数据分类：简单的概念，不简单的实践

摘要：

从一个组织内部向外发送一封带有机密文件附件的邮件时，在绝大多数组织中都会违反了相关的信息安全政策。若发送的邮件中带有个人信息（如身份证号），就不能简单确定是否是需要建立安全政策对这种行为加以阻止，因为这在很大程度取决于组织的业务性质，也可能会取决邮件中包括的个人信息数量。例如，保险业务员通过邮件与客户联系时需要确认客户的个人信息，则其邮件中包含客户个人的信息属于业务的需要，安全策略不应对此加以限制。但若该业务员的邮件中包含了大量客户的个人信息（比如5000人的身份证号），那很可能是数据的外泄，而不是业务的需要了。换句话说，数据的安全策略是在业务驱动下，针对数据的性质和数据的内容而制定的。为了防止数据外泄，需要对向外传送的数据进行审计，而审计的依据正是安全策略，但安全策略不可能针对每一个数据来制定，也没必要。正确的方法是对数据进行分类，然后针对数据的类来制定相应的安全政策。这里所说的数据分类也包括数据敏感度或机密程度的分级。换句话说，数据分级是分类的一个特例。以下描述中提到的数据分类，均包含了数据分级。

机标关键词：数据分类、概念、个人信息、安全策略、邮件、业务员、信息安全政策、数据分级、身份证号、客户联系、组织、业务性质、业务驱动、审计、机密文件、程度、敏感度、行为、描述、附件

分类号：R19;F27

在线出版日期：2014-09-16（万方平台首次上网日期，不代表论文的发表时间）

页数：共3页

页码：77-79