2023数据安全合规产品白皮书
背景介绍 近年来国家陆续出台法案促进数据要素市场化，如《促进大数据发展行动纲要》、《中共中央国务院关于构建更加完善的要素市场化配置体制机制的意见》、《中共中央关于制定国民经济和社会发展第十四个五年规划和二〇三五年远景目标的建议》等。于此同时，数据要素的安全流通需要遵守《数据安全法》、《个人信息保护法》等法律法规，尤其是对个人敏感数据、行业重要数据的处理需要考虑安全以及合规的风险。相关数据若在流通过程中发生泄露、盗取、恶意篡改等情况，将对个人以及国家利益造成损害。 因此，如何安全合规的促进要素流通是众多数据提供方与数据消费方想要迫切解决的问题。 产品定位与构架 全链路数据安全合规体系 星环数据安全产品主要分为数据安全管理平台 Transwarp Defensor、数据安全网关产品 Transwarp Midgard 和 Transwarp Quark、数据安全审计监测工具 Audit。星环通过 AI 智能化与大数据分析技术，在数据安全领域帮助企业实现事前可知可防、事中可控、事后可查的全链路数据安全合规技术体系。 数据安全合规产品白皮书 核心能力 分布式高性能脱敏平台 大模型 + 数据血缘分析 •结合大模型智能分析技术自动化发现敏感资产并分类分级降低人工打标的投入成本 , 通过血缘分析识别敏感资产链路传播 , 提高分类分级覆盖率 , 真正做到应分尽分。 •基于分布式技术的高性能静态脱敏平台满足大数据量脱敏场景支持仿真脱敏、随机替换、国密加密等脱敏加密手段。•支持行列过滤的细粒度脱敏子集管理。 动态脱敏，业务无侵入 全局策略防护 •构建数据安全防护的全局策略中心，实现用户防护策略、IP等属性防护策略的全局管理与下发•支持多域场景下的跨域协同。 •在 Adhoc 数据库查询场景，Inceptor/ArgoDB 基于防护策略进行动态脱敏 , 无需业务改造 , 无需对数据预先脱敏。•在 API 数据分享场景，Midgard 基于防护策略实现 API 动态脱敏 , 并支持原有 API 接口的平滑迁移。 产品方案介绍 事前可知可防 分类分级 Defensor 提供多种数据识别方式，企业安全人员可以根据不同的资产现状，灵活组合，实现全方位数据资产盘点与分类分级。 基于机器学习的分类分级 在大数据量、业务复杂、数据治理不够充分的情况下，传统基于数据血缘、规则的方法要么失效，要么需要耗费大量人力。因此，引入人工智能技术变得尤为重要。我们的解决方案利用自动化工具链，预训练的大模型和强化学习机制，实现了对数据资产的智能打标和预测。 基于规则的分类分级 • 预置 100 多条金融行业与个人信息数据识别规则，开箱即用。• 支持通过正则、字典、算法等多种匹配方式，对表名、表注释、字段名、字段注释、字段内容等多个域进行匹配。• 支持 " 与 "、" 或 "、" 非 " 复杂规则条件组合。 基于血缘分析的分类分级 在数据加工过程中，往往会造成敏感资产的特征发生变化，无法通过规则或者算法识别。但是相关数据安全规定明确指出，加工过程中的衍生敏感资产也需要识别并定级。 数据安全合规产品白皮书 企业全局数据访问策略中心 • 基于数据安全的整体设计框架，为全域、全生命周期的安全防护建立最基础最可靠的安全策略中心 .• 为星环及第三方数据平台、数据库、中间件等相关产品提供统一的数据安全策略，从而形成整体的数据防护和敏感监测等能力。• 策略支持多种维度，内置基于等级的默认防护策略，并可基于资产维度、用户维度实现细粒度行列访问权限。防护支持动态脱敏访问拦截、明文访问。 分布式高性能数据脱敏与去标识化 基于高性能分布式计算框架，支撑企业海量数据跨域脱敏，支持脱敏节点横向扩展。同时预置 70 多种脱敏算法，包括但不限于，仿真脱敏，遮盖脱敏，随机替换，差分隐私等，满足企业敏感资产使用与流转过程中的安全防护需求。 ◆算法举例 ( 仿真脱敏 ) 姓名、身份证信息、邮箱等敏感数据的脱敏不是以 * 替代字符，而是脱敏成一个假的但是保持统计特征值的信息。 个人信息去标识化 个人信息去标识化是一种隐私保护技术，旨在保护个人信息的隐私和安全。 根据是否直接暴露具体身份将分类分级中识别到的个人信息分为直接标识和间接标识，用剔除、模糊、指代等手段完成去标识化工作，并对结果进行 1-4 级的综合智能评分，量化去标识化的效果。 数据安全合规产品白皮书 事中可控 SQL动态脱敏网关 • 明文计算，结果脱敏，保证动态脱敏的基础上不会打断数据分析业务。•基于策略的全局敏感资产防护，当数据或人员的安全等级发生变化，可以通过策略调整灵活管控。•基于网关的动态血缘分析，临时表与加工表能及时继承防护策略，随时调整。•分布式计算框架，支持横向扩展，应对高并发场景。 API安全网关 企业数据中心普遍存在数据链路繁琐复杂的问题，这将导致敏感数据难以统一防护，需要在各个节点、各个应用系统实现重复的安全防护的功能。有了星环数据安全 API 网关，企业可以通过网关统一纳管数据出口，通过网关的接口访问控制功能，集中化实现敏感资产流转的安全合规防护。 ◆数据安全防护能力 • 基于流量采样、数据血缘、人工标记的方式对 API进行敏感判断和分类分级，识别敏感接口。 •设置用户级的实时防护策略，防止敏感数据泄露。•支持对 API 调用流量进行审计。通过审计日志、审计告警对数据泄露进行跟踪溯源。 •支持设置 IP 地址黑 / 白名单、调用流量控制策略，对可疑的危险请求进行识别和拦截。 •支持 Oauth2、CAS、LDAP、自定义等多种认证方式。•对调用方身份进行验证和鉴权。 • Midgard 在网关性能上与传统反向代理nginx 相当是其他网关性能的 2 倍以上。•Midgard 具有 nginx 所不具备的业务处理能力并在业务处理场景下仍能保证性能是业务网关 (kong) 的 2 倍以上。 • 通过水平扩展可有效提高 Midgard 整体性能。 •部署模式为单执行节点 :Midgard QPS 最高为 36695。 •部署模式为三执行节点 : Midgard QPS 最高为 88387。 事后审计 星环数据安全审计监测工具可实时收集数据库审计日志与镜像流量，通过 SQL 解析与风险判决引擎，可识别敏感事件与异常操作，并提供告警与日志关联分析，帮助企业实现安全事件事后溯源能力。 ◆敏感信息的使用监测与保护敏感数据下载异常、访问异常的监控和告警。 ◆异常行为告警 包括用户登录异常、授权操作异常、操作失败异常等多种异常行为的监控与告警。 ◆风险事件处理 支持对用户以及审计实体的行为分析，对异常行为进行智能判定，发现潜在风险。 数据安全合规产品白皮书 产品组件与生态 案例介绍 某银行数据安全治理与防护 客户痛点 •数据人工分类分级投入太大。•对包含个人信息的资产使用需要安全合规。•入湖数据需分类分级并按需进行静态脱敏或去标识化。•多个业务分析部门对脱敏需求多，但是没有一个统一的动态脱敏服务。 解决方案 •通过 Defensor 的分类分级模块进行敏感资产盘点，敏感血缘传播识别。•通过 Defensor 的安全防护策略中心，结合静态脱敏、动态脱敏技术确保敏感数据使用合规。•通过个人信息去标识化技术实现个人信息保护。 成果 12672字段数 721表数量95%四级分类准备性 脱敏系统将100G数据静态脱敏后从生产集群迁移到测试集群整体耗时约30min，整体性能提升10倍 某酒店数据中台敏感资产安全加固方案 客户痛点 •营销系统数据缺乏分类分级。•营销数据中存在个人敏感数据会在数据中台流转。•营销数据使用缺乏必要的安全防护。 解决方案 •基于 Defensor 建立数据安全管理中心，定期对数据中心的资产进行扫描，实现自动化数据分类分级。•通过策略中心模块与安全网关，对不同敏感等级的数据实现动态访问控制，比如 3 级数据脱敏，4 级数据拒绝访问。• 基于 Audit 对敏感数据操作进行事后监测与溯源，一旦发生泄敏事件，通过邮件及时告警。 成果 •通过定期敏感数据识别任务与血缘分析，盘点个人敏感数据资产，覆盖渠道客户、住客档案、销售、付款报表等系统，并实施相关保护措施。•通过安全监测工具，对个人隐私数据的操作进行严密监测，一旦发现泄露或异常行为能及时止血。•根据数据安全评估报告进行数据安全业务整改，确保日常业务中的敏感资产的安全与合规使用。 数据安全合规产品白皮书 关于我们 星环科技（股票代码：688031）致力于打造企业级大数据基础软件，围绕数据的集成、存储、治理、建模、分析、挖掘和流通等数据全生命周期提供基础软件与服务，构建明日数据世界。公司以上海为总部，以北京、南京、广州、新加坡为区域总部，在郑州、成都、重庆、济南设有支持中心，同时在深圳、西安等地设有办事机构，并在加拿大设有海外分支机构。经过多年自主研发，星环科技建立了多个产品系列：一站式大数据基础平台TDH、分布式分析型数据库ArgoDB及交易型数据库KunDB、基于容器的智能数据云平台TDC、大数据开发工具TDS、智能分析工具Sophon和超融合大数据一体机TxData Appliance 等，并拥有多项专利技术。目前公司产品已经在十几个行业应用落地，拥有超过一千家终端用户。2016年公司成为中国首个进入Gartner数据仓库及数据管理解决方案魔力象限的厂商，且被评为最具前瞻性的远见者；2017年被IDC评为中国大数据市场领导者；2018年星环科技成为12年来全球首个完成TPC-DS测试并通过官方审计的数据库厂商；2020年再次被IDC评为中国大数据管理平台领导者。自2021年起，星环科技蝉联Gartner增强分析技术中国推荐供应商；2022年，公司入选Gartner数据中台领域全球推荐供应商；同年6月，入选Gartner中国数据库管理系统产品品类最多的厂商之一。2022年10月，成功登陆上交所科创板。 核心技术 应用行业 公司产品已经在金融、政府、能源、交通、制造、公共安全、电信运营商、零售、媒体、教育、医疗等细分领域落地。 公司部分用户 版权声明 © 2023 星环信息科技（上海）股份有限公司 保留一切权利 任何单位或个人未经星环科技书面许可，不得擅自摘抄、复制本文件中的内容，不得以任何形式传播。 商标声明 本文件展示、提及或使用的所有商标归星环科技或者其他商标持有人所有。本文件内容不视为以明示、暗示、默许或者其他形式授予任何单位或个人商标使用权。未经星环科技书面许可，任何单位或个人不得以任何形式使用星环科技的商标或标记。 安全港声明 您购买的产品、服务或功能等受您与星环科技所签订的商业合同约束，本文件所描述的产品、服务或功能可能不在您购买或使用范围之内。由于产品版本升级或其他原因，本文件内容会不定期进行更新，对此不会另行通知。除非另有约定，本文件仅作指导、参考作用，所有陈述不构成对合同相对方的任何担保、承诺，不视为合同的组成部分或者附件，星环科技对此保留最终解释权。 电话：021-60932577北京分公司：010-68278990网址：www.transwarp.io合作：mkt@transwarp.io技术支持：service@transwarp.io 400-7676-098重庆：重庆市大学城景阳路35号光谷智创园A座3楼济南：历城区经十东路28666号济南超算主楼5楼538-542深圳：深圳市福田区深南大道6031号杭钢富春大厦1523上海：徐汇区虹漕路88号A座9F,B座11F&12F&15F北京：海淀区复兴路69号院 华熙LIVE中心B座5层南京：雨花台区宁双路19号 云密城J栋10层郑州：郑东新区龙子湖崇德街17号 星联创科中心13层广州：天河区林和西路161号 中泰国际广场B座3012-3013成都：高新区益州大道北段555号 创新时代广场3号楼1701 版本 V4.0-1
