您需要了解哪些資產需要被保護、資產存在的風險、企業/組織是否合規、如何處理內放攻防、如何落地安全運營等關鍵問題，才能有效落地數據安全治理。同時，大數據系統基于“存儲、用戶、入口、流轉、交付”等多方面的特點，存在諸多安全治理難點。
數據安全治理的關鍵問題
數據安全治理能否清楚、準確地回答如下問題，將從側面反映安全治理項目是否能有效地落地。
哪些資產需要被保護？
您有哪些資產？這些資產分布在哪里、承載著什么樣的業務？資產內有哪些數據？數據業務屬性及重要程度如何？是否做了相應的分級分類？
此處的資產不單單局限于結構化、非結構化數據資產，還包括硬件資產、IAAS/PAAS/SAAS、甚至人員資產，因為任意一個資產被攻破，都會導致企業關鍵信息被侵害。
這些資產存在哪些風險？
在真實的業務場景下，企業數據資產不可避免地會經歷采集、傳輸、存儲、處理、使用、交互、銷毀階段，在這些階段中分別存在哪些風險？每個階段的風險如何通過定性、定量（年化損失期望ALE/年化防護成本ACS）方法來評估？企業可通過什么手段來識別、預判風險的存在？
風險評估的意義在于讓組織的各業務方明確手頭資產的風險所在，有利于高層以此推動落地安全項目。通過風險評估后，組織還可以根據評估結果對不同風險采取差異化的應對策略：
風險緩解（Risk Mitigation）：部署安全防護，降低數據安全事件發生的概率。
風險轉移（Risk Assignment）：考慮到防護成本過高，選擇購買商業保險規避損失。
風險接受（Risk Acceptance）：數據價值低，防護投入大，不采取防護措施。
風險拒絕（Risk Rejection）：評估認為被攻擊概率極低，不采取任何防護措施。
風險威懾（Risk Deterrence）：通過對攻擊者傳遞威懾信息以驅趕攻擊者。
風險規避（(Risk Avoidance）：直接下線某個系統，避免被攻擊。
組織是否合規？
組織/企業每年將會面對哪些監管機構進行審查？應遵循哪些法律法規或強制性標準？面對監管機構，企業應審查哪些內容以確保合規性？
內外攻防怎么做？
基于對資產分布/資產重要性、資產風險及應對策略的認知，企業應保護哪些資產？不同資產使用什么樣的方式、工具、手段來進行保護？如何避免或快速發現內部人員的濫用行為？如何防范外部的各類攻擊？
安全運營應如何落地？
企業應該如何建立可持續、平臺化、體系化、可視化的全運營體系？應配置什么樣的基線、安全策略、風險規則、響應手段，以便從全局視角把控企業整體安全狀況？安全團隊應如何向上級說明價值、申請資源？
數據安全的持續運營至關重要，大多數企業通常會采用多次立項的方式進行問題治理，這種項目制的治理方式費時費力、推動困難，原因就是將數據安全治理當作一次性項目，結束后未沉淀可運轉的規章制度、安全基線或風險規則，導致權限冗余、數據濫用等問題再次出現而未被制止。
大數據體系的特點與安全治理難點
由于大數據系統在“存儲、用戶、入口、流轉、交付”等多方面的特點，想要回答好上述問題，存在諸多難點。
存儲
眾所周知，大數據系統以數據類型多（結構化、非結構化、半結構化）、數據量大（動輒PB級別）著稱，某些巨頭組織一天就能新增數十萬甚至數百萬張表，如此體量給數據分級分類帶來了極大挑戰，通過人工進行數據分級分類顯然是不現實的，難免會出現遺漏的情況。
用戶
大數據系統的用戶基數大，覆蓋所有與數據相關的角色。使用大數據系統的常見人員包括開發、運營、分析師，甚至銷售及HR都會來查詢自己所需的數據。如此多類型的用戶，授權、管理難度加大，什么樣的人員需要授予什么樣的權限？如果他們離職、換部門了怎么辦？這其中很有可能出現權限蠕變、過度授權、離職撤權不徹底的情況，這些都為數據安全事件埋下了隱患。
入口
由于大數據系統要服務不同的角色，每種角色技術水平不同，因此需提供不同的入口給各類人員使用。例如，技術人員可以使用命令行，但數據分析師或運營就需要使用可視化界面或BI工具。
不同的入口其登錄認證、鑒權邏輯、審計能力可能存在差異。最常見的莫過于多個用戶使用同一個身份從某個入口訪問/操作數據的場景，此類場景就是典型的傳遞信任風險。此外，由于各上層系統審計能力參差不齊，也可能出現審計事件缺失、審計報文缺失、無法審計到人的違規問題。
流轉
大數據系統通常是端到端的一整套數據開發和治理服務，不僅要采集數據、加工數據，更要將數據提供給業務方使用。因此，其存在錯綜復雜的數據流轉鏈路，包括但不限于即席查詢鏈路、離線傳輸鏈路、實時傳輸鏈路、數據服務API鏈路、其他底層API/SDK流出通道。
這些鏈路都是數據機密性受損的直接渠道，數據流轉安全策略定義不清楚或未定義、底層鏈路未禁用、API安全防護缺失、人員行為未做風控都會導致數據安全事件發生。例如，非法出境（出域）、脫庫、泄露等。
交付
大數據系統負責每日產出用于業務決策的數據，產出數據是否準時、準確，可能直接影響高層的決策。若無法準時、準確地產出數據，則相當于損害了信息的完整性（Integrity）、可用性（Availability）。
通常，大數據系統中的工作流涉及多部門、多責任人且跨系統的數據，如何才能協調好這些業務系統準時、保質保量地產出數據，避免出現因業務系統宕機/臟數據導致數據延時產出、產出臟數據，關乎到企業數據業務的連續性問題甚至高層的信任問題。