数据该如何进行安全分级.docxVIP

数据该如何进行安全分级

我们常说，数据分类分级的核心步骤为数据识别、数据分类、数据分级，但多数人忽略了一个重要的前提——分类分级标准，即数据分类分级的核心依据。

一个数据被识别出业务含义后，其类别只要按照既定的业务分类逻辑划分，基本上其分类结果是清晰无异议的。但一个数据接着进行分级时，其工作就相对较难了。

定级指的是根据数据的CIA遭受到破坏时，根据对影响对象、影响程度进行综合评判后进行数据等级划分，受数据复杂性影响，此类划分逻辑通常带有主观性，而在一个组织机构中，主观性代表着结果不可解释、难以执行、难以可持续，因此通常情况下，为了节省时间，我们都会偷个懒，直接依据所在的行业标准进行分级。

以金融行业为例，中国人民银行专门针对“数据安全定级”环节发布了一套定级指南：《金融数据安全数据安全分级指南JRT0197—2020》。在附录中，给出了各类数据的安全级别划分清单，这个表格清晰地标注了各类数据对应的数据级别，这也成为很多人直接摘抄的分级依据。

但仔细看，会发现事情并没有那么简单，这个定级表格只是“最低安全级别参考”，意味着什么？

指南在给出这张附录表之前，给出了解释：“实际应用过程中，各金融业机构宜根据其所管辖数据的类型、特性、规模以及机构特性等因素，综合考虑本机构数据安全管理的总体目标和安全策略要求，按照一定的颗粒度对数据资产进行合理的梳理、归类和细分，最终确定数据的安全