《數(shù)據(jù)安全法》第二十一條：國(guó)家建立數(shù)據(jù)分類分級(jí)保護(hù)制度，根據(jù)數(shù)據(jù)在經(jīng)濟(jì)社會(huì)發(fā)展中的重要程度，以及一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，對(duì)國(guó)家安全、公共利益或者個(gè)人、組織合法權(quán)益造成的危害程度，對(duì)數(shù)據(jù)實(shí)行分類分級(jí)保護(hù)。
《網(wǎng)絡(luò)安全法》第五十三條：國(guó)家實(shí)行網(wǎng)絡(luò)安全等級(jí)保護(hù)制度。網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的要求，采取數(shù)據(jù)分類措施保障網(wǎng)絡(luò)免受干擾、破壞或者未經(jīng)授權(quán)的訪問，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改。
《個(gè)人信息保護(hù)法》第五十一條：個(gè)人信息處理者應(yīng)當(dāng)根據(jù)個(gè)人信息的處理目的、處理方式、個(gè)人信息的種類以及對(duì)個(gè)人權(quán)益的影響、可能存在的安全風(fēng)險(xiǎn)等，采取對(duì)個(gè)人信息實(shí)行分類管理。
數(shù)據(jù)分類分級(jí)是企業(yè)確保數(shù)據(jù)安全使用及防范安全風(fēng)險(xiǎn)的基礎(chǔ)。隨著《數(shù)據(jù)安全法》《網(wǎng)絡(luò)安全法》《個(gè)人信息保護(hù)法》等相關(guān)法律法規(guī)的相繼出臺(tái)，為企業(yè)的核心數(shù)據(jù)及個(gè)人客戶信息建立一套分類分級(jí)的管控體系，已成為數(shù)據(jù)安全管理體系建設(shè)不可或缺的一環(huán)。本文明朝萬達(dá)將為大家詳細(xì)介紹何為數(shù)據(jù)分類分級(jí)、企業(yè)數(shù)據(jù)分類分級(jí)現(xiàn)狀以及如何有效開展數(shù)據(jù)分類分級(jí)工作。
01
何為數(shù)據(jù)分類分級(jí)
?? 數(shù)據(jù)分類是根據(jù)數(shù)據(jù)的屬性或特征，按照一定的原則和方法進(jìn)行區(qū)分和歸類，以便更好地管理和使用數(shù)據(jù)。數(shù)據(jù)分類不存在唯一的分類方式，會(huì)依據(jù)企業(yè)的管理目標(biāo)、保護(hù)措施、分類維度等形成多種不同的分類體系。
?? 數(shù)據(jù)分級(jí)則是按數(shù)據(jù)的重要性和影響程度區(qū)分等級(jí)，確保數(shù)據(jù)得到與其重要性和影響程度相適應(yīng)的級(jí)別保護(hù)。影響對(duì)象一般是三類對(duì)象，分別是國(guó)家安全和社會(huì)公共利益、企業(yè)利益（包括業(yè)務(wù)影響、財(cái)務(wù)影響、聲譽(yù)影響）、用戶利益（用戶財(cái)產(chǎn)、聲譽(yù)、生活狀態(tài)、生理和心理影響）。
02
企業(yè)數(shù)據(jù)分類分級(jí)需求
數(shù)據(jù)分類分級(jí)作為企業(yè)數(shù)據(jù)安全治理的根基，是實(shí)現(xiàn)有效數(shù)據(jù)安全管理的底座。在實(shí)際項(xiàng)目落地需求中，多數(shù)企業(yè)進(jìn)行數(shù)據(jù)分類分級(jí)工作主要會(huì)基于以下幾個(gè)需求：
監(jiān)管合規(guī)需求
法律法規(guī)是企業(yè)開展數(shù)據(jù)安全建設(shè)的紅線，任何企業(yè)在進(jìn)行數(shù)據(jù)分類分級(jí)時(shí)，都必須在遵循法律法規(guī)與行業(yè)監(jiān)管要求的基礎(chǔ)上，再結(jié)合企業(yè)數(shù)據(jù)生產(chǎn)實(shí)際情況去建設(shè)數(shù)據(jù)分類分級(jí)標(biāo)準(zhǔn)。
體系建設(shè)需求
隨著數(shù)據(jù)領(lǐng)域法律法規(guī)的日臻完善及合規(guī)標(biāo)準(zhǔn)的日益明確，企業(yè)在推進(jìn)信息化建設(shè)的同時(shí)，亟需建立起完備的數(shù)據(jù)安全管理體系，緊跟法規(guī)政策新動(dòng)向，不斷優(yōu)化其數(shù)據(jù)安全管理體系策略，建立健全對(duì)重要數(shù)據(jù)與敏感數(shù)據(jù)的分類分級(jí)防護(hù)機(jī)制，確保合規(guī)性與數(shù)據(jù)保護(hù)措施的有效融合。
數(shù)據(jù)價(jià)值需求
多數(shù)企業(yè)希望基于生成的分類分級(jí)結(jié)果來滿足數(shù)據(jù)未來可持續(xù)使用的價(jià)值需求。在數(shù)據(jù)訪問和使用的過程中，通過基于敏感識(shí)別和分類分級(jí)規(guī)則生成的分類分級(jí)結(jié)果，來識(shí)別和判斷當(dāng)前訪問數(shù)據(jù)的重要和敏感程度，從而進(jìn)行針對(duì)性的技術(shù)管控。
發(fā)展與安全需求
數(shù)據(jù)分類分級(jí)在數(shù)據(jù)安全治理中起到承上啟下的作用，不僅僅滿足了監(jiān)管合規(guī)需求和企業(yè)數(shù)據(jù)使用的價(jià)值，還為后續(xù)數(shù)據(jù)全生命周期流程管控、數(shù)據(jù)脫敏、數(shù)據(jù)防泄漏等技術(shù)應(yīng)用打下基礎(chǔ)。
03
如何有效開展數(shù)據(jù)分類分級(jí)工作
如何有效開展數(shù)據(jù)分類分級(jí)一直是企業(yè)數(shù)據(jù)安全建設(shè)工作的痛點(diǎn)。在實(shí)踐中，企業(yè)在進(jìn)行數(shù)據(jù)分類分級(jí)時(shí)面臨著法律法規(guī)解讀困難、合規(guī)邊界難以界定、敏感個(gè)人信息難以識(shí)別等諸多困難和挑戰(zhàn)。許多企業(yè)的數(shù)據(jù)分類分級(jí)實(shí)踐往往側(cè)重于最終產(chǎn)出重要或敏感數(shù)據(jù)目錄以滿足上報(bào)要求，但在這一過程的起始階段，即如何系統(tǒng)性地啟動(dòng)數(shù)據(jù)分類分級(jí)工作以及遵循何種邏輯進(jìn)行有效分類分級(jí)，仍是企業(yè)開展分類分級(jí)工作時(shí)反復(fù)討論的重點(diǎn)問題。
2024年3月21日，全國(guó)網(wǎng)絡(luò)安全標(biāo)準(zhǔn)技術(shù)委員會(huì)發(fā)布《數(shù)據(jù)安全技術(shù) 數(shù)據(jù)分類分級(jí)規(guī)則》（GB/T 43697-2024），將于2024年10月1日起實(shí)施。該文件有效地將“數(shù)據(jù)分類分級(jí)原則、框架、方法和流程”與“重要數(shù)據(jù)識(shí)別”結(jié)合起來，為企業(yè)分類分級(jí)實(shí)操工作提供了重要指導(dǎo)，解答了企業(yè)在開展數(shù)據(jù)分類分級(jí)工作中遇到的困惑。
首先，企業(yè)需清楚何為核心數(shù)據(jù)？何為重要數(shù)據(jù)？該文件進(jìn)一步明確了核心數(shù)據(jù)與重要數(shù)據(jù)的定義，除了沿用《數(shù)據(jù)安全法》中“關(guān)系到政治、國(guó)家、經(jīng)濟(jì)、社會(huì)穩(wěn)定”的原則性規(guī)定，又加入了“精度、規(guī)模、深度”等數(shù)據(jù)識(shí)別要素，明確了核心數(shù)據(jù)作為重要數(shù)據(jù)的子集，這使得數(shù)據(jù)的定義更為完善，企業(yè)未來在編制重要數(shù)據(jù)目錄與上報(bào)數(shù)據(jù)目錄時(shí)應(yīng)優(yōu)先考慮數(shù)據(jù)集概念。
表1 數(shù)據(jù)定義
在進(jìn)行數(shù)據(jù)分類時(shí)，文件提出了企業(yè)通常需按照行業(yè)領(lǐng)域劃分，如工業(yè)數(shù)據(jù)、電信數(shù)據(jù)、金融數(shù)據(jù)、能源數(shù)據(jù)、交通運(yùn)輸數(shù)據(jù)、自然資源數(shù)據(jù)、衛(wèi)生健康數(shù)據(jù)、教育數(shù)據(jù)、科學(xué)數(shù)據(jù)等。再依據(jù)本行業(yè)業(yè)務(wù)屬性進(jìn)一步劃分，如下表2所示，為應(yīng)對(duì)監(jiān)管監(jiān)督趨勢(shì)，確保實(shí)際應(yīng)用的可操作性，企業(yè)在選擇業(yè)務(wù)屬性時(shí)可參考數(shù)據(jù)對(duì)象與數(shù)據(jù)主體進(jìn)行分類。分類完成后企業(yè)可根據(jù)實(shí)際情況靈活選擇業(yè)務(wù)屬性將數(shù)據(jù)細(xì)化分類。目前，金融、汽車、政府、醫(yī)療、工業(yè)領(lǐng)域已出臺(tái)數(shù)據(jù)分類框架，企業(yè)在制定分類框架時(shí)可作進(jìn)一步參考。
表2 數(shù)據(jù)分類標(biāo)準(zhǔn)
在進(jìn)行數(shù)據(jù)分級(jí)時(shí)，《數(shù)據(jù)分類分級(jí)規(guī)則》繼續(xù)沿用了《網(wǎng)絡(luò)數(shù)據(jù)分類分級(jí)指引》中相似的分級(jí)流程與方法：根據(jù)數(shù)據(jù)在經(jīng)濟(jì)社會(huì)發(fā)展中的重要程度，以及一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，對(duì)國(guó)家安全、經(jīng)濟(jì)運(yùn)行、社會(huì)秩序、公共利益、組織權(quán)益、個(gè)人權(quán)益造成的危害程度， 綜合“數(shù)據(jù)的重要性+影響對(duì)象+影響程度”將數(shù)據(jù)從高到低劃分為核心數(shù)據(jù)、重要數(shù)據(jù)和一般數(shù)據(jù)。在《數(shù)據(jù)分類分級(jí)規(guī)則》附則H中，也明確了將一般數(shù)據(jù)進(jìn)一步細(xì)分為2級(jí)至4級(jí)。這里我們以企業(yè)常用的數(shù)據(jù)分級(jí)對(duì)象（數(shù)據(jù)集、數(shù)據(jù)項(xiàng)）和常見的分級(jí)級(jí)別為例，參考以下分級(jí)的規(guī)則來開展工作：
表3 數(shù)據(jù)分級(jí)標(biāo)準(zhǔn)
企業(yè)制定分級(jí)標(biāo)準(zhǔn)時(shí)還需進(jìn)一步參考行業(yè)標(biāo)準(zhǔn)與監(jiān)管下發(fā)的數(shù)據(jù)監(jiān)管辦法。當(dāng)然，分類分級(jí)框架的制定僅僅只是數(shù)據(jù)分類分級(jí)工作的第一步，企業(yè)還需通過數(shù)據(jù)治理咨詢與分類分級(jí)技術(shù)來生成重要數(shù)據(jù)清單與目錄進(jìn)行監(jiān)管上報(bào)。
目前《數(shù)據(jù)分類分級(jí)規(guī)則》已頒布，各行業(yè)監(jiān)管機(jī)構(gòu)加快重要數(shù)據(jù)目錄與重要數(shù)據(jù)識(shí)別規(guī)范的編制已是大勢(shì)所趨，建議企業(yè)在監(jiān)管辦法與監(jiān)管要求下發(fā)之前盡快進(jìn)行重要數(shù)據(jù)識(shí)別與目錄編制，以應(yīng)對(duì)監(jiān)管檢查，為企業(yè)數(shù)據(jù)化轉(zhuǎn)型加快賦能。
企業(yè)數(shù)據(jù)安全治理是一個(gè)需要持續(xù)建設(shè)的工作，明朝萬達(dá)致力于通過“咨詢＋技術(shù)”的方式助力客戶高效解決數(shù)據(jù)分類分級(jí)實(shí)施過程中遇到的各類問題。在未來，分類分級(jí)作為數(shù)據(jù)安全治理的核心工作，企業(yè)還需綜合考慮多方面現(xiàn)狀因素以及分類分級(jí)的結(jié)果來進(jìn)一步支撐公司的實(shí)際業(yè)務(wù)發(fā)展，保障企業(yè)數(shù)據(jù)流動(dòng)的合規(guī)與安全。
