风暴之眼——Gartner定义数据安全治理（三）

Step2：数据优先级

进行数据安全治理前，需要先明确治理的对象，企业拥有庞大的数据资产，本着高效原则，Gartner建议，应当优先对重要数据进行安全治理工作，安华金和的治理思路同样将“数据分级分类”作为整体计划的第一环，这将大大提高治理的效率和投入产出比。通过对全部数据资产进行梳理，明确数据类型、属性、分布、访问对象、访问方式、使用频率等，绘制“数据地图”，以此为依据进行数据分级分类，以此对不同级别数据实行合理的安全手段。这个基础也会为每一步治理技术的实施提供策略支撑。

Step3：制定策略，降低安全风险

从两个方向考虑如何实施数据安全治理，一是明确数据的访问者（应用用户/数据管理人员）、访问对象、访问行为；二是根据基于这些信息制定不同的、有针对性的数据安全策略。这一步的实施更加需要数据资产梳理的结果作为支撑，以提供数据在访问、存储、分发、共享等不同场景下，即满足业务需求，又保障数据安全的保护策略。

Step4：实行安全工具

数据是流动的，数据结构和形态会在整个生命周期中不断变化，需要采用多种安全工具支撑安全策略的实施。Gartner在DSG体系中提出了实现安全和风险控制的5个工具，实际上这5各工具是指5个安全领域，其中可能包含多个具体的技术手段：

Crypto（加密）：这其中应该包括数据库中的结构化数据的加密，以及数据落地存储之前传输层或应用端的加密，以及加密相关的密钥管理、密文访问权控等多种技术。

DCAP（以数据为中心的审计和保护）：可以集中管理数据安全策略，统一控制结构化、半结构化和非结构化的数据库或数据竖井。这些产品可以通过合规、报告和取证分析来审计日志记录的异常行为，同时使用访问控制、脱敏、加密、令牌化等技术划分应用用户和管理员间的职责。