用户视角下的数据安全需求、挑战与演进

随着公共云、私有云、混合云和多云平台的加速发展与应用，企业关键和敏感数据资产的数量也在激增，随之而来的安全风险不断加剧。为进一步了解当今企业用户在数据安全方面的需求、挑战与发展趋势，数据隐私保护企业BigID日前对400多名企业安全管理人员进行了调查，调查发现：

大部分受访用户表示，目前已经开始重视对企业中非结构化数据(Unstructured data)和暗数据(dark data)的发现与管理，但是现有的技术能力难以支撑。 绝大多数受访用户不能确定是否已经对企业内部的关键/敏感数据进行了全面清点和分类管理，同时，对云上数据的安全管理比本地数据更具有挑战性。 体系化防护已经成为企业数据安全防护的主要演进趋势，良好的互操作性(Interoperability)是目前大多数企业进行安全投资规划时所考虑的关键因素之一。 近3成受访用户对其现有的数据防泄漏(DLP)工具应用效果并不满意，新一代DLP技术发展要滞后于用户对数据保护需求的增长。 实现数据安全管理需要企业内部多部门有效协同，跨部门合作对于数据资产保护意义重大。

增强对暗数据和非结构化数据的防护

暗数据常常不为企业所知，但通常却占据企业所有数据的一半以上，且多为高敏感数据，包含诸如信用卡信息、知识产权、财务数据、需要被高度监管的数据等类别。本次调查数据显示，有84%的受访者表示十分重视企业暗数据的防护管理。更重要的是大多数暗数据都是非结构化的，非结构化数据是指未以常见数据库格式结构化的数据，包括文件、文档、电子表格、文本等，非结构化数据可能会在整个数据生态系统中快速扩散。 【企业对暗数据的重视程度调查】 传统的数据管理工具通常采用基于规则的检测原理对数据进行发现和管理，且被检测的数据源覆盖范围不能过大。通过传统的检测规则如正则表达式 (RegEx)、关键字和模式匹配对非结构化数据的关键特征和敏感信息的识别难以实现，而且基于传统数据的发现和管理规则来管理非结构化数据，可能会产生很多干扰信息，导致高误报率或数据分类不准确。 据研究机构IDC预测，到2025年，全球将有163 ZB的数据，其中80%将是非结构化的。本报告在调查中也发现，超8成的受访者认为非结构化数据是最难发现和管理的数据类型。其次是半结构化(Semi-structured)数据。而企业如果想要加强对非结构化数据的发现与管理，需要通过先进的机器学习(ML)和人工智能(AI)技术来增强传统数据安全方法，以此来解决非结构化数据处理过程中的复杂性。

数据资产发现水平有待提升

本次调查发现，大部分企业缺乏对数据发现、分类和管理的综合能力。数据发现是实现数据安全防护的基础，企业必须实现对内部数据的完整发现覆盖，并对所有类型的文件类型和数据环境进行防护。调查显示，只有8%的受访者对自身发现所有敏感/关键数据的能力充满信心。 【数据发现能力满意度调查】 此外，虽然企业云化在不断加深，但很多企业在过去多年里已经建立了庞大的线下数据库，在向云上迁移的过程中，很多企业正处于“云上”+“非云”的混合环境中。对于云上、本地、混合环境的数据发现和安全实践同样重要。调查显示，当今大多数的数据发现方案都主要针对云环境，并不支持本地和混合环境，几乎所有的受访者都表示跨云发现数据与跨本地发现数据一样具有挑战性。39%的受访者认为在本地环境中发现数据具有挑战;38%的受访者认为在云环境中发现数据具有挑战;22%的受访者表示在端点设备等发现数据具有挑战。 【数据发现挑战性调查】 对数据的分类与发现数据同样重要。只有6%的受访者自信的认为可以根据数据的敏感性和重要性进行分类，当然这一调查结果在意料之中，因为通过上述内容我们知道非结构化数据因为其固有的复杂性非常难以进行分类和管理。 【企业对数据的理解和分类能力水平调查】 不同行业对于数据分类的标准就是不同的，比如医疗行业、零售行业等对不同数据的分类要求都是不同的，没有统一的标准，因此不同的企业在进行数据分类管理的时候，需要建立针对性的数据分类标签框架。

自动化技术对开展数据保护意义重大

一些企业通过“广撒网”的安全管理策略，希望通过尽可能多的安全产品或工具，以实现对所有数据资产的覆盖管理是一种“赌运气”的做法，而且十分低效。由于不能实现对所有数据资产的清点和可视化管理，他们就是在盲目地执行自认为正确的数据防护策略。调查显示，有7%的受访者非常坚信他们正在执行有效的数据防护方案，另外73%的受访者对正在实行的方案表示认可;而仅有8%的受访者对现有的数据安全能力表示怀疑或者非常不认同。 【数据防护方案认可度调查】 研究人员表示，企业安全管理人员需要对其执行数据安全策略的能力有更准确的认知和了解，这才能够保证他们有效开展所有类型(结构化、非结构化…)、所有平台上(本地、云端…)的数据防护方案，同时能够针对不同的数据采取正确的执行策略。此外，当防护策略执行后，安全人员还要对防护效果进行验证和评估。 在安全事件发生后，迅速地采取有效的补救措施来降低影响和损失，也是实现数据安全防护的重要因素，但遗憾的是，本次调查发现，50%以上的受访者对其企业的数据修复能力并不满意。 【企业修复数据能力满意度调查】 数据修复要从查找数据开始，进而创建当前现有的和完整的数据资产清单，接下来无论要对数据进行最小化、隔离、删除、屏蔽或采取其他措施都需要具备对数据的可视化管理能力。 受访者表示，要想保证数据修复工作的高效简便，就需要将修复工作准确地分配给合适的人员，但不幸的是，现阶段大多数企业内部都是将传统的数据管理和安全单点工具“堆积”起来，这些拼凑起来的工具很“脆弱”，相互之间缺乏关联性，并没有对整个企业环境形成覆盖，且容易出现故障，不支持对海量数据的拓展和修复。 目前应用的数据安全工具大多缺乏人工智能和机器学习能力，自动化能力对提升安全团队准确性，减少无误具有重要意义。调查显示：54%的受访者对企业数据管理工具的自动化能力水平不满意。他们表示数据防泄漏(DLP)等传统工具均需要手动部署、配置、调整和维护，这使得效率低下并增加了人为错误的风险。 【企业数据安全防护自动化方案满意度调查】 数据防泄漏(DLP)是业界应对敏感或关键数据挑战的有效方法。但是，本次调查发现，与多数传统安全解决方案一样，数据防泄漏技术的发展速度无法跟上当今环境的发展步伐，更不用说与未来的数据应用环境保持同步了。有22%受访者表示对其目前使用的数据防泄漏工具不满意，认为其无法充分满足企业的数据防护需求。 【数据防泄漏工具满意度调查】 传统的数据防泄漏工具主要通过安全控制点来保护本地环境，且大多数基于策略匹配模式，这限制了对非结构化数据分类发现的能力。虽然现阶段数据防泄漏工具在安全防护方案中仍不可或缺，但却无法对企业提供完整的安全防护，因此企业需要采取一些新型的防护手段(如上述提及的自动化技术)来对传统的DLP进行补充和提升，进而满足新场景下企业对数据泄漏防护的需求。 企业需要基于自动化技术的灵活数据修复方案，安全团队需要根据自动化编排方案对团队人员进行合理的工作分配。自动化技术对于企业数据安全管理意义重大。

数据安全与隐私保护不可分割

调查发现，80%的受访者认为，企业团队之间共享完整的数据资产清单对安全防护策略的制定至关重要。很多时候，数据安全和隐私保护在很大程度上被视为两种不同类型的工作，负责数据安全的团队和负责数据隐私的团队都有一套独立的工作流程或工具。但现如今，数据安全团队需要对所有数据进行保护控制，而数据隐私则要重点关注与这些数据有关的个人或消费者权利，协同合作才是达成共赢的有效方法。 【数据共享认同度调查】 随着安全和隐私团队的需求开始融合，企业必须通过一套双方都可以依赖的共享工具和流程来支持这种协作关系，为两个团队提供敏感数据资产发现和修复相关的信息，以满足隐私和安全计划，这种共享可以解决多方的需求，同时为企业节省了时间和资金。 在对受访者的未来安全防护重点方向的调查中，大多数受访者都认为，系统化、可联动的数据安全整体解决方案才能实现更好的防护效果，因此会将安全产品的互操作性(Interoperability)作为安全投资规划时的重要考虑因素。有92%的受访者认为在采购安全产品时，其互操作性会是关键选型因素之一。 【互操作性关注度调查】 在考虑未来的安全产品供应商时，多数大型企业组织更愿意不断增强现有的数据安全能力而非直接替换或重建。增强现有工具可以尽可能避免直接进行工具替换可能导致的IT中断问题。同时对于新技术的引入，企业表示更希望安全厂商可以提供通过API主导的无缝集成方案，且能够尽可能丰富和增强现有的安全能力，进而让用户自身能从现有的投资中获取更多价值。

参考资料

​​https://5214163.fs1.hubspotusercontent-na1.net/hubfs/5214163/Whitepapers%20and%20Data%20Sheets/2022-BigID-Report-Security-Survey.pdf。​​