數據治理：提供完善資料保護的 5 大秘訣
資料是具有策略性意義的資產。企業必須嚴加控管資料的結構、存取權限和生命週期，才能從中受惠。然而，多數安全性領導階層皆對資料安全性感到不安：近 70% 的資訊安全長 (CISO) 認為自身資料有機會於勒索軟體攻擊期間遭到竄改[1]。其中一部分的問題，源自於傳統資料管理解決方案經常採用多個缺乏連結且重複的程序，以及逐點整合機制，因而過度複雜。此一拼湊而成的方法可能會暴露基礎架構缺口，繼而讓攻擊者有機可乘。
相較之下，主動式數據治理可提供完善的方法來保留資源，並簡化資料資產的防護作業。這項整合式數據治理方式在零信任安全性中扮演著舉足輕重的地位，可一舉涵蓋您的整個資料生命週期。此外，它也能透過縮小損害範圍及防堵攻擊者在網路中橫向移動等方式，降低資料外洩所衍生的成本。Microsoft Purview 可提供完善的數據治理解決方案，協助您管理地端、多雲和軟體即服務 (SaaS) 資料。為了協助您進一步發揮資料帶來的效益，我們提出了以下五大指引方針。
1.建立所有資料資產的資料對應
您需要先掌握資料的儲存地點以及可存取資料的對象，才能著手加以保護。這表示，您必須為整體數位資產內的所有資料資產建立完善的說明，包括資料分類、資料存取方式，以及資料擁有者。在最理想的情況下，您也應採用受到完善管理的資料掃描和分類服務，以處理每個資產的自動化資料探索、敏感資料分類，以及端對端資料譜系對應作業。此外，建議您使用熟悉的業務和技術搜尋字詞來標記資料，以利輕鬆探索。
對任何資料對應而言，儲存皆為重要環節之一，且應包含技術、業務、作業和語意等中繼資料，例如結構描述、資料類型、資料行，以及可用來搭配自動化資料掃描進行探索的其他資訊。業務中繼資料應包含說明和字彙字詞等項目的自動化標記。語意中繼資料可包含資料來源或分類的對應，而作業中繼資料則能包含執行狀態和執行階段等資料流程活動。
2.建立決策和權責劃分架構
掌握所有資料的所在位置後，您需要記錄每項資產的角色和責任。請從回答以下七個簡單的問題著手：
- 我們如何存取和使用資料？
- 哪些對象負責掌管資料？
- 當業務或法規需求發生變化時，我們如何做出回應？
- 角色變更或員工離職時，我們會採取何種存取權限撤銷程序？
- 我們是否已實作監控和回報機制，以追蹤資料存取的相關事宜？
- 我們如何處理生命週期管理作業？
- 我們是否將權限管理作業自動化，以落實安全性和法務遵循？
針對第一個問題，您應該擬定詳盡的資料存取生命週期，而當中應涵蓋員工、來賓、合作夥伴和廠商等對象。判斷哪些對象有權存取哪些資料時，請將該名人員的角色和相關資料的使用方式列入考量。業務單位主管應負責判斷每個職位需要具有何種程度的權限。
IT 和安全性合作夥伴可依據所收集到的資料，為每個員工職位和合作夥伴或廠商要求建立角色型存取控制 (RBAC)。隨後，法務遵循團隊將負責進行監控和回報，以確保這些控管機制能有效執行。實作權限管理解決方案也可防範權限遭誤用或惡意利用，繼而讓組織受惠。只要自動偵測異常警示，組織就可望減少 IT 工作負載、保留資源，並提高使用者生產力。
3.監控存取權限和使用原則
接下來，您需要記錄每個資料存放庫的原則。請判斷哪些對象可存取資料 (包括讀取和寫入存取權限)，以及資料將透過哪些方式共用，並運用在其他應用程式中，或由外部使用者所用。此外，請釐清貴組織是否將於這個存放庫儲存個人身分識別資訊，例如姓名、識別編號，以及住家地址和 IP 位址。若有任何敏感資訊，請務必落實最低權限或 Just-in-Time (JIT) 存取等零信任原則。
JIT 權限模式可將攻擊範圍限縮至僅限可主動使用權限的時機 (不同於常設權限所具備的全天候、全年無休攻擊範圍)，繼而強化最低權限原則。這類似於 Just-Enough-Privilege (JEP)，亦即讓使用者完成一項請求，以描述所需存取的工作和資料。如果請求通過核准，就會為使用者佈建臨時的身分識別，以供他們完成工作。當工作完成後，身分識別就會遭到停用或刪除。另外還有一種「代理程式和移除存取」方法，會建立常設的權限帳戶，並安全地儲存其憑證。之後，使用者必須提供適當理由，才能要求使用任一帳戶，以便在特定的期限內存取資料。
貴組織可保留每個存取權限提升請求的相關記錄 (授予或拒絕)，包括存取權限的撤銷時機。所有組織 (特別是那些會儲存 PII 的組織) 都需向稽核人員或主管機關證明自身已落實隱私權政策。取消常設的權限帳戶，將可協助貴組織避免稽核上的問題。
4.追蹤結構化和非結構化資料
傳統上，數據治理會著重於業務檔案和電子郵件。但隨著法規漸趨嚴格，現在，組織必須確保所有資料皆已受到保護，舉凡在雲端應用程式中共用的結構化和非結構化資料、地端資料，以及影子 IT 應用程式，全數包含在內。結構化資料涵蓋明確定義的資料類型，以及可用來輕鬆搜尋的模式，像是 Microsoft Office 或 Google 文件。非結構化資料則包含其他所有項目，例如音訊檔、影片，甚或社群媒體貼文。
那麼，在如此廣大的資料範圍中，您是否該讓個別資產的擁有者實作專屬的資料防護措施？對此，Microsoft 旗下的部分客戶採用了一項替代方案：開發矩陣式數據治理方法，藉此讓安全性和法務遵循專家能協助資料擁有者符合保護自身資料的各項需求。此一情境會採用「通用資料矩陣」來追蹤資料領域在貴組織內的互動方式。這有助於記錄哪些業務領域可簡化資料建立作業，以及資料資產的讀取、存取或移除作業。您的資料矩陣應識別資料的來源，包括正在使用的任何影子 IT 系統。視政府法規而定，請務必擷取任何含有敏感或機密資料的領域或子領域。此外，若能記錄每個業務單位的角色和責任，也可讓每個人掌握哪個對象正在使用特定資料進行特定工作、將資料新增至系統中，以及負責管理該資料。
5.刪除不再需要的資料
「暗資料」意指組織付費儲存，卻未充分用於進行決策的資料，目前正以 62% 的速度逐年增長[2]。鑑於多數 IT 團隊皆面臨人手不足的狀態，要求他們負責守護浩瀚的資料湖，絕非理想的安全性做法。那麼，您要如何得知對組織而言，資料將於何時失去作用？
有時，保護資料最簡單的方式，就是將其刪除。在零信任原則的「假設漏洞」心態下，資料越少，風險自然越低。智慧財產 (IP) 遭竊可造成偌大的財務傷害，客戶資料遭竊則會讓您的品牌蒙受長遠的負面影響。在隱私權法律的要求下，企業僅能在用於原始用途的期間內保存 PII[3]。然而，手動追蹤哪個檔案需要遭到刪除，儼然就是不可能的任務。比較理想的應對方式，就是實作持續的控管機制，好讓 PII 能自動過期，或是設定檢閱敏感資料的自動化提醒，以利判斷該資料是否仍有其必要性。
了解資料生命週期，有助於在資料不再需要時，更輕鬆地加以刪除。採用智慧型機器學習功能的整合式數據治理解決方案可為您代勞，在內容建立時加以分類，並自動套用適當的退場原則[4]。或者，您也可以使用多階段保留原則，在保留期限結束時，自動套用新的標籤。
深入了解
主動且完善的數據治理，為資料防護的重要環節之一，能一舉涵蓋整個生命週期，並確保資料可供探索、正確無誤且安全無虞，進而協助實現業務成果。Microsoft Purview 可為您的敏感資料設定生命週期控管機制、避免資料遺失，並管理角色型存取控制，繼而將數據治理作業予以整合且自動化。若要在貴組織內體驗 Purview，歡迎著手使用免費試用版。
如需深入了解 Microsoft 安全性解決方案，請前往我們的網站。歡迎將安全性部落格加入書籤中，一手掌握 Microsoft 專家所提供的安全性建議。此外，也請透過 @MSFTSecurity 關注我們，以獲得網路安全的最新消息和更新資訊。
歸檔：
[1] 近 70% 的資訊安全長認為將遭到勒索軟體攻擊，Danny Bradbury。2021 年 10 月 19 日。
[2] Microsoft 在 2021 年 9 月委託 Vital Findings 針對 512 名美國法務遵循決策者所進行的調查。
[3] GDPR 個人資料旨在保護哪些資訊？，GDPR。2022 年。
[4] Microsoft 致力於透過負責任且不負眾人信賴的方式開發 AI 系統。為了實現這項承諾，Microsoft Purview 工程團隊會運用 Microsoft 負責任的 AI 策略之六大核心原則，著手設計、建置和管理 AI 解決方案。在透過負責任的方式部署 AI 方面，我們會提供說明文件、調控機制、情境驗證和其他內容，以協助組織透過負責任的方式使用 AI 系統。
