数据分类分级概念、方法、标准及应用

2. 数据分类分级之后缺乏对应的有效管理和使用策略，让数据分类分级流于形式。

3. 部分业务数据不具备明显数据特证，通过规则自动识别准确率不高。特别是针对非结构化数据的分类分级识别困难较大。

2.国内已发布的数据分类分级相关标准

在开展分类分级工作时参考最多的标准有如下：

其他标准参考如各类地准、国标、行标：

3.企业数据分类分级实现

3.1 数据分类分级实施路径

第一步，咨询调研分析。基于行业相关的监管政策和标准规范，对业务系统、数据资产现状和数据安全现状等进行全面调研分析，从而对企业业务、数据及安全现状做到“心中有数”。

第二步，数据资产梳理。自动化识别数据资产，对数据资产进行梳理打标，构建好数据资产目录和数据资产清单，为企业数据分类分级打好基础。

第三步，数据分类方案。基于数据资产清单进行数据分类体系设计，完成数据分类打标实施。打标实施完之后，再进行分类分级规则调优，提升自动化分类的比例和准确率。

第四步，数据分级方案。先进行数据分级体系设计，接下来进行数据分级的规则调优，尽量提升自动化分级的覆盖率和准确率，降低人工成本，然后是数据等级变更维护机制和工具平台设置。

第五步，数据分类分级全景图。构建数据分类分级清单，实现数据分类分级可视化。同时产出一些数据分类分级运营机制，为数据安全分级保护打好基础，做好准备。

3.2 数据分类

3.3 数据分级

以金融行业数据分级为例，金融行业数据等级一般分为五级：

• 五级数据指对国家安全造成影响，或对公众权益造成严重影响数据。

• 四级数据指对公众权益造成一般影响，或对个人隐私或企业合法权益造成严重影响，但不影响国家安全数据。例如个人健康生理信息、个人身份鉴别信息等。

• 三级数据指对公众权益造成轻微影响，或对个人隐私或企业合法权益造成一般影响，但不影响国家安全数据。例如比较常见的个人信息，姓名、身份证，联系方式等。

• 二级数据指对个人隐私或企业合法权益造成轻微影响，但不影响国家安全、公众权益数据。

• 一级数据指对个人隐私或企业合法权益不造成影响，或仅造成微弱影响，但不影响国家安全、公众权益数据。

分级原则如下：

3.4 分类分级在业务中的应用

如上图数据处理全流程涉及的数据安全管控技术示例如下：

2. 数据源验证、访问控制、传输加密、个人敏感信息内容加密

3. 数据使用审计、权限控制、数据脱敏、安全计算

4. 联邦学习、访问控制、数据访问审计

5. 访问控制、数据脱敏、特权管理

6. 数据脱敏、外发安全审计、API管控

7. 服务端数据存储加密、数据库访问控制、安全审计、分类分级

8. 敏感数据识别、数据分类分级

9. API安全监测、访问控制、安全审计

10. 数据脱敏、安全审计

11. WEB数据展示/下载管控/审计/脱敏

12. 动态脱敏、特权管理、安全审计、运维审计

13. 安全评估、保密协议、数据脱敏、加密传输

14. 数据分类分级、文件加密、数据防泄漏、远程办公安全

4.敏感数据的分类分级识别与打标

敏感数据规则库的建立是自动化识别的基础能力，规则库采用的技术包括关键字、正则表达式、基于文件属性识别、基于元数据信息的自定义识别、机器学习等。例如：

银行卡号、证件号、手机号，有明确的规则，可以根据正则表达式和算法匹配。

姓名、特殊字段，没有明确信息，可能是任意字符串，可以通过配置关键字来进行匹配。

营业执照、地址、图片等，没有明确规则，可以通过自然语言算法来识别，使用开源算法库。

4.2 数据扫描、识别与密级打标

数据分类分级是数据安全治理和数据管理的主要措施，是数据的安全合规使用的基础。数据分类分级不仅能够确保具有较低信任级别的用户无法访问敏感数据以保护重要的数据资产，也能够避免对不重要的数据采取不必要的安全措施。

人、安全体系、技术这三方面是数据安全治理三个方面：

数据安全治理蓝图

数据分类分级建设思路

数据分类分级工作的开展应具备组织保障，设立并明确有关部门（或组织）及其职责。

决策层：决策层负责制定企业数据战略、审批或授权，全面协调、指导和推进企业的数据分类分级工作。数据分类分级工作的领导组织及其负责人，主要负责数据分类分级相关审批、决策等工作；

管理层：决策层主要负责建立企业数据分类分级的完整体系，制定实施计划，统筹资源配置、建立数据分类分级常态化控制机制，组织评估数据分类分级工作的有效性和执行情况，制定并实施问责和激励机制。数据分类分级工作的管理部门（或组织）及其负责人，主要负责数据分类分级相关工作的组织、协调、管理、审核、评审等工作；

执行层：执行层在管理层的统筹安排下，根据数据分类分级相关制度规范的要求，具体执行各项工作。负责数据分类分级体系建设和运行机制，根据数据分类分级各职能域的管理要求承担具体工作。信息科技部门及其负责人，主要负责落实数据分类分级有关要求，并主导数据分类分级实施工作。

各业务部门是数据分类分级执行工作的责任主体，负责本业务领域的数据分类分级执行工作，管控业务数据源。确保数据被准确记录和及时维护，落实数据分类分级管控机制，执行监管数据相关工作。各业务部门及其负责人负责落实数据分类分级有关要求，并协同开展数据分类分级实施工作。