网络数据安全风险评估试点成果 |（34）复旦大学附属中山医院：《数据资产自动化梳理平台》

本案例深入探讨了在数据安全风险评估工作中，如何结合技术工具，协助内部人员快速完成数据资产调研，了解数据资产的类型、范围、规模、存储位置及分类分级情况等基本信息，从而形成清晰明了的数据资产台账，对增强数据资产现状梳理效率、提升数据风险识别的客观性和准确性具有重要参考意义。

完成数据资产台账的梳理后，本次案例实践中，通过数据资产自动化梳理平台内置的分类分级引擎、结合实体语义模型和推荐引擎，快速根据本院实际的数据安全分级诉求自动化的对“上海中山医院APP”和“科研专病库”两个业务系统完成了数据打标工作，分别输出数据分类分级报告。比如针对“上海中山医院APP”业务系统，通过数据分类分级自动打标工具快速识别178张表，2049个字段，其中，涉及敏感字段：1446个字段，491个业务类型，详情如下：

数据资产自动化梳理平台可以从安全角度对重要数据进行多维可视化图表分析，强化重要数据和个人信息的合规，更直观展示内部数据资产存在潜在风险，从而帮助相关人员快速了解和认识数据，为后续开展数据资产管理、数据安全治理、数据安全防护等提升监管合规数据的洞察能力。安全合规可视化结果如下图所示：

图4 数据安全分类分级可视化大屏

基于这次对于数据级别的调整结果，以数据的特征和标签为基础，通过机器AI算法自动梳理数据特征，并生成相应的数据发现规则，形成智能提升机制，引导其它智能能力优化升级，从而对未知数据进行分类分级。为后续数据安全评估工作和重要数据的定期梳理上报工作，提供技术支撑，帮助院内全面认识评估系统内包含的数据，有哪些类别的数据，哪些数据属于敏感数据，实现敏感数据的自动识别，并可根据敏感程度、重要程度进行分级。

为了能够让后续的数据资产梳理工作变成常态化的安全工作之一，需要不断提升平台的智能化、自动化程度，实现对数据资产梳理、数据分类分级工作的持续运营。在本次案例试点过程中，进行了新技术的探索实践，数据资产自动化梳理平台可以对于后续不断进行智能分类分级的能力进行可视化呈现，整合现有规则匹配、NLP、智能推荐、大模型、机器学习等，形成智能能力展示。将智能化程度、作业状态分布及数据源梳理多维度进行可视化展示。通过如下图所示的智能作业大屏，将智能技术进行量化，进一步强化院内数据资产梳理、数据分级工作的智能程度。

图5 数据分类分级智能化程度可视大屏

通过引入数据分类分级自动打标工具，并从政策法规方面对分类分级标准、规范进行学习和解读，沉淀行业知识、标准，形成完善的分类分级方法论，并转化为平台的发现模版，同时，配套智能化识别的分类分级模块，有的放矢的去发现目标数据，通过快速落地和反复迭代来完成数据分类分级工作，并结合数据流动使用场景，规划建立一套常态化的分类分级流程和机制，真正意义上做到即满足合规诉求又能保障自身数据价值的未来需求。