第二章：DSPM 平台简介
好，我们直接从定义开始。DSPM 全称是 Data Security Posture Management，中文叫数据安全态势管理。说白了，它是一套帮你搞清楚“数据在哪、里面有什么、是不是安全”的工具集。我刚开始接触这个概念的时候，以为它就是个高级扫描器。后来才发现，它更像一个数据资产的“管家”加“哨兵”。
什么是 DSPM
举个例子。你公司有几百台服务器、几十个云服务，数据散落在数据库、对象存储、SaaS 应用里。你知道哪些是客户身份证号吗？哪些是信用卡信息？谁在访问它们？权限有没有给太大？
传统安全工具要么只管网络流量，要么只管数据库审计，但数据本身——尤其是敏感数据——常常处于“没人知道在哪”的状态。DSPM 就是填补这个空白的：它自动发现所有数据仓库，识别里面存储的敏感内容，画出数据流向图，再评估风险，给出修复建议。
DSPM 一般包含四个核心环节：
- 数据发现 —— 找到所有存放数据的“容器”
- 敏感数据识别 —— 用模式匹配、机器学习判断数据内容
- 数据分类分级 —— 打标签（比如 PII、PHI、PCI）并设置密级
- 风险评估与监控 —— 检查权限、加密、访问活动，给出风险评分
数据发现的核心能力
这里重点展开数据发现。你可能会问：“发现不就扫一遍吗？” 嗯，没那么简单。我做过的一个项目中，数据源的类型超过 15 种，包括关系型数据库、NoSQL、对象存储、HDFS、SaaS API……每个的扫描方式和权限模型都不一样。
下面我列几个核心能力，也是我评估 DSPM 产品时必看的点：
- 多类型数据源支持 —— 必须能连 MySQL、PostgreSQL、MongoDB、AWS S3、Azure Blob、GCS、SharePoint、Salesforce 等。不能只支持常见的几个。
- 自动目录爬行 —— 不需要手动填每个表名，它能枚举所有库、所有桶、所有文件夹。
- 敏感数据类型库 —— 内置几百种正则和 ML 模型，比如识别身份证、护照、信用卡号、、密钥证书等。我记得有一次遇到一个客户自定义格式的工号，靠内置库的扩展接口很快就配好了。
- 增量扫描 —— 全量扫描一次之后，只扫新增或变更的部分。否则几十 TB 的数据每天全扫，谁也扛不住。
- 无代理模式 —— 通过 API 或 IAM 角色读取元数据，而不是在数据库里装 agent。这样对业务影响最小，也容易过安全审批。
有了这些能力，你就能画出一张“数据地图”。比如哪个数据库里有 200 万条身份证号，哪个 S3 桶公开可读，谁最近从那个桶里下载了异常大量数据。听起来很直观，但做起来坑不少。
常见 DSPM 产品对比
市面上的 DSPM 产品不算多，但各有侧重。下面是我根据实际使用和调研整理的对比表：
| 产品名称 | 核心优势 | 主要局限 | 适用场景 |
|---|---|---|---|
| Microsoft Purview | 与 Azure 生态深度集成；数据分类规则丰富；支持混合云 | 多云体验弱；界面相对复杂 | Azure 重度用户、微软生态 |
| Amazon Macie | 自动发现敏感数据；机器学习自动分类；跟 S3 无缝适配 | 只覆盖 AWS；不支持数据库扫描 | 纯 AWS 环境、S3 为主 |
| GCP Sensitive Data Protection（原 DLP） | 模板丰富；支持 GCS、BigQuery、Cloud SQL；去标识化能力 | 多云能力弱；无数据流映射 | GCP 环境、需要脱敏的场景 |
| BigID | 深度数据目录；隐私风险评分；支持 80+ 数据源 | 价格较高；部署较复杂 | 大型企业、强隐私合规需求 |
| Securiti | 自动化敏感数据发现；数据流动图；AI 辅助分类 | 品牌较新；国内支持一般 | 多云、需要数据血缘的场景 |
选型的时候，我建议你先明确自己的主要云平台和数据类型。比如你只用 AWS，那 Macie 基本够用，没必要上 BigID。要是跨云环境很复杂，BigID 或 Securiti 可能更合适。
整体知识框架
下面这张图概括了 DSPM 里数据发现这一环的核心结构与关系。你可以把它当成一个参考大纲：
从图里你可以看到，数据发现不是一步到位的。敏感数据识别之后，还要把分类分级结果跟数据流映射结合起来，才能准确判断风险。举个例子，一个包含身份证号的 S3 桶如果被授权给了所有 IAM 用户，风险值就会很高；但如果它是内部加密存储且只有管理员能读取，风险就低很多。
好了，关于 DSPM 是什么、数据发现该关注哪些能力、以及主流产品怎么选，我们已经走了个遍。下一块我会跟你逐步上手 SDK 集成，不过那是后面的内容。先把这些基础概念消化掉，后面我们才好写代码去调那些 API。