Senior Data Security Solution Engineer

Основные требования

Ожидаемые результаты

Техническая оценка баз данных, интеграций, идентификационных данных и потоков данных; Оценка текущего состояния безопасности и возможностей баз данных; Архитектура безопасности данных в целевом состоянии и подробный технический проект; Проект аутентификации баз данных и интеграции идентификационных данных; Проект на уровне строк, столбцов, маскирования и обеспечения соблюдения политик; Модель межсетевого экрана данных и изоляции лицензионных наборов данных; Проект аудита, мониторинга, отслеживаемости и отчетности; Проект отзыва доступа, хранения, жизненного цикла и удаления данных; Варианты решений, техническая осуществимость, пробелов, зависимостей и рисков; Архитектура POC, реализация, результаты тестирования и рекомендации; Шаблоны реализации, пригодные для повторного использования, и документация по передаче эксплуатации

Требуемые технические навыки и опыт

Обширный практический опыт работы с реляционными базами данных, SQL, архитектурой баз данных, схемами, ролями, привилегиями и путями доступа; Практический опыт реализации авторизации на уровне базы данных, включая средства контроля на уровне строк и столбцов или эквивалентные механизмы тонкой настройки. Глубокие знания в области аутентификации в базах данных, IAM, OAuth 2.0, OIDC, токенов, идентификаторов сервисов, идентификаторов рабочих нагрузок и управления секретами. Опыт проектирования безопасных подключений к базам данных и интеграций для приложений, аналитических инструментов, API, ETL/ELT и конвейеров данных. Опыт аудита баз данных, мониторинга запросов и активности, централизованного ведения журналов, оповещения и поддержки расследований. Понимание вопросов, связанных с происхождением данных, их жизненным циклом, сроками хранения, отзывом, удалением, резервным копированием, архивированием и восстановлением. Способность оценивать гетерогенные технологии баз данных и разрабатывать средства контроля, соответствующие конкретной платформе. Сильные навыки в области архитектуры, проектирования, устранения неполадок, документирования и взаимодействия с заинтересованными сторонами.

Желательно:

Опыт работы с корпоративными платформами данных, облачными или гибридными базами данных, каталогами данных, управлением доступом и технологиями обеспечения соблюдения политик. Опыт работы в сфере фармацевтических исследований, научных данных, защиты интеллектуальной собственности, лицензирования данных или в другой регулируемой среде. Опыт разработки и реализации концептуальных доказательств (POC) в области безопасности, а также преобразования проверенных шаблонов в готовые к внедрению в производственную среду проекты. Знание требований в области конфиденциальности, договорных ограничений использования, сегрегации данных и требований к доказательствам, касающихся лицензируемых данных.

Чем предстоит заниматься

1. Техническая оценка и оценка баз данных

Проанализировать требования к получению лицензий на данные, схемы рабочих процессов, потоки данных, генеалогию данных, правила предоставления прав доступа и записи о зависимостях. Оценить платформы реляционных баз данных, схемы, методы подключения, интерфейсы, драйверы, идентификаторы служб, шаблоны запросов и последующее использование данных. Определить, где лицензионные данные хранятся, преобразуются, реплицируются, извлекаются, кэшируются, архивируются или резервируются. Оценить текущие возможности обеспечения безопасности баз данных и выявить пробелы, ограничения, риски и необходимые условия.

2. Аутентификация на уровне данных и интеграция идентификационных данных

Оценить механизмы аутентификации для именованных пользователей, идентификаторов сервисов, рабочих нагрузок и аналитических инструментов, получающих доступ к базам данных. Оценить возможность использования OAuth/OIDC или других методов аутентификации на основе идентификаторов и токенов непосредственно в базе данных, если это поддерживается выбранной технологией. Разработайте механизмы интеграции между корпоративными идентификаторами, группами безопасности, проектными группами, субъектами базы данных, ролями и механизмами применения политик. По возможности сократите зависимость от общих или долгосрочных учетных данных и определите безопасные методы обработки учетных данных или токенов для неизбежных исключений. Обеспечьте совместимость с имеющимися в настоящее время инструментами и выявите пробелы, если таковые имеются,

3. Мелкозернистая авторизация и межсетевой экран данных

Разработайте средства контроля на уровне базы данных, ограничивающие доступ только явно авторизованным пользователям, группам, службам, проектам или группам лицензиатов. Разработайте и внедрите средства безопасности на уровне строк, на уровне столбцов, динамическое маскирование, представления, фильтрацию на основе политик или эквивалентные средства контроля в зависимости от ситуации. Определите модели изоляции для различных лицензируемых наборов данных и соглашений, сохраняя при этом разрешённое использование платформы для других пользователей. Убедитесь, что средства контроля последовательно применяются как можно ближе к уровню данных, насколько это технически возможно, и не зависят исключительно от логики приложения.

4. Аудит, мониторинг и отслеживаемость

Разработайте систему аудита базы данных, позволяющую фиксировать, кто получал доступ к данным, к каким данным осуществлялся доступ, когда произошёл доступ и какая учетная запись или служба использовалась. Определите ведение журналов для запросов, экспорта данных, неудачных попыток доступа, изменений разрешений и привилегированных действий, если это поддерживается и требуется. Интегрируйте телеметрию аудита с соответствующими средствами мониторинга и отчётности и определите требования к хранению данных и доказательствам. Убедитесь, что записи аудита доступны для поиска, поддаются атрибуции, защищены от несанкционированного изменения и полезны для расследований.

5. Жизненный цикл данных, отзыв прав доступа и удаление

Разработайте механизмы отзыва прав доступа в случае смены ролей пользователями, их ухода из проекта или истечения срока действия лицензионных прав. Разработайте методы выявления и удаления лицензионных данных из основных хранилищ и соответствующих последующих копий, выдержек, кэшей или производных хранилищ. Учтите последствия удаления для ссылочной целостности, резервных копий, архивов, репликации, процессов восстановления и последующих потребителей данных. Определите механизмы проверки, обработки исключений и подтверждения, чтобы продемонстрировать, что необходимые действия по удалению были выполнены.

6. Архитектура и проектирование решения

Преобразуйте требования в архитектуры текущего и целевого состояний, технические спецификации, шаблоны безопасности и планы внедрения. Сравните варианты решений и задокументируйте компромиссы между безопасностью, осуществимостью, производительностью, масштабируемостью, эксплуатационной готовностью, затратами и технологическими ограничениями. Определить компоненты подключения к базе данных, обеспечения соблюдения политик, идентификации, аудита, мониторинга, жизненного цикла и интеграции. Взаимодействовать с командами, ответственными за базы данных, управление доступом и идентификацией (IAM), архитектуру безопасности, инфраструктуру, приложения, платформу данных, управление и научные исследования.

7. Проектирование и реализация доказательства концепции (POC)

Выбрать подходящие реляционные базы данных и варианты рабочих процессов, отражающие сценарии лицензирования данных и существенные технические риски. Определить архитектуру POC, тестовые данные, тестовые идентификаторы, критерии успеха, негативные тесты, соображения по производительности и подход к откату. Реализовать и проверить сценарии аутентификации на основе идентификации, мелкозернистой авторизации, межсетевого экрана данных, аудита, отзыва доступа и удаления. Документировать результаты, ограничения, соображения по эксплуатации, повторно используемые шаблоны и рекомендации для более широкого внедрения.