数据治理：全面保护数据的五个贴士

您的数据是一项战略性资产。贵公司想成为受益者，就需要围绕结构、访问和生命周期严格控制数据。然而，大多数安全负责人对数据安全存有疑虑——近70%的首席信息安全官 （CISO）预计其数据会在勒索软件攻击中遭到破坏。问题的一方面出在传统数据管理解决方案上，这类解决方案往往过于复杂，采用多个相互脱节的重复流程，缺乏有机集成。这种拼凑的方法会暴露基础设施的漏洞，攻击者可能趁虚而入。

相比之下，主动式数据治理提供了一种整体方法，可以节省资源，并简化数据资产的保护。这种集成的数据治理方法是零信任安全性的重要组成部分，横跨数据的整个生命周期。它还通过缩小破坏范围和防止攻击者在贵企业网络中横向移动，降低数据泄露造成的成本。Microsoft Purview（https://azure.microsoft.com/services/purview/）提供了全面的数据治理解决方案，旨在帮助管理贵企业的本地、多云和软件即服务（SaaS）数据。为了帮助您从数据获取更多的价值，我们列出了五个技巧。

1. 为所有数据资产创建数据图

在保护数据之前，您需要知道数据存储在何处、谁有权访问。这意味着需要全面描述整个数字环境中的所有数据资产，包括数据分类、访问方式以及拥有者。理想情况下，您应该拥有一项全面托管的数据扫描和分类服务，该服务可以为每个资产处理数据自动发现、敏感数据分类以及映射端到端数据沿袭等任务。您还应该使用熟悉的业务和技术搜索术语对数据进行标记，从而使数据易于发现。

存储是任何数据图的重要组成部分，应包括技术、业务、操作和语义元数据。这包括数据模式、数据类型、列和其他可以通过自动数据扫描快速发现的信息。业务元数据应包括描述和术语等内容的自动标记。语义元数据包括数据源或分类映射，而操作元数据可能包括数据流活动，比如运行状态和运行时间。

2. 建立决策和问责框架

一旦您知道了所有数据的位置，就需要记录每个资产的角色和职责。先回答这七个基本问题：

• 我们的数据是如何被访问和使用的？

• 谁对我们的数据负责？

• 业务或监管要求发生变化后，我们将如何应对？

• 因角色变更或员工离职而撤销访问权限的流程是什么？

• 我们是否实施了监控和报告机制来跟踪数据访问？

• 我们如何处理生命周期管理？

• 我们是否在实现权限管理自动化，以执行安全和合规机制？

针对第一个问题，您应该制定详细的数据访问生命周期，涵盖员工、访客、合作伙伴和供应商。在决定某人可能需要访问哪些数据时，应考虑此人的角色以及将如何使用相应数据。业务部门负责人应确定每个职位需要多大的访问权限。

根据收集到的信息，您的IT和安全合作伙伴可以为每个员工职位和合作伙伴或供应商请求创建基于角色的访问控制（RBAC）。然后，合规团队将负责监控和报告，以确保这些控制措施付诸实践。实施权限管理解决方案还可以防止权限的滥用和恶意利用，从而帮助贵组织。通过自动检测异常警报，贵组织可以减少IT工作量、节省资源并提高用户工作效率。

3. 监控访问和使用策略

接下来，您需要记录每个数据存储库的策略。确定谁可以访问数据（包括读取和写入访问）以及如何在其他应用程序中共享和使用，或者如何与外部用户共享。贵组织是否会在该存储库中存储个人身份信息（PII），比如姓名、身份证号以及家庭或IP地址？针对任何敏感数据，有必要执行零信任的最小权限或即时（JIT）访问原则。

JIT权限模型通过将攻击面减小到仅在积极使用特权的那段时间（不像常设特权的全天攻击面），加强最小特权原则。这类似正好够用的特权（JEP），即用户完成描述任务和他们需要访问的数据的请求。如果请求得到批准，为用户提供临时身份以完成任务。任务完成后，可以禁用或删除该身份。还有一种“代理和删除访问”方法，即创建常设特权帐户，将其凭据安全存储起来。然后，用户在请求使用其中一个帐户在特定时间内访问数据时必须给出理由。

贵组织可以通过维护每个提升访问权限（授予或拒绝）请求的日志来保护自己，包括何时撤销访问权限。所有组织（尤其是那些存储PII的组织）都需要能够向审计员和监管机构证明自己在执行隐私策略。消除常设特权帐户可以帮助贵组织避免审计麻烦。

4. 跟踪结构化数据和非结构化数据

过去，数据治理侧重于业务文件和电子邮件。但现在更严格的法规要求组织确保所有数据都受到保护。这包括在云应用程序、本地数据和影子IT 应用程序上共享的结构化数据和非结构化数据。结构化数据由明确定义的数据类型和确保数据易于搜索的模式组成，比如Microsoft Office或Google Docs。非结构化数据可能包括其他任何内容，比如音频文件、视频，甚至社交媒体帖子。

那么，您是否应该让资产所有者个体在如此庞大的数据环境中实施各自的数据保护？微软的一些客户积极采用的另一种方法是，开发一种矩阵式数据治理方法：安全和合规专家可以帮助数据所有者满足保护其数据的要求。在这种情况下，“通用数据矩阵”用于跟踪数据域在贵组织中的交互方式。这可以帮助记录贵组织的哪些方面可以创建数据，而不是读取、访问或删除数据资产。您的数据矩阵应该可以识别数据的来源，包括所使用的任何影子IT系统。确保捕获任何包含敏感或机密数据的域和子域，并遵守政府法规。此外，记录每个业务部门的角色和职责使每个人都可以了解谁将特定数据用于特定工作，以及谁将数据添加到系统中、谁来负责。

5. 删除不再需要的数据

“暗数据”是指组织花钱存储，但在制定决策时未得到充分利用的数据，这类数据正以每年62%的速度增加。鉴于大多数IT团队已不堪重负，要求它们守护庞大的数据湖并不是确保安全的秘诀。那么，您如何知道一些数据何时对贵组织不再有用？

有时保护数据最简单的方法是删除数据。根据零信任的“假设违规”原则，数据越少意味着风险越小。知识产权（IP）失窃可能带来财务风险，而客户PII失窃可能对您的品牌造成长期的灾难性后果。隐私法要求企业保留PII仅用于最初目的。然而，手动跟踪哪些文件可以删除几乎是不可能的。更好的方法是实施持续控制机制使PII自动过期，或设置自动提醒机制以查看敏感数据，确定是否仍需要这些数据。

了解数据的生命周期可以在数据不再需要时更轻松地删除数据。具有智能机器学习功能的集成数据治理解决方案可以为您完成这项工作，创建内容时对内容进行分类，并自动采用适当的弃用策略。或者使用多阶段保留策略，在保留期结束时自动打上新标签。

主动、全面的数据治理是数据保护不可或缺的一部分，横跨整个生命周期，并通过确保您的数据可发现、准确和安全，帮助改善业务成果。