安全与信任中心

La sicurezza dei tuoi dati è La nostra priorità

immagine sfondo

Sappiamo che i dati sono una delle risorse più preziose e devono essere sempre protetti: per questo la sicurezza viene integrata in ogni livello della Databricks Lakehouse平bob体育客户端下载台。在规范的基础上,在规范的基础上,在规范的基础上,在规范的基础上,在规范的基础上,在规范的基础上。

法国国家数据调查系统,法国资料资料理解系统conformità。
埃森哲咨询公司
Wehkamp标志
Wehkamp标志
“在组织管理中,在决策过程中,在数据管理中,在数据管理中,在数据管理中,在数据管理中,在数据管理中,在数据管理中,在数据管理中。”La facilità con cui si所有,aggiungere utenti, le integrazioni di sicurezza native con i fornitori cloud e le "API per tutto" ci consentono di mettere a disposizione di ogni addetto di Wehkamp i dati e gli strumenti必要"。

——Tom Mulder (Wehkamp首席数据科学家

Adren街实验室
Wehkamp标志
Wehkamp标志
"阿比阿莫斯维鲁帕托准一个dozzina di soluzioni, tutte basate su Azure Databricks come piattaforma principale。询问我ha同意我的意见,我的方案,我的实现,“实验室到操作”,我的速度,我的方法,我的数据,scalabilità我的时钟”。

- Jeff Feldman, Arden Street实验室的CTO

瑞士信贷(Credit Suisse)
Wehkamp标志
Wehkamp标志
“大数据人工智能的进步与融合,部分的发展società di servizi finanziari vive ancora grandi difficoltà con i dati in termini di tipologia, protezione e volumi。瑞士信贷sta superando questi ostacoli标准化管理l'attività su piattaforme aperte in cloud, fra cui Azure Databricks, per aumentare la velocità e la portata delle attività operation e del ML su tutta l' organizzione "。

-瑞士信贷案例分析

immagine sfondo

Fiducia

我们的可信平台是通过在整bob体育客户端下载个软件开发和交付生命周期中嵌入安全性来构建的。我们遵循严格的操作安全实践,如渗透测试、漏洞评估和强大的内部访问控制。我们相信透明度是赢得信任的关键——我们公开分享我们的运营方式,并与客户和合作伙伴密切合作,以满足他们的安全需求。bob体育外网下载我们提供符合PCI-DSS, HIPAA和FedRAMP的产品,我们是ISO 27001, ISO 27017, ISO 27018和SOC 2 Type II兼容的

Impegno contrattuale

除了您可以在我们的安全与信任中心找到的文档和最佳实践之外,我们还向所有客户提供以通俗语言编写的安全合同承诺。这种承诺体现在安全附件我们的客户协议,该协议描述了我们为保证您的数据安全所遵循的安全措施和实践。

Gestione della vulnerabilità

检测并快速修复您所依赖的易受攻击的软件是任何软件或服务提供商最重要的责任之一。我们认真对待这一责任,并在我们的网站上分享我们的补救时间表承诺安全附件

在内部,我们有自动化的漏洞管理,以有效地跟踪、优先级、协调和补救我们环境中的漏洞。我们每天对Databricks和Databricks使用的第三方/开源包进行经过身份验证的漏洞扫描,以及使用可信的安全扫描工具进行静态和动态代码分析(SAST和DAST),然后再将新代码或图像推广到生产环境中。Databricks还聘请第三方专家分析我们面向公众的网站,并报告潜在风险。

Databricks已经资助了一个漏洞响应计划,用于在我们的扫描供应商报告给我们之前监控新出现的漏洞。我们使用内部工具、社交媒体、邮件列表和威胁情报来源(例如,US-CERT和其他政府、行业和开源提要)来实现这一目标。Databricks监控开放的漏洞平台,例如bob体育客户端下载CVE趋势而且打开CVDB.我们有一个既定的流程来应对这些问题,因此我们可以快速识别对我们公司、产品或客户的影响。该程序允许我们快速重现报告的漏洞并解决零日漏洞。

我们的漏洞管理计划致力于以最高的紧迫性处理严重程度为0的漏洞,例如零日漏洞,将其修复优先于其他部署。

测试漏洞赏金

我们通过内部攻击性安全团队、合格的第三方渗透测试人员和全年的公开漏洞赏金计划来执行渗透测试。我们混合使用模糊、安全代码审查和动态应用程序测试来评估我们平台的完整性和应用程序的安全性。bob体育客户端下载我们对主要版本、新服务和安全敏感功能进行渗透测试。攻击性安全团队与我们的事件响应团队和工程内部的安全冠军合作,解决发现问题,并在整个公司内注入经验教训。

我们通常每年进行8-10次外部第三方渗透测试和15-20次内部渗透测试,在测试被标记为通过之前,必须解决所有的材料问题。作为我们对透明度承诺的一部分,我们在我们的平台上公开分享我们的平台范围的第三方测试报告bob体育客户端下载尽职调查方案

我们的公众bug赏金该项目由HackerOne推动,允许全球网络安全研究人员和渗透测试人员对Databricks的安全漏洞进行测试。为了使项目取得成功,我们做出的一些关键决定包括:

  • 通过提供HackerOne项目统计数据的透明度,例如回复率和支付金额,鼓励黑客社区积极参与我们的项目
  • 及时响应bug赏金提交,平均赏金时间在一周以内
  • 对每个有效提交执行变体分析,以确定漏洞可能使用的替代方式,并验证100%的修复
  • 增加奖励,将注意力吸引到产品最重要的领域

我们努力使我们的项目成功,并从每次提交中学习。我们的漏洞赏金计划以开放和合作的方式进行,已经有超过100名安全研究人员因超过200份报告而受到感谢。感谢大家帮助我们保持数据库的安全!

我们希望我们的客户对他们在Databricks上运行的工作负载有信心。如果您的团队希望对Databricks运行漏洞扫描或渗透测试,我们鼓励您:

  1. 在位于云服务提供商帐户内的数据平面系统上运行漏洞扫描。
  2. 针对您的代码运行测试,前提是这些测试完全包含在位于您的云服务提供商帐户中的数据平面(或其他系统)中,并且正在评估您的控件。
  3. 加入Databricks Bug Bounty程序访问Databricks的专用部署以执行渗透测试。任何针对我们的多租户控制平面的渗透测试都需要参与该计划。

安全调查和事件响应

我们使用Databricks作为SIEM和XDR平台,每天处理超过9tb的数bob体育客户端下载据,用于检测和安全调查。我们接收并处理来自云基础设施、设备、身份管理系统和SaaS应用程序的日志和安全信号。我们使用结构化的流管道和Delta Live表来识别最相关的安全事件,使用数据驱动的方法和统计ML模型来生成新的警报,或对已知安全产品的现有警报进行关联、重复删除和优先级排序。我们对对手战术、技术和程序(TTP)进行建模主教法冠ATT&CK框架。我们的安全调查团队使用协作的Databricks笔记本创建可重复的调查过程,不断演变事件调查手册,并对超过2pb的历史事件日志执行威胁搜索,处理非结构化和半结构化数据的复杂搜索。

我们的事件响应团队保持最新状态,并通过以下方式帮助Databricks准备事件管理场景:

  • 参加业界知名的供应商课程,如SANS和参加安全会议,如fwd:cloudsec, Black Hat, BSides, RSA
  • 与行政领导和内部团队定期进行桌面练习,以练习与Databricks产品和公司基础设施相关的安全响应场景
  • 与工程团队合作,优先考虑平台的可观察性,以实现有效的安全检测和响应bob体育客户端下载
  • 根据不断发展的事件响应技能和能力矩阵,定期更新招聘和培训策略

Accesso interno

政治控制的方法,有权支配的方法,生产的方法,环境的方法,有权支配的方法。

我们需要多因素身份验证来访问核心基础设施控制台,如云服务提供商控制台(AWS、GCP和Azure)。Databricks有策略和过程,尽可能避免使用显式凭据,如密码或API密钥。例如,只有指定的安全团队成员才能处理新的AWS IAM主体或策略的异常请求。

Databricks员工可以在非常特定的情况下(例如紧急故障修复)访问生产系统。访问由databicks构建的系统进行管理,该系统验证访问并执行策略检查。访问要求员工连接到我们的VPN,并使用我们的单点登录解决方案与多因素身份验证进行身份验证。
BOB低频彩了解更多→

我们的内部安全标准要求在任何可能的情况下将职责分开。例如,我们将云身份验证提供者的身份验证和授权过程集中起来,以分离授权访问(Mary应该访问系统)和授予访问(Mary现在可以访问系统)。

无论是在内部系统中还是在对生产系统的访问中,我们都优先考虑最少的特权访问。最低特权明确地建立在我们的内部政策中,并反映在我们的程序中。例如,大多数客户可以控制Databricks员工是否有权访问他们的工作空间,在授予访问权限之前,我们通过编程应用大量检查,并在有限的时间后自动撤销访问权限。
BOB低频彩了解更多→

Ciclo di sviluppo sicuro del软件

Databricks拥有一个软件开发生命周期(SDLC),它将安全性构建到所有的设计、开发和生产步骤中——从功能请求到生产监控——由旨在跟踪整个生命周期中的功能的工具支持。我们有自动安全扫描和自动漏洞跟踪系统,库和代码。

Databricks利用思想门户它可以跟踪功能需求,并允许客户和员工投票。我们的功能设计过程包括设计隐私和安全。在初步评估之后,高影响功能将接受产品安全团队与工程安全负责人联合进行的安全设计审查,以及威胁建模和其他特定于安全的检查。

我们使用敏捷开发方法,将新功能分解为多个sprint。Databricks不会将Databricks平台的开发外包出去,所有开发人员在受雇时和以后每年都必须接受安全的软件开发培训——bob体育客户端下载包括OWASP Top 10。生产数据和环境与开发、QA和登台环境分离。所有代码都被检入一个源代码控制系统,该系统需要单点登录、多因素身份验证和细粒度权限。代码合并需要得到每个受影响区域的功能工程所有者的批准,并且所有代码都要经过同行评审。产品安全团队手动检查对安全性敏感的代码,以消除业务逻辑错误。

每个人都有自己的特点和特点。在我们的生产环境中,我们的自动化系统vulnerabilità在我们的运行系统中,在我们的运行系统中,在我们的运行系统中,在我们的运行系统中,在我们的运行系统中,在我们的运行系统中。Vengono creati automaticamente ticket di progettazione per qualsiasi vulnerabilità, assegnandoli ai team di competenza。Il team di sicurezza del prodotto classifica inoltre le vulnerabilità criticche per valutarne la gravità nell'architettura Databricks。

我们在SDLC过程的多个阶段运行质量检查(如单元测试和端到端测试),包括代码合并时、代码合并后、发布时和生产中。我们的测试包括阳性测试、回归测试和阴性测试。部署后,我们可以进行广泛的监视以识别故障,用户可以通过状态页.如果出现任何P0或P1问题,Databricks自动化会触发一个“5个为什么”的根本原因分析方法,选择一个事后分析团队的成员来监督审查。调查结果传达给行政领导,并跟踪后续项目。

Databricks有一个正式的发布管理过程,其中包括在发布代码之前正式的放行/不放行决定。更改将通过旨在避免回归的测试,并验证新功能已经在实际工作负载上测试过。此外,有一个阶段性的推出,通过监视来尽早发现问题。为了实现职责分离,只有我们的部署管理系统可以向生产发布变更,并且所有部署都需要多人批准。

我们遵循一个不变的基础设施模型,其中系统被替换而不是打补丁,以提高可靠性和安全性,并避免配置漂移的风险。当启动新的系统映像或应用程序代码时,我们将工作负载转移到随新代码一起启动的新实例。对于控制平面和数据平面都是如此(请参阅有关Databricks体系结构的更多信息,请参见安全特性部分).一旦代码投入生产,验证过程就会确认工件没有未经授权添加、删除或更改。

SDLC流程的最后一个阶段是创建面向客户的文档。Databricks文档的管理方式很像我们的源代码,文档存储在同一个源代码控制系统中。重要的更改在合并和发布之前需要技术和文档团队的评审。
参观文件→

安全策略和通信详细信息

Databricks在安全漏洞处理和通信方面遵循RFC 9116、ISO/IEC 30111:2019(E)和ISO/IEC 29147:2018(E)标准。有关我们的保密通讯及PGP签名的详情,请参阅我们的security.txt文件。

immagine sfondo
附件

部署到您管理和保护的VPC/VNet的选项。默认情况下,数据平面没有入站网络连接。

AWS,Azure

联接私有(链路私有)客户端所有接口API控制平面数据

AWS,Azure

接入私有(链路私有)数据平面经典控制平面数据

AWS,Azure

联接私人(o链接私人)数据平面古典ai数据苏拉piattaforma云

AWS,Azure

列出每个控制器访问IP,所有接口访问API,控制平面通过Internet访问数据

AWS,Azure,GCP

防火墙自动basati su主机che limitano la通信

AWS,Azure,GCP

行政管理委员会

La gestione delle identità del fornitore di servizi云同意l'integrazione diretta con le risorse云

AWS,Azure,GCP

支持根据政策条件访问真主安拉Active Directory di Azure

Azure(不适用AWS / GCP)

提供SCIM每手势identità di utenti e gruppi

AWS,Azure,GCP

单点登录con integrazione del fornitore di identità (si può abilitare MFA tramite il fornitore di identità)

AWS(不适用Azure/GCP*)

每一姿态的主帐户identità每一姿态的应用

AWS,Azure,GCP

按暂时失效方式处理的数据账

AWS(不适用Azure/GCP*)

Disabilitazione di password local con il permesso delle password

AWS(不适用Azure/GCP*)

Gestione degli accessi

对所有Databricks对象(包括工作区、作业、笔记本、SQL)的基于细粒度权限的访问控制

AWS,Azure,GCP

我有个人权利,我有个人权利,我有权利

AWS,Azure,GCP

支持di令牌OAuth

Azure,GCP

分割,分割,分割,分割,分割,分割,分割,分割,分割,分割,分割,分割,分割

AWS,Azure,GCP

Sicurezza dei dati

在控制平面上的椎板

AWS,Azure,GCP

Possibilità di realizzare una crittografia delle chiavi gestita dal client

AWS,Azure

椎体传输通信平面控制平面数据平面

AWS,Azure,GCP

集群内Spark传输加密或平台优化传输加密bob体育客户端下载

AWS,Azure

这是一种非常棒的颗粒viste dinamiche

AWS,Azure,GCP

控制和管理的限制是对数据的影响

AWS,Azure,GCP

数据治理

治理(治理)统一目录

AWS,Azure

统一目录集中元数据和用户管理

AWS,Azure

集中的数据访问控制与统一目录

AWS,Azure

数据沿袭与统一目录

在AWS和Azure上预览

使用Unity Catalog进行数据访问审计

AWS,Azure

安全的数据共享三角洲分享

AWS,Azure

拉沃罗之路

Gestione effect delle versioni di codice con repository

AWS,Azure,GCP

Gestione隔离积分每evitare credenziali "cablate" nel codice

AWS,Azure,GCP

机械加工数据平面加工,硬化基础

AWS、Azure(不适用GCP)

我的国家,我的国家,我的国家,我的国家

AWS,Azure,GCP

基础结构不变的"生命短暂"每生命都源于构型

AWS,Azure,GCP

增强了管理数据平面图像的安全监控和漏洞报告的加固

AWS

修正登记

Registrazione complete可配置delle attività di revisione degli utenti di Databricks

AWS,Azure,GCP

数据管理数据库

AWS,Azure

注册集群数据库

AWS,Azure

Validazioni di sicurezza (conformità)

Conformità a ISO 27001, 27017, 27018

AWS, Azure, GCP

SOC 1 II型,SOC 2 II型,SOC 3

AWS, Azure, GCP

Conformità GDPR e CCPA

AWS, Azure, GCP

实现PCI符合DSS

AWS

Conformità a FedRAMP Moderate

AWS,Azure

Conformità a FedRAMP高

Azure

符合HIPAA

AWS,Azure,GCP

HITRUST

Azure

* Azure Databricks è integrato con Azure Active Directory, e Databricks su GCP è integrato con谷歌标识。问题非所有必须配置在Databricks, ma si può配置配置Azure Active Directory o谷歌身份secondo necessità。

安全最佳实践

Databricks已与数以千计的客户合作,以安全部署Databricks平台,其安全特性满足他们的架构需求。bob体育客户端下载本文档提供了一份安全实践、注意事项和模式的清单,您可以将其应用于您的部署,这些都是从我们的企业约定中学到的。

查看文档AWS,Azure而且GCP

安全分析工具

安全工作空间分析工具(SAT)通过根据我们的安全最佳实践审查部署来监视您的工作空间加固。它使用标准API调用以编程方式验证工作空间,并根据严重程度报告偏差,并提供解释如何提高安全性的链接。

视图博客有关详细信息,和GitHub开始吧。
(目前适用于AWS)

Databricks安全文档

Databricks包括关于如何操作我们的安全功能和最佳实践的文档,以帮助我们的客户快速安全地部署。文档主要针对部署或使用Databricks的团队。

访问文档AWS,GCPAzure

数据库安全与信任概述白皮书

安全概述白皮书旨在提供Databricks各个方面的摘要,供安全团队快速查看。

查看文档

piattaforma建筑

L'architettura di Databricks Lakehouse è divisa in due piani separati per semplificare i permessi, evitare duplicazioni di dati ridurre i rischi。控制平面è Il piano di gestione, dove Databricks esegue l' applicationone della spazio di lavoro e gestisce笔记本,组态集群。Tranne nel caso in cui si scelga di usare l'精心设计的senza服务器, il data plane gira all'interno dell'account del fornitore di servizi cloud, I dati senza estrarli dall'account。数据库può essere公司建筑防护控制数据利用funzionalità come VPC/VNet数据管理客户端防护管理控制设备体育运动。

Alcuni dati, come notebook, configurazioni, registri e informazioni degli utenti, sono presenti all'interno control plane, ma queste informazioni sono crittografate一个riposo nel control plane, e la conunicazione da verso il control plane viene crittografata in transito。Inoltre si può scegliere dove risiedono alcuni dati。Ogni azienda può ospitare il本体archivio di元数据相对和数据表(Hive metastore),云服务计算查询(CSP), e决定使用接口Databricks Secrets API

Supponiamo che un data engineer acceda a Databricks e scriva un notebook che trasforma dati grezzi in Kafka in un set di dati normalizzato, inviato poi a uno storage come Amazon S3 o Azure data Lake storage。Sei passaggi per raggiungere questo obiettivo:

  1. Il data engineer si autentica, tramite Single Sign-On se desiderato, sull'interfaccia utente web di Databricks nel control plane, ospitato sull'account Databricks。
  2. 指导数据工程师编写代码、浏览器和控制平面。Anche le richieste JDBC/ODBC seguono lo stesso percorso, con autenticazione tramite token。
  3. Una volta pronto, il控制平面usa le API del fornitore di servizi云每creare uncluster数据,构成新存储数据平面,nell'account CSP dell'azienda。行政管理权适用政治集群与个人概况。
  4. 如volta lanciate le stanze,集群管理器,数据工程师集群。
  5. 集群前数据卡夫卡sull'account CSP,转换形式数据所有'interno dell'account aziendale e li scrive in uno storage nell'account。
  6. 在集群管理器中,集群端口可以输出最终结果。

Il数据工程师非si deve preoccupare di molti dettagli: deve solo scrivere Il codice e Databricks si occuperà di eseguirlo。

Conformita

客户在与我同在的世界里,没有我的世界più敏感。数据库ha实施控制每苏打差异le esesigenze uniche di conformità di settori工业革命。

尽职调查

根据effettuare revisioni della sicurezza在modalità自助服务,si può scaricare il pacchetto尽职调查。连续性文件查询conformità来自我们的证书之鼻孔ISO和授权测试每年。Inoltre, il team clienti di Databricks è a disposizione per fornire copy della nostra企业安全指南e del报告SOC 2 Type II。

下载

认证标准

immagine sfondo

这些数据预示着未来。我的数据分析和数据数据的重要性,每个ogni组织,我的客户,和所有,必须有一个leggi e regolamenti苏拉隐私。

每个人的数据都是关于组织机构的数据,都是关于组织机构的数据,都是关于数据隐私的。

immagine sfondo

这是一项调查,是一项调查,是一项调查,是一项调查

我的数据,我的数据,我的数据,我的数据,我的数据,我的数据。

Segnala SPAM o messaggi sospetti provenienti da Databricks

Se hai ricevuto SPAM o communicazioni che ritieni siano fraudolente, o che abbiano contenuti inappropriati, impropri o dannosi(恶意软件),contatta SUBITO数据库。

来leggere un report di scansione di vulnerabilità interne per un prodotto Databricks

每一份分析报告vulnerabilità,有一份数据分析报告vulnerabilità,有一份数据分析报告vulnerabilità,有一份数据分析报告vulnerabilità,有一份数据分析报告è

Scopri come un CVE impatta sullo spazio di lavoro sul runtime di Databricks

有一个信息系统,有一个数据系统,有一个数据系统,有一个数据系统,有一个数据系统,有一个数据系统,有一个数据系统,有一个数据系统,有一个数据系统,有一个数据系统severità有一个数据系统国家漏洞数据库

sergnala un bug nei prodotti o servizi di Databricks

这是一个美妙的故事vulnerabilità在我们的世界里,这是一个问题。Partecipa艾尔nostro programma Bug Bounty pubblicopromosso da HackerOne。

immagine sfondo

HIPAA

HIPAA è根据敏感卫生数据预防各种疾病的保护措施。数据防止opzioni di implementazione符合HIPAA。

云supportati

Regioni

Azure多租户- Tutte le region

AWS单一租户- Tutte le region

AWS多租户- us-east-1, us-east-2, ca-central-1, us-west-2