为什么要分级分类？

通用数据分级分类框架

数据分类

数据分类的常用方法

数据分类流程

数据分级

数据分级的常用方法

数据定级流程

行业数据安全分级分类指南

金融行业

电信行业

政务数据

健康医疗

企业实践

附录：数据分级分类大合集

为什么要分级分类？

数据分类为信息安全管理提供了基础和指导。贯穿整个数据生命周期,它可以帮助企业制定正确的安全策略,采取有效的数据保护措施,不断提高数据安全水平,实现治理全面合规。数据安全体系建设离不开数据分类这一基石。主要体现在以下几个方面:

1. 指导数据安全策略制定。根据不同级别的数据分类,可以制定针对性的安全策略和措施。高风险数据要实施更加严格的访问控制、加密存储、数据备份等,低风险数据的安全策略相对简单一些。

2. 优化资源分配。基于数据的风险等级分配相应的资源进行保护,如给高风险数据分配更多的存储空间或更高性能的服务器等。避免因分级不清导致资源浪费或分配不当。

3. 引导用户的数据安全意识。通过公布数据分类分级政策,可以引导用户理解不同数据的敏感度和重要性,提高用户的数据安全意识,从而主动采取相应措施以保护数据安全。

4. 支持数据生命周期管理。数据分类可以指导各级别数据的创建、使用、共享、归档和销毁等管理工作。如高风险数据应定期审计和更新,低风险数据可以定期归档或清理。

5. 评估数据安全合规性。通过数据安全分类可以衡量目前的数据保护状况是否满足各类数据的安全需求,评估安全策略和措施是否到位,确保达到行业标准和法规的合规要求。

6. 指导事件响应处置。数据泄露或丢失事件发生时,可以根据数据分类分级信息,正确评估风险,采取针对性的响应措施。高风险数据事件要优先处理,并上报管理层,低风险数据事件按一般程度处理。

通用数据分级分类框架

数据分类

数据分类是指根据组织数据的属性或特征，将其按照一定的原则和方法进行区分和归类，并建立起一定的分类体系和排列顺序，以便更好地管理和使用组织数据的过程。数据分类是数据保护工作中的关键部分之一，是建立统一、准确、完善的数据架构的基础，是实现集中化、专业化、标准化数据管理的基础。

数据分类的常用方法

1. 根据数据格式分类。如结构化数据(数据库)、非结构化数据(文档、图片、视频等)、半结构化数据(日志、XML、JSON等)。这影响数据存储、提取和安全控制的方式。

2. 根据数据生命周期分类。如采集数据、清理数据、存储数据、使用数据和销毁数据等不同阶段。生命周期不同,安全需求也不同。

3. 根据数据所属业务系统分类。如ERP数据、CRM数据、OA数据、邮件数据、文件存储数据等。系统不同,数据属性和安全需求也不同。

4. 按数据内容分类。如个人信息、位置信息、搜索关键字、交易信息、生物特征信息等。内容不同,敏感度和安全级别也不同。

5. 按信息生产者分类。如企业内部数据、用户数据、第三方数据。不同生产者,安全责任和措施也不同。

6. 按访问权限分类。如公开数据、内部数据、限制访问数据、高度敏感数据。权限不同,安全策略也不同。

7. 按存储位置分类。如本地数据、云数据、边缘数据。位置不同,面临的风险也不同,安全措施需定制。

8. 按价值或敏感度分类。如重要数据、一般数据和公开数据。价值和敏感度不同,安全保护级别也不同。

在分类过程中,首先要根据数据的属性特征进行粗分类,如结构化与非结构化,内部与外部等。然后在每个大类中根据内容、生命周期、系统、所有者、访问权限等进行细分,将同类数据归为一类。分类要尽量贴近数据安全管理的实际需求,既不能过于宽泛也不能过于微细。可以采用分类树的形式层层细分数据类型,形成分类详细清晰的分类方案。分类的成果是不同类别的数据具有不同的安全属性,这为制定针对不同数据类型的安全策略和控制提供依据。分类是落实数据安全管控的基础工作。我们可以利用分类结果,定制安全解决方案,实现针对不同数据的精准管控。

数据分类流程

1. 确定分类目标和分类依据。是为了满足数据安全要求、信息管理需要还是其他目的?依据是数据格式、内容、生命周期还是其他属性?分类依据直接决定分类方案的形成。

2. 建立分类体系。一般采用树形体系,从大类开始层层细分。如先划分结构化数据和非结构化数据,然后在每个大类中继续细分子类别。分类体系要能满足管理和安全控制的实际需要。

3. 数据属性分析。分析不同类型数据的格式、内容、生命周期、所在系统、访问权限等属性,这些属性决定其安全要求和控制措施。属性分析为下一步分类提供依据。

4. 确定分类主题。在分类体系中确定要划分的主题类别,这些主题可以匹配上一步确定的分类依据和属性。主题类别是分类方案的主干。

5. 定义分类规则。确定分类主题后,要定义好每一主题下数据的归属规则。规则需要考虑到数据属性以及管理和安全控制的实际需要。规则是实施分类的依据。

6. 数据划分与归类。根据分类体系和规则,将本次要分类的数据进行划分和归类。每条数据根据属性匹配其所属类别。这一步是分类实施的主要过程。

7. 分类方案管理。对数据分类方案进行维护和更新。随着数据变更和安全需求的更新,要及时修订分类体系、规则以及数据的归属。保证分类方案的有效性。

最终按照线分法将数据分为若干层级，若干类别的数据资源目录树。

数据分级

数据分级是指按照公共数据遭到破坏(包括攻击、泄露、篡改、非法使用等)后对受侵害各体合法权益(国家安全、社会秩序、公共利益以及公民、法人和其他组织)的危害程度，对公共数据进行定级，为数据全生命周期管理进行的安全策略制定。

数据分级的常用方法

1. 根据数据敏感度。将数据分为高、中、低三个级别。高敏感数据如个人信息、财务数据等属高级别,一般业务数据为中级别,公开数据为低级别。这是最常用的分级方法。

2. 根据数据所在系统的重要性。如果数据所在系统对业务至关重要,其数据级别高;如果系统中断对业务影响较小,数据级别中或低。系统重要性决定数据级别。

3. 根据数据丢失或泄漏的影响程度。数据丢失或泄漏会造成重大损失和影响属高级别,影响较小属中低级别。影响程度是重要的分级依据。

4. 按规定和合规性要求。如根据个人信息保护法要求对个人信息实行高级保护,金融行业对客户敏感数据也有严格要求,这决定数据的级别。

5. 根据数据的存储方式和使用频率。磁盘内频繁使用和存储的高价值数据属高级别;磁带长期存档的数据属低级别。存储方式和使用频率反映数据重要性。

6. 根据数据内容的完整性和真实性要求。真实完整的数据属较高级别;对真实性要求不高的数据可以较低级别。真实性要求决定保护级别。

7. 根据数据是否包含知识产权或商业机密。包含机密信息和知识产权的数据级别较高,普通公开数据级别较低。综上,根据数据属性的不同,有多种方法可以划分数据级别。多种方法的结合可以达到全面准确的分级效果,这有助于为不同级别的数据制定针对性的安全保护措施。数据分级是构建数据安全防护体系的基础。

数据定级流程

数据资产梳理：

第一步：对数据进行盘点、梳理与分类，形成统一的数据资产清单，并进行数据安全定级合规性相

关准备工作。

数据安全定级准备：

第二步：明确数据定级的颗粒度（如库文件、表、字段等）。

第三步：识别数据安全定级关键要素。

数据安全级别判定：

第四步：按照数据定级规则，结合国家及行业有关法律法规、部门规章，对数据安全等级

进行初步判定。

第五步：综合考虑数据规模、数据时效性、数据形态（如是否经汇总、加工、统计、脱敏或匿名化

处理等）等因素，对数据安全级别进行复核，调整形成数据安全级别评定结果及定级清单。

数据安全级别审核：

第六步：审核数据安全级别评定过程和结果，必要时重复第三步及其后工作，直至安全级别的划定

与本机构数据安全保护目标一致。

数据安全级别批准：

第七步：最终由数据安全管理最高决策组织对数据安全分级结果进行审议批准。

最终形成数据安全分级定级表：

安全级别	定级要素		数据一般特征	对应分类
安全级别	影响对象	影响程度	数据一般特征	对应分类

行业数据安全分级分类指南

金融行业

参考：行业标准《金融数据安全数据安全分级指南》

适用于金融业机构开展电子数据安全分级工作，并为第三方评估机构等单位开展数据安全检

查与评估工作提供参考。

金融数据分级

根据金融业机构数据安全性遭受破坏后的影响对象和所造成的影响程度，将数据安全级别从高到低划分为5级、4级、3级、2级、1级，一般具有如下特征：

金融数据分类

划分为四级分类，一级二级分类如下：

一级子类	二级子类	定义说明
客户	个人	指金融业机构提供各种业务服务的自然人对象相关的各类信息。
客户	单位	指金融业机构提供业务服务团体对象(如政府机关、企事业单位、社会团体、民间组织等)的数据。
业务	账户信息	指账户相关数据，如账户的基本信息、计息信息、冻结信息、介质信息和核算信息等。
	法定数字货币钱包信息	指法定数字货币钱包相关属性信息。
	合约协议	指合同或协议所包含的所有属性数据，如合同法以及商业银行法所规定的基本属性信息，以及各种特定业务合同所包含的特定属性信息。
	金融监管和服务	金融业有关机构在履行各类监管、政务及金融服务职能等过程中产生的数据，如反洗钱业务信息、国库业务信息等。
	交易信息	指通过交易所产生的数据。交易，即任何改变金融业机构财务状态或信息基础的业务动作。包括交易基本信息、交易金额信息、交易对手信息、交易清结算信息、交易记账信息等。
经营管理	营销服务	指金融业机构在充分认识、满足消费者需求的前提下，为充分满足消费者需要在营销服务过程中所采取的一系列活动中所产生的相关数据。
	运营管理	指金融业机构在运营过程中的计划、组织、实施和控制的相关数据。
	风险管理信息	指金融业机构对经营风险的评估信息、成本收益权衡方案和决定采取的行动计划以及其他相关信息。
	技术管理	指金融业机构因发展需要建立的各类包含基础信息设施建设、信息系统建设等项目、系统相关管理数据。
监管	数据报送	指监管机构要求金融业机构报送的各项信息。
监管	数据收取	指监管机构为有效管理、风险管控，向金融业机构发送的评价、处罚、违规、统计、预警及安全审计等信息。

电信行业

参考：行业标准《基础电信企业数据分类分级方法》

适用于包括基础电信企业生产经营和管理活动中产生、采集、加工、适用或管理的网络数据和非网络数据。

电信数据分类

为便于对数据进行统一管理及应用，根据基础电信企业生产经营管理现状和企业自身管理特点，将基础电信企业掌握的数据整合纳入两大类:

用户相关数据，是指与个人用户、集团客户相关的身份相关数据、服务内容数据、用户服务衍生数据等;
企业自身数据，是指基础电信企业掌握的与用户无关的数据，包括网络与系统类数据、企业管理类数据、合作伙伴数据等，网络与系统类数据，主要涉及网络与系统的建设与运行维护信息、软硬件资源信息、安全管理信息等数据:企业管理类数据，主要涉及企业战略、规划建设、经营分析、办公自动化等相关数据。

电信数据分级

按照数据对象的重要敏感程度，可以将基础电信企业网络数据资源分为四个安全级别，其对应的安全要求逐级递减，分别为第四级、第三级、第二级和第一级。

第四级数据:一旦丢失、泄露、被篡改、被损毁会对国家安全、社会公共利益或企业利益或用户利益造成特别严重影响的数据，安全管控要求最高;

第三级数据:一旦丢失、泄露、被篡改、被损毁会对国家安全、社会公共利益或企业利益或用户利益造成严重影响的数据，应实施较强的安全管控;

第二级数据:一旦丢失、泄露、被篡改、被损毁会对国家安全、社会公共利益或企业利益或用户利益造成一定程度影响的数据，执行基本的安全管控:

第一级数据:一旦丢失、泄露、被篡改、被损毁对国家安全、社会公共利益或企业利益或用户利益造成影响较小或无影响的数据，对安全管控不作要求。

企业若在执行四级安全管控落地实施中有难度，可以视实际情况对相邻级别进行合并，实施三级分级方式和相应安全管控措施。

分级示例：