本期，安全419帶大家走進(jìn)深圳昂楷科技有限公司（以下簡稱“昂楷科技”），看看他們在數(shù)據(jù)分類分級上的思考見解和解決之道。

關(guān)于昂楷科技

昂楷科技專注于數(shù)據(jù)安全治理產(chǎn)品及解決方案專業(yè)研發(fā)，已為醫(yī)療、政府、公檢法司、電信運(yùn)營商、電力、石化、互聯(lián)網(wǎng)、先進(jìn)制造等多個(gè)行業(yè)的3000多家客戶提供服務(wù)。產(chǎn)品解決方案廣泛適用于大數(shù)據(jù)、云計(jì)算、云原生、人工智能、工業(yè)控制、物聯(lián)網(wǎng)、智慧應(yīng)用、IDC等應(yīng)用場景，形成了完整的結(jié)構(gòu)化SQL及NoSQL數(shù)據(jù)安全解決方案體系，涵蓋DACP、DAP、DSP等領(lǐng)域。

數(shù)據(jù)分類分級已成企業(yè)開展數(shù)據(jù)安全工作的必選項(xiàng)

昂楷科技市場總監(jiān)張東升告訴我們，數(shù)據(jù)資產(chǎn)作為一種無形資產(chǎn)，需要經(jīng)過系統(tǒng)化的識(shí)別與定義之后才能夠成為數(shù)據(jù)安全管控的對象，根據(jù)《GB/T 37988-2019 信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型》針對數(shù)據(jù)生命周期安全的定義，數(shù)據(jù)分類分級是數(shù)據(jù)采集安全過程域的第一個(gè)基本實(shí)踐，是數(shù)據(jù)生命周期安全管理的第一步，經(jīng)由數(shù)據(jù)分類分級確定了數(shù)據(jù)類別與級別的數(shù)據(jù)在其生命周期中的各個(gè)環(huán)節(jié)才具備落實(shí)安全控制措施的可能。因此，數(shù)據(jù)分類分級是數(shù)據(jù)安全建設(shè)的第一步。

同時(shí)，數(shù)據(jù)分類分級是平衡數(shù)據(jù)安全成本的依據(jù)。數(shù)據(jù)分類分級從隱私安全與保護(hù)成本的角度出發(fā)，對數(shù)據(jù)進(jìn)行分類和等級劃分，進(jìn)而根據(jù)不同需要對關(guān)鍵數(shù)據(jù)進(jìn)行重點(diǎn)防護(hù)。但是傳統(tǒng)的數(shù)據(jù)分級對于大數(shù)據(jù)時(shí)代來說過粗，現(xiàn)階段對于不同行業(yè)、不同企業(yè)做出定向的、有針對性和可實(shí)施性的分類分級標(biāo)準(zhǔn)尤為重要。

另外，監(jiān)管文件的密集頒布也指明了趨勢。《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》等相繼出臺(tái)，國家層面明確提出建立數(shù)據(jù)分類分級保護(hù)制度；金融、工業(yè)等行業(yè)監(jiān)管也早已制定相關(guān)配套標(biāo)準(zhǔn)規(guī)范；上海市、武漢市和浙江省等多地分別發(fā)布公共數(shù)據(jù)開放分級分類試行指南，為落實(shí)數(shù)據(jù)分類分級管理提供指導(dǎo)性參考。剛性的合規(guī)要求從本質(zhì)上講，也是為了提高安全防護(hù)的能力。

用自動(dòng)嗅探技術(shù)實(shí)現(xiàn)數(shù)據(jù)資產(chǎn)可視化

據(jù)張東升介紹，昂楷科技根據(jù)客戶的需要，一方面可提供適宜于各種網(wǎng)絡(luò)環(huán)境的數(shù)據(jù)分類分級產(chǎn)品；同時(shí)也提供數(shù)據(jù)分類分級服務(wù)，幫忙客戶進(jìn)行數(shù)據(jù)資產(chǎn)的梳理，定義分類分級標(biāo)準(zhǔn)與規(guī)范。

產(chǎn)品方面，建有數(shù)據(jù)安全分類分級系統(tǒng)，通過自動(dòng)嗅探等技術(shù)智能發(fā)現(xiàn)數(shù)據(jù)資產(chǎn)、有效實(shí)現(xiàn)數(shù)據(jù)訪問權(quán)限梳理、自動(dòng)識(shí)別敏感數(shù)據(jù)，結(jié)合內(nèi)置的行業(yè)和地方數(shù)據(jù)分類分級模型，快速輔助客戶完成數(shù)據(jù)分類分級、數(shù)據(jù)資產(chǎn)目錄建設(shè)，實(shí)現(xiàn)數(shù)據(jù)資產(chǎn)可視化。

作為一家在數(shù)據(jù)安全行業(yè)經(jīng)驗(yàn)比較深厚的廠商，昂楷科技的產(chǎn)品在數(shù)據(jù)庫適配、數(shù)據(jù)庫兼容與支持方面具備天然優(yōu)勢。目前其分類分級產(chǎn)品支持的數(shù)據(jù)庫類型已經(jīng)覆蓋了常用的關(guān)系型數(shù)據(jù)（Oracle、MySQL、SQL Server、DB2… …）、后關(guān)系型數(shù)據(jù)庫（Cache等）、常用的大數(shù)據(jù)平臺(tái)、各類國產(chǎn)數(shù)據(jù)庫等，也支持根據(jù)客戶的實(shí)際需要進(jìn)行科創(chuàng)適配。

同時(shí)，在分類分級產(chǎn)品的實(shí)施與落地過程中，系統(tǒng)可以與其他成熟的數(shù)據(jù)安全系列產(chǎn)品進(jìn)行聯(lián)防聯(lián)動(dòng)，包括數(shù)據(jù)庫審計(jì)、數(shù)據(jù)庫防火墻、數(shù)據(jù)庫脫敏、數(shù)據(jù)庫水印、數(shù)據(jù)加密等產(chǎn)品，綜合治理平臺(tái)、安全管理平臺(tái)、安全運(yùn)營平臺(tái)等數(shù)據(jù)安全平臺(tái)，作為各安全產(chǎn)品的支撐基礎(chǔ)，有效提升整體數(shù)據(jù)安全治理的產(chǎn)品和服務(wù)能力。

按需制定數(shù)據(jù)分類分級標(biāo)準(zhǔn)與規(guī)范

服務(wù)方面，在實(shí)際開始數(shù)據(jù)分類分級之前，先對目標(biāo)范圍內(nèi)所有數(shù)據(jù)表、數(shù)據(jù)項(xiàng)、數(shù)據(jù)文件執(zhí)行全面的梳理，形成數(shù)據(jù)資產(chǎn)表作為分類分級的輸入。

如果存在與客戶相匹配的地區(qū)、行業(yè)、企業(yè)標(biāo)準(zhǔn)，應(yīng)首先參考該標(biāo)準(zhǔn)，構(gòu)建數(shù)據(jù)分類分級的整體框架，而后將數(shù)據(jù)資產(chǎn)逐層帶入框架。在缺少框架指引、或框架無法完全滿足需求，需要自行補(bǔ)充類別時(shí)，則根據(jù)數(shù)據(jù)的屬性或管理歸屬，對數(shù)據(jù)資產(chǎn)歸類；同時(shí)，根據(jù)業(yè)務(wù)需求和安全能力，定義數(shù)據(jù)分級的級數(shù)，以及各級別的判斷依據(jù)。最終形成樹形的分類層次結(jié)構(gòu)，并為最低一級的數(shù)據(jù)子類逐一分配安全級別。

綜合業(yè)務(wù)需求和安全能力，對這一分類分級結(jié)果評估、調(diào)整，確保全面、合理且可行后，分類分級標(biāo)準(zhǔn)制定工作即完成。后續(xù)工作則包括將此分類分級標(biāo)準(zhǔn)套用到數(shù)據(jù)資產(chǎn)表上、建立數(shù)據(jù)分級保護(hù)制度、實(shí)施相應(yīng)的管控措施等。

分類方法

昂楷協(xié)助用戶進(jìn)行數(shù)據(jù)分類的制定，可以依據(jù)數(shù)據(jù)的管理歸屬、屬性分類、主題分類等維度進(jìn)行數(shù)據(jù)資源歸類，形成分類分級標(biāo)準(zhǔn)，或者在現(xiàn)有行業(yè)分類標(biāo)準(zhǔn)的基礎(chǔ)上，輔助客戶進(jìn)行分類標(biāo)準(zhǔn)的調(diào)整與確認(rèn)。

分級方法

為數(shù)據(jù)定級時(shí)，主要考慮數(shù)據(jù)的安全屬性（保密性、完整性、可用性）遭到破壞后產(chǎn)生的影響，又分為影響對象、影響范圍、影響程度三個(gè)因素。影響對象如行業(yè)、機(jī)構(gòu)、用戶；影響范圍如單個(gè)機(jī)構(gòu)、多個(gè)機(jī)構(gòu)、多個(gè)行業(yè)；影響程度如嚴(yán)重、中等、輕微、無。

綜合以上因素，形成數(shù)據(jù)級別表，供各類數(shù)據(jù)定級時(shí)參照。

除此之外，在管控中還可以根據(jù)數(shù)據(jù)體量、數(shù)據(jù)時(shí)效性等因素結(jié)合實(shí)際場景做升降級處理。也可以按照各個(gè)定級維度和使用場合，制作更加詳細(xì)的定級表。

資產(chǎn)的自動(dòng)識(shí)別與分類分級掃描

分類分級標(biāo)準(zhǔn)制定完成后，昂楷科技的分類分級產(chǎn)品能夠?qū)蛻舻臄?shù)據(jù)資產(chǎn)進(jìn)行自動(dòng)掃描與識(shí)別，形成分類分級結(jié)果清單。系統(tǒng)提供對外的接口服務(wù)，為外部系統(tǒng)或安全產(chǎn)品提供分類分級清單與支持。

數(shù)據(jù)安全治理是市場未來的發(fā)力點(diǎn)

隨著近年來信息技術(shù)進(jìn)步與各行業(yè)應(yīng)用程度進(jìn)一步加深，各行業(yè)都沉淀了大量數(shù)據(jù)。一方面，需要有效甄別合理化的數(shù)據(jù)使用需求，明確關(guān)鍵環(huán)節(jié)的技術(shù)標(biāo)準(zhǔn)，確定使用新型技術(shù)的范圍；另一方面需要結(jié)合行業(yè)發(fā)展變化，有效識(shí)別新增風(fēng)險(xiǎn)隱患，持續(xù)加強(qiáng)數(shù)據(jù)安全管理，建立健全數(shù)據(jù)管理制度，采取必要的數(shù)據(jù)安全防護(hù)措施，切實(shí)維護(hù)市場安全運(yùn)行，切實(shí)維護(hù)消費(fèi)者合法權(quán)益。

各行業(yè)數(shù)據(jù)種類繁多，數(shù)據(jù)呈現(xiàn)出復(fù)雜性高，多樣性強(qiáng)的特點(diǎn)。采用規(guī)范的數(shù)據(jù)分類、分級方法，有助于行業(yè)機(jī)構(gòu)厘清數(shù)據(jù)資產(chǎn)、確定數(shù)據(jù)重要性或敏感度，并針對性地采取適當(dāng)、合理的管理措施和安全防護(hù)措施，形成一套科學(xué)、規(guī)范的數(shù)據(jù)資產(chǎn)管理與保護(hù)機(jī)制，從而在保證數(shù)據(jù)安全的基礎(chǔ)上促進(jìn)數(shù)據(jù)開放共享。

數(shù)據(jù)分類分級是整個(gè)數(shù)據(jù)安全治理的基礎(chǔ)和底座。張東升表示，本質(zhì)上由于很多行業(yè)客戶人力資源和專業(yè)能力限制，同時(shí)數(shù)據(jù)分類分級又是一項(xiàng)長期周期性的工作，需要隨著業(yè)務(wù)和數(shù)據(jù)變化定期開展分類分級工作，形成周期性的分類分級清單，供數(shù)據(jù)精細(xì)化保護(hù)使用。

如今，客戶逐步更傾向選擇數(shù)據(jù)安全治理服務(wù)，進(jìn)行覆蓋數(shù)據(jù)生命周期的整體建設(shè)和管理。昂楷科技經(jīng)過13年數(shù)據(jù)安全領(lǐng)域的沉淀，具備較充分的數(shù)據(jù)安全產(chǎn)品和數(shù)據(jù)安全治理方法論儲(chǔ)備，其在2022年發(fā)布了數(shù)據(jù)安全治理服務(wù)的發(fā)展戰(zhàn)略，從數(shù)據(jù)安全頂層設(shè)計(jì)、數(shù)據(jù)分類分級服務(wù)、數(shù)據(jù)安全運(yùn)營等維度提供一站保姆式的安全服務(wù)，從流程、制度、人員、技術(shù)四個(gè)維度提供精準(zhǔn)化服務(wù)。