在分类过程中,首先要根据数据的属性特征进行粗分类,如结构化与非结构化,内部与外部等。然后在每个大类中根据内容、生命周期、系统、所有者、访问权限等进行细分,将同类数据归为一类。分类要尽量贴近数据安全管理的实际需求,既不能过于宽泛也不能过于微细。可以采用分类树的形式层层细分数据类型,形成分类详细清晰的分类方案。分类的成果是不同类别的数据具有不同的安全属性,这为制定针对不同数据类型的安全策略和控制提供依据。分类是落实数据安全管控的基础工作。我们可以利用分类结果,定制安全解决方案,实现针对不同数据的精准管控。

数据分类流程

1. 确定分类目标和分类依据。是为了满足数据安全要求、信息管理需要还是其他目的?依据是数据格式、内容、生命周期还是其他属性?分类依据直接决定分类方案的形成。

2. 建立分类体系。一般采用树形体系,从大类开始层层细分。如先划分结构化数据和非结构化数据,然后在每个大类中继续细分子类别。分类体系要能满足管理和安全控制的实际需要。

3. 数据属性分析。分析不同类型数据的格式、内容、生命周期、所在系统、访问权限等属性,这些属性决定其安全要求和控制措施。属性分析为下一步分类提供依据。

4. 确定分类主题。在分类体系中确定要划分的主题类别,这些主题可以匹配上一步确定的分类依据和属性。主题类别是分类方案的主干。

5. 定义分类规则。确定分类主题后,要定义好每一主题下数据的归属规则。规则需要考虑到数据属性以及管理和安全控制的实际需要。规则是实施分类的依据。

6. 数据划分与归类。根据分类体系和规则,将本次要分类的数据进行划分和归类。每条数据根据属性匹配其所属类别。这一步是分类实施的主要过程。

7. 分类方案管理。对数据分类方案进行维护和更新。随着数据变更和安全需求的更新,要及时修订分类体系、规则以及数据的归属。保证分类方案的有效性。

最终按照线分法将数据分为若干层级，若干类别的数据资源目录树。

数据分级

数据分级是指按照公共数据遭到破坏(包括攻击、泄露、篡改、非法使用等)后对受侵害各体合法权益(国家安全、社会秩序、公共利益以及公民、法人和其他组织)的危害程度，对公共数据进行定级，为数据全生命周期管理进行的安全策略制定。

数据分级的常用方法

1. 根据数据敏感度。将数据分为高、中、低三个级别。高敏感数据如个人信息、财务数据等属高级别,一般业务数据为中级别,公开数据为低级别。这是最常用的分级方法。

2. 根据数据所在系统的重要性。如果数据所在系统对业务至关重要,其数据级别高;如果系统中断对业务影响较小,数据级别中或低。系统重要性决定数据级别。

3. 根据数据丢失或泄漏的影响程度。数据丢失或泄漏会造成重大损失和影响属高级别,影响较小属中低级别。影响程度是重要的分级依据。

4. 按规定和合规性要求。如根据个人信息保护法要求对个人信息实行高级保护,金融行业对客户敏感数据也有严格要求,这决定数据的级别。

5. 根据数据的存储方式和使用频率。磁盘内频繁使用和存储的高价值数据属高级别;磁带长期存档的数据属低级别。存储方式和使用频率反映数据重要性。

6. 根据数据内容的完整性和真实性要求。真实完整的数据属较高级别;对真实性要求不高的数据可以较低级别。真实性要求决定保护级别。

7. 根据数据是否包含知识产权或商业机密。包含机密信息和知识产权的数据级别较高,普通公开数据级别较低。综上,根据数据属性的不同,有多种方法可以划分数据级别。多种方法的结合可以达到全面准确的分级效果,这有助于为不同级别的数据制定针对性的安全保护措施。数据分级是构建数据安全防护体系的基础。

数据定级流程

数据资产梳理：

第一步：对数据进行盘点、梳理与分类，形成统一的数据资产清单，并进行数据安全定级合规性相

关准备工作。

数据安全定级准备：

第二步：明确数据定级的颗粒度（如库文件、表、字段等）。

第三步：识别数据安全定级关键要素。

数据安全级别判定：

第四步：按照数据定级规则，结合国家及行业有关法律法规、部门规章，对数据安全等级

进行初步判定。

第五步：综合考虑数据规模、数据时效性、数据形态（如是否经汇总、加工、统计、脱敏或匿名化

处理等）等因素，对数据安全级别进行复核，调整形成数据安全级别评定结果及定级清单。

数据安全级别审核：

第六步：审核数据安全级别评定过程和结果，必要时重复第三步及其后工作，直至安全级别的划定

与本机构数据安全保护目标一致。

数据安全级别批准：

第七步：最终由数据安全管理最高决策组织对数据安全分级结果进行审议批准。

最终形成数据安全分级定级表：

安全级别	定级要素		数据一般特征	对应分类
安全级别	影响对象	影响程度	数据一般特征	对应分类

行业数据安全分级分类指南

金融行业

参考：行业标准《金融数据安全数据安全分级指南》

适用于金融业机构开展电子数据安全分级工作，并为第三方评估机构等单位开展数据安全检

查与评估工作提供参考。

金融数据分级

根据金融业机构数据安全性遭受破坏后的影响对象和所造成的影响程度，将数据安全级别从高到低划分为5级、4级、3级、2级、1级，一般具有如下特征：

金融数据分类

划分为四级分类，一级二级分类如下：

一级子类	二级子类	定义说明
客户	个人	指金融业机构提供各种业务服务的自然人对象相关的各类信息。
客户	单位	指金融业机构提供业务服务团体对象(如政府机关、企事业单位、社会团体、民间组织等)的数据。
业务	账户信息	指账户相关数据，如账户的基本信息、计息信息、冻结信息、介质信息和核算信息等。
	法定数字货币钱包信息	指法定数字货币钱包相关属性信息。
	合约协议	指合同或协议所包含的所有属性数据，如合同法以及商业银行法所规定的基本属性信息，以及各种特定业务合同所包含的特定属性信息。
	金融监管和服务	金融业有关机构在履行各类监管、政务及金融服务职能等过程中产生的数据，如反洗钱业务信息、国库业务信息等。
	交易信息	指通过交易所产生的数据。交易，即任何改变金融业机构财务状态或信息基础的业务动作。包括交易基本信息、交易金额信息、交易对手信息、交易清结算信息、交易记账信息等。
经营管理	营销服务	指金融业机构在充分认识、满足消费者需求的前提下，为充分满足消费者需要在营销服务过程中所采取的一系列活动中所产生的相关数据。
	运营管理	指金融业机构在运营过程中的计划、组织、实施和控制的相关数据。
	风险管理信息	指金融业机构对经营风险的评估信息、成本收益权衡方案和决定采取的行动计划以及其他相关信息。
	技术管理	指金融业机构因发展需要建立的各类包含基础信息设施建设、信息系统建设等项目、系统相关管理数据。
监管	数据报送	指监管机构要求金融业机构报送的各项信息。
监管	数据收取	指监管机构为有效管理、风险管控，向金融业机构发送的评价、处罚、违规、统计、预警及安全审计等信息。

电信行业

参考：行业标准《基础电信企业数据分类分级方法》

适用于包括基础电信企业生产经营和管理活动中产生、采集、加工、适用或管理的网络数据和非网络数据。

电信数据分类

为便于对数据进行统一管理及应用，根据基础电信企业生产经营管理现状和企业自身管理特点，将基础电信企业掌握的数据整合纳入两大类:

用户相关数据，是指与个人用户、集团客户相关的身份相关数据、服务内容数据、用户服务衍生数据等;
企业自身数据，是指基础电信企业掌握的与用户无关的数据，包括网络与系统类数据、企业管理类数据、合作伙伴数据等，网络与系统类数据，主要涉及网络与系统的建设与运行维护信息、软硬件资源信息、安全管理信息等数据:企业管理类数据，主要涉及企业战略、规划建设、经营分析、办公自动化等相关数据。

电信数据分级

按照数据对象的重要敏感程度，可以将基础电信企业网络数据资源分为四个安全级别，其对应的安全要求逐级递减，分别为第四级、第三级、第二级和第一级。

第四级数据:一旦丢失、泄露、被篡改、被损毁会对国家安全、社会公共利益或企业利益或用户利益造成特别严重影响的数据，安全管控要求最高;

第三级数据:一旦丢失、泄露、被篡改、被损毁会对国家安全、社会公共利益或企业利益或用户利益造成严重影响的数据，应实施较强的安全管控;

第二级数据:一旦丢失、泄露、被篡改、被损毁会对国家安全、社会公共利益或企业利益或用户利益造成一定程度影响的数据，执行基本的安全管控:

第一级数据:一旦丢失、泄露、被篡改、被损毁对国家安全、社会公共利益或企业利益或用户利益造成影响较小或无影响的数据，对安全管控不作要求。

企业若在执行四级安全管控落地实施中有难度，可以视实际情况对相邻级别进行合并，实施三级分级方式和相应安全管控措施。

分级示例：