商业银行数据分类分级的管理实践

数据工程师 2020-07-23

2264

近期，《中华人民共和国数据安全法（草案）》公布，第十九条提到“国家根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者公民、组织合法权益造成的危害程度，对数据实行分类分级保护。”

这份草案从国家层面确立了数据分类分级保护制度。至此，国家标准、银行业标准、金标委标准均明确提出数据分类分级的要求。

提供大数据分类过程及其分类视角、分类维度和分类方法等方面的建议和指导。

——GB/T 38667-2020

《信息技术大数据数据分类指南》

组织应结合自身业务特点，针对采集、存储和处理的数据，指定数据分类分级规范。

——GB/T 37973-2019

《信息安全技术大数据安全管理指南》

规定金融数据安全分级的目标、原则和范围，以及数据安全定级的要素、规则和定级过程，为金融业机构开展数据安全分级工作提供指导。

——《金融数据安全数据安全分级指南》

（送审稿）

一

为什么要分类分级

商业银行数据安全管理的要求始终存在且愈发严格。但是，由于缺乏数据层面的分类分级，精细化的安全管理有难度，实施层面缺依据。为此，商业银行的安全管理一般会采取以下几种方式：

1）按数据环境进行安全管理。就商业银行的实际操作而言，对数据环境静态的安全保护已经基本覆盖，包括物理的机房准入、网络的访问控制和用户访问权限授权等。

2）按照系统等级进行安全管理。系统等级是在数据环境基础上的进一步细分，同一生产环境中的系统也有重要性高低，进而适配不同的数据保护策略。

在这样的管理思路下，形成了相关的制度办法、管理工具、流程规范。总体而言，这样的管理模式在实践中具有一定的优势，即实施的操作性强，管理目标清晰。

同时，这种管理模式也存在一定的疏漏和问题。在一些特定场景中，尤其是数据交换要求和频率日趋提高的情况下，如果商业银行传统的数据安全仍然按照系统环境进行“一刀切”，将会带来更多管理难题。特别是在数据的动态传输中，如何快速识别一系列数据需求中的敏感数据项，如何在出现数据泄露时追踪定责，传统数据需求申请的相关部门或开发项目组“一事一议”流程慢、主观性大，在数据开放共享、快速迭代的背景下，越来越需要进一步优化。

二

什么是分类分级

简单的说，数据的分类分级，分为几个工作目标：

（一）数据标准化

数据标准化，就是厘清进行分类分级管理的数据范围，进行元数据的规范化管理。一个企业的数据，按照技术元数据估算，规模动辄数十万，按照数据明细条数直接上数十亿，按照容量计算要到P级或者Z级。显然，分类分级管理的目标，不可能是这种原始数据，而只能是“有限可控”的数据标准项。

（二）数据分类

数据分类，就是把数据标准按照一定的规则和类目体系进行归类，抽取它们的业务属性、管理属性的共性，形成“业务主题”的归类。这种归类，从管理的角度，可以分层进行，一般而言“三层”或“四层”管理模式比较适合管理体系的搭建和维护，层级太少则“业务主题”太粗，层级太多则管理成本太高。按照业务主题，一般商业银行的数据标准可以分为10到20个一级类目，50-100个二级类目，200+个三级类目。