我们已经生活在基于云的数字时代，那些能够从数据中获取最大价值的组织将成为最后的赢家。在数字化转型和数据民主化的发展背景下，企业开展数据安全保护也面临诸多新挑战：

• 首先，不断复杂的云计算基础设施架构很容易让数据安全和治理专业人员觉得困扰，他们需要处理多个配置各异的云计算平台，而多云基础设施建设还在不断发展，这让云计算的应用管理具有很大挑战性；

• 其次，开发人员和业务人员经常因为工作原因，在短时间内创建新的数据存储系统，却没有经过规范的授权批准。因此，企业组织会大量产生出大量难以监控的“影子数据”；

• 此外，随着云计算的广泛应用，企业组织的传统安全边界已不复存在。网络上的任何人都有可能以合规或违规的方式访问数据，这使得企业的敏感数据更加容易被非法攻击者窃取。

以上因素共同构成了一个新的“数据安全攻击面”，这是一种新的威胁途径。为了应对挑战，研究机构Gartner在其发布的《2022年数据安全技术成熟度曲线》报告中，提出了一种新的数据安全方案——数据安全态势管理（DSPM）。根据Gartner给出的定义，DSPM旨在为企业组织提供更加全面的数据安全可见性，以便深入了解敏感数据的位置、访问权限、如何被利用以及如何存储等安全状况态势信息。DSPM的主要功能包括：数据安全策略实施、数据风险评估、数据分类、数据泄漏保护、数据访问监控、数据发现、数据风险补救、数据风险排序、数据所有者标识、数据合规性报告、数据流映射以及数据沿袭识别等。

如果将DSPM与CSPM（云安全态势管理）进行比较，我们可以发现，CSPM的主要功能是保护企业云上应用和数据免受未经授权的访问，但无法为组织提供有关数据的详细上下文信息，而DSPM解决方案则聚焦于云上数据的流通和变化，重点帮助组织解决如下问题：

• 帮助企业识别本地和云端的所有数据资产；

• 帮助企业定位数据位于何处；

• 帮助企业了解谁可以访问敏感数据，访问方式是什么；

• 帮助企业了解应该遵从的数据监管政策；

• 帮助企业响应和处置数据安全事件。

完善的DSPM方案应该具备数据发现、优先级评估、安全防护和持续监控等关键要素，这样才能识别所有已知和未知的数据，并根据数据量、暴露情况和安全态势确定安全隐患的风险级别，提出风险警报和补救指导。因此，企业组织要做好数据安全态势管理工作并不是件很容易的事情，而遵循以下最佳实践，可以帮助企业从DSPM项目建设中获取更多好处。

建立数据资产目录

DSPM是一种以数据为中心的数据治理和安全防护方法。因此，组织首先有必要发现并登记所有的数据资产信息。拥有原生发现功能的云服务商只能识别正规的云原生资产，但是识别率往往不够全面，比如难以识别影子数据资产。这些实例或工作负载通常是为备份或实验任务生成重复副本的产物。作为DSPM策略的一个核心部分，为所有数据资产整理出一套完备的目录至关重要，无论资产是在本地，还是在公共云、私有云、混合云或者SaaS应用程序上。

做好数据环境分析

现代企业组织每年都要处理PB级的海量数据。这些数据会以不同的格式保存在整个企业数字化环境中，包括结构化数据、半结构化数据和非结构化数据。发现和分类如此大量的数据对企业而言是个巨大的挑战。组织应该利用人工智能/机器学习技术（比如NLP），以准确发现和分类敏感数据，并且更深入地了解其数据使用环境。

将各类安全解决方案有效协同

组织必须将DSPM解决方案与已有的CSPM、CWPP、SOC、SEIM等方案有效整合，统一运营使用。虽然CSPM等解决方案缺乏对数据理解能力，但可以弥补DSPM解决方案难以具备的防护能力。如果充分利用DSPM提供的敏感数据洞察力，组织可以根据数据敏感度来确定资产的优先级，以解决现有防护体系中的不足。这不仅使组织能够缓解误报引起的警报疲劳，还可以更有效地保护敏感系统。

用零信任框架优化访问

未经授权的访问是导致企业数据泄露的主要原因之一。组织必须尽快实现基于最低权限访问模型的零信任框架。对于安全团队而言，可以充分分析数据访问相关信息，比如访问敏感数据的身份、访问者的地理位置及其访问这些数据的频次。这些信息可以帮助组织更好地优化其访问策略和控制，并保护数据免受未经授权的访问。

加强对流数据的监管

在多云时代，越来越多的组织选择使用Kafka和Confluent之类的流数据平台。这些平台允许组织实时处理和分析数据，以便及时作出决策。然而组织在管理流数据时会遇到一些挑战，比如未经授权访问和数据蔓延等问题。组织必须深入了解经由流数据平台传输的敏感数据，并利用这些信息建立访问控制措施，以防止数据蔓延和未经授权的访问。

做好隐私合规分析

遵守数据隐私法并不容易，因为数据正在失去控制，分散到众多的数据系统和存储地点。由于数据急剧增加，很难将数据与个人身份准确对应起来。由于缺乏数据的上下文信息，企业往往很难理解与单个数据集相关的合规策略。但作为DSPM策略的一个关键部分，组织必须将数据治理工作与监管政策要求严格对应起来，以便有效地履行隐私义务，比如数据主体权利的实现和跨境数据传输等。