數據安全分類分級研究與實踐
0 引言
如今，人們每時每刻都在制造數據，數據只有在流動、加工、處理、分享的過程中才有價值。同時，數據在大范圍傳播與流通的過程中，也對數據的合法、合規使用帶來了嚴峻的挑戰，數據利用與數據保護相互依存、相互制約、相互影響，如何找到平衡準繩，數據安全分類分級很有必要[1-2]。
2021年3月，《中華人民共和國國民經濟和社會發展第十四個五年規劃和2035年遠景目標綱要》[3]發布，提出保障國家數據安全，加強個人信息保護，全面加強網絡安全保障體系和能力建設，維護水利、電力、供水、油氣、交通、通信、網絡、金融等重要基礎設施安全。《中華人民共和國數據安全法》也即將施行，其中明確了數據安全主管機構的監管職責，建立健全數據安全協同治理體系，提高數據安全保障能力，促進數據出境安全和自由流動，以及促進數據的開發利用[4]，保護個人、組織的合法權益，維護國家主權、安全和發展利益。加速數據安全分類分級建設，必將加強各行業的數據安全保障能力。圖1為數據安全標準體系框架。
圖1 數據安全標準體系
1 數據安全分類分級研究
1.1 數據安全分類分級重要性
2021年3月11日，十三屆全國人大四次會議表決通過了關于國民經濟和社會發展第十四個五年規劃，在國家“十四五”規劃綱要中，特別提到要營造良好數字生態，構建數字規則體系，營造開放、健康、安全的數字生態完善適用于大數據環境下的數據分類分級保護制度。加強數據安全評估，推動數據跨境安全有序流動[5]。
2021年，工業和信息化部發布了《關于組織開展2021年基礎電信企業數據安全標準》，督促指導基礎電信企業落實行業數據安全基礎性標準要求，用“嚴標準”建立數據安全管理制度，促進提升行業數據安全管理水平。其中，《基礎電信企業數據分類分級方法》也是重點貫標方向。
1.2 數據安全分類分級方法
為推動數據安全有序流動，需要對數據整個流動過程中的各個階段可能發生的問題提高關注，同時采 取安全保障措施。數據的分類分級管理是對數據全流程、全過程進行保障的基礎。要想奠定數據產業平穩健康、可持續發展的基石，就要將安全要求與使用需求的平衡點建立在科學、合理、有效的分類分級管理基礎上，才能夠利用最低的數據風險管理成本達到最高的數據管理成效[6]。
數據分類更多是從業務角度出發，通過數據企業內部涉及的數據類型，梳理哪些元數據屬于哪個業務范疇，也就是類別。這個業務范疇囊括的范圍可大可小，完全依托于企業前期基于業務的梳理結果。做數據分類，并不是業務越細分越好，大部分細分之后的數據均具有多重屬性，會導致數據的多重劃分，這是典型分類失敗的體現[7]。反之，如果分類過于粗獷，對于企業的指導意義也明顯下降，找到分類顆粒度的平衡點，這很重要。
數據的分級不同于數據分類，對于大多數企業來說，更多是從滿足監管要求的角度出發。數據分級屬于數據安全領域，或許稱其為敏感等級更為貼切。企業中的數據密級程度有的高、有的低、有的可公開、有的不可公開，敏感等級不同的數據對內使用時受到的保護策略不同，對外共享開放的程度也不同。如果企業對自己內部的數據沒有一個明確的認識，會為企業的運營帶來嚴重的隱患。
數據的分類分級管理應該貫穿于企業發展的始終，數據的類別、級別也應依據相關要求實時進行變化、更新。在企業業務發展的進程中，必然會面臨數據量增長和擴展更多數據域。按照業務發展需求和法規標準的要求對數據的分類分級“量體裁衣”才能適應日益多樣化的數據使用場景和復雜的數據使用維度，為公司業務數據劃分完整的分類分級標準，為公司業務發展提供高效的數據支撐。表1為已發布和在研的數據分類分級相關標準。
表1 發布和在研的數據分類分級標準
2 數據分類分級實踐
2.1 基礎電信企業數據分類分級方法
2.1.1 數據分類分級原則
（1）安全性原則：從利于數據安全管控的角度對數據進行分類分級。
（2）穩定性原則：分類分級設置在相當長一個時期內是穩定的，對各類數據涵蓋廣，包容性強。
（3）可執行原則：為保障數據分類分級后續的可操作性,數據分類分級應貼近企業實際運營情況，不應過于復雜或過于粗獷。企業的安全防護要求均應在此分類分級基礎上進行展開[8]。
（4）時效性原則：數據的級別會依據相關要求進行動態變化和更新，企業應預留一定的管理和技術儲備，以便應對數據級別變化產生的影響。
（5）自主性原則：基礎電信企業可依據電信企業自身的特點，根據企業的戰略目標、轉型方向、風險識別的結果等進行數據安全分類分級。但分級結果應符合就高不就低原則，不應未經評估將高等級數據降低為低等級數據[8]。
（6）完整性原則：對數據狀態描述的全面程度，完整的數據應基于業務全流程進行全面劃分。
（7）就高不就低原則：不同級別的數據被同時處理、應用時且無法精細化管控時應按照其中級別最高的要求來實施保護。
（8）關聯疊加效應原則：對于非敏感數據關聯后可能產生敏感數據的場景，關聯后的數據級別應高于原始數據。
2.1.2 數據分類方法
根據基礎電信企業業務運營特點和企業內部管理方法收集企業內所有部門的數據資源，梳理所有數據資源。按照線分類法，按照業務屬性（或特征），將基礎電信企業數據分為若干數據大類，然后按照大類內部的數據隸屬邏輯關系，將每個大類的數據分為若干層級，每個層級分為若干子類，同一分支的同層級子類之間構成并列關系，不同層級子類之間構成隸屬關系。所有數據類及數據子類構成數據資源目錄樹，如圖 2所示。目錄樹的所有葉子節點是最小數據類。最小數據類是指屬性（或特征）相同或相似的一組數據。為便于對數據進行統一管理及應用，根據基礎電信企業生產經營管理現狀和企業自身管理特點，將基礎電信企業掌握的數據整合納入兩大類。
圖2 數據資源分類分級目錄樹
（1）用戶相關數據：是指與個人用戶、集團客戶相關的身份相關數據、服務內容數據、用戶服務衍生數據等。
（2）企業自身數據：是指基礎電信企業掌握的與用戶無關的數據，包括網絡與系統類數據、企業管理類數據、合作伙伴數據等。網絡與系統類數據，主要涉及網絡與系統的建設與運行維護信息、軟硬件資源信息、安全管理信息等數據；企業管理類數據，主要涉及企業戰略、規劃建設、經營分析、辦公自動化等相關數據。
2.1.3 數據分級方法
在數據分類基礎上，根據基礎電信企業數據重要程度以及泄露后對國家安全、社會秩序、企業經營管理和公眾利益造成的影響和危害程度，對基礎電信企業網絡數據資源進行分級。數據分級按照圖3所示的步驟和方法進行，具體如下。
圖3 數據分級流程
（1）根據數據對象對客體的影響程度，取影響程度中的最高影響等級為該數據對象的重要敏感程度。例如，若某數據對象發生安全事件時對國家安全和社會公共利益的影響程度為低，對企業利益影響程度為低，對用戶利益影響程度為高，則該數據對象的重要敏感程度取三者中最高，即為高。
（2）按照數據對象的重要敏感程度，可以將基礎電信企業網絡數據資源分為四個安全級別，其對應的安全要求逐級遞減，分別為第四級、第三級、第二級和第一級。
第四級數據：一旦丟失、泄露、被篡改、被損毀會對國家安全、社會公共利益或企業利益或用戶利益造成特別嚴重影響的數據，安全管控要求最高。
第三級數據：一旦丟失、泄露、被篡改、被損毀會對國家安全、社會公共利益或企業利益或用戶利益造成嚴重影響的數據，應實施較強的安全管控[9]。
第二級數據：一旦丟失、泄露、被篡改、被損毀會對國家安全、社會公共利益或企業利益或用戶利益造成一定程度影響的數據，執行基本的安全管控[10]。
第一級數據：一旦丟失、泄露、被篡改、被損毀對國家安全、社會公共利益或企業利益或用戶利益造成影響較小或無影響的數據，對安全管控不作要求。
2.2 移動支付業務數據分類分級方法
2.2.1 數據分類分級原則
（1）科學性原則：基礎電信企業移動支付業務數據的分類應選擇分類對象最穩定的本質特性作為數據分類的基礎和依據。
（2）系統性原則：基礎電信企業移動支付業務數據應遵循客觀存在的邏輯關聯，劃分不同的從屬關系和并列次序,形成合理、系統化的分類。
（3）延展性原則：數據的類別是實時動態變化的，在執行分類目錄時，要考慮目錄的冗余性，即應預留一定空間，防止后續出現新增的數據類別，而新增的數據類別增加后，盡量不會改變原有的目錄格式。
（4）規范性原則：基礎電信企業移動支付業務數據所使用的詞語或短語應與國際標準、國家標準和行業等標準協調一致。
（5）實用性原則：從數據便于管理和使用的角度，對類目的劃分符合普遍認知，使類目的設置實用、具備可操作性。
（6）合法合規性原則：滿足國家法律法規及行業主管部門有關規定。
（7）安全性原則：本標準是從利于數據安全管控的角度對數據進行分級[5]。
（8）可執行性原則：為保障數據分類分級后續的可操作性，數據分類分級應貼近企業實際運營情況，不應過于復雜或過于粗獷。企業的安全防護要求均應在此分類分級基礎上進行展開。
2.2.2 數據分類方法
根據基礎電信企業移動支付業務生產經營管理現狀和企業自身管理特點,按照業務的屬性、特征劃分大類，按照大類內部的數據隸屬邏輯關系劃分層級,層級繼續細分子類，同一分支的同層級子類之間構成并列關系，不同層級子類之間構成隸屬關系，排列形成具有層次、逐級展開的分類結構。基礎電信企業移動支付業務可將數據劃分為三大類。
（1）用戶數據（A類）。能夠唯一識別出自然人身份特征的信息，與自然人的身份認證存在直接關系，例如電話號碼、單位地址、家庭住址、婚姻狀態、身份證號、單位地址行為、社會關系等個人用戶相關數據和單位用戶企業信用、經營等相關數據[10]。
（2）業務數據（B類）。包括賬戶信息、交易記錄、營銷活動、資金管理、合約管理、風險管理等與移動支付業務形態相關數據。
（3）企業運營管理數據（C類）。主要包含系統的建設與運行維護、企業生產經營管理等相關數據。
2.2.3 數據分級方法
在數據分類的基礎上，根據基礎電信企業移動支付業務數據重要程度與敏感程度以及泄露后對國家安全、社會秩序、企業經營管理和公眾利益造成的影響和危害程度，并結合保密性、完整性、可用性三個屬性遭破環后造成的后果影響對基礎電信企業移動支付業務數據資源進行分級。如圖4所示，數據分級建議按照以下步驟和方法進行。
圖4 數據分級流程
第四級數據：一旦丟失、泄露、被篡改、被損毀會對國家安全、社會公共利益或企業利益或用戶利益造成特別嚴重影響的數據，安全管控要求最高；支付交易過程中使用的重要數據，經審核后，一般只對符合要求的指定人員開放。
第三級數據：一旦丟失、泄露、被篡改、被損毀會對國家安全、社會公共利益或業務運營者利益或用戶利益造成嚴重影響的數據，應實施較強的安全管控；支付交易過程中重要業務使用的數據，經審核后，一般只對符合要求的指定人員開放。
第二級數據：一旦丟失、泄露、被篡改、被損毀會對國家安全、社會公共利益或業務運營者利益或用戶利益造成一定程度影響的數據執行基本的安全管控大范圍開放可能會對業務或個人造成較小或者不顯著的負面影響，但因個人或業務要求需要對指定群體開放的數據。
第一級數據：一旦丟失泄露、被篡改、被損毀對國家安全社會公共利益或業務運營者利益或用戶利益造成影響較小或無影響的數據，對安全管控不作要求；可以被公共訪問或被個人設置為公開發布的數據，此類數據的公開對個人或業務不會產生不良影響。
3 結束語
數據安全是信息系統安全的基礎，數據安全分類分級是識別數據的重要途徑，數據分類分級是監管對行業提出的要求，但分類分級不會僅僅止步于應對監管。整個實施過程更是數據的資產化，能夠讓數據走向價值化管理與精細化管控，數據共享做到“有類可遵，有級可循”。對于新出現的數據能夠做到快速分類分級并作出響應，才能夠保障企業信息系統安全、穩定運行。
參考文獻
[1] 白利芳, 唐剛, 閆曉麗. 數據安全治理研究及實踐[J]. 網絡安全和信息化, 2021(2):46-49.
[2] 喻思南. 數據分類,安全更有保障[N]. 浙江法制報, 2020-07-24(008).
[3] 中華人民共和國國民經濟和社會發展第十四個五年規劃和2035年遠景目標綱要[Z], 2021.
[4] 陳興躍. 數據分級分類正式入法具有重大實踐指導意義[J]. 信息安全研究, 2020,6(10):949-952.
[5] 陳興躍. 《中華人民共和國數據安全法(草案)》公開征求意見:數據分級分類正式入法[J]. 中國信息化, 2020(7):9-10+8.
[6] 中國信息通信研究院, 中國移動通信集團有限公司, 中國聯合網絡通信集團有限公司, 等. YD/T 3813-2020基礎電信企業數據分類分級方法[S], 2020.
[7] 李松濤, 謝宗曉. 數據分類/分級及其相關標準解析[J]. 中國質量與標準導報, 2019, 258(4):16-18.
[8] 王毛路, 華躍. 數據脫敏在政府數據治理及開放服務中的應用[J]. 電子政務, 2019, 197(5):102-111.
[9] 梅樂翔, 劉晶, 韋安壘. 基于高速通行數據的脫敏管理研究[J]. 網絡空間安全, 2019, 010(006):75-80.
[10] 付德志. 湖北中煙數據分類分級方法研究[J]. 科技經濟導刊, 2020, 722(24):19-21.
[11] 楊君琳. 論北斗時代的個人位置信息法律保護[J]. 法學雜志, 2021,42(2):34-45.
Research and practice of data security classification and grading
ZHANG Feng, YU Le, MA Yusheng, ZHANG Hongyang, JIANG Weiqiang
(China Mobile Information Security Center, Beijing 100053, China)
Abstract: With the rapid development of information security technology, network information security technology has been widely used and popularized in the manufacturing industry, financial industry, communication industry, internet industry and so on. Data security problems are increasing day by day, the manufacturing, circulation and sharing of data have not been effectively protected, the progress of data security classification and classification is lagging, and the data security classification and classification of various industries need to be solved. In this paper, the development of data security classification and classification is introduced, the principles of data security classification and classification in some fields are analyzed and the practice is shared. Finally, the ideas and development suggestions for data security classification and classification are put forward.
Keywords: data security; classification and grading; practice
