感保護(hù)

那么如何利用Dataphin的安全能力，來(lái)保障企業(yè)的數(shù)據(jù)安全呢？

在Dataphin中，實(shí)現(xiàn)敏感數(shù)據(jù)保護(hù)，主要可以分為以下三個(gè)步驟：

1、識(shí)別敏感數(shù)據(jù)：即設(shè)定數(shù)據(jù)分類、數(shù)據(jù)分級(jí)、識(shí)別規(guī)則等內(nèi)容

2、設(shè)置敏感數(shù)據(jù)保護(hù)方式：為識(shí)別的敏感數(shù)據(jù)選擇合適的脫敏算法、設(shè)定脫敏規(guī)則

3、數(shù)據(jù)消費(fèi)：在即席查詢、開(kāi)發(fā)數(shù)據(jù)寫(xiě)生產(chǎn)等場(chǎng)景進(jìn)行數(shù)據(jù)消費(fèi)時(shí)脫敏

通過(guò)Dataphin實(shí)現(xiàn)數(shù)據(jù)安全體系建設(shè)的詳細(xì)過(guò)程可以參考：如何基于Dataphin實(shí)現(xiàn)敏感數(shù)據(jù)保護(hù)

圖3：Dataphin數(shù)據(jù)安全核心操作流程圖

5、未來(lái)展望

雖然當(dāng)前Dataphin已經(jīng)有了比較完善的數(shù)據(jù)安全體系，但是基于客戶需求的多樣性以及對(duì)政策的研究與響應(yīng)，未來(lái)會(huì)陸續(xù)支持以下功能和優(yōu)化，從而幫助客戶更好的構(gòu)建數(shù)據(jù)安全體系，實(shí)現(xiàn)業(yè)務(wù)發(fā)展的安全與合規(guī)。

1、數(shù)據(jù)安全審計(jì)：提供安全審計(jì)功能，詳細(xì)的記錄用戶對(duì)敏感數(shù)據(jù)的每一次查詢、下載操作，從而發(fā)現(xiàn)風(fēng)險(xiǎn)操作，進(jìn)行事故追責(zé)和體系優(yōu)化。

2、風(fēng)險(xiǎn)自動(dòng)發(fā)現(xiàn)與告警：基于規(guī)則和算法，自動(dòng)發(fā)現(xiàn)異常的用戶操作，并進(jìn)行告警提示，及時(shí)發(fā)現(xiàn)風(fēng)險(xiǎn)、阻斷風(fēng)險(xiǎn)，將數(shù)據(jù)風(fēng)險(xiǎn)的影響最小化

3、更多業(yè)務(wù)場(chǎng)景中的安全脫敏：支持?jǐn)?shù)據(jù)集成和數(shù)據(jù)服務(wù)過(guò)程中的數(shù)據(jù)脫敏，確保數(shù)據(jù)的每一次消費(fèi)和使用都安全可控，將敏感數(shù)據(jù)泄漏的風(fēng)險(xiǎn)從源頭消滅。

4、集成更多的生態(tài)產(chǎn)品和專家服務(wù)，幫助客戶更好的建立起可持續(xù)、可運(yùn)營(yíng)、有效率、有效果的數(shù)據(jù)安全體系。

在新的法律環(huán)境和數(shù)據(jù)安全的挑戰(zhàn)下，Dataphin也會(huì)不斷想客戶所想，以創(chuàng)造更大的客戶價(jià)值為己任，持續(xù)增強(qiáng)數(shù)據(jù)安全能力，來(lái)幫助客戶建立完善的數(shù)據(jù)安全體系，為客戶的業(yè)務(wù)發(fā)展保駕護(hù)航。

來(lái)源：阿里數(shù)據(jù)