Cómo implementar el control de acceso y la auditoría en Amazon Redshift usando Immuta

Esta publicación está coescrita con Matt Vogt de Immuta. 

Las organizaciones buscan productos que les permitan dedicar menos tiempo a la gestión de datos y más tiempo a las funciones empresariales básicas. La seguridad de los datos es una de las funciones clave en la gestión de un almacén de datos. immuta integración con Desplazamiento al rojo de AmazonLas operaciones de seguridad de los datos y los usuarios se gestionan mediante una interfaz de usuario intuitiva. En esta publicación del blog se describe cómo configurar la integración, el control de acceso, la gobernanza y las políticas de datos y usuarios.

Desplazamiento al rojo de Amazon es un almacén de datos totalmente administrado, a escala de petabytes y de paralelismo masivo que permite analizar de forma rápida y rentable todos sus datos mediante SQL estándar y sus herramientas de inteligencia empresarial (BI) existentes. En la actualidad, decenas de miles de clientes ejecutan cargas de trabajo críticas para el negocio en Amazon Redshift. Amazon Redshift admite de forma nativa un control de acceso de grano grueso y de grano fino con funciones como control de acceso basado en roles, permisos con alcance, seguridad a nivel de fila, control de acceso a nivel de columna y enmascaramiento de datos dinámicos.

immuta permite a las organizaciones derribar los silos que existen entre los equipos de ingeniería de datos, los usuarios comerciales y la seguridad al proporcionar una plataforma centralizada para crear y administrar políticas. Las políticas de acceso y seguridad son inherentemente técnicas, lo que obliga a los equipos de ingeniería de datos a asumir la responsabilidad de crear y administrar estas políticas. Immuta permite a los usuarios comerciales administrar de manera efectiva el acceso a sus propios conjuntos de datos y les permite crear políticas basadas en etiquetas y atributos. A través del generador de políticas de lenguaje natural de Immuta, los usuarios pueden crear e implementar políticas de acceso a datos sin necesidad de ayuda de los ingenieros de datos. Esta distribución de políticas a la empresa permite a las organizaciones acceder rápidamente a sus datos y, al mismo tiempo, garantizar que las personas adecuadas los utilicen por los motivos adecuados.

Resumen de la solución

En este blog, describimos cómo se pueden proteger los datos en Redshift definiendo el nivel correcto de acceso con Immuta. Consideremos los siguientes conjuntos de datos y personajes de usuario de ejemplo. Estos conjuntos de datos, grupos y políticas de acceso son solo para fines ilustrativos y se han simplificado para ilustrar el enfoque de implementación.

Conjuntos de datos:

• Pacientes: contiene información personal de los pacientes, como nombre, dirección, fecha de nacimiento (DOB), número de teléfono, género e identificación del médico.
• Condiciones: Contiene el historial de las condiciones médicas de los pacientes.
• Inmunización: Contiene los registros de vacunación de los pacientes.
• Encuentros: Contiene las visitas médicas de los pacientes y los costos de pago y cobertura asociados.

Grupos:

• Doctor: Agrupa a los usuarios que son médicos
• Enfermera: Agrupa a los usuarios que son enfermeras.
• Admin: Agrupa a los usuarios administrativos

A continuación se presentan las cuatro políticas de permisos que se deben aplicar.

• El médico debe tener acceso a los cuatro conjuntos de datos. Sin embargo, cada médico debe ver solo los datos de sus propios pacientes. No debe poder ver todos los pacientes.
• La enfermera solo puede acceder a los pacientes y a sus vacunas y puede ver todos los datos de los pacientes.
• El administrador solo puede acceder a los pacientes y encuentros y puede ver todos los datos de los pacientes.
• Los números de seguridad social y la información del pasaporte de los pacientes deben estar ocultos para todos los usuarios.

Pre-requisitos

Complete los siguientes pasos antes de comenzar la implementación de la solución.

1. Crear un almacén de datos de Redshift Para cargar datos de muestra y crear usuarios.
2. Crear usuarios en Redshift Utilice los siguientes nombres para la implementación descrita en esta publicación.
   • david, chris, jon, ema, jane
3. Cree un usuario en Immuta como se describe en la documentación. También puedes Integra tu gestor de identidad con Immuta Para compartir nombres de usuario. En el ejemplo de esta publicación, utilizará usuarios locales.
   • David Mill, Dr. Chris, Dr. Jon King, Ema Joseph, Jane D

4. Implementación de SaaS de Immuta Para esta publicación se utiliza el término "implementación como servicio" (SaaS). Sin embargo, puede utilizar una implementación de software como servicio (SaaS) o una implementación autogestionada.
5. Descargue nuestra conjuntos de datos de muestra y subirlos a tu propio Servicio de almacenamiento simple de Amazon (Amazon S3) Estos datos son sintéticos y no incluyen datos reales.
6. Descargue nuestra comandos SQL y reemplace la ruta del archivo de Amazon S3 en el comando COPY con la ruta del archivo de los archivos cargados en su cuenta.

Implementación

El siguiente diagrama describe los pasos de alto nivel en las siguientes secciones, que utilizará para crear la solución.

1. Usuarios del mapa

1. En el portal de Immuta, navegue hasta empleados y elige UsuariosSeleccione un nombre de usuario para asignarlo a un nombre de usuario de Amazon Redshift.
2. Elegir Editar para el nombre de usuario de Amazon Redshift e ingrese el nombre de usuario de Redshift correspondiente.

3. Repita los pasos para los demás usuarios.

2. Configurar la integración nativa

Para utilizar Immuta, debe configurar la integración nativa de Immuta, que requiere acceso privilegiado para administrar políticas en su almacén de datos de Redshift. Consulte la página de Immuta documentación para requisitos detallados.

Utilice los siguientes pasos para crear una integración nativa entre Amazon Redshift e Immuta.

1. En Immuta, elige Ajustes de Aplicacion desde el panel de navegación.
2. Haga clic en Integraciones.
3. Haga clic en Agregar integración nativa.
   
4. Ingrese el nombre del punto final del almacén de datos de Redshift, el número de puerto y un nombre de base de datos donde Immuta creará políticas.
   
5. Introduzca las credenciales de usuario con privilegios para conectarse con privilegios administrativos. Estas credenciales no se almacenan en la plataforma Immuta y se utilizan para una configuración única.
   
6. Debería ver una integración exitosa con un estado de implante.

3. Crea una conexión

El siguiente paso es crear una conexión al almacén de datos de Redshift y seleccionar fuentes de datos específicas para importar.

1. En Immuta, elige Fuentes de datos y luego Nuevas fuentes de datos en el panel de navegación y seleccione Nueva fuente de datos.
2. Seleccionar Desplazamiento hacia el rojo como el Plataforma de datos.
   
3. Ingrese el punto final del almacén de datos de Redshift como Server y las credenciales para conectarse. Asegúrese de que el grupo de seguridad de Redshift tenga reglas de entrada creadas para abrir el acceso desde Direcciones IP de Immuta.
   
4. Immuta mostrará los esquemas disponibles en la base de datos conectada.
5. Elegir Editar en la sección Esquema/Tabla.
   
6. Seleccionar ps-esquema de la lista de esquemas mostrados.
   
7. Deje los valores de las opciones restantes como predeterminados y elija CreateEsto importará los metadatos de los conjuntos de datos y ejecutará el descubrimiento de datos predeterminado. En 2 a 5 minutos, debería ver la tabla importada con el estado como Saludable.
   
   

4. Etiquetar los campos de datos

Immuta etiqueta automáticamente los miembros de datos utilizando un marco predeterminado. Es un marco de inicio que contiene todos los identificadores integrados y definidos de forma personalizada. Sin embargo, es posible que desee agregar etiquetas personalizadas a los campos de datos para que se ajusten a su caso de uso. En esta sección, creará etiquetas personalizadas y las adjuntará a los campos de datos. Opcionalmente, también puede integrarse con un catálogo de datos externo como Alation o Colibra. Para esta publicación, utilizará etiquetas personalizadas.

Crear etiquetas

1. En Immuta, elige Gobernanza desde el panel de navegación y luego seleccione Etiquetas.
2. Elegir Agregar etiquetas para abrir el Constructor de etiquetas caja de diálogo
   
3. Ingrese Sensible como etiqueta personalizada y elija Guardar.

4. Repita los pasos 1 a 3 para crear las siguientes etiquetas.
   • Identificación del médico: Etiqueta para marcar el campo de identificación del médico. Se utilizará para definir una política de acceso a bases de atributos (ABAC).
   • Conjuntos de datos de médicos:Etiqueta para marcar las fuentes de datos accesibles para los médicos.
   • Conjuntos de datos de administración:Etiqueta para marcar las fuentes de datos accesibles para los administradores.
   • Conjuntos de datos de enfermería:Etiqueta para marcar fuentes de datos accesibles para enfermeras.

Agregar etiquetas

Ahora agregue el Sensible etiqueta a la ssn y pasaporte campos en el Paciente con Pschema fuente de datos.

1. En Immuta, elige Data y luego Fuentes de datos en el panel de navegación y seleccione Paciente con Pschema como fuente de datos.
2. Elija el Diccionario de Datos de la pestaña.
3. Encuentre ssn en la lista y elige Agregar etiquetas.

4. Busque Sensible etiqueta y elige Añadir el archivo .

5. Repita el mismo paso para el pasaporte
6. Deberías ver etiquetas aplicadas a los campos.

7. Utilizando el mismo procedimiento, agregue el Identificación del médico etiqueta a la Drid Campo (ID del médico) en el Pacientes con Pschema fuente de datos.

Ahora etiquete las fuentes de datos según lo requiera la política de acceso que está creando.

8. Elegir Data y luego Fuentes de datos y seleccionar Pacientes con Pschema como fuente de datos.
9. Desplácese hacia abajo hasta Etiquetas y elige Agregar etiquetas
10. Añadir el archivo Conjuntos de datos de médicos, Conjuntos de datos de enfermeríay Conjuntos de datos de administración etiquetas a la fuente de datos de los pacientes (porque esta fuente de datos debe ser accesible para los grupos de médicos, enfermeras y administradores).

Puede crear más etiquetas y campos de etiquetas según lo requieran las reglas de clasificación de datos de su organización. La página de fuente de datos de Immuta es donde los administradores y gobernadores pasarán mucho tiempo.

5. Crear grupos y agregar usuarios

Debe crear grupos de usuarios antes de definir políticas.

1. En Immuta, elige empleados y luego Grupos desde el panel de navegación y luego seleccione Nuevo grupo.
2. Para ofrecer médico como nombre del grupo y seleccione Guardar.
3. Repita el paso 1 y el paso 2 para crear los siguientes grupos:
   • nurse
   • admin
4. Deberías ver tres grupos creados.

A continuación, debes agregar usuarios a estos grupos.

1. Elegir empleados y luego Grupos en el panel de navegación.
2. Seleccione el botón médico
3. Elegir Configuración y elige Añadir miembros en la categoría Industrial. Miembros
4. Busque Dr. Jon King en la barra de búsqueda y seleccione el usuario de los resultados. Elija Cerrar para agregar el usuario y salir de la pantalla.
5. Debería ver Dr. Jon King añadido a la médico.

6. Repita para agregar usuarios adicionales como se muestra en la siguiente tabla.

6. Agregar atributos a los usuarios

Uno de los requisitos de seguridad es que los médicos solo puedan ver los datos de sus pacientes. No deberían poder ver los datos de los pacientes de otros médicos. Para implementar este requisito, debe definir atributos para los usuarios que sean médicos.

1. Elegir empleados y luego Usuarios en el panel de navegación y luego seleccione Dr. Chris.
2. Elegir Configuración y desplácese hacia abajo hasta el Atributos
3. Elegir Agregar atributos. Entrar drid como el Atributo y d1001 como el Valor de atributo.
4. Esto asignará el valor del atributo d1001 al Dr. Chris. Paso 8 Definir políticas de datos, definirá una política para mostrar los datos con la coincidencia drid valor de atributo.

5. Repita los pasos 1 a 4; seleccionando Dr. Jon King y entrando d1002 como el Valor de atributo

7. Crear una política de suscripción

En esta sección, proporcionará acceso a las fuentes de datos a los grupos según lo requiera la política de permisos.

• Los médicos pueden acceder a los cuatro conjuntos de datos: Pacientes, Afecciones, Inmunizaciones y Encuentros.
• Las enfermeras solo pueden acceder a pacientes y vacunas.
• Los administradores solo pueden acceder a pacientes y encuentros.

In 4. Etiquetar los campos de datos, agregó etiquetas a los conjuntos de datos como se muestra en la siguiente tabla. Ahora usará las etiquetas para definir políticas de suscripción.

1. En Immuta, elige Políticas y luego Políticas de suscripción desde el panel de navegación y luego seleccione Añadir política de suscripción.
2. Acceder Acceso al médico como nombre de la política.
3. Para el Nivel de suscripción, seleccione Permitir usuarios con grupos/atributos específicos.
4. bajo Permitir que los usuarios se suscriban cuando el usuario, seleccione médicoEsto permite que solo los usuarios que son miembros del grupo de médicos accedan a las fuentes de datos a las que tiene acceso el grupo de médicos.

5. Desplázate hacia abajo y selecciona Compartir la responsabilidadEsto garantizará que los usuarios no tengan prohibido acceder a los conjuntos de datos incluso si no cumplen con todas las políticas de suscripción, lo cual no es obligatorio.

6. Desplácese más hacia abajo y debajo ¿Dónde se debe aplicar esta política?, escoger Sobre fuentes de datos, etiquetado y Conjunto de datos del doctor como opciones. Selecciona los conjuntos de datos etiquetados como Conjunto de datos del doctorPuede observar que esta política se aplica a las cuatro fuentes de datos, ya que las cuatro están etiquetadas como conjuntos de datos de médicos.

7. A continuación, crea la política eligiendo Activar Esto creará la vista y las políticas en Redshift y aplicará la política de permisos.
8. Repita los mismos pasos para definir Acceso de enfermería y Acceso de administrador
   • Para el Acceso de enfermería Política, seleccione usuarios que sean miembros de la Enfermería Grupos y fuentes de datos que están etiquetados como Conjuntos de datos de enfermería.
   • Para el Acceso de administrador Política, seleccione usuarios que sean miembros de la Administración Grupos y fuentes de datos que están etiquetados como Conjuntos de datos de administración.
9. In Políticas de suscripciónDeberías ver las tres políticas en Active Note la Fuentes de datos cuenta a cuántas fuentes de datos se aplica la política.

8. Definir políticas de datos

 Hasta ahora, ha definido políticas de permisos a nivel de fuentes de datos. Ahora, definirá el acceso a nivel de filas y columnas mediante políticas de datos. La política de permisos detallada que debe definir para restringir filas y columnas es:

• Los médicos solo pueden ver los datos de sus propios pacientes. En otras palabras, cuando un médico consulta la tabla de pacientes, debe ver solo los pacientes que coinciden con su ID de médico (drid).
• Campos sensibles, como ssn or pasaporte, todos deben usar mascarilla.

1. En Immuta, Elige Políticas y luego Políticas de datos en el panel de navegación y luego elija Añadir política de datos.
2. Introduzca el filtro por ID del médico como Nombre de directiva.
3. bajo ¿Cómo debe esta política proteger los datos?, elige opciones como Mostrar solo filas , dónde, El usuario posee un atributo en Drid que coincide con el valor de la columna etiquetada Identificación del médicoEstas configuraciones harán que un médico pueda ver solo los datos de los pacientes que tengan una identificación de médico coincidente. Todos los demás usuarios (miembros de los grupos de enfermeras y administradores) pueden ver todos los pacientes.

4. Desplácese hacia abajo y debajo ¿Dónde se debe aplicar esta política?, escoger Sobre las fuentes de datos, con columnas etiquetadas, Identificación del médico como opciones. Selecciona las fuentes de datos que tienen columnas etiquetadas como Identificación del médicoObserve la cantidad de fuentes de datos que seleccionó. Aplicó la política a una fuente de datos de las cuatro disponibles. Recuerde que agregó la Identificación del médico etiqueta a la Drid campo para el Pacientes fuente de datos. Por lo tanto, esta política identificó la Pacientes fuente de datos como coincidencia y aplicó la política.
   
5. Elegir Activar política para crear la política.
6. De manera similar, cree otra política para enmascarar los datos confidenciales para todos.
   • Para ofrecer Enmascarar datos confidenciales como nombre de la política.
   • bajo ¿Cómo debe esta política proteger los datos? choose Máscara, columnas etiquetadas, Sensible, usando hashtag, para, todos.
   • bajo ¿Dónde se debe aplicar esta política?, escoger sobre fuentes de datos, con columnas etiquetadas, Sensible.

7. En Los Políticas de datos pantalla, ahora debería ver ambas políticas de datos en Active

9. Consultar los datos para validar las políticas

Las políticas de permisos requeridas ya están implementadas. Inicie sesión en Editor de consultas Redshift como diferentes usuarios para ver las políticas de permisos vigentes.

Por ejemplo,

1. Inicie sesión como Dr. Jon King utilizando el ID de usuario de Redshift jonDeberías ver las cuatro tablas y, si realizas una consulta, patients En la tabla, solo debe ver los pacientes del Dr. Jon King; es decir, los pacientes con el ID del Doctor d10002.
2. Inicie sesión como Ema Joseph con el ID de usuario de Redshift ema. Debería ver solo dos tablas, Pacientes y encuentros, que son conjuntos de datos de administración.
3. También notarás que ssn y pasaporte están enmascarados para ambos usuarios.

Auditoría

 Las capacidades integrales de auditoría de Immuta brindan a las organizaciones visibilidad y control detallados sobre el acceso y el uso de los datos dentro de su entorno. La plataforma genera registros de auditoría completos que capturan una gran cantidad de información sobre las actividades de los usuarios, que incluye:

• Quién se suscribe a cada fuente de datos y los motivos de su acceso
• Cuando los usuarios acceden a los datos
• Las consultas SQL específicas y las recuperaciones de blobs que están ejecutando
• Los archivos individuales a los que están accediendo

La siguiente es una captura de pantalla de ejemplo.

Casos de uso de la industria

Los siguientes son ejemplos de casos de uso de la industria en los que la integración de Immuta y Amazon Redshift agrega valor a los objetivos comerciales del cliente. Considere habilitar los siguientes casos de uso en Amazon Redshift y usar Immuta.

Gestión de registros de pacientes

En la industria de la salud y las ciencias biológicas (HCLS), el acceso eficiente a datos de calidad es fundamental. Las herramientas desarticuladas pueden dificultar la entrega de información en tiempo real que es fundamental para las decisiones sanitarias. Estas demoras afectan negativamente la atención al paciente, así como la producción y la entrega de productos farmacéuticos. Agilizar el acceso de manera segura y escalable es vital para una toma de decisiones oportuna y precisa.

Los datos de distintas fuentes pueden fácilmente aislarse, perderse o descuidarse si no se almacenan de manera accesible. Esto hace que compartir datos y colaborar sea difícil, si no imposible, para los equipos que dependen de estos datos para tomar decisiones importantes sobre tratamientos o investigaciones. Los problemas de fragmentación dan lugar a registros de pacientes incompletos o inexactos, resultados de investigaciones poco fiables y, en última instancia, reducen la eficiencia operativa.

Mantener el cumplimiento normativo

Las organizaciones de HCLS están sujetas a una variedad de normas y regulaciones específicas de la industria, como las Buenas Prácticas (GxP) y la HIPAA, que garantizan la calidad, la seguridad y la privacidad de los datos. Mantener la integridad y la trazabilidad de los datos es fundamental y requiere políticas sólidas y un monitoreo continuo para proteger los datos durante todo su ciclo de vida. Con conjuntos de datos diversos y grandes cantidades de información médica personal (PHI) confidencial, equilibrar el cumplimiento normativo con la innovación es un desafío importante.

Análisis de salud avanzado y complejo

Las capacidades limitadas de aprendizaje automático e inteligencia artificial (obstaculizadas por preocupaciones legítimas de privacidad y seguridad) impiden que las organizaciones de HCLS utilicen análisis de salud más avanzados. Esta restricción afecta el desarrollo de tácticas de próxima generación basadas en datos, incluidos los modelos de atención al paciente y el análisis predictivo para la investigación y el desarrollo de medicamentos. Mejorar estas capacidades de manera segura y conforme a las normas es clave para liberar el potencial de los datos de salud.

Conclusión

En esta publicación, aprendió a aplicar políticas de seguridad en conjuntos de datos de Redshift usando Immuta con un caso de uso de ejemplo. Esto incluye la aplicación de políticas de acceso a nivel de conjunto de datos, acceso a nivel de atributo y enmascaramiento de datos. También cubrimos la implementación paso a paso. Considere adoptar la administración de acceso simplificada de Redshift usando Immuta y háganos saber sus comentarios.

Acerca de los autores

satesh sonti es un Arquitecto de Soluciones Especialista en Análisis Sr. con sede en Atlanta, especializado en la creación de plataformas de datos empresariales, almacenamiento de datos y soluciones de análisis. Tiene más de 19 años de experiencia en la creación de activos de datos y en la dirección de programas de plataformas de datos complejos para clientes de banca y seguros en todo el mundo.

Matt Vogt es un experimentado profesional de la tecnología con más de dos décadas de experiencia diversa en la industria tecnológica, y actualmente se desempeña como vicepresidente de Arquitectura de Soluciones Globales en Immuta. Su experiencia radica en unir los objetivos comerciales con los requisitos técnicos, centrándose en la privacidad de los datos, la gobernanza y el acceso a los datos dentro de la ciencia de datos, la inteligencia artificial, el aprendizaje automático y la analítica avanzada.

Navneet Srivastava Es especialista principal y líder de estrategia analítica y desarrolla planes estratégicos para construir una estrategia analítica integral para grandes organizaciones biofarmacéuticas, de atención médica y de ciencias biológicas. Su experiencia abarca análisis de datos, gobernanza de datos, inteligencia artificial, aprendizaje automático, big data y tecnologías relacionadas con la atención médica.

Somdeb Bhattacharjee es un arquitecto de soluciones sénior especializado en datos y análisis. Forma parte de la industria global de atención médica y ciencias biológicas en AWS, donde ayuda a sus clientes a modernizar sus soluciones de plataforma de datos para lograr sus resultados comerciales.

Ashok Mahajan Ashok es arquitecto de soluciones sénior en Amazon Web Services. Con sede en el área metropolitana de Nueva York, forma parte de un equipo de startups globales centrado en ISV de seguridad y los ayuda a diseñar y desarrollar soluciones y arquitecturas seguras, escalables e innovadoras utilizando la amplitud y profundidad de los servicios de AWS y sus características para ofrecer resultados comerciales mensurables. Ashok tiene más de 17 años de experiencia en seguridad de la información, es CISSP y arquitecto de soluciones certificado en gestión de acceso y AWS, y tiene experiencia diversa en los dominios de finanzas, atención médica y medios de comunicación.

• Distribución de relaciones públicas y contenido potenciado por SEO. Consiga amplificado hoy.
• PlatoData.Network Vertical Generativo Ai. Empodérate. Accede Aquí.
• PlatoAiStream. Inteligencia Web3. Conocimiento amplificado. Accede Aquí.
• PlatoESG. Carbón, tecnología limpia, Energía, Ambiente, Solar, Gestión de residuos. Accede Aquí.
• PlatoSalud. Inteligencia en Biotecnología y Ensayos Clínicos. Accede Aquí.
• Fuente: https://aws.amazon.com/blogs/big-data/how-to-implement-access-control-and-auditing-on-amazon-redshift-using-immuta/