金融数据安全分类分级方法

随着大数据、人工智能、云计算等新技术在金融业的深入应用，数据逐步实现了从信息化资产到生产要素的转变，其重要性日益凸显。

金融数据复杂多样，对数据实施分级管理，能够进一步明确保护对象，有助于金融业机构合理分配数据保护资源和节约成本，是金融业机构建立完善的金融数据生命周期保护框架的基础，也是关键性数据安全防护的前提条件。

同时，数据分类分级能够有效促进金融数据在机构间、行业内的安全共享，有利于金融行业数据价值的挖掘与实现。

01 数据分类分级概述

《数据安全法》的第二十一条“国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护”。

数据分类分级相关概念：

1）分类分级对象：数据分类分级的对象通常是数据项、数据集，比如提供金融产品或服务过程中采集的数据、业务数据、经营管理数据等。

2）数据分类：具有多种视角和维度，其主要目的是便于数据管理和使用。

3）数据分级：为了保护数据安全，不同级别的数据应采取不同的保护措施。

4）数据分类分级清单：数据分类分级之后的结果，为金融数据安全治理和防护提供精准化措施。

5）定期开展：金融数据的类别级别可能因时间变化、政策变化、安全事件发生、不同业务场景的敏感性变化或相关行业规则不同而发生改变，因此需要对金融数据分类分级进行定期审核并及时调整。
02 金融数据安全分类分级的业务流程

第一步顶层设计

制定数据分类分级标准。根据国家相关标准、金融行业相关标准、结合金融业务特性制定金融业数据安全分类分级标准或规范，金融数据安全分类分级工作可以按照《JRT 0197-2020 金融数据安全数据安全分级指南》的相关标准执行。顶层设计阶段需要建立敏感数据指引、敏感数据分类分级指引，同时要明确需遵循的法律法规。

第二步数据分类

利用技术工具识别是否存在法律法规或主管监管部门有专门管理要求的数据类别，并对识别的数据类别进行区分标识；从金融领域维度，确定待分类数据的数据处理活动涉及的领域；完成上述数据分类后，结合金融数据分类分级相关标准，综合采用面分类法和线分类法相结合的方法。

不论是对数据资产进行梳理、标准化，还是数据的确权、管理，亦或是提供数据资产服务，有效的数据分类都是首要任务。敏感数据发现是数据分类分级的基础，也是客观判断的前期条件，如对个人基本信息、财产信息、风险标签信息、银行账号等多种数据进行判断，及时发现金融业机构内部敏感数据。

第三步数据分级

数据分类分级的准确度是后续数据保护策略部署的基础，数据的分级是数据重要性的直观化展示，分级结果是组织内部管理体系编写的基础、是技术支撑体系落地实施的基础、是运维过程中合理分配防护资源的基础。

金融数据安全定级的具体流程如下：

《JRT 0197-2020 金融数据安全数据安全分级指南》中根据金融业机构数据安全性遭受破坏后影响对象和所造成的影响程度，将数据安全级别从高到低划分了五级，并且对每一级数据特征做了说明。提供了数据安全定级规则参考说明以及规范数据定级流程，为金融业机构开始数据安全分类分级建设提供了可落地的参考标准。

表 21数据安全定级规则参考表

第四步精细化防护策略

数据分类分级更大的意义在于对分类分级后的数据如何进行精细化安全防护。数据分类分级要考虑数据多种特性，其中包括数据安全防护的问题，金融业机构需认真考虑如何利用现有设备或新增安全防护设备有针对性地加深数据安全防护粒度，从而减轻资金、人员、运维等综合投入成本，在此前提下，数据分类分级则显得尤为重要。

通过人工与技术工具结合的方式进行数据安全分类分级，数据分类分级设备通过通用接口，可与其他数据安全防护单元分享分类分级结果，专业数据分类分级设备将敏感数据结果发送给各数据资产管理员分别进行整改，形成数据安全防护闭环。

第五步安全运营

数据分类分级工作是一个长期持续的过程，需要在组织内持续性地基于组织业务变化和技术发展不断的调整和优化，金融业机构需要强化技术手段，提升管控能力。

根据分类分级结果制定数据管控策略，实施管控措施，全景展示数据安全态势，持续运营改进。

推荐中心
CSI - 数据塔
中软国际数据塔（DataTower）提供全链路的数据服务，以数据治理与数据运营双引擎驱动，是面向数字化业务，为客户实现数据业务化的使能平台。

欢迎大家探讨、交流。

文章转载：金融数据安全分类分级方法