案件还原：今年6月24日，，，，，，中共中央网信办颁布布告，，，，，，为防备国度数据安全风险，，，，，，守护国度安全，，，，，，保险公共利益，，，，，，凭据《国度安全法》《网络安全法》《数据安全法》，，，，，，依照《网络安全审查法子》（下称《法子》），，，，，，2022年6月23日，，，，，，网络安全审查办公室约谈同方知网（北京）技术有限公司掌管人，，，，，，颁发对知网启动网络安全审查。。。。。

    图网络安全审查办公室对知网启动网络安全审查

    01

    知网被查背后

    沉要行业沉要数据关乎国度安全

    凭据“网信中国”传递，，，，，，知网把握着大量幼我信息和涉及国防、工业、电信、交通运输、天然资源、卫生健全、金融等沉点行业领域沉要数据，，，，，，以及我国沉大项目、沉要科技成就及关键技术动态等敏感信息。。。。？？？？？Ｄ芄凰，，，，，，在数字经济时期，，，，，，数据安全直接关乎着国度主权和国度安全，，，，，，其沉要性已经毋庸置疑。。。。。

    “大无数企业都知路数据安全很沉要，，，，，，但并不明显自己的沉要数据、敏感数据等存储在哪儿、哪些环节流通、哪些业务在挪用、暗藏着哪些风险。。。。。”值此《数据安全法》正式执行一周年之际，，，，，，作为本期数据安全“四台甫侦探”之一，，，，，，ca88登陆平台数据安全治理部总经理楚贇以为，，，，，，以数据分类分级为主题的数据安全治理，，，，，，是数据安整个系化建设落地执行的基础。。。。。

    02

    分类分级做不好

    数据安全必然会“；；；；；；；姆”

    从今年国度级的攻防演习了局来看，，，，，，由于沉要、敏感数据被攻方获取，，，，，，进而迷失好多分数的企业单元不在少数。。。。。经分析发现，，，，，，好多企业在网络安全的天堑防护、终端防护、流量威胁检测及响应方面，，，，，，做得极度美满，，，，，，然而由于不足对数据的分类分级，，，，，，在数据安全防护上存在显著的软肋，，，，，，导致在演习中企业的沉要数据和敏感数据被等闲获取，，，，，，吃亏很大。。。。。

    从多个真实案例来看，，，，，，数据分类分级做不好，，，，，，必然会导致几个了局：

    首先是无法满足《数据安全法》中的有关合规要求。。。。。

    《数据安全法》明确提出国度沉要数据、主题数据的概想，，，，，，即关系国度安全、国民经济命脉、沉要民生、沉大公共利益等数据，，，，，，并要求对此类数据尝试越发严格的治理造度。。。。。显然，，，，，，对于拥有承载着大量科研科技数据的知网而言，，，，，，科技安满是国度安全的沉要组成部门，，，，，，好多反映科技成就的数据也会直接影响国度安全。。。。。

    楚贇以为，，，，，，知网不仅仅是个案，，，，，，对于所有把握着与国度安全、沉点科延注国计民生缜密有关沉要和敏感数据的企业平台而言，，，，，，火急必要从合规角度，，，，，，成立数据分类分级治理造度，，，，，，对数据进行分类分级，，，，，，鉴别出涉及国度和行业领域安全的沉要数据、主题数据、幼我信息数据，，，，，，并基于分类分级了局、对敏感数据和沉要数据的流转及使用情况，，，，，，结合企业场景化的数据安全风险分析及数据安全能力需要分析，，，，，，造订企业的数据安全战术和技术防护保险措施。。。。。

    其次是无法适应数据规模发作式增长带来的安全挑战。。。。。

    当前，，，，，，随着数字化转型的深刻，，，，，，企业的数据规模呈发作式增长，，，，，，泛在化流动，，，，，，并且向平台化集中，，，，，，同时，，，，，，随着业务系统上云、数据交互和流通（甚至存在跨境传输）需要的增长，，，，，，针对于企业业务数据层面的安全治理、安全防护问题也逐步增多，，，，，，数据安全大局复杂且变得严格。。。。。

    若何对海量数据进行有针对性的防护，，，，，，推进数据安全有序的流动、保险业务利用安全的使用、实时发现潜在数据安全风险并实时措置等，，，，，，都是企业当前数据安全治理与防护的难题。。。。。

    最后是难以支持企业数据安全；；；；；；；さ某Ｌ卫。。。。。

    企业在数字化过程中，，，，，，数据类型多、数据起源复杂、体量大，，，，，，若是对所罕见据无差距地进行安全治理和防护，，，，，，对于数据安全治理人员来说就显得不科学和不现实。。。。。因而，，，，，，摸清企业的数据资产底账，，，，，，鉴别要沉点；；；；；；；さ墓丶葑什拖缘糜任烈，，，，，，将数据分类分级治理和工作发展赋能到企业的各业务条线，，，，，，在业务发展过程中就做好数据的分类分级，，，，，，鉴别出必要沉点；；；；；；；さ墓丶，，，，，，作为常态化治理工作是一种必然。。。。。

    03

    从冬奥项目看企业若何发展数据分类分级

    那么，，，，，，企业该若何发展数据分类分级工作？？？？？？在2022北京冬奥的数据安全保险中，，，，，，对于冬奥数据的分类分级实际，，，，，，拥有很好的启迪。。。。。

    2022北京冬奥能够说是数字科技含量最高的一届冬奥会，，，，，，运行着60多个技术系统，，，，，，蕴含角逐、组织及协调、观赛出席典礼、观赛履历、裁判及较量组织、传布及报路等多个类型。。。。。仅从用户的维度，，，，，，就可分为活带头、技术官员、媒体、贵宾、观多、工作人员等六大用户。。。。。所有这些，，，，，，都产生出海量数据，，，，，，衍生出一系列存储、流转、处置等各类场景，，，，，，其沉要和敏感等级千差万别，，，，，，都必要针对性的数据分类分级解决规划。。。。。

    图北京冬奥会涉及业务环境

    “数据的分类分级其实是两项复杂的工作，，，，，，一个是凭据数据的属性和特点等划分类别，，，，，，第二个是凭据数据的安全性遭到粉碎后带来的影响来划分安全等级。。。。。”楚贇以为。。。。。

    在冬奥数据的分类分级过程中，，，，，，凭据数据的特点和属性的分歧，，，，，，将数据划分为幼我数据、较量数据、业务数据、运行和安全数据四大类别。。。。。在安全分级方面，，，，，，则凭据数据的影响对象和水平，，，，，，结合流转场景和安全需要的分歧，，，，，，冬奥数据安全保险团队将其划分为公开级（L1）、内部级（L2）、敏感级（L3）、高敏感级（L4）四个等级。。。。。

    图冬奥数据分类分级

    如图所示，，，，，，幼我敏感信息（如生物鉴别、网络身份鉴权、幼我健全生理、幼我财富等），，，，，，较量保密数据、业务保密数据（如预算和投资打算、财政报表等财政保密数据）、运行和安全保密数据（如网络设备/IT系统/利用的密码及关联信息、主题网络设备及IT系统配置数据）等都属于L4高敏感数据。。。。。

    对于这些高敏感数据，，，，，，在流转领域方面，，，，，，则依照核准的授权列表严格治理，，，，，，不容对表披露或共享高敏感级数据。。。。。在管控方面，，，，，，执行严格的技术和治理措施，，，，，，；；；；；；；な莸幕苄浴⑵肴院涂捎眯，，，，，，应加密存储确保数据接见节造安全，，，，，，并成立严格的数据安全治理规范以及数据实时监控机造。。。。。

    凭据这样的分类分级框架和指引，，，，，，任何数据，，，，，，都能够对应相应的类别和分级。。。。。这样，，，，，，就能够凭据分歧的级别、使用场景，，，，，，造订针对性的安全战术，，，，，，落实有关治理措施、技术措施、运营服务等。。。。。

    对于宽大企业客户而言，，，，，，若何借鉴冬奥项目，，，，，，做好数据的安全治理和分类分级？？？？？？楚贇以为，，，，，，企业首先要凭据行业或者处所的合规要求，，，，，，结合自身的业务和数据安全治理的需要，，，，，，结合处所及行业最佳实际，，，，，，造订适合企业自身的数据安全分类分级尺度和规范，，，，，，明确企业分类分级工作发展的具体要求，，，，，，步骤、流程等，，，，，，规范企业的数据分类分级工作。。。。。其次，，，，，，在数据分类分级工作的具体发展过程中，，，，，，企业能够结合自身情况，，，，，，先选择部门主题业务系统发展数据资产的盘点和分类分级的试点工作，，，，，，形成内部最佳实际，，，，，，逐步发展全域数据的分类分级工作。。。。。

    04

    做好数据安全

    需循序渐进、把握四个方面

    对于宽大政企客户而言，，，，，，数据安全的建设火烧眉毛，，，，，，楚贇以为，，，，，，数据安满是一项持久复杂工程，，，，，，必要组织、造度和流程各方面的保险，，，，，，不能一挥而就，，，，，，企业必要从以下四个方面着手，，，，，，循序渐进发展数据安全能力建设。。。。。

    首先要切换视角，，，，，，萦绕“；；；；；；；こ烈葑什”为主张，，，，，，发展数据安全治理，，，，，，去梳理业务、鉴别典型业务场景，，，，，，梳理数据资产，，，，，，做好分类分级，，，，，，鉴别沉要的数据资产，，，，，，摸清现有的治理及技术防护的近况，，，，，，盘清家底。。。。。

    图数据安全治理整体蹊径

    而后，，，，，，萦绕沉要的数据资产，，，，，，沉新审视已有的安全措施是否有效并覆盖到了对沉要数据资产的；；；；；；；，，，，，，加强基础安全能力建设，，，，，，补足短板。。。。。

    同时，，，，，，以数据分类分级为基础，，，，，，去规划设计数据安全防护系统，，，，，，结合业务的场景化以及火急性，，，，，，有序建设，，，，，，逐步补全安全能力，，，，，，将数据安全能力全面覆盖数据在流转过程中的各阶段，，，，，，涉及数据采集、传输、存储、处置、互换和销毁等各环节，，，，，，使安全能力内生于业务系统以及数据信息化基础环境建设中，，，，，，在业务流程中按需挪用，，，，，，矫捷配置安全能力，，，，，，达到深度融合、全面覆盖。。。。。

    最后，，，，，，定期发展数据安全能力评估，，，，，，不休优化和提升数据安全能力，，，，，，持续运营，，，，，，只有不休美满、不休改进，，，，，，数据安全路路能力越走越远

    总而言之，，，，，，安全工作只有起点，，，，，，没有终点，，，，，，企业的数据安全不成能一劳永逸。。。。。楚贇建议，，，，，，企业必要发展数据安全治理和分类分级，，，，，，成立相应的造度、流程、规范等，，，，，，以分类分级为基础，，，，，，进行数据安全治理系统、技术防护系统、运营系统的规划和设计。。。。？？？？？Ｄ芄凰，，，，，，以数据分类分级为主题的数据安全治理，，，，，，是数据安整个系化建设落地执行的基础。。。。。

    本文部门图片起源于网络