数据安全与身份管理的协同发展

关键要点

• 到2025年，全球数据总量预计将达到181泽字节，随之而来的是保护商业关键数据的挑战。
• 数据与身份管理的整合变得愈发重要，尤其是在AI服务普及的背景下。
• 数据安全团队与身份管理团队需要紧密合作，共同应对数据安全问题。
• 组织需要能够快速发现和分类数据，识别谁有访问权限，以增强安全性。

数据驱动的世界不断发展，因此安全环境也要求新的流程和技术来保证数据安全。到
，全球数据量预计将达到181泽字节。这次数据的激增为商业带来了前所未有的机遇，但也加剧了尤其是保护商业关键数据的风险。

SC Media的观点专栏由一群值得信赖的网络安全专家撰写。
。

在众多安全挑战中，身份问题显得尤为突出。为了使数据得以运用，企业必须向内部和外部利益相关者开放，并利用这些数据进入新市场、分析客户洞察、开发新产品以超越竞争对手。

在AI时代，已有的团队表示他们在工作中利用某种形式的AI服务，数据和身份安全的界限开始变得模糊。例如，像MicrosoftCo-
Pilot和Glean这样的企业助手（我们称之为非人类身份，NHI）可以帮助员工迅速高效地在各种平台上寻找信息。然而，安全地使用这些应用程序依赖于这些平台的本地权限设置。

数据与身份的对齐挑战

那么，为什么我们现在才讨论数据与身份的对齐呢？其实原因很简单：市场上少数安全供应商能够有效解决这种融合问题。这迫使安全团队手动将各个分散的流程和工具进行集成。过去的数据发现和分类工具在速度、支持混合环境的能力和准确性方面普遍存在困难，这导致了误报，削弱了数据安全的姿态。

然而，技术并不是唯一的因素。孤立的内部安全流程、不同的组织结构和跨团队缺乏沟通同样起了重要作用。数据由数据安全团队负责，而身份则归身份管理团队。

展望未来，将数据与身份视为独立实体的时代即将结束。这两者之间的紧密结合比以往任何时候都显得更为重要。数据安全团队需要知道敏感数据所在的位置及其访问者，而身份团队则要确认这些用户是否应该访问这些数据。这有助于安全团队更简单地将数据安全与身份管理融合在一起，促进零信任原则的实施，从而最小化对身份的过度授权。

数据安全程序需要将身份访问管理纳入其中，而身份访问管理程序也必须考虑到数据安全。我们不需要使其复杂化：安全团队必须清楚地知道敏感数据的位置及其访问者，而身份管理者则需要了解环境中的身份及其上下文。

当与首席信息安全官（CISO）讨论此问题时，我常常使用“OneDrive”场景来说明其安全隐患。如果OneDrive等服务被黑客入侵，影响到公司前20位高管：

• 团队是否知道哪些数据受到了影响？
• 团队能否确定谁对此数据有访问权限？
• 该事件是否违反合规要求？
• 评估损失及其成本并确认其重要性需要多久？

在99%的情况下，答案是没有人知道。组织必须能够迅速发现和分类其各个环境中的数据，并了解哪些人和非人类身份对此敏感数据拥有访问权限，从而消除不必要的访问权限。

这种多数人无法回答的问题凸显了理解数据与身份之间相互关联的重要性。如果能够理清这一关键点，价值实现的时间将会变得即刻。团队能够最小化过度授权的风险，从而符合零信任的数据访问原则，安全地采用