数据防泄露
云环境中用于保护数据的主要概念和方法称为数据防泄露(DataLoss Prevention, DLP), 有时也称为数据泄露预防(DataLeakage Prevention, DLP)。DLP是一套控制措施和实践手段， 旨在确保数据只可由已经授权且拥有数据的用户和系统访问或发布。组织的DLP策略的目标是 管理和最小化风险，保持符合法规要求，并展示应用程序和数据所有方的适度勤勉（或尽职， Due Diligence)。然而对于任何组织而言，能否从整体上统筹DLP至关重要，而不是关注单 个系统或托管环境。DLP策略应涉及整个组织，尤其是混合云环境，或者是那些将云环境与 传统数据中心安装相结合的环境。
DLP组件
所有DLP实现都由三个常见组件组成：数据探查和分类、持续监测和执行。 数据探查和分类阶段是DLP实施的第一个阶段；该阶段侧重于查找与DLP策略相关的 数据，确保所有实例都是已知的，且能体现在DLP解决方案中，并在探查数据后确定数据的 安全分类和要求。数据探查和分类阶段还允许将环境中的数据与所有法律法规要求相匹配。
一旦执行探查并完成数据分级活动，就可使用DLP实现对数据执行监测工作。持续监测(Monitoring)阶段包括DLP战略的核心功能和目的。持续监测阶段涉及在各种使用状态下观 察数据的真实处理流程，以确保系统以适当和受控的方式使用数据。持续监测阶段还要确保 访问和使用数据的人员已得到授权，并以合规方式处理数据。
DLP实施的最后一个阶段是策略的实际执行以及作为持续监测阶段的一部分发现的任 何潜在违规行为。根据DLP的执行情况，如果管理层可确定各种违反策略的行为，则可自动 采取多种安全措施，从简单地记录潜在的违规行为和告警到阻止和暂停首次检测到的潜在违 规行为。
DLP数据状态
在静止状态数据(Dataat Rest, DaR)场景中，DLP解决方案安装在存有数据的系统上，这 些系统可能是服务器、台式机、工作站或移动设备。许多情况下，这将涉及归档数据和长期 存储数据。这是在整个组织中部署的最简单DLP解决方案，但该解决方案可能还需要网络集 成才能达到最有效的效果。
在传输状态数据(Datain Transit, DiT)场景中，DLP解决方案部署在网络外围附近，通过 各种协议（如HTIP、HITPS和SMTP)捕获离开网络的流量。该解决方案查找正在离开或试 图离开不符合安全策略的区域的数据（无论是主题还是格式）。需要注意，如果离开环境的流 量已经加密，则DLP解决方案将需要能读取和处理加密的流量才能正常工作，这可能需要密 钥管理和加密技术协同工作。
实际上，在处理状态数据(Datain Use, DiU)场景中，DLP解决方案部署在用户的工作站 或设备上，以便从终端监测数据的访问和使用。这种DLP实现方式的最大挑战是覆盖范围和 覆盖所有接入点的复杂性。在用户地理位置分散并使用大量客户机访问系统和应用程序的云 环境中尤其如此。
可云应用程序而言，最终用户设备上的DLP都是一项特别挑战。因为终端 DLP方案需要最终用户安装应用程序或插件才能工作，所以云安全专家们需要确保 完全了解用户将要使用的设备类型，以及与使用该技术相关的任何成本和要求。许 多组织中自携设备(BYOD)的增长也将对任何DLP战略产生 深远影响，并应反映在策略中。
DLP的云端实现和实践
与传统数据中心的DLP部署挑战相比，云环境也给DLP带来了新挑战。与其他类型的 DLP实现或策略非常相似，最大的区别和挑战在于云环境存储数据的方式。云环境中的数据 分布在大型存储系统中，具有不同程度的复制和冗余，通常数据的存储和访问位置不可预测。 对于DLP策略而言，这可能会带来特殊挑战，因为这种情况使准确探查和持续监测系统或应 用程序使用的所有数据变得更困难，特别是因为数据会随着时间的推移而改变位置，从而有 效地成为移动目标。使用计量资源成本模型和DLP的云系统会给系统增加额外的负载和资源 消耗可能会产生高于DLP解决方案成本的成本，这是一个非常现实的问题。
