DataWorks:Crear una regla de enmascaramiento de datos

Contexto

DataWorks ofrece dos tipos de enmascaramiento de datos: enmascaramiento estático y enmascaramiento dinámico.

• Enmascaramiento dinámico de datos: incluye escenarios como enmascaramiento de visualización en Desarrollo de datos y Mapa de datos, enmascaramiento de visualización en DataAnalysis, enmascaramiento en la capa de motor de MaxCompute y enmascaramiento en la capa de motor de Hologres.

• Enmascaramiento estático de datos: se refiere al escenario de enmascaramiento estático de integración de datos.

De forma predeterminada, las reglas de enmascaramiento de datos se deshabilitan tras su creación. Debe habilitarlas manualmente para que los datos se enmascaren automáticamente en los escenarios correspondientes.

Requisitos previos

• (Opcional, solo para enmascaramiento dinámico de datos) Configure reglas de detección de datos sensibles según sea necesario. Esto le permite asociar campos que requieren enmascaramiento al crear las reglas. Para obtener más información, consulte Sensitive data detection rules.

• (Opcional, solo para enmascaramiento dinámico de datos) Utilice una lista blanca para permitir que usuarios específicos omitan las reglas de enmascaramiento durante un periodo determinado. Para ello, agregue los usuarios a un grupo de usuarios con permiso para ver datos sin procesar. Para obtener más información, consulte Configure a user group.

• (Opcional, solo para enmascaramiento en la capa de motor de MaxCompute) Este escenario enmascara datos sensibles cuando consulta datos desde puntos de entrada distintos a DataWorks, como el cliente de línea de comandos de MaxCompute (odpscmd) o Logview. Para utilizar este escenario, debe solicitar agregar una dirección IP a la lista blanca de red de MaxCompute. Esto le permite invocar las funciones de enmascaramiento. Para obtener más información, consulte Example: Use underlying data masking in E-MapReduce.

Control de acceso

• Configurar reglas de enmascaramiento de datos (crear, editar y eliminar):

  • El Tenant Administrator y los administradores de seguridad del tenant pueden realizar estas operaciones en todos los escenarios de enmascaramiento de datos.

  • El Workspace Administrator y los administradores de seguridad del workspace pueden realizar estas operaciones únicamente en los escenarios de enmascaramiento de datos para los que tienen permisos.

• Configurar una lista blanca de enmascaramiento de datos (crear, editar y eliminar):

  • Los administradores del tenant y los administradores de seguridad del tenant pueden configurar listas blancas para todos los escenarios de enmascaramiento de datos.

  • El Workspace Administrator y los administradores de seguridad del workspace pueden configurar listas blancas únicamente para los escenarios de enmascaramiento de datos para los que tienen permisos.

Para realizar estas operaciones, debe contar con los permisos de rol necesarios. Para obtener más información sobre la autorización, consulte Workspace-level module permissions y Global module permissions.

Punto de entrada para la configuración de reglas de enmascaramiento de datos

1. Inicie sesión en la consola de DataWorks. En la región objetivo, haga clic en Data Governance > Security Center en el panel de navegación izquierdo. En la página que aparece, haga clic en Go to Security Center.

2. En el panel de navegación izquierdo, haga clic en Data Security > Sensitive Data Management y luego haga clic en Try Now para acceder a Data Security Guard.

   Nota

   • Si su cuenta de Alibaba Cloud ya está autorizada, se le dirigirá a la página principal de Data Security Guard.

   • Si su cuenta de Alibaba Cloud no está autorizada, se le redirigirá a la página de autorización de Data Security Guard. Para usar las funciones de Data Security Guard por primera vez, vaya a Data Security > Sensitive Data Management, seleccione Data Security Guard en el cuadro de diálogo emergente y complete la autorización.

3. En el panel de navegación izquierdo, elija Rule Setting > Data Masking Management para ir a la página de Gestión de enmascaramiento de datos.

4. En el panel izquierdo, seleccione un escenario de enmascaramiento de datos. Luego, haga clic en Masking Rule a la derecha para crear una regla para dicho escenario.

   • Enmascaramiento dinámico de datos: la configuración de reglas es similar para todos los escenarios de enmascaramiento dinámico. Este tema utiliza como ejemplo el escenario de enmascaramiento de visualización en Desarrollo de datos/Mapa de datos. Para obtener más información sobre la configuración, consulte Create a dynamic data masking rule: Data Development/Data Map display masking scenario.

   • Enmascaramiento estático de datos: para obtener más información sobre la configuración, consulte Create a static data masking rule: Data integration static masking scenario.

Crear una regla de enmascaramiento dinámico de datos: escenario de enmascaramiento de visualización en Desarrollo de datos/Mapa de datos

1. Seleccione un escenario de enmascaramiento de datos.

   En la página Data Masking Management, establezca Data Masking Scenario en Data Development/Data Map display masking > Default Scenario. A continuación, haga clic en Masking Rule a la derecha.

2. Cree una regla de enmascaramiento de datos.

   1. En el cuadro de diálogo Create Masking Rule, configure los parámetros de la regla.

   2. 1. Seleccione un campo sensible y especifique un nombre de regla.

         Parámetro	Descripción
         Tipo de campo sensible	Seleccione el tipo de campo al que se aplica esta regla de enmascaramiento de datos. Puede seleccionar un tipo de campo sensible integrado o uno personalizado que haya creado en Detección de datos sensibles. Para obtener más información sobre cómo agregar un campo sensible, consulte Sensitive data detection rules. Si ya creó una regla de enmascaramiento de datos para el mismo escenario, DataWorks filtra los tipos de campos sensibles que ya están en uso para evitar reglas de enmascaramiento inconsistentes para el mismo campo sensible dentro del mismo escenario.
         Masking Rule Name	De forma predeterminada, este parámetro coincide con el tipo de campo sensible. También puede especificar un nombre personalizado. El nombre de la regla debe ser único.

      2. Configure los escenarios de enmascaramiento de datos.

         Seleccione los escenarios a los que se aplica la regla de enmascaramiento de datos. De forma predeterminada, se utiliza el escenario seleccionado en el Paso 1. Puede cambiar el escenario o agregar más según sea necesario.

      3. Configure un método de enmascaramiento de datos.

         DataWorks proporciona métodos de transformación de datos como Cifrado con preservación de formato, Mask, Cifrado HASH, String Replacement, Transformación de rango, Redondeo y Establecer como nulo. Seleccione un método según sus necesidades.

         Cifrado con preservación de formato (anteriormente algoritmo de seudonimización)

         El cifrado con preservación de formato reemplaza un valor por un valor enmascarado que conserva las mismas características. El formato de los datos permanece igual después del enmascaramiento. La siguiente tabla describe los parámetros de esta regla de enmascaramiento de datos.

         Parámetro	Descripción
         (Opcional) Data watermark	Una marca de agua de datos proporciona trazabilidad. Si ocurre una violación de datos, la marca de agua puede ayudarle a localizar la fuente potencial de la fuga. Puede habilitar o deshabilitar Data watermark según sea necesario. Nota La función de marca de agua de datos solo está disponible en DataWorks Enterprise Edition.
         Desensitization characteristic value	Distintos valores de característica de enmascaramiento corresponden a diferentes reglas de política de enmascaramiento. Esto significa que, para los mismos datos de origen, distintos valores de característica producen resultados enmascarados diferentes. Si el valor de característica es el mismo, los mismos datos de origen producirán los mismos datos enmascarados. Por ejemplo, si los datos sin procesar son a123: Si establece el valor de característica de enmascaramiento en 0, los datos se enmascararán como b124. Si establece el valor de característica de enmascaramiento en 1, los datos se enmascararán como c234. El valor predeterminado es 5. El valor puede oscilar entre 0 y 9.
         Replace Character Set	Si la regla de detección para el tipo de campo sensible seleccionado no es una regla integrada, debe configurar Replace Character Set. Después de configurar un conjunto de caracteres de reemplazo, cualquier carácter del conjunto se sustituirá por otro del mismo tipo. Por ejemplo, si los datos sensibles antes del enmascaramiento consisten en dígitos del 0 al 3 y letras de la a a la d, los datos enmascarados también consistirán en dígitos y letras dentro de ese rango. Nota Los caracteres del conjunto se reemplazan por caracteres del mismo rango. El conjunto de caracteres de reemplazo admite letras mayúsculas, letras minúsculas y dígitos. Separe varios caracteres con comas (,). No se admiten caracteres chinos. Si los datos que se van a enmascarar no cumplen con el rango del conjunto de caracteres, no se enmascararán.

         Máscara

         El método de máscara oculta parte de la información mediante el reemplazo de caracteres en posiciones específicas con asteriscos (*). Al utilizar este método, debe seleccionar un modo de enmascaramiento. DataWorks ofrece varios modos integrados y admite modos personalizados.

         Parámetro (seleccione uno)	Descripción
         Recommended Methods	Seleccione un método de enmascaramiento recomendado de la lista desplegable. Los métodos disponibles varían según el campo que se va a enmascarar. DataWorks cuenta con tres métodos de enmascaramiento integrados. Estos incluyen mostrar solo el primer y último carácter, mostrar solo los primeros tres y últimos dos caracteres, y mostrar solo los primeros tres y últimos cuatro caracteres. Seleccione una opción de la lista desplegable según sea necesario.
         Custom	Esta opción ofrece una forma más flexible de configurar el enmascaramiento. Debe configurar si se enmascara cada segmento de izquierda a derecha y especificar el número de caracteres que se deben enmascarar (o no). Puede agregar hasta 10 segmentos. Se requiere como mínimo un segmento y debe haber exactamente un segmento configurado como Remaining Characters. Por ejemplo, enmascarar los primeros 3 caracteres y no enmascarar los restantes.

         Cifrado HASH

         Cuando utilice el cifrado HASH para el enmascaramiento de datos, debe configurar los parámetros descritos en la siguiente tabla.

         Parámetro	Descripción
         Data watermark	Una marca de agua de datos proporciona trazabilidad. Si ocurre una violación de datos, la marca de agua puede ayudarle a localizar la fuente potencial de la fuga. Puede habilitar o deshabilitar Data watermark según sea necesario. Nota La función de marca de agua de datos solo está disponible en DataWorks Enterprise Edition.
         Encryption Algorithm	Las opciones incluyen MD5, SHA256, SHA512 y SM3.
         Salt value	Establezca el valor de sal para cada algoritmo de cifrado. El valor predeterminado es 5. El valor puede oscilar entre 0 y 9. Nota Una sal es una cadena específica que se inserta. En criptografía, el proceso de "salting" consiste en insertar una cadena específica en una posición fija dentro de una contraseña. Esto hace que el resultado del hash sea diferente al resultado de aplicar hash a la contraseña original.

         Reemplazo de caracteres

         El método String Replacement sustituye caracteres en una posición especificada por los caracteres que usted elija. La siguiente tabla describe los parámetros de esta regla de enmascaramiento de datos.

         Parámetro	Descripción
         (Obligatorio) Posición de reemplazo	En la lista desplegable, puede seleccionar Reemplazar todo, Reemplazar los primeros 3 caracteres o Reemplazar los últimos 4 caracteres. También puede seleccionar Custom para definir la posición de reemplazo. Si establece la posición de reemplazo en Custom, puede definir segmentos personalizados. Debe definir los segmentos de izquierda a derecha y configurar el número de caracteres que se van a reemplazar, así como el método de reemplazo para cada segmento. Puede agregar hasta 10 segmentos. Se requiere como mínimo un segmento y debe haber exactamente un segmento configurado como Remaining Characters.
         (Obligatorio) Replacement Method	Las opciones incluyen Random replacement, Sample value replacement y Fixed value substitution. Random replacement: reemplaza caracteres aleatoriamente en las posiciones correspondientes. El número de caracteres permanece igual después del reemplazo. Sample value replacement: debe seleccionar una biblioteca de muestras. Los valores de la biblioteca seleccionada se utilizan para reemplazar los caracteres en las posiciones correspondientes. Fixed value substitution: en el cuadro de texto Replacement value, introduzca los caracteres de reemplazo (cualquier carácter, de 1 a 100 caracteres de longitud, no puede contener caracteres nulos). El valor introducido se utiliza para reemplazar los caracteres en las posiciones correspondientes.

         Transformación de rango

         El método Transformación de rango se aplica únicamente a datos numéricos. Enmascara los datos dentro de un rango numérico especificado convirtiéndolos a un valor fijo. Puede agregar un mínimo de 1 y un máximo de 10 rangos.

         Parámetro	Descripción
         Rango numérico original [m,n)	El rango numérico de los datos antes del enmascaramiento. El valor debe ser mayor o igual a 0 y puede tener hasta dos decimales.
         Valor numérico enmascarado	El valor después del enmascaramiento. El valor debe ser mayor o igual a 0 y puede tener hasta dos decimales.

         Redondeo

         El método Redondeo se aplica únicamente a datos numéricos.

         Parámetro	Descripción
         Tipo de datos sin procesar	Solo se admiten tipos numéricos.
         Keep the number of decimal places	Puede conservar de 0 a 5 decimales. La parte restante se redondea. Por ejemplo, si el valor original es 3.1415 y elige conservar 2 decimales, el valor enmascarado será 3.14.

         Establecer como nulo

         Cuando utiliza el método Establecer como nulo, el campo sensible correspondiente se establece como una cadena vacía.

   3. Compruebe el resultado del enmascaramiento.

      En el cuadro de texto Sample Data, introduzca datos de muestra para enmascarar. Los datos pueden tener de 0 a 100 caracteres de longitud. Luego, haga clic en Validation. Los datos enmascarados se muestran en el campo Masking Effect.

   4. Haga clic en Save o Save para crear la regla de enmascaramiento de datos.

Después de crear la regla de enmascaramiento de datos:

• Para escenarios de enmascaramiento dinámico de datos, puede configurar una lista blanca para la regla. Los usuarios incluidos en la lista blanca podrán ver los datos sin procesar durante un periodo especificado. Para obtener más información sobre cómo agregar un usuario a una lista blanca, consulte Configure a whitelist for a data masking rule (for dynamic data masking only).

• De forma predeterminada, las reglas de enmascaramiento de datos se deshabilitan tras su creación. Debe habilitarlas manualmente para que surtan efecto en los escenarios correspondientes. Para obtener más información sobre cómo cambiar el estado de una regla, consulte Enable or disable a data masking rule.

Crear una regla de enmascaramiento estático de datos: escenario de enmascaramiento estático de integración de datos

1. En la página Data Masking Management, establezca Data Masking Scenario en Data integration static masking > Default Scenario. A continuación, haga clic en + Data Masking Rule a la derecha.

2. Cree una regla de enmascaramiento de datos.

   1. En el cuadro de diálogo Create Masking Rule, configure los parámetros de la regla.

      En la parte inferior del cuadro de diálogo, puede comprobar el resultado del enmascaramiento. Introduzca datos de muestra en el campo Sample data y haga clic en Verify Masking. El resultado enmascarado se muestra en el área Masking effect.

      1. Seleccione un tipo de dato sensible y especifique un nombre de regla.

         Parámetro	Descripción
         Sensitive Data Type	Select Existing: seleccione un tipo de dato sensible existente (integrado o personalizado) según sea necesario. Add Type: introduzca un nombre para el tipo de dato sensible. El nombre debe ser único y no puede coincidir con un tipo existente. Nota Los tipos de datos sensibles integrados incluyen: Número de celular, Número de identificación, Número de tarjeta bancaria, Email_Built-in, IP, Número de matrícula, Código postal, Número de teléfono fijo, Dirección MAC, Dirección, Nombre, Nombre de empresa, Etnia, Signo zodiacal, Género y Nacionalidad.
         Masking Rule Name	De forma predeterminada, este parámetro coincide con el Sensitive Data Type. También puede especificar un nombre personalizado. El nombre de la regla de enmascaramiento de datos debe ser único.

      2. Configure un método de enmascaramiento de datos.

         DataWorks admite tres métodos de enmascaramiento de datos: Pseudonym, Hash y Mask. Seleccione el método que mejor se adapte a sus necesidades.

         Alias

         La seudonimización reemplaza un valor por un valor enmascarado que conserva las mismas características. El formato de los datos permanece igual después del enmascaramiento. Solo algunos campos existentes admiten la seudonimización.

         • Si el Sensitive Data Type seleccionado es un tipo integrado, como Número de celular, Número de identificación, Número de tarjeta bancaria, Email_Built-in, IP, Número de matrícula, Código postal, Número de teléfono fijo, Dirección MAC, Dirección, Nombre o Nombre de empresa, debe configurar el Security domain.

           Security domain: el valor es un número entero de 0 a 9. Cada dominio de seguridad utiliza un conjunto diferente de reglas de política de enmascaramiento. Como resultado, los mismos datos de origen se enmascaran de forma distinta según el dominio de seguridad utilizado. Por ejemplo, si los datos sin procesar son a123, establecer el dominio de seguridad en 0 enmascara los datos como b124, mientras que establecerlo en 1 los enmascara como c234. Si el dominio de seguridad es el mismo, los mismos datos de origen siempre producen el mismo resultado enmascarado.

         • Si el Sensitive Data Type seleccionado no es un tipo integrado, debe configurar el Replace Character Set.

           Replace Character Set: reemplaza caracteres por otros del mismo tipo. El conjunto de caracteres de reemplazo puede contener letras mayúsculas, letras minúsculas y dígitos. Use una coma (,) para separar varios caracteres. No se admiten caracteres chinos. Los datos que no coincidan con los tipos de caracteres especificados no se enmascararán. Por ejemplo, si los datos sensibles originales consisten en dígitos del 0 al 3 y letras de la a a la d, los datos enmascarados también consistirán en dígitos y letras de ese mismo rango.

         Hashing

         Este método cifra los datos sin procesar convirtiéndolos en datos de longitud fija. El método Hashing requiere que seleccione un Security domain.

         Security domain: el valor puede oscilar entre 0 y 9. Cada dominio de seguridad tiene un conjunto diferente de reglas de política de enmascaramiento. Por lo tanto, aplicar distintos dominios de seguridad a los mismos datos de origen produce resultados enmascarados diferentes. A la inversa, aplicar el mismo dominio de seguridad a los mismos datos de origen siempre produce el mismo resultado enmascarado.

         Por ejemplo, si los datos sin procesar son a123:

         • Si establece el dominio de seguridad en 0, los datos se enmascararán como b124.

         • Si establece el dominio de seguridad en 1, los datos se enmascararán como c234.

         Máscara

         El método Mask oculta parte de la información mediante el reemplazo de caracteres en posiciones específicas con asteriscos (*). Al utilizar este método, debe seleccionar un modo de enmascaramiento. DataWorks ofrece varios modos integrados y admite modos personalizados.

         • Recommended Methods: para algunos campos, puede seleccionar un método de enmascaramiento recomendado de la lista desplegable. Los métodos disponibles varían según el campo. DataWorks proporciona tres métodos de enmascaramiento integrados. Estos métodos muestran solo el primer y último carácter, los primeros tres y últimos dos caracteres, o los primeros tres y últimos cuatro caracteres. Puede seleccionar uno según sea necesario. Para algunos campos existentes, solo puede seleccionar el método predeterminado.

         • Custom: ofrece una forma flexible de configurar el enmascaramiento. Puede configurar cada segmento de izquierda a derecha, especificando si se debe enmascarar y el número de caracteres que se deben enmascarar o conservar. Puede agregar hasta 10 segmentos. Se requiere como mínimo un segmento y exactamente un segmento debe configurarse como Remaining Characters.

           • Ejemplo 1: enmascarar los primeros tres caracteres y no enmascarar los restantes.

           • Ejemplo 2: los últimos 3 dígitos se enmascaran y los dígitos restantes no se enmascaran.

   2. Compruebe el resultado del enmascaramiento.

      En el cuadro de texto Sample Data, introduzca datos de muestra para enmascarar. Los datos pueden tener de 0 a 100 caracteres de longitud. Luego, haga clic en Verify Masking. Los datos enmascarados se muestran en el campo Masking Effect.

   3. Haga clic en Confirm para crear la regla de enmascaramiento de datos.

Después de crear la regla de enmascaramiento de datos:

• De forma predeterminada, las reglas de enmascaramiento de datos se deshabilitan tras su creación. Debe habilitarlas manualmente para que surtan efecto en los escenarios correspondientes. Para obtener más información sobre cómo cambiar el estado de una regla, consulte Enable or disable a data masking rule.

• Después de crear una regla de enmascaramiento de integración de datos, puede utilizarla al crear una tarea de sincronización en tiempo real para una sola tabla. Para obtener más información, consulte Configure data masking.

Configurar una lista blanca para una regla de enmascaramiento de datos (solo para enmascaramiento dinámico de datos)

Para escenarios de enmascaramiento dinámico de datos, puede configurar una lista blanca de usuarios para una regla de enmascaramiento de datos. Una vez habilitada la regla, los usuarios incluidos en la lista blanca no se ven afectados por ella y pueden ver los datos sin procesar durante un periodo especificado.

Para agregar una lista blanca, realice los siguientes pasos:

1. En la página Data Masking Management, haga clic en Whitelist Configuration.

2. En la esquina superior derecha, haga clic en Allowlist.

3. En el cuadro de diálogo Create Whitelist, configure los parámetros.

   Nota

   • No puede configurar listas blancas para los escenarios de enmascaramiento en la capa de motor de Hologres o enmascaramiento estático de integración de datos.

   • Después de establecer el periodo de vigencia de una lista blanca, los datos sensibles que cumplan con las condiciones de la lista blanca no se enmascararán durante el periodo especificado.

   La siguiente tabla describe los parámetros.

   Parámetro	Descripción
   Tipo de campo sensible	Solo puede seleccionar tipos de campos sensibles que estén habilitados para el escenario actual de enmascaramiento de datos.
   Alcance del grupo de usuarios	Seleccione un grupo de usuarios configurado. Puede seleccionar hasta 50 grupos de usuarios. Después de agregar un grupo de usuarios a la lista blanca, las cuentas de dicho grupo podrán recuperar los datos sin procesar antes del enmascaramiento. Para obtener más información sobre cómo configurar un grupo de usuarios, consulte Configure a user group.
   Effective Time	Establezca el periodo de vigencia de la lista blanca según sea necesario. Puede elegir un periodo a corto plazo o permanente. Las opciones a corto plazo incluyen 30 días, 90 días, 180 días y 365 días. También puede establecer un periodo personalizado, que puede comenzar el día actual o en una fecha futura. Si un usuario consulta información sensible fuera del periodo de vigencia de la lista blanca, los datos seguirán enmascarados. Nota Si selecciona un periodo a corto plazo, los datos no se enmascararán desde el momento actual hasta que haya transcurrido el número de días especificado.

4. Haga clic en Save para completar la configuración de la lista blanca.

Habilitar o deshabilitar una regla de enmascaramiento de datos

En la pestaña Data Masking Rule, haga clic en el interruptor de Status de una regla de enmascaramiento de datos para establecer su estado en Effective o Failure.

Una vez establecido el estado, puede editar, eliminar o consultar los detalles de la regla.

Ejemplos de aplicaciones de reglas de enmascaramiento de datos

• Example: Use underlying data masking in E-MapReduce

• Después de crear una regla de enmascaramiento de integración de datos, puede utilizarla al crear una tarea de sincronización en tiempo real para una sola tabla. Para obtener más información, consulte Configure data masking.