运维日记丨数据分类分级之人社行业案例

新运维新数据 2023-03-20

1372

各位新朋友～记得先点蓝字关注我哦～

项目背景

为切实提升人力社保数据安全保障能力，加强对重要数据和个人信息保护。2021年1月某省人社厅下发了《某省人力资源和社会保障提升数据安全保障能力专项行动的通知》，将数据资产梳理作为基础的工作目标和重点任务，为数据分类分级工作奠定了基础。某市作为人社数据分类分级场景的试点，推进人社数据资产梳理盘点工作，支撑政府决策和便民服务、满足合规需求，建设数字人社，开展以梳理数据资产为前提，落实数据分类分级，厘清数据关联关系及使用共享情况，确保数据全生命周期安全和有效管理。

现状分析

近年来，人社行业对数据的重视程度不断提高，已经采取了多种数据安全管控措施，但多为单点管控，尚缺乏一套完整的安全管控体系。在落实数据分类分级的过程中，人社行业往往面临如下三方面的挑战：

第一，指导层面，缺少行业性、专业性的参考标准。项目建设之初，没有行业性数据分类分级标准；项目实施过程中，人社部下发了《人力资源社会保障行业数据分类分级规范》，但该文件对数据级别的划分较粗，各级部门需要在该文件指导下深入细化，研究出适合自身的分类分级策略。

第二，业务层面，业务复杂、数据量多、数据覆盖用户范围广，数据分类分级工作无从下手。

第三，技术层面，没有对数据进行完整的调查和梳理，未识别出需要防护的敏感数据。

建设过程

3.1 组织保障

为确保项目实施的质量和进度，在某市社保局数字化改革领导小组领导下，统筹本市本级相关处室，A区人力社保局、B市人力社保局、C市人力社保局以及杭州美创科技技术工作组，共同组成专班项目组，开展工作。

市级部门负责基础库的数据分类分级和网络安全在线数据分类分级驾驶舱大屏建设；
A试点负责社保条线的数据分类分级；
B试点负责劳动关系和人事人才条线的数据分类分级；
C试点负责就业条线的数据分类分级；
美创科技负责项目涉及分类分级实施、标准规范制定以及产品的建设等技术支撑性工作；

3.2 建设步骤

美创科技基于在大数据局、公安、医疗、金融等行业数据分类分级项目落地经验，结合人社客户实际情况，形成一套具有指导作用的数据分类分级实践步骤：

项目建设步骤

打基础

✦

数据分类分级建设之前需要梳理数据现状，了解组织内部有哪些数据、数据在哪里，确定分类分级的数据范围，针对数据范围做好数据资产的摸底工作。

经过前期调研，梳理出本次项目相关数据范围包括5大业务域（就业、社保、人事人才、劳动关系、基础库），在明确业务域系统的基础上，进一步明确每个业务域的负责区（县），以便更好的辅助分类分级工作的开展。

定策略

✦

人社数据分类分级以《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》为准绳，以国标《个人信息安全规范》、《数据分类指南》以及某省地标《公共数据分类分级指南》为理论指导，结合人力资源和社会保障部颁发的《人力资源社会保障行业数据分类分级规范征求意见稿》，确定数据分类分级策略。

数据分类策略

人社行业数据分类从业务应用维度和数据对象维度划分，结合人社五大业务条线对应的实际数据情况，按业务信息、个人信息、企业信息、技术管理四大维度展开，对数据进行细分和归类，最终将人社数据分类划分为3层。

数据分级策略

数据分类定级完成后最终输出分类分级大纲，分类分级大纲是由总到分的3层业务类型树形逻辑体系结构。其中一层分类4个，二层分类19个，二层分类96个。

输出数据分类分级策略

识数据

✦

美创科技提供分类分级工具，将分类分级策略内置到工具中，在完成字段业务类型的识别后，自动实现对数据的分类和分级。

智能工具全程可视化，可以展示每个字段归属的分类、所属的安全等级，并以报告形式展示分类分级建设成果，包括敏感数据分布情况、数据分类情况、数据分级情况等。用户可通过可视化界面，一键连接数据库，产品自动化完成分类分级的识别和打标工作，后续可以在产品层面看到数据字段和分类标签，并辅以人工复核打标结果。

工具实现数据分类分级标签落地

建标准

✦

依据数据分类分级大纲，探索总结人社数据分类分级策略，多次研讨并形成《人社数据分类分级标准》，明确人社数据分类分级的原则、流程以及数据分类方法和分级方法，同时列举数据分类分级对照表作为详细参考，规定不同敏感级别数据共享、开放与安全要求，以及数据全生命周期安全管控基本要点。本标准总结出了一系列行之有效的经验和做法，与现行的数据分类分级法规、行规以及其他标准配套衔接，对后续某省范围内人社数据分类分级工作提供了充分参考和重要遵循。

以数据分类分级结果作为底座，结合人社数据使用场景，制定数据安全保护策略，形成《人社数据安全管理保护策略》和《人社数据安全管理规范》，规范内部制度流程，完成数据安全管理环节中的建设目标，为日常工作中数据安全操作提供正确指引并明确权责关系，提高安全意识，增强整体的安全防范能力。

行安全

✦

基于数据分类分级结果，设计数据权限和安全管控策略，对不同级别和不同生命周期的数据采用不同的管控措施和防护手段，满足分级保护要求。

数据分级保护

交付物示例

（1）依据数据分类分级大纲，探索总结人社数据分类分级策略，多次研讨并形成《人社数据分类分级标准》

《人社数据分类分级标准》

（2）制定数据安全保护策略，形成《人社数据安全管理保护策略》和《人社数据安全管理规范》，规范内部制度流程，为日常工作中数据安全操作提供正确指引并明确权责关系。

《人社数据安全管理规范》、《人社数据安全管理保护策略》

（3）分类分级大屏，以数据分类分级情况为核心，聚焦敏感资产分布，集中展现数据资产盘点和分类分级结果。使数据管理人员可以实时掌握敏感数据分布一手资料，并且通过分析、比较做出对数据安全管控的决策和判断。

（4）数据安全管控大屏，围绕数据敏感资产管理，从资产风险评估、身份风险、安全治理等多个方面综合体现数据安全治理的成果，同时提供实时风险监控，方便安全管理员实时监控风险，及时响应并处置风险。

项目价值

第一，满足合规要求。无论是国家层面三法的要求，还是地方性数据安全条例或管理办法，都将数据安全工作提升到重要层级。本项目遵照相关要求，完成了对就业、社保、人事人才、劳动关系等业务数据的分类分级工作，并对不同数据制定了保护策略建议。

第二，厘清一本账。项目建设过程中，摸底本地业务科室使用的省级和市级业务系统，梳理五大类业务13个系统近3万个核心业务字段对应的数据信息，形成了人社数据资产清单，包括数据库信息、数据类型信息、数据表信息、数据列信息以及数据字典信息，解决了资产不清、资产量不明的问题，让客户“心中有数”。

第三，落实一套做法。在分类分级过程中，将建设经验沉淀成一套完整的分类分级建设方法，形成数据分类分级标准指引，项目完成以后遇到新数据、新系统上线时，沿袭同一套建设方法。

第四，绘制一张图。分类分级做完以后，针对不同级别的数据要采取不同的安全管控，保障数据流通过程中的数据安全。

美创是国内领先的数据库服务提供商。服务团队拥有PG ACED 1名、Oracle&PG ACE 3人、DSI智库专家5名、DSMM测评师7名、OCM 20余人、数十名Oracle OCP、MySQL OCP、TDSQL TCP、OceanBase OBCP、TiDB PTCP、达梦 DCP、人大金仓、红帽RHCA、中间件weblogic、tuxedo、CISP-DSG、CISSP、CDGA、CDPSE、CZTP、CDSP等认证人员，著有《DBA攻坚指南：左手Oracle，右手MySQL》，《Oracle数据库性能优化方法和最佳实践》，《Oracle内核技术揭秘》，《Oracle DBA实战攻略》等多本数据库书籍。运维各类数据库合计5000余套，精通Oracle、MySQL、SQLServer、DB2、PostgreSQL、MongoDB、Redis、TDSQL、OceanBase、达梦、人大金仓等主流商业和开源数据库。美创拥有完善的运维体系和人员培养体系，并同时提供超融合、私有云整体服务解决方案、数据安全咨询及运营服务方案等，已为金融、政府、企业、能源等多个行业的客户提供量身定制的各类服务，赢得了客户的高度赞誉和广泛认可。

分类数据网络安全安全运维信息安全数据安全

文章转载自新运维新数据，如果涉嫌侵权，请发送邮件至：contact@modb.pro进行举报，并提供相关证据，一经查实，墨天轮将立刻删除相关内容。

运维日记丨数据分类分级之人社行业案例

评论

相关阅读