Prywatność danych na potrzeby analizy w skali chmury na platformie Azure
Analiza w skali chmury umożliwia organizacjom określenie optymalnych wzorców dostępu do danych zgodnie z ich wymaganiami przy jednoczesnym zabezpieczeniu danych osobowych na wielu poziomach. Dane osobowe obejmują wszelkie informacje, które mogą jednoznacznie identyfikować osoby, na przykład numery licencji kierowcy, numery ubezpieczenia społecznego, szczegóły konta bankowego, numery paszportów, adresy e-mail i inne. Obecnie istnieje wiele przepisów w celu ochrony prywatności użytkowników.
Aby chronić prywatność danych w środowisku chmury, takim jak platforma Azure, możesz zacząć od utworzenia schematu poufności danych określającego zasady dostępu do danych. Te zasady mogą definiować podstawową architekturę, w której znajduje się aplikacja danych, definiować sposób autoryzacji dostępu do danych i określać, do jakich wierszy lub kolumn można uzyskać dostęp po udzieleniu dostępu.
Tworzenie schematu klasyfikacji poufności danych
| Klasyfikacja | opis |
|---|---|
| Publiczne | Każda osoba może uzyskać dostęp do danych i może zostać wysłana do wszystkich osób. Na przykład otwórz dane dla instytucji rządowych. |
| Tylko do użytku wewnętrznego | Tylko pracownicy mogą uzyskiwać dostęp do danych i nie mogą być wysyłane poza firmę. |
| Poufne | Dane mogą być udostępniane tylko wtedy, gdy są potrzebne do określonego zadania. Nie można wysyłać danych poza firmę bez umowy o zachowaniu poufności. |
| Poufne (dane osobowe) | Dane zawierają informacje prywatne, które muszą być maskowane i udostępniane tylko w oparciu o konieczność znajomości przez ograniczony czas. Nie można wysyłać danych do nieautoryzowanego personelu lub spoza firmy. |
| Podlega ograniczeniom | Dane mogą być udostępniane tylko nazwanym osobom odpowiedzialnym za ich ochronę. Na przykład dokumenty prawne lub tajemnice handlowe. |
Przed pozyskiwaniem danych należy skategoryzować dane jako poufne lub poniższe lub poufne (dane osobowe)::
- Dane można sortować w poufne lub poniżej, jeśli nie ma żadnych ograniczeń, które kolumny i wiersze są widoczne dla różnych użytkowników.
- Dane można sortować w poufne (dane osobowe), jeśli istnieją ograniczenia dotyczące tego, które kolumny i wiersze są widoczne dla różnych użytkowników.
Ważne
Zestaw danych może ulec zmianie z poufnego lub poniższego na poufne (dane osobowe), gdy dane są łączone z innymi produktami danych, które wcześniej miały niższą klasyfikację. Gdy dane muszą być trwałe, należy je przenieść do wyznaczonego folderu, który jest zgodny z poziomem poufności i procesem dołączania.
Tworzenie zestawu zasad platformy Azure
Po zamapowania klasyfikacji danych należy dostosować klasyfikację do wymagań zasad branżowych i wewnętrznych zasad firmy. Ten krok ułatwia utworzenie zestawu zasad platformy Azure, który określa, jaką infrastrukturę można wdrożyć, lokalizację, w której można ją wdrożyć, oraz określa standardy sieci i szyfrowania.
W przypadku branż regulowanych firma Microsoft opracowała wiele inicjatyw dotyczących zasad zgodności z przepisami, które działają jako punkt odniesienia dla ram zgodności.
W przypadku klasyfikacji danych, która jest zgodna z tymi samymi regułami dotyczącymi szyfrowania i dozwolonych jednostek SKU infrastruktury oraz inicjatyw polityki, dane mogą znajdować się w tej samej strefie docelowej.
W przypadku danych z ograniczeniami zalecamy hostowanie danych w dedykowanej strefie docelowej danych w grupie zarządzania, w której można zdefiniować wyższy zestaw wymagań dotyczących infrastruktury, takich jak klucze zarządzane przez klienta na potrzeby szyfrowania, oraz ograniczenia ruchu przychodzącego lub wychodzącego stosowane do strefy docelowej.
Uwaga
Wskazówki oceniły umieszczenie poufnych (danych osobowych) i poufnych lub mniejszych danych w tej samej strefie docelowej danych, ale na różnych kontach magazynu. Może to jednak spowodować, że rozwiązanie będzie skomplikowane w warstwie sieciowej, na przykład w przypadku sieciowych grup zabezpieczeń.
Każde wdrożone rozwiązanie do zapewniania ładu danych powinno ograniczać, kto może wyszukiwać ograniczone dane w wykazie.
Należy również rozważyć zaimplementowanie dostępu warunkowego microsoft Entra ID dla wszystkich zasobów i usług danych oraz dostęp just in time dla ograniczonych danych w celu zwiększenia bezpieczeństwa.
Szyfrowanie
Oprócz definiowania zasad dotyczących lokalizacji i dozwolonych usług platformy Azure należy wziąć pod uwagę wymagania dotyczące szyfrowania dla każdej klasyfikacji danych.
- Jakie są twoje wymagania dotyczące zarządzania kluczami?
- Jakie są twoje wymagania dotyczące przechowywania tych kluczy?
- Jakie są Twoje wymagania dotyczące szyfrowania danych w spoczynku według klasyfikacji?
- Jakie są wymagania dotyczące klasyfikacji dla danych przesyłanych?
- Jakie są wymagania dotyczące szyfrowania danych zgodnie z klasyfikacją?
W przypadku zarządzania kluczami klucze szyfrowania mogą być zarządzane przez platformę lub zarządzane przez klienta. Firma Microsoft udokumentowała zarządzanie kluczami na platformie Azure, aby ułatwić wybór rozwiązania do zarządzania kluczami. Aby uzyskać więcej informacji, zobacz Omówienie zarządzania kluczami na platformie Azure i Jak wybrać odpowiednie rozwiązanie do zarządzania kluczami.
Opublikowana przez firmę Microsoft dokumentacja wyjaśniania modeli magazynowania i szyfrowania danych usługi Azure Data Encryption, które ułatwiają zrozumienie dostępnych opcji szyfrowania.
Firma Microsoft umożliwia klientom korzystanie z protokołu
Jeśli twój scenariusz wymaga szyfrowania danych w użyciu, model zagrożenia poufnego przetwarzania danych platformy Azure ma na celu zminimalizowanie zaufania lub usunięcie możliwości operatora dostawcy usług w chmurze lub innych podmiotów w domenie dzierżawy uzyskiwania dostępu do kodu i danych podczas wykonywania.
Aby uzyskać najnowsze oferty poufnego przetwarzania na platformie Azure, zobacz Produkty do przetwarzania poufnego platformy Azure.
Ład dotyczący danych
Po zdefiniowaniu zasad dotyczących wdrażania dozwolonych usług platformy Azure musisz zdecydować, w jaki sposób udzielasz dostępu do produktu danych.
Jeśli masz rozwiązanie do zapewniania ładu danych, takie jak Microsoft Purview lub Azure Databricks Unity Catalog, możesz utworzyć zasoby/produkty danych dla wzbogaconych i wyselekcjonowanych warstw usługi Data Lake. Upewnij się, że ustawiono uprawnienia w wykazie danych, aby zabezpieczyć te obiekty danych.
Usługa Microsoft Purview zapewnia centralny sposób zarządzania, zabezpieczania i kontrolowania:
- Dostęp do danych
- Cykl życia danych
- Wewnętrzne i zewnętrzne zasady i przepisy
- Zasady udostępniania danych
- Identyfikowanie poufnych (danych osobowych)
- Szczegółowe informacje o ochronie i zgodności
- Zasady raportowania ochrony danych
Aby uzyskać więcej informacji na temat zarządzania dostępem do odczytu lub modyfikowania za pomocą usługi Microsoft Purview, zobacz Pojęcia dotyczące zasad właściciela danych usługi Microsoft Purview.
Niezależnie od tego, czy zdecydujesz się wdrożyć Microsoft Purview, czy inne rozwiązanie zarządzania danymi, niezbędne jest użycie grup identyfikatorów Microsoft Entra ID w celu zastosowania zasad do produktów danych.
Ważne jest, aby dołączyć nowy zestaw danych przy użyciu interfejsu API REST rozwiązań do zapewniania ładu danych. Zespoły ds. aplikacji danych tworzą produkty danych i rejestrują je w rozwiązaniu do zapewniania ładu danych, aby ułatwić identyfikację poufnych (danych osobowych). Rozwiązanie do zapewniania ładu danych importuje definicję i odmawia dostępu do danych do momentu skonfigurowania przez zespoły zasad dostępu.
Używanie wzorców do ochrony poufnych danych
Istnieje kilka wzorców, które można zastosować w zależności od danych, usług i zasad, które należy zaimplementować w celu ochrony poufnych danych.
Wiele kopii
Dla każdego produktu danych, który jest klasyfikowany jako poufne (dane osobowe), dwa kopie są tworzone przez jego potok. Pierwsza kopia jest klasyfikowana jako poufne lub poniżej. Ta kopia zawiera wszystkie kolumny poufne (dane osobowe) usunięte i są tworzone w folderze poufnym lub poniższym dla produktu danych. Druga kopia jest tworzona w folderze poufnych (danych osobowych) i zawiera wszystkie poufne dane. Każdy folder ma przypisany czytnik identyfikatorów Entra firmy Microsoft i grupę zabezpieczeń składnika zapisywania identyfikatorów entra firmy Microsoft.
Jeśli usługa Microsoft Purview jest używana, możesz zarejestrować obie wersje produktu danych i użyć zasad w celu zabezpieczenia danych.
Ten proces oddziela poufne (dane osobowe) i poufne lub poniższe dane, ale użytkownik, który udzielił dostępu do poufnych (danych osobowych), będzie mógł wykonywać zapytania dotyczące wszystkich wierszy. Organizacja może wymagać przyjrzenia się innym rozwiązaniom, które zapewniają zabezpieczenia na poziomie wiersza w celu filtrowania wierszy.
Zabezpieczenia na poziomie wiersza i na poziomie kolumny
Jeśli musisz filtrować wiersze widoczne dla użytkowników, możesz przenieść dane do rozwiązania obliczeniowego, które korzysta z zabezpieczeń na poziomie wiersza.
Wybranie odpowiedniej usługi platformy Azure lub rozwiązania Microsoft Fabric dla konkretnego przypadku użycia jest niezbędne, aby zapobiec ponownej inżynierii. Baza danych OLTP nie nadaje się do rozbudowanej analizy, podobnie jak rozwiązanie dostosowane do analizy danych big data nie może osiągnąć milisekundowych czasów odpowiedzi wymaganych przez aplikację do handlu elektronicznego.
Aby pracować z rozwiązaniami obsługującymi zabezpieczenia na poziomie wiersza, zespoły aplikacji danych tworzą różne grupy identyfikatorów Entra firmy Microsoft i przypisują uprawnienia na podstawie poufności danych.
Przyjrzyjmy się scenariuszowi, określając, że wraz z zabezpieczeniami na poziomie wiersza istnieje potrzeba ograniczenia dostępu do określonych kolumn. Zespoły aplikacji danych utworzyły cztery grupy identyfikatorów Entra firmy Microsoft z dostępem tylko do odczytu, jak pokazano w poniższej tabeli:
| Grupa | Uprawnienie |
|---|---|
DA-AMERICA-HRMANAGER-R |
Wyświetl Ameryka Północna zasób danych personelu kadr z informacjami o wynagrodzeniach. |
DA-AMERICA-HRGENERAL-R |
Wyświetl Ameryka Północna zasób danych personelu kadr bez informacji o wynagrodzeniach. |
DA-EUROPE-HRMANAGER-R |
Wyświetl zasób danych personelu kadr w Europie z informacjami o wynagrodzeniach. |
DA-EUROPE-HRGENERAL-R |
Wyświetl zasób danych personelu kadr w Europie bez informacji o wynagrodzeniach. |
Pierwszy poziom ograniczeń będzie obsługiwał dynamiczne maskowanie danych, co ukrywa poufne dane przed użytkownikami bez uprawnień. Jedną z zalet tego podejścia jest to, że można ją zintegrować z dołączaniem zestawu danych przy użyciu interfejsu API REST.
Drugim poziomem ograniczeń jest dodanie zabezpieczeń na poziomie kolumny, aby ograniczyć menedżerom niebędącym kadrami wyświetlanie wynagrodzeń i zabezpieczeń na poziomie wiersza, aby ograniczyć, które wiersze mogą zobaczyć członkowie zespołu europejskiego i Ameryka Północna n.
Szyfrowanie kolumn
Podczas gdy dynamiczne maskowanie danych maskuje dane w momencie prezentacji, niektóre przypadki użycia wymagają, aby rozwiązanie nigdy nie ma dostępu do danych w postaci zwykłego tekstu.
Sql Always Encrypted to zaawansowana funkcja wprowadzona przez firmę Microsoft, która zwiększa bezpieczeństwo poufnych danych przechowywanych w bazach danych programu SQL Server. Funkcja SQL Always Encrypted zapewnia bezpieczeństwo poufnych danych przechowywanych w bazach danych programu SQL Server i ochronę przed nieautoryzowanym dostępem. Ta funkcja pomaga w zachowaniu maksymalnej poufności danych i zgodności z przepisami przez szyfrowanie danych magazynowanych i przesyłanych.
Wykonując operacje szyfrowania i odszyfrowywania po stronie klienta, funkcja Always Encrypted zapewnia, że poufne dane pozostają chronione przed nieautoryzowanym dostępem. Łatwość integracji i zgodności sprawia, że jest to podstawowe narzędzie dla organizacji, które chcą chronić swoje najcenniejsze zasoby danych.