• 什么是数据分类分级

• 数据分类分级方法

• 实践案例

什么是数据分类分级

数据分类分级是数据安全治理中的一项基础而关键的活动，它涵盖了数据分类和数据分级两个核心部分，旨在系统化地管理和保护企业的数据资产。

数据分类是将数据根据其属性或特征进行归集，形成不同的类别，以便于查询、识别、管理、保护和使用。这一过程通常从业务角度或数据管理的角度出发，涉及行业维度、业务领域维度、数据来源维度等多个维度。通过数据分类，企业能够更有效地对数据资产进行编目、标准化、确权和管理，同时也为数据资产服务提供支持。

数据分级则是根据数据的敏感程度及其在遭受篡改、破坏、泄露或非法利用后可能对个人、组织或国家安全造成的影响，对数据进行敏感度的分级。这一过程更多地从安全合规性要求和数据保护要求的角度出发，确保对不同敏感度的数据采取相应的保护措施。

数据分类和分级是相互依赖的：没有准确的分类，就无法进行有效的分级，反之亦然。因此，在数据安全治理和数据资产管理中，这两者通常被结合在一起进行，以确保数据的安全和合规使用。

数据分类和分级是数据管理的基石，它们对于企业的数据治理和保护至关重要。如果企业不进行数据的分类和分级，就无法有效地进行数据治理和保护，甚至连企业自身拥有哪些数据、哪些数据是敏感的、以及这些数据存储在何处都难以掌握。此外，数据分类和分级的重要性还体现在以下几个方面：

1、数据的查询、管理和保护

数据分类和分级提供了一套原则和流程，帮助企业识别、标记和定位数据，并对数据的敏感度进行评估。这有助于企业回答关键问题，例如企业拥有哪些类型的数据、哪些数据是敏感的以及它们存储的位置、数据对企业的价值和潜在风险、谁有权访问和修改这些数据、以及在数据泄露、损坏或被不当修改时可能对企业业务造成的影响。

2、提升数据安全性，满足合规要求

通过数据分类和分级，企业能够更有效地实施数据保护措施，降低数据泄露的风险，并加强对数据隐私的保护。这包括控制对敏感数据的访问，确保数据安全；了解不同数据类型的重要性，以便采取相应的保护措施，如数据加密、身份认证、访问控制和数据丢失防护（DLP）；根据不同的监管或法规要求，妥善处理敏感数据，如医疗信息、个人身份信息和支付信息；提高通过监管和合规性审计的可能性；以及构建多套分类分级体系，以满足不同的合规性要求。

3、提高业务运营效率，降低业务风险

从数据的创建到销毁，数据分类和分级有助于企业确保数据资产的有效管理、保护、存储和使用，从而提高业务运营的效率并降低风险。这包括更好地管理企业的数据资产，最大化数据的共享和利用；在整个企业中有效地访问和使用受保护的数据；评估数据的价值以及数据丢失、被盗、误用或泄露可能对企业造成的影响；帮助企业满足监管所需的合规性要求；以及优化数据管理成本，确保关键数据得到适当的关注和资源投入。

其中企业的数据安全合规性认证是DSMM：数据安全能力成熟度等级证书

DSMM（数据安全能力成熟度模型）从多个维度对组织的数据安全能力进行评估，主要依据以下四个能力维度：

1、组织建设：涉及数据安全组织的设立、职责分配和沟通协作等方面。评估时会考虑数据安全组织架构对组织业务的适用性、数据安全组织承担的工作职责的明确性，以及数据安全组织运作、沟通协调的有效性。

2、制度流程：包括组织数据安全领域的制度和流程执行。评估将检查数据生命周期关键控制节点授权审批流程的明确性、相关流程制度的制定、发布、修订的规范性，以及制度流程实施的一致性和有效性。

3、技术工具：关注组织用于开展数据安全工作的安全技术、应用系统和工具。评估时会考察数据安全技术在数据全生命周期过程中的利用情况，以及利用技术工具对数据安全工作的自动化支持能力。

4、人员能力：着眼于执行数据安全工作的人员的安全意识及相关专业能力。评估将基于数据安全人员所具备的数据安全技能是否能够满足实现安全目标的能力要求，以及数据安全人员的数据安全意识和关键数据安全岗位员工数据安全能力的培养。

DSMM将数据安全成熟度分为五个等级，从1级（非正式执行级）到5级（持续优化级），每个等级代表了组织在数据安全能力上的成熟度和完善程度。通过这样的评估，组织可以了解自身在数据安全方面的现状，识别短板，并据此制定改进措施，以提升整体的数据安全能力。

数据分类分级方法

1、数据分类分级的原则

数据分类分级的原则采用MECE原则。MECE（Mutually Exclusiv Collectively Exhaustive）核心是“相互独立，完全穷尽”，我理解MECE原则有三层含义：“第一，所有的数据都得涵盖全了，不能遗留；第二，分类之间不允许重复和交叉；第三，同一级次分类的维度要统一，颗粒度要一致”。

MECE原则，即“Mutually Exclusive, Collectively Exhaustive”，中文意思是“相互独立，完全穷尽”。在数据分类中采用MECE原则，意味着在进行数据分类时，应确保：

1、相互独立（Mutually Exclusive）：每个数据项只能属于一个分类，不同分类之间没有重叠。这确保了每个数据项都有一个明确的归属，避免了数据归属的模糊不清。

2、完全穷尽（Collectively Exhaustive）：所有数据项必须被分类，没有遗漏。这意味着所有的数据都被考虑到了，并且被包含在某个分类中。

所以，当你提到“一张表只能属于一个分类”，这是符合MECE原则中“相互独立”的要求。在实际应用中，这意味着：

• 每个数据项（例如，数据库中的一张表）都应该被清晰地归入一个预先定义好的类别中。

• 不同类别之间应该有明显的区分标准，以确保数据项不会同时属于多个类别。

• 所有数据项都应该被覆盖到，没有数据项是未分类的。

采用MECE原则进行数据分类有助于提高数据管理的清晰度和效率，确保数据治理和安全措施能够被正确地实施。这种分类方式也有助于在进行数据分析和决策时，能够快速准确地定位和使用所需的数据。

2、数据分类的方法

数据分类的常用维度包括但不限于以下几个方面，这些维度可以帮助组织更有效地管理和保护其数据资产：

1、业务应用场景维度：根据数据所支持的业务领域或业务流程进行分类，例如财务数据、人力资源数据、客户关系管理数据等。

2、数据来源维度：依据数据的来源进行分类，如内部生成数据、外部采购数据、用户生成数据等。

3、数据格式维度：按照数据的格式或类型进行分类，如文本、图像、视频、音频、数据库记录等。

4、数据共享维度：依据数据是否需要在组织内部或外部共享进行分类，如公开数据、内部数据、保密数据等。

5、数据价值维度：根据数据对组织的价值进行分类，如高价值数据、中等价值数据、低价值数据等。

6、数据所有权维度：按照数据的所有权进行分类，如组织所有数据、第三方数据、用户所有数据等。

通过这些维度，组织可以更精确地对数据进行分类，从而制定相应的数据治理策略、安全措施和合规性要求。数据分类是数据安全治理和数据资产管理的重要组成部分，有助于提高数据的可用性、安全性和合规性。

3、数据分级的方法

如果企业决定按照数据的敏感性将数据分为四个等级，这样的分级体系通常旨在平衡管理的复杂性和数据保护的需求。以下是按敏感性分级的四个类型的例子，以及每个等级可能包含的数据类型：

这类数据对公众开放，不包含任何敏感信息。

例子：公开发布的新闻稿、公司年报、公开的研究论文等。

2、内部数据（等级2）：

这些数据在组织内部共享，但不包含敏感的个人或财务信息。

例子：员工通讯录、内部培训资料、非敏感的业务报告等。

3、敏感数据（等级3）：

包含个人可识别信息（PII）或其他敏感信息，需要额外的保护措施。

例子：员工个人信息、客户数据、财务记录、医疗记录等。

4、高度敏感数据（等级4）：

这类数据对组织至关重要，泄露可能导致严重后果，需要最高级别的保护。

例子：知识产权、商业秘密、关键基础设施设计、高级管理层决策信息等。




级别	敏感程度	判断标准
1级	公开数据	可以免费获得和访问的信息，没有任何限制或者不利后果。例如营销材料、联系信息、客户服务合同等
2级	内部数据	安全要求低，但是不打算公开的内部数据：客户数据、销售手册、组织架构
3级	秘密数据	敏感数据，如果泄漏可能对公司产生负面影响。包括：供应商信息、客户信息、员工信息、薪水信息。
4级	机密数据	高度敏感的公司数据，如果泄漏，可能会面临财务、法务、监管和声誉的风险，例如客户身份信息、个人身份、信用卡信息

其中个人敏感信息，根据《个保法》列出的敏感个人信息类型有7项，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。《信息安全技术 个人信息安全规范》（GB/T 35273—2020）对敏感个人信息作出更加详细的列举：

企业敏感信息除了包括企业内部的个人敏感信息以外，还包括企业的敏感信息，通常包括以下几个方面：

1、个人身份信息：包括个人隐私数据，如姓名、身份证号码、住址、电话号码、银行账号、电子邮件、密码、医疗信息、教育背景等。

2、受保护的健康信息：涉及个人的健康状况、医疗历史、保健治疗、医疗支付信息等。

3、用户数据：涉及用户在企业平台的行为数据、交易记录、个人设置等。

4、员工信息：包括员工的个人资料、工资信息、人事记录、绩效考核结果等 。

5、客户信息：涉及客户联系信息、交易历史、支持服务记录等。

6、专有数据：包括任何帮助组织保持竞争优势的数据，如软件代码、技术计划、内部流程、知识产权或商业秘密。

7、商业秘密：涉及公司的合同条款、商业策略、未公开的财务数据、定价策略等敏感商业信息。

8、内部策略和决策信息：包括公司的重大决策、主要会议纪要、项目应用程序及文档等。

9、网络和系统安全信息：如服务器的用户名和密码、网络架构、IP地址列表等。

10、法律和合规信息：涉及法律诉讼、合规审计结果、监管调查等敏感信息。

11、研发信息：包括在开发过程中的产品设计、技术规格、测试结果等。

12、供应链信息：涉及供应商合同、物流数据、库存信息等。

企业在处理这些敏感信息时需要格外小心，确保采取适当的安全措施来保护数据不被未授权访问、泄露或滥用。这包括实施数据加密、访问控制、数据脱敏、安全审计和员工培训等措施 。同时，企业还需要遵守相关的法律法规，如《中华人民共和国数据安全法》、《个人信息保护法》等，确保数据的合法合规处理。

实践案例

在实践中，数据分类分级的方法可以根据不同的业务需求和组织特性进行调整和应用。以下是一个实践案例，结合了搜索结果中的信息：

实践案例：某市大数据局数据分类分级

1. 准备工作：在开始分类分级之前，首先需要梳理和参考相关的法规和标准。在这个案例中，大数据局参考了《公共数据分类分级指南》、《人口综合库数据规范》、《信息安全技术 个人信息安全规范》等规范，形成了适用于本单位的数据分类分级参考规范。

2. 数据资产盘点与分类分级咨询：通过使用数据平台的元数据采集完成资产盘点工资以及数据安全的分类分级功能，结合自动扫库扫表、模型匹配、数据统计、机器学习等技术，进行数据发现、数据含义识别、业务类型确认、数据分类分级、多维结果输出。这个过程提升了数据发现和分类分级的准确性和规范性，缩短了项目周期。

3. 实施落地：在业务类型识别的基础上，完成了对人口库数据的分类分级。通过工具进行标签管理，并生成可视化的分类分级报告。资产发现和分类分级的结果通过标准接口的方式，提供给安全产品和大数据局其他数据资源管理平台，完成对数据资产的安全访问和高效管理。

4. 结果：

1、形成了11个二级分类、50个三级分类，5个敏感等级（极敏感、敏感、较敏感、低敏感、不敏感）。

2、梳理了人口综合库30多个schema，近1000张数据表，约25000个字段。

3、发现超过40%的数据表中都有敏感字段，可以根据不同分级对敏感数据和敏感表格进行安全管控。

通过这个案例，我们可以看到数据分类分级在实际应用中的重要性和有效性。它不仅帮助组织更好地管理和保护数据资产，还提高了数据的可用性、安全性和合规性。此外，自动化工具的使用大大提升了分类分级的效率和准确性，为长期持续运营提供了支持。

总结一下，数据的分类分级需要在理解数据安全相关法律法规的基础上，并理解数据的情况下，采用数据安全的分类分级功能，通过规则的方式进行数据分类和分级，但是目前存在的问题是，如果新手在处理新的平台的数据的时候，由于缺乏对法律知识的理解以及数据的业务知识的理解，同时还需要制定大量的识别规则，不管是业务理解门槛高还是人工制定规则的时间成本高，都提高了数据治理的成本，未来通过人工智能的方式，学习已有项目的治理成果，可以快速迁移到相似的项目中，降低数据安全治理的成本。

这张图片描述了一个使用人工智能技术进行数据安全治理的框架，包括数据的分类、威胁检测、以及威胁评级等环节。我们可以分析出基于AI的数据安全治理系统的原理和优势。以下是对这个框架的分析：

原理：

1、数据分级：

敏感类型：首先，AI系统需要识别数据的敏感类型，这可能包括个人身份信息、财务数据、知识产权等。AI系统识别敏感数据通过关键字库、身份模型、金融模型、位置模型、文件模型、密码模型等

敏感信息占比：系统评估敏感信息在数据集中的比例，以确定数据的敏感级别。

  2、威胁检测：

规则库：系统使用规则库来检测潜在的数据泄露或威胁。规则库可能包含一系列的关键字和模式，用于识别敏感数据。

关键字挖掘：通过机器学习方法，系统可以挖掘出新的关键字，这些关键字可能与已知的敏感数据相关联。

权重学习：AI模型通过学习不同特征的权重，以提高威胁检测的准确性。

3、威胁评级：

复合模型：系统使用多个模型共同决策，例如金融模型、身份模型等，以确定威胁的严重程度。

位置模型、文件模型、密码模型：这些模型可能用于评估数据泄露的潜在影响，如数据所在的位置、数据的文件类型、以及数据是否包含密码等。

加权得分：系统根据多个参数特征计算出一个加权得分，以输出威胁等级。

优势：

    1、自动化和智能化：

AI可以自动学习和适应新的威胁模式，减少了人工干预的需求。

2、提高准确性：

通过机器学习和复合模型，系统可以更准确地识别和分类敏感数据，减少误报和漏报。

3、灵活性和适应性：

AI模型可以快速适应新的数据类型和威胁场景，提供更灵活的安全策略。

4、减少人工工作量：

自动化的关键字挖掘和权重学习减少了人工分析和配置规则的工作量。

5、持续学习和优化：

AI系统可以通过持续学习不断优化其检测和评级算法，以应对日益复杂的安全威胁。

简单的来说，基于AI的数据安全治理系统通过自动化、智能化的方式，提高了数据安全治理的效率和效果，降低了数据安全治理的学习成本和迁移难度不在依赖专业的数据安全治理工程师和大量的梳理工作，同时也提供了更高的灵活性和适应性，以应对不断变化的安全威胁。