数据安全：数据访问治理完整指南

​想象一下，一位同事登录公司的 HR 门户查看他的福利并可以看到其他人的薪水！！什么？不用担心，这不会发生，因为这些应用程序是利用多年业务流程的专业知识构建的。这些过程决定了谁可以看到和编辑那里的数据。        突然间，这些数据被带入数据湖或数据仓库。如何在这里设置数据访问治理是一个巨大的挑战。

组织必须保护数据以防止不良事件发生，并仍可用于做出明智的决策。及时向正确的人提供对正确数据的访问权限的机制称为数据访问治理。

什么是数据访问治理？

用户可以通过多种渠道访问数据。可以通过应用程序的 UI、直接从数据库或数据仓库访问，或者在某些情况下，可以在数据仍在传输中时访问。数据访问治理使用户能够控制、保护和审计数据的使用，以维护和确保隐私，还保护组织的专有信息和知识产权。

随着组织努力增加分析，以他们可以使用的格式向各种项目团队、高管和分析师提供数据至关重要。但是，授予此访问权限时会出现许多常见挑战，以及数据无法免费获得的复杂原因。

数据平台之前的数据访问挑战

孤立的数据

在一个组织中，数据通常存在于各种不同的系统中，用于不同的目的。例如，一个组织可以针对不同的用例使用多个销售管理系统，如 SalesForce、SalesLoft 等。当任何人需要数据时，他们不确定哪个应用程序可能拥有什么数据，通常被称为数据孤岛。如果用户不知道要在其中找到数据的应用程序，这些孤岛使他们很难找到需要的数据。通常，访问应用程序或仓库中的信息需要数周甚至数月的时间，延误使项目陷入停顿并减缓创新。

数据量和技术限制

有时，应用程序只能显示一定量的数据。因此，在与应用程序交互时，用户界面可能会限制数据集的视图。例如，一个应用程序可能显示数百个数据集，但特定项目的聚合数据可能达到数百万甚至数十亿个数据集。

要解决这些限制，用户必须咨询数据库管理员。通常，数据库管理员必须在授予访问权限之前对所有机密数据进行模糊处理，但如果没有适当的自动化过程，这个过程非常耗费人力。

权力斗争

数据的力量非常强大，但要保持数据的干净和有条理，需要付出大量的努力，需要谨慎和周全考虑。因此，一些应用程序所有者不愿将其优化的数据交给其他团队，就不足为奇了。

对数据访问的权力斗争可能会给组织带来巨大的问题，因为在这种情况下，不会提供有关数据的支持文档和信息。这一挑战提醒我们，培养协作文化与鼓励数据访问实践同样重要。

数据平台的兴起

为了克服孤立的数据和技术挑战，组织开始创建数据平台，通常是数据湖或数据仓库。要填充数据湖，需要使用大数据技术从各种应用程序中移动所有数据。相反，只需将特定用例的选定关键数据移动到数据仓库中。随着组织创建数据仓库和湖泊，出现了各种访问挑战。

数据平台之后的数据访问管理挑战

复杂的访问权限管理

组织可以使用数据湖或各种类似的平台来聚合精选数据，以克服孤立的数据和技术限制。但是，将所有应用程序的所有权限转移到数据湖中并不容易。

基于角色的权限是为每个应用程序设计的，通常在使用后经过多年的迭代。从本质上讲，在数据湖或仓库中组合所有内容的实用性极具挑战性。

隐私合规和监管监督

组织必须遵守隐私合规法规和信息安全实践，以使用户能够识别风险领域并实施额外的措施来保护机密数据。组织外的许多监管机构都针对个人数据实施法律，对违规行为处以巨额罚款。这些法律要求保护数据，这也是无法普遍访问 PII 数据的原因之一。 

数据可发现性挑战

由于现代数据平台托管来自多个来源的大量数据，因此很难找到正确的数据源。

为什么传统技术不足以在现代保护数据？

传统上，用户通过应用程序或自助服务门户访问数据。应用程序通常具有明确定义的策略，但对于自助服务，数据是手动管理的并移动到数据仓库或数据湖。之后，数据被划分为各种角色，并由 OKTA 和 Active Directory 等角色管理工具进行管理。

形成的组识别具有共同访问要求的个人，以支持他们在组织中的角色的执行。通过进入组访问数据，当被分配到组时，访问会批量打开。此方法未涵盖的任何内容都将用于临时工作流。

但是，临时访问通常没有得到很好的管理。无权访问的用户不知道该向谁请求什么。通常，IT有一个表单，用户可以在其中请求访问他们通过电子邮件或通过单个应用程序搜索发现的数据集。用户使用此表单编写整个区域的访问请求，或与另一个人的访问权限相同的访问请求。

现代数据访问治理

通过数据治理制定的策略进行自动化数据访问管理的新兴趋势。数据访问管理的现代方法使组织能够通过完整的方法解决最持久的数据访问管理挑战。

现代数据访问扩展了传统方法，以实现自动化、可发现性和简化的临时工作流程。这个过程是这样工作的。需要构建一个数据目录，将数据分类为不同的组，根据分类设计访问策略，并针对驻留在分类参数之外的请求使用临时工作流。通过在数据层自动应用的策略来管理访问。

在数据目录中集中元数据

第一步是创建一个集中的数据资产目录。使用数据资产发现攻击可以轻松实现数据目录，利用元数据来轻松发现，而不会暴露实际数据。用户可以从许多有利位置搜索和了解生态系统中的数据，并在需要时请求访问，这将路由到分配的工作流程以实现快速周转，简单、自动化且可扩展。

数据分类的最佳实践

下一步是对可能具有挑战性的数据进行分类。首先，有许多不同的应用程序需要考虑，并且在这些应用程序中有许多复杂的过程和策略。

其次，分类需要支持解决许多痛点的综合访问策略。不仅必须浏览各种单独的应用程序，还需要解决合规性、安全性和其他问题。

为了使组织能够实现这一点，可以探索数据分类的最佳实践。第一步是水平划分数据。

此步骤相对容易，因为横向分类基于各种业务功能，例如销售、人力资源、营销和财务。如果还没有一套命名约定，那么开发一个非常简单。

下一步是对数据进行垂直分类。这部分更具挑战性。垂直分类旨在将数据划分为各种分类类别，包括所有权、未分类数据、PII、机密、超级机密和公共。

由于要定义的数据太多，AI 用于根据现有的水平分类和预定义的属性提供垂直分类。

每个分类都应该有一个确定的访问所有者，并且该位置应该适合该分类。所有者负责设置访问策略的参数。

根据分类配置和执行策略

基于分类的访问策略可以在基于强大访问策略框架中的分类组的数据治理委员会会议中制定。很可能还需要工具来在数据仓库或数据湖中配置此策略框架。

策略将侧重于角色及其提供的特定权限。例如，销售代表可能仅有权访问未分类数据的元数据，但可以完全访问分类 PII 的数据。可以为组织中的不同角色编写尽可能多的策略。

跟踪访问策略的一种方法是制作一个访问矩阵，显示哪些角色可以与哪些分类进行交互。访问矩阵显示组织的访问策略，并增加了谁可以访问哪些数据的透明度。来自营销部门的账单可以访问标记为“营销一般受众”、“营销有限”、“销售一般受众”以及矩阵指示的任何其他分类的数据。

通过数据资产测绘工具，可以减少检索数据所需时间和工作量。

用于连续分类的临时工作流

每天都会创建新的文件和表格，为组织带来更多未分类的数据。由于这个量，需要一个临时工作流来识别这些新表、文件和报告，以发送给适当的人以确认分类。

结论

每个组织都是不同的，在访问治理中处于不同的位置，具有独特的处理、策略和程序。国外，其实也一直在做分类分级，只是他们的横向分类与我们说的分类保持一致，而纵向分类则为我们的分级。根据业务形成分类，根据安全级别要求形成分级，只不过他们把这点通过纵向横向分类来表述了，此前在读这块内容时还是粗心了。​