数据安全：“分类分级” or “分级分类” ？

或许很少人去思考过这样一个问题在数据安全中为什么分类在分级前面这二者有何区别又有何联系先说判断分类是为分级服务的它的终点是完成数据识别。GB/T 43697-2024《数据安全技术 数据分类分级规则》这份行业标准在24年发布金融行业的各主管部门需要照着它制定本行业的规范数据处理者需要照着它建自己的清单一段时间下来多数单位的动作已经从要不要做变成了怎么把这轮做完做好。金融行业在进行分类分级工作时有一个常见的场景分类分级工具装进业务库、扫出上千张表和几十万甚至上百万字段可清单到手之后反而更不知道下一步往哪走注释残缺字段名是一串英文缩写一张表里什么都有找不出切第一刀的位置。卡住分类分级工作的往往是规则本身还不够清楚。一是规则覆盖不到现有的分类分级规则是按业务条线、按数据大类写出来的落到具体业务系统里那些字段名各异、口径混杂的表上常常找不到能直接套用的条目。二是规则定得不够细以往的标准规范偏粗一个类目下面吊着几十上百个字段边界画在哪里没有明说遇到跨类别的字段就只能靠个人理解去猜。模棱两可的地方一多不同的人对同一张表同一个字段就会给出不同的分类分级结果返工也就从这里开始。要找到下手的位置得先回答一个看起来很小的问题这份标准为什么叫分类分级不叫分级分类顺序不是随手写的它对应着两件事的因果关系。️一、为什么把分类放在分级前面数据分类动的是业务条线、关键业务、业务属性三层一路往下切数据分级要识别的是重要性和影响程度这些要素。两套语汇看起来各说各话实际上是相关联的两者之间存在输入转换输出的逻辑关系。分类给出的是输入这份数据服务哪个业务领域、落在哪个流程环节、描述的是什么内容经过中间一步转换输出的就是分级要识别的那几类要素。中间这一步转换它指的是把分类时已经梳理清楚的业务属性换一个安全的视角重新看一遍。 业务属性回答的是这份数据在业务里是干什么用的转换要回答的是从保密性、完整性、可用性以及一旦泄露、篡改、损毁会波及谁的角度看这些属性意味着多大的风险。比如分类里交易基本信息这一项说的是这批数据描述的是交易换到安全视角就变成涉及的是特定场景中的哪一类交易数据、这类数据一旦被泄露会造成什么后果。换个视角看同一批属性出来的就是分级要素。举个例子如分类里的描述对象和数据主体正是分级要素里群体这一项的输入分级要素里的领域也要靠分类中的业务领域、流程环节、内容主题这些业务属性才识别得出来。输入给得越准输出才判得越稳。输入安全视角转换输出描述对象群体数据主体重要性业务领域领域中间的转换是按安全因素把业务属性重新看一遍。反过来说分类切得越粗分级就越没有依据。把一整个业务系统的数据笼统归成业务数据一个大类到分级那一步只能凭感觉判判完也没有可复核的理由。这也是为什么国标要花力气去定义那些看起来有点琐碎的业务属性它们是分级脚底下那块地。二、两笔账分开算有没有行业标准路径不一样动手之前要先看清一件事本行业有没有主管部门认可的数据分类分级标准规范。有就照着本行业的规则细化执行国标在这里是方法参考没有或者本行业规范覆盖不到某些数据类型才按国标执行。业务横跨多个行业领域的单位可以分别按各自行业的标准规范细化。这两条线是两笔账产出的东西不一样。行业主管监管部门那一侧负责制定本行业的分类分级标准规范、明确本行业重要数据的识别细则、提出哪些数据建议确定为核心数据并组织本行业的数据处理者开展分类分级、指导他们报送目录。数据处理者这一侧最终要拿出来的是分类分级清单以及重要数据和核心数据的目录。有没有行业标准是两条路径有行业标准规范细化执行没有行业标准规范或覆盖不到按国标执行业务领域横跨多个行业时可分别按各自的行业规范细化执行。没有行业标准不等于不能开工只是分类的自主权落到了自己手上规则得自己拟细则得自己写。这对有能力沉淀标准的单位是好事对没有经验的单位则意味着一轮更长的试错。路径看清了接下来就是动手。而无论走哪条路径第一件要做的事都一样把数据资产的家底盘清楚。规则再清楚也要先知道自己手上到底有哪些表、哪些字段才谈得上往里套。下一步就从这个最费人力、也最容易做浅的环节说起三、资产梳理工具扫得出字段扫不出业务含义资产梳理是国标流程里最费人力的一步。把分类分级工具部署到业务环境里扫描库表资产拿到的是表名、表注释、字段名、字段注释这些是坐标不是答案。字段的业务含义要靠另外几路取证去补。这里讲的主要是结构化数据的分类分级也就是业务和信息系统里的那些库表。一个字段一格值能扫、能数、能按行按列去切这也是多数单位第一轮要啃下来的部分做完它家底的大头就清楚了。非结构化数据文档、影像、音视频、日志等的分类分级是另一套做法难点在怎么切内容单元、怎么从非结构内容里识别出敏感项先说困境。扫出来的初步清单注释往往残缺得厉害一份三十个字段的表注释有时能写全一半已经算不错。这时候没人说得清某个字段到底存的是谁的数据、用来做什么分类分级也就无从下手。补信息有几条路通常要一起走①查阅业务和信息系统的相关文档包括建设方案、用户手册、技术方案、汇报材料以及数据字典、元数据字典、数据标准、数据库设计文档这类解释表结构的材料②带着文档里没讲清的问题有针对性地找业务人员做访谈③请业务人员做系统演示看业务流程和功能怎么走④借一个演示账号自己登录进去看不同角色分别能做什么操作、数据在环节之间怎么流。四路走完对这套系统的理解才算够用。近两年多了一条路用AI结合表名、字段名和数据内容来推断字段的业务含义补注释的效率确实高。但它在一类场景会失效字段里存的不是真实内容而是一串代码。以卫生健康行业为例身份证件类型这样的字段库里存的可能是 01、02 这样的编号编号与含义的对应关系写在另一张字典表里找不到那张字典表AI识别到的数据内容就只是一串数字推断出来的注释不可信。还有一类场景更棘手表名和字段名本身命名得极不规范而字段里存的又不是真实内容。两边同时不成立的时候AI 能抓的线索全都断了。前一种情况里字段名虽然看不出业务含义至少还留了 tbl_patient_info 这样的英文全拼能猜个七八分后一种情况里至少还有值域特征可以反推比如一个字段里全是 18 位数字、校验位还对得上那大概率是身份证号。可要是表叫 T_001、字段叫 C_003值又是一堆 0/1 和编码那么表名给不出语义、字段名给不出语义、值域也给不出语义三条线索同时归零。这种表往往还不是少数老系统、外购系统、多轮外包迭代过的系统里成片出现。这时候没有捷径只能回到人工。一是实地调研到业务现场看这套流程实际怎么跑、这些数据由谁在什么环节产生和录入、哪些字段是必填、哪些字段实际几乎不用。二是访谈找最熟悉这张表的岗位聊把每个字段的业务含义、取值口径、与其他系统的对应关系逐个问清楚边问边在清单上标注问完一轮再回填一版看不清的继续追。这一轮花的时间比用工具扫一遍多得多但它是唯一能把这类表讲明白的办法。工具负责把面铺开人工负责把最难的少数表啃下来两者缺一不可。梳理的时候还要把数据的几组属性一并问清楚描述对象是哪一类数据主体属于谁用途是什么经过哪些处理环节存放在哪里业务功能对应哪条流程。这几组属性问全了后面制定内部规则才有素材。四、分类怎么切先切业务条线再切关键业务最后切业务属性再说一个容易被跳过的判断分类的第一刀不落在技术上。国标给的顺序是先按行业领域分、再按业务属性细化。一个单位如果同时经营医疗和教育两块业务业务条线至少能切出两条每条业务线再按业务范围、运营模式、业务流程细化出关键业务到了关键业务这一层才轮到选业务属性。选属性这一步很讲究。可选的业务属性有九个方向业务领域、责任部门、描述对象、流程环节、数据主体、内容主题、数据用途、数据处理、数据来源。选哪一个取决于你的数据管理和使用需求不需要全用但也不能随手挑。想按部门落实责任就选责任部门想按数据流向管就选流程环节想按加工形态管就选数据处理。落到实际操作里还有一个常见做法值得说一句当一个单位的业务范围比较广、条线拉得比较开时一级分类往往从业务领域责任部门这一对组合开始切。这么做的好处是每一步都有人对得上业务领域让清单能反映业务全貌责任部门让每一类数据当场就有归属后面推分类分级、做数据治理责任落地不需要再重新找人。对业务单一的小单位这一层可以省掉直接从业务对象切但业务横跨几块、部门之间数据又有交叉的单位先把这一层立住后面很多争执会少很多。切完之后把结果整理成规则有两种做法一种是把三级串成一条可读的标识让人一眼看出数据的来路另一种是把主题相似的数据子类归并到一起减少类别数量。两种做法不冲突规模大的单位常常先用前一种理清来路再用后一种收敛类别。五、分类的最后一层要同时带上业务属性和安全属性这里有个坑很多第一轮做分类的团队都踩过只按业务切下去会漏掉相当一部分敏感项。从业务角度分完最终还是要落到具体的表上而一张表通常不止一类数据。同一张表里可能既有用户数据又有业务数据还有系统运维数据上报时间、数据更新时间这类字段就属于运维痕迹。按描述对象继续往下切往往需要把一张表拆开字段分别归属。举个常见的例子一张三十来个字段的业务表里面通常有一批是填报人、联系方式这类用户信息一批是业务单据本身的业务数据剩下的属于上报时间、创建人、状态位这类运维痕迹三类数据混在一张表里。到这一步表就不再是分类的最小单位了。接着上面用户数据这一支还能继续往下分个人用户与组织用户两类。个人用户这一边再分个人基本信息与敏感个人信息(两类的数据级别不一样)组织用户那一边对应的是组织基本信息与商业秘密信息一类(两类的数据级别不一样)。所以数据分类的最后一个层级往往是业务属性和安全属性同时作用的结果走到最末一级数据子类级别的高低其实已经“写”在类别的名字里了。如下六、分级怎么定四步走、八类要素、六个影响对象分级这一步有固定的动作顺序跳步就定不准。国标给的是四步确定分级对象识别分级要素做数据影响分析综合确定级别。这四步的次序不能调换因为后一步的输入正是前一步的输出。第一步要先把对象定清楚。数据项、数据集、衍生数据、跨行业领域数据这四类要分别考虑。数据项通常表现为表里的某一列字段数据集是多个数据记录组成的集合一张表或一批记录都算跨行业领域数据指从一个行业领域流转到另一个行业领域的数据以及两个以上行业领域的数据融合加工产生的数据。第二步识别八类分级要素它们分三组。领域、群体、区域、重要性属于定性描述精度、规模、覆盖度属于定量描述还有一类只服务于衍生数据深度它刻画的是一份数据经过统计、关联、挖掘或融合之后对描述对象隐含信息与多维度细节的刻画程度比如能不能还原出经济运行情况、行踪轨迹、对象关系、产业供应链。定性要素靠判断定量要素靠数数深度要看加工到了哪一层。关于定性与定量的分级要素后续也会单独展开一篇描述这八类要素在国标里是名称和定义落到具体数据上怎么理解看几个示例最直观。下表用卫生健康行业的几类数据做对照左边是要素右边是判断这个要素时要看的东西。把这张表横过来读能看出一个规律定性要素回答这份数据是什么、涉及谁、在哪儿、有多重要定量要素回答这份数据有多准、有多大、覆盖多广深度则只对加工过的数据生效。判断顺序上一般先看定性再看定量定性定的是这份数据值不值得关注定量定的才是最终级别能到哪一档。规模这一项尤其容易被忽略同一类数据覆盖几百人还是覆盖几千万人级别可能差出好几档这也是后面讲动态更新时反复出现的那条线索。注一般在行业领域的数据分类分级标准规范中会有定义。如卫生健康、教育等各行业会对重要数据和核心数据的数据规模作出明确说明。第三步影响分析看两个东西。影响对象六个各个行业一般都是通的国家安全、经济运行、社会秩序、公共利益、组织权益、个人权益。影响程度各行业的命名可能并统一国标分特别严重危害、严重危害、一般危害三档部分行业标准可能命为轻微危害。碰到对影响程度名称不同的情形要判断它实际落在国标三档里的哪一档做一次映射影响对象与影响程度对应的参考说明不能各说各话。判断的基准也有讲究。影响对象落到国家安全、经济运行、社会秩序或公共利益时以国家、社会或行业领域的整体利益为基准只落到组织权益或个人权益时才以组织或公民个人的权益为基准。这里还有一处需要留神当影响对象是大规模的组织权益或个人权益时要同时研判它会不会进一步波及国家安全、经济运行、社会秩序或公共利益量变会引起质变。最后一步按级别确定规则落定。国家安全、经济运行、社会秩序、公共利益这四个对象造成的危害越高级别越高组织权益与个人权益无论危害多重不考虑规模影响一般对应的是一般数据。多个要素、多个影响对象或影响程度同时成立时按就高从严取最高的那一档。⚠️七、重要数据不是重要的数据有个高频误读值得单独说重要数据不是形容词是类别名。它指的是特定领域、特定群体、特定区域或达到一定精度和规模的数据一旦被泄露或篡改、损毁可能直接危害国家安全、经济运行、社会稳定、公共健康和安全。判定的关键落在直接两个字上看的也是危害有没有外溢到公共利益以上。仅影响组织自身或公民个体的数据一般不作为重要数据。这句话常被读反一份数据对一家企业再要紧只要它的危害不外溢就不会因为对企业很重要而升级。反过来说一份看起来零散的数据如果它关系到特定区域或特定群体的公共利益反而可能落在重要数据的范围内。这里可以说是整篇最需要掰开的一处经常有企业把对企业自身很重要的数据直接理解成重要数据然后照着重要数据的口径去管。客户名单、核心配方、成本底价、未公开的经营数据这些对一家企业确实要紧丢掉任何一份都可能伤筋动骨但它们影响的是企业自己的权益不外溢到公共利益在分级里对应的是组织权益这一侧落在一般数据的范围里。此重要非彼重要一个是企业内部的轻重排序一个是标准里的类别名称两者讨论的根本不是同一件事。分不清的后果是双重的把自家重要数据抬成重要数据会凭空多出一大堆本该按更高要求做的动作报告也报不到点子上反过来真正够得上重要数据的那几类反而可能因为名单里挤满了自家数据而被稀释掉。一句话记住重要数据看的是外溢不看单位自身的珍惜程度。核心数据的口径更窄。它指向对领域、群体、区域有较高覆盖度或者达到较高精度、较大规模、一定深度的数据一旦被非法使用或共享可能直接影响政治安全。两个级别的门槛差在危害的对象上不在数据的体量上。三个级别的门槛与常见误区核心数据直接影响政治安全重要数据直接危害公共利益一般数据核心、重要之外的其他数据仅影响组织自身或公民个体的数据一般不作为重要数据但规模上去会升级:覆盖到几百万、上千万人时影响面外溢到公共利益可能升级为重要数据对企业再要紧也不等于重要数据上图里仅影响组织自身或公民个体这一格还有一处需要补充说明它的一般不作为重要数据是有条件的规模上去之后是可能升级的。一份只涉及个人的数据单看影响对象确实落在个人权益这一侧但当它的覆盖面扩大到一定规模量变就会引起质变几百万、上千万人的信息汇聚到一起一旦泄露影响的就是特定区域、特定群体的公共利益甚至触及社会秩序这时候它就不再是仅影响个人的数据了。前面反复提到的规模这一项分级要素起作用的地方正在这里。所以判断一份数据是不是重要数据不能只问它涉及谁还要同时问它涉及多大规模。八、落到一般数据级别怎么细分最低参考级别怎么用中间一层定完之后工作量最大的是底部。一般数据涵盖面最广不细分就落不了具体的保护措施。国标给了三套细分框架分 2 级、分 3 级、分 4 级各行业可以不一样实践中以细分 3 级和 4 级居多。细分之后马上会遇到一个具体问题某类数据该从哪一级起步国标给出的是最低参考级别可以直接当清单的初始值用。在 4 级框架下敏感个人信息不低于 4 级一般个人信息不低于 2 级组织内部员工个人信息、去标识化的个人信息、个人标签信息都不低于 2 级公共数据这一侧有条件开放或共享的不低于 2 级禁止开放或共享的不低于 4 级。换成 3 级框架敏感个人信息不低于 3 级一般个人信息不低于 2 级有条件开放或共享的公共数据不低于 2 级禁止开放或共享的不低于 3 级。最低两个字要读准它是下限不是建议值。实际定级可以更高不能更低。这一条在评审里最容易被问到把敏感个人信息定在 2 级无论理由写得多充分都会被直接退回。九、衍生数据与动态更新级别会降也会升最后一个容易被想当然的地方加工过的数据不等于更安全的数据。按加工程度数据分原始数据、脱敏数据、标签数据、统计数据、融合数据五类后四类都属于衍生数据。衍生数据的级别要参照原始数据级别再结合加工后的深度等要素重新判断方向并不唯一。脱敏数据的级别可以比原始数据低这符合直觉标签数据和统计数据的级别则可能降也可能升。一个反直觉的例子是反映国民经济运行总体情况、反映行业领域产业发展态势、影响国家宏观调控能力的未公开统计数据级别要设得比原始数据更高。原因不难理解原本分散在各处的明细数据不敏感汇总之后反而成了能够影响宏观判断的信息。融合数据同样如此把大量多维数据关联、挖掘、汇聚之后如果出现了更敏感、更深层的内容级别要升高如果结果降低了标识化程度级别可以降低。——融合数据一般有特定的应用场景判断它的数据级别高低首先要发问“这融合数据是做什么用的基于融合数据的应用场景分析其影响程度”即从融合数据用途业务属性之一也是数据分级要素的“重要性”去分析。级别定完不等于一劳永逸。数据的业务属性、重要程度和可能造成的危害程度一变级别就要跟着动。触发动态更新的情形有八类每一类的触发逻辑和处置动作都不太一样下面逐类说清楚。一是数据规模变化让原级别不再合适。比如某地市的医保参保人信息原先只覆盖本地几万人定在一般数据随着区域统筹推进数据汇聚到省级、覆盖几千万人量级上去了一旦泄露的影响面就从局部扩大到区域公共利益级别要重新研判。处置上不只是把某张表的级别调高还要同步更新它所在的类别、目录条目和访问控制策略。二是内容没变但时效性、规模、应用场景或加工方式明显变化。典型的是统计数据从内部参考转为对外发布字段一个字没改但用途变了、可访问范围变了敏感程度随之变化。反过来一份三年前还有敏感性的经营数据在业务终止、时效过去之后危害程度也会下降。这一类最容易被漏掉因为数据本身看起来没动。三是多个原始数据直接合并。比如把分散在几个部门的企业注册信息、纳税信息、社保缴纳信息不加加工地拼到一张宽表里单个部门的数据都只影响组织权益合并之后就能完整刻画一家企业的经营状况可能触及经济运行级别要按合并后的整体重新判。四是从不同数据里各取一部分合并成新数据。这跟上一类合并的区别在于取了子集把用户表里的身份标识和订单表里的消费记录抽出来拼成一份新清单字段都来自原有数据但组合之后形成的是一个人完整的消费画像敏感度高于任何一份来源数据。五是不同数据类型汇聚融合形成新的类别。这类数据在分类上就已经是新东西了可能落进一个新的数据类别而不只是级别变化。地理轨迹叠加通信记录形成的关系网络、消费数据叠加健康数据形成的个人画像都属于这一类。分类变了级别自然要跟着重新定。六是做了脱敏、删除关键字段或去标识化。这一条方向通常是往下降的把身份号做了掩码、把姓名和联系方式整列删掉之后直接识别到个人的能力下降级别可以相应降低。但要留神去标识化的强度如果保留的字段组合仍然能复原到个人就不能按降级处理。七是发生数据安全事件导致敏感性变化。数据遭到泄露、篡改之后即使内容没变它的风险状态已经变了。比如一份内部通讯录被泄露短期内它会成为被精准利用的目标处置期间级别应当从紧同时在事件复盘后也要反过来检查原定级是不是本身偏低。八是主管部门有新要求。行业主管部门发布新的识别细则、新增或调整重要数据目录口径或者在监管通报中明确某类数据要提级管理都要照办。这一类的特点是外部驱动不取决于本单位的判断接收后要建立一条从监管要求到清单更新的响应链路。这八类情形出现时要更新的是规则、清单、目录和标识而不只是某一条记录。只改单条记录会留下口径不一致的隐患同一个类别的数据在不同表里挂着两个级别下次评审就会对不上账。回到开头那个场面一张表之所以难切一半是因为规则本身还不够细、不够贴业务另一半是因为我们把所有数据当成了一类东西。这两件事要一起解往上看把本行业的识别细则结合自身数据特点越出越细往下做先把自己那套内部规则写具体把模棱两可的地方一条条钉死。分类分级的价值正在于把它拆成能分别对待的几摞分对类是给分级找到依据定准级是给保护找到标准。规则清楚了那张清单就不再是一堵墙。