數據自主保護才是未來的“王者”

侯彬炳

數據泄露防護（DLP）技術是目前數據安全防護領域的事實標準之一，在遠程工作模式和云計算應用大量普及之前，DLP在組織數據泄露防護中發揮了巨大作用。但有研究人員認為，由于組織需要更多共享數據，企業的數據分布開始從內部環境轉向多種類型的云存儲平臺，這使得DLP的應用價值正在發生變化。

現有數據防護技術的不足

每家組織都會采用一些數據訪問控制措施來防止數據丟失和泄露。理論上講，這些措施都很簡單，只要根據請求者的角色，決定批準還是拒絕即可。但是實際上，現有的數據安全措施幾乎成了所有企業安全團隊的噩夢，因為它們應用起來非常復雜并容易出錯，幾乎沒有企業對自己的數據安全管控現狀感到滿意。

DLP技術的應用，依賴基于提前配置的規則過濾來保護數據的流動，有較高的規則、策略設置要求，因此推行DLP的決心和成本，對企業而言是不小的考驗。同時，DLP需要以數據分級分類作為應用前提。對企業用戶而言，手動或半自動化分類數據面臨無法克服的挑戰，用戶很難一致且準確地對他們擁有的全部數據進行識別發現，因此很多非活躍數據長期處于無人管理的狀況，而這些內容中大量含有敏感或受監管的數據。

防火墻、入侵檢測系統（IDS）及其他基于邊界的數據控制對于如今復雜環境下的數據保護而言同樣不夠有效，其防護手段相對單一和粗暴，主要是在邊界進行阻攔或者審計。但是目前的數據泄密，來自內部的風險急劇增加，基于邊界的防護卻很難檢測或跟蹤。

企業目前應用的各種數據安全工具相互獨立，難以統一管理，無法實現數據安全態勢分析，也難以做到管控策略的區分對待和細顆粒度管理，“一刀切”式粗暴的管理邏輯往往使得用戶感覺自己的工作受限制、受監控，因此會對配合數據安全管理工作產生抵觸情緒。

基于零信任的訪問控制策略或許能夠填補這個漏洞，一些組織也已經使用基于用戶角色的方法來限制訪問。但對訪問內容了解有限將會影響數據保護的實際效果。數據質量差、難以集成以及缺乏數據可發現性，成為企業組織在管理數據時的主要挑戰。數據安全防護需要更多的互操作性和智能化，而關系知識圖譜和機器學習等應用正在興起，有可能為行業發展帶來變化。

數據自主保護的價值

數據保護從來并非易事，隨著數據變得更龐大、多樣化和廣泛分布，保護工作會變得更具挑戰性。現有的數據保護做法顯然不夠有效。我們需要一種自主的數據訪問控制方法，利用人工智能和自然語言處理（NLP）等先進技術提供內容動態洞察，并根據語義上下文進行風險評估。這樣信息安全團隊才可以更放心地共享數據，避免疲于應付各種未知的安全問題。

Concentric.ai公司創始人Karthik Krishnan表示：網絡正在連接一切，基于大數據和上下文的檢測、分析和響應技術已經成為主流，幾乎所有的問題都可歸結于數據安全問題，具備自適應能力的數據自主防護模式將會成為未來的主要方向。

Krishnan認為，數據自主保護的核心是在數據生產和運營體系中嵌入數據安全屬性，以解決數據應用過程中的數據安全問題，其主要特點是能夠根據應用程序和用戶操作所處的上下文中的時間、位置、數據敏感性等因素，做出精確、智能的安全決策。數據自主保護需要能夠持續監測網絡流量、應用程序活動、用戶行為、端點狀態及其他相關數據集，獲得盡可能全面的上下文信息，并依據獲取的數據分析結果采取管控行動，而不是依賴死板的規則阻斷。

新興的零信任安全框架有望幫助企業實現數據自主保護，但前提是要有一種完善的數據安全解決方案提供支撐。向基于目的的訪問控制演進，有望解決今天的數據安全面臨問題，并且足夠靈活。實現基于目的的數據安全控制，需要非常復雜和強大的數據和風險洞察能力支撐。目前的數據分級分類框架太過簡單，還只是將數據分成有限的幾大類，無法提供基于上下文動態觀察的功能。

數據自主保護需要使用NLP來識別和闡明要保護的數據內容及其含義。傳統方法使用預定義的規則將數據分為幾大類。相比之下，基于人工智能的系統會基于數據本身生成寶貴的信息，并在需要和需求發生變化時創建新的類別。而NLP自主操作具有的價值非常關鍵，自動化是具有前瞻性、主動性思維的數據安全方法必備要素。

在數據自主保護模式中，任何解決方案（包括基于人工智能的解決方案）必須全面集成。它必須能夠連接到每個系統和數據存儲位置，包括原有的舊系統、云存儲和共享驅動器等。它還必須支持結構化數據和非結構化數據，比如PDF、文檔和電子表格。這種方法可以向基于目的的控制不斷演進，支持全面的數據訪問治理。