数据全生存周期安全风险评估

业务数据梳理

在组织与制度设计方面，传统网络安全均由 IT 部门负责，随着数据治理工作的深入开展， 业务部门要深入参与数据资产梳理以及分级分类工作之中，因为只有业务部门是最了解数据 价值与重要性的。因此需要自上而下形成高层牵头，横跨业务部门与安全部门的组织架构。由 信息安全管理团队和数据业务管理团队共同商讨建立数据安全制度流程体系。制定好制度体系应该以文档化的方式进行落地管理。从最高级的方针战略，到最细节的表格日志，都应该由 不同层级的团队负责进行文档化的落地，并严格执行。在相应的业务组织与管理制度指导下， 企业才能更好的开展后续建设工作。

敏感数据的定义与识别

开展数据安全建设的第一步就是：定义什么是敏感数据，基于业务特点进行数据的识 别、数据分类、数据分级。数据分类分级的准确清晰，是后续数据保护的基础。由于数据类 型不同，对企业影响不同，我们建议根据《中华人民共和国网络安全法》要求对个人信息和 重要数据分开进行评估与定级，再按照就高不就低的原则对数据条目进行整体定级。以个人 信息为例，根据个人信息中数据的敏感程度，将数据分级分成四级，一级为低敏感级，二级 为较敏感级，三级为敏感级，四级的极敏感级。对业务系统中的数据条目进行拆解，对其中 每一个元数据进行分级，例如家庭住址为四级，身份证号码为三级，消费账单为二级，然后 按就高不就低的原则对数据条目进行整体定级，那么这个数据条目应该定为四级。

为了更准确的对敏感数据进行定位与检索，绿盟科技用到了智能数据检索技术，此技术 可以针对于当前大数据时代中常见的三类数据座检索，及结构化数据、半结构化数据、非结 构化数据，这三类数据的最主要区别在于是否存在预先定义好数