CN114118212A - 一种基于dsmm的数据分类分级方法 - Google Patents

Abstract

本发明涉及数据安全领域，特别涉及一种基于DSMM的数据分类分级方法，包括以下步骤：A.业务细分：对企业业务进行细分，同时确定每类所述业务的关联数据的管理主体；B.数据分类：收集、整理企业业务系统中的全部数据，对数据进行统计分析，将对应数据总和与匹配的业务类别进行关联，根据业务特性对数据总和进行多层次的类别划分；C.级别判定：根据数据分类结果，对数据进行级别判定，获得数据定级结果。本发明的分类分级方法通过对企业系统中的数据进行扫描，结合企业的实际业务，从而梳理出该系统中与业务相关联的数据，对数据进行分类分级，从而达到精细化管理的目的。

Description

一种基于DSMM的数据分类分级方法

技术领域

本发明涉及数据安全领域，尤其涉及一种基于DSMM的数据分类分级方法。

背景技术

企业在运营和管理过程中由于数据资产的管理混乱，没有理清敏感数据在数据资产中的分布，敏感数据与业务的关联性，哪些数据能够直接对外公开等不够清晰，从而增加了数据泄露的风险，同时对数据的定义混乱，导致数据分散成信息孤岛，而过期失效的数据又占用了大量的资源，因此企业想要对数据统一、有效地管理分散在各业务的数据，合理分配存储数据的资源，对数据进行分类分级管理是十分有必要的。

为了防止数据泄露的发生，企业会对其数据资产进行分类管理，一般包括公开数据和非公开数据，且仅限于对结构化数据(如企业资质文件、员工信息、财务数据、项目资料等)的分类管理，未能完全明确数据的管理者和使用者，且未对数据的级别进行定义，敏感数据泄露的风险仍然存在，导致无法通过DSMM评估。此外，现有技术还存在以下缺点：不具备对数据资产进行识别和梳理的能力；不具备根据业务数据的特征和范围识别和分类的能力；缺乏灵活性，无法根据不同行业特征进行分类分级管理；缺乏对数据进行分级标识的能力；缺乏实用性，不能为数据保护提供有效的信息。

发明内容

本发明旨在解决现有技术不能数据资产进行可靠的梳理，难以为数据保护提供有效信息等问题。

为了解决上述技术问题，本发明采取的技术方案为：

一种基于DSMM的数据分类分级方法，包括以下步骤：

A.业务细分：对企业业务进行细分，同时确定每类所述业务的关联数据的管理主体；

B.数据分类：收集、整理企业业务系统中的全部数据，对数据进行统计分析，将对应数据总和与匹配的业务类别进行关联，根据业务特性对数据总和进行多层次的类别划分；

C.级别判定：根据数据分类结果，对数据进行级别判定，获得数据定级结果。

进一步的，步骤A中将业务细分为业务一级子类和业务二级子类，所述管理主体在业务二级子类确定。

进一步的，步骤B中还包括：根据企业数据的标识规则，对分类后的数据进行标识，然后识别所述业务系统中的数据是否全部进行标识，并判断标识的结果是否符合所述标识规则。

进一步的，步骤B对数据分类后，明确数据的具体数据形态，所述数据形态包括所处的系统、存储的媒介、物理位置。

进一步的，步骤B中将数据总和细分为至少三个层级，包括数据一级子类、数据二级子类和数据三级子类。

进一步的，所述步骤C级别判定中数据级别包括机密数据、保密数据和公开数据三个级别。

进一步的，所述步骤C级别判定中数据的级别包括公开、内部、保密、机密四个级别。

进一步的，所述步骤C级别判定中数据的级别包括普通数据、一般数据、重要数据和特别重要数据四个级别。

进一步的，所述数据包括以物理或电子形式记录的数据表、数据项、数据文件。

与现有技术相比，本发明的有益效果为：本发明的分类分级方法通过对企业系统中的数据进行扫描，结合企业的实际业务，从而梳理出该系统中与业务相关联的数据，对数据进行分类分级，从而达到精细化管理的目的；不仅具备对数据资产进行识别和梳理的能力，还可以根据业务数据的特征和范围对数据进行识别和、分类和分级标识，灵活性和实用性较强，从而可以根据不同行业特征对数据进行分类分级管理，为DSMM评估人员提供有效的信息，有效的提升评估效率、评估准确性和通过率。

附图说明

图1是本发明实施例的数据分类分级流程示意图；

图2是本发明实施例的数据层级体系示意图。

具体实施方式

下面结合附图对本发明的具体实施方式作进一步说明。在此需要说明的是，对于这些实施方式的说明用于帮助理解本发明，但并不构成对本发明的限定。此外，下面所描述的本发明各个实施方式中所涉及的技术特征只要彼此之间未构成冲突就可以相互组合。

参照图1至2，本发明的一种基于DSMM的数据分类分级方法，包括以下步骤：

首先，由于数据因业务而产生，供业务需要使用，无业务需求，也无数据的产生和消费；因此，第一步需理清业务，才能区分业务涉及的具体数据。具体的，先对企业业务进行细分，根据企业业务线等实际情况，将业务细分为业务一级子类和业务二级子类，其中，业务一级子类为业务线最上层类别，业务二级子类为下级类别；同时确定每个业务二级子类的关联数据的管理主体，数据的管理主体的确定可以为后续数据分类的准确性和定级的准确性提供基本保证。

第二步，数据分类：收集、整理企业业务系统中的全部数据，包括所有产生、采集、加工、使用或管理的数据，具体为以物理或电子形式记录的数据表、数据项、数据文件等。然后对数据进行统计分析，将对应数据总和与匹配的业务二级子类进行关联，再根据该业务二级子类的业务特性对对应的数据总和进行多层次的类别划分，细分为三个层级，包括数据一级子类、数据二级子类和数据三级子类，即每一与二级子类关联的数据总和细分为多个数据一级子类，每一个数据一级子类细分为多个数据二级子类，每个数据二级子类细分为多个数据三级子类，并确保每个数据三级子类下都有数据，不设没有意义的类目，并且数据类别划分要符合对数据分类的普遍认识，确保后续分级结果能够为数据保护提供有效信息。数据三级子类划分之后，明确其数据所处的系统、存储的媒介、物理位置等具体数据形态，实现数据形态的定位。

为了便于后续识别并判定数据级别，根据企业数据的标识规则，对分类后的数据进行标识，然后识别业务系统中的数据是否全部进行标识，并判断标识的结果是否符合所述标识规则。

第三步，级别判定：根据数据分类结果和标识记录，识别数据并对数据进行级别判定，级别判定中数据的级别包括但不限于公开(L1)、内部(L2)、保密(L3)、机密(L4)四个级别，最终获得数据定级结果，完成数据的分类和分级。

通过本发明方法，对企业系统中的数据进行扫描，结合企业的实际业务，基于DSMM中对于数据分类分级的要求，从数据采集、传输、存储、处理、交换、销毁等数据全生命周期角度出发，结合相关的技术工具(如：独立的软件、系统、平台或算法技术等)建立数据分类分级管理体系，梳理出该系统中与业务相关联的数据，厘清企业数据资产，对数据资产进行分类分级管理，从而达到精细化管理的目的；不仅具备对数据资产进行识别和梳理的能力，还可以根据业务数据的特征和范围对数据进行识别和、分类和分级标识，针对不同行业的客户选择调整方法，灵活性、针对性和实用性较强，从而可以根据不同行业特征对数据进行分类分级管理，为DSMM评估人员提供有效的信息，有效的提升评估效率、评估准确性和通过率。此外，本发明使用范围广，对于政务类企业、电信行业、交通行业均适用。

此外，本发明方法还具有科学性、稳定性和扩展性。科学性：按照数据的多维特征及其相互间的逻辑关联进行科学和系统地分类，按照数据安全需求确定数据的安全等级。稳定性：以数据最稳定的基本特征和属性为依据制定分类和分级方案。扩展性：数据分类和分级方案在总体上应具有概括性和包容性，能够对组织各种类型数据开展分类和分级，并满足将来可能出现的数据的分类和分级要求。

实施例一：

甲企业是一家服务业企业，在对该企业进行DSMM评估前，对其业务数据进行分类分级的步骤如下：

第一阶段，业务细分：

业务细分目标：对业务线(业务一级子类)细分后，得到一系列有较清晰界限的业务二级子类。

细分方法：依据具体业务的管理主体对硬管理范围(MS-MS)对业务一级子类细分。

过程说明：根据企业系统实际情况，将业务一级子类细分为不同的业务二级子类。除特殊情况外业务线仅细分到二级。

该企业数据分类的结果如下：

根据该企业内部的数据分类相关规定和标准，将该企业的业务线作为业务一级子类，并将其细分为客户数据、业务数据和企业数据3个业务二级子类，并确定每类业务的管理主体，具体如下：

A1.客户数据：客户基本信息和客户提供给企业使用的数据，如个人信息(姓名、生日、手机号、爱好、地址、出生地、身份证号等)、银行信息、证券信息、交易信息等。

A2.业务数据：企业业务开展所需要的数据，如：客户行为数据、新品设计信息、物料信息、供应链信息、形象包装、价格策略、SKU规划、站内外推广信息等，一级根据客户数据和客户行为数据加工获得的数据；。

A3.企业数据：企业的财务数据、管理数据及运营数据；企业内部系统、对外服务系统等产生的数据，各种系统的账户和密码；企业员工在所有的工作中产生的订单、HR、营收、应收账款等数据，以及由上述数据衍生的所有数据或文档。

分类结果如下表所示：

表1甲企业内部数据分类表

(C)	(S)	(B)
			客户数据	业务数据	企业数据

第二阶段，数据分类：

数据分类目标：确定业务二级子类对应的“单类业务数据总和”，对“单类业务数据总和”细分得到数据一级子类，如有必要，对数据一级子类进行细分，得到数据二级子类，以及对数据二级子类再细分得到数据三级子类。

数据分类步骤：

B1.依据第一阶段划分的每个业务二级子类的“管理范围”对应的“管理对象”(MS-MO)，对数据进行归类，确定对应业务子类的“单类业务数据总和”，“单类业务数据总和”包括各种数据表、数据项、数据文件等，这是一个过渡性成果，用于确定业务二级子类下存在的数据。

B2.按照数据性质、重要程度、管理需要、使用需要等要素，将“单类业务数据总和”细分为不同的数据一级子类。数据一级子类再细分，得到数据二级子类。数据分类层级过少，不利于定级；过多，不利于管理。一般划分到适合税务系统定级需要即可，不宜超过三个层级。

第三阶段，级别判定：

数据级别包括机密数据、保密数据和公开数据三个级别，其中：

机密数据：一旦泄露，可能造成企业重大战略决策和业务无法实施和开展，或遭受较大的经济损失、监管问责、大范围的负面社会和声誉影响等；

保密数据：信息泄露会对企业的经营管理和业务正常运转产生不利影响，或使企业遭受轻微的经济损失；

公开数据：已对全社会公开的信息以及准备公开的信息。信息泄露不会对企业的经营管理和业务正常运转产生不利影响，不会使公司的安全和利益遭受损害。

分级结果如下表所示：

表2甲企业内部数据分级表

L1	L2	L3
			公开	保密	机密
Public	Confidential	Secret

级别判定目标：对已完成分类的数据子类进行定级。

级别判定应考虑的其他因素：

1)数据体量与级别的影响。

2)数据的聚合与分类分级的变更。

3)数据的时效性与级别的关系。

4)数据的获取与提供对级别的影响。

5)数据的汇总、统计、分析、加工对级别的影响。

级别判定步骤：

采用基于影响的判定方法，由影响对象、影响范围、影响程度、敏感度四要素进行判定，在前述数据分类的基础上，对已分类数据按照安全属性被破坏后造成的影响进行分级，形成统一的分类分级结果。

最后得到的分类分级结果如下表所示：

表3甲企业内部数据分类分级表

实施例二：

乙公司是一家科技公司，在对该公司进行数据分类分级的步骤如下：

第一步，业务细分：数据一般因业务而产生，供业务需要使用；无业务需求，也无数据的产生和消费；首先需要理清业务，才能区分业务涉及的具体数据。按照业务进行划分，乙公司的业务可以分成下表中的六类：

表4乙公司业务分类表

第二步，数据分类：收集、整理全部数据资产，数据资产包含以物理或电子形式记录的数据表、数据项、数据文件等；对数据资产进行简单分类，包括但不限于下表中的类别：

表5乙公司数据资产清单

第三步，数据分级和标识：收集所有产生、采集、加工、使用或管理的数据，对数据进行明确的定义，并根据第二步的分类方法对数据进行分级并标识。标识时，根据数据重要程度的不同，将数据分为公开数据、一般数据、重要数据、特别重要数据四级，分别使用D1、D2、D3、D4来对相应级别下的数据进行标识，具体等级描述如下：

D1：包括但不限于官网对外发布的新闻、公司介绍、管理制度、考核标准、招聘简章等；

D2：主要包括公司的员工通讯录、员工信息、项目案例、项目实施文档、资产登记表单等；

D3：包括但不限于系统存储的数据库中的数据、系统操作日志、工资信息、财务报表、商务渠道报价等

D4：主要包括商务合同、招投标书、客户数据、云盘归档文件、核心专利技术、公司资质等。

乙公司的数据分类分级情况详见表6：

表6乙公司数据分类分级标识表

以上结合附图对本发明的实施方式作了详细说明，但本发明不限于所描述的实施方式。对于本领域的技术人员而言，在不脱离本发明原理和精神的情况下，对这些实施方式进行多种变化、修改、替换和变型，仍落入本发明的保护范围内。

Claims (9)

1.一种基于DSMM的数据分类分级方法，其特征在于：包括以下步骤：

A.业务细分：对企业业务进行细分，同时确定每类所述业务的关联数据的管理主体；

B.数据分类：收集、整理企业业务系统中的全部数据，对数据进行统计分析，将对应数据总和与匹配的业务类别进行关联，根据业务特性对数据总和进行多层次的类别划分；

C.级别判定：根据数据分类结果，对数据进行级别判定，获得数据定级结果。

2.根据权利要求1所述的基于DSMM的数据分类分级方法，其特征在于：步骤A中将业务细分为业务一级子类和业务二级子类，所述管理主体在业务二级子类确定。

3.根据权利要求1所述的基于DSMM的数据分类分级方法，其特征在于：步骤B中还包括：根据企业数据的标识规则，对分类后的数据进行标识，然后识别所述业务系统中的数据是否全部进行标识，并判断标识的结果是否符合所述标识规则。

4.根据权利要求1所述的基于DSMM的数据分类分级方法，其特征在于：步骤B对数据分类后，明确数据的具体数据形态，所述数据形态包括所处的系统、存储的媒介、物理位置。

5.根据权利要求1所述的基于DSMM的数据分类分级方法，其特征在于：步骤B中将数据总和细分为至少三个层级，包括数据一级子类、数据二级子类和数据三级子类。

6.根据权利要求1所述的基于DSMM的数据分类分级方法，其特征在于：所述步骤C级别判定中数据级别包括机密数据、保密数据和公开数据三个级别。

7.根据权利要求1所述的基于DSMM的数据分类分级方法，其特征在于：所述步骤C级别判定中数据的级别包括公开、内部、保密、机密四个级别。

8.根据权利要求1所述的基于DSMM的数据分类分级方法，其特征在于：所述步骤C级别判定中数据的级别包括普通数据、一般数据、重要数据和特别重要数据四个级别。

9.根据权利要求1所述的基于DSMM的数据分类分级方法，其特征在于：所述数据包括以物理或电子形式记录的数据表、数据项、数据文件。

Images