一、基本声明

1. 数据安全区别于传统安全，数据安全所需要防护的对象是远远大于传统安全的，所以在建设数据安全过程首先要面对的就是数据分类分级。通过数据分类分级才能够实现重点防护，才能够为数据脱敏和加密提供对象依据。
2. 本文包含数据分类分级的概念、流程、注意事项及解决办法，由浅及深地介绍分类分级需要做的事情和可能会遇到的问题。能够帮助企业在初次面对数据分类分级时无从下手找到适合企业的解决方案，并且提前告知企业在实际分类分级过程中可能会遇到的问题和解决的办法。
3. 本文中列举了汽车、金融、医疗、电信行业的数据分类分级规范，并且均配备了官方链接，节省大量查找分类分级参考资料的时间。

二、概念标准

1. 分类：依据数据的来源、内容和用途对数据进行分类；
2. 分级：按照数据的价值、内容敏感程度、影响和分发范围不同对数据进行敏感级别划分
3. 作用：
   • 便于企业采取相应的安全控制手段进行把控
   • 能够最小化对应使用敏感数据，将指定数据划分给指定使用人员
   • 便于企业在数据泄露发生时评估损失和影响范围
4. 等级划分：
   • 绝密
   • 秘密
   • 机密
   • 隐私
   • 敏感
   • 公开
5. 划分依据：
   • 数据用途
   • 数据价值
   • 数据寿命
   • 泄露危害
   • 法律规定

三、技术流程

（一）制度支撑

1. 《中华人民共和国数据安全法》第二十一条：国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护
2. 关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度。
3. 各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。
4. 重要数据，是指一旦泄露可能直接影响国家安全、经济安全、社会稳定、公共健康和安全的数据，如未公开的政府信息，大面积人口、基因健康、地理、矿产资源等。重要数据一般不包括企业生产经营和内部管理信息、个人信息等
5. 依据法律：

• 《中华人民共和国数据安全法》
• 《中华人民共和国个人信息保护法》
• 《数据安全技术 数据分类分级规则》：GB/T43697-2024，是最新版本国标数据分类分级规范
• 《工业数据分类分级指南（试行）》
• 《信息技术大数据 数据分类指南》
• 《网络安全标准实践指南-网络数据分级分类指引》
• 《汽车数据安全管理若干规定（试行）》
• 《证券期货业数据分类分级指引》
• 《基础电信企业重要数据识别指南》
• 《基础电信企业数据分类分级方法》
• 《能源大数据 数据分类分级指引》
• 《广东省健康医疗数据安全分类分级管理技术规范》

（二）制定规范

1. 企业按照上述的法律规定结合企业数据特点进行制定企业数据分类类型，可按照如下参考进行分类
   
2. 企业分级需要结合个人声誉影响、企业业务影响、企业声誉影响、国家安全影响、社会秩序影响、公共利益影响进行判断。
3. 数据领域识别的常见考虑因素，例如
   • 行业领域；
   • 业务条线、业务类目；
   • 生产经营活动；
   • 流程环节；
   • 内容主题；
   • 与国家安全、经济运行、社会秩序、公共利益相关的领域等
4. 数据群体识别的常见考虑因素，例如
   • 人群；
   • 团体、单位、组织；
   • 网络、信息系统、数据中心；
   • 资源、原材料、物资；
   • 元器件、设备；
   • 项目；
   • 基础设施；
   • 与国家安全、经济运行、社会秩序、公共利益相关的群体等。
5. 数据区域识别的常见考虑因素，例如
   • 行政区划；
   • 特定地区；
   • 地理环境；
   • 重要场所；
   • 网络空间；
   • 与国家安全、经济运行、社会秩序、公共利益相关的区域等。

（三）实施扫描

1. 扫描一般使用两种方式进行扫描：
   • 正则匹配：最常见扫描方式，通过写入正则表达式进行匹配数据特征实现识别
   • 机器学习：输入企业打标准则和范例，通过机器学习训练模型，实现自动匹配
2. 扫描流程：
   • 输入数据库连接信息（一般包括IP、端口、数据库类型、数据库账号、数据库密码）
   • 扫描识别出数据库名、表名、表注释、字段名、字段注释
   • 抽取数据样例
   • 对已获取的数据库名、表名、表注释、字段名、字段注释和数据样例进行正则匹配，从而实现分类分级

（四）审核结果

1. 对已经分类分级出来的结果进行人工审核，主要判断数据字段名和字段注释是否与分类情况对应。如果对应则表明规则正确，如果不对应则需要修改匹配规则
2. 如果企业初次实现数据分类分级，需要全盘人工审核扫描结果。如果企业已经对扫描规则进行充分优化后扫描，则只需要进行抽检，每个结果表中抽取一定比例分类分级结果进行审核，判断扫描准确度

（五）修改匹配

1. 在出现不匹配的情况下，需要对分类分级规则进行修改
2. 修改匹配规则应该遵循以下原则：
   • 逐步完善：修改规则可能并不能一次性完善好，可以通过不断修改完善来实现对规则的完善
   • 针对性修改：有针对性修改，并且将多个类别进行针对性修改，能够起到事半功倍的效果

（六）再次扫描

1. 修改完成规则后，需要进行再次扫描，以判断规则是否生效和规则是否正确匹配
2. 再次扫描时，需重点查看之前出错的位置，并不需要再次全盘审核
3. 再次审核时，如果没有发现其他问题，则可以将该扫描结果作为最终扫描，并进行版本管理

（七）结果利用

1. 分类分级并非是最终目的，分类分级主要考虑以下几个结果利用
   • 分类分级结果展示，展示该系统的数据库数据类型、敏感程度
   • 数据分级管控，对不同等级数据实现分层次管控，重点监控包含核心数据和重要数据的数据库，防止出现数据泄露
   • 实施分层权限管控，对不同数据敏感等级的数据实现不同的权限管控要求，要求核心数据和重要数据需要公司领导层审批
   • 实施数据技术管控，对不同数据敏感等级的数据实现不同的脱敏、加密等技术管控，对于核心数据和重要数据需要进行脱敏后共享，并且实现加密存储

四、注意事项

1. 即使企业花费很多人力物力去完善修改匹配规则，也不可能百分百准确，实际上也并不需要百分百准确
2. 应该注意数据分类分级过程中目的实现，在一开始进行分类分级方案时就应该考虑好分类分级的目的。并且不断在过程中向该目的靠拢，同时需要有的放矢，抓住主要目的进行实现分类分级能够为企业节省时间和金钱
3. 对于数据分类分类结果需要有版本管控，由于数据库中数据并非静态的，当出现系统迭代时需要对不同版本的扫描结果进行对比区分
4. 数据的存储加密会影响到数据分类分级扫描结果，如果能够在同一个平台中实现分类分级和加密脱敏，则是最优解决方案，不仅能够对比衡量出加密和脱敏的效果，也能够直接利用分类分级的结果进行加密和脱敏管控
5. 数据安全分类分级作为数据治理的一环，最好能够与数据治理共同进行。当已经规范好数据字段名的时候，对数据进行识别的过程就会变得非常轻松