为充分契合数据安全治理的核心理念与通用思路，DataWorks针对资产梳理、技术体系/运营体系建设提供了一系列全面的数据安全产品能力，基于“I（Identify）P（Protect）D（Detect）R（Respond）”理论框架，从资产识别、安全防护、行为检测、风险事件响应等多个方面，系统性构建了一套完整且高效的数据安全保障体系。
DataWorks安全能力版图
DataWorks产品分为基础版、标准版、专业版、企业版等多个版本，不同版本提供的功能存在差异，详情请参见DataWorks各版本详解。
资产识别I（Identify）
企业对自身系统和业务数据进行梳理，识别各类敏感资产，确认哪些系统、资产和数据可能对国家、组织、个人产生安全威胁。
DataWorks可通过如下方式识别对应资产。
支持自动化检测元数据，并支持管理员通过配置数据源的方式采集元数据，详情请参见元数据采集。
支持管理员通过配置关键字、正则表达式，或内置专家模板、语义特征模板、内容识别模板等，快速帮助用户识别敏感信息。
说明仅DataWorks企业版支持上述功能。
对于非数据类实体，不恰当的操作也可能导致风险。因此，可通过OpenAPI获取该类实体的全貌，以便针对不同实体的业务属性定义其重要程度。OpenAPI相关介绍，请参见DataWorks OpenAPI概述。
安全防护P（Protect）
对步骤一中已进行分级分类的资产，针对不同资产制定最合适的防护措施并实施相应计划。例如，哪些系统需要多因素认证、哪些库需要实施行级授权、哪些表及字段需禁止下载。
DataWorks及大数据计算服务MaxCompute为您提供了诸多数据防护的基础及进阶能力，具体如下。
数据传输
传输加密：支持在创建数据同步任务时，对数据源开启SSL传输通道加密。
临时身份：支持将临时Token作为数据源访问身份，消除认证信息泄露风险。详情请参见通过RAM角色授权模式配置数据源。
流转管控：支持对数据流向进行管控。您可使用该功能对数据集成任务进行保存及审批。
说明仅DataWorks企业版支持流转管控功能。
数据存储
数据处理
生产/开发环境隔离：支持生产与开发环境隔离的协同工作模式，并基于此实现“ ”的规范化流程。
预设自定义角色：支持管理员为用户授权DataWorks官方预置的角色，来实现规范化开发、生产流程。同时，支持用户按需创建自定义角色并配置权限（例如，配置自定义角色与MaxCompute引擎角色进行映射）。
说明仅DataWorks企业版支持您根据业务需要自定义角色。
数据列级别多级审批：基于底层大数据引擎的访问控制列表与数据分级分类，DataWorks支持按项目与数据分级分类，定义数据列的权限申请及审批策略。
说明仅DataWorks企业版支持您根据业务需要自定义审批流程。
数据质量规则：支持管理员配置数据质量规则并关联生产任务，确保每日产出的结果数据无缺失、无污染、准确有效并可用于支撑业务决策，保障数据的完整性（Integrity）与可用性（Availability） 。
智能监控规则：支持管理员为重要的任务优先倾斜更多计算资源或调度资源，并实现全链路产出监控，保障每日数据准时产出，维护数据的可用性（Availability） 。
数据使用
通用防护措施
行为检测D（Detect）
步骤二完成后，您已经完成了一次性的安全防护，但这样仍然不够。管理者需要制定一系列的基线与规则，来监控是否存在安全配置非预期变更、资产被滥用等情况，以快速发现或预判风险事件的发生。
针对您在DataWorks上的使用行为，我们提供如下能力来进行风险检测。
离线操作日志
DataWorks操作行为审计：DataWorks已集成至操作审计（ActionTrail）中，您可在ActionTrail中查看及检索阿里云账号最近90天的DataWorks行为事件日志。DataWorks自身的200多个操作事件及关键报文将会被记录。
MaxCompute Information Schema：大数据计算服务内的所有操作会被记录至离线元数据仓库Information Schema，您可随时调用。
实时操作日志
支持使用OpenEvent将DataWorks关键操作变更情况以消息的方式发送至用户，便于用户订阅消息并做出个性化响应。目前已有13类关键操作支持推送实时操作事件消息。详情请参见实体操作日志（消息事件）。
仅DataWorks企业版支持该功能。
离线风险规则
支持对MaxCompute数据访问/操作配置异常行为相关的离线风险规则，实现T+1告警。详情请参见离线风险规则。
仅DataWorks企业版支持配置离线风险识别规则。
实时风险规则
支持对DataWorks的高危操作自定义扩展程序，来实时识别风险。允许您将风险识别程序部署在本地，通过自研或第三方安全厂商的风控能力对云上相关操作进行实时识别、阻断、警告、审批，打破“云”与“本地”在进行数据安全治理时的边界。详情请参见实时风险规则。
仅DataWorks企业版支持配置实时风险识别规则。
基线配置检查
在DataWorks工作空间与绑定的数据源在数据传输、存储、运算等过程中，提供与身份认证、访问权限控制、开发模式等功能相关的配置检查能力，帮助您及时发现平台的安全隐患，在进行相关工作事务前快速建立基本的安全体系。详情请参见基线配置检查。
风险事件响应R（Respond）
制定并实施适当的管理机制。当检测到异常行为时，可紧急采取措施，对导致信息受损的相关功能或服务进行还原或冻结，以减少事件影响。例如，SOAR剧本、自动化执行响应动作、风险事件分析、恢复与持续改进等。
仅DataWorks企业版支持配置实时及离线风险识别规则，并对检测到的风险事件进行响应。
DataWorks提供离线、实时风险响应的基础能力，帮助您感知、处理风险事件。