大多數數據驅動型組織已經開始實施數據和分析現代化計劃，以努力實現業務驅動效益，例如利用其數據資產獲得更豐富、主動的洞察并推動競爭優勢的能力。只有當組織能夠解鎖企業防火墻或外部源內的大量多結構數據時，此類舉措才有可能實現。組織已經變得越來越習慣以安全和受管控的方式公開內部數據，并且準備嘗試更高級的用例，例如數據共享和數據網格。

然而，有一個問題。數據和分析行業主要關注通過數據湖、數據倉庫和分析引擎訪問數據，而忽視了基本的數據治理規則，例如數據質量和保護。隨著新的、嚴格的隱私法規現在將重點轉向保護個人數據，數據團隊必須重新審視其實踐和框架，以確保安全性和合規性。

主要關注領域是歷史數據治理平臺，其中許多平臺限制過于嚴格。它們阻止訪問整個數據段，從而大大降低了數據效用。另一方面，缺乏這樣的平臺往往導致數據訪問過于寬松。較新的產品提供了在行、列和單元級別編寫和自動化細粒度訪問控制策略的能力，因此組織可以以安全且受監管的方式加速數據訪問。這些政策確定誰有權查看敏感數據，包括個人身份信息 (PII)、受保護的健康信息 (PHI)、非個人商業數據以及受合同保護的數據或第三方數據。

“細粒度”訪問策略的示例包括：

• 限制對敏感數據屬性的訪問。例如，對明文信用卡號的訪問應限制為根本不顯示該列、隨機化內容、完全混淆它或僅顯示部分字符串。這種數據保護稱為列級安全性 (CLS)。
• 限制對整個記錄的訪問。此數據訪問限制通常用于滿足數據所有權或數據駐留要求，其中行訪問僅限于屬于用戶已被授予訪問權限的區域的行。它也稱為行級安全性 (RLS)。

數據和分析行業正在采用“現代數據堆棧”一詞來對包含最佳工具的架構進行分類，這些工具旨在從生產者處獲取數據并為數據消費者做好準備。由于定義本身是不確定的且應用不一致，因此數據訪問和治理能力歷來沒有得到很好的定義。沒有單一的、規定的方式來保護敏感數據，但數據安全和訪問管理對于組織對云數據平臺的投資至關重要。

本文檔旨在分享最佳實踐，以實現對公司數據的可信訪問。這些技巧根據組織現有數據管理實踐的成熟度而有所不同，特別是在數據治理和訪問領域。讓我們首先為您的組織的數據保護成熟度建立基線。

一、數據管理成熟度模型

隨著時間的推移，已經開發出了多種數據管理成熟度模型，以幫助組織評估其當前狀態并找出差距。其中包括企業數據管理 (EDM) 委員會的數據管理能力評估模型 ( DCAM ) 和國際數據管理協會 (DAMA)的數據管理知識體系 ( DMBOK ) 等。在本文檔中，我們將重點關注數據管理的一個子集：組織識別、保護和保護敏感或合同數據的能力。

成熟度模型有助于建立衡量當前流程有效性的指標并建立漸進式改進。為了成功實現云數據采用等現代化舉措，組織必須根據保護敏感數據的方法的成熟度來建模最佳實踐。這種分級方法可以帶來持續改進，而不會壓垮數據生產者、推動者和消費者。

成熟度模型的最佳實踐分為三類：起步階段、新興階段和成熟階段。

• 起步階段

處于起步階段的組織沒有適合現代數據堆棧的數據安全和治理計劃，因此通常沒有記錄敏感數據在其云數據架構中的位置。他們的訪問管理流程通常是手動的并會產生瓶頸。此階段的組織還缺乏正式的數據保護策略，包括跨云數據資產進行分類和標記的流程。

• 新興階段

處于新興階段的組織有一些數據保護機制。通常，這些都是定制開發和維護的，需要付出相當大的努力才能保持最新狀態并遵守外部法規。其他組織已經部署了一個或多個數據訪問平臺。無論哪種情況，數據保護的范圍都是部門級別的，并且不具有凝聚力。在這個階段，組織缺乏自動化的策略執行。

• 成熟階段

成熟階段的組織擁有先進的數據保護策略和部署流程，以及對業務需求和合規性要求的深刻理解。然而，他們正在尋求擴展其現代分析架構以在云中進行創新，并不斷完善和現代化其數據訪問策略。

二、保護敏感數據的最佳實踐

數據保護部署應該是全面的，以確保敏感數據沒有后門訪問。然而，“完全統一的”方法很難執行，而且很少成功。這是因為，雖然保護敏感數據可能既耗時又昂貴，但不應損害允許消耗的數據效用。

遵循經過驗證的最佳實踐可確保組織從其軟件工具中獲得盡可能高的價值來保護敏感數據，同時最大限度地減少治理開銷。最佳實踐還為希望成功部署數據訪問平臺的組織提供了結構化方法。

下面我們介紹每個成熟階段的最佳實踐。然而，一個共同點是每個客戶都必須首先定義他們的理想用例和成功標準。用例的一個示例是支持對操作或分析應用程序中的敏感數據進行動態自助訪問和授權。

用例必須是業務策略驅動的并以業務術語表述。它們不應該是技術驅動的。最重要的數據訪問用例是：

• 云現代化

大多數組織正在采用云數據平臺，或者正在擴展其生態系統。但是，重要的是，在確定敏感數據的位置及其使用方式之前，不要啟動云遷移過程。這甚至適用于直接遷移的 IaaS 工作負載。與本地部署相比，云部署采用“共享安全模型”，該模型讓用戶承擔更大的責任來確保數據保護。在現代化舉措之前掌握敏感數據可以降低違反治理工作或數據泄露的風險。

• 數據隱私

數據隱私是指用于控制和管理敏感數據（包括 PII 和 PHI）訪問的方法。這些方法包括差分隱私、k-匿名化和假名化等技術，其中許多技術都是數據規則和法規所強制執行的。除了確保數據隱私控制滿足法律要求之外，在所有數據平臺和消費方法中一致地執行這些控制也很重要。例如，業務用戶可能使用 Microsoft Excel 來訪問數據，而分析師可能使用 SQL，數據科學家可能使用筆記本中的 Python 代碼，但每個用戶都應該采用相同的數據隱私控制。

• 數據共享

當今市場的互聯性使得數據共享對于各種規模和所有行業的組織都至關重要。無論是跨業務部門內部共享數據還是外部（例如與第三方）共享數據，確保安全交換數據的需求日益成為許多數據團隊的首要任務。數據共享還用于確保遵守數據許可條款和數據使用協議，并最終使組織能夠通過安全的數據交換平臺將其數據產品貨幣化。

• 監管合規與審計

任何敏感或私人數據都必須受到監管——這是不可協商的。實現遵守外部合規法律法規以及內部準則和標準，需要了解擁有什么類型的敏感數據、數據消費者在何處訪問該數據以及適用于數據的具體要求，例如數據保留權或被遺忘的權利。法律團隊應與負責制定政策的業務團隊以及負責實施數據政策的數據平臺團隊保持一致。

• 數據訪問控制

在快速發展的生態系統中控制誰可以訪問哪些數據并不容易，但這是必要的。與數據隱私一樣，當考慮到涉及的一系列用戶、技術和法規，以及需要執行一致的策略來管理跨任何計算平臺的訪問請求的任意組合時，數據訪問控制就會變得更加復雜。當組織的數據需求增長時，他們的訪問控制必須按比例擴展——理想情況下，不會給負責策略實施和數據訪問管理的數據團隊帶來額外的負擔。

• 數據安全

數據安全旨在減輕未經授權的數據訪問的威脅。隨著數據驅動的組織采用日益分散和靈活的云數據架構（例如數據網格或數據湖屋），數據安全已成為更加重要的用例。為了減少來自內部和外部的數據泄露、破壞或損失的威脅，并充分發揮創新架構框架的優勢，數據團隊必須擁有維護數據安全的策略和資源。

了解用例并讓它們提供最佳實踐是開始數據訪問和安全之旅的一個很好的起點。這種實施方法提供了一個敏捷的路線圖來展示漸進的成功。

起步階段的最佳實踐

起步成熟階段的一個關鍵最佳實踐是讓用戶熟悉數據訪問平臺的功能，同時展示其有效性，例如滿足 個人信息保護法、GDPR 或 HIPAA 等適用的合規性法規。隨著組織的成熟，他們可能會開發更復雜的用例，例如數據共享。

剛接觸數據訪問控制和安全領域的用戶應采用包含業務、技術和流程的“系統思維”方法。最佳實踐能夠以最具成本效益和敏捷的方式結構化實施第一個數據訪問用例。迭代和分階段的過程允許組織從小規模開始并快速展現價值。

定義起始用例后，評估業務、技術、流程的當前狀態，并開始制定與總體業務目標、要求和策略相一致的訪問策略。訪問策略和實施計劃的基本原理是避免范圍蔓延、讓業務和 IT 利益相關者簽署可交付成果，并協調共同的業務目標。此最佳實踐可確定所選用例是否適合第一次數據保護迭代的良好業務和技術（例如數據源）。

最佳實踐

初創企業、中小型企業和大型企業的數據政策實施情況各不相同。初創公司的團隊規模較小，分擔多項職責，而大公司則擁有專門的團隊，并且通常以流程為導向。因此，實施計劃也有所不同。

起步成熟階段的業務最佳實踐包括：

• 數據所有者應在了解業務領域及其需求后制定第一套策略。然而，由于數據是企業資產，并且通常在各個領域之間共享，因此定義企業策略的任務應集中在一個共享團隊下，最有可能由首席數據官 (CDO) 負責。編寫策略的現代最佳實踐是使用低代碼或無代碼產品來生成易于閱讀的聲明性策略。
• CDO或數據平臺所有者應與所有利益相關者一起制定 RACI圖表。從研討會開始，協調所有利益相關者并分配明確的角色和職責，例如數據所有者和生產者、數據消費者以及數據推動者和管理者。這項任務應涵蓋業務、基礎設施、數據、法律和安全團隊。角色和職責的明確性有助于確保更快、更成功地部署數據保護計劃。
• CDO或數據平臺所有者應建立卓越中心 (CoE)來制定標準、對流程變更進行分類并培訓數據專業人員（例如所有者、管理員和分析師）。如果已經存在數據安全 CoE，則在 CoE 內建立數據訪問“特殊興趣小組”(SIG)。

這一階段的最佳實踐側重于構建、測試和調整數據訪問策略以實現所述用例的目標。這些策略應該與用于執行它們的底層技術脫鉤。策略編寫與策略執行的分離對于使策略可替換和可重用非常重要。

技術最佳實踐

技術最佳實踐從識別關鍵和高影響力的數據源開始，其中敏感數據必須在分析之前得到保護。最佳實踐因數據訪問控制產品的部署模式而異，例如 SaaS、本地或多云。本地部署涉及較長的培訓周期，而 SaaS 產品通常不需要這種培訓周期。

起步成熟階段的技術最佳實踐包括：

• 數據平臺架構師或CIO團隊應該開發一個全面的端到端數據訪問控制架構，并具有獨立于執行引擎的集中授權子系統。細粒度的訪問控制，例如基于屬性的訪問控制 (ABAC)、動態策略編寫和數據監控，是此類架構的一些基本組件。
• 數據平臺所有者應確定實現策略可執行目標所需的技術堆棧。在傳統方法中，政策記錄在獨立的文本文檔中，并存檔在文檔存儲中。隨著數據形態的演變，這些文檔很容易被忽視或很快過時。在當今的數據使用時代，政策實施必須是動態的、靈活的和可擴展的。
• 數據平臺工程師應該設置爬蟲來發現和標記數據源、轉換引擎和體系結構中與已識別用例范圍相關的其他持久層中的敏感數據。采取整體觀點的原因是為了防止去標識化的數據元素在管道中的各個點被重新標識。
• 數據平臺工程師應啟用開發、測試和生產環境，并與 DevOps 團隊合作以與持續集成和交付 (CI/CD)工具集成。
• 數據平臺工程師應啟用隱私增強技術 (PET) 和基于屬性的訪問控制 (ABAC)，以確保策略通過數據脫敏、加密、標記化和審計等流程實現列級安全性。

雖然業務和技術團（策略定義和策略執行）協同工作，但許多其他團隊也參與數據訪問控制的整體運營。

流程最佳實踐

保護、管理和保護對敏感數據的訪問會影響當前的狀態流程。用于啟用數據訪問控制的工具是變更代理。對敏感數據的不受限制的訪問將受到限制，這在組織內部可能并不總是受歡迎的變化。因此，用戶應該了解流程的變化。該領域的最佳實踐是：

• 數據平臺所有者應通過研討會來啟動每個項目，該研討會定義基線和當前狀態流程、識別差距并記錄建議的未來狀態流程。
• 數據平臺架構師的任務應該是識別相關的數據治理差距，例如數據質量計劃、主數據管理計劃和數據目錄。這些計劃可能是開始數據保護工作的先決條件。
• 數據平臺工程師應負責逐個團隊、逐個用例或逐個平臺迭代地實施新的安全流程。完全統一的方法不適用于處于初級成熟階段的組織。
• 數據平臺工程師應納入任何相關的技術增強功能，例如 CI/CD，這將確保數據堆棧的各個方面一致且高效地發揮作用。
• 數據平臺工程師應該通過將自動化引入數據訪問工作流程來創建可重復、可擴展的流程。

當應用業務、技術和流程這三個支柱的最佳實踐時，組織就會從起步階段過渡到新興成熟階段。

新興成熟階段的最佳實踐

在這個成熟階段，組織應該對關鍵數據源擁有基本的數據訪問控制。他們現在的目標是在端到端管道中一致地應用數據訪問控制策略。這需要正式化跨職能標準，應用跨團隊的經驗教訓，并確保數據訪問控制流程可重復和可擴展。

新興成熟階段的最佳實踐的結果應該是統一應用數據消費者的訪問策略和權限，無論數據存儲或處理在哪里。

商業最佳實踐

企業最大的痛點之一是制定冗余的政策。這不僅降低了數據團隊的生產力，而且還導致了可能缺乏系統邏輯的龐大而復雜的政策網絡。大型或成長型企業可能比小型組織更嚴重地受到重復政策的影響，但最重要的是，任何不必要的政策都會產生額外的復雜性，無論規模大小，都應該避免這種情況。

傳統訪問控制框架，即基于角色的訪問控制（RBAC）是策略冗余的主要驅動因素。RBAC 本質上是靜態的，根據用戶角色確定訪問權限。這意味著隨著新用戶或數據源的添加以及政策需求的發展，必須創建新的政策來吸收這些變化。結果，數據團隊不得不管理大量的角色膨脹，這可能變得難以管理和不可擴展——數據可能被鎖定和過度限制，或者由于漏掉裂縫而暴露。

動態訪問控制是避免這種情況的一種關鍵方法，請參閱下面的最佳實踐。在查詢時根據有關用戶、數據對象、預期操作和數據環境的屬性執行策略，無需預先確定和手動維護策略。因此，數據團隊可以將必須管理的策略數量減少 75 倍，并擴展策略實施，而無需額外開銷。

新興成熟階段的業務最佳實踐包括：

• CDO或數據平臺所有者應定義可用于有效引入新用例的通用標準，以避免潛在的政策膨脹。
• 數據平臺所有者或架構師應根據從以前的數據訪問治理方法中吸取的經驗教訓來更新當前狀態的數據訪問策略。更新后的策略還應該量化收益，以幫助為擴展數據訪問控制計劃制定業務案例。
• 數據所有者應識別擴展訪問控制的新機會，重點關注可提供最高價值并符合業務需求的關鍵數據元素 (CDE) 或數據源。通常，組織傾向于關注“容易實現的成果”用例，但這些可能無法證明對該計劃的投資。
• 數據平臺工程師應開發新的ABAC策略并將任何現有的RBAC策略轉換為ABAC。ABAC 提供了最具可擴展性的選項，尤其是當數據及其使用動態變化時。

技術最佳實踐

如果業務團隊不愿意編寫冗余策略，那么數據工程師也不愿意跨多個執行基礎設施手動部署這些策略并保持它們同步。由于數據工程技能供不應求，最佳實踐是安裝通用策略執行引擎。

數據工程師還必須與治理、風險和合規性 (GRC) 利益相關者（例如數據監管者）合作，以確保范圍內的所有平臺和數據源都受到保護。這包括現代產品和遺留系統，因為大多數組織的數據源跨越混合多云位置。

新興成熟階段的技術最佳實踐包括：

• 數據平臺架構師應在訪問控制策略的背景下評估和整合現有技術平臺。
• 數據平臺工程師應該優化和自動化現有的數據訪問控制實施。目標是將數據訪問控制標準化為通用工具和方法，以實現規模經濟和更好的資源利用。
• 數據平臺架構師應添加復雜的隱私增強技術 (PET)以支持其他用例。正如在剛剛成熟階段提到的，基本數據訪問控制依賴于加密、屏蔽和標記化等 PET。在新興階段，先進的 PET 可能包括差分隱私、k-匿名化和隨機響應。
• 合規官員應測試政策，以確保其制定和執行符合所有相關的數據使用規則和法規。

流程最佳實踐

對于新興成熟階段面向流程的最佳實踐，將以部門為中心的數據訪問流程整合為標準的企業范圍流程，從而實現集中的策略管理和全面的審計日志記錄。跨團隊簡化和標準化這些流程是在不增加復雜性的情況下擴展安全自助數據使用的關鍵一步。

該領域的最佳實踐包括：

• 數據平臺架構師應記錄跨職能數據訪問控制流，以制定標準來降低將計劃擴展到其他數據源的成本。這將有助于識別機會領域并簡化整個組織的一致訪問控制實施。
• 數據平臺架構師應與數據平臺所有者合作，跨團隊共享這些訪問控制流，以確保跨業務線的數據用戶遵守相同的標準。
• 數據平臺工程師或架構師應增強數據訪問控制卓越中心，目標是構建通用流程、為各部門建立數據訪問解決方案原型環境以及對組織進行最佳實踐培訓。

一旦實現這些目標，組織就能夠進入最終的成熟階段。

成熟階段的最佳實踐

成熟階段的目標是將敏感數據保護擴展到內部部門和業務單位之外，并擴展到所有數據源，包括外部、第三方數據源。

大多數組織利用多個來源的數據，并且需要遵守合同數據共享和數據使用協議。因此，成熟階段的最佳實踐旨在幫助保護對所有內部和外部數據源的訪問。這包括將數據權利擴展到第三方數據源，例如 Bloomberg 和 FactSet。成熟階段的指導要點涉及部署端到端現代數據堆棧。

隨著組織越來越多地使用數據結構和數據網格等技術來分散現代架構，此階段的最佳實踐尤其重要。這些新方法緩解了數據供應鏈中的各種瓶頸，例如有限的數據工程資源，并對數據質量問題提供了更多責任。然而，這種“分布式”方法增加了整體復雜性，增加了對更高級的數據使用和訪問控制的需求。

商業最佳實踐

成熟組織中業務功能的主要關注點是將數據訪問和安全策略擴展到所有內部和外部源，以便實現一致的數據訪問策略實施。這些最佳實踐將開放數據管道，并允許組織內部和外部的數據更有效地流動。

成熟階段的業務最佳實踐是：

• 數據平臺工程師應與數據所有者合作，調查和識別組織內的所有數據源和數據消費目標，包括跨業務線的用例。通常，此信息可在配置管理數據庫 (CMDB) 中獲得。
• 數據平臺工程師應跨平臺和合作伙伴同步元數據，以便收集可納入數據訪問策略的外部用戶信息。
• 數據平臺架構師應制定可行的時間表來保護所有源和目標中的敏感數據。時間表應該全面并包括所有數據源。
• 數據平臺架構師應創建包含合作伙伴元數據并可以跨所有數據源實施的外部策略。
• 隱私或安全官員應為第三方數據源編寫數據合同和數據使用協議。此步驟可能需要與其他法律利益相關者合作。

當組織達到成熟階段時，除了任何相關的數據隱私用例之外，他們還應該能夠確保策略符合數據使用協議。

技術最佳實踐

隨著全球地區和國家引入新的隱私立法，企業應該使用多個計算引擎跨分布式架構實現策略的可移植性和執行。

有關敏感數據元素的元數據通常保存在元數據目錄中，因此數據工程團隊應該實現元數據目錄、數據編排和現代數據堆棧的其他組件之間的集成。此階段的另一個重點是確保數據訪問平臺的企業級可擴展性、性能、可用性和可靠性。

成熟階段的技術最佳實踐是：

• 數據平臺架構師應根據數據平臺所有者的數據基礎設施路線圖，設計數據網格、數據結構和數據共享架構中的數據訪問控制。數據訪問控制應該是設計過程的一部分，而不是事后的想法。
• 數據平臺工程師應該通過將現有目錄中的元數據標簽提取到數據訪問平臺中來開發與數據目錄的雙向集成，然后將其吸收到訪問控制策略中。
• 數據平臺架構師應不斷尋找機會來整合和簡化數據訪問控制，以消除障礙、優化實施和擴展性能。
• 數據平臺工程師應設置自動審核、警報、通知和日志記錄，以主動處理數據訪問問題。出現的任何此類問題應上報給合規官員以立即解決。

流程最佳實踐

數據訪問控制不僅僅是數據安全和遵守數據隱私法規。在我們日益互聯的數據環境中，共享數據的第一方和第三方之間的合同協議也必須得到充分維護。由于這項任務需要多個組織的合作，標準化流程是減少人工工作量和提高資源利用率的最直接方法。

成熟階段流程團隊的最佳實踐是：

• 數據平臺架構師應該為參與權力下放或數據共享計劃的每個內部部門和外部組織開發可重復的流程。這些流程應傳達給所有涉及數據的團隊，以確保在企業范圍內采用。
• 隱私、安全或合規官員應制定“認證”數據的流程，并證明數據質量水平、其使用協議以及其他合法性，以確保各方遵守敏感數據準則。
• 數據平臺工程師應該創建一個自動化的入職流程來添加新的合作伙伴。這一自助服務步驟應該可以縮短從新來源共享數據的價值實現時間。

遵循這些最佳實踐將確保即使是擁有成熟數據使用實踐的組織也能夠持續優化數據工作流程，從而提高其敏捷性和數據創新能力，而不會影響安全性。

三、小結

本文闡述了與數據安全和隱私成熟度的主要階段相一致的最佳實踐。據了解，組織及其數據安全和訪問控制需求并不是靜態的。因此，方法隨著內部流程、團隊和技術的發展和改進而進步。檢查每個成熟度模型階段的業務、技術和流程支柱的最佳實踐有助于培養穩健、動態和有彈性的數據訪問控制策略。