本期，安全419帶大家走進(jìn)深圳昂楷科技有限公司（以下簡(jiǎn)稱(chēng)“昂楷科技”），看看他們?cè)跀?shù)據(jù)分類(lèi)分級(jí)上的思考見(jiàn)解和解決之道。

關(guān)于昂楷科技

昂楷科技專(zhuān)注于數(shù)據(jù)安全治理產(chǎn)品及解決方案專(zhuān)業(yè)研發(fā)，已為醫(yī)療、政府、公檢法司、電信運(yùn)營(yíng)商、電力、石化、互聯(lián)網(wǎng)、先進(jìn)制造等多個(gè)行業(yè)的3000多家客戶(hù)提供服務(wù)。產(chǎn)品解決方案廣泛適用于大數(shù)據(jù)、云計(jì)算、云原生、人工智能、工業(yè)控制、物聯(lián)網(wǎng)、智慧應(yīng)用、IDC等應(yīng)用場(chǎng)景，形成了完整的結(jié)構(gòu)化SQL及NoSQL數(shù)據(jù)安全解決方案體系，涵蓋DACP、DAP、DSP等領(lǐng)域。

數(shù)據(jù)分類(lèi)分級(jí)已成企業(yè)開(kāi)展數(shù)據(jù)安全工作的必選項(xiàng)

昂楷科技市場(chǎng)總監(jiān)張東升告訴我們，數(shù)據(jù)資產(chǎn)作為一種無(wú)形資產(chǎn)，需要經(jīng)過(guò)系統(tǒng)化的識(shí)別與定義之后才能夠成為數(shù)據(jù)安全管控的對(duì)象，根據(jù)《GB/T 37988-2019 信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型》針對(duì)數(shù)據(jù)生命周期安全的定義，數(shù)據(jù)分類(lèi)分級(jí)是數(shù)據(jù)采集安全過(guò)程域的第一個(gè)基本實(shí)踐，是數(shù)據(jù)生命周期安全管理的第一步，經(jīng)由數(shù)據(jù)分類(lèi)分級(jí)確定了數(shù)據(jù)類(lèi)別與級(jí)別的數(shù)據(jù)在其生命周期中的各個(gè)環(huán)節(jié)才具備落實(shí)安全控制措施的可能。因此，數(shù)據(jù)分類(lèi)分級(jí)是數(shù)據(jù)安全建設(shè)的第一步。

同時(shí)，數(shù)據(jù)分類(lèi)分級(jí)是平衡數(shù)據(jù)安全成本的依據(jù)。數(shù)據(jù)分類(lèi)分級(jí)從隱私安全與保護(hù)成本的角度出發(fā)，對(duì)數(shù)據(jù)進(jìn)行分類(lèi)和等級(jí)劃分，進(jìn)而根據(jù)不同需要對(duì)關(guān)鍵數(shù)據(jù)進(jìn)行重點(diǎn)防護(hù)。但是傳統(tǒng)的數(shù)據(jù)分級(jí)對(duì)于大數(shù)據(jù)時(shí)代來(lái)說(shuō)過(guò)粗，現(xiàn)階段對(duì)于不同行業(yè)、不同企業(yè)做出定向的、有針對(duì)性和可實(shí)施性的分類(lèi)分級(jí)標(biāo)準(zhǔn)尤為重要。

另外，監(jiān)管文件的密集頒布也指明了趨勢(shì)。《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》等相繼出臺(tái)，國(guó)家層面明確提出建立數(shù)據(jù)分類(lèi)分級(jí)保護(hù)制度；金融、工業(yè)等行業(yè)監(jiān)管也早已制定相關(guān)配套標(biāo)準(zhǔn)規(guī)范；上海市、武漢市和浙江省等多地分別發(fā)布公共數(shù)據(jù)開(kāi)放分級(jí)分類(lèi)試行指南，為落實(shí)數(shù)據(jù)分類(lèi)分級(jí)管理提供指導(dǎo)性參考。剛性的合規(guī)要求從本質(zhì)上講，也是為了提高安全防護(hù)的能力。

用自動(dòng)嗅探技術(shù)實(shí)現(xiàn)數(shù)據(jù)資產(chǎn)可視化

據(jù)張東升介紹，昂楷科技根據(jù)客戶(hù)的需要，一方面可提供適宜于各種網(wǎng)絡(luò)環(huán)境的數(shù)據(jù)分類(lèi)分級(jí)產(chǎn)品；同時(shí)也提供數(shù)據(jù)分類(lèi)分級(jí)服務(wù)，幫忙客戶(hù)進(jìn)行數(shù)據(jù)資產(chǎn)的梳理，定義分類(lèi)分級(jí)標(biāo)準(zhǔn)與規(guī)范。

產(chǎn)品方面，建有數(shù)據(jù)安全分類(lèi)分級(jí)系統(tǒng)，通過(guò)自動(dòng)嗅探等技術(shù)智能發(fā)現(xiàn)數(shù)據(jù)資產(chǎn)、有效實(shí)現(xiàn)數(shù)據(jù)訪問(wèn)權(quán)限梳理、自動(dòng)識(shí)別敏感數(shù)據(jù)，結(jié)合內(nèi)置的行業(yè)和地方數(shù)據(jù)分類(lèi)分級(jí)模型，快速輔助客戶(hù)完成數(shù)據(jù)分類(lèi)分級(jí)、數(shù)據(jù)資產(chǎn)目錄建設(shè)，實(shí)現(xiàn)數(shù)據(jù)資產(chǎn)可視化。

作為一家在數(shù)據(jù)安全行業(yè)經(jīng)驗(yàn)比較深厚的廠商，昂楷科技的產(chǎn)品在數(shù)據(jù)庫(kù)適配、數(shù)據(jù)庫(kù)兼容與支持方面具備天然優(yōu)勢(shì)。目前其分類(lèi)分級(jí)產(chǎn)品支持的數(shù)據(jù)庫(kù)類(lèi)型已經(jīng)覆蓋了常用的關(guān)系型數(shù)據(jù)（Oracle、MySQL、SQL Server、DB2… …）、后關(guān)系型數(shù)據(jù)庫(kù)（Cache等）、常用的大數(shù)據(jù)平臺(tái)、各類(lèi)國(guó)產(chǎn)數(shù)據(jù)庫(kù)等，也支持根據(jù)客戶(hù)的實(shí)際需要進(jìn)行科創(chuàng)適配。

同時(shí)，在分類(lèi)分級(jí)產(chǎn)品的實(shí)施與落地過(guò)程中，系統(tǒng)可以與其他成熟的數(shù)據(jù)安全系列產(chǎn)品進(jìn)行聯(lián)防聯(lián)動(dòng)，包括數(shù)據(jù)庫(kù)審計(jì)、數(shù)據(jù)庫(kù)防火墻、數(shù)據(jù)庫(kù)脫敏、數(shù)據(jù)庫(kù)水印、數(shù)據(jù)加密等產(chǎn)品，綜合治理平臺(tái)、安全管理平臺(tái)、安全運(yùn)營(yíng)平臺(tái)等數(shù)據(jù)安全平臺(tái)，作為各安全產(chǎn)品的支撐基礎(chǔ)，有效提升整體數(shù)據(jù)安全治理的產(chǎn)品和服務(wù)能力。

按需制定數(shù)據(jù)分類(lèi)分級(jí)標(biāo)準(zhǔn)與規(guī)范

服務(wù)方面，在實(shí)際開(kāi)始數(shù)據(jù)分類(lèi)分級(jí)之前，先對(duì)目標(biāo)范圍內(nèi)所有數(shù)據(jù)表、數(shù)據(jù)項(xiàng)、數(shù)據(jù)文件執(zhí)行全面的梳理，形成數(shù)據(jù)資產(chǎn)表作為分類(lèi)分級(jí)的輸入。

如果存在與客戶(hù)相匹配的地區(qū)、行業(yè)、企業(yè)標(biāo)準(zhǔn)，應(yīng)首先參考該標(biāo)準(zhǔn)，構(gòu)建數(shù)據(jù)分類(lèi)分級(jí)的整體框架，而后將數(shù)據(jù)資產(chǎn)逐層帶入框架。在缺少框架指引、或框架無(wú)法完全滿足需求，需要自行補(bǔ)充類(lèi)別時(shí)，則根據(jù)數(shù)據(jù)的屬性或管理歸屬，對(duì)數(shù)據(jù)資產(chǎn)歸類(lèi)；同時(shí)，根據(jù)業(yè)務(wù)需求和安全能力，定義數(shù)據(jù)分級(jí)的級(jí)數(shù)，以及各級(jí)別的判斷依據(jù)。最終形成樹(shù)形的分類(lèi)層次結(jié)構(gòu)，并為最低一級(jí)的數(shù)據(jù)子類(lèi)逐一分配安全級(jí)別。

綜合業(yè)務(wù)需求和安全能力，對(duì)這一分類(lèi)分級(jí)結(jié)果評(píng)估、調(diào)整，確保全面、合理且可行后，分類(lèi)分級(jí)標(biāo)準(zhǔn)制定工作即完成。后續(xù)工作則包括將此分類(lèi)分級(jí)標(biāo)準(zhǔn)套用到數(shù)據(jù)資產(chǎn)表上、建立數(shù)據(jù)分級(jí)保護(hù)制度、實(shí)施相應(yīng)的管控措施等。

分類(lèi)方法

昂楷協(xié)助用戶(hù)進(jìn)行數(shù)據(jù)分類(lèi)的制定，可以依據(jù)數(shù)據(jù)的管理歸屬、屬性分類(lèi)、主題分類(lèi)等維度進(jìn)行數(shù)據(jù)資源歸類(lèi)，形成分類(lèi)分級(jí)標(biāo)準(zhǔn)，或者在現(xiàn)有行業(yè)分類(lèi)標(biāo)準(zhǔn)的基礎(chǔ)上，輔助客戶(hù)進(jìn)行分類(lèi)標(biāo)準(zhǔn)的調(diào)整與確認(rèn)。

分級(jí)方法

為數(shù)據(jù)定級(jí)時(shí)，主要考慮數(shù)據(jù)的安全屬性（保密性、完整性、可用性）遭到破壞后產(chǎn)生的影響，又分為影響對(duì)象、影響范圍、影響程度三個(gè)因素。影響對(duì)象如行業(yè)、機(jī)構(gòu)、用戶(hù)；影響范圍如單個(gè)機(jī)構(gòu)、多個(gè)機(jī)構(gòu)、多個(gè)行業(yè)；影響程度如嚴(yán)重、中等、輕微、無(wú)。

綜合以上因素，形成數(shù)據(jù)級(jí)別表，供各類(lèi)數(shù)據(jù)定級(jí)時(shí)參照。

除此之外，在管控中還可以根據(jù)數(shù)據(jù)體量、數(shù)據(jù)時(shí)效性等因素結(jié)合實(shí)際場(chǎng)景做升降級(jí)處理。也可以按照各個(gè)定級(jí)維度和使用場(chǎng)合，制作更加詳細(xì)的定級(jí)表。

資產(chǎn)的自動(dòng)識(shí)別與分類(lèi)分級(jí)掃描

分類(lèi)分級(jí)標(biāo)準(zhǔn)制定完成后，昂楷科技的分類(lèi)分級(jí)產(chǎn)品能夠?qū)蛻?hù)的數(shù)據(jù)資產(chǎn)進(jìn)行自動(dòng)掃描與識(shí)別，形成分類(lèi)分級(jí)結(jié)果清單。系統(tǒng)提供對(duì)外的接口服務(wù)，為外部系統(tǒng)或安全產(chǎn)品提供分類(lèi)分級(jí)清單與支持。

數(shù)據(jù)安全治理是市場(chǎng)未來(lái)的發(fā)力點(diǎn)

隨著近年來(lái)信息技術(shù)進(jìn)步與各行業(yè)應(yīng)用程度進(jìn)一步加深，各行業(yè)都沉淀了大量數(shù)據(jù)。一方面，需要有效甄別合理化的數(shù)據(jù)使用需求，明確關(guān)鍵環(huán)節(jié)的技術(shù)標(biāo)準(zhǔn)，確定使用新型技術(shù)的范圍；另一方面需要結(jié)合行業(yè)發(fā)展變化，有效識(shí)別新增風(fēng)險(xiǎn)隱患，持續(xù)加強(qiáng)數(shù)據(jù)安全管理，建立健全數(shù)據(jù)管理制度，采取必要的數(shù)據(jù)安全防護(hù)措施，切實(shí)維護(hù)市場(chǎng)安全運(yùn)行，切實(shí)維護(hù)消費(fèi)者合法權(quán)益。

各行業(yè)數(shù)據(jù)種類(lèi)繁多，數(shù)據(jù)呈現(xiàn)出復(fù)雜性高，多樣性強(qiáng)的特點(diǎn)。采用規(guī)范的數(shù)據(jù)分類(lèi)、分級(jí)方法，有助于行業(yè)機(jī)構(gòu)厘清數(shù)據(jù)資產(chǎn)、確定數(shù)據(jù)重要性或敏感度，并針對(duì)性地采取適當(dāng)、合理的管理措施和安全防護(hù)措施，形成一套科學(xué)、規(guī)范的數(shù)據(jù)資產(chǎn)管理與保護(hù)機(jī)制，從而在保證數(shù)據(jù)安全的基礎(chǔ)上促進(jìn)數(shù)據(jù)開(kāi)放共享。

數(shù)據(jù)分類(lèi)分級(jí)是整個(gè)數(shù)據(jù)安全治理的基礎(chǔ)和底座。張東升表示，本質(zhì)上由于很多行業(yè)客戶(hù)人力資源和專(zhuān)業(yè)能力限制，同時(shí)數(shù)據(jù)分類(lèi)分級(jí)又是一項(xiàng)長(zhǎng)期周期性的工作，需要隨著業(yè)務(wù)和數(shù)據(jù)變化定期開(kāi)展分類(lèi)分級(jí)工作，形成周期性的分類(lèi)分級(jí)清單，供數(shù)據(jù)精細(xì)化保護(hù)使用。

如今，客戶(hù)逐步更傾向選擇數(shù)據(jù)安全治理服務(wù)，進(jìn)行覆蓋數(shù)據(jù)生命周期的整體建設(shè)和管理。昂楷科技經(jīng)過(guò)13年數(shù)據(jù)安全領(lǐng)域的沉淀，具備較充分的數(shù)據(jù)安全產(chǎn)品和數(shù)據(jù)安全治理方法論儲(chǔ)備，其在2022年發(fā)布了數(shù)據(jù)安全治理服務(wù)的發(fā)展戰(zhàn)略，從數(shù)據(jù)安全頂層設(shè)計(jì)、數(shù)據(jù)分類(lèi)分級(jí)服務(wù)、數(shù)據(jù)安全運(yùn)營(yíng)等維度提供一站保姆式的安全服務(wù)，從流程、制度、人員、技術(shù)四個(gè)維度提供精準(zhǔn)化服務(wù)。