本期，安全419帶大家走進深圳昂楷科技有限公司（以下簡稱“昂楷科技”），看看他們在數(shù)據(jù)分類分級上的思考見解和解決之道。
關(guān)于昂楷科技
昂楷科技專注于數(shù)據(jù)安全治理產(chǎn)品及解決方案專業(yè)研發(fā)，已為醫(yī)療、政府、公檢法司、電信運營商、電力、石化、互聯(lián)網(wǎng)、先進制造等多個行業(yè)的3000多家客戶提供服務。產(chǎn)品解決方案廣泛適用于大數(shù)據(jù)、云計算、云原生、人工智能、工業(yè)控制、物聯(lián)網(wǎng)、智慧應用、IDC等應用場景，形成了完整的結(jié)構(gòu)化SQL及NoSQL數(shù)據(jù)安全解決方案體系，涵蓋DACP、DAP、DSP等領(lǐng)域。
數(shù)據(jù)分類分級已成企業(yè)開展數(shù)據(jù)安全工作的必選項
昂楷科技市場總監(jiān)張東升告訴我們，數(shù)據(jù)資產(chǎn)作為一種無形資產(chǎn)，需要經(jīng)過系統(tǒng)化的識別與定義之后才能夠成為數(shù)據(jù)安全管控的對象，根據(jù)《GB/T 37988-2019 信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型》針對數(shù)據(jù)生命周期安全的定義，數(shù)據(jù)分類分級是數(shù)據(jù)采集安全過程域的第一個基本實踐，是數(shù)據(jù)生命周期安全管理的第一步，經(jīng)由數(shù)據(jù)分類分級確定了數(shù)據(jù)類別與級別的數(shù)據(jù)在其生命周期中的各個環(huán)節(jié)才具備落實安全控制措施的可能。因此，數(shù)據(jù)分類分級是數(shù)據(jù)安全建設的第一步。
同時，數(shù)據(jù)分類分級是平衡數(shù)據(jù)安全成本的依據(jù)。數(shù)據(jù)分類分級從隱私安全與保護成本的角度出發(fā)，對數(shù)據(jù)進行分類和等級劃分，進而根據(jù)不同需要對關(guān)鍵數(shù)據(jù)進行重點防護。但是傳統(tǒng)的數(shù)據(jù)分級對于大數(shù)據(jù)時代來說過粗，現(xiàn)階段對于不同行業(yè)、不同企業(yè)做出定向的、有針對性和可實施性的分類分級標準尤為重要。
另外，監(jiān)管文件的密集頒布也指明了趨勢。《數(shù)據(jù)安全法》《個人信息保護法》《網(wǎng)絡數(shù)據(jù)安全管理條例》等相繼出臺，國家層面明確提出建立數(shù)據(jù)分類分級保護制度；金融、工業(yè)等行業(yè)監(jiān)管也早已制定相關(guān)配套標準規(guī)范；上海市、武漢市和浙江省等多地分別發(fā)布公共數(shù)據(jù)開放分級分類試行指南，為落實數(shù)據(jù)分類分級管理提供指導性參考。剛性的合規(guī)要求從本質(zhì)上講，也是為了提高安全防護的能力。
用自動嗅探技術(shù)實現(xiàn)數(shù)據(jù)資產(chǎn)可視化
據(jù)張東升介紹，昂楷科技根據(jù)客戶的需要，一方面可提供適宜于各種網(wǎng)絡環(huán)境的數(shù)據(jù)分類分級產(chǎn)品；同時也提供數(shù)據(jù)分類分級服務，幫忙客戶進行數(shù)據(jù)資產(chǎn)的梳理，定義分類分級標準與規(guī)范。
產(chǎn)品方面，建有數(shù)據(jù)安全分類分級系統(tǒng)，通過自動嗅探等技術(shù)智能發(fā)現(xiàn)數(shù)據(jù)資產(chǎn)、有效實現(xiàn)數(shù)據(jù)訪問權(quán)限梳理、自動識別敏感數(shù)據(jù)，結(jié)合內(nèi)置的行業(yè)和地方數(shù)據(jù)分類分級模型，快速輔助客戶完成數(shù)據(jù)分類分級、數(shù)據(jù)資產(chǎn)目錄建設，實現(xiàn)數(shù)據(jù)資產(chǎn)可視化。
作為一家在數(shù)據(jù)安全行業(yè)經(jīng)驗比較深厚的廠商，昂楷科技的產(chǎn)品在數(shù)據(jù)庫適配、數(shù)據(jù)庫兼容與支持方面具備天然優(yōu)勢。目前其分類分級產(chǎn)品支持的數(shù)據(jù)庫類型已經(jīng)覆蓋了常用的關(guān)系型數(shù)據(jù)（Oracle、MySQL、SQL Server、DB2… …）、后關(guān)系型數(shù)據(jù)庫（Cache等）、常用的大數(shù)據(jù)平臺、各類國產(chǎn)數(shù)據(jù)庫等，也支持根據(jù)客戶的實際需要進行科創(chuàng)適配。
同時，在分類分級產(chǎn)品的實施與落地過程中，系統(tǒng)可以與其他成熟的數(shù)據(jù)安全系列產(chǎn)品進行聯(lián)防聯(lián)動，包括數(shù)據(jù)庫審計、數(shù)據(jù)庫防火墻、數(shù)據(jù)庫脫敏、數(shù)據(jù)庫水印、數(shù)據(jù)加密等產(chǎn)品，綜合治理平臺、安全管理平臺、安全運營平臺等數(shù)據(jù)安全平臺，作為各安全產(chǎn)品的支撐基礎，有效提升整體數(shù)據(jù)安全治理的產(chǎn)品和服務能力。
按需制定數(shù)據(jù)分類分級標準與規(guī)范
服務方面，在實際開始數(shù)據(jù)分類分級之前，先對目標范圍內(nèi)所有數(shù)據(jù)表、數(shù)據(jù)項、數(shù)據(jù)文件執(zhí)行全面的梳理，形成數(shù)據(jù)資產(chǎn)表作為分類分級的輸入。
如果存在與客戶相匹配的地區(qū)、行業(yè)、企業(yè)標準，應首先參考該標準，構(gòu)建數(shù)據(jù)分類分級的整體框架，而后將數(shù)據(jù)資產(chǎn)逐層帶入框架。在缺少框架指引、或框架無法完全滿足需求，需要自行補充類別時，則根據(jù)數(shù)據(jù)的屬性或管理歸屬，對數(shù)據(jù)資產(chǎn)歸類；同時，根據(jù)業(yè)務需求和安全能力，定義數(shù)據(jù)分級的級數(shù)，以及各級別的判斷依據(jù)。最終形成樹形的分類層次結(jié)構(gòu)，并為最低一級的數(shù)據(jù)子類逐一分配安全級別。
綜合業(yè)務需求和安全能力，對這一分類分級結(jié)果評估、調(diào)整，確保全面、合理且可行后，分類分級標準制定工作即完成。后續(xù)工作則包括將此分類分級標準套用到數(shù)據(jù)資產(chǎn)表上、建立數(shù)據(jù)分級保護制度、實施相應的管控措施等。
分類方法
昂楷協(xié)助用戶進行數(shù)據(jù)分類的制定，可以依據(jù)數(shù)據(jù)的管理歸屬、屬性分類、主題分類等維度進行數(shù)據(jù)資源歸類，形成分類分級標準，或者在現(xiàn)有行業(yè)分類標準的基礎上，輔助客戶進行分類標準的調(diào)整與確認。
分級方法
為數(shù)據(jù)定級時，主要考慮數(shù)據(jù)的安全屬性（保密性、完整性、可用性）遭到破壞后產(chǎn)生的影響，又分為影響對象、影響范圍、影響程度三個因素。影響對象如行業(yè)、機構(gòu)、用戶；影響范圍如單個機構(gòu)、多個機構(gòu)、多個行業(yè)；影響程度如嚴重、中等、輕微、無。
綜合以上因素，形成數(shù)據(jù)級別表，供各類數(shù)據(jù)定級時參照。
除此之外，在管控中還可以根據(jù)數(shù)據(jù)體量、數(shù)據(jù)時效性等因素結(jié)合實際場景做升降級處理。也可以按照各個定級維度和使用場合，制作更加詳細的定級表。
資產(chǎn)的自動識別與分類分級掃描
分類分級標準制定完成后，昂楷科技的分類分級產(chǎn)品能夠?qū)蛻舻臄?shù)據(jù)資產(chǎn)進行自動掃描與識別，形成分類分級結(jié)果清單。系統(tǒng)提供對外的接口服務，為外部系統(tǒng)或安全產(chǎn)品提供分類分級清單與支持。
數(shù)據(jù)安全治理是市場未來的發(fā)力點
隨著近年來信息技術(shù)進步與各行業(yè)應用程度進一步加深，各行業(yè)都沉淀了大量數(shù)據(jù)。一方面，需要有效甄別合理化的數(shù)據(jù)使用需求，明確關(guān)鍵環(huán)節(jié)的技術(shù)標準，確定使用新型技術(shù)的范圍；另一方面需要結(jié)合行業(yè)發(fā)展變化，有效識別新增風險隱患，持續(xù)加強數(shù)據(jù)安全管理，建立健全數(shù)據(jù)管理制度，采取必要的數(shù)據(jù)安全防護措施，切實維護市場安全運行，切實維護消費者合法權(quán)益。
各行業(yè)數(shù)據(jù)種類繁多，數(shù)據(jù)呈現(xiàn)出復雜性高，多樣性強的特點。采用規(guī)范的數(shù)據(jù)分類、分級方法，有助于行業(yè)機構(gòu)厘清數(shù)據(jù)資產(chǎn)、確定數(shù)據(jù)重要性或敏感度，并針對性地采取適當、合理的管理措施和安全防護措施，形成一套科學、規(guī)范的數(shù)據(jù)資產(chǎn)管理與保護機制，從而在保證數(shù)據(jù)安全的基礎上促進數(shù)據(jù)開放共享。
數(shù)據(jù)分類分級是整個數(shù)據(jù)安全治理的基礎和底座。張東升表示，本質(zhì)上由于很多行業(yè)客戶人力資源和專業(yè)能力限制，同時數(shù)據(jù)分類分級又是一項長期周期性的工作，需要隨著業(yè)務和數(shù)據(jù)變化定期開展分類分級工作，形成周期性的分類分級清單，供數(shù)據(jù)精細化保護使用。
如今，客戶逐步更傾向選擇數(shù)據(jù)安全治理服務，進行覆蓋數(shù)據(jù)生命周期的整體建設和管理。昂楷科技經(jīng)過13年數(shù)據(jù)安全領(lǐng)域的沉淀，具備較充分的數(shù)據(jù)安全產(chǎn)品和數(shù)據(jù)安全治理方法論儲備，其在2022年發(fā)布了數(shù)據(jù)安全治理服務的發(fā)展戰(zhàn)略，從數(shù)據(jù)安全頂層設計、數(shù)據(jù)分類分級服務、數(shù)據(jù)安全運營等維度提供一站保姆式的安全服務，從流程、制度、人員、技術(shù)四個維度提供精準化服務。
