2.2　数据安全管控（DSC）框架

Forrester提出的数据安全管控（Data Security Control，简称DSC）框架把安全管控数据分解成三大领域：定义数据、分解和分析数据、防御风险和保护数据（图2-5）。

图2-5　数据安全控制的三大领域

1.定义好数据可以简化数据管控

我们不太可能完完全全地把数据保护起来，比如把所有的数据都加密从运维的角度来说太复杂了，而且效率比较低。为了更好地了解所要保护的数据，进行数据发现和数据分类非常关键。

①数据发现。

为了保护数据，我们必须首先知道数据都存储在哪里。

②数据分类。

数据分类是数据保护的基石，首先需要制定相应的标准。当然，数据分类的标准会随着业务和数据的变化而有所变化。

2.分解和分析数据帮助更好地制定安全策略

剖析数据的商业价值及其在业务中的重要性，然后决定相应的安全策略和技术。比如对于经常与外部交换的敏感数据，安全团队可以部署能够实现安全协作的方案；对于内部业务部门希望用于数据分析的敏感数据，可以对使用中的数据进行保护或进行匿名去标识化处理。同时，了解数据的状态很重要：数据是如何流动的？谁在使用这些数据？使用频率如何？使用的目的是什么？这些数据是如何收集的？如果数据完整性受到破坏，会产生什么样的后果？

3.防御风险和保护数据免受威胁

随着数据风险的加大，以及攻击的数量和复杂程度的增加，DSC框架建议了四种方法。

①控制访问。

确保正确的用户能够在正确的时间访问正确的数据。要在整个生命周期中保护数据，并严格限制可以访问重要数据的人数，持续监控用户的访问行为。

②监控数据使用行为。

帮助安全团队预先提示潜在的滥用行为。可以通过部署用户实体行为分析（User and Entity Behavior Analytics，简称UEBA）等工具，并将其与安全分析集成，来实现主动保护敏感数据所需的可见性。

③删除不再需要的数据。

通过适当的数据发现和分类，可以防御性地处置不再需要的敏感数据。安全、防御性地处理数据是一种强大的防御策略，可以降低法律风险，降低存储成本，并降低数据泄露的风险。

④混淆数据。

不法分子利用互联网上的“地下黑市”买卖敏感数据。我们可以通过使用数据抽象和模糊技术（如加密、去标识化和掩蔽）生成“混淆数据”，来降低数据的价值。