网络安全的核心数据安全(网络安全之数据分类)

在网络安全的话题中,对数据的保护是非常重要的一项内容。然而怎样对数据保护的第一步就是对数据的分类,有了类别差分之后才可以对其施以相应的控制措施。下面就来看一下数据分类应该怎样操作,以下内容来自CISSP官方教材。

数据分类:是基于数据的保密性、敏感性或秘密性需求而对其进行保护的主要手段。

数据分类方案的主要目标是基于指定的重要性与敏感性标签,对数据进行正式化和分层化的安全防护过程。

数据分类方案的好处:

  • 数据分类证实了组织对有价值的资源和资产的保护承诺
  • 数据分类帮助组织确定最重要的或最有价值的资产
  • 数据分类给保护机制的选择提供了凭据
  • 数据分类通常是法规或法律限制的要求
  • 数据分类有助于定义访问级别、使用的授权类型,以及定义不再具有价值的资源的销毁和、或降级的参数
  • 数据分类有助于在数据的生命周期管理中确定数据存储时间(保留时间),并确定数据使用和数据销毁方式

数据分类标准因实施数据分类的组织而异,不过可从通用的或标准化的分类系统总结出很多通用特征:

  • 数据的有用性
  • 数据的时效性
  • 数据的价值或成本
  • 数据的成熟度或年龄
  • 数据的生命周期(或何时过期)
  • 与人员的关联
  • 数据泄露损失评估(即数据泄露将如何影响组织)
  • 数据修改损失评估(即数据修改将如何影响组织)
  • 数据对国家安全的影响
  • 对数据的已授权访问(即谁有权访问数据)
  • 对数据的访问限制(即谁对数据的访问受到限制)
  • 维护和监测数据(即谁应该维护和监控数据)
  • 数据存储

要实现数据分类方案,必须执行七个主要的步骤或阶段:

  1. 确定管理人员,并定义其职责
  2. 指定信息如何分类和标记的评估标准
  3. 对每个资源进行数据分类和增加标签(数据所有者会执行此步骤,监督者应予以审核)
  4. 记录数据分类策略中发现的任何异常,并集成到评估标准中
  5. 选择将应用于每个分类级别的安全控制措施,以提供必要的保护级别。
  6. 指定解除资源分类的流程,以及将资源保管权转移给外部实体的流程
  7. 建立组织范围的培训程序来指导所有人员使用分类系统。

网络安全的核心数据安全(网络安全之数据分类)(1)

绝密(Top Secret):是最高级别的分类。未经授权泄露绝密数据,将对国家安全造成严重影响或严重损害。最高机密数据是基于“知其所需”划分的,这样用户就可以拥有最高机密权限,并在“知其所需”前不访问任何数据。

秘密(Secret):用于描述具备限制性质的数据。未经授权泄露被列为秘密的数据,将对国家安全造成重大影响和重大损害。

机密(Confidential):用于敏感的、专有的或高度有价值的数据。未经授权泄露机密信息,将对国家安全造成明显的影响和严重损害。这个级别适用于“秘密”和“敏感但未分类”之间的所有数据。

敏感但未分类(Sensitive But Unclassified,SBU):用于内部使用或仅用于办公室使用(For Office Use Only,FOUO)的数据。SBU常用来保护可能侵犯个人隐私权的信息。这不是严格意义上的分类标签,而是表示使用或管理的标记或标签。

未分类(Unclassified):描述既不敏感也不需要分级的数据。泄露未分类数据不会损害保密性或造成任何明显的损害。这不是严格意义上的分类标签,而是表示使用或管理的标记或标签。

网络安全的核心数据安全(网络安全之数据分类)(2)

机密(Confidential):最高级别的分类。用于极度敏感的和只在内部使用的数据。如果机密数据被泄露,将对公司产生重大的负面影响。有时会用专有(proprietary)代替机密标签。有时专有数据被认为时一种特定形式的机密信息。如果泄露了专有数据,会给组织的竞争优势带来极大的负面影响。

私有(Private):私有指私有的或个人特有的及仅供内部使用的数据。如果公司或个人私有数据被泄露,将产生重大的负面影响。

敏感(Sensitive):敏感用于比公开数据分类级别更高的数据。如果敏感数据被泄露,会给公司带来负面影响。

公开(Public):公开时分类级别的最低层级。泄露公开数据不会给组织带来严重的负面影响。

,

免责声明:本文仅代表文章作者的个人观点,与本站无关。其原创性、真实性以及文中陈述文字和内容未经本站证实,对本文以及其中全部或者部分内容文字的真实性、完整性和原创性本站不作任何保证或承诺,请读者仅作参考,并自行核实相关内容。文章投诉邮箱:anhduc.ph@yahoo.com

    分享
    投诉
    首页