身份和访问管理(IAM)是很棘手的领域，是因为IAM技术和标准的复杂性。最大的挑战是弄清楚如何通过IAM战略处理企业内非结构化内容。

考虑到数据位置的多样性以及数据移动的n多种方式，解决缩写挑战以及了解不同产品提供的功能是极为重要的事情。目前很多供应商提供服务来应对这一挑战，随着新供应商以及老牌供应商扩大其IAM产品范畴，这个相对较新的领域正处在快速发展中。

 

企业需要全面审核其可能合作的供应商，以确保其非结构化内容能得到处理。另外更复杂的是，安全专业人员都面临着这样的问题：不确定数据在哪里，不确定数据的价值以及敏感程度，也不确定数据访问权限以及数据的共享情况。与面向应用的数据不同，非结构化内容不受控制，且并没有进行很好的归档。

非结构化数据本质是隐藏的和扩展的，这让其特别容易受到攻击，因为它不在数据分类和管理范围内，无法被传统安全解决方案归为敏感数据。很多研究表明，近80%的企业内容为非结构化，并包含在最关键性业务流程中。令潜在数据威胁进一步加剧的是，内部威胁是数据泄露事故的头号原因，无论恶意的还是无意的。

“所有被监控的数据都可能包含一个身份，”Ernst&Young全球信息安全领导者Ken Allan在2016年RSA大会表示，“即使是最有害的数据(例如恶意软件)都包含一个‘签名’可连接到其创造者。”

攻击者更加频繁地利用受感染的凭证来访问企业数据，大多数恶意软件会执行与受害者相同的权限，全球管理员权限可让恶意代码访问几乎所有的数据。

Allan补充说：“托管安全服务可帮助分析企业信息，检查不必要的有害数据及恶意软件，并包含来源信息，防止数据渗透和数据泄露事故。”

　　回归基本方法

通过简单的报告和分析，企业可了解数据在何处并控制其访问权限，这将有助于缓解攻击，并可在数据泄露事故中加速取证调查。这还可以帮助实现合规性。通常情况下，寻找适当的工具来实现这种网络安全时，可通过供应商生态系统使用的术语更直接地进行，而不是难以理解的缩写。

隐私法律迫使企业查看所有不同类型数据的位置。企业还需要对自己的敏感数据进行定义，首先应该寻找和分类非结构化内容中的敏感数据。随着企业开始增加更多应用、更多服务器、更多设备和更多供应商，这些可能存在的问题会进一步扩大。

企业不能只是急于部署控制，而应该知道数据位于何处或者需要分类哪些数据以及哪些数据需要提供合理的安全性。同时，还需要找到这些数据，确定谁可访问数据并发现数据移动的情况。这需要构建包含自动化工具的风险框架。

现在是时候从基础层面管理非结构化数据了，例如企业应该查看敏感数据的位置、哪些系统和设备连接到这些数据以及部署的保护审计控制。

(责任编辑：安博涛)