高 磊 趙章界 林野麗 翟志佳

1(北京市大數據中心 北京 100101)

2(北京市鑫諾律師事務所 北京 100053)

3(中電長城網際系統(tǒng)應用有限公司 北京 102209)

《數據安全法》的出臺具有重要里程碑意義：一方面標志著數據安全已在法律層面上升為國家安全，和國防安全、網絡安全同等重要；另一方面標志著數字經濟野蠻生長的時代已經過去，安全合規(guī)將成為未來發(fā)展的必然趨勢.《數據安全法》第二十一條明確規(guī)定，國家建立數據分類分級保護制度，對數據實行分類分級保護.也就意味著在法律層面，數據分類分級工作已成為政府、企事業(yè)單位等行業(yè)開展數據處理活動必須遵守的義務.

近年來，關于數據分類分級保護的研究一直持續(xù)升溫，如基于業(yè)務和數據敏感度的[1]、基于美國的受控非密信息管理制度的[2]和基于元數據管理的[3]，在金融[4-5]、醫(yī)療[6-7]、政務[8-10]等領域也有相關研究基礎.以上數據分類分級方法一般是根據數據的敏感屬性和安全保護要求等因素對數據的類別和級別進行劃分，具有一定的參考價值.本文在《數據安全法》的基礎上，從數據處理活動的合規(guī)性視角出發(fā)，針對數據分類和數據分級分別提出較為細粒度的原則和方法，并以數據項為基礎單元給出數據分類和數據分級相結合的實施路徑和實踐經驗，以期達到更好的數據分類分級實施效果.

1 數據分類分級的意義

根據《數據安全法》第七、第十一、第十三條等有關規(guī)定，對數據進行分類分級具有重要的現實意義：

1) 促進數字經濟發(fā)展的穩(wěn)定因素.數據資源是重要的生產要素，安全、合規(guī)、有序地利用好數據資源是推進數字經濟蓬勃發(fā)展的重要保證.數據分類分級能夠對數據進行精細化、規(guī)范化管理，避免陷入雜亂無序的狀態(tài).

2) 建立數據流通規(guī)則的先決條件.數據只有流動起來才會具有價值，明確數據流通的要求、流程和要點，建立配套的流通規(guī)則是開展各項工作的前提條件.數據分類分級又是這一前提的先決條件，因為規(guī)則的制定要與數據的類型和級別相對應.

3) 開展數據安全保護的最佳實踐.數據分類分級是數據安全保護的重要抓手，目前我國部分行業(yè)和地區(qū)已經開始了數據分類分級制度的建設和實踐，并取得較大突破和進展[11].根據數據類型特點、數據級別高低確定對數據應當采取的技術手段和管理措施，能夠很好地實現數據安全與充分利用的有效平衡.

數據分類分級工作意義重大，需要科學、合理地進行規(guī)劃和設計，提出切實可行的原則和方法，并在實施過程中兼顧數據應用場景、業(yè)務需要、安全屬性、合規(guī)性保護等方面.

2 數據分類方法

2.1 數據分類思路

可以根據多種維度對數據進行分類.例如，根據數據的主體可分為個人信息、黨政機關數據、企業(yè)數據、社會團體數據等；根據應用場景可分為金融數據、交通數據、醫(yī)療數據、教育數據、政務數據等；根據敏感屬性可分為高敏感數據、較敏感數據和低敏感數據等；根據重要程度可分為關鍵數據、重要數據、一般數據等.無論根據何種維度，數據的分類應服務于業(yè)務應用和安全保護，且不能隨意分類，應當遵循一定的分類原則.

2.2 數據分類原則

為確保數據分類的科學性、合規(guī)性和適用性，便于各行業(yè)參考實施，應當遵循以下原則：

1) 法律屬性原則.數據分類應首先考慮現有法律、法規(guī)及規(guī)章層面對數據的既有分類，即首先考慮不同數據的法律屬性，以明確和落實相關主體對不同法律屬性的數據進行處理時的合法性或限制性要求.

2) 體系性原則.數據分類應建立層層劃分、層層隸屬、從整體到部分的分類體系，體系中劃分在不同類型的數據相對獨立，同一層級的數據類別之間相斥.

3) 穩(wěn)定性原則.應選擇分類對象最穩(wěn)定的本質特征作為數據分類的基礎和依據，不改變政府機關、企事業(yè)單位、社會團體等組織開展業(yè)務的方式和流程，客觀描述在方式和流程中所處理、 產生的數據.

4) 規(guī)范性原則.數據分類應遵循國家法律法規(guī)、標準規(guī)范以及行業(yè)條例和行業(yè)標準，符合組織內部的管理制度和安全策略.

5) 可擴展性原則.數據分類結果應可根據法律法規(guī)的新增規(guī)定或新頒布的法律進行相應擴展，即可在基本分類的基礎上劃分出特定類型.

2.3 數據類型劃分

根據《數據安全法》第二十一條：“……國家數據安全工作協調機制統(tǒng)籌協調有關部門制定重要數據目錄，加強對重要數據的保護……”,重要數據是首先區(qū)分出的數據類型，因此可作為一類.個人信息由于其明顯的可識別特征也可作為一類.我國“十四五”規(guī)劃和2035年遠景目標綱要提出了公共數據開放共享相關要求，標志著公共數據開放已成為國家重要戰(zhàn)略規(guī)劃內容之一[12].對于公共數據管理主體(本文指通過依法履行職責、提供公共服務而產生或處理各類數據的各級行政機關以及具有公共管理和服務職能的企事業(yè)單位)來說，應當識別出需要開放的公共數據，釋放公共數據的社會價值；對于其他數據處理者來說，基于其獲得公共開放數據是有條件還是無條件，也需要遵循不同的合規(guī)義務.因此公共開放數據也可作為一類.此外，還存在組織內部業(yè)務數據、商業(yè)秘密等既非重要數據，又不是個人信息，也不涉及公共開放的數據，這些數據可歸為其他數據.綜上，數據可劃分為重要數據、個人信息、公共開放數據、其他數據4種基本類型，各類型數據的描述如表1所示：

表1 數據基本分類及其描述

數據分類是體系化結構，基本分類還可繼續(xù)劃分為子類、子類的子類等.例如，根據《數據安全法》第二十一條：“……關系國家安全、國民經濟命脈、重要民生、重大公共利益等數據屬于國家核心數據，實行更加嚴格的管理制度……”，重要數據可分為核心數據和非核心數據，核心數據還可根據不同地區(qū)、行業(yè)等再進行細分；根據《信息安全技術 個人信息安全規(guī)范》附錄A[13]，個人信息可分為個人身份信息、個人生物識別信息、個人健康生理信息等10余個類型，還可根據敏感屬性分為高敏感、較敏感和低敏感個人信息等；根據數據開放的風險程度，可將公共開放數據分為無條件開放、有條件開放2類；根據行業(yè)標準[14]、地方法規(guī)、組織內部規(guī)章制度等，可將其他數據分門別類.

3 數據分級方法

3.1 數據分級思路

對于結構化數據，數據級別是指數據項(數據庫表的某一列)或數據項集合(數據庫表的多個列)的級別；對于非結構化數據，數據級別一般是指某個文件或文件集合的級別.數據分級的顆粒度不能太粗，如僅分為2個級別，容易導致“一刀切”，缺乏精細化.也不能太細，實施起來較為復雜，缺乏可操作性.因此數據級別以4～5級為宜.數據級別的取值在遵循法律法規(guī)及相應標準規(guī)范的基礎上可以靈活處理.例如，采用問卷調查的方式[15]，根據調研結果適當調整，這樣會具有較好的應用效果.

數據級別的判定應綜合考慮數據的應用場景、重要程度、遭受破壞后的影響等多個因素，并采用定性和定量相結合的方法，力求數據級別準確合理.如果沒有特殊指出，本文所討論的數據級別都是指數據的安全級別.

3.2 數據分級原則

數據分級應遵循以下原則：

1) 安全屬性原則.數據分級的主要目的是為了實施數據安全保護，因此數據級別應與數據的安全屬性(如保密性、完整性、可用性)密切關聯.

2) 結果導向原則.數據級別應與數據遭受破壞后的結果相吻合，結果越嚴重，數據級別越高.

3) 綜合判定原則.數據級別應充分考慮數據應用場景、數據項組合情況、數據量大小等因素，力求數據分級準確合理.

4) 棄低取高原則.針對數據項的定級，應取該數據項所有判定結果中級別的最高值；針對數據項集合的定級，應取該數據項集合中所有數據項級別的最高值.

3.3 數據級別判定

數據級別主要取決于數據發(fā)生泄露、篡改、丟失或濫用后的影響對象、影響廣度、影響深度等因素，各因素及其相關描述如下.

3.3.1 影響對象

由《數據安全法》第二十一條“……根據數據在經濟社會發(fā)展中的重要程度，以及一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，對國家安全、公共利益或者個人、組織合法權益造成的危害程度，對數據實行分類分級保護……”可知，影響對象包括國家安全、公共利益、個人合法權益和組織合法權益4類，相關描述如表2所示：

表2 影響對象及其描述

需要指出的是，本文中的影響對象是抽象概念，需要現實中的具體對象來進行對應.國家安全對應的是社會穩(wěn)定、經濟運行等可衡量的宏觀指標；公共利益對應的是公眾；個人合法權益對應的是每個自然人；組織合法權益對應的是政府機關、企事業(yè)單位以及其他組織等.

3.3.2 影響廣度

影響廣度可理解為影響規(guī)模，根據規(guī)模大小可分為較小范圍、較大范圍和超大范圍，相關描述如表3所示.

表3 影響廣度及其描述

較小范圍不涉及國家安全和公共利益，僅對個人、組織合法權益造成影響，但能夠影響的組織數量相當有限，影響的自然人數量不會超過一定規(guī)模.對影響的自然人數量的界定參考了《最高人民法院、最高人民檢察院關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》中的第五條：“非法獲取、出售或者提供公民個人信息,具有下列情形之一的,應當認定為刑法第二百五十三條之一規(guī)定的‘情節(jié)嚴重’： ……(三)非法獲取、出售或者提供行蹤軌跡信息、通信內容、征信信息、財產信息五十條以上的；(四)非法獲取、出售或者提供住宿信息、通信記錄、健康生理信息、交易信息等其他可能影響人身、財產安全的公民個人信息五百條以上的；(五)非法獲取、出售或者提供第三項、第四項規(guī)定以外的公民個人信息五千條以上的……”[16]，并將各情形的數量和數據敏感度相對應.較大范圍不涉及國家安全，但涉及公共利益，即影響的組織及數量與公共利益存在直接或間接的關系，影響的自然人數量也具有一定規(guī)模.超大范圍是一個宏觀概念，涉及國家安全，對影響的自然人數量的界定參考了《網絡安全審查辦法(修訂草案征求意見稿)》中第六條：“掌握超過100萬用戶個人信息的運營者赴國外上市，必須向網絡安全審查辦公室申報網絡安全審查.”[17]

3.3.3 影響深度

根據事件的嚴重性，數據的安全性遭到破壞后可能對影響對象造成輕微、一般、嚴重和特別嚴重4種深度的影響，相關描述如表4所示：

表4 影響深度及其描述

影響深度的判定帶有一定的主觀性，應根據數據的應用場景、重要程度、流通性等進行綜合評判，各行業(yè)還應結合行業(yè)標準給出具體判定準則和裁量依據.

3.4 數據級別與影響因素的對應關系

綜上所述，數據的安全性遭到破壞后，根據影響對象、影響廣度、影響深度的不同，可對數據的級別進行區(qū)分.本文采用矩陣法將數據級別與影響因素一一對應，具體對應關系如圖1所示.

圖1 數據級別與影響因素的對應關系

本文將數據級別分為4級，級別越高，數據越重要，對其安全性要求就越高.由于較小范圍不涉及公共利益，較小范圍、較大范圍不涉及國家安全，因此相應情形做不適用處理, 用“N/A”表示.結合表1和圖1，得出如表5所示的數據類型和數據級別的對應關系.

表5 數據類型和數據級別的對應關系

如表5所示，重要數據由于影響國家安全，其數據級別至少為三級，其他類型的數據均涵蓋一至四級.在實際分級中，考慮到應用場景、數據敏感度等因素，建議公共開放數據和其他數據的級別范圍定為一至三級，如果需要特別指出或重點防護，可定為四級，但同時應采取配套的安全措施.

4 數據分類分級實踐

4.1 數據分類分級實施路徑

由本文給出的數據分類和數據分級方法可知，開展數據分類分級工作的最小實施單元是數據項，在梳理和分析數據項類型和級別的基礎上建立完善的數據分類分級臺賬，如圖2所示.

圖2 數據分類分級臺賬

具體實施路徑(步驟)如下：

1) 識別數據范圍.通過調研分析理清家底，明確數據分類分級的數據項范圍.

2) 形成數據初始臺賬.根據業(yè)務應用情況，匯總梳理各數據項名稱、數據量大小、數據安全屬性等基本要素.

3) 劃分數據基本類型、子類.根據是否屬于國家或行業(yè)、地區(qū)重要數據目錄中的數據類別，是否屬于個人信息，以及是否應予開放(主要針對公共數據管理主體)等條件將數據項(或數據項集合)劃分為4個基本類型，再根據各類型特點繼續(xù)劃分為若干子類.

4) 補充完善數據臺賬.根據數據類型、子類劃分情況，形成數據分類臺賬，補充完善數據臺賬，使各數據項和數據類型一一對應.

5) 初步判定數據級別.將子類中的每個數據項逐一進行級別判定.首先判定影響對象(1個數據項可能有多個影響對象)，其次判定影響廣度(1個影響對象對應1個影響廣度)，最后判定影響深度(1個影響對象對應1個影響深度)，形成數據項級別(可能有多個級別)清單.數據級別中各影響因素的判定方法包括專家研判、內部評審、以往案例參考等.

6) 確定數據項最終級別.根據棄低取高的原則，某個數據項(或數據項集合)的最終級別為所有判定結果中數值最高的那個級別.

7) 形成數據分類分級臺賬.根據最終的數據項級別，補充完善數據臺賬，使各數據項的類型和級別相對應.

值得注意的是，數據的類型和級別可能會在處理(脫敏、去標識、聚合分析等)過程中發(fā)生變化，這時應當按照圖2的實施路徑對涉及的數據項(或數據項集合)的類型和級別進行重新判定和更新，并更新相應的數據分類分級臺賬信息.

4.2 典型業(yè)務應用場景實踐

為檢驗該實施路徑的可行性，選取了某企業(yè)快遞業(yè)務為試點應用場景，梳理了該業(yè)務涉及的數據范圍，利用本文提出的數據分類和數據分級方法逐步建立了數據分類分級臺賬，收到良好效果.具體結果如圖3所示:

圖3 某企業(yè)快遞業(yè)務數據分類分級實踐示例

如圖3所示，該業(yè)務應用場景涉及的數據可分為個人信息、公共開放數據和其他數據3類(由于本地區(qū)、本行業(yè)尚未出臺重要數據目錄，因此暫不考慮重要數據).由于該企業(yè)非公共數據管理主體，在判定影響對象時，僅考慮個人和組織合法權益，對公共利益、國家安全的影響暫不考慮.針對個人信息，該企業(yè)用戶數量超過1 000萬，因此部分個人信息的影響廣度判定為超大范圍，其他個人信息根據實際數量進行影響廣度的判定.影響深度的判定結合專家經驗以及在與該企業(yè)相關負責人充分溝通的基礎上進行.根據矩陣法確定各類數據的數據項級別，最終形成該業(yè)務場景下的數據分類分級臺賬.

5 結束語

數字經濟蓬勃發(fā)展的今天，數據分類分級顯得尤為重要，它是一個值得學者們不斷推敲完善的研究方向.本文基于《數據安全法》的有關規(guī)定，以數據遭受破壞后的影響對象、影響廣度和影響深度為抓手，提出了較為細粒度的數據分類、數據分級的原則和方法，并給出數據分類與數據分級相結合的實施路徑，對各行業(yè)落地實施數據分類分級工作起到了一定的指導作用.