数据安全学习系列-（4）数据分类分级

数据安全学习系列-（4）数据分类分级

1、什么是数据分类分级

数据分类分级是一种数据管理策略，通过对数据进行系统的评估和分类，将数据划分为不同的类别和级别，便于更加有效、安全地管理和使用数据。该过程涉及到对数据的价值、敏感性和重要性进行识别和评估，然后根据这些特征将数据划分到合适的类别中，每种类别都对应着一套特定的管理措施、安全要求以及访问控制策略
《数据安全法》规定：国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。国家数据安全工作协调机制统筹有关部门制定重要数据目录，加强对重要数据的保护。
关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度
各地区、各部门应当按照数据分类分级保护制度，制定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护

2、实施数据分类分级保护制度的原因

国家监管角度	落实《网络安全法》、《数据安全法》、《个人信息保护法》等法规管理重要数据和其他受监管数据是非常必要的
合规义务角度	目前数据分类分级制度已经成为企业基本的法定义务，既面临个人信息、重要数据等合规义务，也必须遵守其所在行业、领域的特殊类型数据的合规义务
资源优化配置	不同类型和级别的数据需要不同程度的安全措施，数据分类分级有助于阻止合理分配安全资源，确保高风险数据得到足够的保护，同时避免对低风险数据过度投入资源，形成高度搭配，适度安全
法律后果角度	按照相关法律法规，未履行数据分类分级义务的企业可能会受到信用惩戒、公开曝光、没收违法所得、罚款、暂停营业、停业整顿、关闭网站、吊销许可证、吊销营业执照等处罚，甚至会负担刑事责任

总的来说有两个方面：第一是法律法规要求，需要满足法律以及合规要求，避免处罚。第二是避免产生不必要损失，同时能促进安全资源配置优化，节约成本。

3、数据分类分级所遵循的基本原则

科学实用原则	数据分类应从便于数据管理、使用的角度，科学选择常见、稳定的属性或者特征作为数据分类的依据，并结合业务实际需要对数据做进一步的细化分类
边界清晰原则	数据分级的主要目的是为了数据安全，各个数据级别应做到边界清晰，对不同级别的数据采取相应的保护措施
就高从严原则	数据分级就高就不就低。当多个因素可能影响数据分级时，应当按照可能造成影响最大的作为定级依据
点面结合原则	数据分级纪要考虑单项数据分级，也要充分考虑多个领域、群体或者区域的数据汇聚融合后对数据的重要性、安全风险等方面的影响，通过定量与定性相结合的方式综合确定数据级别
动态更新原则	根据业务数据的属性、重要性和可能造成的危害程度的变化，对数据分类分级、重要数据目录进行定期审核更新，确保分类分级持续有效

4、数据分类的一般流程

数据分类通过四个步骤，旨在确保数据被适当的识别、分类、保护

1	确定数据处理业务所涉及的行业领域，如工业、电信、交通、金融、能源、医疗、教育、核、军工科技
2	按照业务所属行业领域的数据分类规则，对该业务运营过程中收集和产生的数据进行分类
3	识别是否存在法律法规或主管监管部门有专门管理要求的数据类别（如个人信息），对个人信息、敏感个人信息进行区分标识
4	如果存在行业领域数据分类规则未覆盖的数据类型，可以从组织经营角度结合自身数据管理和使用需要对数据进行分类

5、数据分级

根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，讲数据分为三级核心数据、重要数据、一般数据

数据分级	定义	示例	保护措施
核心数据	一旦被篡改、泄露、破坏或者被非法利用、非法共享，可能直接危害政治安全、国家安全重点领域、国民经济命脉、重要民生、重大公共利益	国家安全数据、关键基础设施的控制系统数据、重要的政府决策数据、国民群体遗传数据等	对于核心数据，需要实施最高级别的安全保护措施，包括但不限行高度加密，严格的物理和网络访问控制、持续的安全监控和评估等
重要数据	一旦被篡改、泄露、破坏或者被非法利用、非法共享，可能直接危害国家安全、经济运行、社会稳定、公共健康安全	企业的商业秘密、个人敏感信息、重要财务数据等	需要较高级别保护，包括访问控制、数据加密、数据备份和灾难恢复等
一般数据	一旦被篡改、泄露、破坏或者被非法利用、非法共享，仅影响小范围的组织或公民个体合法权益	公开的政府信息、企业的一般业务数据、个人非敏感信息	一般数据的保护措施相对宽松，主要确保数据的完整性和可用性，如基本的访问控制和常规备份

具体的保护措施其实可以参考等级保护和分级保护实施标准。

6、数据分级的一般流程

确定分级对象	数据项、数据集、衍生数据、跨行业领域数据等
分级因素识别	领域、群体、区域、精度、规模、深度、重要性、安全风险等
数据影响分析	影响对象（国家安全、经济运行、社会稳定、公共利益、组织权益、个人权益）、影响程度（特别严重危害、严重危害、一般危害）
综合评估定级	核心数据、重要数据、一般数据

数据分级

	特别严重危害	严重危害	一般危害
国家安全	核心数据	核心数据	重要数据
经济运行	核心数据	重要数据	重要数据
社会稳定	核心数据	重要数据	一般数据
公共利益	核心数据	重要数据	一般数据
组织权益、个人权益	一般数据	一般数据	一般数据

7、重要数据的识别因素

1	反映国家战略储备、应急动员能力，如战略物资产能、储备量属于重要数据；
2	支撑关键基础设施运行或重点领域工业生产，如直接支撑关键基础设施所在行业、领域核心业务运行或重点领域工业生产的数据属于重要数据；
3	反映关键信息基础设施网络安全保护情况，可被利用实施对关键信息基础设施的网络攻击，如反映关键信息基础设施网络安全方案、系统配置信息、核心软硬件设计信息、系统拓扑、应急预案等情况的数据属于重要数据；
4	关系出口管制物项，如描述出口管制物项的设计原理、工艺流程、制作方法等的信息以及源代码、集成电路布图、技术方案、重要参数、实验数据、检测报告属于重要数据；
5	可能被其他国家或组织利用发起对我国的军事打击，如满足一定精度要求的地理信息属于重要数据；
6	反映重点目标、重要场所物理安全保护情况或未公开地理目标的位置，可能被恐怖分子、犯罪分子利用实施破坏，如反映重点安保单位、重要生产企业、国家重要资产（如铁路、输油管道）的施工图、内部结构、安防等情况的数据，以及未公开的专用公路、未公开的机场等的信息属于重要数据；
7	可能被利用实施对关键设备、系统组件供应链的破坏，以发起高级持续性威胁等网络攻击，如重要客户清单、未公开的关键信息基础运营者采购产品和服务情况、未公开的重大漏洞属于重要数据；
8	反映群体健康生理状况、族群特征、遗传信息等的基础数据，如人口普查资料、人类遗传资源信息、基因测序原始数据属于重要数据；
9	国家自然资源、环境基础数据，如未公开的水情信息、水文观测数据、气象观测数据、环保监测数据属于重要数据；
10	关系科技实力、影响国际竞争力，如描述与国防、国家安全相关的知识产权的数据属于重要数据；
11	关系敏感物项生产交易以及重要装备配备、使用，可能被外国政府对我实施制裁，如重点企业金融交易数据、重要装备生产制造信息，以及国家重大工程施工过程中的重要装备配备、使用等生产活动信息属于重要数据；
12	在向政府机关、军工企业及其他敏感重要机构提供服务过程中产生的不宜公开的信息，如军工企业较长一段时间内的用车信息；
13	未公开的政务数据、工作秘密、情报数据和执法司法数据，如未公开的统计数据

8、典型的数据风险

典型数据安全风险类别

序号	风险类别	描述
1	数据泄露风险	由于数据窃取、爬取、脱库、撞库等安全威胁，或者缺乏有效的安全措施、人员操作失误或有意盗取等，导致数据泄露、恶意窃取、未授权访问等影响数据保密性的风险
2	数据篡改风险	由于数据注入、中间人攻击等安全威胁，或者缺乏有效的安全措施、人员有意或无意操作等，导致数据被未授权篡改等影响数据完整性的风险
3	数据破坏风险	由于拒绝服务攻击、自然灾害、嵌入恶意代码、数据污染、设备故障等安全威胁，或者缺乏有效的安全措施、人员有意或无意操作等，导致数据被破坏、毁损、数据质量下降等影响数据可用性的风险
4	数据丢失风险	由于数据过载、软硬件故障、备份失效、链路过载等问题，或者缺乏有效的安全措施、人员有意或无意操作等，导致数据丢失、难以恢复等安全风险
5	数据滥用风险	由于缺乏授权访问控制、权限管控等有效的安全管控措施、人员有意或无意操作等，导致数据被未授权或超出授权范围使用、加工的风险
6	数据伪造风险	由于数据源欺骗、深度伪造等安全威胁，或者缺乏有效的安全措施、人员有意或无意操作等，导致数据或数据源被伪造、数据主体被仿冒等安全风险
7	违法违规获取数据	违反法律、行政法规等有关规定，非法或违规获取、收集数据的风险
8	违法违规出售数据	违反法律、行政法规等有关规定，非法或违规向他人出售、交易数据的风险
9	违法违规保存数据	违反法律、行政法规等有关规定，非法或违规留存数据的风险，如逾期留存、违规境外存储等
10	违法违规利用数据	违反法律、行政法规等有关规定，非法或违规使用、加工、委托处理数据的风险
11	违法违规提供数据	违反法律、行政法规等有关规定，非法或违规向他人提供、共享、交换、转移数据的风险
12	违法违规公开数据	违反法律、行政法规等有关规定，非法或违规公开数据的风险
13	违法违规购买数据	违反法律、行政法规等有关规定，非法或违规购买、收受数据的风险
14	违法违规出境数据	违反法律、行政法规等有关规定，非法或违规向境外提供数据的风险
15	超范围处理数据	数据处理活动违反必要性原则，超范围或过度收集使用个人信息或重要数据的风险
16	数据处理缺乏正当性	违反正当性原则，数据处理活动缺乏明确、合理的处理目的
17	未有效保障个人信息主体权利	由于未采取有效的个人信息保护措施、人员操作或外部威胁等，导致未能有效保障个人信息主体的知情权、决定权、限制或者拒绝个人信息处理等个人信息主体合法权利
18	App违法违规收集使用个人信息	App违反个人信息监管政策或标准规范，存在违法违规收集使用个人信息行为的风险
19	数据处理缺乏公平公正	由于缺乏安全管控措施、人员有意或无意操作等，导致数据处理违反公平公正、诚实守信原则，侵犯其他组织或个人合法权益的风险
20	数据处理抵赖风险	由于外部攻击威胁、缺乏有效安全管控措施、人员有意或无意操作等，导致处理者或第三方否认数据处理行为或绕过数据安全措施等风险
21	数据不可控风险	由于第三方数据安全能力不足、缺乏有效的第三方管控措施、合同协议缺失、外包人员操作等，导致委托处理或合作的第三方违反法律法规或合同协议约定处理数据，造成第三方超范围处理数据、逾期留存数据、违规再转移等数据不可控风险
22	数据推断风险	由于未考虑数据之间的关联关系，导致从公开数据可推断出核心数据、重要数据、未公开的个人数据等，包括但不限于面向人工智能模型的推理攻击、面向基础设施的跨域推断攻击等
23	其他风险	其他可能影响国家安全、公共利益或组织、个人合法权益的数据安全风险