Datasekretess för analys i molnskala i Azure
Analys i molnskala hjälper dig att fastställa de optimala dataåtkomstmönster som passar dina krav samtidigt som du skyddar personliga data på flera nivåer. Personuppgifter innehåller all information som unikt kan identifiera individer, till exempel körkortsnummer, personnummer, bankkontouppgifter, passnummer och e-postadresser. Det finns många regler för att skydda användarsekretessen.
Om du vill skydda datasekretessen i en molnmiljö som Azure kan du skapa ett datasekretessschema som anger principer för dataåtkomst. Dessa principer kan definiera den underliggande arkitektur som dataprogrammet finns på, definiera hur dataåtkomst ska auktoriseras och ange vilka rader eller kolumner som användare kan komma åt.
Skapa ett klassificeringsschema för datasekretess
| Klassificering | beskrivning |
|---|---|
| Offentliga | Vem som helst kan komma åt data och de kan skickas till vem som helst. Öppna till exempel myndighetsdata. |
| Endast intern användning | Endast anställda kan komma åt data och de kan inte skickas utanför företaget. |
| Konfidentiellt | Data kan bara delas om de behövs för en viss uppgift. Data kan inte skickas utanför företaget utan ett sekretessavtal. |
| Känslig (personliga data) | Data innehåller privat information, som endast måste maskeras och delas på grundval av behovsbe veta under en begränsad tid. Data kan inte skickas till obehörig personal eller utanför företaget. |
| Begränsad | Data kan endast delas med namngivna personer som är ansvariga för dess skydd. Till exempel juridiska dokument eller affärshemligheter. |
Innan du matar in data måste du kategorisera data som antingen konfidentiella eller under eller känsliga personuppgifter:
- Sortera data i konfidentiellt eller nedan om du inte behöver begränsa vilka kolumner och rader som användare kan visa.
- Sortera data i känsliga personuppgifter om du behöver begränsa vilka kolumner och rader som användare kan visa.
Viktigt!
En datauppsättning kan ändras från konfidentiellt eller nedan till känsliga personuppgifter när du kombinerar data med andra dataprodukter som tidigare hade en lägre klassificering. Om du behöver beständiga data flyttar du dem till en angiven mapp som överensstämmer med sekretessnivån och registreringsprocessen.
Skapa en Azure-principuppsättning
När du har klassificerat dina data bör du anpassa klassificeringen efter dina branschprincipkrav och interna företagsprinciper. Du vill skapa en Azure-principuppsättning som styr vilken infrastruktur som kan distribueras, platsen där den kan distribueras samt nätverk och krypteringsstandarder.
För reglerade branscher kan du använda Microsoft policyinitiativ för regelefterlevnad som baslinje för efterlevnadsramverk.
Dataklassificering följer samma regler för kryptering, tillåtna infrastruktur-SKU:er och principinitiativ. Så du kan lagra alla data i samma landningszon.
För begränsade data bör du vara värd för data i en dedikerad datalandningszon under en hanteringsgrupp där du kan definiera en högre uppsättning krav för infrastrukturen. Du kan till exempel definiera kundhanterade nycklar för kryptering eller inkommande eller utgående begränsningar för landningszonen.
Kommentar
Du kan placera känsliga personuppgifter och konfidentiella eller lägre klassade data i samma datalandningszon men i olika lagringskonton. Men den här metoden kan komplicera lösningen på nätverksskiktet, till exempel med nätverkssäkerhetsgrupper.
En distribuerad datastyrningslösning bör begränsa vem som kan söka efter begränsade data i katalogen. Överväg att implementera villkorsstyrd åtkomst för Microsoft Entra ID för alla datatillgångar och tjänster. För att förbättra säkerheten använder du just-in-time-åtkomst för begränsade data.
Överväg krypteringskrav
Utöver att definiera principer för platser och tillåtna Azure-tjänster bör du överväga krypteringskraven för varje dataklassificering. Överväg kraven för följande områden:
- Nyckelhantering
- Nyckellagring
- Kryptering av data i vila
- Kryptering under överföring av data
- Kryptering av data under användning
För nyckelhantering kan du använda plattformshanterade eller kundhanterade krypteringsnycklar. Mer information finns i Översikt över nyckelhantering i Azure och Så här väljer du rätt nyckelhanteringslösning.
Mer information om krypteringsalternativ finns i Azure-datakryptering i vila och datakrypteringsmodeller.
Du kan använda protokollet Transport Layer Security (TLS) för att skydda data som överförs mellan molntjänster och kunder. Mer information finns i Kryptering av data under överföring.
Om ditt scenario kräver att data förblir krypterade under användning, hjälper Azures säkerhetsmodell för konfidentiell databehandling till att minimera behovet av förtroende. Det minimerar möjligheten att molnleverantörsoperatörer eller andra aktörer i klientorganisationens domän kan komma åt kod och data under implementeringen.
Mer information finns i konfidentiella databehandlingsprodukter i Azure.
Implementera datastyrning
När du har definierat principerna för distribution av tillåtna Azure-tjänster bestämmer du hur du beviljar åtkomst till dataprodukten.
Om du har en datastyrningslösning som Microsoft Purview eller Azure Databricks Unity Catalogkan du skapa datatillgångar eller produkter för berikade och kuraterade datasjöskikt. Se till att du anger behörigheterna i datakatalogen för att skydda dessa dataobjekt.
Använd Microsoft Purview för att centralt hantera, skydda och kontrollera följande områden:
- Åtkomst till data
- Datalivscykeln
- Interna och externa policyer och föreskrifter
- Principer för datadelning
- Identifiera känsliga data
- Insikter om skydd och efterlevnad
- Principer för dataskyddsrapportering
Mer information om hur du använder Microsoft Purview för att hantera läs- eller ändringsåtkomst finns i Concepts for Microsoft Purview data owner policies.
Oavsett om du bestämmer dig för att implementera Microsoft Purview eller någon annan datastyrningslösning använder du Microsoft Entra-ID-grupper för att tillämpa principer på dataprodukter.
Använd datastyrningslösningens REST API för att registrera en ny datauppsättning. Dina dataprogramteam skapar dataprodukter och registrerar dem i datastyrningslösningen för att identifiera känsliga data. Datastyrningslösningen importerar definitionen och nekar all åtkomst till data tills dina team har konfigurerat sina åtkomstprinciper.
Använda dataskyddsmönster
För att skydda känsliga data väljer du ett dataskyddsmönster baserat på de data, tjänster och principer som du implementerar.
Flera kopior
Pipelinen för varje dataprodukt som har en känslig klassificering av personliga data skapar två kopior. Pipelinen klassificerar den första som konfidentiell eller nedan. Den här kopian innehåller inte de känsliga personliga datakolumnerna. Den skapas under mappen confidential-or-below för dataprodukten. Den andra kopian skapas i mappen för känsliga personliga data. Den här kopian innehåller känsliga data. Varje mapp tilldelas en Microsoft Entra ID-läsare och en Säkerhetsgrupp för Microsoft Entra-ID-skrivare.
Om du använder Microsoft Purview kan du registrera båda versionerna av dataprodukten och använda principer för att skydda data.
Mönstret med flera kopior separerar känsliga personuppgifter och konfidentiella eller mindre känsliga data. Men om du ger en användare åtkomst till känsliga personuppgifter kan de fråga alla rader. Din organisation kan behöva överväga andra lösningar som ger säkerhet på radnivå för att filtrera rader.
Säkerhet på radnivå och kolumnnivå
Om du behöver filtrera rader som användarna kan visa kan du flytta dina data till en beräkningslösning som använder säkerhet på radnivå.
Om du vill förhindra omkonstruktion väljer du lämplig Azure-tjänst eller Microsoft Fabric-lösning för ditt specifika användningsfall. Olika typer av databaser är utformade för olika syften. Du bör till exempel inte använda en OLTP-databas (Online Transaction Processing) för omfattande analys. Och om du använder ett e-handelsprogram bör du inte använda en lösning som är anpassad för stordataanalys eftersom den inte kan uppnå de nödvändiga svarstiderna för millisekunder.
Om du implementerar lösningar som stöder säkerhet på radnivå måste dina dataprogramteam skapa olika Microsoft Entra-ID-grupper och tilldela behörigheter baserat på datakänsligheten.
Förutom säkerhet på radnivå kan du begränsa åtkomsten till vissa kolumner. Följande tabell visar ett exempel på fyra Microsoft Entra-ID-grupper som har skrivskyddad åtkomst:
| Grupp | Tillåtelse |
|---|---|
DA-AMERICA-HRMANAGER-R |
Visa Nordamerika HR-personaldatatillgång med löneinformation. |
DA-AMERICA-HRGENERAL-R |
Visa Nordamerika HR-personaldatatillgång utan löneinformation. |
DA-EUROPE-HRMANAGER-R |
Visa Datatillgång för Personaldata i Europa med löneinformation. |
DA-EUROPE-HRGENERAL-R |
Visa datatillgång för Personaldata i Europa utan löneinformation. |
Den första begränsningsnivån stöder dynamisk datamaskering, vilket döljer känsliga data från användare som inte har behörighet. Du kan använda ett REST-API för att integrera den här metoden i en datauppsättnings registrering.
Den andra nivån av begränsningar lägger till säkerhet på kolumnnivå för att hindra icke-HR-chefer från att visa löner. Det lägger också till säkerhet på radnivå för att begränsa vilka rader europeiska och nordamerikanska teammedlemmar kan visa.
Kolumnkryptering
Dynamisk datamaskering maskerar data vid presentationspunkten, men vissa användningsfall kräver att lösningen aldrig har åtkomst till klartextdata.
Funktionen SQL Always Encrypted förbättrar säkerheten för känsliga data i SQL Server-databaser. SQL Always Encrypted hjälper till att säkerställa att känsliga data i SQL Server-databaser förblir säkra och skyddade mot obehörig åtkomst. Den här funktionen krypterar vilande data och under överföring, vilket bidrar till att upprätthålla maximal datasekretess och regelefterlevnad. SQL Always Encrypted utför krypterings- och dekrypteringsåtgärder på klientsidan. Integrera den här funktionen för att skydda dina mest värdefulla datatillgångar.