面向数据安全合规与能力提升 DSP成为重要载体

 

在安全419《数据安全治理解决方案》系列访谈中，我们总结得知，数据安全治理更多作为一种体系化的思想和策略，指导企业在数字化时代有效实现对数据安全风险的主动感知及防御，平衡业务发展与风险隐患。在其落地实施过程中，根据市场需求的侧重点不同，各数据安全厂商的历史积累，以及客户安全建设成熟度的差异，产生了林林总总的工具、产品和引擎。

 

 

 

近几年，随着数据安全治理的体系化思维和统一安全机制在满足合规和安全能力提升方面都大有裨益，各产品能力的集成与安全策略的整合趋势愈加明显，面向数据全生命周期安全管理的数据安全平台（Data Security Platforms，DSP）成为构建数据安全治理体系，保障数据安全的重要载体。

 

同时我们也观察到，数据安全平台DSP已连续两年（2022年-2023年）入选Gartner中国网络安全技术成熟度曲线（Hype Cycle for Security in China），正处于快速上升期，市场渗透率目前只有目标受众的1%至5%，前景可谓广阔。

 

梳理Gartner、IDC等多家调研机构对数据安全平台的定义，再结合中国市场环境，数据安全平台DSP是以数据为中心，面向数据全生命周期构建的安全管理与防护体系，其核心是在数据风险防护与合规监管的推动下，根据具体的业务处理场景和数据全生命周期各个环节，以数据发现和数据分类分级为基础，以数据流转监控及数据风险评估为目标，融合数据访问、数据存储、数据加密、用户身份验证等多种数据安全技术，实现数据安全防护的平台化。具有对各场景业务与数据流转的全面梳理能力、对数据全生命周期安全防护和监测能力数据安全平台与能力单元智能化联动能力，以及敏感数据自动发现及大数据分析能力等核心价值。

 

 

如前所述，数据安全治理是遵守《数据安全法》的重要组成部分，企业需要一个统一的、集成的数据安全平台DSP来支持数据安全治理的实施。而且，《数据安全法》明确重要数据的处理者应当对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告，数据安全平台DSP能够获得数据驻留、流通和使用的完整可见性，可以简化数据风险和合规性评估流程。

 

除了合规层面的强有力驱动，如今，企业的数据资产已经突破本地数据中心，在混合云环境中越来越多地分布在不同的服务和信任边界上，这要求企业必须更有效地管理数据安全。传统上，数据安全是由各自独立运行的不同产品提供的，数据安全平台DSP通过跨不同产品联动不同的数据安全控制和功能，支持在本地和基于云的数据存储上集中部署一致的数据安全策略。

 

这带来一种范式的转变，其价值不仅是保障数据的安全无虞，狭隘地满足合规目标，更是匹配数据如今的频繁流动的业务需求，促进数据的安全共享和利用，达到管理治理数据资产并启发赋能业务的作用。

 

但我们同时也需要注意到，作为一种新兴的技术策略，数据安全平台DSP目前仍处于初级阶段。Gartner指出，只有当企业发现自身现有的传统控制和保护措施不再足够或不能很好地匹配业务效率时，他们才会意识到这一点。然而，用统一平台替代单一功能产品需要强有力的业务理由、长期的过渡计划以及成本投入。这或许是目前数据安全平台DSP市场覆盖率还很低的主要原因。

 

在目前已落地的实践中，数据安全平台DSP也反映出一些水土不服状况。比如，大多数平台可以与同一厂商原有领域的安全产品很好地联动协调，但实际上，客户现有产品组合多数由其他供应商的异构产品组成，那么以前不同的技术的集成可能面临挑战性。此外，大多数数据安全平台DSP依然偏向于结构化数据，但市场需求在针对非结构化数据上是同等重要的，研究发现，供应商在非结构化数据的数据发现、分类以及文件级加密方面进展较为缓慢。

 

因此，我们可以总结，数据安全平台DSP所畅想和支持的能力是比较完整统一且具有扩展与弹性的，在实施过程中，还面临着进一步的适配和能力迭代。供应商不仅需要关注自身的历史积累和能力边界，更要关注市场的需求、客户业务情况及安全水位，才能更好发挥数据安全平台DSP应有的价值。

 

 

聚焦到国内市场，我们观察到，由于数据安全与日俱增的受重视程度和广泛需求，几乎所有的综合型安全厂商都在各自的数据安全产品线上整合推出数据安全平台DSP；而那些从成立之初就扎根在数据安全赛道的专业型厂商，也已经从传统的数据库安全、文档安全进行升级迭代，其推出的数据安全平台DSP多携带自身技术特长基因；此外还有一批诞生于数字化转型时期的创新型厂商，以技术创新落地前沿理念，推出各具特色的数据安全平台DSP。

 

数据安全专业厂商诸如美创科技，其在日前举行的世界互联网大会期间发布了新一代数据安全管理平台（DSM Cloud），通过将各数据安全管理、数据安全防护、数据安全运营等能力，用一套技术架构收敛至一个平台，从而落地弹性、数字化、云化、自适应进化、可观测五大新特性。

 

通过技术架构升级，云端解耦，实现弹性多层防御；以数字化能力赋能平台，将复杂多变的信息转变为可度量的数字和数据，并用数字化的模型来描述，通过数字化和数据的横向纵向对比，帮助用户看到相同点、看到不同点、看到趋势，从而增强对数据安全世界的感知；将自身平台和防护能力云化，在聚合各安全能力单防护场景的情况下，内置场景防护方案，一键联动安全能力，实现流动场景防护和云上各种场景的覆盖；通过资产和身份全生命周期的数字化，建立自适应进化的资产和身份防线，依托编排与自动化影响能力以及知识库，逐层实现自适应进化，实现一键部署、个性化定制，自动适应复杂环境；围绕资产、身份、行为、风险等维度，提供更为全面、综合和深入的观测能力。

 

综合型安全厂商诸如启明星辰，其推出的数据安全管理平台意在实现高效的数据安全管控、全面的数据安全治理以及持续的数据安全运营，目前已在各级数字政府、电信运营商、企业等用户群体广泛部署，能够为用户提供符合数据安全能力成熟度模型（DSMM3）级要求的安全保障。

 

平台首先以“身份”为中心，对访问的主体进行权限设置和判定，并结合零信任防护理念，实现动态的、风险感知的可信访问控制，和动态细粒度的权限控制，解决运维通道、数据通道、应用通道的数据安全隐患。同时以“数据”为中心，集合了DLP、数据库审计、数据库防火墙、数据库加密、文档加密、动态脱敏、静态脱敏等安全原子能力，实现涵盖数据资产管理、数据分级分类、数据流转监控、安全合规等内容的数据全生命周期安全监管。平台依托的各种数据安全能力组件覆盖安全运营体系预防、保护、监测、响应四象限，可被安全运营服务及平台集成和调度，实现持续数据安全运营，为运营服务创造更大价值。

 

创新型厂商诸如云集至，其已建成多种维度的数据安全平台，可帮助用户实现安全设备集中管理、风险感知、用户实体行为分析UEBA、数据交换运行安全、安全事件全链条分析等覆盖数据全生命周期的场景需求。

 

全数据安全集中管控平台进行数据安全集中化、标准化、规范化、常态化管理，全面掌握全域敏感数据资产分类分级及分布情况，有效监控敏感数据流转路径和动态流向，通过接口对接数据安全技术设备，集中化对数据安全管控策略统一管理。数据风险感知与分析平台从数据安全日志或在线流量中抽取关键信息，并以用户操作行为汇总建模，对严重偏离模型的行为进行告警或阈值控制，帮助发现数据泄密、数据违规访问、误操作的威胁。数据流转管控平台采用文件权限控制、脱敏、水印溯源保护，保障终端、服务器系统的敏感数据只能被合法用户合规使用。数据安全智能溯源平台收集用户全链条数据行为日志，对攻击事件、恶意操作事件、误操作事件等进行精准取证，实现数据安全事件全链条分析。

 

 

透过上述介绍我们也可以看出，虽然各厂商出于对理念技术理解的不同和各自技术沉淀及特长的差异，而打造出功能各有侧重的平台化产品，但趋于一致的是，数据安全平台DSP是为企业交付的一套全面且直观的数据安全治理解决方案，其搭建的是集数据发现、流动治理、风险感知，自适应防护为闭环的数据全生命周期安全一体化能力。

 

调研机构认为，到2027年，企业将对数据安全平台DSP供应商的投资增加60%。产品平台化、安全策略统一化已经成为数据安全合规和内生保障的重要趋势，不断丰富的原子化能力正推动其迈向更成熟的市场，未来，数据安全平台DSP有望融合更多数据安全技术，与工业互联网平台、车联网等应用场景形成耦合，进一步提高数据资产管控和风险防范能力。