搜索

[15784] 2020-08-28_数据安全怎么做：数据分类分级

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-08-28_数据安全怎么做：数据分类分级 数 据 安 全 怎 么 做 ： 数 据 分 类 分 级 大 超   F r e e B u f   2 0 2 0 - 0 8 - 2 8 前 言 前 言 近 期 国 家 出 台 了 《 中 华 人 民 共 和 国 数 据 安 全 法 》 草 案 篇 ， 其 中 ， 从 国 家 法 律 层 面 强 调 对 数 据 要 进 行 分 级 分 类 保 护 ， 那 到 底 如 何 进 行 数 据 的 分 级 分 类 保 护 呢 ？ 目 前 国 家 层 面 的 文 章 除 了 在 今 年 2 月 2 7 日 发 布 的 《 工 业 数 据 分 类 分 级 指 南 （ 试 行 ） 》 ， 并 无 其 他 国 家 层 面 的 指 导 文 件 ， 但 是 分 级 分 类 这 个 词 对 于 所 有 做 安 全 的 同 仁 们 并 不 陌 生 ， 国 际 上 的 I S O 2 7 0 0 1 和 N I S T 等 规 范 皆 有 提 及 ， 国 内 的 地 方 和 行 业 上 也 有 相 应 的 指 南 发 出 ， 如 贵 州 省 的 《 政 府 数 据   数 据 分 类 分 级 指 南 》 、 金 融 行 业 的 《 金 融 数 据 安 全   数 据 安 全 分 级 指 南 （ 送 审 稿 ） 》 和 《 证 券 期 货 业 数 据 分 类 分 级 指 引 》 等 。 那 落 地 到 企 业 层 面 如 何 制 定 呢 ， 今 天 跟 大 家 分 享 下 “ 数 据 分 类 分 级 ” 在 企 业 中 的 实 践 。 下 述 内 容 ， 仅 代 表 个 人 观 点 ， 仅 供 参 考 。 下 述 内 容 ， 仅 代 表 个 人 观 点 ， 仅 供 参 考 。 什 么 是 数 据 分 类 分 级 什 么 是 数 据 分 类 分 级 将 它 拆 分 成 三 部 分 进 行 理 解 。 数 据 ： 数 据 ： 指 任 何 以 电 子 或 者 非 电 子 形 式 对 信 息 的 记 录 。 数 据 分 类 ： 数 据 分 类 ： 根 据 组 织 数 据 的 属 性 或 特 征 ， 将 其 按 照 一 定 的 原 则 和 方 法 进 行 区 分 和 归 类 ， 并 建 立 起 一 定 的 分 类 体 系 和 排 列 顺 序 ， 以 便 更 好 地 管 理 和 使 用 组 织 数 据 的 过 程 。 数 据 分 级 ： 数 据 分 级 ： 按 照 一 定 的 分 级 原 则 对 分 类 后 的 组 织 数 据 进 行 定 级 ， 从 而 为 组 织 数 据 的 开 放 和 共 享 安 全 策 略 制 定 提 供 支 撑 的 过 程 。 数 据 分 类 分 级 的 价 值 和 意 义 数 据 分 类 分 级 的 价 值 和 意 义 通 过 对 数 据 的 分 类 分 级 ， 识 别 数 据 对 组 织 的 具 体 价 值 ， 确 定 以 何 种 适 当 的 策 略 ， 保 护 数 据 的 完 整 性 、 保 密 性 和 可 用 性 。 例 如 ， 一 般 公 司 把 数 据 分 为 绝 密 、 机 密 、 秘 密 和 公 开 四 种 类 型 ， 很 明 显 ， 超 过 公 开 级 别 的 数 据 都 是 敏 感 数 据 ， 它 们 具 有 不 同 的 价 值 ， 组 织 需 要 采 取 不 同 的 额 外 投 入 和 特 定 策 略 等 来 管 理 数 据 ， 规 避 因 敏 感 信 息 的 未 经 授 权 访 问 给 组 织 造 成 重 大 损 失 的 可 能 。 比 如 ： 绝 密 级 数 据 必 须 使 用 A E S 2 5 6 加 密 ， 访 问 和 使 用 需 数 据 安 全 治 理 小 组 审 批 方 可 使 用 ； 机 密 级 数 据 必 须 使 用 A E S 2 5 6 加 密 ， 访 问 和 使 用 需 要 C T O 审 批 ； 秘 密 级 别 数 据 必 须 使 用 A E S 2 5 6 加 密 ， 访 问 和 使 用 需 部 门 负 责 人 审 批 ； 公 开 数 据 使 用 可 使 用 明 文 存 储 ， 访 问 和 使 用 需 直 属 领 导 审 批 即 可 。 落 地 实 践 落 地 实 践 对 于 事 件 推 动 支 撑 层 面 ， 个 人 推 崇 “ 三 分 技 术 、 七 分 管 理 、 细 节 把 控 、 管 理 先 行 ” ， 而 标 准 化 的 制 度 和 流 程 是 落 实 管 理 思 维 的 关 键 工 具 和 手 段 之 一 。 1 、 制 定 数 据 分 类 分 级 管 理 制 度 、 制 定 数 据 分 类 分 级 管 理 制 度 将 数 据 分 类 分 级 工 作 落 实 到 组 织 管 理 制 度 中 ， 形 成 标 准 化 ， 明 确 以 下 内 容 ：
1 ） ） 制 度 目 的 、 范 围 制 度 目 的 、 范 围 2 ） 数 据 分 类 分 级 工 作 中 涉 及 到 的 组 织 及 职 责 ） 数 据 分 类 分 级 工 作 中 涉 及 到 的 组 织 及 职 责 3 ） 数 据 分 类 分 级 工 作 的 原 则 ） 数 据 分 类 分 级 工 作 的 原 则 4 ） 组 织 数 据 的 具 体 分 类 概 述 ） 组 织 数 据 的 具 体 分 类 概 述 将 组 织 数 据 划 分 为 三 类 ： 用 户 数 据 类 业 务 数 据 类 公 司 数 据 类 5 ） 组 织 数 据 的 具 体 分 级 概 述 ） 组 织 数 据 的 具 体 分 级 概 述 将 组 织 数 据 分 为 五 个 级 别 ： 绝 密 （ G 1 ） 这 是 极 度 敏 感 的 信 息 ， 如 果 受 到 破 坏 或 泄 漏 ， 可 能 会 使 组 织 面 临 严 重 财 务 或 法 律 风 险 ， 例 如 财 务 信 息 、 系 统 或 个 人 认 证 信 息 等 。 机 密 （ G 2 ） ： 这 是 高 度 敏 感 的 信 息 ， 如 果 受 到 破 坏 或 泄 漏 ， 可 能 会 使 组 织 面 临 财 务 或 法 律 风 险 ， 例 如 x i n y o n g k a 信 息 ，   P I I 或 个 人 健 康 信 息 （ P H I ） 或 商 业 秘 密 等 。 秘 密 （ G 3 ） ： 受 到 破 坏 或 泄 漏 的 数 据 可 能 会 对 运 营 产 生 负 面 影 响 ， 例 如 与 合 作 伙 伴 和 供 应 商 的 合 同 ， 员 工 审 查 等 。 内 部 公 开 （ G 4 ） ： 非 公 共 披 露 的 信 息 ， 例 如 销 售 手 册 ， 组 织 结 构 图 ， 员 工 信 息 等 。 外 部 公 开 （ G 5 ） ： 可 以 自 由 公 开 披 露 的 数 据 ， 例 如 市 场 营 销 材 料 ， 联 系 信 息 ， 价 目 表 等 。 6 ） ） 各 个 级 别 组 织 数 据 的 使 用 及 防 护 原 则 各 个 级 别 组 织 数 据 的 使 用 及 防 护 原 则 7 ） 各 个 级 别 组 织 数 据 的 权 限 开 通 、 提 取 等 管 理 流 程 ） 各 个 级 别 组 织 数 据 的 权 限 开 通 、 提 取 等 管 理 流 程 不 同 级 别 的 数 据 制 定 不 同 的 数 据 访 问 权 限 或 提 取 等 管 理 审 批 流 程 2 、 制 定 数 据 资 产 分 类 分 级 清 单 、 制 定 数 据 资 产 分 类 分 级 清 单 抛 砖 引 玉 ， 分 享 一 个 分 类 分 级 思 路 ： 整 体 数 据 分 类 分 为 三 大 类 数 据 ， 分 别 为 用 户 数 据 类 、 业 务 数 据 类 和 公 司 数 据 类 ， 三 个 一 级 数 据 分 类 又 可 以 进 一 步 细 分 到 二 级 和 三 级 数 据 ， 基 于 最 细 化 的 层 级 ， 给 其 定 义 相 应 的 数 据 价 值 级 别 ， 进 而 汇 总 形 成 组 织 整 体 的 数 据 分 类 分 级 清 单 ， 用 以 指 导 组 织 整 体 的 数 据 治 理 和 数 据 分 类 分 级 的 实 际 工 作 。 1 ） 数 据 分 类 ） 数 据 分 类 a ） 用 户 数 据 分 类 ） 用 户 数 据 分 类 用 户 数 据 即 公 民 个 人 信 息 类 ， 这 类 数 据 在 全 球 已 经 有 了 比 较 清 晰 的 规 范 要 求 和 说 明 ， 这 点 可 以 参 考 相 关 标 准 进 行 制 定 分 类 。 国 内 数 据 可 参 考 两 个 ： 《 网 络 安 全 法 》 《 网 络 安 全 法 》 中 ， 公 民 个 人 信 息 ， 是 指 以 电 子 或 者 其 他 方 式 记 录 的 公 民 的 姓 名 、 出 生 日 期 、 s h e n f e n z h e n g 号 码 、 个 人 生 物 识 别 信 息 、 职 业 、 住 址 、 电 话 号 码 等 个 人 身 份 信 息 ， 以 及 其 他 能   够 单 独 或 者 与 其 他 信 息 结 合 能 够 识 别 公 民 个 人 身 份 的 各 种 信 息 。 《 信 息 安 全 技 术 《 信 息 安 全 技 术   个 人 信 息 安 全 规 范 》 个 人 信 息 安 全 规 范 》 G B / T   3 5 2 7 3 — 2 0 2 0 中 如 下 清 单 ：
国 外 数 据 可 参 考 两 个 ： 国 外 数 据 可 参 考 两 个 ： N I S T   8 0 0 - 1 2 2 中 对 个 人 信 息 的 定 义 ： 中 对 个 人 信 息 的 定 义 ： 个 人 识 别 信 息 是 “ 由 代 理 机 构 维 护 的 有 关 个 人 的 任 何 信 息 ， 包 括 （ 1 ） 任 何 可 用 于 区 分 或 追 踪 个 人 身 份 的 信 息 ， 例 如 姓 名 ， 社 会 保 险 号 ， 出 生 日 期 和 地 点 ， 母 亲 的 姓 氏 或 生 物 特 征 记 录 ； （ 2 ） 与 个 人 链 接 或 可 链 接 的 任 何 其 他 信 息 ， 例 如 医 学 ， 教 育 ， 财 务 和 就 业 信 息 。 P I I 的 示 例 包 括 但 不 限 于 ： 名 称 ， 例 如 全 名 ， 娘 家 姓 ， 母 亲 的 娘 家 姓 或 别 名 ； 个 人 识 别 号 ， 例 如 社 会 安 全 号 （ S S N ） ， h u z h a o 号 ， j i a z h a o 号 ， 纳 税 人 识 别 号 或 金 融 帐 户 或 x i n y o n g k a 号 ； 地 址 信 息 ， 例 如 街 道 地 址 或 电 子 邮 件 地 址 ； 个 人 特 征 ， 包 括 照 片 图 像 （ 尤 其 是 面 部 或 其 他 识 别 特 征 ） ， 指 纹 ， 笔 迹 或 其 他 生 物 特 征 数 据 （ 例 如 ， 视 网 膜 扫 描 ， 语 音 签 名 ， 面 部 几 何 形 状 ） ； 与 上 述 内 容 之 一 相 关 或 可 链 接 的 个 人 信 息 （ 例 如 ， 出 生 日 期 ， 出 生 地 点 ， 种 族 ， 宗 教 ， 体 重 ， 活 动 ， 地 理 指 标 ， 就 业 信 息 ， 医 疗 信 息 ， 教 育 信 息 ， 财 务 信 息 ） 。 G D P R 中 对 个 人 数 据 的 定 义 ： 中 对 个 人 数 据 的 定 义 ： “ 个 人 数 据 ” 是 指 与 已 识 别 或 可 识 别 的 自 然 人 （ 以 下 简 称 “ 数 据 主 体 ” ） 有 关 的 所 有 信 息 ； 可 以 将 自 然 人 视 为 可 识 别 的 人 ， 可 以 直 接 或 间 接 地 对 其 进 行 识 别 ， 特 别 是 通 过 分 配 给 诸 如 姓 名 ， 识 别 号 ， 位 置 数 据 ， 在 线 标 识 符 或 一 个 或 多 个 表 示 身 体 的 特 殊 特 征 的 标 识 符 ， 该 自 然 人 的 生 理 ， 遗 传 ， 心 理 ， 经 济 ， 文 化 或 社 会 身 份 ； b ） 业 务 数 据 分 类 ） 业 务 数 据 分 类 业 务 相 关 的 数 据 ， 与 组 织 的 业 务 形 态 息 息 相 关 ， 比 如 ： 淘 宝 京 东 更 多 的 是 订 单 物 流 、 商 品 详 情 数 据 等 ； 爱 奇 艺 优 酷 更
多 的 是 视 频 类 数 据 等 ； 除 此 之 外 ， 还 有 包 含 一 些 通 用 类 数 据 ， 比 如 市 场 数 据 、 业 务 分 析 数 据 等 。 可 以 找 业 务 P O 沟 通 了 解 ， 业 务 特 性 决 定 ， 不 细 写 。 c ） 公 司 数 据 分 类 ） 公 司 数 据 分 类 公 司 数 据 主 要 包 含 人 事 数 据 、 财 务 数 据 、 法 务 数 据 、 采 购 数 据 、 日 志 数 据 、 代 码 数 据 、 制 度 数 据 等 二 级 数 据 分 类 ， 二 级 数 据 可 以 分 为 两 类 ， 一 类 为 通 用 数 据 类 ， 如 日 志 、 制 度 等 ； 一 类 为 定 制 数 据 类 ， 如 人 事 、 财 务 等 。 每 个 二 级 类 别 数 据 细 分 不 细 写 ， 举 一 个 定 制 数 据 类 制 定 例 子 ， 比 如 人 事 数 据 。 可 以 找 人 事 系 统 的 产 品 经 理 或 研 发 获 取 系 统 的 数 据 信 息 表 ， 通 过 查 看 数 据 信 息 表 可 以 清 楚 的 看 到 人 事 系 统 会 使 用 哪 些 数 据 ， 三 级 分 类 如 公 司 、 员 工 信 息 、 部 门 、 职 位 等 。 样 例 如 下 ， 仅 供 参 考 ： 数 据 分 类 数 据 分 类 数 数 据 据 分 分 级 级 一 级 分 类 二 级 分 类 三 级 分 类 G 1 G 2 G 3 G 4 G 5 公 司 数 据 人 事 数 据 员 工 认 证 数 据 ： 账 号 密 码 、 身 份 验 证 t o k e n √ 员 工 个 人 隐 私 数 据 ： s h e n f e n 证 、 手 机 号 、 y i n h a n g 卡 号 √ 员 工 个 人 非 隐 私 数 据 ： 入 职 日 期 、 职 级 √ 员 工 家 庭 数 据 ： 与 员 工 关 系 、 性 别 √ 员 工 教 育 信 息 ： 学 校 名 称 、 学 位 、 毕 业 类 型 √ 2 ） 数 据 分 级 ） 数 据 分 级 数 据 也 是 对 数 据 定 性 分 析 的 过 程 ， 在 为 各 类 数 据 分 配 级 别 时 ， 我 们 需 要 考 虑 以 下 问 题 ： 数 据 泄 漏 或 破 坏 相 关 的 合 规 风 险 是 什 么 ？ 数 据 泄 漏 或 破 坏 相 关 的 组 织 经 济 风 险 是 什 么 ？ 数 据 泄 漏 或 破 坏 相 关 的 软 件 成 本 和 硬 件 成 本 是 什 么 ？ 数 据 泄 漏 或 破 坏 相 关 的 组 织 品 牌 及 舆 论 影 响 成 本 是 什 么 ？ 示 例 ： 将 身 份 验 证 、 组 织 财 务 报 表 等 定 义 为 G 1 级 别 将 个 人 敏 感 信 息 等 定 义 为 G 2 级 别 将 组 织 结 构 、 个 人 一 般 信 息 等 定 义 为 G 3 级 别 将 组 织 邮 箱 等 定 义 为 G 4 级 别 将 组 织 对 外 公 k a i 信 息 等 定 义 为 G 5 级 别 3 、 制 定 数 据 使 用 规 范 、 制 定 数 据 使 用 规 范 a ） 数 据 提 取 ） 数 据 提 取 关 键 点 区 分 范 围 ： 对 内 o r 对 外 使 用
区 分 量 级 ： 提 取 数 据 量 的 多 少 区 分 级 别 ： 数 据 的 敏 感 级 别 基 于 上 述 三 个 方 面 细 化 制 定 数 据 提 取 流 程 。 b ） 权 限 开 通 ） 权 限 开 通 基 于 库 、 表 、 字 段 的 敏 感 级 别 ， 制 定 不 同 的 权 限 审 批 流 程 ， 且 基 于 最 小 化 权 限 开 通 方 式 ， 理 想 状 态 基 于 字 段 开 通 ， 正 常 情 况 基 于 表 进 行 开 通 ， 特 殊 情 况 基 于 库 进 行 开 通 。 举 例 如 下 ， 仅 供 参 考 ： G 1 级 别 数 据 ： 需 要 部 门 负 责 人 、 数 据 归 属 团 队 、 数 据 安 全 团 队 、 内 审 、 法 务 、 数 据 安 全 治 理 小 组 审 批 方 可 开 通 G 2 级 别 数 据 ： 需 要 部 门 负 责 人 、 数 据 归 属 团 队 、 数 据 安 全 团 队 、 内 审 、 法 务 审 批 方 可 开 通 G 3 级 别 数 据 ： 需 要 部 门 负 责 人 、 数 据 归 属 团 队 、 数 据 安 全 团 队 审 批 ， 抄 送 内 控 和 法 务 方 可 开 通 G 4 级 别 数 据 ： 需 要 部 门 负 责 人 和 数 据 归 属 团 队 审 批 方 可 开 通 G 5 级 别 数 据 ： 需 要 部 门 负 责 人 审 批 方 可 开 通 4 、 数 据 分 类 分 级 落 地 推 广 、 数 据 分 类 分 级 落 地 推 广 1 ） 制 度 发 布 ） 制 度 发 布 数 据 分 类 分 级 是 数 据 治 理 工 作 的 核 心 之 一 ， 制 度 需 要 至 少 经 过 公 司 技 术 委 员 会 、 数 据 治 理 小 组 、 法 务 、 内 控 、 C T O 等 过 会 认 可 ， 然 后 通 过 内 部 平 台 、 邮 件 、 安 全 意 识 推 广 等 多 维 度 方 式 广 而 告 之 。 目 的 ： 从 制 度 发 起 阶 段 就 形 成 上 到 下 的 执 行 模 式 ， 从 公 司 战 略 层 引 领 执 行 层 工 作 。 2 ） 制 度 落 地 ） 制 度 落 地 数 据 治 理 相 关 策 略 落 地 ， 需 要 找 准 数 据 落 点 和 出 点 。 举 例 ： 公 司 生 产 核 心 数 据 在 生 产 网 的 m y s q l 库 中 ， 通 过 数 据 同 步 等 方 式 给 到 大 数 据 中 心 负 责 的 h i v e ， m y s q l 作 为 组 织 的 系 统 交 互 数 据 落 点 ， h i v e 作 为 数 据 访 问 、 提 取 、 分 析 等 的 起 点 。 基 于 现 状 ， 选 择 在 h i v e 层 面 落 地 数 据 分 类 分 级 工 作 ， 通 过 半 自 动 化 方 式 进 行 打 标 签 。 实 现 逻 辑 ： 基 于 h i v e 建 立 一 个 数 据 层 面 的 数 据 地 图 和 权 限 申 请 审 批 系 统 ， 底 层 为 m y s q l 库 。 数 据 地 图 是 数 据 层 面 的 全 景 系 统 ， 可 以 查 询 数 据 库 、 表 、 字 段 的 相 关 信 息 ， 并 通 过 半 自 动 化 的 方 式 对 数 据 进 行 打 标 签 工 作 ， 通 用 类 字 段 以 自 动 化 方 式 打 标 签 入 库 ， 非 通 用 类 字 段 以 手 动 方 式 打 标 签 入 库 。 系 统 成 熟 后 可 实 现 自 动 化 分 类 分 级 打 标 签 工 作 。 数 据 使 用 方 可 以 基 于 数 据 地 图 上 的 库 、 表 、 字 段 和 敏 感 级 别 信 息 进 行 数 据 访 问 权 限 申 请 ， 不 同 的 级 别 数 据 权 限 走 不 同 的 数 据 申 请 流 程 。 除 此 之 外 ， 基 于 h i v e 维 护 出 来 的 敏 感 信 息 级 别 清 单 ， 可 以 反 向 推 动 生 产 m y s q l 数 据 的 治 理 工 作 ， 如 敏 感 信 息 进 行 存 储 加 密 或 脱 敏 、 使 用 的 脱 敏 等 工 作 。 5 、 验 证 和 评 估 、 验 证 和 评 估 1 ） 人 工 验 证 和 评 估 ） 人 工 验 证 和 评 估 通 过 人 工 检 查 的 方 式 ， 定 期 r e v i e w 数 据 打 标 签 的 正 确 性 、 敏 感 数 据 的 存 储 使 用 状 态 等 。
2 ） 自 动 化 验 证 和 评 估 ） 自 动 化 验 证 和 评 估 基 于 数 据 分 类 分 级 清 单 和 基 于 h i v e 维 护 出 来 的 敏 感 信 息 级 别 清 单 ， 制 定 敏 感 信 息 发 现 规 则 ， 主 动 识 别 静 态 数 据 和 动 态 数 据 ， 自 动 发 现 和 告 警 未 按 照 策 略 要 求 防 护 的 数 据 。 （ 此 处 会 在 之 后 的 数 据 识 别 章 节 详 细 介 绍 ） 总 结 总 结 数 据 分 类 分 级 是 组 织 数 据 治 理 和 数 据 安 全 的 核 心 任 务 之 一 ， 是 将 信 息 安 全 性 融 入 到 数 据 价 值 中 并 确 保 有 效 保 护 的 手 段 。 引 用 郭 峰 老 师 的 一 段 话 ， 对 于 数 据 安 全 从 业 者 ， 你 要 多 问 自 己 下 述 问 题 ： 组 织 有 多 少 数 据 ， 数 据 如 何 分 布 ？ 什 么 是 敏 感 数 据 ， 敏 感 数 据 在 哪 里 ？ 谁 有 权 访 问 组 织 的 数 据 ？ 是 否 采 取 了 适 当 的 持 续 的 防 护 、 监 控 、 告 警 等 措 施 ？ 这 些 问 题 都 值 得 我 们 深 思 和 解 决 ， 而 今 天 聊 的 数 据 分 类 分 级 正 是 解 决 的 第 二 个 问 题 。 最 后 ， 感 谢 雪 峰 老 师 的 悉 心 指 导 ！ 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理