数据分类策略模板

数据分类策略示例

1. 数据分类策略的目的

说明为什么需要进行数据分类，以及它应带来哪些好处。

本政策的目的是建立一个数据分类框架，依据数据的敏感性、价值以及其对组织的重要性进行分级，从而使敏感的企业与客户数据得到恰当的保护。

2. 政策范围

定义必须进行分类的数据类型，并明确谁负责正确的数据分类、保护和处理。

本政策适用于任何形式的数据，包括纸质文件以及存储在任何类型介质上的数字数据。该政策适用于组织的所有员工，以及获授权访问数据的第三方代理。

3. 角色与职责

描述与数据分类工作相关的角色与职责。各部门应指定负责履行每个角色所对应职责的个人。

数据所有者职责

数据所有者： 对其所属部门或分支机构收集并维护的数据和信息承担最终责任的人，通常为高层管理人员。数据所有者应当处理以下事项：

• 审查与分类： 审查并对其部门或分支机构收集的数据和信息进行分类
• 数据分级标签的分配： 根据数据可能产生的影响水平分配数据分级标签
• 数据汇编： 确保从多个来源汇编的数据，至少按其中任何一项单独分级数据所要求的最高（最安全）分级水平进行分类
• 数据分级协调： 确保部门之间共享的数据得到一致的分类和保护
• 数据分级合规 （与数据保管人协同）：确保高影响和中等影响级别的信息依据联邦或州法规及指南得到保护
• 数据访问 （与数据保管人协同）：为每个数据分级标签制定数据访问指南

数据保管人职责

数据保管人： 来自 IT 部门的技术人员，或在规模更大的组织中为信息安全办公室的人员。数据保管人负责维护并备份存储组织数据的系统、数据库和服务器。此外，该角色还负责落实数据所有者提出的所有规则，并确保这些规则在系统中正常生效。部分具体的数据保管人职责包括：

• 访问控制： 确保根据数据所有者分配的数据分类标签实施、监控并审计适当的访问控制。
• 审计报告： 向数据所有者提交年度报告，说明受分类数据的可用性、完整性和保密性情况。
• 数据备份： 定期对状态数据进行备份。
• 数据校验： 定期验证数据完整性。
• 数据恢复：从备份介质中恢复数据。
• 合规性： 满足组织在信息安全和数据保护方面的安全政策、标准和指南中规定的数据要求
• 监控活动： 监控并记录数据活动，包括谁访问了哪些数据的信息
• 安全存储： 对存储中的敏感数据进行静态加密；审计存储区域网络（SAN）管理员活动，并定期查看访问日志
• 数据分级合规 （与数据所有者协同）：确保影响级别较高和中等的信息，依据联邦或州的法规和指南进行保护
• 数据访问 （与数据所有者协同）：为每个数据分级标签制定数据访问指南

数据用户的责任

数据用户： 为了执行数据所有者授权的任务而与数据进行交互、访问、使用或更新数据的个人、组织或实体。数据用户必须以符合预期目的的方式使用数据，并遵守本政策以及所有适用于数据使用的政策。

4. 数据分类流程

按步骤描述每个数据分类流程步骤。详细说明每个步骤由谁执行、如何评估数据的敏感性、当数据不符合既定类别时该怎么办等。

详细流程示例：

1. 数据所有者会审查其负责的每一项数据，并按如下方式确定其总体影响等级：

• 如果符合附录 A 中列出的任何预定义的受限信息类型，则数据所有者将其总体影响等级指定为“High”。
• 如果不符合附录 A 中任何预定义类型， 则数据所有者应根据本文件第 5 和第 6 节提供的指导来确定其信息类型和影响等级，并 NIST 800-600 Volume 2。三个影响等级中最高的那个即为总体影响等级。
• 如果仍无法确定信息类型和总体影响等级，数据所有者必须与数据保管人合作以解决该问题。

2. 数据所有者会根据总体影响等级为每一项数据分配分类标签：

3. 数据所有者在官方数据分类表中记录每一份数据的分类标签和总体影响级别，可以是存储在数据库中，也可以是以纸质形式记录。

4. 数据托管人（数据保管者）根据官方数据分类表中记录的分类标签和总体影响级别，为保护每一份数据应用适当的安全控制措施。

基本流程示例：

1. 数据所有者审核他们拥有的每一份数据，并根据以下资料中的类别为每一份数据分配信息类型： NIST 800-600 Volume 1。

2. 数据所有者使用本文件第 6 节中的指南，为每一份数据分别确定各项安全目标（机密性、完整性、可用性）的潜在影响级别。三者中最高的那个就是总体影响级别。

3. 数据所有者根据整体影响级别为每一条数据分配分类标签：

4. 数据所有者在数据分类表中记录每一条数据的影响级别和分类标签。

5. 数据保管人根据其分类标签和整体影响级别，为每一条数据应用信息安全控制措施。

5. 数据分类指南

创建一张表，描述机构存储的每种信息资产类型，详细说明三个安全目标各自的影响，并明确要分配给每种资产类型的影响级别和分类。

使用此表来确定组织中常用的多种信息资产的整体影响级别以及分类标签。

6. 影响级别确定

提供一张表，帮助数据所有者通过描述你希望达成的安全目标，以及未能实现每一目标将如何影响组织，来确定每一数据项的影响级别。

使用此表评估：对于不属于第 5 节所描述的任何信息类型的数据资产，其机密性、完整性或可用性丧失可能给公司带来的潜在影响；以及 NIST 800-600 Volume 2。

7. 附录 A

描述应自动分类为“Restricted（受限）”并分配“High（高）”影响等级的信息类型。有了此列表，数据所有者将更容易完成数据分类流程。

必须分类为“Restricted（受限）”

认证信息

认证信息是用于证明个人、系统或服务身份的数据。示例包括：

• 密码
• 共享密钥
• 加密私钥
• 哈希表

电子受保护的健康信息（ePHI）

ePHI被定义为存储在或通过电子媒介传输的任何受保护的健康信息（PHI）。电子媒介包括计算机硬盘，以及诸如磁带或磁盘、光盘或数字存储卡之类的可移动或可运输媒介。

传输（Transmission）是以电子形式对信息进行移动或交换。传输介质包括互联网（internet）、外联网（extranet）、专线（leased lines）、拨号线路（dial-up lines）、专用网络（private networks），以及可移动或可运输的电子存储介质的物理转移。

支付卡信息（PCI）

支付卡信息（Payment card information）被定义为信用卡号码与以下数据元素中的一个或多个要素的组合：

• 持卡人姓名
• 服务代码
• 到期日期
• CVC2、CVV2 或 CID 值
• PIN 或 PIN 块
• 信用卡磁条的内容

个人身份信息（PII）

PII（个人可识别信息）定义为：一个人的名字或名字的首字母与姓氏相结合，并与以下一个或多个数据元素共同构成：

• 社会安全号码（Social Security Number）
• 州政府签发的驾驶执照号码
• 州政府签发的身份证号码
• 与允许访问该账户的安全代码、访问代码或密码相结合的金融账户号码
• 医疗和/或健康保险信息

8. 修订历史

务必跟踪数据分类策略的所有变更。

此模板为你提供策略框架，但前提是：在数据移动和增长过程中，标签必须始终保持准确，分类才能成立。 Netwrix Data Classification 会自动完成第 4 至 6 节中描述的发现和标记工作，因此分类不必仅依赖人工审查。