数据分类 & 敏感度标签分类

如果敏感数据被盗、无意中共享或因泄露而公开，则公司将面临重大风险。 风险因素包括声誉损失、财务影响和竞争优势丧失。 保护企业管理的数据和信息是组织的首要任务，但你可能会发现，鉴于企业拥有的内容量，很难知道你的工作是否真正有效。

除了音量，内容的重要性范围可能从高度敏感和影响到琐碎和暂时性。 它还可能属于各种法规合规性要求。 了解控件的优先级和应用位置可能是一项挑战。 请继续阅读，了解 数据分类是保护内容免受盗窃、破坏或无意破坏的重要工具，以及 Microsoft 365 如何帮助你实现信息安全目标。

什么是数据分类？

数据分类 是网络安全和信息治理领域的专用术语，用于描述根据内容的敏感度或影响级别识别、分类和保护内容的过程。 数据分类是一种最基本的形式，用于根据数据的敏感性或影响程度保护数据免受未经授权的披露、更改或破坏。

什么是数据分类框架？

数据分类框架通常编入正式的企业范围策略中， (有时称为“数据分类策略”) 通常由 3-5 个分类级别组成。 这些元素通常包括三个元素：名称、说明和真实示例。 Microsoft 建议使用不超过 5 个顶级父标签，每个标签有 5 个子标签 (总共 25 个) ，以使用户界面 (UI) 可管理。 级别通常从最低到最敏感的顺序排列，例如 公共、 内部、 机密和 高度机密。 可能会遇到的其他级别名称变体包括 受限、 不受限制和 使用者保护。 Microsoft 建议使用自描述性标签名称，并明确强调其相对敏感度。 例如， “机密” 和 “受限” 可能会使用户猜测哪个标签合适，而 “机密” 和 “高度机密” 则更清楚哪些标签更敏感。

下表显示了 高度机密 数据分类框架级别的示例：

分类级别	说明	示例
高度机密	高度机密数据是由企业存储或管理的最敏感的数据类型，如果泄露或以其他方式披露，可能需要法律通知。 受限数据需要最高级别的控制和安全性，访问应限制为“需要知道”。	敏感个人身份信息 (敏感 PII) 持卡人数据 受保护的运行状况信息 (PHI) 银行帐户数据

提示

Microsoft 的公司数据分类框架最初在试点阶段使用了名为“Internal”的类别和标签，但发现有正当理由在外部共享文档，并改用“常规”。

数据分类框架的另一个重要组成部分是与每个级别关联的控件。 数据分类级别本身只是标签 (或标记) ，用于指示内容的值或敏感度。 为了 保护 该内容，数据分类框架定义了应针对每个数据分类级别设置的控件。 这些控制措施可能包括以下相关要求：

• 存储类型和位置
• 加密
• 访问控制
• 数据销毁
• 数据丢失防护
• 公开披露
• 日志记录和跟踪访问
• 其他控制目标（根据需要）

安全控制因数据分类级别而异，因此框架中定义的保护措施会随着内容的敏感度而增加。 例如，数据存储控制要求将因所使用的媒体以及应用于给定内容片段的分类级别而异。 下表显示了特定存储类型的数据分类控件示例：

存储类型	机密	内部	无限制
可移动存储	禁止	除非已加密，否则禁止	无需控件

在现实生活中，正确应用适当级别的数据分类可能非常复杂，有时可能会使最终用户不知所措。 创建用于定义所需级别的数据分类的策略或标准后，必须指导最终用户在日常工作中如何实现此框架。 此领域是数据分类处理规则或准则的用处。

数据分类处理指南将帮助最终用户提供有关如何在整个生命周期内针对不同存储媒体适当处理每个级别的数据的具体指导。 这些指南可帮助最终用户在实践中正确应用规则，例如在不同平台和组织之间共享文档、发送电子邮件或协作时。

Microsoft 客户表示，大约 50% 的信息保护项目侧重于业务而不是技术，因此最终用户培训和沟通对于成功至关重要。