数据分类分级方法及典型应用场景-技术圈

《数据安全法》的第二十一条明确规定了由国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。

实行数据分类分级是保障数据安全的前提，也是数据安全治理过程中极为重要的一环。本文在搜集整理法规要求的基础上，结合最佳实践，为开展数据分类分级工作提供一些思路和建议。

01 数据分类分级概述

数据安全是指保护数据的机密性、完整性和可用性。当前数据安全领域主要关注的防护对象包括个人信息和重要数据。

个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。

重要数据是指不涉及国家秘密，但与国家安全、经济发展以及公共利益密切相关的数据，包括但不限于公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域的各类机构在开展业务活动中采集和产生的，不涉及国家秘密，但一旦泄露、篡改或滥用将会对国家安全、经济社会发展和公共利益造成不利影响的数据。

为了更好的理解和认识什么是数据分类分级，从数据、数据来源、数据分类以及数据分级等方面展开。

1、数据

数据是指任何以电子或其他方式对信息的记录。同时也指信息可再解释的形式化表示，以适用于通信、解释或处理，可以通过人工或自动手段处理数据。也指通过事实或观察的结果，是对客观事物的逻辑归纳，是用于表示客观事物的未经加工的原始素材，它是可识别的、抽象的符号。

数据类型包括结构化数据（如RDD、SQL、JSON、NOSQL、表格数据等）、半结构化数据（如日志文件、XML文档、JSON文档、Email等）、非结构化数据（如办公文档、文本、图片、XML、HTML、各类报表、图像和音频/视频信息等）。

通俗点讲，我们把人体的血液比作数据，器官比作企业各个部门。流动的数据才能为各个部门传递信息，从而更好的协作。

2、数据来源

数据的来源主要来自于三个方面：

第一源于企业内部，如交易、运营、财务、人力等部门产生的自有数据。
第二源于三方数据，如网络数据、通信数据、信用数据、客户数据等。
第三源于采集数据，如通过传感器、图像视频、社交媒体、物联网等途径接收到的数据。

不论是哪种数据，都将作为企业的数据资产，纳入数据分类分级范围。下图是数据来源示意图：

图2 数据的来源

3、数据分类

数据分类是指根据组织数据的属性或特征，将其按照一定的原则和方法进行区分和归类，并建立起一定的分类体系和排列顺序，以便更好地管理和使用组织数据的过程。数据分类是数据保护工作中的一个关键部分，是建立统一、准确、完善的数据架构的基础，是实现集中化、专业化、标准化数据管理的基础。

4、数据分级

数据分级是指在数据分类的基础上，采用规范、明确的方法区分数据的重要性和敏感度差异，按照一定的分级原则对其进行定级，从而为组织数据的开放和共享安全策略制定提供支撑的过程。

02 数据分类分级方法

开展数据安全的第一步就是要识别数据、基于业务特点进行数据的分类和分级。数据分类分级的准确度是后续数据保护策略部署的基础。

一般数据分类分级的流程包括：制定数据分类分级标准，准备数据样本、建立敏感数据规则库，扫描目标存储设备，自动化数据测绘。

制定数据分类分级标准

根据国家相关标准、行业相关标准、结合企业业务特性制定企业数据分类分级标准/规范，例如：

准备数据样本、建立敏感数据规则库

扫描目标存储设备，自动化数据测绘

通过专业数据分类分级设备对结构化/半结构化/非结构化数据扫描，自动发现敏感数据的大小、数量等属性信息及存储位置，形成数据资产的测绘图。

03 数据分类分级的几个典型应用场景

企业用户的使用场景

一般需求

企业用户做数据安全建设工作：首先梳理企业数据资产、分类分级，根据分类分级结果制定数据管控策略，实施管控措施，全景展示数据安全态势，持续运营改进。

（1）开放API接口，允许其他数据安全防护设备读取敏感数据信息进行数据安全防护策略的配置和部署。

（2）针对数据库的Schema扫描，将扫描结果通过邮件发送给Schema负责人，通知其跟进处理。

解决方案

专业数据分类分级设备做全网数据资产识别和分类分级，开放通用API接口，可分别与数据安全运营管理平台和数据安全防护设备联动。

与数据安全运营管理平台联动，将数据分类分级结果上传给平台，通过平台统一将策略下发给各数据安全防护设备。

专业数据分类分级设备或者数据安全运营管理平台，将敏感数据结果发送给各数据资产管理员分别进行整改，形成数据安全运营闭环。

高校用户使用场景

一般需求

专业数据分类分级设备由学校的网管中心统一负责维护，具体敏感数据识别业务则由各个学院自行完成，各学院数据互相隔离。

解决方案

专业数据分类分级设备支持多用户分权管理，即系统管理员统一创建不同的用户账号，每个用户单独分配数据空间，数据相互隔离。用户通过自己账号登陆设备可以自行完成所负责数据资产的分类分级工作。

云端用户的使用场景

一般需求

业务系统部署在云环境，需要支持云端数据资产分类分级。

解决方案

1、专业数据分类分级设备提供虚拟化镜像，支持虚拟化部署，对目标数据资产服务器进行扫描并提供数据分类分级。

2、专业数据分类分级设备以硬件部署，通过交换机接入目标云环境进行扫描，提供数据分类分级。

监管机构的使用场景

一般需求

1、监管机构需要对大数据企业/单位做综合数据安全风险评估，包括数据资产识别、数据分类分级、平台组件安全扫描等。

2、在各企业/单位完成扫描检查后，将扫描结果上传至数据安全运营管理平台。

解决方案

专业数据分类分级设备提供全网数据资产测绘、智能数据分类分级、实时数据流转测绘、平台组件安全扫描功能，可通过计划管理模式定期对目标数据资产进行扫描，提供综合数据安全风险评估报告和整改建议。

专业数据分类分级设备提供通用API接口，可以实时或者手动将扫描结果上传至数据安全运营管理平台。

04 数据分类分级的意义

1、满足合规要求

满足合规是企业平稳运行最基本要求，《网络安全法》第二十一条（四）、《数据安全法》第二十一条、《民典法》第六章，以及等保、标准规范等都有要求，企业应当去研究，按照本行业的监管要求去执行，采用流程和技术手段切实落实数据分类分级工作。

2、满足自身发展

随着大数据、人工智能、云计算等新型技术的深入应用，往信息化资产转变成为必然趋势。在信息化水平不断提升的同时，也将产生多种多样的数据，前期没做好数据管理方面的规划，后期维护成本更高。

3、提升数据使用价值

如何更好的从数据中提取价值，持续性为企业提供精准的数据服务。在提升运营能力同时，数据资产的精细化管理，必将成为企业业务优化的发力点或突破点，也是企业竞争力之一。数据资产的确认和计量极有可能纳入企业资产负债表，成为企业的资产之一。

4、减少数据安全风险

采用规范的数据分类、分级方法，有助于企业厘清数据资产，确定数据重要性或敏感度，哪些数据谁可以用怎么用、哪些数据可以公开哪些数据不可以公开等情况，针对性地采取适当、合理的管理手段和安全防护措施，形成一套科学、规范的数据资产管理与保护机制，从而减少数据遭受篡改、破坏、泄露、丢失或非法利用的可能。