全國服務(wù)熱線：4008050981
數(shù)據(jù)分類分級對于數(shù)據(jù)的安全管理至關(guān)重要，數(shù)據(jù)分類可以為數(shù)據(jù)資產(chǎn)結(jié)構(gòu)化管理、UEBA（用戶及實(shí)體行為分析）、個(gè)人信息畫像等數(shù)據(jù)治理工作提供有效支撐；
數(shù)據(jù)分級通過對不同級別的數(shù)據(jù)設(shè)置相應(yīng)訪問權(quán)限、加密規(guī)則、脫敏規(guī)則等，可大大提升數(shù)據(jù)安全管控效率，是數(shù)據(jù)安全精細(xì)化管理的重要一步。
此外等級化管理也是一種普遍適用的管理方法，適用于我國當(dāng)前實(shí)際的一種有效的數(shù)據(jù)安全管理方法。
一、方法和實(shí)踐
1.1 規(guī)范制定
數(shù)據(jù)分類和數(shù)據(jù)分級是兩個(gè)不同的概念。
其中，數(shù)據(jù)分類是指企業(yè)、組織的數(shù)據(jù)按照部門歸屬、業(yè)務(wù)屬性、行業(yè)經(jīng)驗(yàn)等維度對數(shù)據(jù)進(jìn)行類別劃分，是個(gè)系統(tǒng)的復(fù)雜工程。
數(shù)據(jù)分級則是從數(shù)據(jù)安全、隱私保護(hù)和合規(guī)的角度對數(shù)據(jù)的敏感程度進(jìn)行等級劃分。
確定統(tǒng)一可執(zhí)行的規(guī)則方法是數(shù)據(jù)分類分級實(shí)踐的第一步，通常以業(yè)務(wù)流程、數(shù)據(jù)標(biāo)準(zhǔn)、數(shù)據(jù)模型等為輸入，梳理各業(yè)務(wù)場景數(shù)據(jù)資產(chǎn)，識(shí)別敏感數(shù)據(jù)資產(chǎn)分布，理清數(shù)據(jù)資產(chǎn)使用的狀況。從業(yè)務(wù)管理、安全要求等多維度設(shè)計(jì)數(shù)據(jù)分類分級規(guī)則和方法，制定配套的流程機(jī)制。同時(shí)完成業(yè)務(wù)數(shù)據(jù)分類分級標(biāo)識(shí)，形成分類分級清單，結(jié)合數(shù)據(jù)場景化設(shè)計(jì)方案，明確不同敏感級別數(shù)據(jù)的安全管控策略和措施，構(gòu)建不同業(yè)務(wù)領(lǐng)域的場景化數(shù)據(jù)安全管理矩陣，最后輸出《數(shù)據(jù)分類分級方法和工作手冊》、《基于業(yè)務(wù)場景的數(shù)據(jù)分類分級清單和管理矩陣》做為數(shù)據(jù)分類分級工作的具體參考依據(jù)。
1.2 數(shù)據(jù)分類
業(yè)內(nèi)推薦的分類方法一般按業(yè)務(wù)條線總分法結(jié)合數(shù)據(jù)歸類總分法的邏輯體系結(jié)構(gòu)開展，即從總業(yè)務(wù)條線出發(fā)，對業(yè)務(wù)梳理細(xì)分，得到數(shù)據(jù)分類框架；然后將細(xì)分業(yè)務(wù)的數(shù)據(jù)進(jìn)行匯合，按實(shí)際需要的數(shù)據(jù)顆粒度進(jìn)行細(xì)分（數(shù)據(jù)分類層級過少，不利于定級;過多則不利于管理。一般劃分到適合本機(jī)構(gòu)定級需要即可，不宜超過三個(gè)層級）即可得到數(shù)據(jù)資產(chǎn)目錄，這些數(shù)據(jù)細(xì)分結(jié)果為數(shù)據(jù)分級的前提條件。
1.2.1 業(yè)務(wù)條線梳理
數(shù)據(jù)一般因業(yè)務(wù)而產(chǎn)生，供業(yè)務(wù)需要使用;若無業(yè)務(wù)需求，也不會(huì)有數(shù)據(jù)的產(chǎn)生和消費(fèi)。數(shù)據(jù)分類首先需厘清業(yè)務(wù)，才能區(qū)分業(yè)務(wù)涉及的具體數(shù)據(jù)。業(yè)務(wù)條線梳理工作從核心業(yè)務(wù)條線著手， 進(jìn)行提煉分析， 通過理清業(yè)務(wù)條線建立關(guān)鍵實(shí)體，最終實(shí)現(xiàn)全業(yè)務(wù)覆蓋。
1.2.2 數(shù)據(jù)歸類
數(shù)據(jù)歸類“總分”方式指數(shù)據(jù)資產(chǎn)的匯總與匯總后數(shù)據(jù)的按需分組，首先需要收集整理各細(xì)分業(yè)務(wù)范圍內(nèi)的數(shù)據(jù)資產(chǎn)，包含以物理或電子形式記錄的數(shù)據(jù)表、數(shù)據(jù)項(xiàng)、數(shù)據(jù)文件等，資產(chǎn)梳理方式可參考《GB/T 21062-2007 政務(wù)信息資源目錄體系》、《證券期貨行業(yè)數(shù)據(jù)模型》等規(guī)范中的方法。
數(shù)據(jù)歸類可通過工具發(fā)現(xiàn)結(jié)合人工判斷的方式進(jìn)行，結(jié)構(gòu)化數(shù)據(jù)可通過數(shù)據(jù)探測任務(wù)發(fā)現(xiàn)數(shù)據(jù)庫服務(wù)后，對數(shù)據(jù)庫服務(wù)進(jìn)行數(shù)據(jù)資產(chǎn)盤點(diǎn)。非結(jié)構(gòu)化數(shù)據(jù)需通過訪談、收集、調(diào)研等方式進(jìn)行盤點(diǎn)。針對關(guān)系型數(shù)據(jù)庫，一般需要客戶提供數(shù)據(jù)庫的賬號和密碼，登錄后獲取該數(shù)據(jù)庫的元數(shù)據(jù)，經(jīng)過分析后梳理出該數(shù)據(jù)庫所有用戶表信息，包括表名、表創(chuàng)建時(shí)間、修改時(shí)間、表內(nèi)各字段名稱、數(shù)據(jù)類型等信息。
1.3 數(shù)據(jù)分級
在完成數(shù)據(jù)分類的前提下,對數(shù)據(jù)進(jìn)行安全定級。基本思路是根據(jù)某類數(shù)據(jù)的安全屬性(完整性、保密性、可用性)，發(fā)生安全事件后的影響對象、影響范圍、影響程度,對數(shù)據(jù)進(jìn)行安全定級,通常分成三到四個(gè)安全級別。
1.3.1 數(shù)據(jù)定級流程
數(shù)據(jù)安全定級過程包括數(shù)據(jù)資產(chǎn)梳理、數(shù)據(jù)安全定級準(zhǔn)備、數(shù)據(jù)安全級別判定、數(shù)據(jù)安全級別審核及數(shù)據(jù)安全級別批準(zhǔn)，具體工作流程如下圖所示。
1.3.2 數(shù)據(jù)定級流程基本步驟
數(shù)據(jù)資產(chǎn)梳理:
第一步:對數(shù)據(jù)進(jìn)行盤點(diǎn)、梳理與分類，形成統(tǒng)一的數(shù)據(jù)資產(chǎn)清單，并進(jìn)行數(shù)據(jù)安全定級合規(guī)性相關(guān)準(zhǔn)備工作。
數(shù)據(jù)安全分級準(zhǔn)備:
第二步:明確數(shù)據(jù)分級的顆粒度( 如庫文件、表、字段等) ;
第三步:識(shí)別數(shù)據(jù)安全定級關(guān)鍵要素（影響對象、影響范圍、影響程度）。
數(shù)據(jù)安全級別判定:
第四步:按照數(shù)據(jù)定級規(guī)則，結(jié)合國家及行業(yè)有關(guān)法律法規(guī)、部門規(guī)章，對數(shù)據(jù)安全等級進(jìn)行初步判定;
第五步:綜合考慮數(shù)據(jù)規(guī)模、數(shù)據(jù)聚合、數(shù)據(jù)時(shí)效性、數(shù)據(jù)形態(tài)(如是否經(jīng)匯總、加工、統(tǒng)計(jì)、脫敏或匿名化處理等)等因素，對數(shù)據(jù)安全級別進(jìn)行復(fù)核，調(diào)整形成數(shù)據(jù)安全級別評定結(jié)果及定級清單。
數(shù)據(jù)安全級別審核:
第六步:審核數(shù)據(jù)安全級別評定過程和結(jié)果，必要時(shí)重復(fù)第三步及其后工作，直至安全級別的劃定與本單位數(shù)據(jù)安全保護(hù)目標(biāo)相一致。
數(shù)據(jù)安全級別批準(zhǔn):
第七步:最終由數(shù)據(jù)定級工作領(lǐng)導(dǎo)組織對數(shù)據(jù)安全分級結(jié)果進(jìn)行審議批準(zhǔn)。
1.3.3 級別變更
數(shù)據(jù)級別變更應(yīng)由數(shù)據(jù)的主管業(yè)務(wù)部門/屬主部門或數(shù)據(jù)安全管理部門發(fā)起，并按照數(shù)據(jù)定級流程實(shí)施。在數(shù)據(jù)定級完成后出現(xiàn)下列情形時(shí)，應(yīng)對相關(guān)數(shù)據(jù)的安全級別進(jìn)行變更:
數(shù)據(jù)內(nèi)容發(fā)生變化，導(dǎo)致原有數(shù)據(jù)的安全級別不適用變化后的數(shù)據(jù);
數(shù)據(jù)內(nèi)容未發(fā)生變化，但因數(shù)據(jù)時(shí)效性、數(shù)據(jù)規(guī)模、數(shù)據(jù)應(yīng)用場景、數(shù)據(jù)加工處理方式等發(fā)生變化，導(dǎo)致原定的數(shù)據(jù)級別不再適用;
不同數(shù)據(jù)類型經(jīng)匯聚融合形成新的數(shù)據(jù)類別，使得原有的數(shù)據(jù)級別不適用，應(yīng)重新進(jìn)行級別判定;
因國家或行業(yè)主管部門要求，導(dǎo)致原定的數(shù)據(jù)級別不再適用;
需要對數(shù)據(jù)級別進(jìn)行變更的其它情形。
1.4 數(shù)據(jù)安全管控策略制定
根據(jù)數(shù)據(jù)分類分級結(jié)果，從管理、流程和技術(shù)等方面，制定基于數(shù)據(jù)安全視角的全生命周期數(shù)據(jù)安全管控策略。
管理方面包括不限于規(guī)范管理決策職責(zé)、規(guī)范日常維護(hù)職責(zé)、規(guī)范崗位人員職責(zé)等；
流程方面包括不限于制定數(shù)據(jù)安全管理整體機(jī)制流程安全管控策略、權(quán)限管理操作流程管控策略等；
技術(shù)方面包括不限于制定基礎(chǔ)架構(gòu)的整體安全支撐技術(shù)、加密、脫敏、數(shù)據(jù)防泄漏等的管控策略。
1.5 自動(dòng)化數(shù)據(jù)分類分級打標(biāo)
標(biāo)簽化可以通過對數(shù)據(jù)打標(biāo)簽的方式降低數(shù)據(jù)安全管理的門檻，幫助單位進(jìn)行數(shù)據(jù)的分類管理，分級防護(hù)。
目前業(yè)內(nèi)的專用工具可基于關(guān)聯(lián)補(bǔ)齊后的數(shù)據(jù)，結(jié)合數(shù)據(jù)分類分級結(jié)果，在原數(shù)據(jù)基礎(chǔ)上進(jìn)行標(biāo)記。
1.5.1 結(jié)構(gòu)化數(shù)據(jù)的打標(biāo)過程
工具自動(dòng)方式
工具自動(dòng)打標(biāo)簽可以通過兩種方式實(shí)現(xiàn)，一種是通過從數(shù)據(jù)庫中提取元數(shù)據(jù)，進(jìn)行自動(dòng)分級分類，分級分類策略可配置。
另一種為借助敏感標(biāo)簽?zāi)芰Γ瑢υ獢?shù)據(jù)中的敏感程度和數(shù)據(jù)定級自動(dòng)智能推薦，并快速完成數(shù)據(jù)分級管理。
同時(shí)自動(dòng)化工具能夠支持?jǐn)?shù)據(jù)分級支持對表、字段進(jìn)行識(shí)別和分級標(biāo)識(shí)，可自定義定級規(guī)則，并支持標(biāo)記和變更數(shù)據(jù)敏感級別，通用的敏感級別包括公開、內(nèi)部、敏感、機(jī)密等。
機(jī)器學(xué)習(xí)方式
目前業(yè)內(nèi)智能化打標(biāo)一般指的是針對敏感數(shù)據(jù)進(jìn)行打標(biāo)。借助正則表達(dá)式、關(guān)鍵詞、文檔指紋、OCR、機(jī)器學(xué)習(xí)、自然語言處理等先進(jìn)AI技術(shù)提取敏感數(shù)據(jù)特征，建立相應(yīng)敏感識(shí)別規(guī)則，然后統(tǒng)一錄入規(guī)則引擎。
識(shí)別規(guī)則除機(jī)器學(xué)習(xí)獲得以外，還包括系統(tǒng)內(nèi)置規(guī)則及用戶根據(jù)敏感特征自定義規(guī)則，可進(jìn)行精確的、更多場景的敏感數(shù)據(jù)識(shí)別。
識(shí)別后的數(shù)據(jù)與敏感標(biāo)簽庫進(jìn)行匹配，命中規(guī)則數(shù)據(jù)則會(huì)打上相應(yīng)標(biāo)簽，根據(jù)標(biāo)簽則可以查看數(shù)據(jù)分級分類結(jié)果以及敏感數(shù)據(jù)分布情況。
1.5.2 非結(jié)構(gòu)化數(shù)據(jù)的打標(biāo)過程
針對文檔、圖像、視頻等非結(jié)構(gòu)化數(shù)據(jù)，通過標(biāo)記文件頭的方式進(jìn)行打標(biāo)。
