本文主要举例介绍在进行数据安全自查后应该重点调整的方向。为您提供数据安全的调整思路。

场景分析

在项目初期,为了加快进度,一些用户和权限管理相对宽松。当项目工作进入了一个相对稳定发展阶段后,数据安全将成为管理方面越来越重要的抓手。此时,您需要对数据安全进行自查分析,生成一个方案并落地。

自查思路

  1. 账号数量统计。统计DataWorks项目成员和MaxCompute项目成员,确认每个成员拥有且只拥有一个工作账号,便于责任追责和管理。
  2. 废弃账号及权限统计:对于已在MaxCompute或DateWorks项目中拥有角色的RAM子账号,请在删除子账号之前解除子账号在项目的角色,并在项目空间中删除子账号。否则,子账号会在项目空间中残留,显示为p4_xxxxxxxxxxxxxxxxxxxx且无法在项目空间中移除(不影响项目空间正常功能使用)。 但若是因职位发生变化的账号及遗留权限,需要回收。建议不被长期使用的成员账户,或是申请了但是长期不用的账户,可以在通过通知、调研后,清理这部分账户,待需要使用权限时再申请。
  3. 个人账号调查分析(可以工单申请推送元仓数据进行分析统计)。通过调查个人账号最近3个月在开发阶段提交的查询(提交的数据检索、计算任务,主要是以SQL任务),统计topN用户,并选取代表性账号分析其日常任务。

    例如,账号对应成员主要工作的项目空间为算法开发项目,日常工作主要执行的任务是SQL任务,执行的SQL任务主要为开发环境的查询和写表操作。算法任务、MR任务相对SQL任务数量较少,但是都有分布。这也符合数据开发的实际情况,能用SQL处理,一般优先使用SQL处理数据。

    又如,某账号提交的任务非常多,经了解,其将自己的AK通过SDK的方式配置了一个查询软件,并提供多人进行查询。请谨慎开放权限,避免多人共用同一个账号。

  4. 数据下载统计(可以工单申请推送元仓数据进行分析统计)。统计各个项目的数据下载请求任务,分析规划可下载项目。

调整要点

  • 账号以及全新合理分配

    以每个工作成员都使用自己的个人账户为调整原则。

    针对不同人员所在的的不同业务开发小组和角色给出不同的数据访问权限,禁止相互借用他人的账户使用。避免因为用户权限过大导致的数据安全风险。 例如,按数据开发过程的业务分组进行账号分配。分组如管理组、数据集成组、数据模型组、算法组、分析组、运维组、安全组等。
  • 数据流动控制

    限制部分项目的数据导出,控制部分人员的权限。数据随意在各个项目之间流动,不但会导致云平台数据架构混乱,同样也会导致数据泄露的风险。所以,针对大部分项目需要作出数据流动的限制。

    例如,通过MaxCompute层面限制数据只能流动到指定的项目或者指定的位置,从而规避未知数据流动带来的风险。

  • 数据导出限制

    数据一旦从MaxCompute落地为文件,就意味着数据不可控。所以,必须要尽可能的减少数据落地带来的风险。通过用户角色的详细划分,限制只有一些业务组可以有数据导出的权限,并且也不会影响日常开发工作。