本期，安全419帶大家走進深圳昂楷科技有限公司（以下簡稱“昂楷科技”），看看他們在數據分類分級上的思考見解和解決之道。

關于昂楷科技

昂楷科技專注于數據安全治理產品及解決方案專業研發，已為醫療、政府、公檢法司、電信運營商、電力、石化、互聯網、先進制造等多個行業的3000多家客戶提供服務。產品解決方案廣泛適用于大數據、云計算、云原生、人工智能、工業控制、物聯網、智慧應用、IDC等應用場景，形成了完整的結構化SQL及NoSQL數據安全解決方案體系，涵蓋DACP、DAP、DSP等領域。

數據分類分級已成企業開展數據安全工作的必選項

昂楷科技市場總監張東升告訴我們，數據資產作為一種無形資產，需要經過系統化的識別與定義之后才能夠成為數據安全管控的對象，根據《GB/T 37988-2019 信息安全技術 數據安全能力成熟度模型》針對數據生命周期安全的定義，數據分類分級是數據采集安全過程域的第一個基本實踐，是數據生命周期安全管理的第一步，經由數據分類分級確定了數據類別與級別的數據在其生命周期中的各個環節才具備落實安全控制措施的可能。因此，數據分類分級是數據安全建設的第一步。

同時，數據分類分級是平衡數據安全成本的依據。數據分類分級從隱私安全與保護成本的角度出發，對數據進行分類和等級劃分，進而根據不同需要對關鍵數據進行重點防護。但是傳統的數據分級對于大數據時代來說過粗，現階段對于不同行業、不同企業做出定向的、有針對性和可實施性的分類分級標準尤為重要。

另外，監管文件的密集頒布也指明了趨勢?！稊祿踩ā贰秱€人信息保護法》《網絡數據安全管理條例》等相繼出臺，國家層面明確提出建立數據分類分級保護制度；金融、工業等行業監管也早已制定相關配套標準規范；上海市、武漢市和浙江省等多地分別發布公共數據開放分級分類試行指南，為落實數據分類分級管理提供指導性參考。剛性的合規要求從本質上講，也是為了提高安全防護的能力。

用自動嗅探技術實現數據資產可視化

據張東升介紹，昂楷科技根據客戶的需要，一方面可提供適宜于各種網絡環境的數據分類分級產品；同時也提供數據分類分級服務，幫忙客戶進行數據資產的梳理，定義分類分級標準與規范。

產品方面，建有數據安全分類分級系統，通過自動嗅探等技術智能發現數據資產、有效實現數據訪問權限梳理、自動識別敏感數據，結合內置的行業和地方數據分類分級模型，快速輔助客戶完成數據分類分級、數據資產目錄建設，實現數據資產可視化。

作為一家在數據安全行業經驗比較深厚的廠商，昂楷科技的產品在數據庫適配、數據庫兼容與支持方面具備天然優勢。目前其分類分級產品支持的數據庫類型已經覆蓋了常用的關系型數據（Oracle、MySQL、SQL Server、DB2… …）、后關系型數據庫（Cache等）、常用的大數據平臺、各類國產數據庫等，也支持根據客戶的實際需要進行科創適配。

同時，在分類分級產品的實施與落地過程中，系統可以與其他成熟的數據安全系列產品進行聯防聯動，包括數據庫審計、數據庫防火墻、數據庫脫敏、數據庫水印、數據加密等產品，綜合治理平臺、安全管理平臺、安全運營平臺等數據安全平臺，作為各安全產品的支撐基礎，有效提升整體數據安全治理的產品和服務能力。

按需制定數據分類分級標準與規范

服務方面，在實際開始數據分類分級之前，先對目標范圍內所有數據表、數據項、數據文件執行全面的梳理，形成數據資產表作為分類分級的輸入。

如果存在與客戶相匹配的地區、行業、企業標準，應首先參考該標準，構建數據分類分級的整體框架，而后將數據資產逐層帶入框架。在缺少框架指引、或框架無法完全滿足需求，需要自行補充類別時，則根據數據的屬性或管理歸屬，對數據資產歸類；同時，根據業務需求和安全能力，定義數據分級的級數，以及各級別的判斷依據。最終形成樹形的分類層次結構，并為最低一級的數據子類逐一分配安全級別。

綜合業務需求和安全能力，對這一分類分級結果評估、調整，確保全面、合理且可行后，分類分級標準制定工作即完成。后續工作則包括將此分類分級標準套用到數據資產表上、建立數據分級保護制度、實施相應的管控措施等。

分類方法

昂楷協助用戶進行數據分類的制定，可以依據數據的管理歸屬、屬性分類、主題分類等維度進行數據資源歸類，形成分類分級標準，或者在現有行業分類標準的基礎上，輔助客戶進行分類標準的調整與確認。

分級方法

為數據定級時，主要考慮數據的安全屬性（保密性、完整性、可用性）遭到破壞后產生的影響，又分為影響對象、影響范圍、影響程度三個因素。影響對象如行業、機構、用戶；影響范圍如單個機構、多個機構、多個行業；影響程度如嚴重、中等、輕微、無。

綜合以上因素，形成數據級別表，供各類數據定級時參照。

除此之外，在管控中還可以根據數據體量、數據時效性等因素結合實際場景做升降級處理。也可以按照各個定級維度和使用場合，制作更加詳細的定級表。

資產的自動識別與分類分級掃描

分類分級標準制定完成后，昂楷科技的分類分級產品能夠對客戶的數據資產進行自動掃描與識別，形成分類分級結果清單。系統提供對外的接口服務，為外部系統或安全產品提供分類分級清單與支持。

數據安全治理是市場未來的發力點

隨著近年來信息技術進步與各行業應用程度進一步加深，各行業都沉淀了大量數據。一方面，需要有效甄別合理化的數據使用需求，明確關鍵環節的技術標準，確定使用新型技術的范圍；另一方面需要結合行業發展變化，有效識別新增風險隱患，持續加強數據安全管理，建立健全數據管理制度，采取必要的數據安全防護措施，切實維護市場安全運行，切實維護消費者合法權益。

各行業數據種類繁多，數據呈現出復雜性高，多樣性強的特點。采用規范的數據分類、分級方法，有助于行業機構厘清數據資產、確定數據重要性或敏感度，并針對性地采取適當、合理的管理措施和安全防護措施，形成一套科學、規范的數據資產管理與保護機制，從而在保證數據安全的基礎上促進數據開放共享。

數據分類分級是整個數據安全治理的基礎和底座。張東升表示，本質上由于很多行業客戶人力資源和專業能力限制，同時數據分類分級又是一項長期周期性的工作，需要隨著業務和數據變化定期開展分類分級工作，形成周期性的分類分級清單，供數據精細化保護使用。

如今，客戶逐步更傾向選擇數據安全治理服務，進行覆蓋數據生命周期的整體建設和管理。昂楷科技經過13年數據安全領域的沉淀，具備較充分的數據安全產品和數據安全治理方法論儲備，其在2022年發布了數據安全治理服務的發展戰略，從數據安全頂層設計、數據分類分級服務、數據安全運營等維度提供一站保姆式的安全服務，從流程、制度、人員、技術四個維度提供精準化服務。