Database Autonomy Service (DAS) identifica datos sensibles en bases de datos de diversos sectores, como finanzas, energía y automotriz. Puede utilizar las plantillas de identificación integradas para detectar datos sensibles en sus instancias o crear plantillas personalizadas basadas en ellas.
Bases de datos y regiones compatibles
Bases de datos | Regiones |
| China (Hangzhou), China (Shanghai), China (Qingdao), China (Beijing), China (Zhangjiakou), China (Hohhot), China (Shenzhen), China (Chengdu) y China (Hong Kong) |
PolarDB for PostgreSQL (Compatible with Oracle) | China (Hangzhou) y Malaysia (Kuala Lumpur) |
Modelos y plantillas
Plantilla de identificación
Una plantilla de identificación clasifica y gradúa los datos sensibles según estándares del sector, lo que le ayuda a comprobar el cumplimiento de los requisitos de seguridad y normativos.
Modelos de identificación y funciones de identificación
|
Concepto |
Descripción |
|
Modelo de identificación |
Un modelo de identificación consta de una o más funciones de identificación. Determina el resultado final de la identificación y es configurable. DAS proporciona modelos de identificación integrados para datos sensibles típicos y admite modelos de identificación personalizados. |
|
Función de identificación |
Una función de identificación detecta datos sensibles con base en contenido, metadatos o diccionarios. Utiliza reglas que combinan expresiones regulares y operadores como 'contains' y 'does not contain' para definir características de los datos. Puede vincular varias reglas con operadores AND/OR para lograr una detección más flexible. DAS proporciona funciones de identificación integradas para tipos comunes de datos sensibles y admite funciones de identificación personalizadas. |
Clasificación de plantillas y reglas de tareas
Una tarea de identificación escanea los datos de una base de datos conectada para descubrir datos sensibles, genera un informe de escaneo y aplica clasificación y gradación a los resultados.
Una tarea de identificación requiere una plantilla de identificación habilitada. Existen tres tipos de plantillas de identificación habilitadas: principal, activa y de propósito general.
Al agregar una tarea de identificación personalizada, solo puede seleccionar una plantilla principal y hasta dos plantillas activas.
|
Tipo de plantilla |
Descripción |
|
Plantilla integrada |
Seleccione una plantilla integrada según su escenario empresarial. DAS ofrece plantillas para sectores como finanzas, seguridad interna en la nube, energía, Internet de los Vehículos (IoV) y la industria general de internet. |
|
Plantilla personalizada |
Si las plantillas integradas no satisfacen sus necesidades, puede crear hasta diez plantillas personalizadas mediante la configuración de funciones y modelos de identificación. |
Rol de la plantilla | Descripción |
Plantilla principal | Esta plantilla se utiliza de forma predeterminada para las tareas del sistema. La plantilla principal predeterminada es la plantilla de clasificación y gradación para la industria de internet. No es posible deshabilitar una plantilla principal. Solo puede tener una plantilla principal. Puede establecer una plantilla activa como plantilla principal. Los resultados de identificación en la consola de DAS se basan en la plantilla principal. |
Plantilla activa | Puede habilitar plantillas integradas o personalizadas como plantillas activas. Es posible habilitar hasta dos plantillas activas. |
Plantilla de propósito general | Plantilla basada en la Especificación de Seguridad de Información Personal Esta plantilla es la predeterminada solo para tareas de identificación que utilizan plantillas integradas. |
Niveles de sensibilidad
La identificación de datos sensibles de DAS admite hasta 10 niveles de sensibilidad, desde S1 hasta S10. Un número mayor indica un nivel de sensibilidad más alto.
En una plantilla integrada, no es posible agregar ni eliminar niveles de sensibilidad. Solo puede editar la descripción.
En una plantilla personalizada, puede agregar, editar y eliminar niveles de sensibilidad.
Plantillas y modelos de identificación
Gestión de plantillas
Plantillas de identificación integradas
Inicie sesión en la consola de DAS.
-
En el panel de navegación izquierdo, seleccione .
De forma predeterminada, se encuentra en la pestaña template management > Template Configuration. El área Enabled identification templates muestra las plantillas habilitadas como tarjetas. La plantilla principal se identifica con la etiqueta Primary. Las operaciones compatibles incluyen Set as Primary, View y Disable. El área Template Library enumera todas las plantillas integradas de clasificación y gradación junto con sus estados. Puede usar el interruptor para habilitar o deshabilitar una plantilla, y realizar operaciones como Create Template, View y Copy.
En la lista de plantillas en la parte inferior de la página Template Configuration de la pestaña template management, localice las plantillas de identificación cuyo Type sea built-in.
En la columna Status, haga clic en el interruptor
o 
para habilitar o deshabilitar la plantilla.-
Haga clic en el interruptor Primary o Deactivate de una plantilla de identificación habilitada para establecerla como plantilla principal o para desactivarla.
NotaSi no configura una plantilla de identificación, la plantilla principal predeterminada será la Classification and Grading Template for the Internet Industry.
Plantillas de identificación personalizadas
Crear
Inicie sesión en la consola de DAS.
En el panel de navegación izquierdo, seleccione .
En la página template management > Template Configuration, haga clic en Create Template.
En la página Create Template, configure la Basic Information (Template Name y Template Description) y luego haga clic en Next.
-
En la sección Configure Template Node, haga clic en Create Category. En el cuadro de diálogo que aparece, introduzca una Category para los datos sensibles y haga clic en OK.
-
Haga clic en el icono de gestión
a la derecha de la categoría agregada y luego haga clic en Add Sibling Category o Add Subcategory para añadir una categoría hermana o una subcategoría.Este menú también incluye las opciones Add Model y Delete.
NotaRepita este paso para agregar varias categorías.
-
Repita los siguientes pasos para agregar un modelo de identificación bajo la categoría de datos sensibles.
Haga clic en el icono de gestión
a la derecha de la categoría agregada y haga clic en Add Model.-
En el cuadro de diálogo Add Model, seleccione la casilla del modelo de identificación deseado, establezca su estado como habilitado
y luego haga clic en OK.ImportanteUn modelo de identificación solo surte efecto en las tareas después de habilitarlo en la plantilla.
Puede utilizar las listas desplegables All models, All data labels y All sources, o bien el cuadro de búsqueda por nombre de modelo, para encontrar un modelo de identificación específico.
-
Copiar
Inicie sesión en la consola de DAS.
En el panel de navegación izquierdo, seleccione .
En la página template management > Template Configuration, localice la plantilla de identificación integrada o personalizada que desea copiar y haga clic en Copy en la columna Operation.
-
En el cuadro de diálogo, modifique el Template Name y las Remarks, y luego haga clic en Confirm.
NotaPuede hacer clic en Edit en la columna Actions de la nueva plantilla para modificar su nombre, las categorías de modelos y los modelos de identificación.
Gestión de modelos
Inicie sesión en la consola de DAS.
En el panel de navegación izquierdo, seleccione .
Haga clic en la pestaña Identification Model y luego en Add Model.
-
En el panel Add Model, configure los parámetros del modelo y luego haga clic en OK.
Tipo
Parámetro
Descripción
Basic Information
Model name
Nombre del modelo. El nombre debe ser único.
Model Description
Descripción del modelo.
Tag
Seleccione una etiqueta de datos para el modelo. Valores válidos: sensitive personal information, Personal Information y General Information.
Data Category
En la lista desplegable, asocie el nuevo modelo con una plantilla de identificación, una categoría de datos sensibles y un nivel de riesgo.
Solo puede asociar el modelo con plantillas de identificación personalizadas.
Model Rule
Identification Features
En la lista desplegable, seleccione las funciones de identificación para el modelo.
Puede seleccionar funciones de identificación integradas y personalizadas.
Si selecciona varias funciones, estas se combinan con lógica OR.
Identification Scope
En la lista desplegable, seleccione los tipos de activos donde se aplica el modelo. De forma predeterminada, el modelo se aplica a los activos de DAS autorizados y accesibles.
Si selecciona varios tipos de activos, estos se combinan con lógica OR.
Advanced Settings
Opcional.
En la lista desplegable, seleccione el tipo de activo que desea configurar.
Seleccione cómo surten efecto las condiciones. Valores válidos: AND y OR. Para crear varios grupos de condiciones, haga clic en Add Group. El nuevo grupo es un subconjunto del primer grupo.
Configure las condiciones de identificación. Para agregar más condiciones, haga clic en Add Condition.
Identification Threshold
Minimum Hits (Unstructured Data)
Para datos no estructurados (como archivos NoSQL), establezca el número mínimo de veces que debe encontrarse una función de identificación en un solo archivo.
Si el recuento de coincidencias en un solo archivo alcanza este umbral, el archivo se clasifica como dato sensible.
Hit Ratio (Structured Data)
Establezca la tasa de aciertos para datos estructurados (por ejemplo, RDS).
Si el porcentaje de registros coincidentes en una muestra de 200 registros cumple con la tasa de aciertos especificada, los datos se clasifican como sensibles.
Otras operaciones
Consultar detalles de la plantilla: Haga clic en Details en la columna Actions de una plantilla para ver su configuración de reglas y el umbral de identificación.
Eliminar una plantilla de identificación: Solo puede eliminar plantillas de identificación personalizadas, no las integradas. En la columna Operation de la plantilla objetivo, haga clic en el icono de gestión
y luego haga clic en Delete.Gestionar categorías de modelos: Solo puede establecer categorías de modelos para plantillas personalizadas. En la columna Actions de la plantilla objetivo, haga clic en Edit.
Cambiar el modelo de identificación habilitado: Cambiar el modelo de identificación habilitado no afecta a las tareas en ejecución. El cambio surte efecto en la siguiente ejecución de la tarea.
Gestión de la identificación de datos sensibles
Requisitos previos
Conceda asset authorization a la instancia destino en instance list.
Haga clic en la pestaña Cloud Instances, localice la instancia destino y haga clic en Enable en la columna Security Center.
Tareas de identificación
Tarea predeterminada del sistema
Al autorizar una base de datos y seleccionar la tarea de escaneo de identificación de datos sensibles predeterminada, DAS crea una tarea de escaneo predeterminada para dicha base de datos mediante la identification template principal.
Parámetro | Descripción |
Plantilla de identificación | La tarea predeterminada del sistema utiliza la plantilla de identificación principal. Esto no se puede modificar. Nota Si la plantilla de identificación principal es una plantilla de identificación integrada, la tarea también utiliza la plantilla de identificación de uso general. |
Periodo de escaneo (predeterminado) | Si selecciona la tarea de escaneo de identificación de datos sensibles predeterminada durante la autorización de la instancia, la tarea se ejecuta inmediatamente después de confirmar. Nota Puede configurar el periodo de escaneo para la tarea predeterminada del sistema. El intervalo mínimo entre dos escaneos es de 24 horas. |
Alcance del escaneo | Para nombres de instancias, bases de datos y tablas autorizados: Nota
Si cambia la plantilla de identificación principal, no se activa un escaneo de inmediato. El siguiente escaneo utilizará la nueva plantilla de identificación. |
Límites de escaneo |
|
Resultado del escaneo | El resultado del escaneo es la sensitivity level de la plantilla de identificación. |
Tarea de identificación personalizada
Puede agregar una tarea de identificación personalizada para escanear una tabla de base de datos específica mediante una identification template habilitada. Si la plantilla que desea usar no está habilitada, habilítela primero.
Según el alcance y el periodo de escaneo personalizados, tanto el primer escaneo como los reescaneos son completos. Los escaneos periódicos cubren únicamente objetos de datos nuevos o modificados.
El resultado del escaneo es la sensitivity level de la plantilla de identificación.
N/Aindica que el escaneo no encontró datos sensibles.
Gestión de tareas predeterminadas del sistema
Consulta de la tarea predeterminada
Inicie sesión en la consola de DAS.
En el panel de navegación izquierdo, seleccione .
En la página Task Management, haga clic en la pestaña Identification Task y luego en System Default Task.
En la página Identification Task Monitoring, consulte la lista de tareas predeterminadas.
-
En la columna Actions, puede realizar las siguientes operaciones en una tarea predeterminada del sistema.
Rescan: Vuelve a escanear todos los datos. Utilice esta acción si se actualiza el modelo de identificación, si cambia la plantilla de identificación principal o si cambia el contenido de la base de datos.
Pause: Si un servicio de base de datos presenta problemas, haga clic en Pause en la columna Actions para detener temporalmente la tarea predeterminada del sistema que se está ejecutando.
Stop: Evita que la tarea se ejecute en el siguiente periodo. Si la tarea se está ejecutando actualmente, detenerla no afecta la ejecución actual.
Enable: Vuelve a habilitar una tarea detenida.
Ajuste de la configuración de escaneo
Las tareas predeterminadas del sistema admiten escaneos periódicos. Establezca el periodo de escaneo según la frecuencia de actualización de su base de datos para detectar datos sensibles en registros nuevos. El periodo de escaneo mínimo configurable es de 24 horas.
En la página Discovery Task Monitoring, seleccione la casilla de verificación de la tarea deseada, haga clic en Scan settings encima de la lista de tareas y configure el periodo y la hora de escaneo.
Para minimizar el impacto del escaneo en su base de datos, programe la hora de inicio del escaneo fuera de las horas pico.
Si observa un aumento repentino en el uso de CPU o memoria durante un escaneo, pause o detenga la tarea de inmediato. Puede ir a la página Task Management y hacer clic en Pause o Stop en la columna Actions para detener el escaneo.
Creación de una tarea personalizada
Inicie sesión en la consola de DAS.
En el panel de navegación izquierdo, seleccione .
-
En la pestaña Identification Tasks, seleccione el tipo de activo para el cual desea crear una tarea de identificación y haga clic en Create.
El árbol de navegación de la izquierda agrupa los tipos de activos por categoría de datos, como structured data. Los grupos incluyen subelementos como RDS, PolarDB y PolarDB-X 2.0. Seleccione el tipo de activo destino y haga clic en Create Identification Task a la derecha.
-
En el panel Create, configure los parámetros de la tarea y luego haga clic en Confirm.
Categoría
Parámetro
Descripción
Identification Scope
Identification Scope of Structured Data
Seleccione el alcance del escaneo para datos estructurados, como ApsaraDB RDS y PolarDB. Opciones:
Global Scan: Escanea todos sus activos de datos estructurados.
Specify Scan Scope: Configure Instance Name, Database Name y Scan Limit.
Configure el nombre de la instancia y el nombre de la base de datos. Para agregar varias instancias, haga clic en Add Identification Scope.
Configure Scan Limit. Se escanean las primeras 200 filas de forma predeterminada, con un máximo de 1,000 filas.
Otras configuraciones
Tagging Result Overwriting
Especifique cómo manejar los datos sensibles detectados que han sido corregidos previamente. Opciones:
Skip manual tagging results: Conserva los resultados originales de la corrección manual. Esta opción es la recomendada.
Overwrite manual tagging results: Sobrescribe los resultados de la corrección manual con los nuevos resultados de identificación.
-
En la columna Operation, puede realizar las siguientes operaciones en una tarea de identificación personalizada.
Rescan: Vuelve a escanear todos los datos. Utilice esta acción si se actualiza el modelo de identificación, si cambia la plantilla de identificación principal o si cambia el contenido de la base de datos.
Suspend: Si un servicio de base de datos presenta problemas, haga clic en Pause en la columna Actions para detener temporalmente la tarea que se está ejecutando.
Terminate: Evita que la tarea se ejecute en el siguiente periodo. Si la tarea se está ejecutando actualmente, detenerla no afecta la ejecución actual.
Enable: Vuelve a habilitar una tarea detenida.
Gestión de tareas personalizadas
Puede crear una tarea de identificación personalizada para escanear una base de datos específica con cualquier plantilla habilitada, no solo con la plantilla principal.
El sistema admite un máximo de cinco tareas de identificación activas. Cada tarea de escaneo periódico ocupa un espacio de tarea activa. Después de configurar cinco tareas periódicas, no podrá crear nuevas tareas de identificación.
Corrección de resultados
La operación de recuperación restaura el modelo de identificación a su estado anterior a la corrección.
Inicie sesión en la consola de DAS.
En el panel de navegación izquierdo, seleccione .
En la página , haga clic en la pestaña Revision Tasks.
En el panel de navegación izquierdo de tipos de datos, haga clic en el tipo de activo que desea corregir.
Haga clic en Correct o Recover en la columna Actions para los datos sensibles destino. Siga las instrucciones en pantalla para modificar el Corrected model y luego haga clic en OK.
Resultados de la identificación
Una vez completada una tarea de identificación de datos sensibles, puede consultar y exportar los resultados en la página Asset Overview. Los resultados del escaneo se actualizan cada 5 minutos.
Consulta de resultados
Inicie sesión en la consola de DAS.
En el panel de navegación izquierdo, seleccione .
-
En la pestaña Asset Type, haga clic en el tipo de datos que desea consultar.
Después de hacer clic en el tipo de datos, se muestran estadísticas de datos sensibles para ese tipo de activo a la derecha, incluidas Sensitive instances, Sensitive databases, Sensitive tables y Sensitive columns, junto con los cambios semanales. La tabla de datos inferior muestra información de cada instancia, como Instance ID/Name/UID, Region, Database type, Total DBs | Sensitive DBs, Sensitivity level y Data label. Puede expandir una instancia para ver detalles de datos sensibles a nivel de base de datos y la hora del último escaneo. Puede filtrar datos por Region, Sensitivity level e Instance ID, y hacer clic en Table Details para ver información a nivel de tabla.
Para ver los detalles de los datos sensibles en una instancia de activo de datos, haga clic en Table Details en la columna Actions.
-
En el panel de detalles de la derecha, consulte las estadísticas de datos sensibles.
Las estadísticas de datos sensibles incluyen: un gráfico de dona de Data classification and grading statistics (que muestra la proporción de cada nivel de sensibilidad, como S2 y S3), un gráfico de dona de Sensitive data label statistics (que muestra la distribución de categorías como Sensitive Personal Information, Personal Information y General Information), un gráfico de barras de Data identification rate (que muestra el número total de columnas, columnas sensibles y su proporción) y un gráfico de barras horizontales de Top 5 hit models (como Personal Phone Number, Passport Number y Mobile Number). Debajo de los gráficos hay filtros desplegables de Hit model y Sensitivity level, así como una función de búsqueda. En la parte inferior, una tabla de detalles de datos enumera columnas como Table Name, Total Rows, Total Columns, Sensitive Columns, Data Labels, Hit Data y Actions. Puede hacer clic en Column Details para ver información específica de columnas sensibles.
-
En la lista de datos sensibles, puede hacer clic en Column details en la columna Operation para ver los detalles de la regla correspondiente a los datos identificados como sensibles en cada columna.
Si la opción Revision está disponible en la columna Operation, puede corregir los resultados de identificación de datos sensibles.
Tomando como ejemplo la tabla
audit_log, la página Column Details muestra información como Column name, Data label, Identification result, Sensitivity level, Correction status y Data sampling result. Por ejemplo, el resultado de identificación para la columnaides "Primary key", el nivel de sensibilidad es S1 y el estado de corrección es "Not corrected". Las acciones Correct y Recover están disponibles en el lado derecho de cada fila.
Exportación de resultados
Inicie sesión en la consola de DAS.
En el panel de navegación izquierdo, seleccione .
-
Haga clic en Create. Configure la tarea de exportación y luego haga clic en OK.
En la sección Basic information, introduzca un nombre de tarea y seleccione la plantilla utilizada para la tarea de identificación. Solo puede seleccionar plantillas habilitadas.
-
En la sección Export dimension, seleccione Asset type o Asset instance.
Asset type: Selecciona todas las instancias de motor.
Asset instance: Selecciona las instancias de motor cuyos datos desea exportar.
Después de crear una tarea de exportación, puede consultar su estado en la lista de tareas de exportación. Los conjuntos de datos más grandes tardan más en exportarse.
Descarga de resultados
Espere hasta que el Export Status cambie a Completed y luego haga clic en Download en la columna Actions de la tarea de exportación destino.
Debe descargar los datos exportados dentro de los tres días posteriores a la finalización de la tarea. Después de este periodo, la tarea caduca y los datos ya no estarán disponibles para su descarga.