在大数据时代的背景下，以AI、大数据、物联网、云计算等为标志的新一轮科技变革正在进行，数据的价值和安全越来越受到重视。可以说，“谁掌握数据，谁就掌握了未来。”那么如何定义数据、管理数据、保护数据，实现数据的价值，就成为近来各界热切关注的议题。
要实现对数据资产的管理和保护，首先要对数据进行分类。这里将以卡尔顿大学为例，简要介绍一种数据资产的分类保护方法。根据国家相关法律法规和大学数据安全政策的要求，依据数据敏感程度、价值和对大学的重要性建立一个框架，对数据进行合理分类、保存和使用，便于对不同类型的数据采取适宜的保护措施。
01
数据分类
数据的分类有助于确定使用哪些安全策略来保护该数据。这里我们将数据分为三级（级别数量、分级规则都需根据具体需求制定，下文中表格都仅为举例）：
1.敏感数据或机密数据
2.内部数据
3.公共数据
在大学创建或获得所有权后，所有大学的数据必须尽快分为这三个敏感级别之一。
敏感数据或者机密数据
定义
☆ 受法律保护的信息。
☆ 合同需要保密的信息。
☆ 大学认为适用于保密处理的其他信息。
☆ 需要最高级别的安全控制、不同程度的访问控制的敏感或机密信息。
☆ 未经授权的泄露可能会对个人、大学造成严重的风险，并对大学的声誉造成严重的影响或损害的信息。
部分举例
☆ 个人身份信息-可用于区分或追踪其身份的个人信息。
☆ 与学生直接相关的由大学维护的学生教育记录，如学生姓名、地址、学位和获奖情况。
☆ 人力资源信息，如薪资和员工福利信息。
☆ 威胁和风险评估、信息系统漏洞评估和渗透测试的结果。
内部数据
定义
☆ 受法律保护的信息。
☆ 合同需要保密的信息。
☆ 大学认为适用于保密处理的其他信息。
☆ 需要最高级别的安全控制、不同程度的访问控制的敏感或机密信息。
☆ 未经授权的泄露可能会对个人、大学造成严重的风险，并对大学的声誉造成严重的影响或损害的信息。
部分举例
☆ 个人身份信息-可用于区分或追踪其身份的个人信息。
☆ 与学生直接相关的由大学维护的学生教育记录，如学生姓名、地址、学位和获奖情况。
☆人力资源信息，如薪资和员工福利信息。
☆ 威胁和风险评估、信息系统漏洞评估和渗透测试的结果。
公共数据
定义
☆ 任何可能或必须向公众提供的信息，其访问或使用没有法律限制。
☆ 几乎不需要措施来保护机密性，但需要基本的安保确保大学信息的完整性的数据。
部分举例
☆ 大学官网上的一般访问数据。
☆ 大学财务报表和其他已发布的报告。
☆ 可公开获得的受版权保护的材料。
02
标记
所有非公开的电子或硬拷贝格式的数据都必须标记为机密、敏感或内部。
下表概述了标记数据的要求和指导。
数据类别
标记要求
敏感或机密
☆ 具有多个页面的单个文档应在每个单独的页面上清楚地标识分类。
☆ 如果无法使用标准页脚，则电子文档分类必须清晰可见。
☆ 包含此类数据的电子邮件必须有分类声明。
内部
☆ 具有多个页面的单个文档应在每个单独的页面上清楚地标识分类。
☆ 如果无法使用标准页脚，则电子文档分类必须清晰可见。
☆ 如果没有标注，除非发布，否则日常业务通信将被假定为内部。
公开
☆ 没有具体的标记要求。
03
风险等级评估
评估风险等级需根据损害程度和如果数据丢失、被窃或被未经授权方访问，将会发生损害的概率来确定。
下表显示了数据机密性、完整性或可用性受到损害时，相对于损害概率和程度的最低风险等级。
04
数据集
在对数据集进行分类时，必须对任何单个数据元素进行最严格的分类。例如，如果数据集包含公开数据和敏感或机密数据的组合，由其生成的数据集必须分类为敏感或机密数据。
注意：在某些情况下，汇总的数据可能会导致集合比任何单个元素敏感级别更高。分类时需考虑汇总的数据的整体敏感度。
05
数据保护
数据安全级别是根据上文中确定的数据分类和风险等级确定的。确定数据的安全级别之后，就可以制定和采取对应安全级别的安全措施。各部门负责实施适当的管理、操作、物理和技术上的控制，以便按规定存储、使用、传输和销毁数据。下表为不同安全级别的数据的存储、传输和销毁的保护措施举例。
安全级别：第三级
存储：
（1）电子文件和数据必须存储在归属大学的台式计算机或服务器。
（2）存储在便携式或不安全设备上时，必须对电子文件和数据进行加密。
（3）便携式或不安全设备在不使用时必须存放在安全的地方。
（4）硬拷贝文件必须存储在具有受控访问权限的锁定办公室或文件柜中。
（5）与第三方共享的机密或敏感数据必须加密。
（6）除非由大学托管或通过适当的协议提供支持，否则数据不得存储在“云”环境中。
传输：
（1）数据必须仅通过安全网络传输。
（2）遍历不受信任网络的数据必须包含行业标准加密。
（3）通过传真或电话传输必须具有访问权限，只有获得授权的人才能查看或收听。
摧毁：
（1）数据必须仅通过安全网络传输。
（2）遍历不受信任网络的数据必须包含行业标准加密。
（3）通过传真或电话传输必须具有访问权限，只有获得授权的人才能查看或收听。
安全级别：第二级
存储：
（1）电子文件和数据必须存储在归属大学服务器。
（2）存储在便携式或不安全设备上时，必须对电子文件和数据进行加密。
（3）便携式或不安全设备在不使用时必须存放在安全的地方。
（4）硬拷贝文件必须存储在锁定的办公室或文件柜中。
传输：
通过传真或电话传输必须具有访问权限，只有获得授权的人才能查看或收听。
摧毁：
（1）根据大学政策不再需要时必须销毁。
（2）必须正式删除电子文件和数据，并且必须使媒体不可读。
（3）硬拷贝文件必须横切碎片。
安全级别：第一级
存储和传输：
数据存储或传输不需要安全控制。
摧毁：
文件可以被回收或删除。
针对这些安全措施和保护标准，可以制定定制化的数据安全保护体系，能够区别于传统单一化的数据安全工具，实现数据全生命周期的安全防护。
