什么是数据资产梳理?
数据资产梳理是通过扫描嗅探、流量及日志分析技术,协助用户摸清敏感数据分布、理顺敏感数据使用情况,并辅助进行敏感数据分类分级。
通过对数据资产的梳理,可以确定敏感数据在系统内部的分布、确定敏感数据是如何被访问的、确定当前的账号和授权的状况。根据数据资产的数据价值和特征,梳理出本单位的核心数据资产,对其分级分类。
在此基础之上,针对数据的安全管理才能确定更加精细的措施。数据资产梳理有效地解决企业对资产安全状况摸底及资产管理工作。改善以往传统方式下企业资产管理和梳理的工作模式,提高工作效率,保证了资产梳理工作质量。合规合理的梳理方案,能做到对风险预估和异常行为评测,很大程度上避免了核心数据遭破坏或泄露的安全事件。
▶数据资产可视化:通过数据资产的自动发现梳理,协助用户完成数据资产的统计、资产的可视化。
▶数据资产价值评估:通过自动识别敏感数据、核心数据协助用户识别出高价值数据,完成数据资产的价值评估。
▶数据资产风险发现:通过数据资产访问权限的梳理、漏洞检测,助力用户完成数据资产的风险漏洞。
数据资产梳理产品形态诉求,主要在于场景高度适配和功能的基本实现。除了完成当前的数据安全治理基础工作(数据分布明细,数据分类分级,数据管理风险),结合建设情况和安全管控的需要,设定以下目标:
1) 通过自动侦听和业务登记来管理数据明细;
2) 实现数据流向的图形化展示;
3) 通过重要指标的可视化分析进行数据明细的管控(标识率、归属率);
4) 通过自动发现数据源信息维护数据资产的访问信息及流向。
发现敏感数据、评估价值后分类分级、分析访问漏洞这些工作是怎么完成的呢?
1.数据分布自动找寻:通过扫描网络流量协议信息,自动识别出存储数据的资产信息的分布,敏感数据的分布,协助用户理顺自身拥有的数据资产信息。可以实现静态梳理和动态梳理两张模式。
▶自动嗅探技术:自动搜索网内数据库的功能,也可以指定IP段和端口的范围进行搜索。自动发现数据库的基本信息包括:端口号、数据库类型、数据库实例名、数据库服务器IP地址等
▶结果统计分析:发现的数据库分布按照类型、IP段、组织等统计分析,支持自动发现和静态任务发现数据库趋势统计分析。
2.敏感数据快速发现:通过敏感数据自动发现能力,对数据库中的字段信息进行扫描,发现个人敏感数据、企业敏感数据的分布和存储并统计敏感数据数量。
▶敏感数据识别:系统具有内置敏感数据特征库,能对姓名、地址、电话、身份证、统一信用代码、银行卡号、日期、email等敏感信息自动识别。
▶结果统计分析:发现的敏感数据分布按照发现规则统计分析,如全部数据库敏感表/敏感字段分布TOP、单库敏感字段TOP统计等。
3.分级分类辅助建设:结合人工对敏感数据进行分类和等级划分,便于用户根据等级定义(如敏感、重要、一般)对数据资产进行分类管理,分级防护。
▶分类分级能力:手工导入或创建数据分级分类结构与数据库进行关联,利用丰富灵活的高效算法,对发现的敏感数据进行分级分类。
▶统计结果分析:各行业的业务数据特性,提供行业数据分类分级模板,便于使用。
4.数据环境风险梳理:自动扫描数据库资产环境中的安全隐患,包括数据库漏洞、弱口令等,同时完成对访问数据库的账号权限进行梳理。
▶梳理数据库中不同用户的启用状态、权限划分、角色归属等信息,对包含了敏感列的表或者敏感度评分较高的对象,重点梳理其访问权限划分情况。
▶统计结果分析:漏洞隐患一目了然;访问账号和访问权限对应匹配,超权限账号统计。
对数据资产进行体全面盘点、构建企业级的数据资产目录成为了数据资产管理的一项基础性工作,在建设数据资产目录时,一定要考虑清楚如下几个方面的内容,谋定而后动,才能完成高质量、高可用的数据资产梳理:
1.理解什么是数据资产才能理解数据梳理的重要性?——数据资产(Data Asset)是指由企业拥有或者控制的,能够为企业带来未来经济利益的,以物理或电子的方式记录的数据资源,如文件资料、电子数据等。
数据资产最重要的三个性质:可控的、有价值的、需要甄别的。企业对数据资产在组织业务运营中的价值缺乏清晰的理解与定位,导致最终“为了盘点而盘点”的状态,花费大量精力梳理的数据资产目录无法对业务实现有效支撑,事倍功半!如何制定符合企业实际业务需要的数据资产划分标准,进一步筛选出企业自身的数据资产。
2.识别企业自身的数据资产的方法:首先,数据是业务活动在数字世界的投影,其本质作用是记录业务对象及其活动过程。整体上可划分为两大类:基础业务数据、洞察分析数据。其次,从数据价值衡量的维度来看,可从以下几个方面来分析:业务权重、决策权重、使用频度、分布范围、技术承载与可控性。
3.数据资产目录的价值有哪些?缺少数据资产目录管理工作的支撑,是否碰到以下困境:
🔹组织内有多个数据源,数据使用者没有适当的流程进行请求与获取目标数据,只能依靠人工经验指引;
🔹数据使用者无法理解数据,更不知该如何使用数据;
🔹数据多处存储,数据量冗余增长,维护成本越来越高。
企业在识别出自身数据资产的基础上,进一步构建数据资产目录,能够帮助用户更好的理解、使用以及分析数据。企业通过发现、描述和组织数据资产,形成一套企业数据资产的清单目录,提供一套上下文背景信息,为数据分析师、数据架构师、数据管理专员和其他数据用户,根据业务价值目标更好的查找和理解相关的数据资产。
4.建设数据资产目录策略:对于数据目录的管理模式、评价模式、认责机制等,都需要业务部门的业务专家、数据专家深度参与其中,持续养护数据、完善数据定义、提升数据质量、分享数据成果,而数据文化与管理机制的建立和运行,并非一朝一夕、一蹴而就。
🔹明确驱动力、优先选择业务价值高的应用场景,建设成果落地有效
🔹配套建设数据资产目录管理所需的组织职责、工作机制及数据文化氛围,技术与管理并重。