【 1-4 】
分类分级
知识点说明:数据分类回答“这是什么数据”,数据分级回答“这些数据有多重要、需要多强的保护”。先横向分清类别,再纵向确定级别,才能把有限的管理时间和保护措施集中到真正重要的数据上,而不是所有资料都用同一种方式管理。
配方和报表,怎么分开管?
新疆尼娅面包厂的共享文件夹里,核心配方、内部生产日报和门店促销资料一直放在一起。周厂长发现员工找文件越来越慢,还经常有人问:“这份能不能发给别人?”他想把资料理顺,却不知道应该从哪里开始。
张婷先把现有文件横向分类,很快归成3类资料:核心配方、内部经营资料、对外公开资料。再按泄露或被修改后对工厂的影响纵向分级。促销海报本来就是给顾客看的,生产日报主要供内部使用,而核心配方直接关系产品和经营,显然不能采用同样的管理方式。
以前的问题就在这里:3类资料虽然用途不同,却放在同一个入口、执行同一种规则。员工每次使用前都要重新询问“能不能看、能不能发”,管理人员也反复判断。同样的问题一次次重新确认,时间被消耗在没有提前分清属性上。
张婷没有建立复杂系统,只抓住“文件分类标签”这个链接点。她把原来的文件夹重新分成3类,并分别标上公开、内部、核心;核心配方限制访问,内部资料按岗位使用,公开资料直接放到公共区域。
资料属性确定以后,员工不再每次都从头判断。3类资料有了3种清楚的使用边界,原来耗在寻找、询问和确认上的时间随之减少,最重要的数据也得到了更集中的保护。
01 · 重点摘要
重点和必记
重点
- 分类维度包括业务领域、数据主体、数据内容、数据来源、数据形态、处理用途和合规属性。
- 分级依据泄露、篡改、损毁、丢失、非法获取或利用所造成的影响程度。
- 分级重点考虑保密性、完整性、可用性、个人权益、组织经营和公共利益。
- 教学示例采用一级至五级模型,级别越高,授权、加密、脱敏、审计、监测和风险评估要求越强。
- 实施步骤:资产清单、分类、识别特殊属性、分析影响、确定级别、添加标签、配置措施、定期复核。
必记
- 分类与分级是两个连续工作:先确认类别和属性,再根据受损影响确定级别。
- 分类分级结果必须转化为可执行的保护措施和标签。