企业数据合规之数据分类分级（下）

企业数据合规之数据分类分级的上篇，笔者简要概述了数据资产的梳理、数据的分类和分级，但上述内容主要针对的仍是停留在制度层面对企业的数据有了初步的排摸和划分，但企业如果要落地实施数据分类分级，除了制度以外，还需要在数据处理的全生命周期过程中融入技术管控措施。例如，在企业后台数据库表中的字段进行标准化打标，同一类型的字段设置唯一的字段编号，利用工具对不同的数据进行自动化识别，对于不同级别的数据设置不同的员工访问、下载、删除等权限，不同级别数据对外传输的方式不同等。
若不结合管控措施来实施，那么数据资产梳理以及数据分类分级可能最终流于“形式”，当然有了制度上的数据分类分级，企业至少满足了法律法规的最底线的“建立制度”的要求，但仍可能无法实现数据分类分级的“实质”合规。笔者将在下文详细介绍目前不同级别的数据需要采取的管控措施，给企业的数据分类分级提供相对落地的合规建议。
一、现有标准中可参考的管控措施
目前针对数据分类分级后的数据管控措施，可参考的法规文件并不多，笔者在此梳理部分有一定参考意义的措施，供大家参考。
（一）网络安全标准实践指南——网络数据分类分级指引
该指引的分级规则为四个级别。
1级数据：具有公共传播属性，可对外公开发布、转发传播，但也需要考虑公开数据量级及类别，避免由于类别较多或者数据过大被用于关联分析。
2级数据：通常在组织内部、关联方共享和使用，相关方授权后可向组织外部共享。
3级数据：仅能由授权的内部机构或人员访问，如果要将数据共享到外部，需要满足相关条件并获得相关方授权。
4级数据：按照批准的授权列表严格管理，仅能在受控范围内经过严格审批、评估后才可共享和传播。
（二）基础电信企业数据分类分级方法
1. 基础电信企业应当根据本企业数据分类分级管理制度对数据进行分类分级标识；对于在数据库中存储的高安全级别数据（如第4级、第3级数据），标记应细化至数据库的字段级，其他级别数据采用的标记宜细化到数据库的字段级。若出现没有分类标识的数据，其默认安全控制等级为最等级；
2. 原则上未经过脱敏处理的数据不可降级使用，若确有需要，应执行严格的授权审批流程，并对降级使用数据进行全过程审计，数据使用完毕后，恢复至安全级别；
3. 数据传输过程中，若涉及高安全级别数据（如第4级、第3级数据）应对数据报文进行加密，并采取措施（如数字签名、MAC等），以保证数据传输的机密性和完整性；
4. 在使用数据或披露前，涉及高安全级别数据的，应采用数据脱敏技术，确保数据使用、对外披露等场景的脱敏；
5. 对于个人敏感信息的安全管控，还应满足GB/T35273—2020中对个人敏感信息的安全管控要求。
（三）中国移动大数据安全管控分类分级实施指南
1. 第4级数据基本管控要求
对第4级数据应实施严格的技术和管理措施，保护数据的机密性和完整性，确保数据访问控制安全，建立严格的数据安全管理规范以及数据实时监控机制。第4级数据严禁对外输出。
2. 第3级数据基本管控要求
对第3级数据应实施较严格的技术和管理措施，保护数据的机密性和完整性，确保数据访问控制安全，建立数据安全管理规范以及数据实时监控机制。第3级数据在满足相关条件的前提下，可以对外开放。
3. 第2级数据基本管控要求
对第2级数据应实施必要的技术和管理措施，确保数据生命周期安全，建立数据安全管理规范。第2级数据在满足相关条件的前提下，可以对外开放。
4. 第1级数据基本管控要求
对第1级数据应实施基本的技术和管理措施，确保数据生命周期安全。第1级数据可以直接对外开放，但需要考虑对外开放的数据量及类别，避免由于类别较多或者数据量过大，导致能够用于关联分析。
（四）证券期货业数据分类分级指引
4级（极高）：数据主要用于行业内大型或特大型机构中的重要业务使用，一般针对特定人员公开，且仅为必须知悉的对象访问或使用。
3级（高）：数据用于重要业务使用，一般针对特定人员公开，且仅为必须知悉的对象访问或使用。
2级（中）：数据用于一般业务使用，一般针对受限对象公开；一般指内部管理且不宜广泛公开的数据。
1级（低）：数据一般可被公开或可被公众获知、使用。
（五）广东省健康医疗数据安全分类分级管理技术规范
数据安全保护要求分为通用要求、技术要求和管理要求三部分，其中通用要求规定了概括性、整体性的数据安全保护要求，技术要求规定了数据全生命周期的安全保护技术要求，管理要求规定了数据安全相关的组织机构、人员以及活动的安全保护管理要求。
二、对于特殊类别数据的管控要求
（一）重要数据
《网络安全法》首次提出了重要数据的概念，并规定重要数据需要采取备份和加密等措施。《数据安全法》规定重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。
一般情况下，重要数据系对政治、国土、军事、经济、文化、社会、科技、电磁、网络、生态、资源、核安全等构成严重威胁，严重影响海外利益、生物、太空、极地、深海、人工智能等与国家安全相关的重点领域的相关数据，处于特殊行业领域的企业需要进行关注。
值得注意的是，《网络数据安全管理条例（征求意见稿）》中规定了数据处理者处理一百万人以上个人信息的，还应当遵守条例第四章对重要数据的处理者作出的规定。因目前对于一百万人如何计算，是计算人次，还是累计信息字段，一个人的所有信息是否仅记为一人，这些细节仍有待商榷。同时，因为该规定亦暂未生效，建议公司可仅作参考使用。
（二）敏感个人信息
敏感个人信息一般可作为数据中较为特殊的一类，根据数据相关的法规一般有特殊的规定。根据GB/T 35273—2020《信息安全技术个人信息安全规范》的规定，对个人信息控制者的要求包括：a) 传输和存储个人敏感信息时，应采用加密等安全措施（注：采用密码技术时宜遵循密码管理相关国家标准）；b) 个人生物识别信息应与个人身份信息分开存储；c) 原则上不应存储原始个人生物识别信息（如样本、图像等），可采取的措施包括但不限于：
1) 仅存储个人生物识别信息的摘要信息；
2) 在采集终端中直接使用个人生物识别信息实现身份识别、认证等功能；
3) 在使用面部识别特征、指纹、掌纹、虹膜等实现识别身份、认证等功能后删除可提取个人生物识别信息的原始图像。
同时《个人信息保护法》亦对敏感个人信息有较多特殊的规定，例如处理敏感个人信息应当取得个人的单独同意，再如处理敏感个人信息的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录。这些都可以作为敏感个人信息这类信息的管控措施。
三、企业可落地的管控措施
第一部分的法规中列举的管控措施大多都较为抽象，目前较为具象的管控措施参考标准有《广东省健康医疗数据安全分类分级管理技术规范》（以下简称“技术规范”），该规范的附录中对于数据分类分级的保护通用要求和数据分级安全保护技术要求均有较为明确的说明。
但相对于医疗行业可能涉及的敏感数据较多，要求可能相较于一般的企业较为严苛，故笔者在技术规范的基础上梳理了一版管控措施的通用要求和数据生命周期维度的管控措施，企业可根据上篇的数据分类分级情况，判断不同的数据是否需要适用下述要求。当然下述安全要求项并非所有级别的数据都需要满足，对于影响对象、影响范围较小的数据仅选择若干较为宽松的要求适用即可。