DataWorks:Mascaramento de dados

Introdução

O mascaramento de dados protege informações sensíveis durante o uso e a transferência, evitando exposição não autorizada. Ele aplica algoritmos de mascaramento ou transformação aos dados sensíveis, identificados com base na classificação e gradação de dados, para garantir uma apresentação segura em diferentes cenários.

1. Static desensitization

   • Finalidade: Substitui e mascara permanentemente os dados sensíveis ao gravá-los da source para o destino. O destino armazena os dados mascarados, substituindo definitivamente os originais.

   • Casos de uso: Utilizado principalmente em tarefas de sincronização em tempo real do DataWorks Data Integration. Por exemplo, masque dados reais de usuários em um banco de produção e sincronize-os com um ambiente de desenvolvimento ou teste para que os desenvolvedores os utilizem com segurança.

   • Características:

     • Substituição física: A substituição é permanente e oferece alto nível de segurança.

     • Data watermark: Permite incorporar uma marca d'água digital invisível durante o processo de mascaramento. Em caso de vazamento, essa marca possibilita rastrear a origem do incidente.

2. Dynamic desensitization

   • Finalidade: Mascara dados sensíveis em tempo real, conforme políticas predefinidas, quando os usuários consultam ou acessam os dados. Os dados originais armazenados fisicamente permanecem inalterados. Diferentes usuários veem resultados distintos ao acessar os mesmos dados.

   • Casos de uso: Controla a visibilidade dos dados para diferentes funções de usuário em um ambiente de produção. Por exemplo, quando um atendente de suporte consulta uma tabela de usuários, o telefone aparece como "138****1234", enquanto o supervisor visualiza o número completo.

   • Características:

     • Mascaramento sob demanda: Não altera os dados originais, proporciona alta flexibilidade e equilibra segurança com usabilidade nos negócios.

     • Proteção em múltiplas camadas:

       • Mascaramento no nível da aplicação: A política entra em vigor apenas quando módulos específicos do DataWorks acessam os dados.

       • Mascaramento no nível do mecanismo (MaxCompute/Hologres): A política é aplicada na camada do mecanismo de banco de dados. Ela entra em vigor independentemente da ferramenta de acesso e possui a maior prioridade.

Configuração principal: Tanto para o mascaramento estático quanto para o dinâmico, crie regras de mascaramento. Uma regra especifica um Desensitization mode, como hash, mascaramento ou substituição, para um Data Type específico, como 'número de telefone'. Para o mascaramento dinâmico, configure também uma Desensitization strategy para definir quem aciona essas regras e em quais condições.

Limitações

• Usuários aplicáveis: Este recurso está disponível para usuários das edições Professional ou Enterprise do DataWorks que ativaram a nova versão de segurança de dados no Security Center.

• Regiões suportadas: China (Hangzhou), China (Shanghai), China (Beijing), China (Zhangjiakou), China (Ulanqab), China (Shenzhen), China (Chengdu), China (Hong Kong), Japan (Tokyo), Singapore e Indonesia (Jakarta).

• Mecanismos de computação suportados: MaxCompute e Hologres.

Pré-requisitos

• A conta Alibaba Cloud ou o usuário RAM utilizado deve atender a uma das seguintes condições:

  • A conta Alibaba Cloud ou o usuário RAM possui a política AliyunDataWorksFullAccess anexada.

  • A conta Alibaba Cloud ou o usuário RAM tem a função de administrador de segurança do tenant atribuída no DataWorks.

  • A conta Alibaba Cloud ou o usuário RAM tem a função de administrador do tenant atribuída no DataWorks.

• Conclua as tarefas descritas em New user guide.

Acesso à página de mascaramento de dados

1. Faça login no console do DataWorks. Na região desejada, clique em Data Governance > Security Center no painel de navegação à esquerda. Na página exibida, clique em Go to Security Center.

2. No painel de navegação à esquerda, escolha Sensitive Data Protection > Data desensitization.

Estrutura da página

A página de Mascaramento de Dados oferece cinco abas de primeiro nível na parte superior, cada uma correspondente a um cenário diferente. Dentro de cada aba principal, existem subabas secundárias específicas conforme o cenário. Acesse a aba adequada ao seu caso antes de iniciar a configuração.

Aba de primeiro nível	Subaba secundária	Cenário aplicável
Dynamic Data Masking	Rule / Masking Policy / Workspace Management	Mascaramento no nível da aplicação DataWorks (Data Studio, DataAnalysis, Data Map).
Static Data Masking	Lista de regras (sem subaba interna)	Tarefas de sincronização em tempo real do DataWorks Data Integration.
MaxCompute Engine Masking	Rule / Masking Policy	Mascaramento forçado na camada do mecanismo MaxCompute.
Hologres Engine Masking	Rule / Masking Policy	Mascaramento forçado na camada do mecanismo Hologres.
Ranger Engine Masking	Rule / Masking Policy	Mascaramento no nível do mecanismo para fontes de dados gerenciadas pelo Ranger, como EMR Hive e StarRocks.

Nota

A subaba Workspace Management está disponível apenas na aba principal Dynamic Data Masking. Os demais cenários não exigem ativação ou desativação por workspace. Os cenários de mascaramento efetivamente suportados dependem do que é exibido na página.

Políticas de mascaramento dinâmico

Add a desensitization rule

Importante

Os modelos de indústria do DataWorks fornecem regras predefinidas para tipos de dados comuns. Caso deseje criar suas próprias regras, desative primeiro as regras predefinidas correspondentes nos modelos de indústria.

1. Na página de Mascaramento de Dados, clique na aba Dynamic desensitization para acessar as configurações.

2. Dentro da aba Dynamic Data Masking, selecione a aba Rules.

3. No canto superior esquerdo, clique em New Rule e configure os parâmetros abaixo.

   Field	Descrição
   Data Type	Tipo de dado ao qual a regra se aplica.
   Desensitization mode	Método utilizado para mascarar este tipo de dado durante o acesso do usuário. Nota Insira dados de exemplo no campo Raw data para validar se a saída em Data after desensitization está correta.
   Apply to desensitization strategy	Escopo de aplicação da regra de mascaramento, abrangendo o User Scope, escopo de funcionalidade e escopo de dados.

4. Clique em Confirm para salvar a regra.

Adicionar uma política de mascaramento

1. Clique na aba Dynamic desensitization e acesse a aba Desensitization strategy.

2. No canto superior esquerdo, clique em New Policy para configurar a política.

   • Configuration Effective Conditions.

     Uma política de mascaramento entra em vigor quando suas condições de efetividade são atendidas. A tabela a seguir detalha os parâmetros.

     Parâmetro	Descrição
     Policy name	Nome da política de mascaramento.
     User Scope	Define se a política se aplica a todos os usuários ou apenas a usuários específicos.
     DataWorks function	A política entra em vigor quando recursos específicos do DataWorks acessam dados sensíveis: Data Map, Data analysis ou Data development.
     Covered Items	A regra de mascaramento é aplicada quando um usuário acessa dados sensíveis nos projetos ou bancos de dados especificados.
     Data Type	A regra entra em vigor quando o usuário acessa os tipos de dados sensíveis indicados. Pode incluir um ou mais tipos. Importante É necessário configurar e ativar previamente uma regra de mascaramento para este tipo de dado.

   • Configuration Exception conditions (whitelist).

     A política é ignorada se as condições de exceção abaixo forem atendidas. Consulte a tabela para detalhes dos parâmetros.

     Parâmetro	Descrição
     Data Type	Tipos de dados excluídos desta política. O mascaramento não será executado nestes tipos. Nota Uma regra de mascaramento deve estar configurada e ativa para o tipo de dado. Importante Os tipos de dados selecionáveis na lista de permissões limitam-se àqueles já escolhidos no campo tipos de dados das condições de efetividade no formulário principal da política. Para adicionar um novo tipo à lista de permissões, selecione-o primeiro no campo principal e depois retorne aqui para incluí-lo.
     Whitelisted users	Usuários RAM ou grupos de usuários isentos da política. O mascaramento não ocorre quando esses usuários acessam os tipos de dados especificados.
     Effective Time Range	Período em que a exceção (lista de permissões) permanece ativa. Configure um Time period específico ou defina como Permanent.

3. Para ajustar a prioridade, clique em More e escolha Move Up ou Move Down na coluna Operation. Isso altera a ordem de correspondência das políticas.

   Nota

   A ordem de correspondência aplica-se exclusivamente ao cenário de mascaramento dinâmico. Políticas de mascaramento de mecanismo (MaxCompute / Hologres / Ranger) e mascaramento estático são independentes e não possuem ordem de correspondência. Assim, as operações Move Up / Move Down aparecem apenas na lista de políticas de mascaramento dinâmico.

Verificar Política (prévia de correspondência)

O botão Verify Policy encontra-se na barra de ferramentas da subaba Masking Policy, dentro da aba Dynamic Data Masking (disponível apenas para mascaramento dinâmico). Ele simula a correspondência de políticas para um usuário específico que acessa um tipo de dado específico, por meio de um recurso do DataWorks específico, em um projeto determinado, sem realizar o acesso real aos dados. Utilize esta função antes de colocar em produção para validar se a ordem de correspondência atende às expectativas.

1. Na barra de ferramentas da subaba Masking Policy, clique em Verify Policy para abrir a caixa de diálogo Verify Policy.

2. Na caixa de diálogo, configure os seguintes parâmetros:

   • User to Verify: usuário RAM para o acesso simulado (obrigatório).

   • DataWorks Feature: ponto de entrada do recurso que o usuário simulado utilizará (obrigatório).

   • Data Type: tipo de dado acessado pelo usuário simulado (obrigatório).

   • Project: projeto onde ocorre o acesso simulado (opcional).

   • Specified Time: momento do acesso simulado (opcional, usado para validar a janela de tempo da lista de permissões).

3. Clique em Verify. O sistema retorna o nome da política correspondente, o algoritmo de mascaramento e o status da chave de marca d'água. Se nenhuma política corresponder, uma mensagem vermelha No masking policy matched será exibida.

Nota

A verificação de política apenas simula o processo de correspondência e não lê dados reais.

Gerenciar regras e políticas de mascaramento

Nas subabas Rule ou Masking Policy, edite, ative, desative ou exclua entradas individuais. Ao excluir uma regra referenciada por uma política de mascaramento, o sistema inicia um fluxo de confirmação em duas etapas chamado Force Delete.

Importante

Exclusão forçada de regra: Ao tentar excluir uma regra referenciada por uma política, o sistema exibe uma caixa de diálogo secundária Force Delete listando as políticas afetadas. Após a confirmação, as referências a esse tipo de dado nas políticas são desvinculadas e as entradas correspondentes na lista de permissões também são removidas. Verifique o escopo de impacto antes de prosseguir.

Ativar mascaramento dinâmico

Importante

Para tipos de dados com regras configuradas em um workspace ativo, o DataWorks avalia as políticas sequencialmente e aplica a primeira correspondente. A chave mestra no nível do workspace existe apenas para o cenário de mascaramento dinâmico; outros cenários não exigem ativação por workspace.

Ative o mascaramento dinâmico para o workspace. Após a ativação, as políticas entram em vigor no Data Studio e no DataAnalysis.

1. Na aba Dynamic desensitization, clique na aba Workspace management.

2. Na aba Workspace management, utilize a coluna Status para Open ou disable um workspace individualmente. Também é possível selecionar vários workspaces e clicar em Batch open ou Batch Disable no canto inferior esquerdo.

   • Uma caixa de pesquisa por nome do workspace está disponível no topo da página e suporta correspondência aproximada. A digitação filtra a lista imediatamente, sem necessidade de envio.

   • Ao alternar o status de um workspace (individual ou em lote), o sistema exibe um aviso de confirmação secundário: The status change takes effect within 5 minutes. O atraso real depende da entrega da política pelo backend.

Engine desensitization

O mascaramento no nível do mecanismo refere-se à proteção imposta diretamente na camada do mecanismo de banco de dados. Possui prioridade superior ao mascaramento dinâmico e cobre todos os caminhos de acesso, incluindo clientes de banco de dados externos ao DataWorks. Quando ambos os tipos de mascaramento estão configurados para o mesmo tipo de dado, prevalece o resultado do mascaramento de mecanismo. Atualmente, três cenários são suportados: MaxCompute, Hologres e Ranger. O fluxo geral de configuração (adicionar regra, adicionar política, configurar exceções) assemelha-se ao descrito em Dynamic data masking policies. As seções a seguir detalham apenas os campos diferenciados e restrições específicas de cada cenário.

Restrições comuns

• O mascaramento de mecanismo não distingue pontos de entrada do DataWorks. Portanto, o campo DataWorks Feature (Data Map / DataAnalysis / Data Studio) não é exibido no formulário da política.

• Pré-verificação de permissões: Nos três cenários de mascaramento de mecanismo (MaxCompute / Hologres / Ranger), se a política especificar um User Scope ou adicionar usuários à lista de permissões, o sistema verifica se esses usuários têm acesso ao Coverage Project selecionado antes de salvar. Caso alguma combinação usuário-projeto tenha permissões insuficientes, o sistema exibe uma lista de rejeição e bloqueia o salvamento. Conceda as permissões ausentes aos usuários relevantes no Data Access Control ou na autorização do projeto no mecanismo correspondente e tente novamente. Essa pré-verificação não ocorre nos cenários de mascaramento dinâmico ou estático.

Mascaramento de mecanismo MaxCompute

O mascaramento de mecanismo MaxCompute visa dados sensíveis em projetos MaxCompute. O mecanismo impõe os resultados mascarados no caminho de execução SQL.

Campo	Descrição
Coverage Project	Obrigatório. Selecione o projeto MaxCompute onde a política entrará em vigor.
User Scope	Suporta All users ou Specific users. Ao escolher usuários específicos, uma pré-verificação de permissões é acionada antes do salvamento.
List filters	Os filtros de lista para políticas de mascaramento de mecanismo MaxCompute diferem ligeiramente dos filtros de mascaramento dinâmico. Por exemplo, o filtro Coverage Project não aparece como um filtro independente.

Mascaramento de mecanismo Hologres

O mascaramento de mecanismo Hologres atua sobre dados sensíveis em bancos de dados específicos dentro de instâncias Hologres. O mecanismo Hologres aplica o mascaramento nos resultados das consultas.

Campo	Descrição
Coverage Scope	Item de configuração exclusivo do mecanismo Hologres. É necessário configurar uma instância Hologres, banco de dados, fonte de dados e grupo de recursos, além de aprovar no Connectivity Test. Importante Configure pelo menos um banco de dados Hologres com conectividade verificada antes de enviar a política. Caso contrário, o sistema exibirá o aviso Configure at least one Hologres database that passes connectivity verification.
User Scope	O mascaramento de mecanismo Hologres não suporta a seleção de usuários individuais. A política aplica-se a todos os usuários dentro do escopo de cobertura. Utilize a lista de permissões para especificar exceções.

Mascaramento de mecanismo Ranger

O mascaramento de mecanismo Ranger aplica-se a fontes de dados gerenciadas pelo Ranger, como EMR Hive e StarRocks. O Ranger impõe o mascaramento na camada do mecanismo, garantindo que resultados mascarados sejam retornados independentemente do cliente utilizado para acessar a fonte de dados.

Campo	Descrição
Data Source Type	Obrigatório. Selecione o tipo de fonte de dados Ranger a ser gerenciado, como EMR Hive ou StarRocks.
Cluster / Instance	Obrigatório. Escolha o cluster ou instância específica à qual a fonte de dados pertence. O intervalo de usuários disponíveis na lista de permissões subsequente depende do cluster selecionado.
Connectivity Test	Obrigatório. No cluster selecionado, clique no botão Verify Connectivity para validar a comunicação entre o DataWorks e o cluster Ranger. Importante A aprovação no teste de conectividade do cluster Ranger é obrigatória para salvar a política. Em caso de falha, o botão Save ficará desabilitado.
Ranger Audit	Opcional. Quando ativado, o Ranger registra logs de auditoria para ocorrências de mascaramento, facilitando a rastreabilidade de conformidade posterior.
User Scope	O mascaramento de mecanismo Ranger suporta apenas All users. A opção Select Users está desabilitada. Para excluir usuários específicos, configure-os na lista de permissões.
Whitelist Users	O intervalo de usuários na lista de permissões está associado ao cluster Ranger selecionado e exibe apenas contas mapeadas nesse cluster.

Static desensitization

O mascaramento estático substitui fisicamente os dados sensíveis no destino, sobrescrevendo permanentemente os dados originais.

Importante

As regras de mascaramento estático aplicam-se apenas a tarefas de sincronização em tempo real no DataWorks Data Integration onde este recurso estiver configurado. O recurso vem habilitado por padrão, mas pode ser desativado.

1. Na página de Mascaramento de Dados, clique na aba Static desensitization para acessar a lista de regras de mascaramento estático.

2. No canto superior esquerdo, clique em New Rule para configurar uma regra. A tabela abaixo descreve os principais parâmetros.

   Parâmetro	Descrição
   Data Type	Selecione o tipo de dado para aplicar a regra, como "Phone Number". Escolha um tipo existente ou crie um novo.
   Desensitization rule name	Defina um nome claro e descritivo para a regra.
   Desensitization mode	Escolha um método de mascaramento, como Masking desensitization, Hash Desensitization ou Custom Paohenge transformation. Masking desensitization: Defina precisamente os intervalos de caracteres a mascarar ou preservar. Por exemplo, para Left to right, use mask nos caracteres 1 a 2 e do not mask nos caracteres 3 a 4. Hash Desensitization: Defina um valor de salt para aumentar a segurança do hash. Custom Paohenge transformation: Configure o valor do recurso e o conjunto de caracteres para substituição.
   Data watermark	Quando ativado, o sistema incorpora uma marca d'água invisível aos dados durante a operação de mascaramento. Essa marca auxilia no rastreamento da origem de dados sensíveis. Para mais informações, consulte Data Traceability. Nota A chave Data Watermark aparece e fica disponível apenas quando o Método de Mascaramento for Hash ou Format-Preserving Encryption (FPConvert). Outros métodos (máscara, substituição, transformação, embaralhamento aleatório, criptografia de dados, etc.) não suportam incorporação de marca d'água.
   Enabled	Selecione Enable Now ou Not Enabled. Apenas regras ativas surtem efeito nas tarefas de sincronização relevantes.
   Effect Verification	Utilize a ferramenta de verificação para checar o efeito do mascaramento. Insira dados de exemplo na caixa Raw data, clique em Verify now e valide se os Data after desensitization estão corretos.

3. Clique em Confirm para salvar a regra.