談談保護敏感資料的最佳實踐

來源：資料驅動智慧

大多數資料驅動型組織已經開始實施資料和分析現代化計劃，以努力實現業務驅動效益，例如利用其資料資產獲得更豐富、主動的洞察並推動競爭優勢的能力。只有當組織能夠解鎖企業防火牆或外部源內的大量多結構資料時，此類舉措才有可能實現。組織已經變得越來越習慣以安全和受管控的方式公開內部資料，並且準備嘗試更高階的用例，例如資料共享和資料網格。

然而，有一個問題。資料和分析行業主要關注透過資料湖、資料倉儲和分析引擎訪問資料，而忽視了基本的資料治理規則，例如資料質量和保護。隨著新的、嚴格的隱私法規現在將重點轉向保護個人資料，資料團隊必須重新審視其實踐和框架，以確保安全性和合規性。

主要關注領域是歷史資料治理平臺，其中許多平臺限制過於嚴格。它們阻止訪問整個資料段，從而大大降低了資料效用。另一方面，缺乏這樣的平臺往往導致資料訪問過於寬鬆。較新的產品提供了在行、列和單元級別編寫和自動化細粒度訪問控制策略的能力，因此組織可以以安全且受監管的方式加速資料訪問。這些政策確定誰有權檢視敏感資料，包括個人身份資訊 (PII)、受保護的健康資訊 (PHI)、非個人商業資料以及受合同保護的資料或第三方資料。

“細粒度”訪問策略的示例包括：

• 限制對敏感資料屬性的訪問。例如，對明文信用卡號的訪問應限制為根本不顯示該列、隨機化內容、完全混淆它或僅顯示部分字串。這種資料保護稱為列級安全性 (CLS)。

• 限制對整個記錄的訪問。此資料訪問限制通常用於滿足資料所有權或資料駐留要求，其中行訪問僅限於屬於使用者已被授予訪問許可權的區域的行。它也稱為行級安全性 (RLS)。

資料和分析行業正在採用“現代資料堆疊”一詞來對包含最佳工具的架構進行分類，這些工具旨在從生產者處獲取資料併為資料消費者做好準備。由於定義本身是不確定的且應用不一致，因此資料訪問和治理能力歷來沒有得到很好的定義。沒有單一的、規定的方式來保護敏感資料，但資料安全和訪問管理對於組織對雲資料平臺的投資至關重要。

本文件旨在分享最佳實踐，以實現對公司資料的可信訪問。這些技巧根據組織現有資料管理實踐的成熟度而有所不同，特別是在資料治理和訪問領域。讓我們首先為您的組織的資料保護成熟度建立基線。

一 資料管理成熟度模型

隨著時間的推移，已經開發出了多種資料管理成熟度模型，以幫助組織評估其當前狀態並找出差距。其中包括企業資料管理 (EDM) 委員會的資料管理能力評估模型 ( DCAM ) 和國際資料管理協會 (DAMA)的資料管理知識體系 ( DMBOK ) 等。在本文件中，我們將重點關注資料管理的一個子集：組織識別、保護和保護敏感或合同資料的能力。

成熟度模型有助於建立衡量當前流程有效性的指標並建立漸進式改進。為了成功實現雲資料採用等現代化舉措，組織必須根據保護敏感資料的方法的成熟度來建模最佳實踐。這種分級方法可以帶來持續改進，而不會壓垮資料生產者、推動者和消費者。

成熟度模型的最佳實踐分為三類：起步階段、新興階段和成熟階段。

• 起步階段

處於起步階段的組織沒有適合現代資料堆疊的資料安全和治理計劃，因此通常沒有記錄敏感資料在其雲資料架構中的位置。他們的訪問管理流程通常是手動的並會產生瓶頸。此階段的組織還缺乏正式的資料保護策略，包括跨雲資料資產進行分類和標記的流程。

• 新興階段

處於新興階段的組織有一些資料保護機制。通常，這些都是定製開發和維護的，需要付出相當大的努力才能保持最新狀態並遵守外部法規。其他組織已經部署了一個或多個資料訪問平臺。無論哪種情況，資料保護的範圍都是部門級別的，並且不具有凝聚力。在這個階段，組織缺乏自動化的策略執行。

• 成熟階段

成熟階段的組織擁有先進的資料保護策略和部署流程，以及對業務需求和合規性要求的深刻理解。然而，他們正在尋求擴充套件其現代分析架構以在雲中進行創新，並不斷完善和現代化其資料訪問策略。

二 保護敏感資料的最佳實踐

資料保護部署應該是全面的，以確保敏感資料沒有後門訪問。然而，“完全統一的”方法很難執行，而且很少成功。這是因為，雖然保護敏感資料可能既耗時又昂貴，但不應損害允許消耗的資料效用。

遵循經過驗證的最佳實踐可確保組織從其軟體工具中獲得儘可能高的價值來保護敏感資料，同時最大限度地減少治理開銷。最佳實踐還為希望成功部署資料訪問平臺的組織提供了結構化方法。

下面我們介紹每個成熟階段的最佳實踐。然而，一個共同點是每個客戶都必須首先定義他們的理想用例和成功標準。用例的一個示例是支援對操作或分析應用程式中的敏感資料進行動態自助訪問和授權。

用例必須是業務策略驅動的並以業務術語表述。它們不應該是技術驅動的。最重要的資料訪問用例是：

• 雲現代化

大多陣列織正在採用雲資料平臺，或者正在擴充套件其生態系統。但是，重要的是，在確定敏感資料的位置及其使用方式之前，不要啟動雲遷移過程。這甚至適用於直接遷移的 IaaS 工作負載。與本地部署相比，雲部署採用“共享安全模型”，該模型讓使用者承擔更大的責任來確保資料保護。在現代化舉措之前掌握敏感資料可以降低違反治理工作或資料洩露的風險。

• 資料隱私

資料隱私是指用於控制和管理敏感資料（包括 PII 和 PHI）訪問的方法。這些方法包括差分隱私、k-匿名化和假名化等技術，其中許多技術都是資料規則和法規所強制執行的。除了確保資料隱私控制滿足法律要求之外，在所有資料平臺和消費方法中一致地執行這些控制也很重要。例如，業務使用者可能使用 Microsoft Excel 來訪問資料，而分析師可能使用 SQL，資料科學家可能使用筆記本中的 Python 程式碼，但每個使用者都應該採用相同的資料隱私控制。

• 資料共享

當今市場的互聯性使得資料共享對於各種規模和所有行業的組織都至關重要。無論是跨業務部門內部共享資料還是外部（例如與第三方）共享資料，確保安全交換資料的需求日益成為許多資料團隊的首要任務。資料共享還用於確保遵守資料許可條款和資料使用協議，並最終使組織能夠透過安全的資料交換平臺將其資料產品貨幣化。

• 監管合規與審計

任何敏感或私人資料都必須受到監管——這是不可協商的。實現遵守外部合規法律法規以及內部準則和標準，需要了解擁有什麼型別的敏感資料、資料消費者在何處訪問該資料以及適用於資料的具體要求，例如資料保留權或被遺忘的權利。法律團隊應與負責制定政策的業務團隊以及負責實施資料政策的資料平臺團隊保持一致。

• 資料訪問控制

在快速發展的生態系統中控制誰可以訪問哪些資料並不容易，但這是必要的。與資料隱私一樣，當考慮到涉及的一系列使用者、技術和法規，以及需要執行一致的策略來管理跨任何計算平臺的訪問請求的任意組合時，資料訪問控制就會變得更加複雜。當組織的資料需求增長時，他們的訪問控制必須按比例擴充套件——理想情況下，不會給負責策略實施和資料訪問管理的資料團隊帶來額外的負擔。

• 資料安全

資料安全旨在減輕未經授權的資料訪問的威脅。隨著資料驅動的組織採用日益分散和靈活的雲資料架構（例如資料網格或資料湖屋），資料安全已成為更加重要的用例。為了減少來自內部和外部的資料洩露、破壞或損失的威脅，並充分發揮創新架構框架的優勢，資料團隊必須擁有維護資料安全的策略和資源。

瞭解用例並讓它們提供最佳實踐是開始資料訪問和安全之旅的一個很好的起點。這種實施方法提供了一個敏捷的路線圖來展示漸進的成功。

起步階段的最佳實踐

起步成熟階段的一個關鍵最佳實踐是讓使用者熟悉資料訪問平臺的功能，同時展示其有效性，例如滿足 個人資訊保護法、GDPR 或 HIPAA 等適用的合規性法規。隨著組織的成熟，他們可能會開發更復雜的用例，例如資料共享。

剛接觸資料訪問控制和安全領域的使用者應採用包含業務、技術和流程的“系統思維”方法。最佳實踐能夠以最具成本效益和敏捷的方式結構化實施第一個資料訪問用例。迭代和分階段的過程允許組織從小規模開始並快速展現價值。

定義起始用例後，評估業務、技術、流程的當前狀態，並開始制定與總體業務目標、要求和策略相一致的訪問策略。訪問策略和實施計劃的基本原理是避免範圍蔓延、讓業務和 IT 利益相關者簽署可交付成果，並協調共同的業務目標。此最佳實踐可確定所選用例是否適合第一次資料保護迭代的良好業務和技術（例如資料來源）。

最佳實踐

初創企業、中小型企業和大型企業的資料政策實施情況各不相同。初創公司的團隊規模較小，分擔多項職責，而大公司則擁有專門的團隊，並且通常以流程為導向。因此，實施計劃也有所不同。

起步成熟階段的業務最佳實踐包括：

• 資料所有者應在瞭解業務領域及其需求後制定第一套策略。然而，由於資料是企業資產，並且通常在各個領域之間共享，因此定義企業策略的任務應集中在一個共享團隊下，最有可能由首席資料官 (CDO) 負責。編寫策略的現代最佳實踐是使用低程式碼或無程式碼產品來生成易於閱讀的宣告性策略。

• CDO或資料平臺所有者應與所有利益相關者一起制定 RACI圖表。從研討會開始，協調所有利益相關者並分配明確的角色和職責，例如資料所有者和生產者、資料消費者以及資料推動者和管理者。這項任務應涵蓋業務、基礎設施、資料、法律和安全團隊。角色和職責的明確性有助於確保更快、更成功地部署資料保護計劃。

• CDO或資料平臺所有者應建立卓越中心 (CoE)來制定標準、對流程變更進行分類並培訓資料專業人員（例如所有者、管理員和分析師）。如果已經存在資料安全 CoE，則在 CoE 內建立資料訪問“特殊興趣小組”(SIG)。

這一階段的最佳實踐側重於構建、測試和調整資料訪問策略以實現所述用例的目標。這些策略應該與用於執行它們的底層技術脫鉤。策略編寫與策略執行的分離對於使策略可替換和可重用非常重要。

技術最佳實踐

技術最佳實踐從識別關鍵和高影響力的資料來源開始，其中敏感資料必須在分析之前得到保護。最佳實踐因資料訪問控制產品的部署模式而異，例如 SaaS、本地或多雲。本地部署涉及較長的培訓週期，而 SaaS 產品通常不需要這種培訓週期。

起步成熟階段的技術最佳實踐包括：

• 資料平臺架構師或CIO團隊應該開發一個全面的端到端資料訪問控制架構，並具有獨立於執行引擎的集中授權子系統。細粒度的訪問控制，例如基於屬性的訪問控制 (ABAC)、動態策略編寫和資料監控，是此類架構的一些基本元件。

• 資料平臺所有者應確定實現策略可執行目標所需的技術堆疊。在傳統方法中，政策記錄在獨立的文字文件中，並存檔在文件儲存中。隨著資料形態的演變，這些文件很容易被忽視或很快過時。在當今的資料使用時代，政策實施必須是動態的、靈活的和可擴充套件的。

• 資料平臺工程師應該設定爬蟲來發現和標記資料來源、轉換引擎和體系結構中與已識別用例範圍相關的其他持久層中的敏感資料。採取整體觀點的原因是為了防止去標識化的資料元素在管道中的各個點被重新標識。

• 資料平臺工程師應啟用開發、測試和生產環境，並與 DevOps 團隊合作以與持續整合和交付 (CI/CD)工具整合。

• 資料平臺工程師應啟用隱私增強技術 (PET) 和基於屬性的訪問控制 (ABAC)，以確保策略透過資料脫敏、加密、標記化和審計等流程實現列級安全性。

雖然業務和技術團（策略定義和策略執行）協同工作，但許多其他團隊也參與資料訪問控制的整體運營。

流程最佳實踐

保護、管理和保護對敏感資料的訪問會影響當前的狀態流程。用於啟用資料訪問控制的工具是變更代理。對敏感資料的不受限制的訪問將受到限制，這在組織內部可能並不總是受歡迎的變化。因此，使用者應該瞭解流程的變化。該領域的最佳實踐是：

• 資料平臺所有者應透過研討會來啟動每個專案，該研討會定義基線和當前狀態流程、識別差距並記錄建議的未來狀態流程。

• 資料平臺架構師的任務應該是識別相關的資料治理差距，例如資料質量計劃、主資料管理計劃和資料目錄。這些計劃可能是開始資料保護工作的先決條件。

• 資料平臺工程師應負責逐個團隊、逐個用例或逐個平臺迭代地實施新的安全流程。完全統一的方法不適用於處於初級成熟階段的組織。

• 資料平臺工程師應納入任何相關的技術增強功能，例如 CI/CD，這將確保資料堆疊的各個方面一致且高效地發揮作用。

• 資料平臺工程師應該透過將自動化引入資料訪問工作流程來建立可重複、可擴充套件的流程。

當應用業務、技術和流程這三個支柱的最佳實踐時，組織就會從起步階段過渡到新興成熟階段。

新興成熟階段的最佳實踐

在這個成熟階段，組織應該對關鍵資料來源擁有基本的資料訪問控制。他們現在的目標是在端到端管道中一致地應用資料訪問控制策略。這需要正式化跨職能標準，應用跨團隊的經驗教訓，並確保資料訪問控制流程可重複和可擴充套件。

新興成熟階段的最佳實踐的結果應該是統一應用資料消費者的訪問策略和許可權，無論資料儲存或處理在哪裡。

商業最佳實踐

企業最大的痛點之一是制定冗餘的政策。這不僅降低了資料團隊的生產力，而且還導致了可能缺乏系統邏輯的龐大而複雜的政策網路。大型或成長型企業可能比小型組織更嚴重地受到重複政策的影響，但最重要的是，任何不必要的政策都會產生額外的複雜性，無論規模大小，都應該避免這種情況。

傳統訪問控制框架，即基於角色的訪問控制（RBAC）是策略冗餘的主要驅動因素。RBAC 本質上是靜態的，根據使用者角色確定訪問許可權。這意味著隨著新使用者或資料來源的新增以及政策需求的發展，必須建立新的政策來吸收這些變化。結果，資料團隊不得不管理大量的角色膨脹，這可能變得難以管理和不可擴充套件——資料可能被鎖定和過度限制，或者由於漏掉裂縫而暴露。

動態訪問控制是避免這種情況的一種關鍵方法，請參閱下面的最佳實踐。在查詢時根據有關使用者、資料物件、預期操作和資料環境的屬性執行策略，無需預先確定和手動維護策略。因此，資料團隊可以將必須管理的策略數量減少 75 倍，並擴充套件策略實施，而無需額外開銷。

新興成熟階段的業務最佳實踐包括：

• CDO或資料平臺所有者應定義可用於有效引入新用例的通用標準，以避免潛在的政策膨脹。

• 資料平臺所有者或架構師應根據從以前的資料訪問治理方法中吸取的經驗教訓來更新當前狀態的資料訪問策略。更新後的策略還應該量化收益，以幫助為擴充套件資料訪問控制計劃制定業務案例。

• 資料所有者應識別擴充套件訪問控制的新機會，重點關注可提供最高價值並符合業務需求的關鍵資料元素 (CDE) 或資料來源。通常，組織傾向於關注“容易實現的成果”用例，但這些可能無法證明對該計劃的投資。

• 資料平臺工程師應開發新的ABAC策略並將任何現有的RBAC策略轉換為ABAC。ABAC 提供了最具可擴充套件性的選項，尤其是當資料及其使用動態變化時。

技術最佳實踐

如果業務團隊不願意編寫冗餘策略，那麼資料工程師也不願意跨多個執行基礎設施手動部署這些策略並保持它們同步。由於資料工程技能供不應求，最佳實踐是安裝通用策略執行引擎。

資料工程師還必須與治理、風險和合規性 (GRC) 利益相關者（例如資料監管者）合作，以確保範圍內的所有平臺和資料來源都受到保護。這包括現代產品和遺留系統，因為大多陣列織的資料來源跨越混合多雲位置。

新興成熟階段的技術最佳實踐包括：

• 資料平臺架構師應在訪問控制策略的背景下評估和整合現有技術平臺。

• 資料平臺工程師應該最佳化和自動化現有的資料訪問控制實施。目標是將資料訪問控制標準化為通用工具和方法，以實現規模經濟和更好的資源利用。

• 資料平臺架構師應新增複雜的隱私增強技術 (PET)以支援其他用例。正如在剛剛成熟階段提到的，基本資料訪問控制依賴於加密、遮蔽和標記化等 PET。在新興階段，先進的 PET 可能包括差分隱私、k-匿名化和隨機響應。

• 合規官員應測試政策，以確保其制定和執行符合所有相關的資料使用規則和法規。

流程最佳實踐

對於新興成熟階段面向流程的最佳實踐，將以部門為中心的資料訪問流程整合為標準的企業範圍流程，從而實現集中的策略管理和全面的審計日誌記錄。跨團隊簡化和標準化這些流程是在不增加複雜性的情況下擴充套件安全自助資料使用的關鍵一步。

該領域的最佳實踐包括：

• 資料平臺架構師應記錄跨職能資料訪問控制流，以制定標準來降低將計劃擴充套件到其他資料來源的成本。這將有助於識別機會領域並簡化整個組織的一致訪問控制實施。

• 資料平臺架構師應與資料平臺所有者合作，跨團隊共享這些訪問控制流，以確保跨業務線的資料使用者遵守相同的標準。

• 資料平臺工程師或架構師應增強資料訪問控制卓越中心，目標是構建通用流程、為各部門建立資料訪問解決方案原型環境以及對組織進行最佳實踐培訓。

一旦實現這些目標，組織就能夠進入最終的成熟階段。

成熟階段的最佳實踐

成熟階段的目標是將敏感資料保護擴充套件到內部部門和業務單位之外，並擴充套件到所有資料來源，包括外部、第三方資料來源。

大多陣列織利用多個來源的資料，並且需要遵守合同資料共享和資料使用協議。因此，成熟階段的最佳實踐旨在幫助保護對所有內部和外部資料來源的訪問。這包括將資料權利擴充套件到第三方資料來源，例如 Bloomberg 和 FactSet。成熟階段的指導要點涉及部署端到端現代資料堆疊。

隨著組織越來越多地使用資料結構和資料網格等技術來分散現代架構，此階段的最佳實踐尤其重要。這些新方法緩解了資料供應鏈中的各種瓶頸，例如有限的資料工程資源，並對資料質量問題提供了更多責任。然而，這種“分散式”方法增加了整體複雜性，增加了對更高階的資料使用和訪問控制的需求。

商業最佳實踐

成熟組織中業務功能的主要關注點是將資料訪問和安全策略擴充套件到所有內部和外部源，以便實現一致的資料訪問策略實施。這些最佳實踐將開放資料管道，並允許組織內部和外部的資料更有效地流動。

成熟階段的業務最佳實踐是：

• 資料平臺工程師應與資料所有者合作，調查和識別組織內的所有資料來源和資料消費目標，包括跨業務線的用例。通常，此資訊可在配置管理資料庫 (CMDB) 中獲得。

• 資料平臺工程師應跨平臺和合作夥伴同步後設資料，以便收集可納入資料訪問策略的外部使用者資訊。

• 資料平臺架構師應制定可行的時間表來保護所有源和目標中的敏感資料。時間表應該全面幷包括所有資料來源。

• 資料平臺架構師應建立包含合作伙伴後設資料並可以跨所有資料來源實施的外部策略。

• 隱私或安全官員應為第三方資料來源編寫資料合同和資料使用協議。此步驟可能需要與其他法律利益相關者合作。

當組織達到成熟階段時，除了任何相關的資料隱私用例之外，他們還應該能夠確保策略符合資料使用協議。

技術最佳實踐

隨著全球地區和國家引入新的隱私立法，企業應該使用多個計算引擎跨分散式架構實現策略的可移植性和執行。

有關敏感資料元素的後設資料通常儲存在後設資料目錄中，因此資料工程團隊應該實現後設資料目錄、資料編排和現代資料堆疊的其他元件之間的整合。此階段的另一個重點是確保資料訪問平臺的企業級可擴充套件性、效能、可用性和可靠性。

成熟階段的技術最佳實踐是：

• 資料平臺架構師應根據資料平臺所有者的資料基礎設施路線圖，設計資料網格、資料結構和資料共享架構中的資料訪問控制。資料訪問控制應該是設計過程的一部分，而不是事後的想法。

• 資料平臺工程師應該透過將現有目錄中的後設資料標籤提取到資料訪問平臺中來開發與資料目錄的雙向整合，然後將其吸收到訪問控制策略中。

• 資料平臺架構師應不斷尋找機會來整合和簡化資料訪問控制，以消除障礙、最佳化實施和擴充套件效能。

• 資料平臺工程師應設定自動稽核、警報、通知和日誌記錄，以主動處理資料訪問問題。出現的任何此類問題應上報給合規官員以立即解決。

流程最佳實踐

資料訪問控制不僅僅是資料安全和遵守資料隱私法規。在我們日益互聯的資料環境中，共享資料的第一方和第三方之間的合同協議也必須得到充分維護。由於這項任務需要多個組織的合作，標準化流程是減少人工工作量和提高資源利用率的最直接方法。

成熟階段流程團隊的最佳實踐是：

• 資料平臺架構師應該為參與權力下放或資料共享計劃的每個內部部門和外部組織開發可重複的流程。這些流程應傳達給所有涉及資料的團隊，以確保在企業範圍內採用。

• 隱私、安全或合規官員應制定“認證”資料的流程，並證明資料質量水平、其使用協議以及其他合法性，以確保各方遵守敏感資料準則。

• 資料平臺工程師應該建立一個自動化的入職流程來新增新的合作伙伴。這一自助服務步驟應該可以縮短從新來源共享資料的價值實現時間。

遵循這些最佳實踐將確保即使是擁有成熟資料使用實踐的組織也能夠持續最佳化資料工作流程，從而提高其敏捷性和資料創新能力，而不會影響安全性。

三 小結

本文闡述了與資料安全和隱私成熟度的主要階段相一致的最佳實踐。據瞭解，組織及其資料安全和訪問控制需求並不是靜態的。因此，方法隨著內部流程、團隊和技術的發展和改進而進步。檢查每個成熟度模型階段的業務、技術和流程支柱的最佳實踐有助於培養穩健、動態和有彈性的資料訪問控制策略。