在数据库中分类敏感数据通常遵循以下步骤,以帮助组织更好地保护其数据资产：
-
识别数据资产：需要全面了解数据库中存储了哪些数据，这包括表、字段、视图、存储过程等，客户表、员工表、订单表等。
-
定义敏感数据类型：根据行业规范、法律法规（如《个人信息保护法》、《数据安全法》、GDPR、HIPAA、PCI DSS等）以及组织的业务需求，确定哪些数据是敏感的,常见的敏感数据类型包括：
- 个人身份信息：姓名、身份证号、护照号、社保号、住址、电话号码、电子邮件等。
- 财务信息：信用卡号、银行账号、交易记录、收入、资产等。
- 健康信息：病历、诊断结果、基因数据、保险信息等。
- 商业机密：知识产权、客户名单、源代码、战略计划、内部定价等。
- 认证凭据：密码、密钥、令牌、会话ID等。
- 受监管数据：特定行业或法律要求保护的数据，如儿童个人信息、金融数据等。
-
建立分类等级：根据数据泄露后可能对个人、组织或社会造成的损害程度，建立多级分类体系,一个常见的模型包括：
- 公开/非敏感：可向公众自由披露的数据，如公开的联系方式、产品介绍等,泄露影响很小。
- 内部/低敏感：仅在组织内部使用，泄露可能对组织造成轻微负面影响的数据，如组织架构、内部通讯录等。
- 机密/敏感：需要严格控制访问权限，泄露可能对组织或个人造成严重损害的数据，如客户PII、财务数据、商业计划等。
- 绝密/高度敏感：受到最严格保护，泄露可能导致灾难性后果的数据，如国家秘密、核心知识产权、大规模个人敏感信息等。
-
使用自动化工具扫描：由于手动分类所有数据可能效率低下且容易出错，通常使用数据发现与分类工具（如 Microsoft Purview、Amazon Macie、Google DLP、Varonis 等）,这些工具可以：
- 自动扫描数据库。
- 通过内置的或自定义的模式匹配规则（如正则表达式、关键字、指纹识别）来识别敏感数据字段（识别格式为16位数字的信用卡号）。
- 对结果进行标记和分类。
-
手动验证与调整：自动化工具的结果需要由数据管理员、安全团队或业务专家进行审核和验证，某些数据可能无法被模式准确识别（含义模糊的自由文本字段）,或者其分类等级可能需要根据具体业务上下文进行调整。
-
记录与维护：创建一个数据分类清单或数据字典，记录每个数据元素的名称、位置、敏感类型、分类等级、负责方和访问控制要求，分类不是一次性的工作，需要随着新数据的加入、法规的更新或业务的变化而定期审查和更新。
-
实施基于分类的控制：一旦分类完成,就可以根据分类等级实施相应的安全控制措施，
- 访问控制：仅授权给需要知道的人员访问。
- 加密：对机密及以上等级的数据进行静态加密和传输加密。
- 数据脱敏/水印：在非生产环境（如开发、测试、分析）中对敏感数据进行脱敏或去标识化处理。
- 审计与监控：对敏感数据的访问和修改行为进行详细日志记录和异常检测。
分类敏感数据的核心是识别、定级、标记、并施加相应的保护，这是一个持续的过程，需要人员、流程和技术的有效结合。
