光大视点丨强监管背景下企业数据安全的制度建设_技术分析

前篇文章中，笔者团队就强监管背景下企业数据合规如何实现规范化运作进行了简单的梳理，本篇则将着重分析：在强监管背景下，企业应当如何有效地进行数据安全的制度化建设。

目前《数据安全法》已经将“数据分类分级保护制度”上升至国家层面，并确立了重要数据保护、数据安全审查、数据安全管理、风险监测等多项制度等基本制度（相关制度概述如图1所示）。

640 (4).png

（图1 数据安全的制度概述）

其中，数据分类分级保护制度及与此相对应的重要数据保护制度对企业数据管理而言至关重要，企业在开展数据合规时首先应当明确上述制度的内容，并以上述制度为指引对数据进行具体管理。除上述制度外，在个人信息保护领域，《个人信息保护法》对个人信息处理者明确提出了开展个人信息保护影响评估的要求，企业如何开展个人信息保护影响评估亦是企业合规要点。下文将围绕上述三个制度的具体内容进行详细论述。

数据分类分级保护制度

1、数据分类分级保护的意义

（1）保障企业数据安全

通过落实数据分类分级，企业可以明确自身拥有哪些数据、数据存储的位置、数据处理的权限、不同数据的价值和风险等，使得企业对数据的使用及保护更加有迹可循，并指引企业针对性地采取适当、合理的管理手段和安全防护措施，确保数据资产管理安全。

（2）促进企业自身发展

通过落实数据分类分级，可以帮助企业在数据利用前期就做好规划，有利于后期更有效且高效地处理及保护数据，提升运营效率。同时，在大数据、人工智能、云计算等新型技术深入应用背景下，数据资产的精细化管理将成为企业业务优化的发力点或突破点，凸显企业的竞争力。

2、数据分类分级的操作指引

640 (5).png

（图2 数据分类分级操作指引）

640 (6).png

（图3 数据分类规则）

数据分类是指根据数据的属性或特征企业如何进行有效的数据分析，将其按照一定的原则和方法进行区分和归类，并建立起一定的分类体系和排列顺序的过程。数据分类是数据资产管理的第一步，是实现集中化、专业化、标准化数据管理的基础。一方面，将具有相同属性或特征的数据归集并形成不同的类别，能够更好地管理和使用数据；另一方面，将数据进行分类能够更好地应对不同领域乃至不同行业出台的、有差异的信息安全保护标准和措施。

企业应优先遵循国家、行业的数据分类要求，参考《网络安全标准实践指南——网络数据分类分级指引》等规定中提出的分类、分级标准。在此基础之上，企业还可按照自身实际经营情况确定分类依据，如可以按照组织经营维度进行数据分类，包括用户数据、业务数据、经营管理数据、系统运行和安全数据等。

640 (7).png

（图4 数据分级规则）

640 (8).png

（图5 数据定级流程）

数据分级是指在数据分类的基础上，以数据的重要性和敏感度差异为依据，按照一定的分级原则对其进行定级，从而为组织数据的开放和共享安全策略制定提供支撑的过程。从上述图表内容来看，《网络数据分类分级指引》建议从数据安全保护的角度，考虑影响对象和影响程度两个要素进行分级。按照数据一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对个人、组织合法权益造成的危害程度，将一般数据从低到高分为 1 级、2 级、3 级、4 级共四个级别。对于重要数据、核心数据两大类别，将其独立设置成单独级别进行管理。

例如，企业可依据以下标准针对一般数据可进行1-4级分类：

企业如何进行有效的数据分析_企业财务报告-基于数据的分析·甄别和管理_运用财务报表进行企业分析与估价

640 (9).png

（图6 企业数据分级参考）

企业在完成数据分类、分级工作后，应当形成数据目录及文字版的数据分类分级管理制度企业如何进行有效的数据分析，并在实际经营过程中依据数据目录及上述制度，对不同类型、不同级别的数据采取差异化的保护措施（如对敏感数据进行脱敏、对高等级数据进行加密、采取数据使用权限管控等措施等）。同时，企业还应当对自身数据情况进行持续监控与维护，并对数据分类分级制度进行不断更新。

重要数据保护制度

640 (10).png