隨著“十四五”規(guī)劃推行，數(shù)據(jù)要素概念與意識(shí)全面鋪開，國家、政府機(jī)構(gòu)、企業(yè)數(shù)據(jù)安全意識(shí)愈發(fā)強(qiáng)烈。2021年9月1號(hào)，《數(shù)據(jù)安全法》正式生效，數(shù)據(jù)資產(chǎn)安全進(jìn)入“有法可依”時(shí)代。
如何基于數(shù)據(jù)安全五大原則(數(shù)據(jù)隔離、風(fēng)險(xiǎn)識(shí)別、數(shù)據(jù)生命周期保護(hù)、維持合規(guī)、事件響應(yīng))，構(gòu)建安全領(lǐng)域“三道防線”(技術(shù)防線、管理防線、法律防線)，是國家、政府機(jī)構(gòu)、企業(yè)的關(guān)注重點(diǎn)。而數(shù)據(jù)分類分級(jí)是數(shù)據(jù)安全的必由之路，也是讓數(shù)據(jù)真正用起來的首要前提。
01、數(shù)據(jù)分類分級(jí)管理概述
大數(shù)據(jù)時(shí)代，數(shù)據(jù)呈現(xiàn)多源異構(gòu)的特點(diǎn)，價(jià)值各不相同，企業(yè)應(yīng)根據(jù)數(shù)據(jù)的重要性、價(jià)值指數(shù)等方面予以區(qū)分，便于采取不同的數(shù)據(jù)保護(hù)措施，防止數(shù)據(jù)泄露。因此，數(shù)據(jù)分類分級(jí)管理是數(shù)據(jù)安全保護(hù)中的重要環(huán)節(jié)之一。
1.數(shù)據(jù)分類
數(shù)據(jù)分類是指根據(jù)組織數(shù)據(jù)的屬性或特征，將其按照一定的原則和方法進(jìn)行區(qū)分和歸類，并建立起一定的分類體系和排列順序，以便更好地管理和使用組織數(shù)據(jù)的過程。
數(shù)據(jù)分類是數(shù)據(jù)保護(hù)工作中的關(guān)鍵部分之一，是建立統(tǒng)一、準(zhǔn)確、完善的數(shù)據(jù)架構(gòu)的基礎(chǔ)，是實(shí)現(xiàn)集中化、專業(yè)化、標(biāo)準(zhǔn)化數(shù)據(jù)管理的基礎(chǔ)。
2.數(shù)據(jù)分級(jí)
數(shù)據(jù)分級(jí)是指按照公共數(shù)據(jù)遭到破壞(包括攻擊、泄露、篡改、非法使用等)后對(duì)受侵害各體合法權(quán)益(國家安全、社會(huì)秩序、公共利益以及公民、法人和其他組織)的危害程度，對(duì)公共數(shù)據(jù)進(jìn)行定級(jí)，為數(shù)據(jù)全生命周期管理進(jìn)行的安全策略制定。
數(shù)據(jù)分級(jí)分類流程
02、數(shù)據(jù)分類分級(jí)方法及細(xì)則
數(shù)據(jù)分類的常用方法：按關(guān)系分類，基于業(yè)務(wù)(來源)、基于內(nèi)容、基于監(jiān)管等。
數(shù)據(jù)分級(jí)的常用方法：按特性分級(jí)，基于價(jià)值(公開、內(nèi)部、重要核心等)、基于敏感程度(公開、秘密、機(jī)密、絕密等)、基于司法影響范圍(大陸境內(nèi)、跨區(qū)、跨境等)。
公用數(shù)據(jù)分類的常用方法：重要數(shù)據(jù)、個(gè)人及企業(yè)信息、業(yè)務(wù)數(shù)據(jù)。下面就來具體說明這三類公用數(shù)據(jù)。
重要數(shù)據(jù)：指一旦泄露則可導(dǎo)致危害國家安全，或危害公共利益、生命、財(cái)產(chǎn)安全，或危害國家關(guān)鍵基礎(chǔ)設(shè)施，或擾亂市場(chǎng)秩序，或可推論出國家秘密等的數(shù)據(jù)。
個(gè)人及企業(yè)信息：包含直接個(gè)人信息，以電子或其他方式記錄的、能夠單獨(dú)或與其他信息結(jié)合識(shí)別的自然人個(gè)人身份或企業(yè)的各種信息。
業(yè)務(wù)數(shù)據(jù)：包含企業(yè)或公共組織從事經(jīng)營活動(dòng)或例行社會(huì)管理功能、事務(wù)處理等一系列活動(dòng)所產(chǎn)生的可存儲(chǔ)的數(shù)據(jù)。
根據(jù)上述公用數(shù)據(jù)的分類，重要數(shù)據(jù)分級(jí)、個(gè)人及企業(yè)信息分級(jí)和業(yè)務(wù)數(shù)據(jù)分級(jí)的方法分別如圖1、圖2和圖3所示。
圖1 重要數(shù)據(jù)分級(jí)方法示意圖
圖2 個(gè)人及企業(yè)信息分級(jí)方法示意圖
圖3 業(yè)務(wù)數(shù)據(jù)分級(jí)方法示意圖
企業(yè)可基于上述公用數(shù)據(jù)分類分級(jí)策略，結(jié)合自身業(yè)務(wù)和合規(guī)需求實(shí)際情況，規(guī)劃出適合企業(yè)自身的數(shù)據(jù)分類分級(jí)方法，建立適合組織自身的數(shù)據(jù)分類分級(jí)原則和方法，將數(shù)據(jù)按照重要程度進(jìn)行分類。
然后在數(shù)據(jù)分類的基礎(chǔ)上，根據(jù)數(shù)據(jù)安全在受到破壞后對(duì)組織造成的影響和損失進(jìn)行分級(jí)，如果組織層面已經(jīng)具有相關(guān)的分類分級(jí)標(biāo)準(zhǔn)，則可酌情進(jìn)行參考。在實(shí)際執(zhí)行時(shí)，如果一次性做不到完全細(xì)粒度區(qū)分，則可以多步實(shí)現(xiàn)，循序漸進(jìn)，不要設(shè)計(jì)過度復(fù)雜的方案。
企業(yè)自主分類分級(jí)可參考如圖4所示的思路，基于非敏感、敏感、涉密三個(gè)等級(jí)，對(duì)應(yīng)上述重要數(shù)據(jù)的五個(gè)等級(jí)進(jìn)行分級(jí)。
圖4 企業(yè)自主分類分級(jí)參考示意圖
03、常見數(shù)據(jù)分類分級(jí)標(biāo)準(zhǔn)
1.數(shù)據(jù)分類分級(jí)框架
來源：全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)秘書處
2.分類標(biāo)準(zhǔn)
數(shù)據(jù)分類具有多種視角和維度，其主要目的是便于數(shù)據(jù)管理和使用。數(shù)據(jù)處理者進(jìn)行數(shù)據(jù)分類時(shí)，應(yīng)優(yōu)先遵循國家、行業(yè)的數(shù)據(jù)分類要求，如果所在行業(yè)沒有行業(yè)數(shù)據(jù)分類規(guī)則，也可從組織經(jīng)營維度進(jìn)行數(shù)據(jù)分類。常見的數(shù)據(jù)分類維度，包括但不限于：
公民個(gè)人維度：將數(shù)據(jù)分為個(gè)人信息、非個(gè)人信息。
公共管理維度：將數(shù)據(jù)分為公共數(shù)據(jù)、社會(huì)數(shù)據(jù)。
信息傳播維度：將數(shù)據(jù)分為公共傳播信息、非公共傳播信息。
行業(yè)領(lǐng)域維度：將數(shù)據(jù)分為工業(yè)數(shù)據(jù)、電信數(shù)據(jù)、金融數(shù)據(jù)、交通數(shù)據(jù)、自然資源數(shù)據(jù)、衛(wèi)生健康數(shù)據(jù)、教育數(shù)據(jù)、科技數(shù)據(jù)等。
組織經(jīng)營維度：將數(shù)據(jù)分為用戶數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)、經(jīng)營管理數(shù)據(jù)、系統(tǒng)運(yùn)行和安全數(shù)據(jù)。
3.分級(jí)標(biāo)準(zhǔn)
從國家數(shù)據(jù)安全角度出發(fā)，數(shù)據(jù)分級(jí)基本框架分為一般數(shù)據(jù)、重要數(shù)據(jù)、核心數(shù)據(jù)三個(gè)級(jí)別。數(shù)據(jù)處理者可在基本框架定級(jí)的基礎(chǔ)上，結(jié)合行業(yè)數(shù)據(jù)分類分級(jí)規(guī)則或組織生產(chǎn)經(jīng)營需求，考慮影響對(duì)象、影響程度兩個(gè)要素進(jìn)行分級(jí)。各級(jí)別與影響對(duì)象、影響程度對(duì)應(yīng)關(guān)系如下表所示：
來源：全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)秘書處
分享到微信 ×
打開微信，點(diǎn)擊底部的“發(fā)現(xiàn)”，
使用“掃一掃”即可將網(wǎng)頁分享至朋友圈。
數(shù)據(jù)分類分級(jí)方法、標(biāo)準(zhǔn)及應(yīng)用實(shí)踐
