1. 项目背景

随着数字经济加速发展，数据已成为重要生产要素。加强数据治理、保护数据安全，为数字经济持续健康发展筑牢安全屏障，这是时代发展的客观需要。近年来，国家数据空间的法治化按下了“加速键”。《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》均已陆续施行，同时金融行业数据安全相关规范正逐步完善，如《JR/T0171-2020个人金融信息保护技术规范》、《JR/T0223-2020数据生命周期安全规范》、《JR/T0197-2020金融数据安全数据安全分级指南》等，这些标准明确了数据分类分级的实施标准，及金融数据全生命周期的安全保护要求。

随着大数据、人工智能、云计算等新技术在金融业的深入应用，金融数据逐步实现了从信息化资产到生产要素的转变，其重要性日益凸显。数据泄露、滥用、篡改等安全威胁的影响逐步从机构内转移扩大至机构间以及行业间，甚至影响国家安全、社会秩序、公众利益与金融市场稳定。如何在满足金融业务基本需求的基础上，建设数据安全治理体系，对数据分类分级管理，强化数据保护能力，防范数据安全风险，成为当前亟待解决的问题。

传统的数据安全治理往往绕过数据资产的摸底，直接从技术工具的建设开始，面向数据环境的边界围堵式的粗放型保护理念已不适应当前数据充分流动背景下的安全治理要求。需首先进行数据资产的梳理，并进行分类分级保护，然而分类分级存在落地难度：

数据规模大、人工难处理：业务系统复杂，表和字段数量大（一般在十万以上），依赖人工难以处理，需要高效，灵活，智能，快速的分类分级系统工具进行辅助。

效率差、准确率低：传统的基于数据类型和特征识别的工具，可用性差，分类分级准确率不超过20%。

2. 项目方案

2.1项目架构

在实际开始数据分类分级之前，应先对目标范围内所有数据表、数据项、数据文件执行全面的梳理，形成数据资产表作为分类分级的输入。

如果行业存在相匹配的行业标准，应首先参考该标准，构建数据分类分级的整体框架，而后将数据资产逐层带入框架。在缺少框架指引、或框架无法完全满足需求需要自行补充类别时，根据数据的属性或管理归属，对数据资产归类；同时，根据业务需求和安全能力，定义数据分级的级数，以及各级别的判断依据。最终形成树形的分类层次结构，并为最低一级的数据子类逐一分配安全级别。

综合业务需求和安全能力，对这一分类分级结果评估、调整，确保全面、合理且可行后，分类分级标准制定工作即完成。后续工作则包括将此分类分级标准套用到数据资产表上、建立数据分级保护制度、实施相应的管控措施等。

我行前期对行内数据资产进行梳理，整理出ODS、数仓、网贷、绩效、east等重要系统的关键数据，计划进行后续的分类分级。此外参考金融行业分类分级标准，结合行内实际情况合理规划数据标准，为后续工作打下基础。

2.2实施思路

2.3项目实施

2.3.1工作内容

分类分级是建立完善数据生命周期保护框架的基础，也是有的放矢地实施数据安全管理的前提条件，同时统一的数据分级管理制度能够促进数据在机构间安全共享，有利于数据价值的挖掘与实现。数据分类分级通过工具与人工配合的方式，参照行业数据分类分级标准，对数据字段进行分类分级打标，为后续安全防护策略提供细粒度依据，实现数据安全防护“三不同”原则，即不同级别的数据在不同数据使用过程中应采取不同的防护手段。

2.3.2工作方式

（1）自动化梳理工具

利用专业的数据梳理工具，创建数据库发现任务，针对当前的数据库情况进行资产扫描。结合人工访谈的内容，自动化数据分类分级。

（2）专家访谈、核验

分类分级专家通过访谈的方式了解业务系统情况、字段含义、数据使用情况等，便于更准确地匹配类别级别并对自动化梳理结果进行核验。

2.3.3实施步骤

2.3.3.1准备阶段

实际开始分类分级工作之前，需要首先了解实行分类分级的意图，以及了当前数据安全建设现状。就数据分类分级的原则沟通并达成一致，如果所在行业存在自己的分类分级标准，应在前期对称具体的规范及标准内容，并匹配规范开展后续工作。与应用部门核实，了解主要业务系统，明确涉及的数据范围覆盖哪些业务单元、哪些系统，明确相关系统在业务中的作用。与数据库部门对接进行资料收集，需要客户方协助提供数据资产清单包括数据库类型、ip、端口、账号密码，数据字典包括系统名称、表中文描述、字段中文描述等信息以便保证后续分类分级工作的准确度。

（1）明确分类分级标准

本次分类分级规范的编制，参考的资料如下：

《JR/T0171-2020个人金融信息保护技术规范》

《JR/T0197-2020金融数据安全数据安全分级指南》

（2）明确数据范围

在执行分类分级之前，先要进行数据盘点工作，只有对数据资产完成规范化、系统化的归并、整理等操作，才能达到有效利用。将不同来源、不同类型的数据进行整理，所有的数据按照统一的形式展示，方便后续使用。通过数据盘点，可以确定有多少数据、数据价值如何、敏感数据存储位置、数据分布在什么地方。数据盘点的成果是形成数据资产清单，帮助明确数据保护目标，完成数据安全保护体系的构建。

（3）资料收集整理

在进行数据分类分级的工作中，需要收集现有多种资料，包括：

a) 数据库网段信息

b) 业务系统介绍

c) 数据流转说明

d) 数据清单

e) 数据资产说明书（库、表、字段）

f) 有权限的数据库账号，用于数据资产扫描

g) 组织架构

h) 现有的数据分类分级措施

i) 相关数据分类分级现有制度

通过对现有资料进行分析和初步整理，结合项目目的和范围，基本明确项目周期和资源配置需求。

2.3.3.2启动阶段

在项目启动阶段，需要建立开展数据分类分级的领导小组组织，这个组织职责如下：

a) 保证数据分类分级工作的顺利开展

b) 讨论并确定数据分类分级方法、策略、原则

c) 数据分类分级成果进行评审

对于组织成员建议如下：

a) 项目领导小组组长：协调项目过程需要的各类资源。

b) 各业务系统责任人：熟悉所辖范围内的数据情况，包括数据使用流程、业务规则等。

c) 数据运维人员：数据库的运维人员，熟悉数据库的运维管理制度，运维流程和运维数据流转业务。

d) 项目经理：由乙方派出项目经理，负责项目整体进度的推进和分类分级工作的开展。

e) 数据工程师：负责分类分级的具体实施工作。

2.3.3.3执行阶段

数据分类分级执行阶段主要分为元数据输入、分类分级打标、数据级别验证、成果输出四个过程，以下分别就这四个过程进行阐述。

（1）元数据输入过程

l 数据库资产输入

分类分级系统可以通过以下两种方式来发现数据资产：

自动扫描：系统可通过定义数据资产发现任务，定期自动扫描指定的IP段、数据库类型和端口，自动发现数据资产信息。

文件导入：系统也可以通过人工导入数据资产清单的方式添加数据资产。

手动添加：系统也可以直接手动录入数据资产。

l 元数据采集

数据资产发现完成后，需要完成对元数据的采集，分类分级系统可通过以下集中方式采集元数据：

自动采集：系统可通过创建敏感数据识别任务，对数据资产进行扫描，自动采集数据资产中的元数据信息。

文件导入：用户也可以通过导入整理好的元数据清单的方式，导入元数据。

l 敏感数据识别

在元数据采集的同时，分类分级系统可以通过内置的敏感数据特征库，自动发现数据库的敏感数据信息，如身份证号、电话号码、手机号、姓名、性别、民族、国籍、邮箱、地址、日期、信用卡号、银行卡号、组织结构代码、营业执照、职业、职位、车牌号、车架号等。

识别敏感数据的数据特征支持单一规则、复合规则、自定义规则等多种组合进行敏感数据的识别。

（2）分类分级打标过程

l 自动分类分级处理

分类分级系统预置了多种分类分级模板，我行主要采用金融数据安全标准分类分级模板、个人信息分类分级模板。

系统可以根据模板已定义好的规则，或在内置的分类分级模板中，添加数据特征、表名、字段名等规则，设定完全匹配、模糊匹配、正则等自定义规则，而后运行敏感数据识别任务，自动完成分类分级。

除了使用系统预先定义好的分类分级模板以外，用户可通过手动定义自己的自定义分类分级模板，并在自定义模板中增加自定义的规则，通过自定义的模板和规则，对元数据进行自动打标，进行自动分类分级。

（3）级别验证过程

a) 由各业务系统责任人、数据运维人员对数据分类与分级结果进行抽查验证其准确性；

b) 针对分类存疑字段，由数据分类分级工作组成员进行分类确认进行分类调整；

c) 针对分级存疑字段，为权衡其安全保护及业务使用方面，由数据分类分级成员共同确认并由各自系统责任人进行分类调整；

d) 针对不规范字段或不清晰字段无法准确判别其分类或分级，进行字段规范处理，重新分类分级匹配。

e) 数据工程师结合实际业务需求和样本数据，对分类分级结果进行调整。

（4）成果输出

本阶段将已经打好标识的数据清单导出成可用文档，一般是excel模式；亦可不导出作为数据分类分级基线使用，为后续数据分类分级更新迭代做基础素材，为后续安全防护策略的建设提供自动化联动能力，交付物包含以下材料；

《数据库资产清单》

《重点业务系统分类分级清单》

数据库资产清单：可展现网络环境内数据库资产清单，以及资产基本信息梳理，包括：数据库IP地址、端口号、数据库类型、添加方式、数据库实例名、业务系统名称、标签等。

分类分级清单：可展现或导出分类分级结果清单，清单的信息可包含：数据库地址、实例名、数据库名、模式名、表名、字段名、数据特征、字段描述、样本数据、字段类型、字段备注、字段自动分类、字段人工分类、字段自动分级、字段人工分级、表描述、表备注、资产备注、标签、数据库类型、组织机构、业务系统、发现时间、导出人、导出时间等。

        分类分级报表：可展现或导出分类分级报表，阐述数据分类分级的总体情况。内容信息包含从字段的维度以及表的维度对数据分级与分类的分别统计，以及TOP分类表等。

2.3.3.4运营阶段

随着第一阶段数据资产的梳理完成，数据分类分级工作将进入运营阶段，业务的快速变化，数据资产也在不断的产生变化，有新的数据资产产生，也有旧的数据资产清退，因此，分类分级的运营是一个持续性、长期性的工作，同时分类分级体系的建立也同时促进安全体系的建设和优化工作。

建议针对分类分级工作，建立专岗专职定期进行分类分级工作，拓展分类分级的覆盖面，确保分类分级对国债业务系统的全覆盖；

通过分类分级系统与其他安全产品的联动，为安全产品提供策略依据，针对不同级别的敏感数据采取不同的防护措施，提升安全管理的准确性，杜绝一刀切的红线防范思路，为业务发展提供动态安全防护措施。

（1）分类分级的持续运营

通过分类分级工具的自动化功能，可以最大程度协助分类分级人员实现分类分级的持续运营工作：

a) 工具可实现对数据资产、元数据的自动识别的发现；

b) 根据已建立分类分级策略体系，实现对新增的元数据进行一键自动分类；

c) 基于元数据的智能分析系统，可协助分类分级人员对新增的元数据进行快速定位和分类分级策略创建。

（2）安全防护系统建设和优化

分类分级是安全防护的基础，通过分类分级建设工作，形成分类分级数据清单。基于分类分级数据清单与数据安全产品形成联动，实现基于分类分级数据的动态安全防护体系，真正做到基于不同等级的敏感数据采用不同的安全管理措施。

数据资产梳理系统与数据安全管理平台联动，将分类分级清单报送数据安全管理平台，通过数据安全管理平台统一制定基于分类分级数据的安全策略，将安全策略下发给相关的安全管理产品，在数据的请求与出库、数据存储、数据分析、开发测试、数据共享、运维等场景下根据不同等级的敏感数据进行监测和安全防护。

对于敏感数据，要实现全链路的安全审计工作，实时监测数据的访问情况，对于涉敏的用户或应用访问要及时进行告警和处置。

3. 创新点

3.1自动分类分级处理

分类分级系统预置了多种分类分级模板（如：金融数据安全标准分类分级模板、证券数据安全标准分类分级模板、个人信息分类分级模板）。系统可以根据模板已定义好的规则，或在内置的分类分级模板中，添加数据特征、表名、字段名等规则，设定完全匹配、模糊匹配、正则等自定义规则，而后运行敏感数据识别任务，自动完成分类分级。除了使用系统预先定义好的分类分级模板以外，用户可通过手动定义自己的自定义分类分级模板，并在自定义模板中增加自定义的规则，通过自定义的模板和规则，对元数据进行自动打标，进行自动分类分级。

3.2基于策略的快速分类分级

系统提取数据库中的字段名与字段描述信息，通过特征分析等方法进行语义内容识别，通过AI智能拆词形成字段映射关系，建立分类分级数据图谱，对业务关键字进行钻取、分析、统计。基于丰富的业务关键字钻取，分析，多维度的分类分级规则制定，快速实现自动分类分级操作。

3.3备注关键字自动匹配

系统可通过字段备注信息，自动匹配备注关键字进行打标，自动分类分级。对于字段名、字段描述等命名不太规范的数据库，可手动设置字段备注或表备注，并以此设置为规则，进行分类分级，简化逐条分析字段名、字段表述等的工作难度。

3.4一键生成规则策略

依据智能分析结果，通过表统计，字段统计，字段含义等可一键生成分类分级规则策略，运行敏感数据识别任务，完成自动分类分级。

3.5“智能分析”协助处理无业务属性字段

对于没有字段描述、表描述的数据，可从业务系统出发，根据智能分析及业务识别，将字段名和字段描述进行拆解，字段名拆解为第一关键词、第二关键词、第三关键词等，与字段描述拆解进行检索条件组合作单一分析和关联分析，识别字段业务属性，实现无描述字段的批量数据分类分级。存疑字段和无法判别字段也可通过人工梳理形成数据分类分级结果。

3.6相似表一键同步

通过对字段名相似度进行自定义，针对所属表名相似、字段名也相似的字段，将已分类分级字段的分类分级结果同步至相似表内的字段中，实现半自动化分类分级，避免对相似表的重复分类分级操作。

3.7机器学习推动纵深建设

系统可通过上传已有的分类分级清单，或者是系统中某个数据库已完成分类分级的清单，通过机器学习模块自动训练已知的分类分级结果，形成准确的分类分级模型，可将形成的模型用于其他未分类的系统。通过机器学习能力，辅助更多业务系统完成快速分类分级。

4. 技术实现特点及优势

4.1系统架构

4.2技术实现

本项目中数据分类分级系统的主要技术路线如下：

自动化探测技术。基于自动化嗅探技术，自动发现网络内的所有数据库资源，梳理数据资源清单、管理数据资源基础信息、提供数据资源的敏感等级管理以及提供敏感数据资源的使用、分布情况。

自定义建模技术。针对各行业业务和数据特征，采用自定义建模技术，构建数据要素识别、数据分类分级、数据处理活动识别等模型。通过模型设计，实现特定业务场景下的数据要素识别、重要数据与核心数据识别，输出不同维度、不同行业的数据资源目录和分类分级清单，为数据安全治理提供有效支撑。

5. 项目过程管理

6. 运营情况

实施范围：鉴于行内数据要素缺失且各系统内含重复数据的情况，对数仓、网贷、绩效、ods和east系统共114w+字段的分类分级工作实行边分类分级边进行数据要素补充和字段去重工作。最终去重后的分类分级范围为15.3w字段，涉及6300张表。

项目顺利落地后，我行积极响应数据治理的新要求，迅速启动了数据分类分级系统教学计划。不仅详尽解析了系统的核心功能，包括如何高效地对海量数据进行细致分类与合理分级，还通过模拟实操、案例分析等多元化教学手段，确保相关责任人都能熟练掌握系统的实际操作技能。同时，我行特别强调了规则设定的重要性，详细讲解规则背后的逻辑与原则，引导根据业务实际灵活调整规则，以适应不断变化的数据治理需求。

在此基础上，我行计划对行内系统上线流程进行全面优化，将数据分类分级作为系统评审的关键环节之一，确保在系统设计的初期阶段就充分考虑数据的分类与分级需求。通过引入先进的自动化工具，新系统将在上线运行后自动对实际数据进行精准评级，极大地提高了数据处理的效率与准确性。

计至年底，我行将通过结合数据分类分级与数据安全沙箱系统，实现数据分类分级在实际工作中的全面落地。这一举措旨在构建一套严密而高效的数据防护网，确保全行人员在处理数据时能够严格遵守敏感数据脱敏原则，实现“敏感数据应脱尽脱”，从而有效降低数据泄露风险。数据安全沙箱系统的引入，将为我行数据安全管理增添一道坚实的屏障。该系统通过虚拟化技术，为敏感数据创建一个隔离、受控的执行环境，确保数据在处理过程中不会直接暴露于外部网络或未经授权的访问之下。结合数据分类分级机制，沙箱系统能够自动识别并处理敏感数据，根据预设的脱敏规则进行动态脱敏，保障数据在流转过程中的安全性与合规性。

我行还将加强数据安全监控与审计能力，通过实时监测数据访问、传输、存储等关键环节，及时发现并应对潜在的安全威胁。同时，还将建立完善的应急响应机制，确保在发生数据泄露等安全事件时，能够迅速启动应急预案，有效控制事态发展，减少损失。

通过这一系列举措的实施，我行将显著提升行内数据安全水平，为数字化转型与业务创新提供强有力的安全保障。在未来的发展中，数据将成为我行最宝贵的资产之一，而完善的数据分类分级与数据安全管理机制将是守护这份资产安全的坚固防线。

7. 项目成效

7.1 社会效益分析

保护敏感个人隐私：该项目建设能够有效地处理敏感信息，如个人身份、财务数据等，将其转化为匿名化或假名化的数据。这有助于保护个人隐私，降低个人信息泄露的风险，提升公众对数据使用的信任感。

促进数据共享与合作：通过该项目建设，组织可以更安全地分享和共享数据，而无需担心敏感信息的泄露。这有助于促进跨部门、跨机构之间的数据合作，加强信息共享，从而提升社会各方面的效率和创新能力。

7.2 经济效益分析

实现合规成本的降低，随着数据隐私和保护法规的不断增加，组织需要遵守相关的法规和合规要求。数据分类分级建设与保护可以帮助组织满足这些要求，减少因违反法规而面临的罚款风险，这有助于保护组织的核心秘密和用户数据，减少数据安全事件的发生，降低潜在的损失。

8. 经验总结

开展数据分类分级不是终点，而是整个数据安全管理的起点。数据分类分级后，金融机构需要采取包括但不限于如下举措实现数据安全的全面管理：

l 组织保障

我行依据自身现有的组织情况，从组织架构、层级职能、部门职责、人员能力等方面设计数据安全组织，设置数据分类分级的机构和岗位，明确各部门岗位职责、协作机制以及考核方法，开展相关人员贯穿全职业生命周期的背调、管理、考核及培训等。

l 制度流程

制定数据分类分级的管理制度与流程，尤其包括分类分级的启动、实施及更新机制等。根据数据分类分级成果，实施相适应的配套管理机制，例如明确数据分级存储（包括但不限于软硬件要求、加密机制、存储期限、去标识化要求等）及分类备份机制，制定并实施内外部数据访问及使用权限机制，明确不同数据在上下游流动中的合规策略（包括但不限于外包或合作红线、供应商资质、审批层级、合同文本及审计要求等），明确不同类型的数据生命周期管理指引，等等。

l 系统支持

金融机构综合考虑自身现有数据安全领域技术工具的完备程度、对实现数据安全目标的重要程度以及技术实施的复杂程度等因素，明确需部署落实的系统工具以实现数据安全保护水平的提升。例如优先落实数据安全监控平台、数据脱敏工具、数据库审计系统、终端防泄密系统等。