3.3 数据分级
数据的分级一般是依据数据重要性和敏感度高低来划分的。《中华人民共和国数据安全法》要求，根据数据一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，将数据从低到高分成一般数据、重要数据、核心数据共三个级别，这是从国家数据安全角度给出的数据分级基本框架。
企业比较常用的分级规则是将一般数据的敏感/重要程度从低到高分为公开（1级）、秘密（2级）、机密（3级）、绝密（4级）四个级别，如下示例：
工业和电信领域企业，如涉及国家核心数据和重要数据的分类分级可参考《工业和信息化领域数据安全管理办法（试行）》中第七条至第十条要求。
以金融行业数据分级为例，金融行业数据等级一般分为五级：
- 五级数据指对国家安全造成影响，或对公众权益造成严重影响数据。
- 四级数据指对公众权益造成一般影响，或对个人隐私或企业合法权益造成严重影响，但不影响国家安全数据。例如个人健康生理信息、个人身份鉴别信息等。
- 三级数据指对公众权益造成轻微影响，或对个人隐私或企业合法权益造成一般影响，但不影响国家安全数据。例如比较常见的个人信息，姓名、身份证，联系方式等。
- 二级数据指对个人隐私或企业合法权益造成轻微影响，但不影响国家安全、公众权益数据。
- 一级数据指对个人隐私或企业合法权益不造成影响，或仅造成微弱影响，但不影响国家安全、公众权益数据。
数据分类类别，包括但不限于研发数据、生产运行数据、管理数据、运维数据、业务服务数据、个人信息等。
数据分级级别，按照国家有关规定，根据数据遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益等造成的危害程度，将数据分为一般数据、重要数据和核心数据三级。
分级原则如下：
合法合规原则：分级应遵循有关法律法规及部门规定要求，优先对国家或行业有专门管理要求的数据进行识别和管理，满足相应的数据安全管理要求。
就高从严原则：数据分级时采用就高不就低的原则进行定级，例如数据集包含多个级别的数据项，按照数据项的最高级别对数据集进行定级。
动态调整原则：数据的级别可能因为多个低敏感的数据聚合提高数据级别，也可能因为脱敏或者过期等原因降低数据级别。
完成数据资产的识别与分类分级定义后，需要制定并发布企业的《数据安全分类分级标准》及配套的安全要求，以在企业内统一规则及实施流程。安全标准重点是需要针对不同安全级别的数据采取差异化的安全策略，对高敏（机密、绝密级）数据进行重点管理，而公开和秘密级别的安全措施要适度。特殊业务场景下，可以通过对高敏数据进行脱敏、加密以及采用隐私计算等措施来降低数据管级，提高数据的内部流转，实现数据价值。
3.4 分类分级在业务中的应用
分类分级标准制定只是企业数据分类分级安全管理工作的起点。真正要落实数据分类分级安全要求，需要建立配套的实施流程与工具。确保在不同的业务场景中能够识别并标识出数据的分类与分级，并实施对应的安全措施，例如：在权限申请和数据分享的场景，不同级别的数据采用分级安全控制策略与审批流程；在安全事件处理场景，不同级别的数据的事件定级及响应处理流程有差异等等。
图1 数据分类分级应用实践案例
如上图数据处理全流程涉及的数据安全管控技术示例如下：
1. 数据源验证、合规评估、个人信息采集告知同意
2. 数据源验证、访问控制、传输加密、个人敏感信息内容加密
3. 数据使用审计、权限控制、数据脱敏、安全计算
4. 联邦学习、访问控制、数据访问审计
5. 访问控制、数据脱敏、特权管理
6. 数据脱敏、外发安全审计、API管控
7. 服务端数据存储加密、数据库访问控制、安全审计、分类分级
8. 敏感数据识别、数据分类分级
9. API安全监测、访问控制、安全审计
10. 数据脱敏、安全审计
11. WEB数据展示/下载管控/审计/脱敏
12. 动态脱敏、特权管理、安全审计、运维审计
13. 安全评估、保密协议、数据脱敏、加密传输
14. 数据分类分级、文件加密、数据防泄漏、远程办公安全
4.敏感数据的分类分级识别与打标
敏感数据的分类分级识别，不同企业做法有所不同。规模比较小的企业通过人工盘点的方式也能将基本数据识别完整。但大企业的数据量级很大，而且总是随着业务的变化持续在变，敏感数据的分类分级识别如果仅使用人工盘点的方式，目标不易实现。建立一套自动化数据识别与打标的能力显得尤为重要。
