“王總，按27001要求，咱們得把所有業(yè)務(wù)數(shù)據(jù)分分類、定定級(jí)?！?br />   “嗯，你弄吧，弄完告訴我?！?br />   “需要您部門配合梳理一下哪些數(shù)據(jù)重要、影響多大……”
  “我哪有時(shí)間理這些？數(shù)據(jù)你們IT部門管不就好了嗎？”
  這是很多企業(yè)在推進(jìn)ISO 27001信息安全管理體系時(shí)，真實(shí)的內(nèi)部對(duì)話。數(shù)據(jù)分類分級(jí)是27001的“地基”——風(fēng)險(xiǎn)評(píng)估、訪問控制、事件響應(yīng)都基于此。但業(yè)務(wù)部門不配合，這個(gè)地基根本打不下去。問題出在哪里？怎么破局？

  一、業(yè)務(wù)部門為什么抗拒？

  原因不外乎三個(gè)：
  D一，覺得“這是IT的事”。 很多業(yè)務(wù)負(fù)責(zé)人天然認(rèn)為“數(shù)據(jù)安全是IT部門的工作”，分類分級(jí)是技術(shù)問題，跟自己沒關(guān)系。
  D二，搞不清“這對(duì)我有什么用”。 業(yè)務(wù)部門的核心KPI是營(yíng)收、交付、客戶滿意度，數(shù)據(jù)分類分級(jí)既不影響這些指標(biāo)，還額外增加了工作量。

  第三，擔(dān)心“分類了，我就沒法靈活用了”。 不少業(yè)務(wù)部門對(duì)數(shù)據(jù)分類分級(jí)的理解停留在“數(shù)據(jù)被貼上標(biāo)簽后，自己反而不能靈活使用”，認(rèn)為這會(huì)增加審批流程，影響業(yè)務(wù)效率。

  二、怎么讓對(duì)方愿意配合？

  1. 把“幫IT干活”變成“給自己省錢”
  業(yè)務(wù)部門不關(guān)心“合規(guī)”，但一定關(guān)心“業(yè)績(jī)”。兩個(gè)真實(shí)案例比講標(biāo)準(zhǔn)管用：
  “張經(jīng)理，隔壁公司的銷售數(shù)據(jù)被業(yè)務(wù)員誤傳到網(wǎng)盤，導(dǎo)致核心客戶信息泄露、引發(fā)競(jìng)品惡意競(jìng)價(jià)——那份報(bào)告正好是銷售部為了趕項(xiàng)目進(jìn)度用外部網(wǎng)盤傳的。如果當(dāng)初做好數(shù)據(jù)分級(jí)，銷售數(shù)據(jù)就不會(huì)允許在外網(wǎng)環(huán)境流轉(zhuǎn)，這單也就不會(huì)黃?！?br />   “王總，上次安全事件咱們跟客戶解釋了大半個(gè)月，信任至今在修復(fù)。按27001要求做數(shù)據(jù)分級(jí)，不是說給數(shù)據(jù)加鎖，是給業(yè)務(wù)應(yīng)急裝上安全氣囊——真出事時(shí)有預(yù)案兜底，不讓客戶對(duì)咱們產(chǎn)生懷疑?！?br />   2. 把“增加工作量”變成“優(yōu)化工作流程”
  讓業(yè)務(wù)部門覺得這是“優(yōu)化”，而非“增加負(fù)擔(dān)”。比如：
  “李總，按新分類規(guī)則，您部門日常數(shù)據(jù)流轉(zhuǎn)zui多走‘一般級(jí)’流程，不需要層層審批。zhong點(diǎn)只是把客戶合同、核心配方這類關(guān)鍵數(shù)據(jù)與普通文檔分開存放——操作量比現(xiàn)在其實(shí)還少了?！?br />   “咱們可以直接把‘?dāng)?shù)據(jù)分類分級(jí)要求’寫進(jìn)您部門的《崗位說明書》里——明確銷售部負(fù)責(zé)客戶主數(shù)據(jù)分級(jí)，研發(fā)部負(fù)責(zé)配方數(shù)據(jù)分級(jí)。這樣不用每個(gè)季度臨時(shí)溝通分工，責(zé)任定了，權(quán)限也自然對(duì)齊了?！?br />   3. 爭(zhēng)取“關(guān)鍵少數(shù)”的支持
  業(yè)務(wù)部門的負(fù)責(zé)人統(tǒng)一口徑、集體推進(jìn)，比單獨(dú)跟每個(gè)部門溝通效率高很多。爭(zhēng)取管理層例會(huì)上的明確表態(tài)，讓數(shù)據(jù)分級(jí)成為“公司決策”，而非“部門間的協(xié)調(diào)”。

  三、具體操作，別讓對(duì)方覺得太麻煩

  D一步：降低難度——先“定類”，再“分細(xì)”
  不要一上來就讓業(yè)務(wù)部門填復(fù)雜的分類表?？梢韵冉o出三類標(biāo)簽：公開級(jí)、內(nèi)部級(jí)、機(jī)密級(jí)。讓業(yè)務(wù)負(fù)責(zé)人拿著這三類標(biāo)簽，先把自己部門的數(shù)據(jù)對(duì)號(hào)入座，之后再細(xì)化。
  D二步：提供“填空題”，不是“作文題”
  給業(yè)務(wù)部門一張簡(jiǎn)單的表格，而不是一份復(fù)雜的問卷。比如：“請(qǐng)列出您部門保管的、涉及客戶隱私或公司核心競(jìng)爭(zhēng)力的數(shù)據(jù)，注明存儲(chǔ)位置和使用人員。”——填完這一項(xiàng)，基礎(chǔ)數(shù)據(jù)就摸清了。
  第三步：先試點(diǎn)、再推廣
  選一個(gè)配合度相對(duì)較高的業(yè)務(wù)部門先試點(diǎn)，把流程走順了，再向其他部門推廣。用事實(shí)說話：“你看，他們做完了，也沒多花多少時(shí)間。”
  業(yè)務(wù)部門不配合數(shù)據(jù)分類分級(jí)，根源是認(rèn)知錯(cuò)位——他們沒看到這件事和自己有什么關(guān)系。溝通的核心不是“講標(biāo)準(zhǔn)”，而是“講場(chǎng)景”：用真實(shí)案例說明不分級(jí)會(huì)有什么后果，用簡(jiǎn)化流程說明配合起來并不麻煩。
  一句話總結(jié)：把“你要配合我做27001”變成“這能幫你少丟單、少背鍋、少折騰”，業(yè)務(wù)部門的配合度自然會(huì)不一樣。