企业数据分类分级实操方法 - 保密网

数据分类分级是企业数据安全治理的基础工作。而在日常办公中Excel文档作为承载业务数据最频繁的文件类型如果缺乏统一的密级标记规范将直接导致数据在使用流转和归档环节缺乏安全管控依据。本文从密级分类标准标记方法和规范操作三个维度详细介绍Excel文档密级标记的实操方法。

一、数据分类分级的基础原则

企业数据分类分级应遵循最小够用原则和动态调整原则。最小够用原则要求只有真正需要保护的数据才定密定级避免将大量普通业务数据纳入保密管理造成管理成本浪费。动态调整原则要求密级不是一成不变的随着业务变化时间推移和数据公开范围的变化及时调整密级。在分类方法上企业可以按业务领域将数据分为研发数据经营数据客户数据和财务数据等大类再按敏感程度从低到高分为内部公开内部使用商业秘密和核心秘密四个等级。每类数据的密级确定需要业务部门法务部门和保密办公室共同参与在数据产生之初就明确标注。

二、Excel密级标记的具体操作

Excel文档的密级标记应实现在文件名文件属性和文件内容三个层面的统一。文件名层面要求所有涉密Excel文档的文件名后缀括号内标注密级如年度销售数据汇总统计内部使用销售额明细商业秘密。文件属性层面利用Excel的文件属性功能在作者单位备注等字段中填写密级信息便于文件检索系统按密级筛选。文件内容层面要求在Excel工作表的固定位置如标题行的下一行或页眉页脚位置插入密级标识建议使用红色字体加粗居中放置。同时建议在Excel工作表的A列最左侧或首行新建密级标签列针对同一工作簿中不同工作表的不同密级进行逐表标注。

三、Excel密级标识的实施方案

企业应根据自身信息化程度选择适合的密级标识实施方案。方案一为人工标注由Excel文件编制者按照企业数据分类分级标准在文件创建或编辑时手工添加密级标识。优点是实施成本低无需额外工具投入适用于企业初期阶段。缺点是依赖个人自觉存在漏标和标错的风险。方案二为模板约束由企业统一发布带密级标识模板的Excel文件模板的页眉页脚和指定单元格中预设了密级字段文件创建者只需在下拉菜单中选择对应的密级即可。优点是统一规范操作简便适用于中型企业。方案三为自动标识通过DLP或数据分类分级系统在Excel文件保存时自动识别内容中的敏感信息并自动标注密级。优点是效率高精度好适用于已部署数据安全产品的大型企业。

四、密级标识的传递与同步

Excel文档在不同部门和人员之间流转时密级标识应当与原文件同步传递不丢失不篡改。在通过邮件发送时邮件正文和附件名称中应保留文件密级标识。在通过OA系统流转时OA系统的密级字段应与Excel文件内密级标识保持一致。在上传至企业网盘或文档管理系统时文件索引信息中应提取文件密级作为元数据字段。在打印输出时页眉页脚中的密级标识应一并打印。在通过即时通讯工具如企业微信钉钉传输时应在传输前确认文件密级采取对应的管控措施。

五、密级变化时的调整流程

Excel文档的密级不是一成不变的当数据的敏感程度发生变化时密级标识需要同步调整。比如一份新产品研发数据在项目初期属于核心秘密产品发布后降级为商业秘密定期公开后转为内部文件。密级调整应由文件原编制者或数据所有人发起填写密级变更申请注明变更原因。保密办公室审核确认后在文件属性中同步修改密级并通知所有持有该文件历史版本的部门进行同步更新。密级升级的应在文件管理系统中冻结历史版本重新设定访问权限。密级降级的应评估降级后的访问控制策略是否满足新密级要求。

六、日常管理中的常见问题

Excel文档密级标记在日常管理中容易出现以下几类问题。一是标记不全很多Excel文件仅有文件名标注而文件属性和内容中缺少密级标识检索时无法按密级精确查找。二是标记不规范不同部门对同一数据类型的密级认定不一致导致跨部门流转时管控标准不统一。三是标记后无人复核涉密Excel文档的密级长期不更新数据已公开但文件仍标为核心秘密造成管控过度。四是标记与权限不对应文件标了商业秘密但共享文件夹的访问权限却对全员开放。针对这些问题企业应建立Excel密级标识的定期复核机制每个季度由数据所有人自查密级是否需要调整发现问题及时修正。

七、技术工具的建议

对于Excel文档数量较多的企业建议引入数据分类分级自动化工具配合DLP系统的内容识别功能实现Excel密级的自动化识别和标注。工具应支持对Excel文档的批量扫描自动识别文件中包含的敏感数据类型如客户信息财务数据研发数据并给出密级建议。同时工具应对历史文档进行梳理发现漏标和错标的问题文档并标记为需要人工复核。

Excel文档密级标记看似是细小的基础工作但正是这些基础工作的扎实程度决定了企业数据安全管理的整体水平。每一个Excel文件上的小小密级标签都是企业数据安全防护的第一道标识。

北京企密安信息安全技术有限公司 010-63711822 / jess@baomiwang.com