[论文解读] Design choices for productive, secure, data-intensive research at scale in the cloud

Diego Arenas, Jon Atkins+23 more|arXiv (Cornell University)|Aug 23, 2019

Privacy-Preserving Technologies in Data参考文献 12被引用 7

一句话总结

本文提出了一种分层安全框架，用于在云环境中实现可扩展、安全且高效的数据密集型研究，利用软件定义的基础设施创建针对数据敏感度定制的项目专属环境。该框架通过在五个敏感度层级上明确定义数据分类、访问、数据出境及分析环境等方面的策略，实现安全、合规且协作的研究，高阶层级还引入独立评审机制。

ABSTRACT

We present a policy and process framework for secure environments for productive data science research projects at scale, by combining prevailing data security threat and risk profiles into five sensitivity tiers, and, at each tier, specifying recommended policies for data classification, data ingress, software ingress, data egress, user access, user device control, and analysis environments. By presenting design patterns for security choices for each tier, and using software defined infrastructure so that a different, independent, secure research environment can be instantiated for each project appropriate to its classification, we hope to maximise researcher productivity and minimise risk, allowing research organisations to operate with confidence.

研究动机与目标

• 解决在云环境中实现大规模、安全、协作且高效的数据科学研究的同时，将泄露风险最小化的挑战。
• 开发一种标准化、可扩展的方法，用于在不同项目需求下对敏感研究数据进行分类和保护。
• 通过为不同数据敏感度层级定义明确且可配置的安全策略，在可用性与安全性之间实现平衡。
• 建立治理模型，对高阶敏感度层级的分类决策实施独立评审员的审查。
• 提供一种可复用的、软件定义的基础设施模型，支持按需独立、项目专属的安全环境部署。

提出的方法

• 将数据敏感度划分为五个层级（0–4），其中层级0为非个人数据，层级4为高度敏感的个人数据。
• 在七个维度上为每个层级定义标准化安全策略：数据分类、数据入站、数据出站、软件入站、用户访问、设备控制及分析环境。
• 利用软件定义基础设施（SDI）根据配置文件自动部署隔离的、项目专属的安全环境。
• 实施“气闸协议”以实现受控的软件入站，确保研究人员编写的代码在部署前经过审查和批准。
• 通过基于数据库的Web管理应用程序集成工作流，仅使用转发凭证实现环境和用户配置的驱动与管理。
• 建立评审员委员会，对层级2及以上层级的数据分类决策进行独立验证，尤其针对匿名化或假名化数据。

实验结果

研究问题

• RQ1 如何在云环境中实现大规模数据科学研究的高度安全与高度高效？
• RQ2 支持不同敏感度层级的数据密集型研究，需要怎样的系统化安全策略框架？
• RQ3 如何利用软件定义基础设施创建与数据分类层级相匹配的隔离、项目专属安全环境？
• RQ4 独立分类评审在确保敏感研究数据的可信度与合规性方面发挥什么作用？
• RQ5 如何在不损害数据机密性或研究人员生产力的前提下，实现安全的协作研究？

主要发现

• 所提出的分层框架通过将安全控制与数据敏感度层级相匹配，实现了从非个人数据（层级0）到高度敏感个人数据（层级4）的安全、可扩展且高效的研究。
• 项目可在单次研究过程中使用多个环境，支持随着数据敏感度随时间演变而进行动态重新分类与分层。
• 对高阶层级（层级2及以上）的数据分类决策实施独立评审至关重要，尤其针对匿名化或假名化数据。
• 使用软件定义基础设施可为每个项目提供隔离、可配置且可审计的安全环境，从而同时提升安全性和可用性。
• 软件入站的“气闸协议”可实现研究人员代码的安全、受控部署，降低恶意或意外软件执行的风险。
• 基于数据库的工作流与Web管理系统的集成，确保仅使用转发凭证即可实现用户与环境配置的一致性、可审计性和安全性。