2020年国务院国常会强调“新型基础设施建设”，并写入2020年政府工作报告。“新基建”的涵盖领域包括大数据、人工智能等IT领域。大数据作为海量信息的中心，将携手人工智能、数据可视化等技术为各行各业提供决策依据。
随着大数据应用的普及，数据的重要程度将越来越高，数据作为一项重要资产，必然会使国家政府、社会机构、企业都纷纷建立起自己的大数据中心平台。但是大数据中心的建设，必将带来新的数据安全问题。
企业数据资产是一把双刃剑，它既能在国家政策、社会管理、商业策略过程中起到了重要的作用，同时也带来诸多的安全问题，如数据泄露风险、数据越权访问、数据非法使用等问题。所以各个机构建造自身的大数据平台，永远绕不开数据安全治理的话题。
根据Gartner预测,2021年,超过30%的企业开始实施执行数据安全治理框架。2022年，90％的企业战略将明确数据作为关键企业资产。很明显未来将越来越多的企业机构关注数据安全治理问题。
如何保证数据资产能够得到有效的保护？作为一个企业，如何合理的制定和规划敏感数据治理的方案呢？
n敏感数据治理的范围原则
随着互联网、移动互联网、工业互联网等发展，数据来源和数据结构更加的多元化，海量的数据需要大量的结构化手段才能够形成可用的数据化资产。对于敏感数据的安全治理方案成本和数据量、数据结构、数据使用的范围、数据来源渠道、数据使用方式都息息相关。
因此企业在制定解决方案时，需慎重考虑数据保护的范围，明确哪些才是敏感数据，并为其制定有效的解决方案。
首先是考虑合规问题，按照《GBT 35273-2017 信息安全技术个人信息安全规范》解释，个人敏感信息是指一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。所以企业在考虑数据保护范围时，在企业活动中收集的个人敏感数据是首先要考虑的保护和安全治理的。
其次要需要考虑的是企业经营数据。数据资产对企业的重要程度，通常需要根据数据的价值来决定，只有有价值的数据才能形成数据资产。对于一个企业来说，有价值的数据指的是能给其运营、管理和决策带来重要影响或帮助的数据。企业运营的关键数据通常也是作为企业需要安全治理保护的对象。
最后还需要评估企业数据的保护范围。企业敏感数据治理的重点在数据落地和使用的环节。虽然数据落地和使用是敏感数据治理的重点，但是敏感数据治理范围还须覆盖整个数据活动的整个生命周期，因为任何一个环节如果长期处于数据泄露状态，也会造成敏感数据的泄露。按照《数据保护法》草案中描述，数据活动,是指数据的收集、存储、加工、使用、提供、交易、公开等行为。因此企业的数据治理必须覆盖到数据活动的各个环节。
n敏感数据治理的方案规划
企业在规划敏感数据治理方案时，方案与产品选型考虑的因素非常多，包括方案是否合理，投入产出是否匹配，落地难度等。国内很多企业在做方案规划时，对数据的范围，敏感数据的隐秘方案，敏感数据的访问权限等方面的处理非常简单粗暴，但是在落地的过程中往往让数据仓库变成一个个黑匣子，它无法被泄露但是为使用带来极大的麻烦，失去了作为数据资产的价值。任何脱离应用场景的敏感数据方案都是不合理的，因此企业在规划数据方案时，应多方面考虑方案的合理性。
一、在规划敏感数据治理的方案时，企业需要对数据本身的属性有详细的了解。比如数据结构、数据容量、数据重要性分级、是否属于相关法规规定保护的数据等。只有对数据的属性了解，才能进一步考虑匹配的方案和产品，比如产品性能能否满足海量数据的脱敏要求，加密处理后数据访问性能产生影响、非结构化数据的存储介质是否满足高可用高安全性等。
二、数据落地问题。数据落地存储是敏感数据治理保护中重点和难点。目前国内外重要的数据泄露事件大部分都是由结构化数据发生“拖库”事件引发的。其实企业大部分也能意识到数据明文存储的风险，但由于对数据进行隐秘和权限管理，需要付出巨大的技术和管理投入，也会对数据的可用性带来一定的影响，需要一定程度上改变数据的使用习惯，因此在引发数据泄露事件之前，企业往往存在侥幸心理。
三、明确数据的使用对象，包括使用的人员、系统和机构。在确定数据的使用对象后，才能针对使用对象的身份和权限做有效的安全规划。敏感数据也是分为等级的，每个企业对数据的敏感程度定义是不一样的，因此根据数据的敏感程度等级，进而规划敏感数据治理方案，才能达到数据统一，分而治之的目的。
四、数据的使用环节是一个极度容易数据泄露的环节。数据的使用通常在数据收集完成之后，包括数据加工处理、数据的应用、数据的服务等。在这些环节往往需要将数据脱离数据安全域进行应用。保证数据使用中的安全性是一个很复杂的过程，往往需要在企业IT架构和系统中的各个环节都要进行安全梳理和评估，最终从方案中有针对性的对各个使用环节提供安全可控的方案。
五、合理性和可执行性。企业在做敏感数据治理方案时经常会进入一个误区，就是制定一个完善而安全的制度或者方案，进而要求各个部门、各个系统和使用者按照方案规划执行。这类脱离了实际应用场景进规划的敏感数据治理解决方案，往往最后都是无法执行的，最终成为烂尾项目。在敏感数据治理方案的规划当中，应考虑方案的合理性和可执行性。一般情况下，数据的可用性和数据的保密性是对立关系，在一个无防护、无加密、无权限控制的环境下，数据的可用性将达到最大化，但是这种“裸奔”的数据带来了非常大的风险；相反，如果对数据进行严苛而粗暴的管理措施，使得数据的获取和使用非常困难和繁杂，也不符合大数据以及数据共享时代的趋势。所以，非常应该对数据进行有效分类，避免一刀切的管理方式，而应采用更加精细的方案，让敏感数据在可用性和安全性之间获得平衡。只有让数据继续发挥其作用，才是数据资产，对其的敏感数据治理才有意义。
江南科友作为专注数据保护的安全服务商，为企业敏感数据安全治理中提供有效的安全方案规划，让数据治理更简单更安全。