数据安全治理：数据的分类分级指南

问题导读：
1、什么是数据分类分级？
2、数据分类分级的重要性有哪些？
3、数据分类分级的原则、方法、技术如何理解？
4、数据分类分级的主要有哪些挑战？

随着数据安全上升到国家安全层面和国家战略层面，数据的分类分级已经成为了企业数据安全治理的必选题。今天给大家分享的内容是数据分类分级，希望能够为您的数据安全治理工作提供帮助和参考。

— 01 —
什么是数据分类分级？

数据分类分级是数据安全治理领域的一个专业名词，从名字上就能看出这个名词其实包含了两部分的内容：

第一，数据分类

数据分类是数据资产管理的第一步，不论是对数据资产进行编目、标准化，还是数据的确权、管理，亦或是提供数据资产服务，有效的数据分类都是首要任务。

数据分类很好理解，无非就是把相同属性或特征的数据归集在一起，形成不同的类别，方便人们通过类别来对数据进行的查询、识别、管理、保护和使用。数据分类更多是从业务角度或数据管理的角度出发的，例如：行业维度、业务领域维度、数据来源维度、共享维度、数据开放维度等，根据这些维度，将具有相同属性或特征的数据按照一定的原则和方法进行归类。

第二，数据分级

数据分级是根据数据的敏感程度和数据遭到篡改、破坏、泄露或非法利用后对受害者的影响程度，按照一定的原则和方法进行定义。数据分级更多是从安全合规性要求、数据保护要求的角度出发的，我们称之为数据敏感度分级似乎更为贴切。数据分级本质上就是数据敏感维度的数据分类。
任何时候，数据的定级都离不开数据的分类。因此，我们在数据安全治理或数据资产管理领域，都是将数据的分类和分级放在一起做，统称为数据分类分级。


— 02 —
数据分类分级的重要性

我们说了，数据分类是数据管理的第一步，如果企业不对数据进行分类分级，就谈不上数据治理和数据保护，甚至都不会清楚企业到底有哪些数据，更别说要了解哪些是敏感数据，以及他们都存储在什么位置了。除此之外，数据分类分级的重要性还体现在：

1、数据查询、管理和保护
数据分类通过提供一定的原则和流程来识别和标记企业的数据，明确数据的位置并对其敏感度进行识别的定义，支持企业对数据的查询、管理或实施保护。通过数据分类分级，能够帮助你回答以下问题：

•     企业存在哪些数据？
•     哪些是敏感数据，这些敏感数据位于何处？
•     数据对企业有哪些价值和风险？
•     谁可以访问、修改和删除这些数据？
•     谁是这些数据的管理者、拥有者或使用者？
•     如果数据泄露、销毁或不当更改，将对企业的业务产生什么影响？
  

2、提高数据安全，满足合规要求
通过数据分类分级，方便企业对数据实施保护措施来降低数据的泄露风险，加强对数据隐私的保护，主要体现在：

•     控制敏感数据的访问，从而使数据安全更有效。
•     了解不同类型数据的重要性，以便制定相应的保护措施和技术，例如：数据加密、身份认证、访问控制、数据丢失防护 (DLP)。
•     根据不同的监管或法规要求，妥善处理敏感数据，例如：医疗信息、个人身份信息、信用卡/银行卡信息等。
•     有利于提高通过监管、合规性审计的机会。
•     方便构建多套分类分级体系，有助于满足不同的合规性要求。
  

3、提升业务运营效率，降低业务风险
从数据的创建到销毁，数据分类分级可以帮助企业确保有效地管理、保护、存储和使用数据资产，赋能业务运营，提升运营效率，降低业务风险。

•     更好地管理企业所有的数据资产，最大化共享和利用数据。
•     支持在整个企业有效地访问和使用受保护的数据。
•     帮助企业评估其数据的价值以及数据丢失、被盗、误用或泄露的影响，降低业务风险。
•     帮助企业满足监管所需的合规性要求。
•     优化数据管理成本，让有限的数据管理资源用在关键的数据上。
  

— 03 —
数据分类分级的原则、方法、技术

1、数据分类分级的原则
科学性原则。应按照数据多维度特征和逻辑关联进行科学系统化的分类，且分类规则相对稳定，不宜经常变更。
适用性原则。不应设置无意义的类目或级别，分类分级结果应符合普遍认知。
灵活性原则。支持各部门在归集和共享数据前，应按照业务所需完成数据分类分级工作。
MECE原则。MECE（Mutually Exclusiv Collectively Exhaustive）核心是“相互独立，完全穷尽”，我理解MECE原则有三层含义：“第一，所有的数据都得涵盖全了，不能遗留；第二，分类之间不允许重复和交叉；第三，同一级次分类的维度要统一，颗粒度要一致”。

2、数据分类的方法
为帮助企业建立一套适用、科学的分类体系，您可能需要对整个企业数据进行评估，包括数据的价值，敏感数据的风险等，数据分类应搞清楚的问题，包括：

•     关键性：数据对于企业日常运营和业务的重要程度？
•     可用性：企业能够及时获取和访问所需数据吗，所访问的数据是否可靠？
•     敏感性：如果数据被泄露，对业务的潜在影响是什么？
•     完整性：数据在存储或传输过程中有丢失或被篡改的情况吗，对业务的影响有多大？
•     合规性：按照法规、公司制度、监管要求或行业标准数据需要存档或保留多长时间？
  

在对组织数据进行充分摸底后，根据数据管理和使用的要求，从业务出发进行类别的划分，例如：某地方政府，数据分类如下：

•     根据政务数字化应用场景分：经济调节数据、市场监管数据、公共服务数据、社会管理数据、生态环境保护数据等
•     根据数据来源分：政府部门数据、企业法人数据、人口数据等。
•     根据共享属性分：无条件共享数据、有条件共享数据、不予共享数据等。
•     ……
  

不同的组织、不同的业务场景，数据的分类方式就不同，为满足企业不同的业务需要，可能需要建立多套数据分类体系。

3、数据分级的方法
当企业使用过于复杂或太过随意的数据分级流程时，往往会数据管理陷入越来越混乱的境地。数据分级并不一定很复杂。事实上，最佳的数据分级实践是创建将数据按照敏感程度或受影响的程度划分成3~4个等级即可。然后，再根据企业的特定数据、合规性要求或其他业务需求添加更细粒度的级别。





4、数据分类分级的技术
数据分类分级的技术，一般有三种：

•     人工手动分：数据的分类分级全部都由人工手动完成，这也是传统最常用的数据分类分级方法。
•     系统自动分：通过标签体系、知识图谱、人工智能等技术，对数据进行自动分类分级。通过技术驱动的数据分类分级解决方案消除了人为干预的风险，降低人工分类分级的成本，同时可以全天候分类，增加分类分级的持久性。
•     人工+智能：在很多情况下需要人工和技术相结合的混合方式进行数据的分类分级，人工干预为数据分类提供上下文，而工具和技术可实现效率和策略执行。
  

— 04 —
数据分类分级的主要挑战

以下的企业数据安全治理的常见调整，几乎每个企业都存在这样的问题。

1、缺乏对数据保护重要性的认知
企业没有认识到数据分类分级的重要性，对数据安全保护的意识淡薄，领导层有一种“事不关己”的心态，认为数据安全这个事不会发生在自己身上。事实上，数据安全的问题与每个人都相关。最近滴滴、携程等APP被查事件足以说明这个问题。
企业认为数据的分类分级是一件麻烦的事情，分类分级的投入产出比不高，没有必要分。
企业对于数据治理、数据安全的重视程度不够，将数据安全管理的优先级排在其他业务事项之后，例如销售、采购、业务扩张和生产费用。

2、缺乏数据分类分级技术和方法
企业不知道如何定位或识别数据，应该按照什么原则和方法进行分类和分级。
企业数据的分类分级过于简单或复杂，导致在实际使用过程中使用不起来，无法产生实际效果。
数据分类分级之后缺乏对应的有效管理和使用方式，让数据分类分级流于形式。

3、缺乏数据安全治理制度和流程
没有明确数据的确权，没有明确谁对数据隐私负最终责任，以及给他们授予实施和控制数据隐私保护方案的权利。
没有明确数据安全管理制度和相应的绩效考核方式。
对于敏感数据缺乏有效的管理流程，要么一刀切不进行共享，让数据价值无法发挥；要么无差别、无条件共享，让数据分类分级失去了意义。
有意无意地规避了隐私和监管政策的要求，增加业务风险。


— 05 —
数据分类分级的最佳实践
根据行业的最佳实践和笔者的数据项目经验，我总结了数据分类分级的五个步骤，希望能够帮助到你。

1、“人工+智能”的实施数据分类分级
要正确的进行数据的分类分级，一定离不开人工的干预，人为手动定义好分类体系和规则体系，是实施自动分类分级的基础。同时，对于一些较为复杂的数据，也需要人工干预才能分的更准确。利用数据标签技术、知识图谱技术进行系统自动化扫描可以简化数据分类分级的过程，根据预定参数对数据进行分类和定级。

2、加强IT与业务合作
数据安全治理需要以业务为基础，技术为支撑。前文我们讲过，数据的分类是主要站在业务使用的角度进行划分的，数据的分级保护是为了降低业务的风险。通过IT人员能够实现标准化或自动化识别的流程，从而简化数据分类分级过程，在整个流程中，而业务人员能够为每一步提供建议、指导和批准。

3、为不同的分类分级定义不同安全策略
在数据安全治理领域，数据分类分级都与监管和合规使用有关。基于企业数据的分类分级制定数据访问控制策略，形成敏感分级数据与用户角色的访问控制矩阵，为数据的安全合规使用提供支撑。数据分级可以在安全角度为企业保驾护航，哪些数据可以使用、哪些不可以使用、哪些能对外开放、哪些不能开放、不同等级的数据在不同场景使用哪种安全策略，一目了然。

4、尽量缩小敏感数据流转路径
当前，数据中台、数据湖等大数据技术的使用让数据的存储和复制变得简单，但也让企业数据安全治理的环境变得复杂，尤其对敏感数据的防泄漏变得极其困难。企业应当遵循“最小可用”原则，尽量减少敏感数据存储位置的数量并及时删除无关的数据。数据流转环节越多，数据泄露的风险越大。数据分类分级有助于发现冗余、无关、过时和遗忘的数据，以便将其从系统中删除。

5、创建数据安全保护的文化
明确数据的归属和每个数据的生产者、消费者和所有者的权利和责任。给相关人员进行数据安全治理的培训，明确数据的管理和使用流程，强调数据的隐私和安全对企业和个人的重要意义，以及数据被破坏后的风险，让员工在日常工作中始终存在数据安全意识，形成对数据隐私和安全的整体认知和数据文化。

写在最后的话

数据分类分级是数据安全治理的主要措施，为企业数据的安全合规使用的基础。数据分类分级不仅能够确保具有较低信任级别的用户无法访问敏感数据以保护重要的数据资产，也能够避免对不重要的数据采取不必要的安全措施。

同时，数据分类分级也是提升企业运营能力良方，基于业务角度的数据分类可以更好地满足业务的使用和数据资产的管理，持续为业务赋能；通过对敏感数据的分级，提升数据的安全性，降低企业的合规性风险。


作者：数据学堂
来源：https://mp.weixin.qq.com/s/tshV6QMbtZqo84SwTjPRJA

最新经典文章，欢迎关注公众号