服务热线

020-38921330

首页 > 新闻资讯 > 行业新闻

数据分类分级保护:筑牢数据安全的坚固防线

2024-7-10 0:00:00浏览量:779编辑:管理员来源:天畅

随着信息技术的飞速发展,数据已成为国家核心战略资源和社会经济发展的重要驱动力。然而,数据泄露、非法获取与滥用等安全事件频发,严重威胁到国家安全、社会稳定和个人隐私。为此,国家高度重视数据安全工作,积极构建数据分类分级保护制度,旨在通过科学、合理的分类分级策略,确保数据在采集、存储、处理、传输和共享等全生命周期中的安全性和保密性。在此背景下,《数据安全技术 数据分类分级规则》(GB/T43697-2024)(以下简称“本标准”)应运而生,并将于2024年10月1日正式实施,为各行业领域、各地区、各部门及数据处理者提供了明确的指导与规范。



一、数据分类分级的重要性


提升数据保护效率:

通过细化的分类分级,能够精准识别不同数据的安全需求与风险等级,采取差异化的保护措施,避免“一刀切”造成的资源浪费或保护不足。

促进数据合规流通:

明确的数据分类分级规则有助于数据在合法合规的前提下跨组织、跨领域流通,促进数据资源的有效整合与利用。

强化数据安全监管:

为监管部门提供了清晰的监管依据,便于对数据处理活动进行监督和指导,及时发现并纠正违规行为。


二、 本标准的核心内容


适用范围:

本标准广泛适用于各行业领域、各地区、各部门及数据处理者,但不包括涉及国家秘密和军事数据的特殊领域,确保了标准的普遍适用性和针对性。

分类原则:

基于数据的敏感性、重要性、价值等因素,将数据划分为不同的类别,如公开数据、内部数据、敏感数据等,确保分类的科学性和合理性。

分级标准:

在分类的基础上,进一步根据数据的泄露风险、影响范围等因素,将数据划分为不同的安全等级,如一般保护级、重要保护级、核心保护级等,为后续的安全管理提供依据。

保护措施:

针对不同类别和等级的数据,提出具体的保护措施要求,包括但不限于访问控制、加密存储、传输安全、审计跟踪等,确保数据在全生命周期中的安全可控。




三、 数据分类规则


01
数据分类框架


数据分类框架是构建数据分类体系的基础,它定义了数据分类的基本原则、维度和层次结构。通常,数据分类框架会考虑数据的性质、来源、用途、敏感度等因素,将数据划分为不同的类别或域。例如,根据数据的业务属性,可以将其分为客户信息、交易数据、员工信息等;根据数据的敏感度,可以划分为公开数据、内部数据、敏感数据等。这样的框架有助于系统性地理解和管理数据。

按照行业领域,可将数据分为:

11.jpg

各行业领域主管(监管)部门根据业务属性,对本行业领域数据进行细化分类,常见业务属性有:

22.jpg


02
数据分类方法


常见的分类方法包括自动分类和人工分类两种。自动分类利用机器学习算法,根据预设的规则和模型,自动识别并分类数据;人工分类则依赖于数据管理员或专家的判断,通过审查数据内容、标签等方式进行分类。在实际应用中,两者往往结合使用,以达到更高的分类准确性和效率。

可根据数据管理和使用需求,结合已有数据分类基础,灵活选择业务属性将数据细化分类。具体步骤为:

33.jpg


03
数据分类示例


为了更直观地理解数据分类,下面给出一些具体的分类示例,这些示例不仅展示了数据分类的多样性,也体现了不同行业对数据分类的不同需求。
例如,从数据主体角度,可将数据分为以下类别:

44.jpg


四、 数据分级规则


01
数据分级框架


根据数据在经济社会发展中的重要程度,以及一旦遭到泄漏、篡改、损毁或非法获取、非法使用、非法共享,对国家安全、经济运行、社会秩序、公共利益、个人权益造成的危害程度,将数据分为核心数据、重要数据和一般数据,每个级别对应不同的保护要求和访问权限。这样的框架有助于实现对数据资源的精细化管理。


核心数据:

关系国家安全重点领域的数据,关系国民经济命脉、重要民生、重大公共利益的数据,经国家有关部门评估确定的其他数据。

重要数据:

特定领域、特定群体、特定区域或达到一定精度和规模的,一旦被泄漏、篡改或损毁,可能直接危害国家安全、经济运行、社会稳定、公共健康安全的数据。仅影响组织自身或公民个体的数据一般不作为重要数据。

一般数据:

核心数据、重要数据之外的其他数据。


99.jpg


02
数据分级方法


数据分级方法是指具体如何根据分级框架确定数据级别的操作指南。通常,分级方法会综合考虑数据的多个维度,如数据的价值、泄露风险、法律合规要求等,通过量化评估或专家评审等方式,为数据分配适当的级别。分级过程中,还需要考虑数据的动态变化,及时调整数据级别以适应新的安全需求。

确定分级对象:

确定待分级的数据,如数据项、数据集、衍生数据、跨行业领域数据等。

分级要素识别:

结合自身数据特点,按照本标准6.3内容识别涉及的分级要素情况。


55.jpg


数据影响分析:

结合数据分级要素识别情况,分析数据遭到泄漏、篡改、损毁或非法获取、非法使用、非法共享,可能影响的对象(见本标准6.4.1内容)和程度(见本标准6.4.2内容)。


66.jpg


综合确定级别:

按照本标准6.5和6.6的内容,综合确定数据级别。


77.jpg


03
重要数据识别

重要数据识别是数据分级过程中的关键环节。它要求识别出那些对组织运营、国家安全、个人隐私等具有重要影响的数据。重要数据的识别通常基于数据的价值、敏感性、唯一性等因素进行。识别出的重要数据需要得到特别关注和保护,确保其安全性和完整性不受损害。

1
首先按照所属行业领域的主管(监管)部门明确的数据分类分级规则或重要数据目录进行识别。
2
可参考本标准给出的数据级别确定规则,在分级要素识别的基础上,通过判断影响对象(见本标准附录E内容)和影响程度(见本标准附录F内容)进行识别。
3
可参考重要数据识别指南(见本标准附录G内容)中给出的考虑因素进行识别。



五、 处理者数据分类分级流程


处理者数据分类分级流程是指数据处理者(包括组织、机构和个人)在实施数据分类分级时应遵循的步骤和程序。该流程通常包括需求分析、制定分类分级策略、实施分类分级、审核与评估、持续改进等环节。通过这一流程,数据处理者可以系统地开展数据分类分级工作,确保数据的合规性和安全性。

88.jpg



六、 实施路径与挑战


加强宣传培训:

组织相关单位和个人深入学习本标准,提升数据分类分级保护意识,掌握分类分级方法与技巧。

完善组织架构:

建立健全数据安全管理组织体系,明确各级责任主体,确保数据分类分级工作的顺利推进。

技术支撑与创新:

积极引入先进的数据安全技术,如人工智能、区块链等,提升数据分类分级的自动化、智能化水平,同时加强技术创新,不断适应数据安全的新形势、新要求。

应对挑战:

面对数据量的爆炸式增长、数据类型的多样化以及数据安全威胁的复杂化等挑战,需持续优化分类分级策略,加强跨部门、跨领域的协同合作,形成数据安全保护的强大合力。



《数据安全技术 数据分类分级规则》国家标准的应用范围广泛,涉及各行业领域、各地区、各部门和数据处理者。通过应用该标准,组织可以规范其数据分类分级工作,提高数据管理的效率和效果。同时,该标准也为监管部门提供了评估和监督的依据,有助于推动数据保护工作的深入开展。在具体应用中,组织应根据自身实际情况和需求,灵活运用标准中的各项规定和指南,确保数据分类分级的准确性和有效性。未来,随着标准的深入实施与不断完善,我国的数据安全保护体系将更加健全,为数字经济的健康发展提供有力保障。让我们携手并进,共同守护国家数据安全,共创数字时代的美好未来!