以及为什么它是数据民主化的推动者。
在这篇文章中，我将介绍一下DataSecOps的定义，以及它今天的主要原则。由于DataSecOps是一种非常令人兴奋的新思维，随着DataSecOps获得更多的经验和信息，这些原则将不可避免地发生变化。
数据安全运营的定义
让我们从DataSecOps的建议定义开始。 DataSecOps是一种敏捷的、整体的、嵌入安全的方法，用于协调不断变化的数据及其用户，旨在提供快速的数据价值，同时保持数据的隐私、安全和良好的管理。
让我们把这个定义分解开来，以了解DataSecOps的一些核心概念。
DataSecOps是敏捷的。今天，与数据有关的过程（即数据或其可访问性的变化）变得比以前更频繁、更重要，而且来自不同团队的许多用户访问相同的数据。因此，DataSecOps必须是灵活的，否则它将无法跟上发生在数据上的操作变化。
DataSecOps是整体性的。随着数据民主化进程使更多的用户和团队能够利用数据，这种转变也在组织中引入了大量的数据利益相关者。这些利益相关者包括数据所有者或管理人、许多不同的消费者（他们以不同的方式消费数据），当然还有组织内的利益相关者，如数据工程、安全、GRC、IT、隐私和法律团队（仅举几例）。如果一个组织中唯一具有DataSecOps思维状态的团队是数据工程团队、安全团队，甚至是两者，那么这种方法将是不够的。
DataSecOps是一项团体运动，每个参与数据访问和操作周期的人都应该有同样的心态。在许多公司，这需要大量的团队来分享DataSecOps的思维方式。
安全嵌入的方法意味着安全与所有数据项目和操作交织在一起。换句话说，安全不应该只通过数据项目结束时的安全检查或年度审计进入画面。安全需要成为重中之重，并且应该从设计开始就嵌入到项目中，甚至在项目完成后通过持续的监控继续下去。
当我们提到不断变化的数据及其用户时，我们的意思是DataSecOps与以数据为中心的公司有关，在这些公司中，数据及其用户经历了很多变化。这些变化可能是新的数据源和生产者，丰富的过程，数据转换和移动，平台变化等等。用户是数据消费者和生产者，他们需要定期改变其数据访问策略。
最后，从DataSecOps中获得的价值是一种平衡，即一个组织及其团队可以在不影响隐私、安全和治理的情况下，快速提供数据价值。为了保证数据安全而延迟数据访问是无法实现DataSecOps的，因为这意味着延迟了组织将数据转化为价值。我们需要找到能够使我们同时拥有两者的流程和技术。
数据安全运营的原则
现在，让我们来了解一下当前的DataSecOps的原则。
安全是数据运营的一个持续部分，而不是事后的考虑
如果安全问题是事后才想到的，那么它可能会导致不良后果。例如，假设你有一个数据项目，旨在与客户共享新的数据。如果安全问题是事后考虑的，你可能会在后期遇到安全问题，一旦修改你的方法变得非常昂贵。你可能需要 "回到绘图板"，替换一些你创建的基础设施或代码。
在一个具有DataSecOps思维的组织中，安全问题一直是数据操作和项目的一部分，安全问题会积极地参与到这些项目的设计中，以防止以后出现此类问题。另外，由于安全是整个过程的一部分，如果安全问题真的出现，可以在实施价格还很低的时候立即处理。
优先选择连续的过程而不是临时的项目
由于今天的数据是快速变化的，新的数据对象和用户非常频繁地产生，围绕安全、隐私和治理的临时数据项目往往会很快变得陈旧。
例如，每年（甚至每季度）执行一次的敏感数据发现项目，如果变化频率远高于此，则可能会有风险。理想情况下，只要有可能，这类项目应该被连续的流程所取代或伴随着连续的流程。例如，敏感数据可以在使用Satori软件的持续过程中被发现。
环境、测试和自动化的分离
在应用程序开发和部署中，工程团队没有适当的环境分离（这些环境通常被分离为测试、暂存和生产），没有对代码和配置变化进行自动化测试，这几乎是闻所未闻的事情。
不幸的是，这些做法并不总是发生在数据运营中。在许多情况下，根本没有环境分离，测试直接在生产环境中进行。另外，自动化测试往往不存在，特别是在安全方面。
在一个具有DataSecOps思想的组织中，有一个具有相关安全配置的暂存环境，并且测试是以一种持续的方式进行。通过这种方式，你可以，例如，测试特定的角色或用户不能访问某些数据（如PII），这些数据应该被屏蔽掉。
确定优先次序是关键。专注于敏感数据
由于你可能没有你想拥有的所有资源，你需要优先分配资源、任务和项目。在数据方面，几乎总是敏感数据，你应该优先考虑，因为敏感数据的安全问题可能是，嗯，确实非常敏感。
对敏感数据进行优先排序的前提条件是知道你的敏感数据在哪里以及它包含什么（以便在敏感数据中进行优先排序）。如果你不确定你的敏感数据在哪里，找出这些信息将是一个好的开始。然后，探索你可以采用哪些措施来保护它，了解谁可以访问它，并知道他们的访问是否可以被撤销或限制（例如通过屏蔽敏感数据）。
数据应明确归属
在处理数据时，明确性是非常重要的，然而，在许多情况下，组织的数据对象没有明确的所有权。这些可能是不活跃的老项目，没有人 "敢 "删除，甚至是一直在使用但缺乏明确所有权的项目。了解谁拥有这些数据是很重要的，尤其是当它可能包含敏感数据时，要么删除垃圾数据，要么确保数据所有者清楚谁可以访问这些数据以及这些数据会发生什么（例如，如果它被其他项目和团队使用）。
简化和确定的数据访问
当我们在讨论清晰度的问题时，数据访问需要简化和确定。这意味着，如果某个用户或团队需要在特定条件下访问某个数据集（例如临时的只读访问），他们将得到与其他相同情况下相同的答案，并得到相同的推理。如果答案总是否定的，那也没什么，但建立一个明确的允许访问数据的流程是必须的。
例如，数据科学家如果提出要求，可以被允许访问所有的数据，但某些数据集除外，前提是敏感数据被屏蔽。如果可能的话，这种明确的政策可以被自动化，以允许自我服务的数据访问，并简化数据访问（请记住，DataSecOps是关于快速实现价值的）。
在不影响安全的情况下快速实现价值
最后一个原则是使组织能够 "以数据为导向"，在不影响安全的情况下实现数据民主化。我们可以通过确保围绕数据访问有明确的政策和流程来实现这一理想，这样，当数据访问出现延迟时，是由于 "正确的原因"（即很少发生的边缘情况，需要特别批准），而不是因为有一个手动的冗长流程，所有数据消费者需要等待很长时间才能获得数据访问。
这样的瓶颈可能是数据工程团队需要手动设置数据访问设置或不必要地重复数据。
DataSecOps需要你!
DataSecOps还很年轻，但它是极其重要的。如果你想成为DataSecOps的一部分，请联系我，了解更多关于DataSecOps的信息，以及你如何影响它。
本是Satori公司的首席科学家。 首席科学家, 通过DataSecOps简化数据访问和安全。
DataSecOps简介》最初发表在Medium上的《Towards Data Science》，人们通过强调和回应这个故事来继续对话。
