数据分类分级落地过程中的重难点思考 – 作者:观安信息-安全小百科

随着十四五规划中数据经济再次被广泛提及，数据作为生产要素的地位已成为不争的事实。在全面转向数字化的过程中，各行各业已经认识到了数据治理对于数字化的重要性，数据的规范化、数据湖统一存储、大数据平台统一计算、数据经营信息的充分挖掘已经极大地促进了各行业的再次发展。但生产和安全始终是需要相辅相成的。勿在浮沙筑高台，保障生产要素的安全就成为了目前最高关注的话题，且随着社会的发展，人们个人隐私保护意识的提高，使得这一话题进一步受到广泛的关注。这就是今天要说的数据安全！

有需求就会有解决方案。目前已有多种数据安全治理理论，也包括一些最佳实践。各种安全厂商也从自己的视角提出了思路和想法。但有一点却出奇的一致，那就是以数据为中心，切换以往信息安全、网络安全的视角来保障数据的安全。以数据为中心可以简单理解为，以数据的视角，从产生到消亡的全生命周期，围绕数据的存储、流动以及此过程中涉及到的人、权限等多种维度来建设安全架构。这里面绕不开的第一步便是对数据的分类分级。

数据分类分级作为数据安全的“桥头堡”，在数据安全治理过程中至关重要，一般企业的数据可以分为公开数据、非公开数据（敏感数据）。为此我们需要把主要精力放在敏感数据的管控上，制定精细化的管控原则。根据不同数据级别，实现不同的安全防护，避免敏感数据泄露给公司造成重大损失。各行各业的分类分级标准虽然如雨后春笋般大量颁布，但在生产落地实践中还需要解决以下的问题（或者避开这些误区）才会迎来最佳的应用效果。

如何下手，分类分级的好处是什么？

企业可优先梳理高敏感等级数据类型的识别规则，在准确绘制出高敏感等级数据的分布情况后，再对次高级数据进行相同操作，以此流程逐步完善企业对全局数据的梳理识别能力，并将企业敏感数据分布地图逐步补全。

有了数据的分布地图和相关数据标签后，就能清楚地知道后期数据安全的建设方向，以此针对不同级别的数据，清楚地梳理管控原则。

如何落地分类分级规范要求

企业在体系构建的初期，由于缺少辅助工具和持续优化的运营经验，面对规范要求中繁杂的数据类型往往无从下手。

首先要建立一个意识，数据安全不是以往常规的在信息安全上的迭代，而是新的建模方式，它是一个长期持续，不断演进的体系。所以单纯的短平快实现必然会对后面造成更大的困扰。即使目前需求是简单的，后期必然也会演进到正规的道路上来，所以需要一个专业化的工具，或者平台来承载。有些行业的数据安全治理方案中也会以自身的业务系统出发，提供独立的系统梳理数据现状以应对监管，也为后期建设打下基础。因此数据敏感标签的 API 化也会是着重考虑的诉求。

规范中分级类型无法跟实际存储对应

规范中一般分级规则是各监管单位、核心企业根据业务模型讨论出来的理想情况。在实际落地过程中发现，某种敏感业务类型是由数十种原子敏感数据组成的，而这些原子类型也会跨多个表来存储，这将给分级类型的识别带来困扰。这也是分类分级逻辑上简单、但落地困难的原因，也正因为如此，才需要专业的系统感知各物理表中的敏感数据比例，充分分析整体数据存储情况来给出智能推断，辅助分类分级达到良好的落地效果。