网安标委发布最新标准：企业数据分类分级这样做

网安标委发布最新标准：企业数据分类分级这样做

引用

中国商务部网站

等

8

来源

1.

http://tradeinservices.mofcom.gov.cn/article/difang/zcfagui/202402/161328.html

2.

https://www.tc260.org.cn/front/postDetail.html?id=20240321201412

3.

https://gat.zj.gov.cn/art/2024/5/21/art_1229442538_59090895.html

4.

http://psc.zs.gov.cn/gkmlpt/content/2/2393/post_2393164.html

5.

https://www.cbdio.com/BigData/2024-03/22/content_6176986.htm

6.

https://c-csa.cn/mobile/about/news-detail/i-1133.html

7.

https://www.zhonglun.com/research/articles/52919.html

8.

https://yuandiansec.com/?list_18/543.html

2024年3月，全国信息安全标准化技术委员会正式发布GB/T 43697-2024《数据安全技术 数据分类分级规则》，这一国家标准将于2024年10月1日起正式实施。作为企业数据安全管理的重要依据，该标准为企业在信息安全方面提供了权威指导。

根据GB/T 43697-2024，数据分类分级应遵循以下基本原则：

1. 科学实用原则：分类分级方法应简单明了，易于理解和操作，同时满足数据安全管理的实际需求。

2. 边界清晰原则：各类各级数据的定义应明确，避免交叉重叠，确保数据分类分级的准确性。

3. 就高从严原则：当数据涉及多个安全级别时，应按照最高安全级别进行管理。

4. 点面结合原则：既要关注重要数据和核心数据，也要兼顾一般数据的安全管理。

5. 动态更新原则：数据分类分级应根据业务发展和安全形势的变化及时调整。

数据分类主要依据以下维度进行：

1. 行业领域分类：将数据分为工业数据、电信数据、金融数据、能源数据、交通运输数据、自然资源数据、卫生健康数据、教育数据、科学数据等。

2. 业务属性分类：根据业务领域、责任部门、描述对象、流程环节、数据主体、内容主题、数据用途、数据处理和数据来源等维度进一步细分。

例如，某制造企业的数据分类可能包括：

• 生产数据：涵盖生产计划、工艺参数、设备状态等
• 供应链数据：涉及供应商信息、采购订单、库存管理等
• 客户数据：包括客户信息、销售记录、售后服务等
• 财务数据：如成本核算、收入报表、税务信息等

数据分级主要考虑以下要素：

1. 领域覆盖度：数据涉及的行业领域范围
2. 群体覆盖度：数据涉及的用户群体规模
3. 区域覆盖度：数据涉及的地理区域范围
4. 数据精度：数据的详细程度和准确性
5. 数据规模：数据的数量级
6. 数据深度：数据的复杂性和关联性
7. 重要性：数据对业务运营和国家安全的影响程度

根据这些要素，数据被分为三个级别：

• 核心数据：对国家安全、国民经济命脉、重要民生、重大公共利益等具有重大影响的数据。
• 重要数据：特定领域、特定群体、特定区域或达到一定精度和规模的，一旦泄露可能危害国家安全、经济运行、社会稳定、公共健康和安全的数据。
• 一般数据：除核心数据和重要数据之外的其他数据。

数据分类分级工作主要包括以下步骤：

1. 行业领域数据分类分级流程：

   • 制定行业数据分类分级标准规范
   • 组织行业内企业开展数据分类分级
   • 审核汇总数据分类分级目录
   • 动态更新管理

2. 企业数据分类分级流程：

   • 全面盘点数据资产，形成数据清单
   • 制定企业内部数据分类分级规则
   • 实施数据分类和分级
   • 编制数据分类分级目录
   • 定期审查和更新

在实际操作中，企业可能会面临以下挑战：

1. 数据资产梳理不全面：需要借助数据发现和分类工具，如NLP、OCR等技术，确保数据盘点的完整性。

2. 分类分级标准不统一：应参照国家标准和行业规范，结合企业实际情况制定统一标准。

3. 动态更新机制缺失：需要建立持续监控和定期审查机制，及时调整数据分类分级结果。

数据分类分级的成果广泛应用于多个领域：

1. 合规监管：帮助企业满足《数据安全法》《个人信息保护法》等法律法规要求，完成重要数据目录报送和跨境数据评估。

2. 数据资产管理：清晰展示数据资产的类别、级别及分布情况，为数据价值开发和安全管理提供支持。

3. 数据安全保护：在数据处理活动中，分类分级成果可用于分域存储、敏感数据监测、审批流程差异化设置等环节，实现精准安全管控。

4. 风险评估与事件管理：作为数据安全风险评估和事件管理的基础，提升事前预警、事中响应和事后整改能力。

随着技术进步，数据分类分级将呈现以下趋势：

1. AI技术应用：生成式AI和多模态学习将为数据分类分级带来新的可能性，提高效率和准确性。

2. 实时性增强：面对动态变化的数据环境，实时分类分级技术将得到发展。

3. 跨行业标准统一：随着实践经验积累，各行业将逐步形成更加统一的分类分级标准。

数据分类分级是企业数据安全管理的基础性工作，也是法律法规的核心要求。通过科学合理的分类分级，企业能够更有效地管理和保护数据资产，降低数据泄露风险，保障业务稳定运行。随着数字化转型的深入，这一工作的重要性将日益凸显。