消费派生的数据治理难于侧翼
来源：CPDA数据分析师网 / 时间：2021-04-12
企业的77％都放置至少一个应用或云计算基础架构的某些部分，但是许多公司在迁移其所有流程和数据时仍然保持谨慎，根据近的一份报告，数据安全性阻碍了四分之三的公司继续推进云项目，不管这些安全问题如何，云中所有文件中约有五分之一包含敏感数据，而且数量还在不断增加，这只会增加公司在尝试维护IT安全性，隐私和合规性时已经面临的挑战。
安全策略通常无法跨多云设置一致且无缝地实施
这通常是因为组织使用了几种不同的安全工具，而所有云服务和本机集成都不支持这些工具，由于应用程序在不同的云环境中运行，因此统一的策略定义和执行也会受到影响，从而导致数据安全盲点。
迁移到云中的数据安全漏洞
通常在将数据和流程迁移到云中时，会移植旧版安全产品或采用新的和不熟悉的安全产品，这增加了复杂性，为人为错误打开了大门，并为黑客提供了窃取敏感数据的机会，或者为具有特权访问权限的内部人员滥用或滥用数据创造了机会，单个未选中的框可能导致基本的安全漏洞，在一个开放Web应用程序安全项目中，工程师未能禁用服务器上的目录列表。这种失误为黑客列出目录并访问编译的Java类打开了方便之门，攻击者使用逆向工程来查看代码并识别应用程序中的访问控制漏洞，从而使他们可以进入系统内部。
将敏感数据移至进行测试或分析
也已发现安全漏洞，当未正确保护S3实例，使其对Web开放时，就会发生此问题，转换期间的其他潜在安全漏洞包括不安全的默认配置，不完整的自定义配置，不安全的云存储，错误配置的HTTP标头和丢失的补丁程序，即使云迁移完成后，安全漏洞仍可能存在，一个关键的挑战是离开网络受保护边界的数据数量继续增加，考虑到企业经常在云中使用本地定制的应用程序，这些应用程序通过API调用或其他方式共享敏感数据-实际上，这是AWS配置的通用模型，同样社交网络等可能泄漏数据的应用程序在公司网络上的使用频率也更高。
员工疏忽是另一个关键问题
大多数违规行为涉及凭据，密码薄弱，猜测或被盗，由于不良的安全习惯，破解密码通常很容易，将近四分之一的人拥有某种易于猜测的密码，但是坚定的攻击者也可能会破坏甚至强密码。
查询层数据消耗治理
安全方法造成的差距与IT安全团队实施的基础架构存在不同的约束，而基础架构则充满了内部风险，当企业将大量的应用程序“提升并转移”到云中时，它们也正在传输和重新编译应用程序代码本身，问题在于大多数应用程序与安全基础架构脱钩，而这些基础架构在移动时首先对其进行了保护，并且常常暴露于云环境的动态中，迁移到云实质上意味着将越来越多的基础架构控制权转移给其他人，以实现成本和灵活性优势，完成此操作后，内部人员威胁会随着未知人员实际管理基础结构本身而增加，而与基础结构绑定的安全产品的效力甚至更低，即使是云安全产品，也经常绑定到特定的云或特定的云部署，这只是同一问题的另一个版本。
为了解决这些挑战
一个签名示例是在工作负载本身（在查询层）实现安全性，从而有效地将安全性与基础架构性地分离，从这个有利位置，可以识别异常的数据消耗，从而在发生未经授权的访问时限制数据丢失。这可以通过在构建应用程序时将遵从性策略机制编程到应用程序中来实现，类似于信用卡公司在支出看起来可疑时阻止帐户，基于消费的治理模型非常紧密，因为它与数据源紧密相关，在这种情况下，可以根据身份以及任何其他其他参数对数据消耗治理策略进行微调，以在数据流超过预设阈值时阻止数据流。
扩大消费治理
原则的基本问题是，如何与其他方法（假设某人不是他们所说的真实身份）一起增强身份系统，在应用程序之间发生数据流的查询层提供数据保护，这意味着扩展后的所有内容承担的风险都较小，但是数据流的查询级可观察性仍然容易受到凭据网络访问的影响，例如凭据可能允许用户直接进入数据库服务器并获得对数据的访问权限，而无需进行管理。
防止这种情况的一种方法是将某些敏感数据值的静态混淆构建到实际的治理模型中
这意味着某些数据实际上是伪装的，通常用数据库本身内部的令牌代替，提供数据消耗治理的同一系统是可以解释令牌并将其转换回其清晰值的系统，通过这种机制，任何想要使用特别敏感的数据的用户或应用程序都必须通过受控的途径来获取它，因此在每种情况下都要评估消耗量，广泛遵循零信任原则，甚至可以解决组织内特权的访问，由于云是增长的力量倍增器，因此在云中迁移应用程序可以消除人员，合作伙伴和客户之间的障碍，同时可以稳定运营，但是围绕云中的数据访问实现有效的“内部”安全态势将决定解决方案本身就是云原生的，在查询级别实施的数据消耗治理可观察和控制敏感数据的消耗，可以帮助企业充分利用云，同时降低相关风险。