数据安全治理解决方案供应商-昂楷科技

关于昂楷
 
技术分享 | 如何将数据资源变身数据资产?
发布时间:2021.10.29  /  作者:昂楷科技

什么是数据资产梳理?

数据资产梳理是通过扫描嗅探、流量及日志分析技术,协助用户摸清敏感数据分布、理顺敏感数据使用情况,并辅助进行敏感数据分类分级。



01

为什么需要数据资产梳理?



通过对数据资产的梳理,可以确定敏感数据在系统内部的分布、确定敏感数据是如何被访问的、确定当前的账号和授权的状况。根据数据资产的数据价值和特征,梳理出本单位的核心数据资产,对其分级分类。

在此基础之上,针对数据的安全管理才能确定更加精细的措施。数据资产梳理有效地解决企业对资产安全状况摸底及资产管理工作。改善以往传统方式下企业资产管理和梳理的工作模式,提高工作效率,保证了资产梳理工作质量。合规合理的梳理方案,能做到对风险预估和异常行为评测,很大程度上避免了核心数据遭破坏或泄露的安全事件。


▶数据资产可视化:通过数据资产的自动发现梳理,协助用户完成数据资产的统计、资产的可视化。

▶数据资产价值评估:通过自动识别敏感数据、核心数据协助用户识别出高价值数据,完成数据资产的价值评估。

▶数据资产风险发现:通过数据资产访问权限的梳理、漏洞检测,助力用户完成数据资产的风险漏洞。




02

需要什么样的资产梳理产品?



数据资产梳理产品形态诉求,主要在于场景高度适配和功能的基本实现。除了完成当前的数据安全治理基础工作(数据分布明细,数据分类分级,数据管理风险),结合建设情况和安全管控的需要,设定以下目标:

1) 通过自动侦听和业务登记来管理数据明细;

2) 实现数据流向的图形化展示;

3) 通过重要指标的可视化分析进行数据明细的管控(标识率、归属率);

4) 通过自动发现数据源信息维护数据资产的访问信息及流向。




03

数据资产梳理的流程步骤有哪些?



发现敏感数据、评估价值后分类分级、分析访问漏洞这些工作是怎么完成的呢?


1.数据分布自动找寻:通过扫描网络流量协议信息,自动识别出存储数据的资产信息的分布,敏感数据的分布,协助用户理顺自身拥有的数据资产信息。可以实现静态梳理和动态梳理两张模式。


63c7776ae319fb1472bebad61e41dccf.png

自动嗅探技术:自动搜索网内数据库的功能,也可以指定IP段和端口的范围进行搜索。自动发现数据库的基本信息包括:端口号、数据库类型、数据库实例名、数据库服务器IP地址等

结果统计分析:发现的数据库分布按照类型、IP段、组织等统计分析,支持自动发现和静态任务发现数据库趋势统计分析。


2.敏感数据快速发现:通过敏感数据自动发现能力,对数据库中的字段信息进行扫描,发现个人敏感数据、企业敏感数据的分布和存储并统计敏感数据数量。


74e56ca3af328f59b7dc0817baf213bd.png



▶敏感数据识别:系统具有内置敏感数据特征库,能对姓名、地址、电话、身份证、统一信用代码、银行卡号、日期、email等敏感信息自动识别。

▶结果统计分析:发现的敏感数据分布按照发现规则统计分析,如全部数据库敏感表/敏感字段分布TOP、单库敏感字段TOP统计等。


3.分级分类辅助建设:结合人工对敏感数据进行分类和等级划分,便于用户根据等级定义(如敏感、重要、一般)对数据资产进行分类管理,分级防护。


b20dc202c0dc5e5fd787fe34600673bd.png


▶分类分级能力:手工导入或创建数据分级分类结构与数据库进行关联,利用丰富灵活的高效算法,对发现的敏感数据进行分级分类。

▶统计结果分析:各行业的业务数据特性,提供行业数据分类分级模板,便于使用。


4.数据环境风险梳理:自动扫描数据库资产环境中的安全隐患,包括数据库漏洞、弱口令等,同时完成对访问数据库的账号权限进行梳理。

7ea98674e7a4eaeae79893ef7cc8895b.png



▶梳理数据库中不同用户的启用状态、权限划分、角色归属等信息,对包含了敏感列的表或者敏感度评分较高的对象,重点梳理其访问权限划分情况。

▶统计结果分析:漏洞隐患一目了然;访问账号和访问权限对应匹配,超权限账号统计。




04

数据资产梳理最佳实践



对数据资产进行体全面盘点、构建企业级的数据资产目录成为了数据资产管理的一项基础性工作,在建设数据资产目录时,一定要考虑清楚如下几个方面的内容,谋定而后动,才能完成高质量、高可用的数据资产梳理:



1.理解什么是数据资产才能理解数据梳理的重要性?——数据资产(Data Asset)是指由企业拥有或者控制的,能够为企业带来未来经济利益的,以物理或电子的方式记录的数据资源,如文件资料、电子数据等。


数据资产最重要的三个性质:可控的、有价值的需要甄别的企业对数据资产在组织业务运营中的价值缺乏清晰的理解与定位,导致最终“为了盘点而盘点”的状态,花费大量精力梳理的数据资产目录无法对业务实现有效支撑,事倍功半!如何制定符合企业实际业务需要的数据资产划分标准,进一步筛选出企业自身的数据资产。



2.识别企业自身的数据资产的方法:首先,数据是业务活动在数字世界的投影,其本质作用是记录业务对象及其活动过程。整体上可划分为两大类:基础业务数据、洞察分析数据。其次,从数据价值衡量的维度来看,可从以下几个方面来分析:业务权重、决策权重、使用频度、分布范围、技术承载与可控性。



3.数据资产目录的价值有哪些?缺少数据资产目录管理工作的支撑,是否碰到以下困境:


🔹组织内有多个数据源,数据使用者没有适当的流程进行请求与获取目标数据,只能依靠人工经验指引;

🔹数据使用者无法理解数据,更不知该如何使用数据;

🔹数据多处存储,数据量冗余增长,维护成本越来越高。


企业在识别出自身数据资产的基础上,进一步构建数据资产目录,能够帮助用户更好的理解、使用以及分析数据。企业通过发现、描述和组织数据资产,形成一套企业数据资产的清单目录,提供一套上下文背景信息,为数据分析师、数据架构师、数据管理专员和其他数据用户,根据业务价值目标更好的查找和理解相关的数据资产。


4.建设数据资产目录策略:对于数据目录的管理模式、评价模式、认责机制等,都需要业务部门的业务专家、数据专家深度参与其中,持续养护数据、完善数据定义、提升数据质量、分享数据成果,而数据文化与管理机制的建立和运行,并非一朝一夕、一蹴而就。


🔹明确驱动力、优先选择业务价值高的应用场景,建设成果落地有效

🔹配套建设数据资产目录管理所需的组织职责、工作机制及数据文化氛围,技术与管理并重。



返回
上一篇:
下一篇:
推荐新闻
即刻免费体验昂楷安全防护
服务通道