数据分类分级解决方案

资料来源：https://mp.weixin.qq.com/s/iWnTrrqVgAP5pCk6E8WLGw

 

一、数据资产分类分级框架思路

（一）整体框架

 

1. 核心流程
   1. 基础数据资产盘点：先梳理企业的基础数据资产
   2. 数据分级框架制定：基于盘点结果，确定数据分级的核心框架
   3. 数据分类分级落地：推进分类分级的实际执行
   4. 持续分级运营：全流程由专家规划、专家制定、专家调优，保障分类分级的持续有效
2. 分级核心要素（三角框架）
   1. 数据标签：覆盖个人金融信息、账户信息、合同协议、交易信息、营销获客信息、运营商信息、风险偏好信息等数据类型
   2. 重要等级：对应数据的重要程度层级
   3. 数据细分维度：包含字段级、表明级、库级的细化分类

（二）数据资产分类分级-基础数据资产盘点

1. 核心目标
   • 形成表级 / 字段级的数据资产底账，为后续数据分类分级工作提供基础。
2. 盘点步骤
   1. 信息收集（双渠道）
      • 业务调研：从业务视角梳理数据相关信息
      • 技术探测：通过技术手段（如服务扫描）获取数据资产的技术分布

   2. 明确数据库分布：

      • 通过服务扫描明确当前数据库分布，梳理当前环境中涉及的数据库类型（如 MySQL、MongoDB、SQL server、Oracle、PostgreSQL等）及对应的部署方式（本地、腾讯云、阿里云、Gitee、Apache Hive等） 

      • 典型系统数据状况示例

        分级业务条线数据状况	信贷业务系统	手机银行 App 系统
        数据库数量	6	1
        数据实例数量	1	3
        数据库类型及版本	mysql5.7	DB210.5
        表数量	2891	3501
        字段数量	45441	57021
        记录数总量	77379502	102359441
        是否有数据字典	有	有
        表命名规范是否统一	部分统一	统一
        是否有完善的表描述 (能够理解业务含义)	大部分具备	具备
        字段命名是否统一	部分统一	统一
        是否有完善的字段描述 (能够理解业务含义)	大部分具备	具备
        数据字典标准的落实情况	基本落实	极大程度落实

         

   3. 输出资产底账：通过资产扫描形成表级/字段级的数据资产底账，分级工作基于资产底账开展
      • • 表级数据资产底账（包含表名、存储位置、数据量等信息）
        • 字段级数据资产底账（拆分表内具体字段信息）

（三）数据资产分类分级框架和原则制定

1. 核心目标
   • 以国家和行业数据分类分级标准规范为基础指导，结合企业业务数据现状，设计和规划整体数据分类分级的框架和原则。
2. 核心思路
   • 分类思路：从企业生产组织过程出发，客观描述生产中搜集、产出的数据。
   • 分级思路：以数据泄露 / 损毁对国家、社会、企业、个人的影响程度为依据。
3. 制定步骤
   1. 明确基础依据：以国家 / 行业数据分类分级规范为指导，例如：
      • 金融领域：《JR/T0197-2020 数据安全分级指南》
      • 工业领域：《工信厅信〔2020〕6 号 工业数据分类分级指南》
      • 医疗领域：《GB/T39725 健康医疗数据安全指南》
   2. 结合企业实际：分析企业自身业务数据的特性（如业务场景、数据类型等），适配行业规范的落地要求。
   3. 设计框架原则：融合 “国家 / 行业规范” 与 “企业业务数据特性”，最终形成适配企业的数据分类分级框架和原则

（四）数据资产分类分级落地

1. 核心逻辑
   • 数据分类分级框架是对业务和安全的抽象，数据分类分级落地的过程需要基于企业真实数据资产现状，不断通过 “探索发现→优化模板→沉淀策略” 的循环迭代，最终形成企业数据资产的分类分级。
2. 核心环节说明
   • 探索发现：通过具体数据明确企业数据资产实际构成，为分类分级提供线索。
   • 质量优化：提升元数据质量，解决数据质量参差不齐对分类分级效果的影响。
   • 模板拓展：将分类分级框架具象化，基于真实数据构建 / 完善分类分级清单。
   • 策略沉淀：以自动化策略的方式，固化数据分类分级的归类方法
3. 落地步骤
   • 探索发现：梳理企业真实数据资产构成，定位分类分级的切入点。
   • 质量优化：治理元数据质量，保障分类分级的准确性。
   • 模板拓展：结合真实数据，将抽象框架转化为可落地的分类分级清单。
   • 策略沉淀：把分类分级方法转化为自动化策略，实现标准化归类。（以上步骤循环迭代，持续优化分类分级体系）

（五）数据资产分级动态运营

 

1. 核心目标

   • 通过多维度的动态运营，持续维护数据资产分级的准确性与时效性，适配数据资产的变化。

2. 运营模块以及内容

   1. 增量数据运营

      • 动作：定期服务发现、自动识别新增数据库 / 表 / 字段

      • 作用：覆盖新产生的数据资产，避免分级遗漏
   2. 存量数据运营
      • 动作：定期 DB 扫描、自动识别数据量 / 表 / 字段的动态变化
      • 作用：监控已有数据资产的变更情况
   3. 分级结果运营
      • 动作：数据安全级别复核、重要数据识别、表 / 字段分级结果及策略修订
      • 作用：更新分级结果，保障分级准确性
   4. 识别策略运营
      • 动作：表 / 字段打标策略的更新维护
      • 作用：优化分级的识别规则
   5. 分级策略运营
      • 动作：安全影响专家评估、数据级别变更调整、标签级别映射表维护、关联字段级别提升维护
      • 作用：迭代分级的策略逻辑
3. 动态运营步骤
   1. 先通过增量 + 存量数据运营，全面覆盖数据资产的新增与变更情况
   2. 基于数据资产的变化，同步更新识别策略与分级策略
   3. 最后通过分级结果运营，复核并修订最终的分级结果（以上步骤循环执行，实现数据资产分级的动态维护）

（六）数据分级价值

 

数据分级主要围绕 “合规、安全、管理、成本” 四个维度发挥作用：

1. 满足监管合规：对标《数据安全法》及金融、工业、医疗等行业分类分级规范，符合监管要求；
2. 夯实安全基础：为敏感数据精细化管控提供技术支撑；
3. 理清数据态势：明确敏感数据的分布、类型、量级，实现数据资产可视化管理；
4. 优化成本效率：通过持续分级运营，降低安全投入成本，同时获得专业技术支持。

（七）数据分类分级产品-产品概括

 

1. 产品定位：以数据 + AI 能力为核心，赋能数据分类分级全流程，助力企业快速落地结构化、非结构化数据的分类分级工作。
2. 核心产品能力
   • 数据服务自动扫描
   • 数据资产底账清单
   • 数据分类分级模板
   • 数据资产智能分析
   • 数据标签策略
   • 机器自动学习分类分级策略
   • 增量数据资产管理
   • 智能数据信息补充
   • 非结构化文件分类分级
   • 离线非结构化文件分类分级
   • OCR 图片内容识别
   • 分级结果复核
3. 方案价值
   • 看见：自动发现 / 梳理企业数据，打破数据墨盒，明晰企业内部数据现状，提供数据安全管理的切入点和抓手。
   • 赋能:提升数据分类分级和持续管理运营的效率，赋能管理人员进行数据安全管理、风险评估、合规评估。

（八）多种方式获取数据资产

 

1. 自动化扫描构建基础数据资产，适合多种数据库应用场景
   • 全量自动扫描：对目标数据库的全量数据抽取样例数据，进行自动扫描定时/实时扫描:可根据扫描急迫度，自定义扫描计划
   • 选择性扫描：可针对需要扫描的库、表进行针对性扫描
   • 支持多种数据库类型：Oracle,mySQL,mariaDB,sqlServer,PostgreSQL,Hive,DB2,Gbase,Greenplum,ElasticSearch,Redis,Hbase, OceanBase,Gauss DB等
2. 数据源接口接入，为不同企业用户提供API对接场景
   • 统一标准端口，客户提供数据源接口，不需要直连数据库即可获取元数据及样例数据
3. 资产文件导入，快速便利获取数据资产
   • 内置资产文件模板，将客户数据通过模板导入产品，从而获取元数据和数据样例

（九）数据权限分配

根据用户组织架构，使用数据主管权限，对部门下所有人员的数据权限做分配。

• 粒度低：支持按数据组件地址、数据库、schema 等层级分配权限
• 操作活：可按部门组织架构批量划分数据权限
• 隔离强：按组织架构显示数据，部门间实现数据完全隔离
• 回收自动化：组织部门调整时，数据权限会被部门自动收回，无需手动操作

例：权限类型与角色：

1. 权限操作：授权、回收。
2. 常见角色：admin、webadmin、databaseAudit、dataadmin、inspector、auditor、test、wcy、FileAdmin 等。

（十）分类分级结果调整灵活

 

针对规则匹配 / 机器学习的打标结果，支持灵活人工调整，核心能力包括：

• 数据汇总处理：可按任务分拆处理打标结果，也能批量汇总分级结果进行人工打标，操作高效便捷
• 业务人员复核：支持分配复核角色，由业务子系统人员对打标结果进行复核，并同步反馈结果与意见
• 抽样复核质检：通过抽样检查分级结果，评估分类分级的质量

例：驳回机制：支持驳回不当分级结果，需选择正确分类、等级并说明原因。

（十一）内置丰富行业模板

基于国家 / 行业规范 + 实际业务沉淀，提供适配多行业的分类分级基础模版，且支持根据企业需求动态调整，适配企业个性化场景。

例子：覆盖行业与数据类型

1. 主要行业模版：金融数据分类分级（依据《金融数据安全分级指南》）、个人信息分类分级（依据《个人信息安全规范》）、证券数据分类分级（依据《证券期货业数据分类分级指引》）、工业数据分类分级（依据《工业数据分类分级指南》）、医疗数据分类分级（依据《健康医疗数据安全指南》）等。
2. 典型数据类型：客户信息、账户信息、个人自然信息、基本信息、个人财产信息、个人联系信息、个人健康生理信息、个人地理位置信息、个人就学信息、个人职业信息、个人资质证书信息、个人党政信息、经营管理数据、营销服务数据、产品信息、新产品（项目）研发信息等。

（十二）分类分级形式多样化

 

• 2 种主要形式
  1. 任务调度形式：以任务为核心开展分类分级，支持灵活配置：
     • 分级对象：可选资产任务、组件、库等层级
     • 分级策略：全量 / 增量分级
     • 模板配置：选择分类分级模板、打标方式（规则 / 机器学习）
     • 执行策略：即时 / 定时 / 周期执行
  2. 离线可执行文件形式：通过下载对应系统的离线可执行文件，在终端完成分类分级任务，结果可同步至资产任务中查看。
• 流程
  • 方式 1：任务调度形式
    1. 配置分级对象（选择资产任务 / 组件等）
    2. 选择分级策略（全量 / 增量）
    3. 设置分类分级模板、打标方式
    4. 选择执行策略（即时 / 定时 / 周期），启动任务
  • 方式 2：离线可执行文件形式
    1. 下载对应系统（如 Mac）的离线可执行文件
    2. 在终端执行文件，完成分类分级任务
    3. 将结果同步至资产任务，在任务【查看】中查看结果

（十三）多样的数据打标策略

 

• 3 种类型
  • 内置敏感数据标签策略：提供上百个常见敏感数据标签（如身份证、手机号、邮箱等），可直接选用已配置的标签进行打标。
  • 自定义打标策略：支持灵活配置，可通过正则、关键词、UDF 等多种模式，自定义规则条件、匹配模式及组合关系，适配企业个性化打标需求。
  • 机器学习模式：基于机器智能学习的方式实现数据打标，提升打标效率与准确性。
• 核心步骤
  • 内置标签策略
    1. 从内置敏感数据标签列表中选择所需标签（如身份证、手机号）
    2. 直接应用该标签完成数据打标
  • 自定义打标策略
    1. 确定打标规则条件（如字段名、字段描述等）
    2. 选择匹配模式（正则 / 关键词等）
    3. 设置规则组合关系（与 / 或 / 非）
    4. 应用自定义策略完成打标
  • 机器学习模式
    1. 开启机器学习打标功能
    2. 系统自动学习并完成数据打标

（十四）分类分级结果展示和使用

 

分类分级结果通过多维度形式呈现，便于查看与使用：

1. 数据分类分级概览：以可视化报表形式展示数据总量、敏感数据占比等核心指标，呈现全局情况
2. 元数据资产清单：以列表形式展示元数据（如库、表）对应的分类分级结果
3. 分类数据资产：按分类维度梳理资产分布，清晰呈现不同类别数据的占比
4. 敏感数据资产清单：聚焦敏感数据，明细化展示敏感数据的分类、分级及所属资产信息

（十五）数据分类分级产品部署实施

 

1. 部署环境：机构内网环境虚拟化部署，由机构自主控制，保障生产数据不外泄
2. 资源配置标准：
   • 计算资源：8C；
   • 系统内存：16G；
   • 硬盘存储：500G
   • 服务器架构：X86/ARM；
   • 操作系统：CENTOS7 标准版 / 银河麒麟 V10
   • 安全策略：数据库互联互通；
   • DB 资源：数据库只读账号口令
3. 部署特点：
   • 单任务模式下单连接，仅占用单个数据库连接
   • 最大程度降低对数据库性能的影响
4. 部署流程
   • 准备部署环境：在机构内网搭建虚拟化环境
   • 配置硬件资源：按标准准备 8C 计算资源、16G 内存、500G 存储的服务器（X86/ARM 架构）
   • 安装操作系统：部署 CENTOS7 标准版或银河麒麟 V10 系统
   • 配置安全与 DB 资源：设置数据库互联互通策略，准备数据库只读账号口令
   • 部署分级产品：在配置好的环境中部署分类分级产品，采用单任务单连接模式降低性能影响

（十六）数据资产梳理和分级服务

 

1. 服务目标：通过资产梳理 + 安全分级服务，实现核心数据资产分级，帮助用户获得数据分级差异化安全管理能力，降低安全运营成本，提升数据安全管理落地能力。
2. 服务参与方：专家团队 + 分级工具（覆盖库、表、字段层级）
3. 服务流程步骤：
   1. 分级标准阶段：开展服务与调研，输出数据分级指南
   2. 数据标签阶段：通过数据分类标签、专家经验自定义标签，完成机器识别
   3. 分级策略阶段：基于标签、数据类型等配置组合规则，遵循 “手动优先、等级就高” 原则沉淀策略
   4. 策略更新阶段：通过自动识别 + 手动分级完成标签沉淀，实现自动 / 手动分级
   5. 定期运营输出：持续运营并输出最终的分级成果

（十七）数据资产梳理和分级服务-重要数据分级服务

 

1. 项目范围：企业重要业务系统的数据
2. 具体工作：
   • 以国家 / 行业规范为依据，结合企业业务特性，制定重要数据的定义原则和目录
   • 构建并梳理核心业务系统的数据资产底账
   • 按照策略对重要数据资产进行 3-4 级的安全分级
   • 在数据资产地图中沉淀重要数据识别策略，并提供数据地图产品相关产品资料、培训工作
3. 工作交付物：
   • 《企业重要数据定义策略和目录》
   • 《重要数据资产分级报告和清单》
   • 数据资产地图产品及相关产品资料（如采购数据资产地图）
4. 项目特点：《数据安全法》强调对数据重要数据保护和风险监测，是企业法定职责；完整的分类分级可简化重要数据识别流程

（十八）数据资产梳理和分级服务-数据分类分级服务

 

1. 项目范围：企业核心业务系统的数据
2. 具体工作：
   • 以国家和行业规范为依据，结合企业自身业务特性，制定企业数据分类分级框架和原则。
   • 构建并梳理核心业务系统的数据资产底账
   • 依据框架和服务对数据资产进行分类分级
   • 在数据资产地图上沉淀数据识别策略，并提供数据地图产品相关产品资料、培训工作。
3. 工作交付物：
   • 《企业数据分类分级框架和策略》
   • 《数据资产分类分级报告和清单》
   • 数据资产地图产品及相关产品资料（如采购数据资产地图）
4. 项目特点：涉及完整的数据分类分级，需要对业务进行深入调研，项目实施周期较长，建议实施范围控制在核心业务数据系统

二、相关案例

案例1：某行-数据分类分级

（一）落地流程

 

某行基于行内分级规则表，依托爱加密数据分类分级定级模型和工具，通过自然语言处理、机器学习模型等方法实现数据安全等级的自动化初判，完成88套业务系统30余万数据项的自动化定级，并推动各部门对定级结果的复核和发布

1. 落地流程步骤
   1. 支撑准备（数据管理部）
      1. 采集数据：输出数据资产清单、特征数据采样
      2. 建模准备：构建数据样本，完成离线数据建模
   2. 工具与规则建设（数据管理部）
      1. 工具集成：完成分级工具集、特征识别策略、机器学习模型的搭建
      2. 规范落地：制定数据分类分级规范指引
   3. 自动化定级（业务条线 + 工具）
      1. 数据安全定级：覆盖存量 + 增量数据资产
      2. 分类定级方式：自动分类定级（工具）+ 人工分类定级（补充）
   4. 结果收尾（数据管理部）
      1. 定级结果核定
      2. 定级结果评审发布
2. 数据分级标准
   • 1 级：可对外公开数据
   • 2 级：对内传输需审批的数据（如学历、工作单位）
   • 3 级：需屏蔽 / 安全评估的数据（如证件号码、家庭住址）
   • 4 级：不应展示 / 加工的数据（如银行卡密码、用户信息）
   • 5 级：一般为重要数据

（二）智能化能力构建

 

围绕 “数据样本 - 输入 - 建模 - 训练 - 工具集成” 全流程，搭建数据分类分级的智能化能力，覆盖 87 套系统 32 万字段，最终模型测试集准确率达 85%。

核心步骤：

1. 数据样本分析
   • 覆盖 87 套系统 32 万字段，对照 200 + 系统做典型性分析（具备多类型系统、高质量元数据等特点）
   • 按正态分布 + 系统有序随机抽样，选取 7 万 2 千字段
2. 数据输入
   • 结合《数据安全法》《金融数据安全分级指南》等规范，完成人工打标数据的准备
3. 离线数据建模
   • 将数据分为 70% 训练集、15% 验证集、15% 测试集（验证集含 10916 字段，训练集含 30944 字段）
4. 机器学习模型训练
   • 采用有监督机器学习算法（逻辑算法）、剪枝算法训练模型
   • 构建特征关键词库，输出最优模型（测试集准确率 85%）
5. 分级工具集成
   • 将模型文件（bin 离线、java 模型等）集成至分级工具，实现智能化能力落地

（三）规范指引

 

为建立本行数据分级保护体系，实现数据分级管理，促进数据的安全共享以及数据价值的挖掘与利用，提升本行整体数据安全防护能力，依据相关法律法规，制定本指引。

1. 核心模块分点
   • 目录结构：包含依据、目的、适用范围、内容概况、数据定义、组织保障、实施流程、附则等板块
   • 组织架构（三层职责）：
     1. 决策层（数据治理委员会）：制定目标、审批定级结果
     2. 管理层（总行数据管理部）：制定制度、协调定级、复核结果
     3. 执行层（条线管理部门 / 经营机构）：组织定级、复核结果、申请调整
   • 实施流程：数据安全定级准备→数据安全预定级→数据安全定级结果评审与发布→数据安全定级清单维护与更新
2. 实施步骤
   1. 准备阶段：梳理数据资产清单、制定 X 行定级规则表
   2. 预定级阶段：完成数据安全评估、定级要素识别
   3. 评审发布：对定级结果进行评审，完成发布（含结果调整）
   4. 维护更新：对定级清单进行动态变更与持续维护

案例二：某金融科技集团-数据分类分级

（一）分级保护

 

1. 实施对象：遴选三个专业公司共计14万字段：券商3万字段(薄记系统、账户系统)、金融服务公司8万字段、科技服务公司2万字段
2. 项目组织架构：集团数据管理部门、信息安全管理部门统筹，各专业公司信息安全负责人牵头，完成上述系统对应DB数据的分类定级工作
3. 交付物：交付a.集团分类分级智能化平台、b.数据分类分级实施指导手册、c.目标系统分类定级清单报告、d.定制化对接
4. 风险监测联动：分类分级系统与数据风险监测系统联动，实现数据实时流动监测和数据异常风险的监测。
5. 项目投入：数据分类定级人天投入：100人天
6. 实施步骤（含里程碑）
   1. 数据接入（2021 年 8 月中旬）
      1. 完成数据接入方式定制开发
      2. 实现数据接入完成
   2. 分级模板接入（2021 年 9 月初）
      1. 券商：200 + 标签
      2. 金融服务：300 + 标签
      3. 科技服务：40 + 标签
   3. 智能打标（2021 年 10 月底）
      1. 券商：200 + 标签 + 300 + 识别策略
      2. 金融服务：300 + 标签 + 500 + 识别策略
      3. 科技服务：40 + 标签 + 50 + 识别策略
   4. 结果交付（2021 年 11 月中旬）
      1. 交付智能化平台、指导手册、定级清单，完成风险监测联动

（二）分级保护措施

 

以分类分级系统 + 服务为基础，通过多元化赋能方式，为数据安全风险技术保障、合规评估、管理制度保障提供支撑。

1. 核心模块分点
   • 分类分级基础层（系统 + 服务）
     • 分类分级系统：含多元数据接入、资产底账、分级模板、自动定级策略、智能化引擎等能力
     • 分类分级服务：提供整体视图、变更视图、专家咨询、运营支持
   • 多元化赋能方式
     • API 接口类：赋能审计、脱敏、访问控制等系统接口
     • 清单类：输出个人信息、重要数据、高敏数据等资产清单
     • 报告类：提供分类分级标准、权限使用、合规风险等报告
   • 赋能对象
     • 数据安全风险技术保障：覆盖数据风险监测、数据脱敏、数据库运维管控、数据库加密、数据库安全管理平台
     • 数据安全合规风险评估
     • 数据安全管理制度保障
2. 实施步骤
   1. 搭建分类分级基础能力：部署分类分级系统，配套服务支持（视图、咨询、运营）
   2. 输出多元化赋能成果：开发 API 接口、编制各类资产清单、生成多维度报告
   3. 支撑安全保障体系：将赋能成果对接至技术保障、合规评估、制度保障等环节

案例三、某银行客户-数据安全风险评估和咨询规划

 

项目分三期推进数据安全能力建设，同时通过六大交付部分输出 32 份交付物，覆盖现状评估、分类分级、制度建设等全流程。

1. 三期能力建设分点
   1. 一期（已交付）：构建数据可知能力
      • 核心动作：
        • 依据数据安全现状评估结论，结合业务场景下的数据安全风险分析，主要从人员、制度、流程、技术工具等方面整改现存的数据安全问题
        • 部署必要的数据安全相关技术工具盘点行内数据资产数量、数据暴露面等要素
        • 打基础一数据分类分级自动化工具
        • 知外患一API风险监测工具
        • 解内忧一应用数据风险监测工具
   2. 二期：构建全链路数据流动安全管控能力
      • 核心动作：
        • 联动现有数据安全技术工具与阶段一新增的管控手段，从数据资产多源头识别，到数据网络流动监测、业务数据使用风险场景监测，到最终数据落地终端使用行为分析，通过汇总以上各部分的数据安全事件，对数据全链路流动风险实现自动发现、识别、预警，做到"可视、可感、可控"。
   3. 三期：强化数据安全防护体系
      • 核心动作：
        • 定期对数据安全组织架构、规章制度、标准流程、控制策略、技术工具等方面的落地和执行情况进行审查和复盘。
        • 包括数据分类分级运营、数据流动风险运营、数据合规评估运营、数据泄漏应急运营等
2. 六大交付部分及步骤
   1. 现状评估（已完成-已审核）：输出项目工作说明书、X农云问题清单及整改建议、数据分析平台问题清单及整改建议、数据安全治理评估报告、数据安全检查清单、大零售问题清单及整改建议、省联社整体问题清单及整改建议、数据安全监测报告
   2. 分类分级（已完成-已审核）：输出X农云系统字段、数据平台SDM层字段、数据分析平台系统字段、ECIF系统字段、大零售系统字段、数据平台LDM层字段、X农信数据标准(基础类)、用户生物特征信息表字段
   3. 管理制度（已完成-已审核）：输出组织架构及任务分工、数据分级管控措施、应急响应管理制度、应急响应模版、信息系统建设数据安全建议、全生命周期管理制度、分类分级操作规程、相关方检查清单、数据管理规程、数据共享模版、第三方检查清单
   4. 蓝图规划（已完成-已审核）：输出数据安全蓝图规划、数据安全管理工具建议
   5. 整改复测（进行中）：输出数据安全复测报告
   6. 培训宣贯（进行中）：输出数据安全培训 PPT、数据安全考核题库