浅析等保2.0数据安全与数据分类分级实践

◎中国电信集团系统集成有限责任公司 徐岩柏

一、等级保护2.0 中关于数据安全的要求

信息安全等级保护制度是国家信息安全保障工作的基础，也是一项事关国家安全、社会稳定的政治任务。通过开展等级保护工作，发现企业网络和信息系统与国家安全标准之间存在的差距，找到目前系统存在的安全隐患和不足，通过安全整改，提高信息系统的信息安全防护能力，降低系统被各种攻击的风险。

为了适应现阶段网络安全新形势、新变化以及新技术、新应用发展的要求，2018年公安部正式发布《网络安全等级保护条例（征求意见稿）》，国家对信息安全技术与网络安全保护迈入2.0 时代。等保2.0 相关的《信息安全技术网络安全等级保护基本要求》、《信息安全技术网络安全等级保护测评要求》、《信息安全技术网络安全等级保护安全设计技术要求》等国家标准已2019年5月正式发布，从2019年1 2月1日开始实施。

等级保护2.0 将风险评估、安全监测、通报预警、案事件调查、数据防护、灾难备份、应急处置、自主可控、供应链安全等工作内容全部纳入了等级保护制度。其中数据保护比1.0 有了安全加强。《基本要求》具体与数据安全有关的条款(三级系统的通用要求)如下：

1、“8.1.2.2 通信传输 a）应采用校验技术或密码技术保证通信过程中数据的完整性。”该条等保要求业务数据通信的过程中要采用安全技术来保障数据传输的完整性，这里的校验技术通常可以理解成CRC 等技术，密码技术通常是通过摘要算法或者MAC 算法来完成完整性保护。

2、“8.1.2.2 通信传输 b）应采用密码技术保证通信过程中数据的保密性。”该条等保要求业务数据通信的过程中要采用加密的方式来保障数据传输中的保密性，防止数据被截获。这里的密码技术通常会采用加密算法实现比如通过SM4、SM2 等完成加密性保护。

3、“8.1.2.3 可信验证 可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，并在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。”该条等保要求业务数据通信的过程中要对设备采用可信根的方式进行验证，通常设备的可信根可以通过硬件或软件的方式实现，硬件可以增加安全芯片或者密码卡，软件可以采用数字证书来作为安全验证的起点，做法通常是在设备启动或应用启动时对关键数据进行完整性验证，来发现程序、配置参数是没有被恶意篡改的。

4、“8.1.4.1 身份鉴别 c）当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。”该条等保要求鉴别数据通信的过程中要采用加密的方式来保障鉴别数据传输中的保密性，防止数据被泄漏。这里的密码技术通常会采用加密算法实现比如杂凑、MAC等完成加密性保护。

5、“8.1.4.3 安全审计 c）应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。”该条等保要求审计数据存储的过程中要采用安全的方式来保障审计数据的完整性，防止数据被无意或恶意的变更。这里的完整性通常技术上会采用MAC 或签名等算法实现保护。

6、“8.1.4.7 数据完整性 a）应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。”该条等保要求几类数据通信的过程中要采用相关技术来保障数据传输的完整性，这里的校验技术通常可以理解成CRC 等技术，密码技术通常是通过摘要算法或者MAC 算法来完成完整性保护。

7、“8.1.4.7 数据完整性b）应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。”该条等保要求几类数据通信的过程中要采用相关技术来保障数据存储的完整性，这里的校验技术通常可以理解成CRC 等技术，密码技术通常是通过摘要算法或者MAC 算法来完成完整性保护。

8、“8.1.4.8 数据保密性 a）应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。”该条等保要求几类数据通信的过程中要采用加密的方式来保障数据传输中的保密性，防止数据被截获。这里的密码技术通常会采用加密算法实现比如通过SM4、SM2 等完成加密性保护。

9、“8.1.4.8 数据保密性 b）应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。”该条等保要求几类数据通信的过程中要采用加密的方式来保障数据存储中的保密性，防止数据被截获。这里的密码技术通常会采用加密算法实现比如通过SM4、SM2 等完成加密性保护。

10、“8.1.4.9 数据备份与恢复 a 和b）应应提供重要数据的本地和异地数据备份与恢复功能。”该条等保要求系统重要数据要有安全的备份策略和备份频率，保障数据的可用性。

11、“8.1.4.10 剩余信息保护 a 和b）应保证鉴别信息和存有敏感数据的存储空间被释放或重新分配前得到完全清除。”该条等保要求系统重要数据在数据完成生命周期使命后能有效清除，保障数据的安全性。

12、“8.1.4.11 个人信息保护 a 和b）应仅采集和保存业务必须的用户个人信息；应禁止未授权访问和非法使用用户个人信息。”该条等保要求系统的个人信息数据在数据在数据生命周期从数据采集到数据使用都能得到充分保护，保障个人信息数据的安全性。

二、数据安全现状和面临的问题

随着信息技术的发展，众多企业基础业务、管理流程、企业间交换和共享的事务均已经运行在信息化支撑平台之上。随着大数据、云计算和人工智能等新技术的出现和发展，在各个行业均得到深入的应用。数据已经成为企业非常重要的信息资产，甚至是重要的生产要素，数据的重要性日益凸显。

数据是技术与安全的衔接的纽带。技术的发展带来了数据的快速增长，数据的快速增长使得安全问题日益体现，所以就有了数据的精细化管理和差异化安全保障的出现。

数据是企业价值提升的加速器。数据是一种重要的资产，在企业经营中发挥着重要的作用，随着数据的收集的广度和深度的增加，通过数据进行精准客户服务和差别化营销成为可能，有利于企业竞争力的提高。

早期因为信息化程度不高，企业存储的数据有限，大多是结构化数据，存储在数据库中。现在数据已经随着互联网的普及和移动互联网的发展变的复杂多样，既有结构化数据，也有图片，视频等非结构化数据。对这些数据进行分级分类进行存储和管理是安全的前提，只有做好分类分级工作，才能明确数据全生命周期各个阶段的保护要求，使得企业可以合理的分配数据保护资源和成本。

数据的泄露、滥用、篡改等安全威胁的影响也越来越频繁，而且随着数据资产价值的增加，威胁的影响从一个企业扩大为整个行业甚至是多个行业之间，甚至影响到公众利益和社会秩序。

如何在满足企业业务基本需求的前提下，增强数据安全保护能力，保障数据的全生命周期安全，已经成为当前亟待解决的问题。

现阶段数据方面存在的主要问题有以下几点。

1、企业缺乏统一的数据管理部门来统一协调和控制数据问题。信息系统往往掌握在各个不同的部门，数据的管理职责分散，甚至出现数据无人负责的情况，会出现数据的不统一，冗余，难以共享等问题。

2、数据没有标准化。因为企业信息化建设的时期不同，早期的系统在建设时没有从全局性考虑数据的标准，使得数据的类型、长度、编码名称等不一致，这为未来数据的共享和交换带来较大麻烦。

3、数据共享和使用程度不够。随着数据越来越多，如何在企业各个部门之间甚至各个企业之间共享数据是一个棘手的问题。缺乏效率的共享方式很难适应数据大爆炸的时代需求。数据采集方面分散，数据整合能力不够，导致数据在查询分析和综合利用方面没有充分发挥出数据的价值。虽然很多企业建造了大数据平台，但主要是承载了数据存储的能力，在数据挖掘和分析使用上还有待加强。

4、数据安全管理能力普遍薄弱。近年来之所以数据安全事件频频发生，就是因为数据的价值越来越受到关注。随着移动互联网、物联网等新型渠道的发展和终端的增加，数据尤其是个人信息数据将给安全管理提出新的挑战，大量的证件号码、电话号码、居住地址等大量敏感信息一旦泄露将给企业带来极大的经济损失和名誉损失。如何加强数据安全管理制度建设和流程管理将是企业面临的一个亟待解决的事情。

三、数据分类分级实践

数据分类分级是信息安全管理体系合理建设、数据安全有效管控、人力资源合理利用的基础，是迈向数据安全年精细化管理的重要一步。但数据因企业的文化、主营业务与管理风格的不同又有了较大的差别。

（一）金融行业分类分级情况

数据分类分级做的比较规范的是金融行业，行业标准是《JR/T 0158—2018 证券期货业数据分类分级指引》。

证券期货业数据分类分级指引的分类主要业务的细化和归并两个阶段完成。第一阶段，业务细分阶段，将业务条线作为业务一级子类进行细分，确定业务二级子类(业务管理)，并对其命名。第二阶段，数据归类阶段，在第一阶段对业务细分基础上，找到数据与业务二级子类之间对应关系，经归类后，确定数据一级子类。业务细分可以细化数据的管理主体，使得数据的责任主体明晰，有利于数据管理。归并可以有效减少重复和冗余，降低类别的复杂性和管理难度。这两个阶段在推动证券期货业数据分类起到良好的借鉴意义。比如一级业务分类“交易业务”，下面有二级业务分类“交易管理”，再往下有子类的数据分类“成交信息”、“委托信息”、“日志信息”等等。

证券期货业数据分类分级指引的分级主要从数据的价值、体量大小和数据泄露造成的影响等方面来进行考虑。定级三要素是：影响对象、影响范围和影响程度。影响对象划分成行业、机构、客户；影响范围划分为多个行业、行业内多个机构、本机构；影响程度划分成严重、中等、轻微和无四种。根据三要素的综合评定(定级规则表)，将数据等级分成四级，从高到低划分为：极高、高、中、低。比如“委托信息”的级别分析是：影响对象是本机构，影响范围则是本机构的所有客户，影响程度造成用户不能下单有严重后果，综合评定查表定为级别是严重。

（二）政府行业分类分级情况

省政府的地方标准有《DB 52/T 1123—2016 政府数据 数据分类分级指南》。标准采用多维度和线分类法相结合的方法，在主题、行业和服务三个维度对贵州省政府数据进行分类，对于每个维度采用线分类法将其分为大类、中类和小类。主题大类主要有综合政务、经济管理、国土资源、能源、工业、交通等等，行业分类主要有农、林、牧、渔业、采矿业、制造业等等，从大类里面继续分成中类，再继续分成各个小类。

政府数据数据分类分级指南的数据分级主要是从数据对国家安全、社会稳定和公民安全的重要程度，以及数据是否涉及国家秘密、用户隐私等敏感信息角度来进行考虑。不同敏感级别的政府数据在遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益（受侵害客体）的危害程度来确定政府数据的级别。指南把数据分成三个等级：公开数据、内部数据和涉密数据。公开数据无敏感信息，可以完全开放；内部数据涉及部门敏感信息，需要在有效管控或脱敏的情况下决定开放；涉密数据原则上不允许开放，如需开放需要进行脱密处理。

（三）电信互联网行业分类分级情况

电信互联网行业的分类分级规范是《信息安全技术电信和互联网大数据安全管控分类分级实施指南(草案)》。综合考虑涉及的数据属性、类型特征以及安全保护需求，将电信和互联网中的数据分类为用户身份相关数据(A 类)、用户服务相关数据(B 类)和用户服务衍生数据(C 类)三大类数据。

电信互联网行业根据数据的敏感程度不同以及企业的实践经验，将电信和互联网所涉及的用户数据分为四个级别。它们是：极敏感级、敏感级、较敏感级和低敏感级。各个级别按照自身级别的管控要求处理输出，比如“极敏感级”的数据将实施严格的技术和管理措施，采用加密和完整性等方法来保护数据，并严禁对外输出该级别数据。

虽然有了行业的分类分级规范出台，但真正能完全适用于企业信息化发展的分类分级，只靠以上文档远远不够。因为很多业务系统的分散性和建设时期的不同性，也造成梳理数据非常困难。所以很多企业采用了半自动化的数据分类分级方式，一部分规范定义的数据，可以根据数据库字段定义的方式进行手工分类分级，另一部分是需要采用数据扫描发现的方式来进行自动分类分级，比如设备日志、音频、图片等非结构化数据。

分类是需要根据各个企业自身的业务特点和管理需求来定义的，不能完全照搬标准规范。比如一般企业客户数据中，性别是“男”和“女”，而阿里巴巴却定义有十八个性别，比如“轻熟男”“轻熟女”等等。这主要是因为企业需要对客户进行精准分类而创造的一个分类方法，是定向营销和推荐的前提。

分类分级是随着时间的推移变化着的。比如阿里客户分类的客户是“轻熟男”类别，再过上十年后，他可能就变成“熟男”的类别，或者未婚的类别经过一段时间变成了已婚类别。级别也会随着时间有变化，当前有时效性的重要信息，可能在未来变的没有任何价值，比如漏洞信息数据。

数据的级别随着数据量规模的增加也需要继续调整，比如涉及的客户信息数量巨大的情况下，其安全影响范围和影响程度也会比较大，这时候应该调高级别。

数据的采集、交换和共享等吸收的数据的级别，原则上应该参考原始数据的级别，至少不应该低于原始数据的级别。

数据的统计、分析、加工等操作在原始数据的基础上二次生成新的数据。如果再生数据和原始数据差别较大，可以独立进行分级。如果再生数据对原始数据中的信息进行脱敏或泛化处理，则可以降低级别进行数据定义。级别的重新定义需要根据使用场景和管理手段的情况综合定级。

综上，数据分类分级在不同的行业有不同的规范，甚至在同一个行业的不同企业也有明显的区别性，这是数据差异化保护的基础。随着海量数据的产生，大数据安全管理的问题也越来越引起重视，分类分级在数据安全治理中是重要的一环。但整体而言，业界不可能产生一个能满足所有企业或机构的数据分类分级要求，需要根据自身的特点，从业务和管理两条线进行梳理，形成适应机构未来发展的分类分级规范。