个人信息资产保护实践系列将围绕个人信息资产保护的识别(Identity)、防护(Protect)、检测/监测(Detect、Monitor)、响应恢复（Response Recover）等四个方面，并结合自身实践经验对其展开描述与讨论。同时在个人信息保护系列中还会延伸到个人信息资产保护中涉及到的关键技术的介绍。

个人信息资产保护识别是指在保护个人信息时所采取的动作或行为或必要的过程，即对相关信息系统和业务数据进行自动化或半自动化分析，识别可能产生个人信息安全风险的系统、资产和数据。

本期从个人信息资产识别开始：

人们一提到信息安全，便想到了个人隐私，自然而然将信息与隐私划上等号，其实，从专业角度看存在较大的偏差，那么信息安全到底是针对什么内容？

首先得明白几个关键词：个人信息、个人敏感信息、个人隐私信息。

个人信息①是指以电子或其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动的各种信息。

判定为个人信息需要满足三个特征：一是个人信息与存储介质无关；二是个人信息具备识别，即从信息本身特征上识别出特定自然人（如姓名、出生日期、身份证号码等）；三是个人信息具备关联，即能从个人到信息，如已知特定自然人在其活动中产生的信息（如个人通讯记录、个人行程轨迹、个人购物记录等）。

个人敏感信息②是指一是泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。

判定个人敏感信息可从两个方面考虑：首先个人敏感信息是基于个人信息而言，它是个人信息的一部分；二是使用或获取途径的影响，存在主观意识与被动操作，即个人信息泄露或滥用或非法提供导致本人对相关信息不可控，利用其信息及加工处理，会出现违背本人意愿的事，对本人在名誉上、身心健康上、经济上等方面受到伤害或损失。

个人隐私信息③是指公民个人生活中不愿为他人（一定范围以外的人）公开或知悉的秘密，且这一秘密与其他人及社会利益无关。

判断信息是否属于个人隐私核心就在于，公民本人是否愿意他人知晓，以及该信息是否与他人及社会利益相关。如个人日记、身体缺陷等。

其结合《儿童个人信息网络保护规定》相关要求来看，14岁以下（含）儿童的个人信息和自然人的隐私信息都属于个人敏感信息。

个人信息、个人敏感信息与个人隐私信息三者关系：

实际上，个人信息、个人敏感信息和隐私早在Microsoft DGPC框架中就有解释，三者所指范围属于递减区间，即个人信息涵盖个人敏感信息与个人隐私信息，个人敏感信息包括个人隐私信息。如下图所示：

图1：三者关系

个人隐私信息是个体将自己或关于自己的信息隔离起来，从而有选择地表达自己的能力，隐私是个人私有化的，存在天生特殊或敏感性，相当而言它是主观的，与文化环境联系紧密。

个人信息资产保护识别：

个人信息相对主体而言也称之为个人信息资产，个人信息资产保护识别是指在保护个人信息时所采取的动作或行为或必要的过程，即对相关信息系统和业务数据进行半自动化分析，识别可能产生个人信息安全风险的系统、资产和数据。其包括信息资产梳理、信息分类分级、信息流向管理、资产地图建立、信息追踪溯源等内容。

个人信息梳理是数据安全和个人信息保护的基础，明确安全管理或保护对象的分布及形态，确定个人信息是被谁操作与授权状况；梳理个人信息是摸清数据资产安全状况及管理现状，根据个人信息内容不同，采用不同的管理措施；甄别个人信息安全问题，便于后续加强或完善保护手段与管理方法。

个人信息分类分级即个人信息分类和分级。分类是对个人信息的应用特性、相关性、性质等进行类别划分，其体现个人信息的本质特征和可被利用的特性；分级是资产管理的既有动作，它体现在个人信息的敏感性或隐私性，以及泄露或非法应用的影响程度而设立的重要度，属于管理上的用途。

下图为个人信息资产清单较为详细的梳理与列罗，供参考：

在个人信息防护应围绕个人信息管理主体角度思考与展开，包括从主体战略视角、业务安全视角、合规监管视角、内部审计视角、数据治理视角等场景出发。因此，做好个人信息资产保护识别还应包括如下几个方面：

个人信息资产流向识别：

个人信息资产必将是流动的，应当从其流向管理角度把握，关注不同类别、不同级别、不同数量等个人信息数据在不同环境及安全状况，包括不同网域、不同系统、不同存储介质、应用终端等之间流动，要利用技术手段与管理方法去监管，并能利用分析技术判断个人信息的异常流向行为，便于及时制止个人信息面临的安全风险。

个人信息资产地图建立：

个人信息资产地图是可视化的基础，能体现数字化内容管理的技术，一般是通过自动化或半自动化识别技术、基于现实网络环境、系统、业务及数据间关系，形成一种统一的数据资产视图，利用H5等技术动态呈现数据分布、访问关系、热力度等信息。在总体上直观呈现个人信息资产的动向和风险，便于个人信息风险评估分析、管理保护提供更丰富的支撑手段。

个人信息敏感度识别：

敏感度是在个人信息或数据保护中极其重要的，现在已成为网络安全等级保护中的硬核条款。通过对用户或调用程序等对象，以及系统、终端、数据与文件等进行敏感分级与标识， 以便通过安全控制策略来限制不同级别访问对象能接触或操作的某一敏感级别的信息，可以实现或避免强制访问者的行为或动作（如攻击）。在实际应用中还要针对信息的机密性、完整性和可用性等因素综合考虑作敏感度分析与标识处理。

个人信息操作追踪溯源手段：

个人信息在流动中出现异常流向动作或行为，必须识别其安全问题所在，则会利用日志审计、流量分析等技术来甄别行为主体用户、操作时间、操作内容、动作等要素分析或源头陈述，便于及时制止或阻断其动作或行为，及追究相关人员的法律责任。

思维世纪

成都思维世纪科技有限责任公司，成立于2001年，总部设于成都，在北京、云南、贵州、西藏等地均设有分支机构和科研部门。公司致力于大数据时代背景下行业信息安全保障解决方案的提供和数据内容分析挖掘产品的设计和开发，形成了业务安全审计、互联网内容审计、安全咨询服务等三大类产品线，为运营商、能源、教育、医疗、电商等各行业客户提供高价值服务。