呂 波

（石化盈科信息技術有限責任公司，北京 100007）

隨著我國數(shù)字化戰(zhàn)略在石油化工方面的快速推進，海量工業(yè)數(shù)據(jù)產生。這些數(shù)據(jù)充分描述了石油化工在各方面的發(fā)展歷程，匯集石化企業(yè)長期以來積累的科研和生產管理經驗，是石化企業(yè)的重要核心資產，具有重大的技術經濟價值。作為新的生產要素，數(shù)據(jù)是數(shù)字經濟的核心關鍵，充分挖掘油氣生產過程的數(shù)據(jù)，是現(xiàn)階段石化企業(yè)的重要工作，有助于加速數(shù)字化轉型進程，提升企業(yè)的生產決策能力。對數(shù)據(jù)進行有效的分類分級，是實現(xiàn)數(shù)據(jù)保護以及數(shù)據(jù)利用的重要條件。

1 油化數(shù)據(jù)分類分級現(xiàn)狀和方法

隨著石化企業(yè)數(shù)字化轉型，各種石化數(shù)據(jù)成指數(shù)增長，傳統(tǒng)的數(shù)據(jù)分類分級手段無法有效處理勘探、煉采、轉儲等生產環(huán)節(jié)的數(shù)據(jù)，難以為數(shù)據(jù)的保護工作提供有效支撐。因此，深入研究油化數(shù)據(jù)的特點，開展數(shù)據(jù)分類分級工作，對消除“數(shù)據(jù)孤島”，促進生產協(xié)同，實現(xiàn)能源大數(shù)據(jù)的更高價值，提升數(shù)據(jù)安全性、有效性與易用性具有重要意義。

油化數(shù)據(jù)的分類分級是一項復雜的、充滿挑戰(zhàn)的系統(tǒng)工程，需要充分了解勘探開發(fā)、煉化運輸?shù)雀魃a環(huán)節(jié)產生的IT數(shù)據(jù)、OT數(shù)據(jù)，在制定標準、規(guī)范流程、定義屬性、分類分級等方面開展工作。在數(shù)字化、智能化的背景下，細致完成數(shù)據(jù)分類分級工作，讓數(shù)據(jù)充分發(fā)揮要素價值的同時，可以更好更精細地制定管控措施，切實保障油化數(shù)據(jù)安全。

1.1 按業(yè)務屬性分類

石油化工行業(yè)生產和經營管理活動中產生、采集、加工、使用或管理的各類數(shù)據(jù)，包括但不限于以下：

油氣勘探開發(fā)過程中產生和獲取的相關數(shù)據(jù)，如物化探數(shù)據(jù)、地質油藏數(shù)據(jù)、井筒工程數(shù)據(jù)等；企業(yè)生產過程中產生和獲取的相關業(yè)務數(shù)據(jù)，如供應鏈管理數(shù)據(jù)、設備管理數(shù)據(jù)、生產管控數(shù)據(jù)等；企業(yè)經營管理過程中產生和獲取的相關數(shù)據(jù)，如財務數(shù)據(jù)、資產數(shù)據(jù)、人力資源數(shù)據(jù)等；通過付費或數(shù)據(jù)共享等方式有償獲得的第三方數(shù)據(jù)，如勘探開發(fā)地質數(shù)據(jù)、氣象數(shù)據(jù)、海況數(shù)據(jù)等；其他生產經營活動需要的數(shù)據(jù)，如地理信息數(shù)據(jù)、人文數(shù)據(jù)等。

1.2 按數(shù)據(jù)類型分類

石油化工行業(yè)數(shù)據(jù)按照數(shù)據(jù)類型包括結構化數(shù)據(jù)、非結構化數(shù)據(jù)及半結構化數(shù)據(jù)。

結構化數(shù)據(jù)，由明確定義數(shù)據(jù)類型的數(shù)據(jù)元素組成，數(shù)據(jù)元素之間具有統(tǒng)一且確定關系。非結構化數(shù)據(jù)，是由沒有統(tǒng)一和確定關系的數(shù)據(jù)元素組成。數(shù)據(jù)元素之間具有不同的內部結構，無法預定義統(tǒng)一的數(shù)據(jù)模型或模式進行表達和存儲，如各種圖形圖像數(shù)據(jù)、時間序列數(shù)據(jù)、體數(shù)據(jù)、音視頻數(shù)據(jù)、日志數(shù)據(jù)、地理信息數(shù)據(jù)、社交網絡數(shù)據(jù)和三維模型數(shù)據(jù)等。非結構化數(shù)據(jù)在企業(yè)全部數(shù)據(jù)的占比較大，約在80%以上。半結構化數(shù)據(jù)，是指數(shù)據(jù)元素之間的關系介于結構化數(shù)據(jù)和非結構化數(shù)據(jù)之間，具有非關系模型、基本固定結構模式的數(shù)據(jù)，包括日志文件、XML文檔、JSON文檔、E-mail等。

2 油化數(shù)據(jù)分類分級工作的需求分析與挑戰(zhàn)

2.1 油化數(shù)據(jù)分類分級工作的需求分析

1）落實法律法規(guī)的需要。國家對數(shù)據(jù)資源十分重視，近年來陸續(xù)頒布實施《網絡安全法》《數(shù)據(jù)安全法》《關鍵信息基礎設施安全保護條例》等一系列法律法規(guī)，旨在建立、推動數(shù)據(jù)安全的上層架構，在法律法規(guī)中也明確規(guī)定了要建立數(shù)據(jù)分類分級制度。

2）貫徹國家數(shù)字經濟發(fā)展戰(zhàn)略的需要。2022年1月，國務院印發(fā)的《“十四五”數(shù)字經濟發(fā)展規(guī)劃》提出，到2025年初步建立數(shù)據(jù)要素市場體系。充分發(fā)揮數(shù)據(jù)要素作用，建立數(shù)據(jù)資源產權、交易流通、跨境傳輸和安全保護等基礎制度和標準規(guī)范，推動數(shù)據(jù)資源開發(fā)利用，數(shù)據(jù)分類分級工作勢在必行。

3）數(shù)據(jù)協(xié)同的需要。油化數(shù)據(jù)是我國工業(yè)重要的基礎數(shù)據(jù)之一，涉及多專業(yè)、多設備的參與，對提升工業(yè)價值、促進工業(yè)創(chuàng)新具有重要意義。但由于在油化生產的勘探、煉采、儲運、銷售等各環(huán)節(jié)形成了結構化、非結構化、半結構化的數(shù)據(jù)格式，需要建立一套切實有效的數(shù)據(jù)分級分類標準、原則、制度、流程、平臺等手段，壓實基礎，能夠更好地體現(xiàn)油化數(shù)據(jù)的價值。

4）數(shù)據(jù)安全的需要。貫徹落實國家層面法律法規(guī)，依據(jù)工業(yè)和信息化指導文件，落實數(shù)據(jù)安全防護工作，加強數(shù)據(jù)分類分級管理、安全防護、安全評估、安全監(jiān)測等能力，提升行業(yè)數(shù)據(jù)安全防護水平，建設滿足現(xiàn)有需求同時能夠可持續(xù)發(fā)展的數(shù)據(jù)安全防護體系是數(shù)字化轉型的基礎工作之一。

2.2 油化數(shù)據(jù)分類分級工作的挑戰(zhàn)

1）數(shù)據(jù)源不清晰。由于數(shù)據(jù)散落在各個異構系統(tǒng)中，數(shù)據(jù)結構、數(shù)據(jù)類型、存儲形式、敏感級別、重要程度各不相同，分級分類條理模糊。企業(yè)對數(shù)據(jù)資產的記錄可能隨著時間流逝、人員變動等原因產生梳理盲點的情況，可以采用技術掃描資產信息、人工配合的形式來盡量達到數(shù)據(jù)源的全覆蓋。

2）數(shù)據(jù)分類維度確定。數(shù)據(jù)分類的目的是要便于數(shù)據(jù)的管理、利用，基本原則是分類合理。建議先根據(jù)數(shù)據(jù)的管理歸屬以及業(yè)務情況對數(shù)據(jù)進行大類劃分，再依據(jù)數(shù)據(jù)屬性劃分出子類，為了保證后續(xù)分級的準確性，最后根據(jù)自身情況對數(shù)據(jù)子類再次進行更細致分類。

3）數(shù)據(jù)復雜且海量。通過AI技術對海量數(shù)據(jù)進行數(shù)據(jù)分類分級，一方面可有效規(guī)避人工方式出錯率高的風險，另一方面可降低人工分類分級的成本，同時可實現(xiàn)全天候分類，增加分類分級的持續(xù)性和迭代性。在此基礎上，結合人工決策，為系統(tǒng)數(shù)據(jù)分類分級策略配置和結果進行甄別調整。

4）數(shù)據(jù)分類分級的持續(xù)性。數(shù)據(jù)是動態(tài)和流動的，業(yè)務也是不斷新增和發(fā)展的，分類分級清單也會不斷變化?！豆I(yè)企業(yè)數(shù)據(jù)安全防護要求（草案）》給出了工業(yè)企業(yè)數(shù)據(jù)安全防護的管理要求和全生命周期保護要求，重點針對不同安全級別的工業(yè)數(shù)據(jù)提出分級防護要求。建議企業(yè)要保持數(shù)據(jù)分類分級的持續(xù)性，并強化數(shù)據(jù)全生命周期的安全保障。

3 石油化工行業(yè)數(shù)據(jù)分類分級工作的落地建議

3.1 組織架構保障

數(shù)據(jù)分類分級工作的開展應具備組織保障，設立并明確有關部門（或組織）及其職責。決策層負責制定企業(yè)數(shù)據(jù)戰(zhàn)略、審批或授權，全面協(xié)調、指導和推進企業(yè)的數(shù)據(jù)分類分級工作；管理層主要負責建立企業(yè)數(shù)據(jù)分類分級的完整體系，制定實施計劃，統(tǒng)籌資源配置、建立數(shù)據(jù)分類分級常態(tài)化管理機制，組織評估數(shù)據(jù)分類分級工作的有效性和執(zhí)行情況，制定并實施問責和激勵機制；執(zhí)行層在管理層的統(tǒng)籌安排下，根據(jù)相關制度規(guī)范的要求，具體執(zhí)行各項工作。

3.2 制度規(guī)范保障

數(shù)據(jù)分類分級工作的開展應具備制度保障，明確并落實相關工作要求。包括但不限于：數(shù)據(jù)分類分級的目標和原則；數(shù)據(jù)分類分級工作涉及的角色、部門及相關職責；數(shù)據(jù)分類分級的方法和具體要求；數(shù)據(jù)分類分級的日常管理流程和操作規(guī)程，以及分類分級結果的確定、評審、批準、發(fā)布和變更機制；數(shù)據(jù)分類分級管理相關績效考評和評價機制；數(shù)據(jù)分類分級結果的發(fā)布、備案和管理的相關規(guī)定。

3.3 數(shù)據(jù)安全防范思路

對于石油化工領域的數(shù)據(jù)安全管理和能力建設，應聚焦業(yè)務領域數(shù)據(jù)的內容、特征，緊貼業(yè)務應用場景，以分類分級為基礎，圍繞重要數(shù)據(jù)、核心數(shù)據(jù)，開展分級防護與精細化管控、安全能力評估并持續(xù)運營。

3.3.1 以數(shù)據(jù)分類分級為基礎，識別重要數(shù)據(jù)資產

石油化工行業(yè)各生產環(huán)節(jié)中產生和使用的數(shù)據(jù)類型眾多、數(shù)據(jù)來源復雜、體量大，將數(shù)據(jù)分類分級管理和開展工作賦能到工業(yè)企業(yè)相關業(yè)務條線，識別重點保護的數(shù)據(jù)類型，并進行常態(tài)化管理是一種必然。為此應至少做到以下幾點：

1）識別并對石油化工企業(yè)各個業(yè)務條線數(shù)據(jù)的敏感性進行評價，識別出具有業(yè)務成果性、關鍵性、重要性、核心性數(shù)據(jù)，區(qū)分敏感數(shù)據(jù)類型，并進行數(shù)據(jù)安全類型和數(shù)據(jù)安全級別的標記。

2）按照工業(yè)和信息化領域的相關要求，需識別出對國家安全、行業(yè)發(fā)展（安全管控、經濟運行、行業(yè)競爭）、行業(yè)特色、出庫管制、供應鏈安全等相關的重要數(shù)據(jù)和核心數(shù)據(jù)，并按照要求完成其備案管理工作。

3.3.2 識別主要業(yè)務場景，強化基礎安全防護能力

不同業(yè)務場景下面對的數(shù)據(jù)安全風險不同，每段業(yè)務流程中對數(shù)據(jù)的安全訪問與數(shù)據(jù)的級別、類別、數(shù)據(jù)全生命周期無法做到一一對應，在業(yè)務場景中根據(jù)數(shù)據(jù)全生命周期的邏輯而落地技術保護措施難度較大。因此，針對于數(shù)據(jù)量大、數(shù)據(jù)來源復雜、數(shù)據(jù)業(yè)務場景眾多的情況，要從識別業(yè)務場景出發(fā)，構建數(shù)據(jù)安全能力。

1）典型業(yè)務場景識別：在工業(yè)企業(yè)的眾多業(yè)務場景中，在不同的工業(yè)業(yè)務信息系統(tǒng)中，數(shù)據(jù)的類型、敏感性存在差異化。厘清并識別出工業(yè)企業(yè)關鍵性、核心性業(yè)務場景，是做數(shù)據(jù)安全風險識別的先決條件。

2）數(shù)據(jù)安全風險識別：選擇典型的業(yè)務應用場景，圍繞敏感數(shù)據(jù)（含重要數(shù)據(jù)、核心數(shù)據(jù)），通過開展數(shù)據(jù)安全維度的威脅建模、風險分析，從而暴露出典型業(yè)務場景中的數(shù)據(jù)安全風險問題。

3）數(shù)據(jù)安全能力持續(xù)：圍繞識別的數(shù)據(jù)安全風險，通過其暴露的安全問題，選取針對性的數(shù)據(jù)安全能力，并落地技術防護措施，在支撐企業(yè)業(yè)務正常開展的同時，確保典型業(yè)務場景下數(shù)據(jù)安全使用和數(shù)據(jù)安全能力的可持續(xù)。

3.3.3 基于數(shù)據(jù)分類分級結果實施分級管控與防護策略

數(shù)據(jù)安全管理的主要職責需要從企業(yè)全局和實際現(xiàn)狀考慮，在構筑數(shù)據(jù)安全管理體系時應充分考慮現(xiàn)有企業(yè)的相關管理體系、組織結構和人員組成等情況，確定各相關方的數(shù)據(jù)安全管理職責。企業(yè)數(shù)據(jù)安全管理體系的構建需要做到以下幾點：

1）優(yōu)化數(shù)據(jù)安全管理體系，在企業(yè)原有相關的安全體系下構建數(shù)據(jù)安全管理體系，優(yōu)化數(shù)據(jù)安全管理組織架構。

2）明確數(shù)據(jù)安全組織職能分工，確定數(shù)據(jù)安全主管部門（信息化部或數(shù)字化部）各相關方職責。其中各相關方包含采購、人力、研發(fā)設計、生產制造、運營維護、銷售營銷、法務、審計等。

3）明確數(shù)據(jù)安全崗位職責與說明，通過數(shù)據(jù)安全相關管理制度明確具體內容。數(shù)據(jù)安全管理制度包括但不限于數(shù)據(jù)安全管理辦法、數(shù)據(jù)分類分級規(guī)范、數(shù)據(jù)安全審計規(guī)范、數(shù)據(jù)安全評估辦法、數(shù)據(jù)安全應急管理制度、數(shù)據(jù)內部登記審批制度等。

相關企業(yè)在開展業(yè)務時，對數(shù)據(jù)訪問、使用等環(huán)節(jié)應基于業(yè)務視角，對數(shù)據(jù)類型、數(shù)據(jù)流轉的系統(tǒng)與載體、流轉的數(shù)據(jù)量級、流轉目的、數(shù)據(jù)存儲位置、數(shù)據(jù)的消費方、數(shù)據(jù)使用方式等內容進行梳理，并結合數(shù)據(jù)分類分級結果，構建精細化的數(shù)據(jù)安全防護策略，其中包含但不限于：

1）分級防護策略：結合數(shù)據(jù)分類分級結果、數(shù)據(jù)全生命周期維度，從數(shù)據(jù)安全管理、數(shù)據(jù)安全技術防護視角構建數(shù)據(jù)安全防護策略。

2）精細化訪問控制策略：從業(yè)務訪問數(shù)據(jù)資源的需求出發(fā)，制定可落地的訪問控制策略或技術措施，保護訪問角色、系統(tǒng)賬戶密碼安全，做到數(shù)據(jù)資產統(tǒng)一訪問納管。

3）場景化防護策略：圍繞業(yè)務場景和數(shù)據(jù)流轉，梳理數(shù)據(jù)脈絡，識別數(shù)據(jù)的訪問關系，制定貼合業(yè)務場景的數(shù)據(jù)安全防護策略。

3.3.4 持續(xù)數(shù)據(jù)安全能力評估，加強數(shù)據(jù)安全事件運營

開展數(shù)據(jù)安全能力評估是從綜合評價的角度，運用科學的方法和手段，系統(tǒng)地分析和診斷工業(yè)數(shù)據(jù)所面臨的威脅及其存在的脆弱性，以此來評估企業(yè)數(shù)據(jù)安全防護水平，發(fā)現(xiàn)數(shù)據(jù)安全能力的弱項和短板，及時查漏補缺，提升自身的數(shù)據(jù)安全能力，通過持續(xù)的數(shù)據(jù)安全能力評估活動，使企業(yè)在自身數(shù)據(jù)安全全方位能力建設過程中夯實基礎、穩(wěn)扎穩(wěn)打。數(shù)據(jù)安全能力評估主要參照《工業(yè)數(shù)據(jù)安全評估指南（草案）》規(guī)定的104項數(shù)據(jù)安全能力進行評估，從評估結果得分確定工業(yè)企業(yè)數(shù)據(jù)安全能力的強弱，其中包含：

1）通用性數(shù)據(jù)安全管理能力評估，包含評估數(shù)據(jù)安全管理制度、組織機構、人員保障、權限管理、系統(tǒng)與設備安全管理、供應鏈數(shù)據(jù)安全管理、安全評估、日志留存和審計、監(jiān)測預警、信息共享和應急處置等通用性的數(shù)據(jù)安全能力。

2）分級防護能力評估，通過對不同等級的數(shù)據(jù)，在數(shù)據(jù)使用和管理等各個環(huán)境，進行全生命周期的差異化分析和評估，從而制定合理有效的防護策略。在數(shù)據(jù)安全監(jiān)測環(huán)節(jié)，需要合理利用工具，保障數(shù)據(jù)安全防護的持續(xù)、有效運營。

數(shù)據(jù)安全風險監(jiān)測的重點是數(shù)據(jù)風險的發(fā)現(xiàn)和控制，通過技術手段識別、規(guī)避和緩釋業(yè)務各個環(huán)節(jié)上的數(shù)據(jù)安全風險，建立數(shù)據(jù)風險評估機制，通過對數(shù)據(jù)風險的發(fā)生概率、影響對象以及影響程度進行綜合性分析，按照系統(tǒng)化、及時掌握石化企業(yè)數(shù)據(jù)安全風險態(tài)勢，科學化管理思想，分析研判可能發(fā)生重大數(shù)據(jù)安全事件風險的情況。

圍繞數(shù)據(jù)流動監(jiān)測、數(shù)據(jù)風險管理、數(shù)據(jù)風險評估等能力，實現(xiàn)對數(shù)據(jù)安全風險的態(tài)勢、數(shù)據(jù)安全事件溯源的感知。具體包括，對單位時間段內的數(shù)據(jù)資產分布、敏感數(shù)據(jù)量、敏感數(shù)據(jù)類型等指標進行統(tǒng)計分析與趨勢預測；對數(shù)據(jù)資產流動的程序和載體，如數(shù)據(jù)庫、應用、API等涉敏對象采取敏感數(shù)據(jù)量、敏感數(shù)據(jù)類型等指標進行統(tǒng)計分析與趨勢預測；對分布在不同位置、不同時間、不同類別、不同級別的數(shù)據(jù)資產的安全告警、事件處置等指標進行統(tǒng)計分析與趨勢預測。圍繞數(shù)據(jù)分布、流動、風險3個維度，為運營人員構建清晰的宏觀視圖。對于安全事件溯源能力，應通過對數(shù)據(jù)資產內容和相關方溯源，將可疑的“人”“數(shù)”“證據(jù)”等信息按時間順序組織成為事件鏈，為運營人員構建細致的微觀視圖。