什么是面向安全的数据管理？

数据管理对于安全至关重要，因为它为组织提供了一种一致的方式来识别敏感数据、保护敏感数据、控制对数据的访问以及监视其使用方式。建立这一基础后，安全团队可以降低各种复杂环境中的风险，包括云服务、本地系统、SaaS 应用、终结点和 AI 工具。

通过简化敏感数据的查找、分类、保护和跟踪，强大的数据管理可帮助安全团队降低数据泄露、网络攻击和内部威胁的风险。它还通过应用明确的访问控制和策略强制实施来减少意外暴露，因此进一步降低了过度共享数据或在已批准边界外处理数据的可能性。

随着组织采用更多的云服务、SaaS 平台和 AI 应用，治理为这些环境中的保护和合规性做法提供了通用的结构。这种一致性有助于团队管理数据风险，而无需依赖每个系统或工作流的不同规则。

面向安全团队的关键优势

定义完善的治理计划可帮助组织：

• 通过识别、保护和监视敏感数据来减少泄露和内部风险。
• 通过强大的访问控制和策略强制事实来防止意外公开和过度共享。
• 童工跨环境应用标准化保护和合规性做法来支持云、SaaS 和 AI 采用。
• 通过将数据处理与法律、法规和行业要求保持一致，增强合规性和审核准备情况。
• 通过简化调查期间对数据访问和使用的跟踪来改进事件响应。
• 建立对业务和 AI 数据的信任，以便团队能够更自信地做出决策。
• 通过更加自动化和标准化的控制提高操作效率。

如果不进行明确的治理，安全团队通常会投入更多时间来尝试查找敏感数据、确认谁有权访问，以及梳理信息跨系统移动的方式。实施治理后，团队可以依赖更强大的基础实施保护、调查、合规性评审和日常决策制定。

以安全为导向的新式数据治理计划需要两个条件：

• 有关如何开展治理工作的明确生命周期。
• 指导日常决策的一组核心重点领域。

这些元素共同帮助组织识别、分类、保护和监视整个企业中的敏感数据。

务实的框架始于可重复的生命周期。每个阶段均以前一个阶段为基础，这就为安全运营 (SecOps) 团队提供了一种随时间推移管理数据风险的结构化方法。

1. 定义策略和标准

借助从源头内置的安全性和合规性要求，设置对敏感数据进行分类、访问、共享、保留和保护的规则。

2. 实现安全和治理控制

通过跨系统和工作流的技术控制、访问限制、标签和策略强制实施将这些规则付诸实践。

3. 监视数据使用情况和风险

跟踪敏感数据的移动路径、使用方式，以及风险活动或策略偏移可能出现的位置。

4. 调查和修正事件

查看问题、跟踪活动、遏制风险，以及弥补访问、处理或监督方面的差距。

5. 迭代和改进

随着威胁、业务需求、技术和法规的变化，优化策略、控制和流程。

数据治理成熟度可帮助组织通过安全视角评估其当前计划，涵盖从临时被动式控制到更主动的安全框架的广泛范围。它为团队提供了一种切实可行的方法，以了解当前目前所处的位置以及接下来需要改进的工作。

成熟度评审应仔细审核对数据风险和监督影响最大的领域。这包括组织发现敏感数据、应用访问控制、响应事件以及随时间推移建议合规性的水平。

要询问的问题包括：

• 是否跨环境对敏感数据进行一致的分类？
• 是否明确应用和强制实施访问策略，同时考虑到最低权限？
• 团队能否持续监视风险数据行为和新兴威胁？
• 审核和事件响应过程是否常态化、可跟踪和及时？

随着程序逐步成熟，以安全为中心的目标应变得更加一致且更易于衡量。常见目标包括：

• 跨所有环境对敏感数据进行一致分类，以便以相同的方式处理相同类型的信息
• 自动强制实施最低权限和访问策略，以减少不必要的访问并限制策略偏移
• 持续监视风险数据行为和威胁，以尽早发现问题

定期审核和快速、可溯源的事件响应，以支持调查、问责和合规性评审。

成熟度模型有助于确定进展的基准、确定安全投资的优先级，并以明确的方式向领导层展示改进。它还为团队提供了一个共享结构，可用于确定首先要解决的差距以及如何随时间推移对更改进行衡量。

数据治理成熟度并非一次性里程碑。随着威胁、计数和法规的更改，应持续审核与优化程序，以便安全控制和治理做法持续匹配当前风险。

数据治理、数据安全性与合规性密切相关，但它们并不相同。数据治理定义了如何在整个业务中组织、拥有和管理数据。数据安全则应用技术和流程控制来保护该数据。合规性可确保这些治理和安全做法符合法律、法规和行业要求。

数据管理可建立围绕数据的结构。它定义谁拥有数据、应如何对数据进行分类、如何处理数据以及哪些标准适用于整个组织。对于安全团队，治理提供了以一致的方式管理敏感信息的操作模型。

数据安全性通过有助于保护敏感信息免受丢失、滥用或未经授权访问的控制措施来落实这些规则。常见示例包括 DLP、信息权限管理 (IRM)、敏感度标签、数据安全状况管理 (DSPM) 和内部风险控制。这些措施有助于减少云服务、本地系统、终结点、应用和 AI 工作流之间的风险。

合规性侧重于数据做法是否满足外部和内部要求。其中包括 GDPR 和 HIPAA 等法规框架，以及公司策略和审核预期。在实践中，合规性同时取决于合理的治理和强大的安全控制。

这三个方面在相互一致的情况下会产生最佳效果：

• 治理定义应如何组织、拥有和管理数据。
• 安全性应用控制措施在日常使用中保护数据。
• 合规性检查这些控制措施和流程是否符合所需标准。

Microsoft Purview 在单个平台上提供跨这些规则的统一方法，其功能涵盖 AI 时代的保护、治理和合规性需求。

安全团队使用数据治理工具查找敏感数据、对其进行分类、控制访问，以及监视云服务、本地系统、SaaS 应用、终结点和 AI 工具中的风险。这些技术可帮助组织在广泛且往往碎片化的数据环境中应用一致的保护。

强大的数据治理工具集应支持几个关键功能：

统一的数据发现和分类。跨云、本地、SaaS 和 AI 环境查找敏感数据，然后根据敏感度和业务影响对其进行分类。

敏感度标签和策略强制实施。对如何访问、共享、存储和使用数据应用明确的规则。

数据丢失防护 (DLP)。检测并阻止跨电子邮件、终结点、浏览器和云应用的风险数据移动。

内部风险管理。标识可能导致敏感数据面临风险的用户行为，无论是误用、过失还是违反策略。

数据安全状况管理 (DSPM)。持续评估数据风险、审核控制差距，并跟踪与 AI 使用、过度共享和公开敏感内容相关的问题。

数据目录和业务术语表。通过为团队提供描述、组织和在整个企业中查找数据的共享方法来支持一致性。

自动化和 AI 可以通过协助开展以下工作来减少手动工作量：

• 敏感数据分类
• 检测风险活动
• 策略建议和控制更新
• 持续审查数据暴露和访问模式

这些功能还通过帮助团队监视敏感数据在 AI 支持的工作流中的使用方式来支持 AI 数据安全。通过此方式，安全团队可减少用于手动评审的时间，而将更多时间投入到改进保护和应对风险方面。

如果没有合适的工具，则会难以跟踪敏感数据的驻留位置、标记方式、有权访问它的人员，以及它在系统间的移动方式。借助更强大的治理工具集，安全团队可以应用更一致的控制，更快地响应问题，并在现代数据环境中保持更好的监督。

当安全、数据和合规性团队共同承担处理敏感信息的责任时，强大的数据治理计划将会产生最佳效果。明确的所有权、务实的策略和定期审查可帮助组织降低风险，同时与技术、业务需求和法规的变化保持同步。

数据管理不应局限于一个团队。安全领导者、数据领导者、合规性团队和执行发起人都可在确定优先级、审批策略和评审风险方面发挥作用。共享所有权有助于保持治理与业务目标和安全要求的一致。

并非所有数据都具有相同的风险级别。一个实际的起点是关注风险可能产生最大影响的领域，例如：

• HR 数据
• 客户数据
• 财务数据
• 知识产权

从这些领域入手可帮助团队在更广泛地开展治理工作之前处理最敏感的信息。

治理策略应与核心安全原则保持一致，尤其是零信任和最低特权。这意味着对敏感数据的访问应受到限制、定期审查，并与明确的业务需求相关联。策略还应定义如何对数据进行分类、共享、保留和监视。

手动治理工作可能会很慢，因此难以大规模坚持开展。通过支持以下工作，自动化将会有所帮助：

• 数据发现
• 分类
• 策略强制执行
• 持续评审访问和使用模式

这为团队提供了更一致的方法来跨复杂环境应用控制。

应将治理作为持续的安全功能，而不是一次性设置来进行评审。持续监视可帮助团队发现风险数据行为，核查审核活动，并提前识别控制差距。有用的信号可以包括审核日志、数据安全状况见解和事件发现。

当组织采用新的云服务、AI 工具和协作平台时，应对治理策略进行评审和更新。新技术通常会改变数据创建、共享和访问方式，这意味着治理规则可能也需要更改。

强大的治理计划依赖于多种工具和策略。它还需要一种数据管理和责任文化，团队可借此了解他们在保护敏感信息和遵循已批准做法方面所发挥的作用。

成熟度模型可帮助组织衡量进展、确定弱点并设置改进工作的优先级。它们还会向领导层提供更清晰的视图，以了解治理工作在一段时间内的发展。

即使是规划良好的数据治理程序也可能会遇到障碍。最常见的问题包括孤立的数据、有限的可见性、资源约束和对更改的抵制。这些问题可能会拖慢进度、造成安全状况的差距，并增加安全团队在整个组织中应用一致保护的难度。

孤立的数据

敏感信息通常存在于不同的系统、团队和平台中。当数据分散时，以一致的方式对数据进行分类、保护和监视会变得更加困难。

缺乏可见性

许多组织难以查看敏感数据的驻留为止、谁可以访问它，以及它如何在云服务、终结点、SaaS 应用和 AI 工具之间移动。如果没有该视图，管理风险的难度将会更大。

资源约束

如果团队没有足够的时间、员工或技术支持来保持策略、分类和评审处于最新状态，治理工作可能会停滞不前。

组织抵制

治理工作通常需要改变人员存储、共享和管理信息的方式。如果团队将治理视为额外的过程而不是降低风险的组成环节，则这可能会造成摩擦。

几个重点步骤可帮助推进计划：

• 从高风险数据领域（如 HR、财务、客户或知识产权数据）入手，而不是一次性尝试管理所有内容。
• 通过确定敏感数据的存储位置及其访问方式，首先提高可见性。
• 尽可能将自动化用于发现、分类和策略强制实施，以减少手动工作量。
• 跨安全、数据和合规性团队设置明确的所有权，以便治理决策不会停滞不前。
• 随云服务、AI 工具和业务工作流的变化定期审核和更新策略。
• 使用成熟度模型跟踪进度，并在需要更多关注或投资的领域展示领导力。

目标并非一次性解决所有治理问题。稳定的方法（专注于可见性、共享所有权和可管理改进）可以提高治理的可持续性，并随时间推移对安全团队更有帮助。

以安全为中心的数据治理计划需要工具来帮助团队了解其数据、清晰地整理数据，以及在整个业务中应用一致监督。Microsoft Purview 数据治理提供了一种统一的方法来管理、理解和治理数据，其功能以可见性、编目和数据可信度为中心。

借助 Microsoft Purview 数据治理，组织可以简化不同目录和数据源的可见性，利用数据质量和世系支持数据专员，并大规模改进数据发现和理解。其治理体验包括用于扫描资产和捕获元数据的数据映射，以及用于搜索、策展和管理数据访问权限的统一目录。

对于安全和合规性团队，治理完善的数据资产可简化以下工作：

• 跨分布式环境查找敏感数据。
• 通过质量和世系信息提高对数据的信任。
• 在分析和 AI 方案中支持负责任的数据使用。
• 在更统一的数据安全、治理和合规性需求视角下工作。

详细了解如何使用 Microsoft Purview 数据治理为组织建立企业数据治理体系。