▏摘要
数据分类分级是数据精细化防护以及数据价值提升的基础性工程,不论是从数据战略还是数据安全的角度出发,企业都需要以数据分类分级作为基础。美创科技基于多个行业的数据分类分级项目经验,总结具有指导作用的数据分类分级实践方法论,为人社行业数据分类分级体系建设提供参考,为后续的数据安全管控、数据治理工作、数据应用提供基础。
▏关键发现
• 数据分类是从业务角度出发,按照数据的来源、内容和用途等对数据进行分类;数据分级是从安全角度出发,按照数据价值、内容敏感程度、影响对象、影响程度等对数据进行敏感级别的划分。分类和分级是先后关系,先分类再分级;
• 为避免数据资产梳理落地过程中出现的无标准落地难、数据复杂难梳理、数据安全管理粗放、长效性难保证等问题,进行数据分类分级工作的前提是明确数据分类分级工作的整体目标;
• 数据分类分级指南或标准在实际落地时需要细化处理。组织需制定分类分级内部标准规范文件,包括数据分级分级工作中涉及的角色及职责,数据分类分级的相关制度,操作流程的制定、发布、维护和更新机制以及评审和修订周期,数据分类分级管理相关绩效考评和评价机制等。
▏建议
• 数据分类分级是长期持续的过程,企业在落地数据分类分级项目时,初期摊子不要铺太大,可以选择一些核心系统进行小范围试点,沉淀成功经验后再全面铺开;
• 政策对数据分类分级具有重要的指导作用,企业需要敏锐感知监管单位、主管部门的相关政策变化,快速跟进现有上级要求,及时进行调整。在没有具有落地指导性价值的分类分级标准时,可以在上级要求的基础上结合本地实际需求,勇于进行数据分类分级工作的探索和创新。
分享专家:闻云霞,美创科技数据分类分级咨询负责人
作者:沙丘社区分析师团队
01
数据分类分级的必要性
数据分类分级是数据精细化防护以及数据价值提升的基础性工程。随着《网络安全法》、《数据安全法》、《个人信息保护法》三法的发布,国家从政策法规层面提出指导性要求,推动数据安全分类分级,要求建立数据安全制度,明确实施路径,对一般数据、个人信息、重要数据等如何保护提出了具体要求。
以《个人信息保护法》为例,明确要求对个人信息进行专项保护。企业因此需要识别出哪些数据属于个人信息,个人信息中哪些数据敏感程度高,进而对个人数据在整个生命周期过程中采取不同的安全保护策略。
![](https://i-blog.csdnimg.cn/blog_migrate/38f4b45cb51d87d6f1d1134cc59d4728.png)
落实到企业、组织实际的业务运营过程中,不论是从数据战略还是数据安全的角度出发,都需要以有效的数据分类分级作为基础。
![](https://i-blog.csdnimg.cn/blog_migrate/792c8d430ef8452dfcfa0005d680514c.png)
02
人社数据分类分级实践
近年来,人社部门单位对数据的重视程度不断提高,已经采取了多种数据安全管控措施,但多为单点管控,尚缺乏一套完整的安全管控体系。在落实数据分类分级的过程中,人社行业往往面临如下三方面的挑战:
第一,指导层面,需要在主管部门出台的标准文件下,深入细化,研究出适合自身的分类分级执行策略;
第二,业务层面,业务复杂、数据量多、数据覆盖用户范围广,数据分类分级工作往往无从下手;
第三,技术层面,没有对数据进行完整的调查和梳理,未识别出需求防护的敏感数据。
![](https://i-blog.csdnimg.cn/blog_migrate/8a2e3fabd3021e9ca2143993bd4c9ed2.png)
对此,美创科技将当前流行的分类分级建设方法,综合多行业分类分级落地实践经验,应用到人社领域,构建数据分级分类体系,为后续的数据安全管控、数据治理工作、数据应用提供基础。
进行数据分类分级工作的前提是明确数据分类分级工作的整体目标。为避免数据资产梳理落地过程中出现的无标准落地难、数据复杂难梳理、数据安全管理粗放、长效性难保证等问题,在项目开始之前就要明确数据分析分级的整体目标:
第一,满足合规要求。无论是国家层面三法的要求,还是地方性数据安全条例或管理办法,都将数据安全工作提升到重要层级,针对不同数据的保护策略,需要进行数据分类分级。
第二,厘清一本账。在做分类分级之前,需要先摸清楚数据现状,有哪些数据、数据在哪里、体量有多大等,并形成整体的数据资产清单。
第三,落实一套做法。在分类分级过程中,需要将建设经验沉淀成一套完整的分类分级建设方法,形成数据分类分级标准指引,项目完成以后遇到新数据、新系统上线时,沿袭同一套建设方法。
第四,绘制一张图。分类分级做完以后,针对不同级别的数据要采取不同的安全管控,保障数据流通过程中的数据安全。
![](https://i-blog.csdnimg.cn/blog_migrate/25dad1256f14b88d7da3f50f9fefdb3e.png)
美创科技在人社、大数据局、公安、医疗、金融等行业客户中均有成功的数据分类分级项目落地经验,并基于项目经验总结出一套具有指导作用的数据分类分级实践步骤,分别为打基础、建标准、定策略、识数据和行安全。
![](https://i-blog.csdnimg.cn/blog_migrate/0c4eb3ff903a1a5e006566d7768dd00a.png)
第一步:打基础
数据分类分级建设之前需要梳理数据现状,了解企业、组织内部有哪些数据、数据在哪里,确定分类分级的数据范围,针对数据范围做好数据资产的摸底工作。
很多企业、组织都会在年末进行数据资产盘点,但粒度较粗且基本靠人工形式梳理,对数据分级分类工作的指导性意义有限。
美创科技在现状梳理阶段,以标准化的工具和规范完成数据资产的梳理和输出。例如在数据采集阶段,除了采取实地访谈之外,还通过资产发现工具连接到业务系统,自动化识别数据资产现状,输出数据资源列表。
通过定性访谈和定量工具,美创科技的调研内容分为4个层面:
第一是数据基本情况,包括数据类别、数据来源、数据数量等,通过数据资产发现工具即可实现;第二是责任主体情况,包括数据处理者、主要负责人、数据安全负责人等,主要通过访谈形式获取;第三是数据处理情况,调研数据是否涉及共享或开放的场景,是否存在出境、跨主体流动等特殊场景,针对特殊场景采取不同的分类分级策略和安全保护策略;第四是数据安全情况,包括所依据的数据分类分级标准规范、数据安全保护措施、数据安全评估信息、整改措施等。
![](https://i-blog.csdnimg.cn/blog_migrate/ddc511513b5219cfebbeb39a9daf0f32.png)
第二步:建标准
国家层面、地市政府层面都对数据分类分级发布过相关指南或标准,但指南或标准在实际落地时需要细化处理。
组织需要结合数据现状和实际需求,制定分类分级内部标准规范文件,包括数据分类分级工作中涉及的角色及职责,数据分类分级的相关制度和操作流程的制定、发布、维护和更新的机制以及评审和修订周期,数据分类分级管理相关绩效考评和评价机制等。
![](https://i-blog.csdnimg.cn/blog_migrate/04e02586c572bb7bd21e3c3665d392ed.png)
第三步:定策略
在国家、行业监管所定义的重要数据和个人信息基础上,结合组织自身业务安全诉求,制定分类分级策略,输出数据分类分级大纲。
数据分类是按照数据的来源、内容和用途等对数据进行分类,更多是从业务角度出发;分级则是按照数据价值、内容敏感程度、影响对象、影响程度等对数据进行敏感级别的划分,更多是从安全角度出发。分类和分级是先后关系,先分类再分级。
在制定数据分类策略上,人社行业目前参考的文件主要是《个人信息安全规范》、《数据分类指南》和地方性的《公共数据分类分级指南》。《数据分类指南》对数据的分类维度提供了建议,数据管理维度、业务应用维度、数据对象维度和安全保护维度等都可以用于分类分级工作。
结合人社行业业务数据现状,美创科技从业务应用维度和数据对象维度出发,综合进行数据分类分级工作,确定一级分类为个人信息数据、业务信息数据、企业信息数据和技术管理,然后结合实际数据进行细化,继续拆分二级分类、三级分类。
![](https://i-blog.csdnimg.cn/blog_migrate/26f9ca8e14fb23a757dc17d232b1c4b5.png)
有了分类框架之后,再制定分级策略。数据分级应遵循依从性原则和界限明确原则:
• 依从性原则:即数据资产安全等级划分应满足监管要求;
• 界限明确原则:数据分级要层级合理、界限清晰。
数据定级的方法分为4个步骤:第一是确定数据分级对象,将最细粒度作为分级对象;第二是确定数据受到破坏时造成影响的客体,包括国家安全、公共利益、公民权益、企业合法权益;第三是综合判定对客体的影响程度,即评估分级对象发生丢失、泄露、被篡改、被损害等安全事件时对客体的影响程度,分为严重损害、一般损害、轻微损害和无损害;第四是确定数据对象安全等级,取影响程度中最高影响等级为该数据对象的重要敏感程度。
![](https://i-blog.csdnimg.cn/blog_migrate/04a92f45d64bf265b31d41e1c0dc6731.png)
有了分类分级策略后,综合输出数据分类分级大纲,并对最细粒度的数据进行安全等级的划分。
![](https://i-blog.csdnimg.cn/blog_migrate/59376a31f561c9538f93942b5a2b5930.png)
第四步:识数据
分类分级工作前期需要业务专家的参与,制定了策略后就可以通过工具自动化识别。
美创科技提供分级分级工具,将现有策略内置到工具中,在完成字段业务类型的识别后,会自动输出对应的分类和分级信息,实现对数据的分类和分级,明确数据按照业务的分类情况、按照重要程度和敏感程度的分级情况。智能工具内含智能化算法,可以自动识别数据库中有什么数据、有多少数据。
智能工具全程可视化,可以展示每个字段归属的分类、所属的安全等级,并以报告形式展示分类分级建设成果,包括敏感数据分布情况、数据分类情况、数据分级情况等,可用于成果汇报场景。
用户可通过可视化界面,一键连接数据库,产品自动化完成分类分级的识别和打标工作,后续可以在产品层面看到数据字段和分类标签,并辅以人工复核打标结果。
![](https://i-blog.csdnimg.cn/blog_migrate/28e594687a7f5a3d5a20c30661f49a26.png)
第五步:行安全
数据分级分类的工作完成后,需要将结果运用起来。美创科技基于数据分类分级结果,设计数据权限和安全管控策略,对不同级别和不同生命周期的数据采用不同的管控措施和防护手段,满足分级保护要求。
![](https://i-blog.csdnimg.cn/blog_migrate/06bee798a4a272c14121c5ab28c8f704.png)
03
数据分类分级的关键成功要素
数据分类分级是一个长期持续的过程,不是一蹴而就、一步就能到位的。通过多个项目的落地经验,美创科技总结数据分类分级项目的关键成功要素如下:
第一,建立组织。数据分类分级项目除了技术提供方的参与之外,需求方本身也需要参与进来,成立项目虚拟组织,明确职责分工、任务安排。在遇到突发状况时,可以提供决策支持,同时虚拟组织可以组织各方广泛参与,充分调动业务专家的积极性。
第二,确定范围。明确数据分类分级的数据范围,在项目初期摊子不要铺的太大,小步快跑,可以选择一些核心的系统进行小范围试点,有了经验之后再全面铺开。
第三,敏捷反应。敏锐感知行业变化,尤其是监管单位、主管部门的相关政策变化,快速跟进现有的上级要求,及时进行调整。
第四,勇于尝试。在没有明确分类分级工作指导时,可以在上级要求的基础上结合本地实际需求,勇于进行数据分类分级工作的创新。
![](https://i-blog.csdnimg.cn/blog_migrate/0d51a8d08ad0495079e5284f68fd7ac7.png)