什么是数据分类？

数据分类是将结构化和非结构化数据组织成类别，以便更有效地使用和保护数据的过程。它使数据更易于查找和检索，同时促进更好的风险管理、法律发现和法规遵从性。

数据分类涉及标记敏感数据和个人信息，使其可搜索和可跟踪。这还有一个额外的好处，即消除重复数据、降低存储和备份成本，并有助于最大限度地降低网络安全风险。

书面数据分类策略通常会概述有关您的组织使用哪些分类级别对数据进行分组的过程和准则，以及充当数据专员的员工的特定角色和职责。

创建数据分类方案并对数据进行分组后，您必须为每个类别在其生命周期中确定适当的安全标准。

虽然创建数据分类策略在技术上听起来可能很困难，但组织的所有级别都需要了解其角色。

为什么数据分类很重要？

数据分类很重要，因为您可以投资于保护敏感数据的资源有限。了解哪些类型的数据需要保护意味着您可以设置优先级并将预算和其他资源分配给影响最大的领域，从而最大限度地降低数据安全性和合规性成本。

此外，数据分类可以帮助您遵守美国境内外的不同法规，包括《家庭教育权和隐私权法案》（FERPA）、PCI-DSS、HIPAA、CPS 234、ITAR 等。

有效数据分类的基本要素是什么？

有效的数据分类需要了解以下概念：

数据状态：数据以三种状态存在（静态、正在进行和传输中）。无论处于何种状态，敏感信息都应保持加密和机密状态。
数据格式：数据可以是结构化的，也可以是非结构化的。与非结构化数据相比，对结构化数据进行分类通常更简单、更耗时且成本更低。
结构化数据：可读且可编入索引，例如数据库对象和电子表格
非结构化数据：人类可读或不可索引，例如源代码、文档和二进制文件。
数据发现：在对数据进行分类之前，您需要知道其位置、数量和上下文。无论托管在何处（本地、云、遗留数据库或服务提供商），都是如此。
数据敏感度：为了帮助确定优先级，数据通常分为敏感度级别。
高敏感度数据：如果暴露或破坏会对您的组织或客户造成灾难性影响，则称数据为高敏感度数据。高敏感度数据的常见示例包括信用卡号、社会保险号、驾驶执照号、受保护的健康信息（PHI）、个人身份信息（PII）、持卡人信息、知识产权、业务流程、生物识别和银行账号。
中等敏感度数据：专为内部使用而设计的数据，未经授权的披露不会对您的组织或客户产生灾难性影响。示例包括不包含机密数据的电子邮件和文档。
低敏感度数据：设计为公开信息的数据。示例包括新闻稿、营销材料、网站内容和其他公共数据。
法规要求：随着全球数据保护法律数量的增加，数据分类正日益成为一项法规要求。例如，欧盟的《通用数据保护条例》（GDPR）要求保护所有个人数据，PIPEDA、FIPA、SHIELD 法案和 LGPD 也是如此。
行业特定的要求：除了法规之外，许多行业特定的要求现在还要求对不同的数据属性进行分类。例如，云安全联盟（CSA）要求数据和数据对象包括数据类型、来源和住所的司法管辖区、上下文、法律约束和敏感性。在此处阅读有关云安全联盟和 CAIQ 的更多信息。

数据分类的目的是什么？

除了使数据更易于定位、检索、作和跟踪之外，精心规划的数据分类信息系统还可以提高数据安全性和合规性。

数据分类的真正目的是保护敏感的公司和客户数据。为此，您必须能够回答以下问题：

我存储哪些敏感数据？
这些敏感数据驻留在何处？
谁可以访问、修改和删除它？
如果这些数据泄露、破坏或更改，我的业务会受到什么影响？

除了回答这些问题外，您还需要了解您的法规要求以及必须保护哪些特定数据。示例包括持卡人数据（PCI DSS）、健康记录（HIPAA）、财务数据（SOX）或个人数据（GDPR、LGPD、PIPEDA、SHIELD 法案和 FIPA）。

除了这些问题之外，许多数据分类工具还可以帮助您保护敏感或重要数据集的机密性、完整性和可用性（CIA 三元组）：

机密性：数据分类可以帮助您了解需要保护的数据类型以及每个类别的适当安全级别。
完整性：通过更轻松地跟踪单个数据元素，数据分类可以确保维护完整性并检测到任何未经授权的更改。
可用性：对于重要但未分类的数据，数据分类可以帮助您专注于确保最终用户、客户和服务提供商可以轻松访问这些数据。

数据分类类别的典型类型有哪些？

数据分类通常涉及大量标签和标签，这些标签和标签定义数据类型、敏感性以及组织独有的机密性、完整性和可用性要求。

这意味着您的数据分类类别在很大程度上取决于您的信息安全策略、法规要求和风险承受能力。

首先，请考虑使用简单的三层方法：

公开数据：公开公开的数据，例如客服邮箱、电话号码等。
内部数据：具有最低安全要求但不打算公开披露的数据。示例包括市场调查、目录信息和销售电话脚本。
受限数据：高度敏感的内部数据，泄露这些数据可能会对运营产生负面影响，或者使您或您的客户面临财务或法律风险。这需要最高级别的安全保护。