【热点问答01】风险评估的依据、数据分类分级价值?

admin 2024年6月16日22:18:55评论4 views字数 3147阅读10分29秒阅读模式
探寻合规之道,共筑数据保障之堡。专注为数据安全管理者、技术专家、隐私法务、律师等专业人士打造的知识共享与交流平台。
【热点问答01】风险评估的依据、数据分类分级价值?点击  "合规社"  > 点击右上角“···” > 设为星标⭐

知识星球 热点问答

合规社知识星球社区聚集了许多关于数据安全和个人信息保护的讨论。我们将在公众号上定期整理这些社区问答,涵盖难点问题、实践案例和专家见解。

6月13日晚,合规社知识星球社区举办一期关于《数据服务平台的安全实践》专题分享。腾讯会议线上进行,专家分享1小时后,因讨论热烈,互动环节持续了1小时。

很多星友都反馈收获很多,”感觉很久没有遇到这么酣畅淋漓的干货分享”、“星球内部分享会的形式非常好”、“内容非常棒、互动老师也很专业”、"很难得这么多数据安全圈的人聚在一起,忍不住多讨论一会”。

【热点问答01】风险评估的依据、数据分类分级价值?

因为时间关系,很多星友在腾讯会议上留言的问题来不及回答,通过公号“问答”系列形式反馈,方便更多朋友查看参考。

问题1

问题1:数据全生命周期的风险评估依据

“如果以风险的维度去识别评估数据生命周期活动有什么风险,那应该有个前提,就是要数据生命周期各个阶段的数据安全指导标准(比如要求怎么加密存储数据,是否允许解密数据,脱敏到什么程度才没有风险)在没有标准的前提下,可以依据什么去评估风险,国标《数据安全风险评估方法》(征求意见稿)貌似描述特别笼统。

✅探讨要点:

问题的意思“如果以风险评估角度评估数据的全部处理活动,每个处理活动应该有一些具体的技术指导要求,而国标《数据数据安全风险评估方法》规定特别笼统,怎么理解比较合适?”

上述问题拆解成几个小问题进行探讨:

1.“标准”以提要求为主,内容不会很细致

国标大部分情况“提要求、建立基准线”为主,针对每个要求的解决方案,不适合在标准进行体现和约束。

涉及数据安全的技术要求,建议可以同步参考数据安全其他标准,协同查看。比如《GB/T 37988 信息安全技术 数据安全能力成熟度模型》、《数据安全技术政务数据处理安全要求》征求意见稿等文件,具体可以参考《107项数据安全标准清单(不完全统计)》

2. 关于加解密问题

加密和解密数据是两个独立的活动。

(1)加密是对数据进行加密,实务工作中更多是指对个人信息和敏感信息进行加密。这里需要区分数据的状态(三种:静态数据、动态数据-内存、传输中数据-网络流动),目标是对哪种状态数据加密,所采取的方法也不一样。

关于哪些数据需要加密,不同行业要求不同,从《个人信息保护法》和《GB/T 35273 个人信息安全规范》要求中:敏感数据的加密是明确要求,对个人信息的加密没有找到正式的条文进行要求,如下图:

【热点问答01】风险评估的依据、数据分类分级价值?图1:《个人信息保护法》关于加密的条文

【热点问答01】风险评估的依据、数据分类分级价值?图2:《个人信息安全规范》关于加密的条文

(2)解密和加密不太一样,需要使用加密数据时才需要解密。

比如业务应用、数据加工分析或对外提供、共享等环节,解密是为了把数据流动起来、用起来。对数据内容的加解密,通常使用对称加密(加密和解密密钥一致),此类会话密钥经常一次一用。对密钥交换、数字签名、证书等,通常采用非对称加密(公钥加密和私钥解密,密钥不一样),公钥需要对外公开,私钥需要严格保护好,私钥丢失意味着数据就失去了保密性,等同于泄漏了。(进一步参考《数据安全的底座,图说密码技术应用》。

3. 关于数据脱敏问题
脱敏类型主要包括动态脱敏和静态脱敏,各自应用场景不同。数据脱敏和数据使用场景关联度极高,需要区分。例如运维场景、业务数据分析场景,在人接触平台内数据时,需要进行动态的脱敏。业务的页面进行敏感数据展示时,需要做到页面的展示脱敏。静态脱敏的应用场景之一是生产环境数据需要转移给测试环境,数据需要转移给外部时,可通过静态脱敏工具进行处理后。
4. 数据安全为什么强调数据处理活动
业务人员知道业务模式和主要客户,技术人员知道信息系统、数据库存储的数据字段,把数据字段和业务应用关联起来是一件非常抽象的事情。通过数据处理活动的概念就比较容易把数据和业务的关系拉近。比如数据采集活动,公司一款APP对客户提供服务,服务过程会采集用户的一些基本信息,存储在APP应用系统的数据库中。通过处理活动把生硬的数据字段和业务关联起来了。
比如气象数据的应用,遇到下雨天、台风天气通过气象数据组合形成数据产品推动给老年做好安全防范,是一项很好的数据创新应用点,把数据和业务场景很好关联起来,业务人员也能理解这项业务中会用到哪些数据。
【热点问答01】风险评估的依据、数据分类分级价值?

问题2

问题2:数据分类分级的意义

国家层面和行业实践层面都提出要做数据分类分级,但分级结果价值没有说出来,真的解决了哪些数据安全风险?

✅探讨要点:

1. 分类的意义:为了识别数据的业务价值
《网络安全法》提出开展系统等级保护测评工作,需要对信息系统要定级备案。《数据安全法》2021年正式颁布后,开启提出分类分级的事情。要鼓励数据的开发利用,发挥数据的价值,企业侧首先需把企业的数据资产识别出来,编制成数据目录,向企业内部或者外部进行展示,偏向于数据即业务的模式。分类的场景很像我们去超市购物体验,不同的商品分类摆放,供顾客快速便捷的挑选,同一类区域下在按商品的档次,分不同的级别。
2. 分级的意义:分级为了安全保护
不同数据保护级别不一样,像国家提及的核心数据、重要数据,可能对国家安全、社会秩序造成严重影响的,这些数据的安全价值大大超过了业务价值,以安全价值为主。
从国家安全层面,需要把数据识别出来划分不同的级别,采取不同的安全措施进行保护。甚至有些数据就不可能对外公开、共享、提供,就需要严防死守、层层防御。从企业合规层面,数据要发挥价值,需要满足合规是基础前提。违规的开展业务导致的后果包括关停下线、停顿整业、吊销执照等。目前企业层面的数据更多指个人信息和敏感数据范畴,业务中涉及这类数据时,要满足国家的法律法规要求、履行合同要求。
3. 分类分级的意义:重点保护数据“使用”阶段
原来信息系统的数据主要服务于业务功能,数据进来后大部分存储在数据库中。现在所有数据都汇总在一块,业务上需要通过数据来挖掘数据业务价值,通过实际业务需求来主动寻找需要的数据。从数据处理活动阶段看,如果只存储内部或者内部加工分析,用于报表分析处理等情况,数据安全级别不需要特别高。一旦你的数据需要脱离主体流转到外部区域时,就要特别注意,着重关注数据“使用”阶段。
针对“用数据的使用方式”在实际场景中有几个典型类型:数据库的前置库对接、源库的直接读取查询、文件形式获取、API接口获取、隐私计算技术获取(源数据不出域)等。正常企业的数据应用,为了保障数据有效流通,结合数据业务应用场景,通过分级可以制定不同的安全保护措施。
如果涉及国家核心数据、重要数据或者数据的安全保护价值大于业务价值,数据分级依据需要采用国家的标准要求,比如涉及个人信息超过1000万、涉及个人信息和敏感数据出境情形等,通过分级来界定哪些数据能够出去,哪些数据完全禁止出去,这也分级的价值之一。
最后总结,分级结果的价值在于理清数据资产,数据安全的保护重心应该聚焦数据处理活动的两头,即数据合规“来”的阶段,数据“用”的阶段,数据使用就意味着业务场景的出现,再考虑配套制定不同安全措施。分级实际可以防范很多类型的数据安全风险,如数据泄漏、数据滥用、数据违规使用和保存等等。

【热点问答01】风险评估的依据、数据分类分级价值?

-END-

【热点问答01】风险评估的依据、数据分类分级价值?

「 数据合规知识星球 」是一个专注于数据安全和个人信息保护的资源和知识集散地。星球提供图解PPT、数据安全合规管理制度模板、评估工具及评估报告模板、监管政策及标准汇编整理等。

【热点问答01】风险评估的依据、数据分类分级价值?

550+次内容更新
1100份+干货文件不限下载
定期举办高质量闭门安全合规实务交流会

330+律师、法务合规、数据保护、安全人员共同选择

⬇️⬇️⬇️

【热点问答01】风险评估的依据、数据分类分级价值?

原文始发于微信公众号(合规社):【热点问答01】风险评估的依据、数据分类分级价值?

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年6月16日22:18:55
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【热点问答01】风险评估的依据、数据分类分级价值?https://cn-sec.com/archives/2853528.html

发表评论

匿名网友 填写信息