一则国外数据分类策略示例参考

1.目的

解释为什么要进行数据分类以及它应该带来什么好处。

该政策的目的是建立一个框架，根据数据的敏感性、价值和对组织的重要性对数据进行分类，从而可以适当地保护敏感的公司和客户数据。

2. 范围

定义必须分类的数据类型，并指定谁负责正确的数据分类、保护和处理。

本政策适用于任何形式的数据，包括存储在任何类型媒体上的纸质文档和数字数据。它适用于组织的所有员工，以及有权访问数据的第三方代理。

3. 角色和职责

描述与数据分类工作相关的角色和职责。部门应指定负责执行与每个角色相关的职责的个人。

• 审查和分类——审查和分类他或她的部门或部门收集的数据和信息

• 数据分类标签——根据数据的潜在影响级别分配数据分类标签

• 数据编译——确保从多个来源编译的数据至少按照任何单独分类数据的最安全分类级别进行分类

• 数据分类协调——确保部门之间共享的数据得到一致的分类和保护

• 数据分类合规性（与数据保管人一起）——确保按照法规和指南保护具有高和中等影响级别的信息

• 数据访问（与数据保管人一起）——为每个数据分类标签制定数据访问指南

• 访问控制——确保根据数据所有者分配的数据分类标签实施、监控和审计适当的访问控制

• 审计报告——向数据所有者提交一份年度报告，说明机密数据的可用性、完整性和机密性

• 数据备份——定期备份状态数据

• 数据验证——定期验证数据完整性

• 数据恢复——从备份媒体恢复数据

• 合规性——满足组织安全政策、标准和指南中与信息安全和数据保护相关的数据要求

• 监控活动——监控和记录数据活动，包括谁访问了哪些数据的信息

• 安全存储——在存储时加密静态敏感数据；审核存储区域网络 (SAN) 管理员活动并定期查看访问日志

• 数据分类合规性（与数据所有者一起）——确保按照法规和指南保护具有高度和中等影响级别的信息

• 数据访问（与数据所有者一起）——为每个数据分类标签制定数据访问指南

4. 数据分类程序

逐步描述每个数据分类过程。详细说明谁执行每个步骤、如何评估数据的敏感性、当数据不符合既定类别时该怎么办等等。

详细过程示例：

1. 数据所有者审查他们负责的每条数据并确定其整体影响级别，具体如下：

• 如果它与附录 A 中列出的任何预定义类型的受限信息匹配，则数据所有者会为其分配“高”整体影响级别。

• 如果它与附录 A 中的任何预定义类型不匹配，则数据所有者应根据本文档第 5 节和第 6 节以及NIST 800-600 第 2 卷中提供的指南确定其信息类型和影响级别。三个影响级别中最高的是整体影响级别。

• 如果仍然无法确定信息类型和整体影响级别，则数据所有者必须与数据保管人合作解决问题

2.数据所有者根据整体影响级别为每条数据分配一个分类标签：

3. 数据所有者将每条数据的分类标签和整体影响级别记录在官方数据分类表中，无论是在数据库中还是在纸上。

4. 数据保管人根据官方数据分类表中记录的分类标签和整体影响级别，应用适当的安全控制来保护每条数据。

基本程序示例：

1. 数据所有者审查并根据NIST 800-600 第 1 卷中的类别为他们拥有的每条数据分配信息类型。

2. 数据所有者使用本文档第 6 节中的指南为每个安全目标（机密性、完整性、可用性）分配每条数据的潜在影响级别。三者中最高的是整体影响水平。

3.数据所有者根据整体影响级别为每条数据分配一个分类标签：

4.数据所有者在数据分类表中记录每条数据的影响等级和分类标签。

5. 数据保管人根据其分类标签和整体影响级别对每条数据应用信息安全控制。

5. 数据分类指南

创建一个表格，描述机构存储的每种类型的信息资产，详细说明三个安全目标中每一个的影响，并指定要分配给每种资产类型的影响级别和分类。

使用此表来确定组织中常用的许多信息资产的总体影响级别和分类标签。

6. 影响水平确定

提供一个表格，通过描述您想要实现的安全目标以及未能实现每个目标将如何影响组织，来帮助数据所有者确定每条数据的影响级别。

使用此表评估不属于第 5 节和NIST 800-600 第 2 卷中描述的任何信息类型的数据资产的机密性、完整性或可用性损失对公司的潜在影响。

7. 附录 A

描述应自动归类为“受限”并指定影响级别“高”的信息类型。拥有此列表将使数据所有者的数据分类过程更容易。

必须归类为“受限”的信息类型

认证信息

身份验证信息是用于证明个人、系统或服务身份的数据。示例包括：

• 密码

• 共享秘密

• 加密私钥

• 哈希表

受保护的电子健康信息 (ePHI)

ePHI 被定义为存储在电子媒体中或通过电子媒体传输的任何受保护的健康信息 (PHI)。电子媒体包括计算机硬盘驱动器以及可移动或可移动媒体，例如磁带或磁盘、光盘或数字存储卡。

传输是以电子形式传输或交换信息。传输介质包括互联网、外联网、租用线路、拨号线路、专用网络以及可移动或可移动电子存储介质的物理移动。

支付卡信息 (PCI)

支付卡信息被定义为信用卡号与以下一个或多个数据元素的组合：

• 持卡人姓名

• 服务代码

• 截止日期

• CVC2、CVV2 或 CID 值

• PIN 或 PIN 块

• 信用卡磁条的内容

个人身份信息 (PII)

PII 被定义为一个人的名字或名字首字母和姓氏与以下一个或多个数据元素的组合：

• 社会安全号码

• 国家颁发的驾照号码

• 国家颁发的身份证号码

• 财务帐号与允许访问该帐户的安全代码、访问代码或密码相结合

• 医疗和/或健康保险信息

原文始发于微信公众号（祺印说信安）：一则国外数据分类策略示例参考