來源：數(shù)據(jù)學(xué)堂

數(shù)據(jù)是信息的載體，數(shù)據(jù)不是死的，而是在不斷地流動，并產(chǎn)生了巨大的商業(yè)價值。對數(shù)據(jù)而言，開放才有意義，但開放的前提則是安全。由于不同類型的數(shù)據(jù)，其級別和價值均不同，不能等同視之，應(yīng)根據(jù)數(shù)據(jù)的重要性、價值指數(shù)，予以區(qū)別對待，因此數(shù)據(jù)安全法提出建立數(shù)據(jù)分類分級保護制度。

數(shù)據(jù)分類是為了規(guī)范化關(guān)聯(lián)，分級是安全防護的基礎(chǔ)，不同安全級別的數(shù)據(jù)在不同的活動場景下，安全防護的手段和措施也不同。比如關(guān)系國家安全、國民經(jīng)濟命脈、重要民生、重大公共利益等數(shù)據(jù)屬于國家核心數(shù)據(jù)，將實行更加嚴格的管理制度。

分類分級是數(shù)據(jù)全流程動態(tài)保護的基本前提，不僅是數(shù)據(jù)安全治理的第一步，也是當(dāng)前數(shù)據(jù)安全治理的痛點和難點。數(shù)據(jù)安全建設(shè)需要針對數(shù)據(jù)的收集、存儲、使用、加工、傳輸、公開等各個環(huán)節(jié)，進行數(shù)據(jù)安全風(fēng)險的監(jiān)測、評估和防護等，需要用到權(quán)限管控、數(shù)據(jù)脫敏、數(shù)據(jù)加密、審計溯源等多種技術(shù)手段。只有做好了數(shù)據(jù)分類分級工作，才能進行后續(xù)數(shù)據(jù)安全建設(shè)。

01 數(shù)據(jù)分類分級的痛點問題和挑戰(zhàn)

1、數(shù)據(jù)分類面臨的痛點問題和挑戰(zhàn)

1）如何選擇分類維度的問題

對于數(shù)據(jù)進行分類可以有很多維度，包括基于數(shù)據(jù)形式和數(shù)據(jù)內(nèi)容等。基于數(shù)據(jù)形式可以按照數(shù)據(jù)的存儲方式、數(shù)據(jù)更新頻率、數(shù)據(jù)所處地理位置、數(shù)據(jù)量等進行分類；數(shù)據(jù)內(nèi)容可以根據(jù)數(shù)據(jù)所涉及的主體、業(yè)務(wù)維度等多個維度進行分類。

不同維度各有價值，如何選擇一個維度對數(shù)據(jù)進行分類需要考慮數(shù)據(jù)分類的目的，但很多時候大家都希望通過一個分類維度實現(xiàn)多個目標，或者將兩個分類維度混合進行分類。分類維度的不清晰會導(dǎo)致后續(xù)基于分類的很多操作都存在問題。

2）單一分類維度下的類別劃分問題

例如，基于內(nèi)容進行分類的維度，面臨數(shù)據(jù)可能分類不全、類別不清晰的問題。主要原因是大范圍內(nèi)的內(nèi)容分類是一個很復(fù)雜的問題，甚至可能涉及知識分類的問題，這在目前還是一個較為難以解決的問題。類別劃分有問題會導(dǎo)致有些數(shù)據(jù)無法分到一個分類下，而有些數(shù)據(jù)又同屬于兩個分類。

2、數(shù)據(jù)分級面臨的痛點問題和挑戰(zhàn)

1）定性到定量的問題

針對信息資源的分級，需要根據(jù)信息內(nèi)容確定。目前尚無科學(xué)的方法和范式支撐構(gòu)建信息內(nèi)容的數(shù)學(xué)模型，因此很難準確定量地進行數(shù)據(jù)內(nèi)容描述。

舉個例子，我國目前已有一些針對政務(wù)信息資源的安全級別描述，如下表。其中有按損害影響程度進行的數(shù)據(jù)定級，但沒有關(guān)于影響程度定量的描述，所謂針對公民的損害，是造成財產(chǎn)損失還是身體傷害？造成什么量級的財產(chǎn)損失？這樣的描述難以在實際操作過程中給定級的人員準確的依據(jù)去判斷政務(wù)信息資源屬于哪一個級別。?

信息來源：《信息系統(tǒng)安全等級保護定級指南》、《中華人民共和國保守國家秘密法》

2）分級的級數(shù)問題

在政府部門進行政務(wù)信息資源分級時，需要找到一個合適的級數(shù)，使得在使用過程中達到效率和安全管控的平衡。過多的分級會給實際使用帶來困難，太少的分級又會使得管控難以準確地約束數(shù)據(jù)。

目前針對不涉密的政務(wù)信息資源主要分為非密和內(nèi)部兩級，但是在實際使用過程中這兩個級別并不能滿足對于數(shù)據(jù)處理的需求，并不是所有非密的數(shù)據(jù)都適合讓公眾知曉，也不是所有內(nèi)部數(shù)據(jù)都只能政府部門使用，因此將不涉密的的政務(wù)信息資源只簡單的分為兩級是不合適的。

3）分級的粒度問題

在進行分級的時候，分級的粒度是影響分級效果的主要因素之一。以什么樣的粒度進行分級才可以既達到分級防護的目的，同時不影響正常的業(yè)務(wù)仍是一個有待進一步研究明確的問題。

政府部門的信息資源涉及各行各業(yè)，數(shù)據(jù)存儲的格式眾多，有文件、表、行列、字段等不同的數(shù)據(jù)粒度。不同行業(yè)中影響信息資源級別的屬性要素也不一，例如地理信息資源地圖的比例尺和所包含的地圖元素是影響信息資源的級別的關(guān)鍵因素。

4）分級的有效落實問題

有些地方政府專門成立了大數(shù)據(jù)管理部門，來規(guī)范政府部門對信息資源的共享使用，也出臺了相關(guān)的數(shù)據(jù)共享條例、數(shù)據(jù)安全保障條例等，但是還缺乏完整的流程和環(huán)節(jié)來完成從數(shù)據(jù)梳理、數(shù)據(jù)分類分級到數(shù)據(jù)存儲保護、數(shù)據(jù)共享使用。

現(xiàn)有的數(shù)據(jù)使用模式，是以部門為單位，各自負責(zé)自己所擁有的數(shù)據(jù)，因此相應(yīng)的規(guī)章制度更多注重部門內(nèi)部，缺乏跨部門的數(shù)據(jù)使用規(guī)范。目前相對成熟的跨部門的具體數(shù)據(jù)規(guī)范主要是公安部門的人口庫信息，但是其他部門相對較弱。

5）數(shù)據(jù)的升降級方法問題

政務(wù)信息資源是動態(tài)變化的，因此數(shù)據(jù)會發(fā)生合并、摘抄等簡單操作，也會進行分析融合等復(fù)雜操作。這些操作會對已經(jīng)進行了分級的政務(wù)信息資源的級別產(chǎn)生變化。而由于政務(wù)信息資源眾多，不同部門對信息資源的使用方式、需求粒度都不統(tǒng)一，信息資源的級別發(fā)生變化時，人工重新判定的標準難以統(tǒng)一，也無法完全以自動化的方式進行。

02 數(shù)據(jù)分類概念解析

在數(shù)安法和條例（征求意見稿）里都沒有對分類和分級進行定義，在一些標準或指南里也是直接提出分類和分級的方式，但沒有對其進行定義。我梳理了一下有定義的一些標準，有：

標準	相關(guān)定義
ISO 15489-1:2016 信息和文檔-記錄管理-第1部分：概念和原則? ISO/DIS 4669 文檔管理-信息分類、標記和處理	classification:?依據(jù)邏輯結(jié)構(gòu)約定、方法和過程規(guī)則，系統(tǒng)化地對業(yè)務(wù)活動/記錄/信息資產(chǎn)進行識別和/或安排到類別中
國家標準《GB/T 38667-2020 信息技術(shù)-大數(shù)據(jù)-數(shù)據(jù)分類指南》	大數(shù)據(jù)分類big data classification: 根據(jù)大數(shù)據(jù)的屬性或特征,將其按一定的原則和方法進行區(qū)分和歸類,并建立起一定的分類體系和排列順序的過程
貴州地方標準《DB 52/T 1123-2016 政府?dāng)?shù)據(jù)-數(shù)據(jù)分類分級指南》	政府?dāng)?shù)據(jù)分類?government?data categorization:?根據(jù)政府?dāng)?shù)據(jù)的屬性或特征，將其按照一定的原則和方法進行區(qū)分和歸類，并建立起一定的分類體系和排列順序，以便更好的管理和使用政府?dāng)?shù)據(jù)的過程

綜合以上的定義或表述，可以將數(shù)據(jù)分類的定義歸納為：根據(jù)數(shù)據(jù)的屬性或特征，按照一定的原則和方法進行區(qū)分和歸類，并建立起一定的分類體系和排列順序，以便更好的管理和使用數(shù)據(jù)的過程。

因為數(shù)據(jù)天然具備不同的屬性和特征，也必然存在不同的管理主體，出于不同的管理目的、基于不同的數(shù)據(jù)屬性或特征對數(shù)據(jù)采用不同的分類方法。

例如：對于一個打工人的數(shù)據(jù)來說，有畢業(yè)學(xué)校及專業(yè)、工作部門、戶籍地址等等各種各樣的屬性，出于不同的管理目的，可以用不同的屬性來作為數(shù)據(jù)管理的主分類方式：

就學(xué)校來說：院系、專業(yè)、班級等可以作為學(xué)生管理數(shù)據(jù)的一個主分類方式；
就工作單位來說：工作部門的層級（一級部門、二級部門…）可以是員工管理的一個主分類方式；
就社區(qū)來說：居住省份、地市、區(qū)縣、社區(qū)、居委會可以是居住人員管理的一種主分類方式。

因此數(shù)據(jù)分類一定是以各種各樣的方式并存的，不存在唯一的分類方式，分類方法的采用因管理主體、管理目的、分類屬性或維度的不同而不同。

因此，我們在實踐中可以看到各種各樣的分類，例如：

從業(yè)務(wù)開展使用數(shù)據(jù)的視角，看到的是數(shù)據(jù)的業(yè)務(wù)特征，比如某企業(yè)內(nèi)有研發(fā)、制造、銷售、人力資源等部門，大量數(shù)據(jù)的產(chǎn)生天然就具備業(yè)務(wù)相關(guān)的特征，很自然的數(shù)據(jù)分類方式就是按業(yè)務(wù)分類：研發(fā)數(shù)據(jù)、制造數(shù)據(jù)、銷售數(shù)據(jù)等等。
從IT部門/數(shù)據(jù)管理部門視角，關(guān)注的不是業(yè)務(wù)分工，而是數(shù)據(jù)自身在IT系統(tǒng)里如何承載、管理、呈現(xiàn)，所以有IT/數(shù)據(jù)管理部門將數(shù)據(jù)分類為結(jié)構(gòu)化數(shù)據(jù)、非結(jié)構(gòu)化數(shù)據(jù)，主數(shù)據(jù)、交易數(shù)據(jù)、元數(shù)據(jù)等。
工信部《工業(yè)數(shù)據(jù)分類分級指南（試行）》里提到的分類方式是：”工業(yè)數(shù)據(jù)分類維度包括但不限于研發(fā)數(shù)據(jù)域（研發(fā)設(shè)計數(shù)據(jù)、開發(fā)測試數(shù)據(jù)等）、生產(chǎn)數(shù)據(jù)域（控制信息、工況狀態(tài)、工藝參數(shù)、系統(tǒng)日志等）、運維數(shù)據(jù)域（物流數(shù)據(jù)、產(chǎn)品售后服務(wù)數(shù)據(jù)等）、管理數(shù)據(jù)域（系統(tǒng)設(shè)備資產(chǎn)信息、客戶與產(chǎn)品信息、產(chǎn)品供應(yīng)鏈數(shù)據(jù)、業(yè)務(wù)統(tǒng)計數(shù)據(jù)等）、外部數(shù)據(jù)域（與其他主體共享的數(shù)據(jù)等）“

在組織內(nèi)，業(yè)務(wù)部門有業(yè)務(wù)部門的數(shù)據(jù)分類方法，作為安全管理部門來說，數(shù)據(jù)分類必然也是要服務(wù)于安全管理的目的，而最重要的安全管理目的就是能夠指導(dǎo)對數(shù)據(jù)進行分級，然后基于分級進行相應(yīng)的安全防護和管控。

03 數(shù)據(jù)分級概念解析

先看看分級是如何定義或表述的：

數(shù)據(jù)安全法

第二十一條　國家建立數(shù)據(jù)分類分級保護制度，根據(jù)數(shù)據(jù)在經(jīng)濟社會發(fā)展中的重要程度，以及一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，對國家安全、公共利益或者個人、組織合法權(quán)益造成的危害程度，對數(shù)據(jù)實行分類分級保護。

網(wǎng)絡(luò)數(shù)據(jù)安全管理條例（征求意見稿）

第五條國家建立數(shù)據(jù)分類分級保護制度。按照數(shù)據(jù)對國家安全、公共利益或者個人、組織合法權(quán)益的影響和重要程度，將數(shù)據(jù)分為一般數(shù)據(jù)、重要數(shù)據(jù)、核心數(shù)據(jù)，不同級別的數(shù)據(jù)采取不同的保護措施。

在國家標準《GB/T 25069-2010信息安全技術(shù)術(shù)語》中，沒有定義信息或數(shù)據(jù)分級，但有安全分級的定義，其內(nèi)涵實際上是包括了信息的分級：

安全分級（security classification）:根據(jù)業(yè)務(wù)信息和系統(tǒng)服務(wù)的重要性和受損影響，確定實施某種程度的保護，并對該保護程度給以命名。依據(jù)訪問數(shù)據(jù)或信息需求，而確定的保護程度，同時賦予相應(yīng)的保護等級。例：“絕密”、“機密”、“秘密”。

單從分級的定義和表述來看，非常明確，數(shù)據(jù)分級就是依據(jù)數(shù)據(jù)的重要程度和影響程度進行的，分級的結(jié)果就是區(qū)分出了不同等級，進而進行不同等級的保護。

但將分類分級放在一起談的時候，就引起了分類和分級之間關(guān)系的爭議和分歧。

04 數(shù)據(jù)分類與數(shù)據(jù)分級關(guān)系

看上面引用的關(guān)于分類分級的條文，不知是否注意到了一個細節(jié)，同樣是在講分類分級保護制度：

數(shù)據(jù)安全法里第21條的提法是分類分級
而到了網(wǎng)絡(luò)數(shù)據(jù)安全管理條例（征求意見稿）的第5條里，只提了分級而沒提分類

另外，在網(wǎng)絡(luò)安全法提到數(shù)據(jù)保護時，以及個人信息保護法里，都是沒有提分級，只提了分類。

網(wǎng)絡(luò)安全法第21條第四款：采取數(shù)據(jù)分類、重要數(shù)據(jù)備份和加密等措施
個人信息保護法等51條第二款：對個人信息實行分類管理

可以看到在法律法規(guī)、標準指南里有時提分類、有時提分級、有時分類分級并提，這正是對于分類和分級引起困惑和討論的地方。

從本文前面的分析得出的結(jié)論：分類是根據(jù)數(shù)據(jù)的屬性或特征進行的，也必然存在不同的管理主體，出于不同的管理目的、基于不同的數(shù)據(jù)屬性或特征對數(shù)據(jù)進行不同的分類方法。

再看一下數(shù)據(jù)安全法第21條和網(wǎng)絡(luò)數(shù)據(jù)安全條例（征求意見稿）第5條的表述，都提到了依據(jù)數(shù)據(jù)的重要程度和影響程度，重要程度和影響程度正是安全監(jiān)管部門（對于國家來說）和安全管理部門（對于組織來說）關(guān)注的，重要和影響程度是數(shù)據(jù)的眾多屬性之一，分級的目的是分等級保護和管控。因此，筆者認為可以得出結(jié)論：

1. 首先從分類分級的目的和概念上、跳出安全管理范疇站在更高的視角來說：

分類和分級并非簡單并列的關(guān)系，分類是外延更廣、應(yīng)用范圍更廣泛的概念，分類可以有多種依據(jù)。
分級是安全管理部門、為了安全保護和管控的目的，依據(jù)重要性和影響程度而進行的分類，這種分類結(jié)果有等級差異。
其它管理主體、為了其它管理目的、依據(jù)其它屬性和特征進行分類是一般意義上的分類，這種分類結(jié)果是沒有等級差異的。
換個表達方式說，依據(jù)數(shù)據(jù)的重要性和影響程度進行的分類就是分級，分級是多種分類方式中的一種。

基于上面的認識，當(dāng)我們默認是在安全保護語境內(nèi)談?wù)摂?shù)據(jù)安全問題時，分類分級實質(zhì)上是一回事，安全分類=分級。

這或許正是有時講分類、有時講分級、有時合并一起講分類分級，雖然沒有定義，但都知道在說什么的原因。

“分級是分類的一種方式”的看法，從DAMA （國際數(shù)據(jù)管理協(xié)會）的DMBOK (DAMA數(shù)據(jù)管理知識體系）里的表述可以得到印證。DMBOK沒有對數(shù)據(jù)分類進行定義，但在說明數(shù)據(jù)分類時表示：

任何管理系統(tǒng)都需要對被管理對象進行分類，數(shù)據(jù)可以依據(jù)數(shù)據(jù)類型（type of data，例如：事務(wù)數(shù)據(jù)、參考數(shù)據(jù)、主數(shù)據(jù)、元數(shù)據(jù)等）、或數(shù)據(jù)內(nèi)容（例如：數(shù)據(jù)主題領(lǐng)域）、或數(shù)據(jù)格式、或數(shù)據(jù)所需的保護級別，也可以依據(jù)如何以及哪里保存和訪問數(shù)據(jù)來分類。

從上面這段話可以看出，DMBOK認為分類可以有多種依據(jù)，其中之一就是數(shù)據(jù)所需的保護級別。DOMBOK說的依據(jù)數(shù)據(jù)所需的保護級別，與前面分析中提到的依據(jù)數(shù)據(jù)的重要性和影響程度實質(zhì)是一回事，如果實在要說區(qū)別，可以說依據(jù)重要性和影響程度可以得出所需保護級別。總之，這里的含義就是：依據(jù)數(shù)據(jù)所需保護級別進行分類就是分級，分級是多種分類方式中的一種。

既然說安全分類=分級，是否可以只談分類或分級？筆者認為這涉及到另一個視角的問題了。

2. 其次，在安全管理的視角、開展工作層面來說，不論是分類還是分級，目的都只是一個，區(qū)分出保護等級。

場景1：在安全管理視角下，只談分類或只談分級，這種場景下的分類默認是安全分類，談分類等于談分級

例如在個人信息保護法中，只提出了要對個人信息進行分類管理，雖然沒有明確說如何分類，但實際是分了兩類：一般個人信息、敏感個人信息。從對敏感個人信息的定義上可以看出，本質(zhì)上是依據(jù)對個人影響程度的等級差異，因此這個既是分類，也是分級，其結(jié)果也是需要進行分等級的保護和管控。

如處理敏感個人信息需要取得個人的單獨同意就是比一般個人信息要求更高的管控；在實踐中，對敏感個人信息通常也會采取比一般個人信息更高等級的安全保護措施，包括更嚴格的訪問控制、加密等。

場景2：在安全管理視角下，將分類和分級視為兩個不同的活動，那么這種場景下分類是過程或方法，分級是結(jié)果或目的。

例如在美國的國家安全保密信息總統(tǒng)行政令里，對于classification有兩個概念，一個是classification ?categories(分類目錄)，文件中給出了軍事、情報、科技等8個類別；另一個是classification level（分類級別/分級），就是絕密、機密、秘密3個等級。并且明確指出將政府信息列入classified必須滿足的條件之一就是落入8個指定目錄類別中的一個或多個。在這里，分類顯然是分級的一個條件或前置步驟。這8個分類目錄顯然并非是政府信息的目錄類別的全部。

比如，在受控非機密信息（CUI，Controlled Unclassified Information）中，信息的分類目錄就有20個大類（如能源、金融等）和125個子類。因此，我認為，從安全管理視角的分類目的是為了方便將業(yè)務(wù)數(shù)據(jù)進行分級的一個步驟或過程，其分類和業(yè)務(wù)的總體分類有很強的相關(guān)性，但不一定完全等同。

根據(jù)數(shù)據(jù)安全法的要求，各地區(qū)、各部門需要制定重要數(shù)據(jù)目錄，可以認為，這個目錄就是分類目錄。因為后來又出來個核心數(shù)據(jù)。那么對于組織來說，根據(jù)核心數(shù)據(jù)、重要數(shù)據(jù)目錄去識別具體的數(shù)據(jù)是核心數(shù)據(jù)、重要數(shù)據(jù)還是一般數(shù)據(jù)的過程就是定級過程。

通信行業(yè)行標《YD/T 3751-2020 車聯(lián)網(wǎng)信息服務(wù)-數(shù)據(jù)安全技術(shù)要求》中，是先將數(shù)據(jù)分類為基礎(chǔ)屬性類、車輛工況類、環(huán)境感知類等以及若干子類，然后每類數(shù)據(jù)中都再分了一般數(shù)據(jù)、重要數(shù)據(jù)、敏感數(shù)據(jù)三個等級（注，此重要數(shù)據(jù)非數(shù)安法里的重要數(shù)據(jù)）。

對于個人信息保護方面，通信行業(yè)行標《YD/T 2781-2014 電信和互聯(lián)網(wǎng)服務(wù)-用戶個人信息保護-定義及分類》中將用戶個人信息先分為用戶身份證明類信息、用戶數(shù)據(jù)和服務(wù)內(nèi)容信息、用戶服務(wù)相關(guān)信息等3大類6子類13細類，然后在《YD/T 2782-2014 電信和互聯(lián)網(wǎng)服務(wù)-用戶個人信息保護-分級指南》里對每個細類分配給5個不同的敏感等級，比如用戶身份證明細類中的身份證復(fù)印件分級為最高的敏感等級5級，用戶級別資料細類中的身份證號分級為到敏感等級4級。

05 總結(jié)

在當(dāng)前的研究和實踐中，一般可將數(shù)據(jù)分為涉密數(shù)據(jù)、重要數(shù)據(jù)和個人信息三大類。《數(shù)據(jù)安全法》著重提到了對重要數(shù)據(jù)的保護。“國家數(shù)據(jù)安全工作協(xié)調(diào)機制統(tǒng)籌協(xié)調(diào)有關(guān)部門制定重要數(shù)據(jù)目錄，加強對重要數(shù)據(jù)的保護。”

重要數(shù)據(jù)有特定的屬性。結(jié)合本法對“國家核心數(shù)據(jù)”的規(guī)范，以及《數(shù)據(jù)安全管理辦法（征求意見稿）》、《重要數(shù)據(jù)識別指南》等相關(guān)標準和制度工作中對“重要數(shù)據(jù)”的闡述，一般是指：關(guān)系國家安全、國民經(jīng)濟命脈、重要民生、重大公共利益等數(shù)據(jù)，一旦泄露可能直接影響國家安全、經(jīng)濟安全、社會穩(wěn)定、公共健康和安全，例如未公開的政府信息，大面積人口、基因健康、地理、礦產(chǎn)資源等。

免責(zé)聲明：
本公眾號所有分享的軟件和資料來自網(wǎng)絡(luò)收集和整理，所有文字和圖片版權(quán)歸屬于原作者所有，且僅代表作者個人觀點，與數(shù)據(jù)工匠俱樂部無關(guān)，文章僅供讀者學(xué)習(xí)交流使用，并請自行核實相關(guān)內(nèi)容，如文章內(nèi)容涉及侵權(quán)，請聯(lián)系后臺管理員刪除

(歡迎大家加入數(shù)據(jù)工匠知識星球獲取更多資訊。)

聯(lián)系我們

掃描二維碼關(guān)注我們

微信：SZH9543

郵箱：[email protected]

QQ：2286075659

6000字解析數(shù)據(jù)分類與分級概念