让安全合规融入你的研发流程｜PayerMax 构建数据访问控制体系

Bytebase 2025-02-12

239

PayerMax 简介

PayerMax是一家植根新兴市场，布局全球业务的金融科技公司，致力于提供专业的全球跨境支付解决方案，服务涵盖全球收单、付款、收款等领域，旨在为全球客户提供更安全、便捷的一站式支付体验。

作为一家跨境支付平台，PayerMax 一直致力于为客户提供丰富而多元的服务，助力其在全球化的探索中，实现商业价值的增长与突破。凭借多年的本地化深耕，PayerMax 将过去积累的能力不断丰富完善，逐步搭建出“不止于支付”的矩阵式服务体系，以满足客户的多元需求。在支付之外，针对客户全球化过程中不同的业务侧重，PayerMax推出了多种针对性的增值服务，如风控管理、财税外汇专业咨询、本地化营销赋能等等。

以风控为例，PayerMax 建立了贯穿事前、事中、事后的业务生命全周期的动态反欺诈体系：事前凭借丰富数据积累对客户和用户进行风险和偏好分级；事中通过机器学习模型和策略，实时分析交易数据，设计定制化策略，拦截、控制风险；事后，分析客户的风险交易，输出报告，优化风控策略。此外，PayerMax 凭借自主打造的独立完整的风控服务体系，还能为客户提供自定义的风控策略配置，如游戏行业的大R玩家等其他角色的风险识别等等。

与此同时，PayerMax 还可提供税务建议和定制化的税务方案，为无法自行缴税的客户提供代缴税服务，为其本地化团队提供政策合规建议、用户数据保护法务建议等等。在外汇服务方面，PayerMax 提供汇率波动和交易风险监控产品，其锁汇业务覆盖众多新兴市场货币，尤其是汇困市场，客户可以锁定当前汇率作为未来结算汇率，避免汇率波动的风险。

除此之外，PayerMax 还具备支付营销、广告赋能的服务能力，如通过本地主流支付方式的优惠营销，提升用户转化率与支付成功率等等。凭借丰富的本地营销方案，PayerMax 曾帮助在韩国开拓市场的某全球 Top20 游戏公司交易量提升 91%，交易成功率提升近 20%。

PayerMax 正不断实践着⾃⼰的愿景：让客⼾的每⼀分钟和每⼀分钱都得到最⼤的回报。

安全与效率，鱼与熊掌？

作为一家业务遍及全球的跨境金融公司，合规与安全是企业的命脉，PayerMax 始终将安全置于 IT 建设的最高优先级。但作为一家科技公司，快速响应业务需求才能应对激烈的市场竞争，实施安全管控措施不应对研发效率产生过于严重的影响。因此在构建数据安全体系时，PayerMax 的原则是尽可能将安全机制融入研发流程和工具中，通过更好的体验来最大限度减少这种影响。

Bytebase 作为一款面向研发组织的数据库变更管理工具，在赋能研发团队提升变更效率的同时，在流程中集成了一系列数据安全管控特性。PayerMax 通过 Bytebase 落地了数据分类分级体系，并以此为基础构建了数据访问控制机制，确保了数据的访问合规性。

构建数据分类分级体系

数据分类分级能够帮助企业更高效的识别敏感数据，并为其提供相应的安全保护措施，从而满足各种合规要求。但是在以往的一些项目中，数据分类分级建设往往流于形式，究其原因是因为在建设过程中没有很好的考虑分类分级的实际应用场景。PayerMax 团队在建设初期就充分认识到这一问题，其核心目标是通过数据分类分级管理，实现对特定数据的查询、导出、变更等一系列访问权限的有效控制。

明确了应用场景，就需要构建一种易于存储和维护的分类分级方案。常见的有两种：

集中存储。通过独立的安全平台存储和管理分类分级信息，由管理员统一维护。这种方案的好处是当分类分级规则变化时易于批量更新，缺点是分类分级信息与数据源本身是割裂的，必须管理好与所有数据源的映射关系，特对于业务变化快，新增系统多的环境，管理员必须及时、准确的维护好这个系统，维护压力较大。
Schema 自包含。将分类分级信息写入目标数据库中，实现对自身分类分级信息的自包含，并由业务开发团队负责更新。优点是在任何需要使用分类分级信息的场景都可以直接从数据源读取，并且在变更源头即实现了分类分级定义，缺点是由于将维护工作下放，需要有一定的流程机制来确保变更的准确性。

另一个需要考虑的问题是对于大量已有数据的分类分级标签初始化方案，常见的也有两种：

自动识别。自动基于数据内容识别分类分级信息准确率并不太高，平均只能达到 50%，因此仍然需要人工对所有数据进行遍历验证。如果涉及全球业务，字段内容的复杂性会让识别率进一步降低。此外团队有自身的分类分级标准往往也很难被工具兼容。因此从实践来看，自动识别的价值并不大。
完全人工识别。由开发团队基于统一的标准对各自负责的业务数据进行梳理与打标。

PayerMax 在数据分类分级实践中采用了 DevSecOps 理念，安全团队制定分类分级规则并导入 Bytebase 工具中，再将其信息写入 Schema 注释，实现 Schema 对分类分级信息的自包含。全过程安全团队通过 Bytebase 对结果进行审核与把控。

控制数据的访问合规性

在一般安全管控策略下，往往采用极端的中心化强管控方式限制研发团队对于数据库的访问权，这种方案会对研发效率造成明显的影响。同样基于 DevSecOps 理念，PayerMax 通过 Bytebase 构建了两层数据访问控制体系，将安全策略融入到研发流程中，在不违反全局安全策略的前提下，由开发团队针对特定人员、特定需求，实现有限条件下的访问权限自助管控。

第一层：按项目划分数据库访问组。

在这一层级中，不同的业务组只能访问所属项目的数据库。全局管理员授予每个开发负责人对特定项目的管理权，之后由其决定自身团队中不同成员对项目内数据库的访问权限。权限分配过程中严格遵循公司制定的安全策略，所有权限变更有审计记录，并由全局管理员定期监控和审核。

第二层：数据的精细化访问控制。

在这一层级中，有全局安全管理员定制全局安全策略并强制应用到所有项目中，例如通过分类分级信息定义数据脱敏策略。

在这种安全体系下，由于业务线负责人最熟悉团队成员的需求，其作为责任人可以更高效地分配数据访问权，而无需将所有权限申请都集中到 DBA 或安全员。同时安全管理员在全局制定的策略又确保了敏感数据的访问合规性，实现了效率与安全的平衡。

每一次变更都确保分类分级信息的准确性

由于分类分级信息被包含在了数据库 Schema 中由研发团队自助维护，为了确保日常变更不破坏分类分级信息的准确性，需要通过一定的流程来保障。在 PayerMax 的变更流程中设立了安全员审批节点，通过 Bytebase 的基于风险的审批流功能，可以指定特定类型的 DDL 变更（例如修改字段、增加字段）才加入安全审批，避免过长的审批流对研发效率的影响。同时基于 Bytebase 的流水发布功能，可以确保每一次变更在测试、压测、预上线、生产等多个环境的分类分级信息一致性。

对接密码托管服务提升平台安全性

数据库的秘钥安全也受到了 PayerMax 团队的高度关注。Bytebase 提供了对接外部秘钥服务的能力，这种方式无须向任何应用程序与管理工具提供任何明文秘钥，而是将秘钥存放在专用的密码管理服务中按需调用，提供了更高的安全性。目前 Bytebase 已经支持了 Vault、AWS Secrets Manager、GCP Secret Manager 等业界主流秘钥管理解决方案，同时还支持自定义密码托管服务。