Identificação de dados sensíveis - Database Autonomy Service: Central de Documentação do Alibaba Cloud

Mecanismos e tipos compatíveis

Como funciona

A Identificação de Dados Sensíveis baseia-se em três camadas: modelos, regras de identificação e recursos de identificação. Compreender a relação entre esses elementos ajuda a configurar corretamente a identificação.

Camada	Definição	Configuração
Identification template	Esquema de classificação de nível superior usado por uma tarefa de identificação. Um modelo agrupa regras por categoria de dados sensíveis e atribui níveis de sensibilidade.	Selecione um modelo integrado ou crie um personalizado.
Identification model	Conjunto de regras definido por um ou mais recursos de identificação. A regra determina o resultado final da identificação para um tipo de dado.	Associe regras aos modelos; ative ou desative regras por modelo.
Identification feature	Regra de detecção que inspeciona os dados reais. Combina expressões regulares (regex) com operadores como `contains` e `does not contain`. Vários recursos em uma regra usam lógica AND ou OR.	Selecione recursos integrados ou crie personalizados; combine regras para correspondências complexas.

Um modelo executa tarefas de identificação e aplica regras para categorizar os resultados. Cada regra utiliza um ou mais recursos para detectar se os dados correspondem ao tipo de dado sensível alvo. O resultado da regra determina a classificação final.

Tipos e funções dos modelos

O DAS distingue tipos de modelo (origem do modelo) de funções do modelo (como o modelo é usado nas tarefas).

Tipos de modelo:

Tipo	Descrição
Integrado	Fornecido pelo DAS para setores comuns: finanças, energia, IoV, Internet e garantia de segurança interna na nuvem. Não é possível excluir modelos integrados.
Personalizado	Criado por você para atender a requisitos específicos. Há suporte para até 10 modelos personalizados.

Funções do modelo:

Função	Descrição
Principal	Modelo usado pela tarefa padrão do sistema. Apenas um modelo pode ser o principal por vez, e ele não pode ser desativado. Todos os resultados exibidos no console do DAS baseiam-se no modelo principal. O modelo principal padrão é o Classification And Grading Template For The Internet Industry.
Ativo	Modelo habilitado disponível para uso em tarefas personalizadas. Há suporte para até dois modelos ativos. Para promover um modelo ativo a principal, use o interruptor Main Template.
Uso geral	Baseado na Especificação de Segurança de Informações Pessoais `GB/T 35273-2020` publicada pela Administração de Padronização da China (SAC). O DAS aplica este modelo automaticamente junto com o modelo principal quando o modelo de identificação principal for integrado.

Ao adicionar uma tarefa de identificação personalizada, selecione um modelo principal e até dois modelos ativos.

Níveis de sensibilidade

O DAS suporta até 10 níveis de sensibilidade, de S1 a S10. Um número maior indica um nível de sensibilidade mais alto.

Modelos integrados: Não é possível adicionar ou excluir níveis de sensibilidade. Edite apenas a descrição.
Modelos personalizados: É permitido adicionar, editar e excluir níveis de sensibilidade.

Pré-requisitos

Antes de começar, certifique-se de que a instância de banco de dados alvo esteja autorizada no DAS. Consulte Autorização de ativos.

Gerencie modelos

Usar um modelo integrado

Faça login no console do DAS.
No painel de navegação à esquerda, escolha Data Security Center > Sensitive Data Identification > Identification Configuration.
Na aba Template Management, localize os modelos onde Type é Built-in.
Na coluna Status, clique em ou para ativar ou desativar o modelo.
Para um modelo ativado, clique em Main Template para promovê-lo a principal, ou clique em Disable para desativá-lo.

Se nenhum modelo tiver sido configurado, o modelo principal padrão será o Classification And Grading Template For The Internet Industry .

Crie um modelo personalizado

Faça login no console do DAS.
No painel de navegação à esquerda, escolha Security Center > Sensitive Data Identification > Identification Configuration.
Na aba Template Management, clique em Create Template.
Insira o Template Name e a Template Description, depois clique em Next.
Em Template Node Configuration, clique em Add Category. Insira um Category Name e clique em OK.
- Para adicionar mais categorias no mesmo nível ou como subcategorias, clique no ícone de gerenciamento ao lado da categoria e selecione Add Sibling Category ou Add Subcategory.
Adicione regras de identificação em cada categoria:
1. Clique no ícone de gerenciamento ao lado da categoria e selecione Add Model.
2. Na caixa de diálogo Add Model, selecione as regras alvo, defina o status de cada regra como ativado e clique em OK.
Importante
Ativar uma regra em um modelo a habilita para todas as tarefas de identificação que utilizam esse modelo.

Copiar um modelo

Copiar é a maneira mais rápida de criar um modelo personalizado com base em um modelo integrado ou personalizado existente.

Faça login no console do DAS.
No painel de navegação à esquerda, escolha Security Center > Sensitive Data Detection > Identification Configuration.
Na aba Template Management, localize o modelo a ser copiado e clique em Copy na coluna Actions.
Modifique o Template Name e as Remarks, depois clique em Confirm.

Para editar o nome de um modelo, categorias de regras ou regras de identificação após a cópia, clique em Edit na coluna Actions .

Gerencie regras

Faça login no console do DAS.
No painel de navegação à esquerda, escolha Security Center > Sensitive Data Identification > Identification Configuration.
Clique na aba Identification Model e, em seguida, clique em Add Model.
No painel Add Model, configure os parâmetros a seguir e clique em OK.

Categoria	Parâmetro	Descrição
Basic information	Model name	Nome exclusivo para a regra.
	Model description	Descrição da regra.
	Data label	Rótulo de dados da regra. Opções: Sensitive Personal Information, Personal Information, General Information.
	Data classification	Associe a regra a um modelo de identificação personalizado, uma categoria de informações sensíveis e um nível de risco. Apenas modelos personalizados são suportados.
Model rule configuration	Identification feature	Selecione um ou mais recursos de identificação (integrados ou personalizados). Vários recursos usam lógica OR — dados que correspondem a qualquer recurso selecionado acionam a regra.
	Identification scope	Selecione os tipos de ativos aos quais a regra se aplica. O padrão é todos os ativos autorizados no DAS. Vários tipos de ativos usam lógica OR.
	Advanced settings	(Opcional) Configure condições específicas de ativos: selecione um tipo de ativo, defina a relação entre as condições (AND ou OR) e adicione grupos de condições.
Limiar de identificação	Minimum hits (unstructured data)	Para dados não estruturados, como NoSQL: número mínimo de vezes que um recurso deve corresponder dentro de um único arquivo para que o DAS classifique esse arquivo como sensível.
Limiar de identificação	Hit rate (structured data)	Para dados estruturados, como ApsaraDB RDS: porcentagem de linhas de amostra (de 200) que devem corresponder à regra para que o DAS classifique a coluna como sensível.

Gerencie tarefas de identificação

O DAS suporta dois tipos de tarefas de identificação: a tarefa padrão do sistema e tarefas personalizadas.

	Tarefa padrão do sistema	Tarefa personalizada
Criação	Automática, ao conceder permissões em um banco de dados e selecionar a verificação padrão.	Manual, através de Task Management.
Modelo utilizado	Sempre o modelo principal (mais o modelo de uso geral, se o principal for integrado). Não pode ser alterado.	Qualquer modelo habilitado escolhido por você.
Escopo da verificação	Todas as instâncias, bancos de dados e tabelas autorizados.	Configurado por você: verificação global ou instâncias e bancos de dados especificados.
Primeira verificação	Verificação completa.	Verificação completa.
Verificações subsequentes	Incremental (apenas dados novos e modificados).	Verificação completa na nova verificação; incremental em execuções periódicas.
Máximo de tarefas ativas	—	5 tarefas ativas no total (cada tarefa periódica ocupa um espaço).

Use a tarefa padrão do sistema para monitoramento contínuo de todos os ativos autorizados com o modelo principal. Crie uma tarefa personalizada quando precisar verificar um banco de dados específico com um modelo ativo não principal.

Visualize tarefas padrão

Faça login no console do DAS.
No painel de navegação à esquerda, escolha Security Center > Sensitive Data Identification > Task Management.
Na aba Identification Task, clique em System Default Task.
Na página Identification Task Monitoring, visualize a lista de tarefas. Na coluna Actions, você pode:
- Rescan: Aciona uma verificação completa. Use esta opção após atualizar uma regra de identificação, trocar o modelo principal ou quando o conteúdo do banco de dados mudar significativamente.
- Pause: Interrompe temporariamente uma verificação em andamento caso o serviço de banco de dados apresente anomalias.
- Stop: Impede a execução da tarefa no próximo ciclo. Uma tarefa em verificação conclui sua execução atual antes de parar.
- Enable: Reativa uma tarefa parada.

Ajustar configurações de verificação

A tarefa padrão do sistema suporta verificação periódica. Defina o ciclo de verificação de acordo com a frequência de alteração do conteúdo do seu banco de dados para garantir a detecção rápida de novos dados sensíveis. O ciclo mínimo de verificação é de 24 horas.

Na página Identification Task Monitoring, selecione a tarefa.
Clique em Scan Settings acima da lista de tarefas e configure o ciclo e o horário de início da verificação.

A troca do modelo de identificação principal não aciona imediatamente uma verificação. O novo modelo entra em vigor na próxima execução da tarefa padrão do sistema.

Importante

Defina o horário de início da verificação para horários de menor movimento, minimizando o impacto no desempenho do banco de dados.
Se a utilização da CPU ou o uso de memória aumentarem anormalmente durante uma verificação, clique em Pause ou Stop na coluna Actions da página Task Management.

Crie uma tarefa personalizada

Faça login no console do DAS.
No painel de navegação à esquerda, escolha Security Center > Sensitive Data Detection > Task Management.
Na aba Identification Task, selecione o tipo de ativo e clique em Create Identification Task.
No painel Create Identification Task, configure os itens a seguir e clique em Confirm.

Categoria	Parâmetro	Descrição
Identification scope	Identification scope for structured data	Global scan: verifica todos os ativos de dados estruturados autorizados. Specified scan: defina Instance name, Database name e Scan limits (primeiras 200 linhas por padrão; máximo de 1.000 linhas). Clique em Add Identification Scope para adicionar várias instâncias.
Other configurations	Identification overwrite	Especifica como lidar com dados corrigidos manualmente anteriormente. Skip Manual Tagging Results (recomendado): mantém as correções manuais originais. Overwrite Manual Tagging Results: substitui as correções manuais pelos novos resultados de identificação.

Após a criação da tarefa, gerencie-a na coluna Actions:
- Rescan: Aciona uma verificação completa.
- Pause: Interrompe temporariamente uma verificação em andamento.
- Stop: Impede a próxima execução agendada. Não interrompe uma verificação em andamento.
- Enable: Reativa uma tarefa parada.

Importante

O sistema suporta no máximo 5 tarefas de identificação ativas. Cada tarefa de verificação periódica ocupa um espaço. Após a configuração de 5 tarefas periódicas, não é possível criar novas tarefas.

Corrigir resultados de identificação

Se o resultado automático de identificação de um ativo de dados estiver incorreto, corrija-o manualmente. Após uma operação de recuperação, a regra retorna ao estado anterior à correção.

Faça login no console do DAS.
No painel de navegação à esquerda, escolha Security Center > Sensitive Data Identification > Task Management.
Clique na aba Correction Task.
No painel esquerdo, clique no tipo de ativo a ser corrigido.
Clique em Correct ou Recover na coluna Actions para os dados alvo. Siga as instruções na tela para atualizar o Corrected Model e clique em OK.

Visualize e exportar resultados

Após a conclusão de uma tarefa, visualize os resultados na página Asset Overview. Os resultados são atualizados a cada 5 minutos.

Visualize resultados

Faça login no console do DAS.
No painel de navegação à esquerda, escolha Security Center > Sensitive Data Identification > Asset Overview.
Na aba Asset Type, clique no tipo de dados a ser visualizado.
Clique em Table Details na coluna Actions para visualizar estatísticas de dados sensíveis de uma instância específica.
Na lista de dados sensíveis, clique em Column Details na coluna Actions para ver quais regras foram acionadas pelos dados em cada coluna. Se Correct aparecer na coluna Actions, o resultado da identificação poderá ser corrigido.

Exportar resultados

Faça login no console do DAS.
No painel de navegação à esquerda, escolha Security Center > Sensitive Data Identification > Task Management > Export Task.
Clique em Create Export Task. Configure os itens a seguir e clique em OK:
- Basic information: Insira um nome para a tarefa e selecione um modelo habilitado.
- Dimensão de exportação: Selecione Asset Type (todas as instâncias de mecanismo) ou Asset Instance (instâncias de mecanismo específicas).

Após a criação da tarefa, acompanhe seu status na lista de tarefas de exportação. O tempo de exportação varia conforme o volume de dados.

Baixe resultados exportados

Aguarde até que Export Status mostre Completed e clique em Download na coluna Actions.

Importante

Baixe os dados exportados dentro de 3 dias após a conclusão da exportação. Após 3 dias, a tarefa de exportação expira e os dados não podem mais ser baixados.

Limites

Item	Limite
Modelos personalizados	Até 10
Modelos ativos	Até 2
Tarefas de identificação ativas	Até 5 (cada tarefa periódica ocupa um espaço)
Níveis de sensibilidade	Até 10 (S1–S10)
Ciclo mínimo de verificação	24 horas
Tamanho da amostra de dados estruturados	200 linhas por padrão; máximo de 1.000 linhas
Profundidade de verificação de campo (dados estruturados)	Primeiros 10 KB por campo por linha
Velocidade de verificação (bancos de dados grandes, >1.000 tabelas)	1.000 colunas/minuto
Janela de download de exportação	3 dias após a conclusão da exportação