强化核心能力建设，浅探数据分类分级门径

数据分类分级必要性

当前，数据已成为第五大生产要素，是重要的基础性资源和战略性资源。数据技术及其应用正深刻而广泛的影响和改变着人类社会。有研究机构统计，2020年全球数据泄露的数量超过之前15年的总和，数据安全问题已成为各国关注的重点，多个国家纷纷将数据安全上升至国家安全高度。

数据分类分级是数据安全的基石，也是实施数据全生命周期保护的重要前提。作为数据安全的关键环节，数据分类分级既是组织内部管理体系制度的基础，又是技术工具体系落地实施的支撑。当前，组织内数据安全问题频发，在采集、传输、存储、使用、共享、销毁等过程中存在数据资源管理混乱、敏感/重要数据分布不明、数据分类分级耗时高等问题。

从合规要求看，《网络安全法》《数据安全法》《个人信息保护法》等多部法律条款对数据分类分级做了明确要求，其中，《数据安全法》第二十一条明确提出数据分类分级保护制度，“根据数据在经济社会发展中的重要程度”，以及“数据遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度”等方面，对数据实行分类分级保护。

在国家法律法规的指引下，各行业也相继出台数据分类分级相关的行业规范。数据的安全管理，摸清家底是关键。

从业务驱动看，数据呈爆炸式增长趋势，现实环境中不可能、也没必要对所有数据进行严格的数据安全保护，科学规范的数据分类分级能够有效平衡业务发展需求和数据安全要求的矛盾。

数据分类分级要点难点

Ø 数据资产识别与梳理

单位内部存在大量异构设备，存储方式有结构化数据、非结构化数据，如何做到对数据的有效识别与梳理成为数据分类分级的难点之一。

Ø 数据分类维度与划分粒度

跨行业、跨区域、跨领域、跨应用的数据存在标准不统一、类型不相同等特点，过去采用标准化产品应对多场景的思路难以适应新的数据分类需求，需要在紧密结合行业领域特点的基础上，综合考虑成本投入及效能产出，选择一个合适的维度，然后进一步划分子类，找到使用效率和安全管控的平衡点。过细的分类会给实际落地带来困难，过粗的分类又会使安全管控难以精确实施。

Ø 数据分级依据与划分粒度

当前法律标准中，通常将数据划分为3~5级，级别过多或过少都会影响使用效能和实用性，过多的级别会使得业务系统要实行不同级别的多种数据安全保护手段，过少又会出现对部分数据的过度保护或保护不足等现象。

Ø 数据分类分级持续优化

随着业务系统的推陈出新，新的数据不断产生，旧的数据价值在逐渐减弱，因此，数据分类是个长期性螺旋迭代的过程，安全风险要动态调整优化。

Ø 数据分级分类保护

数据的安全保护并非单一产品能够解决，需要建立体系化数据安全体系。数据分类分级不是最终目的，分类分级只是一个手段，需要将不同类别/级别的数据结果匹配到安全防护产品上，寻求技术适配、满足安全需求且经济效益最佳的整体解决方案。