3个案例，详解数据分类分级方法论及落地应用
每天两块钱，实时获取全球数据合规风险预警
如需英国ICO《雇员监控指南》PDF全文，请加入小圈子免费下载！
👇
综合自：美创资讯、数据学堂、谈数据
全文共6285个字，建议阅读15分钟
仅供学习，如有侵权，请联系删除！
但如何开展、怎样开展数据分类分级工作，对绝大多数单位组织而言，依然是一项很困难的事情。无标准难规范、有标准难落地、已落地难应用，问题众多。
在相关法律法规、国内外标准研究基础上，结合专业咨询服务团队、数据分类分级方法论和成熟工具，形成数据分类分级方案，从走访调研、组织建设、数据梳理、数据分类、数据分级以及最后应用落地，提供完善的、流程化的方法路径。
01 数据分类分级概述
为了更好的理解和认识什么是数据分类分级，从数据、数据来源、数据分类以及数据分级等方面展开。
个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。
重要数据是指不涉及国家秘密，但与国家安全、经济发展以及公共利益密切相关的数据，包括但不限于公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域的各类机构在开展业务活动中采集和产生的，不涉及国家秘密，但一旦泄露、篡改或滥用将会对国家安全、经济社会发展和公共利益造成不利影响的数据。
1、数据
第一源于企业内部，如交易、运营、财务、人力等部门产生的自有数据。
第二源于三方数据，如网络数据、通信数据、信用数据、客户数据等。
第三源于采集数据，如通过传感器、图像视频、社交媒体、物联网等途径接收到的数据。
数据分类是指根据组织数据的属性或特征，将其按照一定的原则和方法进行区分和归类，并建立起一定的分类体系和排列顺序，以便更好地管理和使用组织数据的过程。数据分类是数据保护工作中的一个关键部分，是建立统一、准确、完善的数据架构的基础，是实现集中化、专业化、标准化数据管理的基础。
数据分级是指在数据分类的基础上，采用规范、明确的方法区分数据的重要性和敏感度差异，按照一定的分级原则对其进行定级，从而为组织数据的开放和共享安全策略制定提供支撑的过程。
02 数据分类分级方法
开展数据安全的第一步就是要识别数据、基于业务特点进行数据的分类和分级。数据分类分级的准确度是后续数据保护策略部署的基础。
一般数据分类分级的流程包括：制定数据分类分级标准，准备数据样本、建立敏感数据规则库，扫描目标存储设备，自动化数据测绘。
01
制定数据分类分级标准
根据国家相关标准、行业相关标准、结合企业业务特性制定企业数据分类分级标准/规范，例如：
02
准备数据样本、建立敏感数据规则库
03
扫描目标存储设备，自动化数据测绘
通过专业数据分类分级设备对结构化/半结构化/非结构化数据扫描，自动发现敏感数据的大小、数量等属性信息及存储位置，形成数据资产的测绘图。
在深入理解客户业务需求基础上，根据“建组织-盘资产-定策略-稳执行”，以 “六步走”方法路径，助力该人社局推进数据分类分级工作：
事前走访调研：
通过走访调研，深入沟通探讨其业务平台数据痛点难点问题，输出调研结论。
建立组织保障：
成立数据资产梳理领导组和工作组，其中：领导组负责统筹和决策职责，确定数据资产梳理工作目标、内容、范围、标准规范等；工作组负责按照工作目标和要求开展数据资产梳理工作，协调人员和解决问题，并牵头进行工作效果评价。
数据资源盘点：
项目组对接局内相关资产部门，开展数据资源盘点工作，形成统一基础数据资源列表，内容包括但不限于所属部门、所在系统、数据类型、安全等级、内容描述、数据量、保存位置、保存期限、数据处理情况、数据对外提供情况、数据生命周期各环节安全措施配套情况等。
数据分类分级策略制定
目前，公共数据分类维度主要有以下四类：数据管理、业务应用、数据安全和数据对象。综合考虑国家、地方、行业法律法规和自身数据分类的目的，确定从数据对象维度对人社数据分类。
分类共形成7个一级分类，包括：个人信息、业务信息、组织机构信息、客体信息、系统数据、基础类型、统计信息。其中业务信息分类下包括人社8个业务主题分类，分别为：社会保险、人才管理、智慧就业、职称申请与认定、职业能力建设、网签劳动合同、智慧监察、行政管理，以及45个二级子类的数据资产。
人社数据分级与其共享、开放的类型、范围、审批和管理要求直接相关，要考虑数据聚合情况、数据体量、数据时效性、数据脱敏处理等因素，根据实际升高或降低数据安全级别。同时兼顾人社数据在遭到破坏后对国家安全、社会秩序、公共利益以及对公民、法人和其他组织的合法权益（受侵害客体）的危害程度。
基于综合考量，按照就高从严原则确定安全等级，将人社数据分为1级、2级、3 级、4级，并根据就高原则进行定级（数据集的级别根据下属数据项的最高级来定级）。根据各级别的公共数据特征，帮助客户进一步梳理了安全控制点，提出分类分级的安全管控规则。
因人社数据均可共享，因此无4级数据，最终将原先数据级别为4级的数据调整为3级。将业务信息从3级调整为2级。本次分级将数据分为3级，分别为：1级（非敏感）、2级（低敏感）、3级（较敏感）。
落地及运营工具
基于自研的暗数据发现和分类分级平台，集合自动扫库扫表、模型匹配、数据统计、机器学习等技术，进行数据发现、数据含义识别、业务类型确认、数据分类分级、多维结果输出，以提升数据发现和分类分级的准确性和规范性，缩短项目周期。同时，暗数据发现与分类分级平台动态拓展能力，可持续迭代更新分类分级策略，为长期持续运营提供支持。
暗数据发现与分类分级平台产品架构
结合《公共数据分类分级指南》、《人口综合库数据规范》、《信息安全技术 个人信息安全规范》等规范，对某市大数据局人口综合库进行梳理和分类分级。
暗数据发现与分类分级落地流程
分类分级标准梳理
资产发现
数据分类分级
最终完成：
对人口库形成11个二级分类、50个三级分类，5个敏感等级（极敏感、敏感、较敏感、低敏感、不敏感）。 梳理人口综合库30多个schema，近1000张数据表，25000个左右的字段。 敏感数据发现超40%的数据表中都有敏感字段。可按照不同分级对敏感数据和敏感表格进行安全管控。
2020年9月中国人民银行发布《金融数据安全 数据安全分级指南》，要求各个金融机构对数据实施分类分级管理，加强数据安全管理，促进数据安全共享。合规需求和业务发展共同驱动下，该银行通过暗数据发现和分类分级平台完成51张表格，2409个字段分类分级工作。
暗数据发现和分类分级平台已内置金融行业分类分级标准（参照《JR/T 0197-2020金融数据安全 数据安全分级指南》），在综合该银行合规及安全需求下，通过工具实现业务系统的梳理和识别、发现敏感字段，建立分类分级管理。
初次扫描发现：通过“暗数据发现和分类分级”工具，自动对数据进行智能扫描分析，确定数据业务类型，进行分类分级； 发现结果确认：系统展示发现结果，辅助人工对发现结果进行确认，重点对未识别出的业务类型字段、业务类型识别错误的内容进行人工判断； 新增业务类型：新增未内置的业务类型，根据数据的特征（数据内容、字段名称、字段注释）进行发现规则的设计，并绑定分类分级； 发现规则优化：对于业务类型识别错误的字段，根据数据特征进行规则内容、规则优先级、规则权重的优化；
再次扫描发现：再次启动暗数据发现和分类工具的自动扫描程序，根据最新规则对数据重新进行智能匹配和分类分级工作；同时，工具支持对两次发现结果进行对比，清晰展现最新发现结果的执行效果。
04 更多典型应用场景
01
企业用户的使用场景
一般需求
企业用户做数据安全建设工作：首先梳理企业数据资产、分类分级，根据分类分级结果制定数据管控策略，实施管控措施，全景展示数据安全态势，持续运营改进。
（1） 开放API接口，允许其他数据安全防护设备读取敏感数据信息进行数据安全防护策略的配置和部署。
（2） 针对数据库的Schema扫描，将扫描结果通过邮件发送给Schema负责人，通知其跟进处理。
解决方案
专业数据分类分级设备做全网数据资产识别和分类分级，开放通用API接口，可分别与数据安全运营管理平台和数据安全防护设备联动。
与数据安全运营管理平台联动，将数据分类分级结果上传给平台，通过平台统一将策略下发给各数据安全防护设备。
专业数据分类分级设备或者数据安全运营管理平台，将敏感数据结果发送给各数据资产管理员分别进行整改，形成数据安全运营闭环。
02
高校用户使用场景
一般需求
专业数据分类分级设备由学校的网管中心统一负责维护，具体敏感数据识别业务则由各个学院自行完成，各学院数据互相隔离。
解决方案
专业数据分类分级设备支持多用户分权管理，即系统管理员统一创建不同的用户账号，每个用户单独分配数据空间，数据相互隔离。用户通过自己账号登陆设备可以自行完成所负责数据资产的分类分级工作。
03
云端用户的使用场景
一般需求
业务系统部署在云环境，需要支持云端数据资产分类分级。
解决方案
1、专业数据分类分级设备提供虚拟化镜像，支持虚拟化部署，对目标数据资产服务器进行扫描并提供数据分类分级。
2、专业数据分类分级设备以硬件部署，通过交换机接入目标云环境进行扫描，提供数据分类分级。
04
监管机构的使用场景
一般需求
1、 监管机构需要对大数据企业/单位做综合数据安全风险评估，包括数据资产识别、数据分类分级、平台组件安全扫描等。
2、 在各企业/单位完成扫描检查后，将扫描结果上传至数据安全运营管理平台。
解决方案
专业数据分类分级设备提供全网数据资产测绘、智能数据分类分级、实时数据流转测绘、平台组件安全扫描功能，可通过计划管理模式定期对目标数据资产进行扫描，提供综合数据安全风险评估报告和整改建议。
专业数据分类分级设备提供通用API接口，可以实时或者手动将扫描结果上传至数据安全运营管理平台。
04 数据分类分级的意义
满足合规是企业平稳运行最基本要求，《网络安全法》第二十一条（四）、《数据安全法》第二十一条、《民典法》第六章，以及等保、标准规范等都有要求，企业应当去研究，按照本行业的监管要求去执行，采用流程和技术手段切实落实数据分类分级工作。
2、满足自身发展
随着大数据、人工智能、云计算等新型技术的深入应用，往信息化资产转变成为必然趋势。在信息化水平不断提升的同时，也将产生多种多样的数据，前期没做好数据管理方面的规划，后期维护成本更高。
3、提升数据使用价值
如何更好的从数据中提取价值，持续性为企业提供精准的数据服务。在提升运营能力同时，数据资产的精细化管理，必将成为企业业务优化的发力点或突破点，也是企业竞争力之一。数据资产的确认和计量极有可能纳入企业资产负债表，成为企业的资产之一。
4、减少数据安全风险
DPOHUB年度会员，扫码加入!
权益1：一年内畅听DPOHUB数据合规研究院全站几乎所有的录播课、直播课（除了超级会员专享的DPOHUB线上线下沙龙以及CDPO认证专用培训课程），权益期内新增的在线课程同样免费听。
权益2：一年的鹅圈子“数据合规俱乐部”，第一时间获取或下载全球最前沿数据法资讯、案例、报告、论文、指南以及全球数据合规头条、中国数据合规周刊。
微信扫码关注该文公众号作者