個人中心
退出
數(shù)據(jù)分類分級方法及典型應用場景
01 數(shù)據(jù)分類分級概述
數(shù)據(jù)安全是指保護數(shù)據(jù)的機密性、完整性和可用性。當前數(shù)據(jù)安全領域主要關注的防護對象包括個人信息和重要數(shù)據(jù)。
個人信息是指以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別自然人個人身份的各種信息，包括但不限于自然人的姓名、出生日期、身份證件號碼、個人生物識別信息、住址、電話號碼等。
重要數(shù)據(jù)是指不涉及國家秘密，但與國家安全、經(jīng)濟發(fā)展以及公共利益密切相關的數(shù)據(jù)，包括但不限于公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務等重要行業(yè)和領域的各類機構(gòu)在開展業(yè)務活動中采集和產(chǎn)生的，不涉及國家秘密，但一旦泄露、篡改或濫用將會對國家安全、經(jīng)濟社會發(fā)展和公共利益造成不利影響的數(shù)據(jù)。
為了更好的理解和認識什么是數(shù)據(jù)分類分級，從數(shù)據(jù)、數(shù)據(jù)來源、數(shù)據(jù)分類以及數(shù)據(jù)分級等方面展開。
1、數(shù)據(jù)
數(shù)據(jù)是指任何以電子或其他方式對信息的記錄。同時也指信息可再解釋的形式化表示，以適用于通信、解釋或處理，可以通過人工或自動手段處理數(shù)據(jù)。也指通過事實或觀察的結(jié)果，是對客觀事物的邏輯歸納，是用于表示客觀事物的未經(jīng)加工的原始素材，它是可識別的、抽象的符號。
數(shù)據(jù)類型包括結(jié)構(gòu)化數(shù)據(jù)（如RDD、SQL、JSON、NOSQL、表格數(shù)據(jù)等）、半結(jié)構(gòu)化數(shù)據(jù)（如日志文件、XML文檔、JSON文檔、Email等）、非結(jié)構(gòu)化數(shù)據(jù)（如辦公文檔、文本、圖片、XML、HTML、各類報表、圖像和音頻/視頻信息等）。
通俗點講，我們把人體的血液比作數(shù)據(jù)，器官比作企業(yè)各個部門。流動的數(shù)據(jù)才能為各個部門傳遞信息，從而更好的協(xié)作。
2、數(shù)據(jù)來源
數(shù)據(jù)的來源主要來自于三個方面：
第一源于企業(yè)內(nèi)部，如交易、運營、財務、人力等部門產(chǎn)生的自有數(shù)據(jù)。
第二源于三方數(shù)據(jù)，如網(wǎng)絡數(shù)據(jù)、通信數(shù)據(jù)、信用數(shù)據(jù)、客戶數(shù)據(jù)等。
第三源于采集數(shù)據(jù)，如通過傳感器、圖像視頻、社交媒體、物聯(lián)網(wǎng)等途徑接收到的數(shù)據(jù)。
不論是哪種數(shù)據(jù)，都將作為企業(yè)的數(shù)據(jù)資產(chǎn)，納入數(shù)據(jù)分類分級范圍。下圖是數(shù)據(jù)來源示意圖：
數(shù)據(jù)的來源
3、數(shù)據(jù)分類
數(shù)據(jù)分類是指根據(jù)組織數(shù)據(jù)的屬性或特征，將其按照一定的原則和方法進行區(qū)分和歸類，并建立起一定的分類體系和排列順序，以便更好地管理和使用組織數(shù)據(jù)的過程。數(shù)據(jù)分類是數(shù)據(jù)保護工作中的一個關鍵部分，是建立統(tǒng)一、準確、完善的數(shù)據(jù)架構(gòu)的基礎，是實現(xiàn)集中化、專業(yè)化、標準化數(shù)據(jù)管理的基礎。
4、數(shù)據(jù)分級
數(shù)據(jù)分級是指在數(shù)據(jù)分類的基礎上，采用規(guī)范、明確的方法區(qū)分數(shù)據(jù)的重要性和敏感度差異，按照一定的分級原則對其進行定級，從而為組織數(shù)據(jù)的開放和共享安全策略制定提供支撐的過程。
02 數(shù)據(jù)分類分級方法
開展數(shù)據(jù)安全的第一步就是要識別數(shù)據(jù)、基于業(yè)務特點進行數(shù)據(jù)的分類和分級。數(shù)據(jù)分類分級的準確度是后續(xù)數(shù)據(jù)保護策略部署的基礎。
一般數(shù)據(jù)分類分級的流程包括：制定數(shù)據(jù)分類分級標準，準備數(shù)據(jù)樣本、建立敏感數(shù)據(jù)規(guī)則庫，掃描目標存儲設備，自動化數(shù)據(jù)測繪。
01
制定數(shù)據(jù)分類分級標準
根據(jù)國家相關標準、行業(yè)相關標準、結(jié)合企業(yè)業(yè)務特性制定企業(yè)數(shù)據(jù)分類分級標準/規(guī)范，例如：
02
準備數(shù)據(jù)樣本、建立敏感數(shù)據(jù)規(guī)則庫
03
掃描目標存儲設備，自動化數(shù)據(jù)測繪
通過專業(yè)數(shù)據(jù)分類分級設備對結(jié)構(gòu)化/半結(jié)構(gòu)化/非結(jié)構(gòu)化數(shù)據(jù)掃描，自動發(fā)現(xiàn)敏感數(shù)據(jù)的大小、數(shù)量等屬性信息及存儲位置，形成數(shù)據(jù)資產(chǎn)的測繪圖。
03 數(shù)據(jù)分類分級的幾個典型應用場景
01
企業(yè)用戶的使用場景
一般需求
企業(yè)用戶做數(shù)據(jù)安全建設工作：首先梳理企業(yè)數(shù)據(jù)資產(chǎn)、分類分級，根據(jù)分類分級結(jié)果制定數(shù)據(jù)管控策略，實施管控措施，全景展示數(shù)據(jù)安全態(tài)勢，持續(xù)運營改進。
（1） 開放API接口，允許其他數(shù)據(jù)安全防護設備讀取敏感數(shù)據(jù)信息進行數(shù)據(jù)安全防護策略的配置和部署。
（2） 針對數(shù)據(jù)庫的Schema掃描，將掃描結(jié)果通過郵件發(fā)送給Schema負責人，通知其跟進處理。
解決方案
專業(yè)數(shù)據(jù)分類分級設備做全網(wǎng)數(shù)據(jù)資產(chǎn)識別和分類分級，開放通用API接口，可分別與數(shù)據(jù)安全運營管理平臺和數(shù)據(jù)安全防護設備聯(lián)動。
與數(shù)據(jù)安全運營管理平臺聯(lián)動，將數(shù)據(jù)分類分級結(jié)果上傳給平臺，通過平臺統(tǒng)一將策略下發(fā)給各數(shù)據(jù)安全防護設備。
專業(yè)數(shù)據(jù)分類分級設備或者數(shù)據(jù)安全運營管理平臺，將敏感數(shù)據(jù)結(jié)果發(fā)送給各數(shù)據(jù)資產(chǎn)管理員分別進行整改，形成數(shù)據(jù)安全運營閉環(huán)。
02
高校用戶使用場景
一般需求
專業(yè)數(shù)據(jù)分類分級設備由學校的網(wǎng)管中心統(tǒng)一負責維護，具體敏感數(shù)據(jù)識別業(yè)務則由各個學院自行完成，各學院數(shù)據(jù)互相隔離。
解決方案
專業(yè)數(shù)據(jù)分類分級設備支持多用戶分權管理，即系統(tǒng)管理員統(tǒng)一創(chuàng)建不同的用戶賬號，每個用戶單獨分配數(shù)據(jù)空間，數(shù)據(jù)相互隔離。用戶通過自己賬號登陸設備可以自行完成所負責數(shù)據(jù)資產(chǎn)的分類分級工作。
03
云端用戶的使用場景
一般需求
業(yè)務系統(tǒng)部署在云環(huán)境，需要支持云端數(shù)據(jù)資產(chǎn)分類分級。
解決方案
1、專業(yè)數(shù)據(jù)分類分級設備提供虛擬化鏡像，支持虛擬化部署，對目標數(shù)據(jù)資產(chǎn)服務器進行掃描并提供數(shù)據(jù)分類分級。
2、專業(yè)數(shù)據(jù)分類分級設備以硬件部署，通過交換機接入目標云環(huán)境進行掃描，提供數(shù)據(jù)分類分級。
04
監(jiān)管機構(gòu)的使用場景
一般需求
1、 監(jiān)管機構(gòu)需要對大數(shù)據(jù)企業(yè)/單位做綜合數(shù)據(jù)安全風險評估，包括數(shù)據(jù)資產(chǎn)識別、數(shù)據(jù)分類分級、平臺組件安全掃描等。
2、 在各企業(yè)/單位完成掃描檢查后，將掃描結(jié)果上傳至數(shù)據(jù)安全運營管理平臺。
解決方案
專業(yè)數(shù)據(jù)分類分級設備提供全網(wǎng)數(shù)據(jù)資產(chǎn)測繪、智能數(shù)據(jù)分類分級、實時數(shù)據(jù)流轉(zhuǎn)測繪、平臺組件安全掃描功能，可通過計劃管理模式定期對目標數(shù)據(jù)資產(chǎn)進行掃描，提供綜合數(shù)據(jù)安全風險評估報告和整改建議。
專業(yè)數(shù)據(jù)分類分級設備提供通用API接口，可以實時或者手動將掃描結(jié)果上傳至數(shù)據(jù)安全運營管理平臺。
04 數(shù)據(jù)分類分級的意義
1、滿足合規(guī)要求
滿足合規(guī)是企業(yè)平穩(wěn)運行最基本要求，《網(wǎng)絡安全法》第二十一條（四）、《數(shù)據(jù)安全法》第二十一條、《民典法》第六章，以及等保、標準規(guī)范等都有要求，企業(yè)應當去研究，按照本行業(yè)的監(jiān)管要求去執(zhí)行，采用流程和技術手段切實落實數(shù)據(jù)分類分級工作。
2、滿足自身發(fā)展
隨著大數(shù)據(jù)、人工智能、云計算等新型技術的深入應用，往信息化資產(chǎn)轉(zhuǎn)變成為必然趨勢。在信息化水平不斷提升的同時，也將產(chǎn)生多種多樣的數(shù)據(jù)，前期沒做好數(shù)據(jù)管理方面的規(guī)劃，后期維護成本更高。
3、提升數(shù)據(jù)使用價值
如何更好的從數(shù)據(jù)中提取價值，持續(xù)性為企業(yè)提供精準的數(shù)據(jù)服務。在提升運營能力同時，數(shù)據(jù)資產(chǎn)的精細化管理，必將成為企業(yè)業(yè)務優(yōu)化的發(fā)力點或突破點，也是企業(yè)競爭力之一。數(shù)據(jù)資產(chǎn)的確認和計量極有可能納入企業(yè)資產(chǎn)負債表，成為企業(yè)的資產(chǎn)之一。
4、減少數(shù)據(jù)安全風險
采用規(guī)范的數(shù)據(jù)分類、分級方法，有助于企業(yè)厘清數(shù)據(jù)資產(chǎn)，確定數(shù)據(jù)重要性或敏感度，哪些數(shù)據(jù)誰可以用怎么用、哪些數(shù)據(jù)可以公開哪些數(shù)據(jù)不可以公開等情況，針對性地采取適當、合理的管理手段和安全防護措施，形成一套科學、規(guī)范的數(shù)據(jù)資產(chǎn)管理與保護機制，從而減少數(shù)據(jù)遭受篡改、破壞、泄露、丟失或非法利用的可能。
作者：數(shù)據(jù)學堂
歡迎關注微信公眾號 ：大數(shù)據(jù)球球
分類導航