DLP只是青铜，数据自主保护才是未来的王者

数据泄露防护（DLP）技术是目前数据安全防护领域的事实标准之一，在远程工作模式和云计算应用大量普及之前，DLP在组织数据泄露防护中发挥了巨大作用。但有研究人员认为，由于组织现在需要更多共享数据，企业的数据分布开始从内部环境转向多种类型的云存储平台，这使得DLP的应用价值正在发生变化。

现有数据防护技术的不足

每家组织都会采用一些数据访问控制措施来防止数据丢失和泄露。理论上讲，这些措施都很简单：只要根据请求者的角色，决定批准还是拒绝即可。但是实际上，现有的数据安全措施几乎成了所有企业安全团队的噩梦，因为它们应用起来非常复杂并容易出错，几乎没有企业对自己的数据安全管控现状感到满意。

DLP技术的应用，依赖基于提前配置的规则过滤来保护数据的流动，有较高的规则、策略设置要求，因此推行 DLP 的决心和成本，对企业而言是不小的考验。同时，DLP需要以数据分级分类作为应用前提。对企业用户而言，手动或半自动化分类数据面临无法克服的挑战，用户很难一致且准确地对他们拥有的全部数据进行识别发现，因此很多非活跃数据长期处于无人管理的状况，而这些内容中大量含有敏感或受监管的数据。

防火墙、入侵检测系统（IDS）及其他基于边界的数据控制对于如今复杂环境下的数据保护而言同样不够有效，其防护手段相对单一和粗暴，主要是在边界进行阻拦或者审计。但是目前的数据泄密，来自内部的风险急剧增加，基于边界的防护却很难检测或跟踪。

企业目前应用的各种数据安全工具相互独立，难以统一管理，无法实现数据安全态势分析，也难以做到管控策略的区分对待和细颗粒度管理，“一刀切”式粗暴的管理逻辑往往使得用户感觉自己的工作受限制、受监控，因此会对配合数据安全管理工作产生抵触情绪。

基于零信任的访问控制策略或许能够填补这个漏洞，一些组织也已经使用基于用户角色的方法来限制访问。但对访问内容了解有限将会影响数据保护的实际效果。数据质量差、难以集成以及缺乏数据可发现性，成为企业组织在管理数据时的主要挑战。数据安全防护需要更多的互操作性和智能化。而关系知识图谱和机器学习等应用正在兴起，有可能为行业发展带来变化。

数据自主保护的价值

数据保护从来并非易事，随着数据变得更庞大、多样化和广泛分布，保护工作会变得更具挑战性。现有的数据保护做法表明不够有效。我们需要一种自主的数据访问控制方法，利用人工智能和自然语言处理（NLP）等先进技术提供内容动态洞察，并根据语义上下文进行风险评估。这样信息安全团队才可以更放心地共享数据，避免疲于应付各种未知的安全问题。

Concentric.ai 公司创始人Karthik Krishnan表示：网络正在连接一切，基于大数据和上下文的检测、分析和响应技术已经成为主流，几乎所有的安全问题都可归结于数据安全问题，具备自适应能力的数据自主防护模式将会成为未来的主要方向。

Krishnan认为，数据自主保护的核心是在数据生产和运营体系中嵌入数据安全属性，以解决数据应用过程中的数据安全问题，其主要特点是能够根据应用程序和用户操作所处的上下文中的时间、位置、数据敏感性等因素，做出精确、智能的安全决策。数据自主保护需要能够持续监测网络流量、应用程序活动、用户行为、端点状态及其他相关数据集，获得尽可能全面的上下文信息，并依据获取的数据分析结果采取管控行动，而不是依赖死板的规则阻断。

新兴的零信任安全框架有望帮助企业实现数据自主保护，但前提是要有一种完善的数据安全解决方案提供支撑。向基于目的的访问控制演进，有望解决今天的数据安全面临问题，并且足够灵活。实现基于目的的数据安全控制，需要非常复杂和强大的数据和风险洞察能力支撑。目前的数据分级分类框架太过简单，还只是将数据分成有限的几大类，无法提供基于上下文动态观察的功能。

数据自主保护需要使用NLP来识别和阐明要保护的数据内容及其含义。传统方法使用预定义的规则将数据分类到已有的几大类；相比之下，基于人工智能的系统会基于数据本身生成宝贵的信息，并在需要和需求发生变化时创建新的类别。而NLP自主操作具有的价值非常关键，自动化是具有前瞻性、主动性思维的数据安全方法必备要素。

在数据自主保护模式中，任何解决方案（包括基于人工智能的解决方案）必须全面集成。它必须能够连接到每个系统和数据存储位置，包括原有的旧系统、云存储和共享驱动器等。它还必须支持结构化数据和非结构化数据，比如PDF、文档和电子表格。这种方法可以向基于目的的控制不断演进，支持全面的数据访问治理。它生成满足最小特权原则所需的内容观察，还可以根据不断变化的用户角色及其他情况（比如监管框架的变化），动态调整访问权限。