如何从数据分类分级出发，精准管控持续保障数据安全运营

区别于传统以安全技术能力建设为主要目标的数据安全平台方案，安华金和数据安全运营平台（DSOP）将数据安全的管理体系以及数据安全的运营体系提升至与安全技术能力建设同等重要的高度。对于一个综合性的数据安全平台，参与到相关数据安全建设中的角色也必然是多样的；除传统意义上利用技术工具来执行操作的数据使用人员之外，数据安全的管理方和运营监督方也要具备相应的手段来完成自身角色所承担的任务，使得“管理、技术、运营”三个体系相辅相成，共同将整体解决方案落地。

场景分析

从《数据安全法》的实施逻辑看，“数据分类分级保护”是原则，也是先决条件。首先，建设相关制度并形成数据分类分级清单，为数据安全防护明确管控基调；其次，建立健全基于数据全生命周期的数据安全管理制度及流程，并依据管理要求形成可落地的技术防护策略及防御手段，实现对数据的分类分级管控；最终，在完成健全分类分级、制度流程和技术防护工作之后，再针对残余数据风险及可能触发的数据安全事件，采取必要的相关监测、应急、处置防护方法，以避免数据安全风险事件的发生。

安华金和倡导的数据安全治理体系建设，可视作围绕“重要数据与敏感信息”防护为保障核心的实践，与立法目的一致。因此，只有通过数据分类分级准确识别重要数据与敏感信息的种类和级别，理清并有效保障业务数据安全及个人信息权益，才能够合理开发、利用相关数据资源，从而充分发挥数据信息的真正价值和作用。落实数据分类分级保护工作，并非单一的防护动作，而是一套闭环的安全管理策略，是有序开展数据安全治理体系建设的关键一环。

那么针对涉敏数据分类分级后的成果，如何指导安全策略的落地，在日常的数据使用活动中按照涉敏数据的管控要求执行，实现从管理制度到数据安全技术手段的体系化运营，需要分解成具体的技术要求，即安全能力引擎的安全策略、规则配置与分类分级数据形成关联。

在本例中，我们结合数据安全分发和数据存储加密两个典型的数据安全管理场景，来分析如何依赖数据分类分级的结果来指导数据使用场景下的安全管控策略落地。

数据共享分发

数据共享分发是常见的一种数据共享使用场景，用于高度模拟生产数据，保护涉敏数据安全使用。我们先从该场景下数据安全参与的角色分析，大致可以分为数据安全制度管理、策略设定的安全管理人员、以及数据的业务使用人员三个群体。这三个群体主要参与的活动分别为：

流程管理人员，依照数据使用的基本原则制定数据申请使用的流程、根据数据使用的分类和级别指定数据管控制度以及详细的受控数据使用要求，从而形成数据共享使用场景的管控流程和制度。

安全运营管理人员，根据数据共享场景的流程以及管控要求，结合管辖的数据资圈定受控的涉敏数据使用范围，以及这些受控使用的涉敏数据在符合管控要求的安全策略下如何处理后使用。

数据使用的业务部门，根据开发测试、数据分析等实际的业务场景需求，申请使用一批生产环境的业务数据。

从以上分析看出，制度管理人员确保数据的活动是符合流程的，有章法可依；安全人员对数据的使用范围和管控措施负责，以确保提供给业务部门的数据符合涉敏数据管控要求。

然而核心问题在于，在业务部门并不知道哪些是受控使用数据的前提下，如何在申请使用数据的过程中，拿到符合管控要求的受控使用数据。在这里我们引入一个“涉敏数据集”概念，由安全人员根据数据分类、数据级别、制度管控要求，筛选出目标范围的受控使用数据，并根据数据类型特征，制定相应的数据脱敏策略和算法，以确保受控数据共享后使用不会造成泄露、滥用。

该处理流程如下

●   安全管理专家组制定适合组织内部的数据分类分级标准，以及制定涉敏数据使用的流程、管理办法、管控要求；

●   安全管理员根据分类分级标准，完成数据的分类和分级；

●   安全管理员根据数据使用管理制度，确定某一分类的数据、某个级别数据属于共享分发场景受控范围，将这一类数据生成涉敏数据集，如“个人信息和重要数据下的个人身份信息”；

●   安全管理员根据涉敏数据集中的数据类型特征，以及涉敏数据管控要求，设置数据脱敏的安全策略，如“个人身份信息数据脱敏算法”；

●   业务操作人员根据业务场景的需要，发起数据共享脱敏分发任务，选定本次数据使用的数据范围（数据子集），并配置数据脱敏方案；

●   在脱敏方案中，系统根据申请自动匹配本次使用的数据范围，识别是否包含受控使用的涉敏数据，当包含受控数据后系统自动关联该涉敏数据集中数据特征的脱敏算法，完成本次脱敏任务的方案配置；

●   执行脱敏任务，业务人员获取到脱敏后的数据，该批数据中受管控的涉敏数据已经结果脱敏，符合管控要求，实现数据共享分发脱敏场景的安全管控技术措施。

数据存储加密

数据存储加密是一种基于数据存储层透明加密的技术手段，通过在线加密核心数据，防止明文存储引起的数据泄密、突破边界防护的外部黑客攻击和来自于内部高权限用户的数据窃取、绕开合法应用系统直接访问数据库的外部攻击和数据窃取等行为，从根本上解决数据库数据的存储安全问题。同样，我们从该场景下数据安全参与的角色分析：

流程管理人员制定核心数据存储的加密要求，制定核心数据加密存储制度，即什么类型、什么级别的核心数据需要在存储层进行加密。

安全运营管理人员根据核心数据存储加密管理制度，圈定受控使用的涉敏数据、并配置加密存储的安全策略。

资产管理所属人员发现管辖范围内数据资产存在高等级核心数据，选择预设的加密算法，实现存储层的加密算法。

根据参与方角色的分析，该处理流程如下

●   安全管理专家组制定适合组织内部的数据分类分级标准，以及制定涉敏数据使用的流程、管理办法、管控要求；

●   安全管理人员根据分类分级标准，完成数据的分类和分级；

●   安全管理员根据数据使用管理制度，确定某一分类的数据、某个级别数据属于核心机密数据，将这一类数据生成涉敏数据集（需要存储加密），如“个人信息和重要数据下的个人生物识别信息”；

●   安全管理员根据涉敏数据存储加密管控要求，设置数据存储加密的安全策略，如“个人生物识别信息加密算法”；

●   系统根据涉敏数据集的内容，自动识别出所有需要存储加密的数据表分布情况；

●  资产责任人人员登录系统，发现自己管辖的数据资产中存在核心的涉敏数据表，按照管控要求选择对应的额加密算法策略，完成存储加密方案的配置；

●   执行存储加密操作，调用存储加密引擎实现核心数据存加密场景的安全管控技术措施。

作为中国数据安全治理理念的提出者和践行者，安华金和基于多年来对大量行业客户在数据使用场景及安全防护需求方面的深入调研分析与实践经验积累，打破传统的依靠产品堆砌产生的“方案看起来很丰富但落地不强”这一顽疾，推出以“可实用、可持续”为设计初衷，“一站式、体系化”的数据安全运营平台——结合数据活动业务场景，将各类数据安全能力整合，并打通元数据在各安全能力中的联动监测和防控能力，真正实现“统一部署、统一监控、统一管理、统一运营”的数据安全日常化、可持续的运营目标，让数据使用自由而安全！