數據銷毀數據安全、網絡安全與信息安全

隨著全球數字化進程推進，數據規模呈現指數級增長，數據已成為驅動社會進步的核心資源。2020年，我國明確將數據列為第五大生產要素，與土地、勞動力等并列，數據的經濟價值與社會價值被提升至國家戰略高度。數據的高效利用需以安全為前提，隨著《數據安全法》《個人信息保護法》等法規的出臺，要求企業和組織必須建立合規的數據安全體系，避免數據濫用或泄露導致系統性風險。本文主要介紹了網絡安全事件和數據的分類分級規則，給企業或組織構建數據安全體系提供支撐。

01

網絡安全事件分類分級

網絡安全是通過采取必要措施，防范對網絡的攻擊、侵入、干擾、破壞和非法使用以及意外事故，使網絡處于穩定可靠運行的狀態，以及保障數據的完整性、保密性、可用性的能力。

網絡安全事件是由于人為原因、網絡遭受攻擊、網絡存在漏洞隱患、軟硬件缺陷或故障、不可抗力等因素，對網絡和信息系統或者其中的數據和業務應用造成危害，對國家、社會、經濟造成負面影響的事件。分為惡意程序事件、網絡攻擊事件、數據安全事件、信息內容安全事件、設備設施故障事件、違規操作事件、安全隱患事件、異常行為事件、不可抗力事件和其他事件等10類。

1）惡意程序事件指在網絡蓄意制造或傳播惡意程序而導致業務損失或造成社會危害的網絡安全事件。包括計算機病毒事件 、網絡蠕蟲事件 、特洛伊木馬事件 、僵尸網絡事件 、惡意代碼內嵌 網頁事件 、惡意代碼宿主站點事件 、勒索軟件事件 、挖礦病毒事件 、混合攻擊程序事件和其他惡意程序事件等10個子類。

2）網絡攻擊事件指通過技術手段對網絡實施攻擊而導致業務損失或造成社會危害的網絡安全事件。包括網絡掃描探測事件 、網絡釣魚事件 、漏洞利用事件 、后門利用事件 、后門植入事 件 、憑據攻擊事件 、信號干擾事件 、拒絕服務事件 、網頁篡改事件 、暗鏈植入事件 、域名劫持事件 、域名轉 嫁事件 、DNS污染事件 、WLAN劫持事件 、流量劫持事件 、BGP劫持攻擊事件 、廣播欺詐事件 、失陷主機事件 、供應鏈攻擊事件 、APT事件和其他網絡攻擊事件等21個子類。

3）數據安全事件指通過技術或其他手段對數據實施篡改 、假冒 、泄露 、竊取等導致業務損失或造成社會危害的網絡安全事件。包括數據篡改事件 、數據假冒事件 、數據泄露事件 、社會工程事件 、數據竊取事件 、數 據攔截事件 、位置檢測事件 、數據投毒事件 、數據濫用事件 、隱私侵犯事件 、數據損失事件和其他數據安 全事件等12個子類。

4）信息內容安全事件指通過網絡傳播危害國家安全、社會穩定、公共安全和利益的有害信息導致業務損失或造成社會危害的網絡安全事件。包括反動宣傳事件、暴恐宣揚事件、色情傳播事件、虛假信息傳播事件、權益侵害 事件、信息濫發事件、網絡欺詐事件和其他信息內容安全事件等8個子類。

5）設備設施故障事件指由于網絡自身出現故障或設備設施受到破壞或干擾而導致業務損失或造成社會危害的網絡安全事件。包括技術故障事件、配套設施故障事件、物理損害事件、輻射干擾事件和其他設備設施故障事件等5個子類。

6）違規操作事件指人為故意或意外地損害網絡功能而導致業務損失或造成社會危害的網絡安全事件。包括權限濫用事件 、權限偽造事件 、行為抵賴事件 、故意違規操作事件 、誤操作事件 、 人員可用性破壞事件 、資源未授權使用事件 、版權違反事件和其他違規操作事件等9個子類。

7）安全隱患事件指網絡中出現能被攻擊者利用的漏洞或隱患，一旦被利用可能對網絡造成破壞，進而導致業務損失或造成社會危害的網絡安全事件。包括網絡漏洞事件、網絡配置合規缺陷事件、其他安全隱患事件等3個子類。

8）異常行為事件指網絡本身穩定性不足或違規訪問網絡造成訪問 、流量等異常行為，進而導致業務損失或造成社會危害的網絡安全事件。包括訪問異常事件 、流量異常事件和其他異常行為事件等3個子類。

9）不可抗力事件指因突發事件損害網絡的可用性而導致業務損失或造成社會危害的網絡安全事件。包括自然災害事件 、事故災難事件 、公共衛生事件 、社會安全事件和其他不可抗力事件等 5個子類 。

10）其他事件指未歸為上述分類的網絡安全事件。

按照事件影響對象的重要程度 、業務損失的嚴重程度和社會危害的嚴重程度三個要素 , 網絡安全事件分為4個級別：特別重大事件、重大事件、較大事件和一般事件, 由高到低分別為一級、二級、三級和四級 。

表1：網絡安全事件類別和級別的關聯關系示例

02

網絡安全等級保護

受侵害的客體（簡稱“客體”）指受法律保護的、等級保護對象受到破壞時所侵害的社會關系。對客體的侵害程度分為造成一般傷害、造成嚴重傷害、造成特別嚴重傷害三種。對應的網絡安全等級分為五級。

表2：定級要素與安全保護等級的關系

0303

數據分類分級

根據《數據安全法》，數據是指任何以電子或者其他方式對信息的記錄。數據安全是指通過采取必要措施，確保數據處于有效保護和合法利用的狀態，以及具備保障持續安全狀態的能力。

1）根據數據在經濟社會發展中的重要程度, 以及一旦遭到泄露 、篡改 、損毀或者非法獲取、非法使用 、非法共享，對國家安全 、經濟運行 、社會秩序 、公共利益 、組織權益 、個人權益造成的危害程度 ,將數據從高到低分為核心數據 、重要數據 、一般數據三個級別。

表3：數據級別確定規則表

2）從數據描述對象角度, 可將數據分為用戶數 據 、業務數據 、經營管理數據 、系統運維數據四個類別 。

表4：基于描述對象的數據分類參考

3）從數據主體角度,可將數據分為公共數據、組織數據、個人信息三個類別。

表5：基于數據主體的數據分類參考

4）按照數據加工程度不同，數據通常可分為原始數據 、脫敏數據 、標簽數據 、統計數據 、融合數據 ,其中 脫敏數據 、標簽數據 、統計數據 、融合數據均屬于衍生數據。

表6：加工程度維度的數據分類

數據安全經常要考慮的因素如下：

a)數據泄露數據竊取、未授權訪問數據、違規導出數據等破壞數據保密性風險 。

b)數據篡改未授權修改 、注入 、仿冒 、偽造數據等破壞數據完整性風險 。

c)數據損毀也稱數據破壞 ,數據被損毀 、數據質量下降 、數據訪問或使用中斷等破壞數據可用性 風險 。

d)非法獲取數據違反法律 、行政法規等有關規定 ,超范圍收集 、強制授權 、非法獲取公民個人信 息等違法違規收集數據風險 。

e)非法使用數據也稱非法利用數據 , 違反法律 、行政法規等有關規定 , 使用 、加工 、委托處理數據 。

f）非法共享數據違反法律、行政法規等有關規定，向他人提供、交換、轉移、交易 、出境、公開數據 。

數據分類分級