classification-policy

数据分类政策制定

概述

数据分类政策建立了企业范围的框架，用于按敏感级别对数据进行分类，并规定各级别的处理要求。该政策将 GDPR 分类义务（个人数据、特殊类别数据、刑事数据）和信息安全要求（机密性、完整性、可用性）转化为切实可行且可强制执行的规则，规范数据在整个生命周期中的存储、传输、访问和处置方式。本技能涵盖四级分类方案的设计、实施和执行，该方案符合 GDPR 要求和 ISO 27001 附录 A 控制措施。

分类级别结构

Vanguard Financial Services 的四级模型

级别	标签	描述	GDPR 对应分类	ISO 27001 对应分类
级别 1：公开	PUBLIC	已获准公开发布的信息。披露不会给组织或个人带来风险。	匿名化数据（序言 26）、已发布报告、公开申报文件	A.8.2 — 未分类/公开
级别 2：内部	INTERNAL	仅供内部使用的信息。披露会造成轻微不便，但不会造成重大损害。	假名化汇总数据、内部流程、组织架构图	A.8.2 — 内部
级别 3：机密	CONFIDENTIAL	披露后会给个人或组织造成重大损害的信息。	个人数据（第 4(1) 条）、财务数据、客户记录、员工记录	A.8.2 — 机密
级别 4：受限	RESTRICTED	披露后会造成严重损害、监管处罚或不可逆损失的信息。	第 9 条特殊类别数据、第 10 条刑事数据、商业机密、监管调查数据	A.8.2 — 受限/秘密

分类决策矩阵

数据类型	级别	理由
已发布的年度报告	PUBLIC	已获准公开披露
内部组织架构图	INTERNAL	披露不会对个人造成损害，但不适合对外分发
客户姓名和电子邮件地址	CONFIDENTIAL	个人数据——披露会违反 GDPR 义务
客户账号和交易记录	CONFIDENTIAL	具有财务敏感性的个人数据
员工国民保险号码	CONFIDENTIAL（接近 RESTRICTED）	高敏感度直接标识符
员工健康记录	RESTRICTED	第 9 条特殊类别数据
生物识别门禁模板	RESTRICTED	第 9 条生物识别数据
犯罪背景调查结果	RESTRICTED	第 10 条刑事数据
反洗钱调查文件	RESTRICTED	刑事数据 + 法律特权
董事会战略计划	RESTRICTED	商业敏感信息
加密密钥和凭据	RESTRICTED	安全关键数据

各级别的处理程序

级别 1：PUBLIC

控制措施	要求
存储	无限制；可使用任何获批平台
传输	无限制；可通过任何渠道发送
访问控制	无限制；所有人均可访问
加密	非必需（但建议用于保障完整性）
保留	按照文档保留计划执行
处置	常规删除
标记	标签：“Public”，也可不加标签

第 2 级：内部

控制项	要求
存储	仅限 Vanguard 管理的系统（不得使用个人设备或个人云服务）
传输	使用 Vanguard 邮件或经批准的协作工具；不得通过个人邮件传输
访问控制	所有拥有有效账户的 Vanguard 员工及经批准的承包商均可访问
加密	传输过程中必须加密（TLS 1.2+）；建议静态加密
保留	按照文档保留计划执行
处置	使用标准安全删除方式（文件系统删除）
标记	通过页眉／页脚或元数据添加“内部”标签

第 3 级：机密

控制项	要求
存储	存储在设有访问控制的 Vanguard 管理系统中；静态加密（AES-256）
传输	使用加密邮件（TLS 1.3 或 S/MIME）或经批准的 SFTP；不得使用未加密的通道
访问控制	基于角色的访问控制（RBAC）；遵循业务知情必要原则；必须使用 MFA
加密	静态加密（AES-256）和传输加密（TLS 1.3）均为强制要求；对高敏感度字段进行字段级加密
打印	允许打印，但须通过安全打印释放；打印件必须存放在上锁的柜子中
外部共享	仅允许与签署 DPA／NDA 的获批第三方共享；新增接收方须经 DPO 批准
保留	按照特定数据的保留计划执行；自动强制实施
处置	安全覆盖（NIST 800-88 Clear）；实体介质须粉碎
标记	在文档页眉／页脚、邮件主题标签及元数据中添加“机密”标签
审计	记录访问日志；每季度审查访问权限
DLP	启用 DLP 策略：外部共享时发出警告，阻止共享到个人邮件

第 4 级：受限

控制项	要求
存储	仅限指定的受限访问系统；使用客户管理的密钥进行静态加密；适用时使用独立网络分段或 HSM
传输	仅限端到端加密通道；邮件必须加密；仅限使用经批准的安全文件传输方式
访问控制	使用指定个人访问名单（非基于角色）；批量访问须经两人授权；必须使用 MFA；实施特权访问管理（PAM）
加密	使用客户管理的密钥进行 AES-256 静态加密；使用 TLS 1.3 加密传输；必须进行字段级加密
打印	除非获得 DPO 特别授权，否则禁止打印；打印件须加上带有用户身份的水印
外部共享	除非 DPO 和首席隐私官共同批准，否则禁止共享；仅限加密传输
保留	严格执行保留期限并自动删除；未经 DPO 批准不得延长
处置	按 NIST 800-88 Purge 标准处置（加密擦除或物理销毁）；必须提供处置证明
标记	在文档页眉／页脚（红色）、邮件横幅及元数据中添加“受限”标签；在屏幕上进行可视标记
审计	记录所有访问的用户身份、时间戳和目的；由 DPO 每月审查审计记录
DLP	启用 DLP 策略：阻止所有外部共享、USB 复制、打印和屏幕截图；触发策略时通知 DPO
事件响应	任何未经授权的访问或披露均视为数据泄露；必须立即通知 DPO

策略治理

政策文档结构

章节	内容
1. 目的和范围	说明为何需要分类以及涵盖哪些数据
2. 分类级别	四级分类定义及示例
3. 角色和职责	数据所有者、数据管理员、DPO、IT Security、全体员工
4. 分类流程	如何对新数据进行分类、重新分类的触发条件
5. 处理要求	各级别控制措施矩阵
6. 标签要求	如何应用标签（手动和自动）
7. 例外流程	如何申请例外并接受风险
8. 执行	违规情况的监控、审计和后果
9. 培训	分类意识培训要求
10. 审查计划	每年审查；监管变化时进行临时审查

角色和职责

角色	职责
数据所有者（业务部门负责人）	为其业务职能分类数据；批准访问请求；每年审查分类
数据管理员（部门级）	维护分类标签；确保其负责领域符合处理要求；报告分类问题
DPO	监督政策合规情况；批准 Restricted 级别例外；开展分类审计
IT Security	按级别实施技术控制措施；管理 DLP 策略；配置加密；监控审计日志
全体员工	为其创建的数据应用分类标签；按级别要求处理数据；报告疑似错误分类
Privacy Engineering	配置自动分类工具；管理发现平台；调整检测准确性

例外流程

Exception Request
  │
  ├─► Step 1: Requestor documents the exception
  │     - What data? What tier? What control cannot be met?
  │     - Why is the exception needed?
  │     - What alternative controls are proposed?
  │     - Duration of exception requested
  │
  ├─► Step 2: Risk Assessment
  │     - Data Steward assesses the risk of the exception
  │     - For Confidential tier: Data Owner approves
  │     - For Restricted tier: DPO and CISO jointly approve
  │
  ├─► Step 3: Approval and Documentation
  │     - Exception recorded in exception register
  │     - Alternative controls documented and implemented
  │     - Expiry date set (maximum 12 months, renewable)
  │
  └─► Step 4: Review
        - Exception reviewed at expiry
        - Renewed only if original justification remains valid
        - Chronic exceptions trigger process improvement

执行机制

机制	实施方式
自动标记	Microsoft Purview 自动标记功能根据检测到的 PII 应用 Confidential/Restricted 标签
DLP 策略	Microsoft Purview DLP 会针对违反策略的行为（外部共享、复制到 USB）进行拦截或警告
访问权限审查	每季度对 Confidential 数据的访问权限进行认证；每月对 Restricted 数据进行认证
审计日志记录	记录对所有 Confidential 和 Restricted 数据的访问，并保留 2 年
分类审计	DPO 每半年开展一次审计，每个级别抽查 100 项以检查分类准确性
培训合规性	全体员工每年都必须参加分类培训；通过 LMS 跟踪完成情况
纪律政策	按员工手册逐级升级处理违规行为：警告 → 正式警告 → 纪律处分

执行先例

• ICO v Interserve Group（2022）：因安全措施不足被罚 GBP 4.4 million — ICO 指出，未按敏感程度对数据进行分类，导致无法实施适当的安全控制措施，并造成影响 113,000 名员工的数据泄露。
• CNIL v Sergic（2019）：因未对租户个人数据实施充分的访问控制被罚 EUR 400,000 — 缺乏数据分类意味着所有数据都采用相同（且不足）的控制措施。
• AEPD v CaixaBank（2021）：被罚 EUR 6 million — DPA 指出，数据分类不足导致数据收集和保留过度，违反了数据最小化和存储限制原则。

集成点

• personal-data-test：根据个人数据分类结果分配分类政策级别
• special-category-data：Art. 9 数据自动分配为 Restricted 级别
• criminal-data-handling：Art. 10 数据自动分配为 Restricted 级别
• data-labeling-system：标签系统落实政策中的标签要求
• auto-data-discovery：发现工具验证分类标签是否与检测到的数据敏感程度相符