安全牛专访美创CTO周杰：数据安全进入体系化建设阶段，数据安全管理平台应用正当时

在数字经济时代，数据作为生产要素发挥越来越重要的作用，数据安全也得到了前所未有的重视。而随着数据安全能力已经进入了相对体系化建设的阶段，更加智能化、协同化的新一代数据安全管理平台得到了各类企业组织的广泛关注。

本期牛人访谈邀请到美创科技CTO周杰，就如何构建新一代数据安全管理平台相关话题展开深入讨论。周杰认为，新一代数据安全管理平台能够契合云时代和数据资产的复杂性，颠覆传统认知中统一日志收集中心的单一特性，在资产管理、身份治理、平台的弹性扩展性、适应性进化以及数字化表述等方面具有更全面的应用价值。新一代数据安全管理平台能够帮助用户完成体系化数据安全建设，并真正实现“韧性数据安全”。

“

周杰

美创科技副总裁、首席技术官。从事数据安全领域研究开发十多年，曾经在思科等公司任职，长期跟踪和关注数据安全理论、技术、实践，对于增强身份治理、资产治理、风险治理、动态策略等有深入的研究，同时对于零信任、攻击链、持续自适应风险信任评估等理论体系比较熟悉，在云管端的数据安全产品开发方面有着多年的实践，积累了大量经验。目前他是云安全联盟（CSA）零信任专家、认证讲师，从事 SDP、数据安全等研究，保持和 NIST、Gartner 等机构的紧密联系，紧跟数据安全理论技术的最新动态。此外，他还代表公司参与了数据库防火墙、数据脱敏、数据共享、数据备份等产品的标准制定及修订。

安全牛

目前，尽管企业组织已经大量部署了加密、脱敏、数据库防火墙、数据库审计等产品，但是数据泄露和网络攻击事件仍然频发。企业应该如何做好数据资产保护工作？

周杰

随着数字化时代到来，数据已成为企业的重要资产。同时数据只有流动才能释放价值，数据的流动性属性以及诉求，带来了数据安全的复杂性。原来的数据加密、脱敏、数据库防火墙、数据库审计等产品，都是解决某个单一场景的数据安全问题。当面对数据的复杂性时，就很难做到有效防护。

我们认为，企业开展数据资产防护工作时，可以从以下几个方面重点展开：

首先，在理念方面，从静态到动态防御。数据天然具备流动性，在流动过程中带来原安全防护能力无法有效解决的复杂性。所以需要通过动态防护的自适应性，根据不断变化的安全环境和威胁形势调整防御策略。通过不断学习和优化，企业可以提高数据安全防御的效率和准确性，以及降低误报率。

其次，在防护能力方面，要以资产为中心，结合各种安全防护能力构建多层安全防御机制，确保在各种极端场景下的安全防护与快速恢复。

最后，在管理方面，要建立相关数据安全管理制度。数据安全防护与实际业务结合，通过相关业务流程与机制，增强数据安全有效防护。

安全牛

Gartner 先后提出了数据安全态势管理(DSPM)和数据安全平台(DSP)的技术路线，从国内行业的数据安全建设的技术路径看，存在哪些异同？

周杰

数据安全管理平台（DSP）最初主要功能是数据活动管理和数据库活动管理。随后增加了数据库审计等功能，并扩展到脱敏、安全分析等能力。近年来，DSP平台的功能进一步扩展，包括加密、令牌、数据分类等功能。

不同的安全厂商在DSP领域可能有相似的技术路线，但在具体实现细节上可能存在差异。例如，在数据分类分级功能中，厂商们关注准确率和降低成本。最近，使用大语言模型进行数据分类和分级成为热门话题，这种方法可以根据内容推测字段的用途、类别和级别。此外，厂商们还在不同行业积累了模板和实施成本方面的经验。

数据安全态势管理（DSPM）是较新的概念，在2022年提出。在DSPM中，可见性是核心前提条件，包括“系统可见性”、“数据可见性”和”身份可见性”。系统可见性涵盖全面监控和可视化系统，特别是针对复杂的云上系统；数据可见性包括数据存放位置、拥有的数据、数据类型和时间。除了一些相对简单的静态数据，还涵盖数据分发、汇聚和二次加工等处理过程中的中间数据。这些都是需要被保护的数据资产，但往往被忽视；身份可见性涉及识别组织内的身份，大型企业或组织通常有数百甚至数千个身份，需要准确识别这些身份。

单点式数据安全产品只能解决部分已经看到的数据安全问题，缺乏全局视角和全域的数据可见性，这是组织长期存在数据安全风险的原因之一。为了充分暴露风险并采取相应措施，需要以可见性为核心进行工作。通过实施数据安全策略、进行数据风险评估、分类分级、防泄漏和访问控制等措施，在可见性的基础上进行安全运营。将所有与安全相关的因素以可视化方式展现，包括各种隐私资产。只有展现所有这些内容，才能评估其风险攻击面。

安全牛

传统平台型数据安全产品在数字化时代面临哪些局限性？新一代数据安全管理平台新增的价值点在哪里？

周杰

各种数据安全平台的发展都具有一些共性的特点，其中最重要的是设备对接。这些平台能够将脱敏、防火墙、审计和分类分级等能力整合到一个统一的平台上，用户可以查看底层设备、进行策略下发和日志分析等操作，这被业界认为是一个较好的平台。然而，现在的数据环境变得越来越复杂，面临云上、云下、多云、跨云以及线上线下结合等挑战。

我们认为，与传统的数据安全平台相比，新一代数据安全管理平台的最大优势在于，能够充分实践并落地“韧性数据安全”这一理念和架构，并具备以下特点：

ㆍ数字化：安全数字化，以数字化能力赋能平台，降低管理复杂性。

ㆍ弹性：以资产为中心，结合各种安全端点能力构建多层安全防御机制，确保在各种极端场景下的安全防护与快速恢复。

ㆍ云化：平台、能力全面融合，复杂性收敛到云管理中心，端点能力保持灵活，快速适配各种安全场景。

ㆍ自适应性：围绕数据、身份全生命周期变化，提供安全策略的自适应进化能力，实现智能化安全防护。

ㆍ可观测性：围绕资产、身份、行为、风险等维度，结合数字化能力，进行可视化呈现，快速感知各类安全风险并及时响应。

安全牛

企业组织应该如何实现新一代数据安全管理平台体系化的建设？

周杰

我们认为，企业在实现新一代数据安全管理平台体系化的过程中，需要重点考虑以下几个因素：

首先，在思路上保持一致，围绕组织提出的韧性数据安全防护体系，以资产为中心，以身份为边界，以风险为界面，作为新一代平台的核心产品建设理念进行建设。

其次，安全防护能力原子化，从数据安全三大域：存储域、访问域、流动域场景化出发，构建多层级防御体系。