DataWorks:Classificação e gradação de dados

Introdução

A classificação e a gradação de dados são a base de todos os recursos de proteção de dados no DataWorks Security Center. Esse processo ajuda a descobrir e marcar automaticamente dados sensíveis em várias fontes de dados e responde às perguntas principais: "Quais dados sensíveis eu tenho?" e "Onde eles estão?"

1. Etapa 1: configure as regras de classificação e gradação de dados

   Primeiro, defina padrões para identificar dados sensíveis. Isso inclui:

   • Data classification: Atribua rótulos de sensibilidade aos seus dados, como S1 (Público) e S2 (Interno).

   • Data classification: Agrupe os dados em categorias de negócios, como Personal Information e Financial Data.

   • Data Type: Defina tipos específicos de dados sensíveis, como Phone Number ou ID Card Number. Ao criar um tipo de dados, você deve atribuí-lo a uma Data classification e especifique uma gradação de dados.

   • Identification rules: Este é o núcleo da descoberta automatizada. Defina regras de identificação avançadas para cada tipo de dados. Há suporte para os seguintes métodos:

     • Identificação por conteúdo: Corresponda o conteúdo dos dados por meio de uma expressão regular ou algoritmo integrado, como a validação de documento de id.

     • Identificação por nome/comentário do campo: Corresponda o nome ou o comentário de um campo por meio de uma expressão regular.

2. Etapa 2: crie uma tarefa de identificação

   crie uma tarefa de identificação para aplicar as regras definidas e verifique as fontes de dados especificadas, como MaxCompute e Hologres. execute as tarefas imediatamente como uma verificação única ou agende-as como uma verificação periódica (diária, semanal ou mensal) para monitoramento contínuo.

3. Etapa 3: Gere os resultados da identificação

   Após a conclusão da tarefa, o sistema gera uma lista detalhada de resultados de identificação, que serve como catálogo de ativos de dados sensíveis. Para tarefas periódicas, os resultados ficam disponíveis no dia seguinte (T+1). Esse catálogo indica quais campos de cada tabela foram identificados como um tipo específico de dado sensível. Se houver discrepâncias, revise os resultados para garantir a precisão do catálogo.

O catálogo confirmado de ativos de dados sensíveis serve como entrada para políticas de segurança subsequentes, como mascaramento de dados, monitoramento de riscos e auditoria de acesso.

Limitações

• Usuários aplicáveis: Este recurso está disponível nas edições Standard, Professional e Enterprise do DataWorks para usuários com os novos recursos de segurança de dados ativados no Security Center.

• Regiões compatíveis: china (Hangzhou), China (Shanghai), China (Beijing), China (Zhangjiakou), China (Ulanqab), China (Shenzhen), China (Chengdu), China (Hong Kong), Japan (Tokyo), Singapore e Indonesia (Jakarta).

• Mecanismos de computação compatíveis: MaxCompute e Hologres.

Pré-requisitos

• A conta Alibaba Cloud ou o usuário RAM utilizado deve atender a uma das seguintes condições:

  • A conta Alibaba Cloud ou o usuário RAM deve ter a política AliyunDataWorksFullAccess atribuída.

  • A conta Alibaba Cloud ou o usuário RAM deve ter a função de administrador de segurança do tenant do dataworks atribuída.

  • A conta Alibaba Cloud ou o usuário RAM deve ter a função de administrador do tenant do DataWorks atribuída.

• Conclua o New user guide. Caso não tenha concluído a configuração inicial, o acesso à página Data Classification and Grading redirecionará você automaticamente para a página New user guide. Conclua a inicialização primeiro e, em seguida, retorne a esta página.

Página do recurso

1. Faça logon no console do DataWorks. Na região de destino, clique em Data Governance > Security Center no painel de navegação à esquerda. Na página exibida, clique em Go to Security Center.

2. No painel de navegação à esquerda, escolha Sensitive Data Protection > Data classification grading.

Configuration Data classification

1. acesse a página Data Classification.

   1. Na página Data Classification and Grading, clique na aba Data classification.

   2. A árvore de Data classification é exibida à esquerda, e os Data Type que pertencem à Data classification selecionada ficam à direita. Clique em um ramo na árvore de classificação e visualize os Data Type associados. Em seguida, use as opções View, Edit ou Delete na coluna Actions para gerencie um tipo de dados.

2. Adicione um tipo de dados.

   Importante

   O sistema fornece modelos integrados para Data classification e Data Type. Edite-os conforme necessário.

   1. Na aba Data classification, clique em New Data Type no canto superior esquerdo.

      configure os seguintes parâmetros:

      Parâmetro	Descrição
      Data Type	insira um nome para o tipo de dados. O nome deve ser exclusivo dentro do seu diretório de classificação. Diferentes diretórios podem conter tipos de dados com o mesmo nome. O DataWorks marca os dados (campos) que correspondem à regra de identificação com esse tipo de dados.
      Data classification	especifique a classificação de dados à qual o tipo de dados pertence.
      Data Level	especifique o nível de segurança para esse tipo de dados. O DataWorks marca os dados (campos) que correspondem à regra de identificação com essa gradação de dados.
      Identification rules	Quando uma regra de identificação é atendida, o DataWorks marca os dados (campo) como identificados. Há suporte para três tipos de regras de identificação: Data Content Identification, Field Name Identification e Field Annotation Identification. configure e valide cada tipo de regra de forma independente. Satisfy any rule: A condição é atendida se houver correspondência com qualquer uma das três regras. Also meet the following rules: A condição é atendida apenas se houver correspondência com as três regras. Após configurar as regras de identificação, clique em Test Validation abaixo da área de configuração da regra. Na caixa de diálogo exibida, insira os Test Data. O sistema avalia imediatamente se os dados de teste correspondem às regras de identificação configuradas. Isso ajuda a confirmar se as regras funcionam conforme o esperado antes de salvá-las.
      Data Type Description	insira uma descrição personalizada para o tipo de dados com base no seu cenário de negócios.

   2. Após concluir a configuração, escolha aplicar a regra imediatamente ou apenas salvá-la.

      1. Effective immediately: Salva a configuração e aplica a regra de identificação imediatamente. Ao executar uma tarefa de identificação, o sistema marca os dados (campos) que correspondem à regra com esse tipo de dados.

      2. Save Only: Salva a configuração, mas a regra de identificação não entra em vigor. Ao executar uma tarefa de identificação, o sistema não marca os dados com esse tipo de dados.

3. exclua um tipo de dados: exclua apenas tipos de dados personalizados, não os integrados.

   Importante

   A exclusão de um Data Type tem os seguintes efeitos:

   • Os Identification results históricos são excluídos, e as novas Identify Tasks não identificarão mais esse tipo de dados.

   • As regras de mascaramento para esse Data Type são removidas das políticas de Desensitization strategy.

   • Os registros de acesso para dados sensíveis desse Data Type são excluídos.

   • As regras relacionadas a esse tipo são excluídas das regras de identificação de Security risk.

   A caixa de diálogo de confirmação exibida ao excluir um tipo de dados fornece a opção Reset MaxCompute field Label. Escolha se também deseja redefinir o Label dos campos correspondentes no MaxCompute para um nível específico. O valor padrão é 0, o que limpa o Label do campo. Para exclusão em lote, o valor padrão é o número de nível de segurança mais alto entre os itens selecionados. Essa capacidade é independente da opção Write to MaxCompute Label. Mesmo quando a opção está desativada, você ainda pode escolher se deseja redefinir o Label do MaxCompute durante a exclusão.

Configuration data grading

O DataWorks é compatível com até 10 níveis de gradação. modifique a descrição de cada nível com base nas suas necessidades de negócios. Um número maior indica um nível de segurança mais alto.

1. acesse a página Data Grading: Na página Data Classification and Grading, clique na aba Data classification.

2. edite a gradação de dados: Clique em Edit no canto superior esquerdo para modificar a Detailed description para diferentes níveis de gradação de dados.

3. Salve a gradação de dados: Após modificar as descrições detalhadas, clique em Save no canto superior esquerdo.

Importe e exporte configurações de classificação e gradação de dados

Após configurar a classificação e a gradação de dados, exporte as configurações para backup ou reutilização em outro ambiente, ou adicione tipos de dados a partir de um modelo do sistema. As exportações incluem classificações de dados, tipos de dados, regras de identificação e as informações de nível de segurança correspondentes. Tarefas e resultados de identificação não são incluídos.

Execute as seguintes operações na aba Data Classification.

Exportar configurações: Clique em Export Configuration e selecione os nós de classificação ou tipos de dados na pré-visualização. Clique em Confirm Export e baixe o arquivo XLSX.

Importar de um arquivo: Salve o arquivo XLSX exportado como CSV e mantenha os cabeçalhos originais e a ordem das colunas. O arquivo não deve exceder 10 MB. Clique em Import Configuration para fazer o upload do arquivo e, em seguida, envie a importação após a aprovação da validação. Se a validação falhar, corrija o arquivo local conforme instruído e faça o upload novamente.

Importar de um modelo do sistema: Clique em Import from System Template, selecione um modelo e os tipos de dados necessários e, em seguida, envie a importação após a aprovação da validação. Se nomes duplicados causarem conflitos, desmarque os tipos conflitantes e valide novamente.

Manage data Identify Tasks

1. acesse a página Identification Tasks: Na página Data Classification and Grading, clique na aba Identify Tasks.

2. crie uma tarefa de identificação.

   1. Na aba Identify Tasks, clique em New Task no canto superior esquerdo.

      configure os seguintes parâmetros:

      Parâmetro	Descrição
      Task Name	Um nome personalizado para a tarefa de identificação de classificação e gradação de dados.
      Data Source Type	selecione um tipo de fonte de dados. Há suporte para MaxCompute e Hologres.
      Task Type	Single Task: Executa apenas uma vez e não se repete. Periodic Tasks: Executa repetidamente em um horário agendado. Importante As Periodic Tasks verificam apenas novos dados (campos). Use uma tarefa única para reavaliar os resultados de identificação históricos. O DataWorks é compatível apenas com uma Periodic Tasks.
      Identification range	especifique o escopo de dados para a tarefa de identificação. O escopo mínimo é uma tabela de dados. Se definir o Data Source Type como MaxCompute, selecione um projeto ou uma tabela de dados. Se definir o Data Source Type como Hologres, selecione um banco de dados ou uma tabela de dados. Selecione uma instância que tenha sido vinculada como uma Data source dentro de um Workspace específico e, em seguida, selecione um Resource Group e verifique a conectividade de rede.
      Sampling quantity	A quantidade de dados a serem amostrados de cada campo durante a execução da tarefa de identificação. Um tamanho de amostra maior melhora a precisão da identificação, mas aumenta a duração da tarefa. O valor máximo é 200.
      Data sampling using	Durante uma tarefa de identificação, o DataWorks usa a conta especificada para acessar os dados. Se a conta especificada não tiver as permissões necessárias, a amostragem e a identificação falharão. Importante Certifique-se de que a conta especificada tenha permissão para acessar nomes de tabelas, nomes de campos, comentários de campos e dados de campos dentro do escopo de identificação especificado.

   2. Após configurar os parâmetros, clique em Confirm para salvar a tarefa.

3. edite uma tarefa de identificação.

   Para reconfigurar uma tarefa de identificação periódica, na aba Identify Tasks, clique em Edit na coluna Operation da tarefa de destino.

   Importante

   Não é possível editar tarefas únicas. exclua a tarefa e crie uma nova.

4. visualize uma tarefa de identificação.

   1. Na aba Identify Tasks, encontre a tarefa que deseja visualizar e clique em View na coluna Operation para abrir a página de detalhes da tarefa.

   2. Na página de detalhes da tarefa, clique no número ao lado de Running records e visualize o Start execution time e o End execution time de cada execução.

5. exclua tarefas de identificação.

   Na aba Identify Tasks, exclua tarefas individualmente ou em lotes.

   • exclua uma única tarefa:

     Encontre a tarefa que deseja excluir e clique em Delete na coluna Operation.

   • exclua tarefas em lotes:

     selecione as caixas de seleção das tarefas que deseja excluir e clique em Batch Delete no canto inferior esquerdo.

   Importante

   • Excluir uma tarefa de identificação não interrompe uma tarefa em execução.

   • Após a exclusão de uma tarefa periódica, ela não será mais executada.

   • Os resultados de identificação de execuções anteriores de uma tarefa excluída são mantidos.

Resultados de classificação e gradação

1. Na página Data Classification and Grading, clique na aba Identification results. Nessa aba, visualize os resultados de identificação para os campos da tabela após a execução de uma tarefa.

2. Visualize os resultados de classificação e gradação de dados.

   A página Identification Results exibe as informações de classificação e gradação dos seus ativos de dados. A tabela a seguir descreve as colunas.

   Parâmetro	Descrição
   Data Source Type	O mecanismo de dados ao qual o ativo de dados pertence.
   Instance/Project/Database	O nome da instância, projeto ou banco de dados ao qual o ativo de dados pertence.
   Table	O nome da tabela de dados à qual o ativo de dados pertence.
   Field	O nome do campo no ativo de dados.
   Data classification	O diretório de classificação de dados correspondente ao tipo de dados, ou o diretório revisado por um usuário. O caminho é exibido no formato Level-1 directory/Level-2 directory/....
   Data Type	O tipo de dados determinado pela tarefa de identificação, ou o tipo de dados revisado por um usuário.
   Data classification	O nível de segurança correspondente ao tipo de dados, ou o nível revisado por um usuário.
   Judgment mode	System identification: Uma tarefa de identificação determinou o resultado. Revision: Um usuário revisou o resultado.
   Update time	A última vez que o sistema determinou ou um usuário revisou o resultado.

3. Revise os resultados de classificação e gradação de dados.

   Exclua ou revise resultados na coluna Actions. Há dois métodos de revisão disponíveis:

   • Rescan to overwrite: Crie uma nova tarefa única para reavaliar os resultados de identificação de ativos dentro de um escopo específico.

   • Revise manually: Revise manualmente o resultado de identificação de um ativo de dados. Execute as seguintes etapas:

     1. Na aba Identification Results, use a barra de pesquisa para filtrar o ativo de dados que deseja modificar e, em seguida, clique em Revision na coluna Actions.

     2. Na caixa de diálogo exibida, selecione um novo tipo de dados para aplicar suas alterações.

   A lista de resultados de identificação também é compatível com as seguintes operações em lote e manuais:

   • Batch Revise: Selecione vários resultados de identificação e clique no botão Revise na parte inferior da lista e atualize a classificação de dados, a gradação de dados ou o tipo de dados dos registros selecionados em uma única operação.

     Procedimento:

     1. Na lista de resultados de identificação, use as caixas de seleção na primeira coluna para selecionar os registros que deseja revisar. Selecione um ou mais registros, ou clique na caixa de seleção de selecionar tudo para selecionar todos os registros na página atual.

     2. Após selecionar os registros, o número de registros selecionados é exibido no canto inferior esquerdo da lista. Clique em Revise.

     3. Na caixa de diálogo Revise, confirme as informações da revisão (que exibe "x records selected for batch revision" junto com os detalhes dos registros selecionados) e, em seguida, use a lista suspensa de vários níveis para selecionar a data classification de destino.

     4. Clique em Confirm. O sistema exibe "Successfully revised X records." Após a revisão, o determination method desses registros é alterado automaticamente para Revision.

   • Batch Delete: Selecione vários resultados de identificação e clique no botão Delete na parte inferior da lista para excluir os registros selecionados em lote. A opção Reset MaxCompute field Label também aparece durante a exclusão. O valor padrão é o número de nível de segurança mais alto entre os itens selecionados.

   • Manually Add Identification Result: Na barra de ferramentas da aba Identification results, clique em Add. Na caixa de diálogo, selecione o tipo de mecanismo, catálogo (projeto/instância/cluster/Catalog), banco de dados/Schema, tabela de dados, campo e tipo de dados para criar um resultado de identificação com o método de determinação definido como Revision. Use essa opção para campos que a identificação automática não correspondeu, mas cuja sensibilidade você confirmou.