一、 局限的认知找不到理想的方法

我自己对数据安全的认知也经历过一个曲折的历程，第一个是关系信息和数据的关系，传统的信息安全关注的非结构化数据的安全问题，更多是保密范畴，知识产权，商业秘密是其关注的重点，虽然信息化时代结构化数据日益增多，但作为管理支撑系统，信息的局限性，让我们更关注的是信息系统的安全，所以ISC2的CISSP其实定义的是信息系统安全保障的范畴。传统网络安全（Network Security）关注的是计算、通信、存储等基础设施的安全，后来网络安全（Cyber Security） 承载了更多网络空间安全的含义，从这个维度上而言，我的认知是网络安全是手段，数据安全是目的，通过保障网络安全，实现数据安全。

这种认知的片面性在于，我做好了网络安全是否能保障数据安全，显然，依然存在缝隙，那么数据安全属性的产品，在网络安全之外，开拓了新的空间，预防数据泄漏的存储、传输、应用过程的加密、脱敏，检测数据泄漏的终端DLP、网络DLP、邮件DLP，检测、审计、溯源数据泄漏风险和事件的数据库审计、API流量检测与审计，一系列的数据安全产品提供数据生命周期的安全保障能力。所以，数据安全是有其独自定义的赛道的，从分层的角度，我们在网络安全、系统安全、应用安全之上，需要考虑数据安全。

网络安全，系统安全是传统网络安全的范畴，那么从本质而言，我们解决的是安全风险的问题，风险源自于资产的脆弱性和威胁，网络安全的资产是网络设备，系统安全的资产是服务器和中间件，脆弱性源自于资源的物理环境、软硬件的漏洞，威胁来自于恶意或无意的漏洞利用，在这个层面上，漏洞的利用与反利用是控制措施有效性的主战场。因此，攻防是当之无愧的网络安全的王道。

应用安全的重要性源自于互联网开放环境的崛起，一定程度上是信息化和数字化的分水岭，互联网开放的环境Web、App应用暴露在非受控的网络和终端，企业安全的边界被打破，传统信息化的管理支撑系统转换为业务系统，用户从员工转换为客户，应用系统从采购的商业软件转换为自主开发，这一切的变化，让应用安全从系统安全的范畴剥离，既然是软件系统，当然网络安全和系统安全的方法论依然适用，我们同样需要关注漏洞利用的攻防对抗，但除此之外，我们需要进一步关注到开发过程安全的管理，开发过程的安全无论是S-SDLC的方法论还是DevSecOps，都离不开应用开发过程的白盒测试、灰盒测试、黑盒测试的研发安全工具和系统能力的建设，而伴随着软件开发模式的开源生态，软件供应链安全和软件成分分析的SCA也称为热点，我们今天重点谈数据安全，应用安全伴生的研发安全就点到为止。

那么数据安全是不是也是沿着网络安全、系统安全、应用安全的道路继续关注漏洞的脆弱性从攻防的角度对抗，在附加上类似应用安全的开发安全的数据安全独特性，就形成一以贯之的方法论，从而实现数据安全？大部分的数据安全产品其实就是按照这个认知和方法论去执行的，当然，这也是为什么数据安全难以达成共识，难以实现效果的根源所在。

二、 错误的方法做不出正确的结果

回归本质，安全风险看资产的脆弱性以及威胁，网络安全、系统安全与数据安全的资产，脆弱性和威胁的本质是否相同，如果不同，会导致什么样的差异，该如何针对差异通过不同的方案去实现不同的安全风险治理是我们需要关注的重点。

相对于网络安全和系统安全而言，数据安全关注的资产是数据，什么是数据资产这是一个首先需要关注的命题，既然称之为资产，首先是需要具备价值，这就决定了数据的颗粒度，非结构化数据的文件、方案，涉及商业秘密、知识产权的是当之无愧的资产，结构化数据中，关系型数据库的列、行，未必具备业务价值，也未必称之为资产，只有具有业务价值，才能称之为数据资产。

数据资产相对于网络设备、计算、存储、应用的软件资源和实体而言，是个虚拟的资产，脱离承载的容器，难以独立存在。数据资产的可复制特征，使得数据资产的复制边际成本接近于零，数据资产流动的特征，决定数据资产是一种动态的资产而不是静态的资产，这些资产属性的独特性，是我们关注数据安全如何做的起源。我们以网络与系统安全的静态实体资产的风险控制论，设计安全功能、控制安全风险，自然会出现，做了很多努力，效果依然了了的局面。

即使是网络与系统安全，历经40年的发展，也走到了安全控制措施的瓶颈，根源在于安全基于还原论的方法论，从时空角度的分解，安全控制措施由不同控制点控制，缺失了体系化和系统化的融合，而从功能角度一厢情愿的整合为统一平台，必然被利益相关厂商抵制而难以落实，跳出还原论的陷阱，从系统论的角度，以数据维度实现自上而下的统一，是网络与系统安全进一步满足业务战略，提供数字化安全保障的演进方向。那么，从资产异同与网络系统安全差异巨大的数据安全自然不能以传统还原论的观点，做数据安全的功能拆解的数据安全产品，需要跳出网络系统安全方法论的制肘，形成全新的数据安全产品方法论。

从系统论的角度出发，关注数据资产的自身特性，最先关注到的是数据资产承载的容器，跳出采集、传输、存储、应用、分享、销毁的生命周期观点，从终端、应用、API、数据库的场景关注安全风险，从这个维度来看当下的数据安全产品，就能看到还原论方法下的功能集合。

我们需要继续沿着系统论的角度，看到数据资产的业务价值颗粒度，业务价值的颗粒度避免使我们陷入到分类分级的陷阱，避免过度的保护导致的性能和成本问题。例如，我们看人的维度的时候，身份证号码、手机号码是不是敏感数据，身份证号码包含地域、生日等信息，但如果没有和具体的姓名、地址结合起来不具有业务价值，同样，手机号码如果不和姓名结合起来，也不具备业务价值，那么在数据库中，仅从列的角度而言，是不是需要加密呢？这涉及到数据资产定义的粒度和数据资产所在场景的问题。只有在组合成数据资产的场景中，数据资产具备业务价值，才是我们需要安全保障的重点，例如，组合了姓名、身份证号、手机号码的API、应用，我们就需要通过加密或脱敏的角度，保护数据资产的机密性。

接下来我们要看到数据资产的流动风险，基于场景的数据资产风险依然是静态的，功能性的控制措施实现对数据资产的保护，数据资产的流动的特征决定我们单纯的静态的、功能性的保障措施，难以实现全面的数据资产的安全保护。数据资产处理过程涉及到的场景、处理者实体、行为的关联分析，无论是个案记录实例的溯源以及批量记录的异常发现和预警，都是流动数据资产安全保障的关键因素，我们可以通过个案记录的审计和回溯在数据安全事件中实现责任的归因和处置，我们可以通过批量记录的聚类分析，实时发现数据资产相关的安全风险，及时的响应和处置。虽然，目前有些产品在这个领域有所突破，但并没有触及根本，这涉及到数据资产跟踪的数据源建设与分析能力的专业性问题，仍处于起步初期。

数据资产的可复制性风险，数据资产的可复制性不仅是数据的共享和数据外发的问题，关注的是数据资产在业务生态环境中的安全问题，在非结构化数据涉及到商业秘密问题时，水印是一种被经常使用，解决数据资产可复制性和溯源的问题，在结构化数据中，也有些暗水印，以及数据包中掺假数据的数据包层面的处理方案，但结构化数据的灵活性特征，使这些方案的可用性和有效性大打折扣。如何解决可复制性带来的安全风险，仍然需要从本质出发，分析可复制性带来的问题的本质是什么。举个例子，当怀疑短信供应商数据泄漏时，如何排查和追责，一个好的实践，是随机使用多个短信供应商的多家通道，然后分析每个通道，每个供应商的数据泄漏风险与整体风险的差值，通过聚类实现追溯。通过这个例子，我们可以触类旁通，追根溯源，避免刻舟求剑。

网络系统安全与数据安全在资产的属性、脆弱性和威胁方面存在的差异决定了不能以网络安全静态的、功能主义成功的方法论去移植到数据安全层面上来，网络系统安全的方法对数据安全的价值仅在数据资产依存的容器安全层面上具有价值，防止容器风险导致的数据安全问题，但在数据资产自身的安全特性层面，数据资产的业务观，数据资产的流动性、可复制性带来的个体实例和数据资产集合层面需要以数据资产动态，场景的安全风险控制措施加以完善。

三、数据驱动的数据安全

数据驱动的安全代表网络安全行业需要数据生产要素的推动，关于内部数据源与威胁情报为主的外部数据源之间的双向流动促进行业数据生产要素市场的发展另文阐述，但数据安全，天然需要数据驱动的模式来实现数据安全。

数据资产的脆弱性包括传统意义安全上的机密性、完整性、可用性、不可否认性，因此，数据资产的操作者实体，行为、过程需要做到流动过程的全程跟踪和可追溯，不能仅从一些控制点的角度实施了预防措施就万事大吉，无论是零信任的认证、鉴权、访问控制体系，还是加密、脱敏的预防控制措施，还是终端、网络、应用、数据库的泄漏检测手段。建立数据资产流动过程的监控手段，需要建立完善的数据采集点，并且具备数据采集点采集信息的关联分析，实现对单个实例的全程追踪，也具备实例集异常特征的分析。

如果做全链路的关联分析，结合可视化和分析模型，与网络安全运营的理念相同，也可以称之为数据安全运营管理平台，这个平台一方面是实现我们提到的单个实例的全链路追踪和实例集的异常分析。另外需要具备的管理功能是实现数据资产分类分级与安全控制策略集的有效性的验证和检查，例如，我们可以针对一个包含用户敏感信息的API在控制点检查是否实施了敏感信息级别的加密或脱敏，对不符合分类分级结果的管控措施，可以实现预警或拦截处置，实现安全控制措施的有效性验证。无论是链路跟踪基础上的关联分析和异常分析还是数据安全风险与控制措施有效性验证，目前都缺乏具备竞争力的产品，这是数据安全赛道上的新机会。

综上所述，安全的本质在于风险和事件的发现、响应与处置，数据安全的本质从这个维度并无不同之处，区别在于数据资产和网络系统资产属性的差异化，从实体静态资产到虚拟动态资产，从实体资产的天然一体到需要关注业务价值的资产粒度，从实体资产的唯一性到资产的可复制特征，决定了我们不能简单的以网络安全的静态，功能驱动的脆弱性和威胁控制措施的直接套用解决数据安全的问题，需要在关注场景和容器安全的前提下，识别数据资产独特属性下的脆弱性和威胁，建立行之有效的单体实例与集合实例的全链路关联分析，实现溯源和异常预警。从这个目标出发，进一步实现对数据资产的安全控制措施有效性验证，建立数据驱动的数据安全运营管控机制，从而形成有效的数据安全体系。