分类分级是什么
数据安全法确立了数据分类分级保护制度：按数据的重要程度以及一旦被篡改、破坏、泄露或非法获取利用后的危害程度，把数据划分为一般数据、重要数据与核心数据三个层次，级别越高，管控要求与出境限制越严。落地不是写一份分类文件，而是把分级结论作用到系统上：不同级别的数据要有不同的访问权限、加密范围、审计强度与留存策略，否则分级只停留在纸面上。
基本信息
| 法律依据 | 数据安全法（数据安全制度章节） |
|---|---|
| 配套标准 | GB/T 43697-2024 数据分类分级规则 |
| 分级框架 | 一般数据 / 重要数据 / 核心数据 |
| 保护逻辑 | 级别越高，管控措施与出境限制越严 |
| 行业规则 | 金融、汽车、医疗、工信等行业另有目录与细则，优先适用 |
| 落地产出 | 数据资产清单、分类分级目录、差异化管控策略、复核记录 |
落地流程
落地流程
# 六步闭环，注意第 5 步才是关键
1 数据资产盘点：系统、库表、字段、文件、接口与日志
2 分类：按行业与业务属性归类（客户、订单、设备、财务等）
3 分级：按影响分析定一般 / 重要 / 核心
4 标注：打标签、建目录、明确数据 owner
5 管控：按级别配置访问、加密、审计、留存与脱敏策略
6 复核：业务变化或新规发布时重评，保留版本记录分级与措施对照
| 级别 | 典型数据 | 管控措施方向 |
|---|---|---|
| 一般数据 | 内部公告、公开资料 | 基础访问控制与备份 |
| 较敏感业务数据 | 客户与订单明细 | 字段级权限、脱敏展示、操作留痕 |
| 重要数据 | 行业目录明确的数据 | 加密与最小授权、专门审批、出境受限 |
| 核心数据 | 关系国家安全与公共利益 | 最高等级管控、严格出境限制 |
常见落地动作
- 字段打标：在数据字典里标注数据类别与级别，研发按标实现权限控制
- 权限分层：高敏感数据的访问走审批与临时授权，到期自动回收
- 脱敏与掩码：生产数据用于测试前必须脱敏，避免扩散
- 审计留痕：高敏感数据的访问记录单独留存并定期复核
- 数据地图：把数据分布画成一张图，便于事件发生时快速定位影响面
典型使用场景
- 制度建设：把法规要求转化为内部数据安全管理办法与操作规程
- 监管检查：提供分类分级目录与措施落实证据作为核心材料
- 数据出境判断：先识别是否含重要数据，再判断需要走哪条路径
- 系统改造：按分级结果设计加密范围与权限模型，避免事后返工
重要数据的识别口径优先看国家与行业目录：未被相关部门、地区告知或公开发布为重要数据的，实践中一般不按重要数据管理，但这个判断要有留痕的评估说明，不能口头一句「我们不是。」
把分类分级做成一张 Excel 就交差是典型的形式主义：控制措施不随级别变化，等于没有分级，检查时很难通过。
落地顺序建议由数据地图起步：先画出数据从采集到销毁的流转路径，再逐段标注类别与级别，比直接填表格更容易发现遗漏环节。