超过2000人每天取数、用数查看报表
BI平台原生的权限控制和脱敏难以有效落地
敏感数据基本处于“裸奔”状态
4条策略如何实现有效保护？
项目背景
金融消费者个人信息保护与数据安全风险排查成为近年来金融监管机构的检查重点之一。G 保险企业开展数据安全治理自查，已逐步完成了数据分类分级工作，以及配套的规章制度，但成果与有效保护之间仍存在脱节，敏感数据保护工作开展难度大、效率低。该保险企业单独设立数据分析部门，40-50个数据分析师每天制作报表、2000左右业务人员查看使用，BI 平台数据分析、使用与运维工作下的敏感数据安全保护，成为当下的主要挑战。
通过引入原点一体化数据安全平台，帮助企业多、快、好、省地完成了 BI 场景下数据分类分级成果与敏感数据保护技术措施的衔接，高效满足了敏感数据使用合规要求。
业务痛点
1. 监管部门对消费者个人敏感信息的保护要求愈发严格
《国务院办公厅关于加强金融消费者权益保护工作的指导意见》以及《中国银保监会关于银行保险机构加强消费者权益保护工作体制机制建设的指导意见》等法律法规和消保行为监管要求严格，主管部门现场检查现场、随机询问给数据管理工作带来巨大压力。
2. BI平台原生的权限控制和脱敏能力无法满足敏感数据的精细化管控需求
- 现有 BI 平台数据控权能力简单，无法按照用户所属的组织机构进行控权，若通过改写数据集的 SQL 来控制，则对数据分析师的 SQL 能力要求较高，BI 报表访问权限控制落地困难。
- 现有 BI 平台脱敏功能不强，脱敏算法单一；若基于数据集合设置脱敏，数量多配置繁琐。随着业务需求变化，数据分析师有时也需要临时查看明文、非控权的全量数据，涉及的数据安全策略调整频繁。
- 针对 BI 数据库的运维场景，缺乏有效的脱敏和权限控制手段。
3. BI 平台审计日志颗粒度粗，无法追溯到表和字段
企业业务数据的流通与使用涉及跨多个团队、部门，现有 BI 平台审计模块薄弱，颗粒度粗糙；审计日志割裂无法对接数据平台，无法有效纳入公司监管系统，事后追责难；数据安全管理工作和业务高度耦合，影响业务进展。
项目应用
原点安全基于对银行保险行业的业务深度理解和安全建设经验，结合银行保险机构数据安全现状与需求，依托一体化数据安全平台 uDSP，给出了契合 G 保险企业业务现状的数据安全解决方案。通过对数据访问准入控制、数据访问动态脱敏、数据内容权限控制、数据访问审计、数据访问运营分析五大数据安全能力的建设实践，有效帮助该保险企业提高数据分析人员与数据运维人员的数据使用效率与安全合规，助力业务安全、高效运行。
（部署示意）
1. 四条策略实现安全和业务解耦
通过原点一体化数据安全平台，从数据技术架构上实现业务应用和数据安全措施的解耦，为业务部门和安全部门从管理职责上实现解耦奠定了基础。
原点安全给出四条具体控制策略，化解了企业 BI 场景敏感数据保护难题，包含总部与非总部差异、访问内容差异、城市地区差异、动态需求变动等。数据安全管理人员给数据分析师配置代理账号、按照权限分组，并预定义权限策略；数据分析师可根据业务场景动态选择配置不同权限的数据源制作报表，并无需进行权限或脱敏的配置；业务人员使用应用账号访问 BI 报表时，由于经过原点一体化数据安全平台的策略控制，自然符合“最小权限”。满足安全合规的同时，赋能业务高效便捷开展。
2. 基于双层账号权限逻辑，实现针对用户的灵活策略
平台提供双层账号权限管控策略， 基于企业原有的 BI 业务逻辑，搭建双层账号权限策略：“谁（应用账号），使用什么数据源配置（代理账号），访问什么数据时，如何进行控权/脱敏”。有效实现 BI 业务各环节实现针对用户的细粒度的权限管控与脱敏。
(uDSP 双层账号权限策略)
实现效果：
- 保护前，数据库运维人员或BI用户，可以查看到权限以外的敏感数据明文；
- 保护后，针对数据分析师使用行控权代理账号做的报表，苏州所属地区的业务员只能查看苏州地区的明文数据，但总部人员仍然可以查看全国的数据。
- 保护后，针对数据分析师使用行控权且脱敏代理账号做的报表，苏州所属地区的业务员只能查看苏州地区的脱敏后明细数据，但总部人员仍然可以查看全国的数据。
3. 数据库运维安全管控
通过使用 uDSP 数据库认证代理机制，实现未授权用户不能访问数据；授权用户在数据使用时自动对受控敏感数据动态脱敏，有效减少敏感信息暴露面；同时，通过原点虚拟账号代替数据库真实用户的机制，有效降低数据库账号密码泄露风险。
4. 数据访问审计与全链路流转轨迹
uDSP 通过应用探针对用户进行识别与关联，实现数据访问日志审计与访问轨迹记录，详细记录应用用户的访问数据日志与用户全链路的访问轨迹追溯，包含时间、用户路径、数据源、数据位置、访问类型、SQL 请求、数据量、敏感数据类型以及对应访问内容查询。
用户收益
- 对接已有敏感数据分类分级结果，实现敏感信息动态脱敏，满足监管合规；
- 针对 BI 应用系统的使用及运维，按照组织机构和用户级别属性做到精细化的权限及展示策略，实现了共享账号治理和细粒度到具体人的审计溯源；
- 对接客户统一认证平台、日志平台和监控系统，满足安全架构和基线要求；
- 采用一体化数据安全平台，数据安全能力多、保护收效快、易用好用、节省人财物成本。