2. DSPM 核心概念与数据安全态势归纳总结
做了这么多年数据安全，我越来越觉得 DSPM 不是一套工具，更像是一种方法论。说白了，它就是帮你解答三个问题：你的敏感数据在哪？谁在碰它？行为合不合规？
这一章，我们来拆解这些核心概念。我会结合自己在项目里的经历，聊聊怎么把零散的审计日志，归纳成清晰的数据安全态势。
2.1 数据资产发现与分类分级
很多团队一开始就扑在审计日志上，觉得日志才是宝藏。我的经验恰恰相反——没有资产清单，日志分析就是盲人摸象。
我曾经遇到过一家金融客户，他们觉得自己数据管得不错。结果一做 DSPM 资产扫描，发现测试环境里有 3 万多条明文信用卡号。这些数据从未出现在任何审计日志里，因为根本没有审计覆盖。
资产发现的三个维度
| 维度 | 说明 | 典型工具/方法 |
|---|---|---|
| 存储位置 | 数据库、对象存储、文件服务器、SaaS 应用 | 扫描代理、API 接入、云服务商清单 |
| 数据类型 | 结构化、半结构化、非结构化 | 正则匹配、机器学习分类器 |
| 数据敏感度 | PII、PHI、PCI、商业机密 | 分类分级规则引擎 |
我个人习惯是先做数据资产普查，再定分类分级标准。你看下面这张图，就清楚它们之间的关系了。
2.2 访问审计与权限模型
有了资产清单，接下来就要看谁在碰这些数据。这就涉及到两个东西：访问审计日志和权限模型。
审计日志记录了每一次数据访问的“who、what、when、where、how”。但你想想看，如果只知道日志而不知道权限基线，你就分不清这是一次正常访问还是越权行为。
我在项目中做过的比较实用的方法是：把权限模型归纳为三层。
- 组织级权限：按部门、角色划分的数据访问策略。
- 应用级权限：应用自身实现的访问控制，比如 RBAC、ABAC。
- 数据级权限：数据库、对象存储等基础设施的访问控制列表。
数据访问风险 = 实际行为 ≠ 预期行为
预期行为来自权限模型，实际行为来自审计日志。两者的偏差就是我们需要关注的异常。
2.3 异常行为检测与风险评分
说起异常检测，很多人的第一反应是用机器学习。嗯，这里要注意——机器学习不是万能的。在 DSPM 场景里，我见过太多被 ML 模型淹没的告警队列。
我个人习惯是先做规则引擎，再叠加 ML。
- 规则引擎：比如“非工作时间批量下载敏感数据”或“从未知的 IP 地址访问数据库”。这些规则精准、可解释。
- 异常评分：结合多个维度（访问频率、数据量、时间、地理位置、用户角色）计算风险分数。
我曾经遇到一个案例：某研发人员凌晨三点从生产库下载了 500 万条客户手机号。规则引擎立刻触发“批量下载 + 非工作时间”告警。后续调查发现，该研发的 VPN 登录 IP 来自海外。风险评分直接拉到 90 分。这就是规则 + 评分联动的效果。
2.4 数据安全态势归纳：从日志到全局认知
把这些概念串起来，才是真正的数据安全态势。
什么是态势？不是一堆告警的堆砌，而是可理解的全局认知。我把它归纳为三类：
| 态势类型 | 关注点 | 典型输出 |
|---|---|---|
| 风险态势 | 数据暴露面、越权行为、未加密数据 | 风险热力图、高危资产 Top 10 |
| 合规态势 | GDPR、PIPL、SOX 等法规的满足情况 | 合规评分、差距分析报告 |
| 运营态势 | 正常访问模式、用户行为基线 | 访问统计报表、角色权限审查 |
说白了，审计日志是原材料，DSPM 是加工厂，态势归纳就是最终的产成品。没有归纳的日志，永远是噪音。
数据安全态势 = 持续的数据发现 + 精准的分类分级 + 与权限模型对齐的审计分析 + 可解释的异常检测。四者缺一不可。
2.5 小结
这一章我们拆解了 DSPM 的几个核心概念。记住一点：概念是骨架，工程实践是血肉。下一节我们会具体聊怎么把审计日志接入 DSPM 平台，那才是真正动手的地方。
（嗯，这次就先讲到这里。我建议你把上面那张 SVG 图存下来，做项目方案时会有用。）