企业数据分类分级实践

作者：Maurice | 灵阙学院 更新日期：2026-02-27 适用范围：中国境内企业数据资产管理与合规

一、为什么要做数据分类分级

数据分类分级是数据安全治理的基石。《数据安全法》第二十一条明确要求国家建立数据分类分级保护制度，各地区、各部门应确定本地区、本部门、本行业重要数据目录。

不做分类分级的后果：

  • 合规风险：无法识别重要数据和核心数据，违反法定义务
  • 安全风险：无差别保护导致高价值数据暴露或低价值数据过度投入
  • 运营风险：数据泄露后无法快速评估影响范围和严重程度
  • 成本浪费：对所有数据施加同等安全措施，资源分配不合理

二、法律与标准依据

法规 / 标准 核心要求
《数据安全法》第二十一条 建立数据分类分级保护制度
《个人信息保护法》 敏感个人信息须特殊保护
《网络安全法》 网络数据分级保护
GB/T 43697-2024 《数据安全技术 数据分类分级规则》 通用分类分级方法
各行业规定 金融、医疗、工业等行业有专项分级要求

行业特殊要求示例：

  • 金融行业：《金融数据安全 数据安全分级指南》(JR/T 0197-2020)
  • 工业领域：《工业数据分类分级指南（试行）》
  • 电信行业：《基础电信企业数据分类分级方法》

三、四级分类分级框架

3.1 级别定义

级别 名称 定义 泄露影响 示例
L1 公开数据 可对外公开的信息 无实质性影响 官网信息、公开财报、产品手册
L2 内部数据 仅限内部使用的信息 对运营有一定影响 内部通知、会议纪要、组织架构
L3 机密数据 限于授权人员访问 造成较大经济损失或声誉损害 客户信息、财务明细、合同条款、源代码
L4 核心数据 严格限制访问的最高级别 危害国家安全或公共利益，或造成重大不可逆损失 核心算法、国家安全相关数据、大规模个人敏感信息

3.2 分类维度

数据分类维度体系：

按业务域分类
  |-- 财务数据
  |-- 人力资源数据
  |-- 客户数据
  |-- 产品数据
  |-- 运营数据
  |-- 研发数据

按数据性质分类
  |-- 个人信息
  |     |-- 一般个人信息
  |     |-- 敏感个人信息
  |-- 业务数据
  |-- 经营管理数据
  |-- 公共数据

按数据状态分类
  |-- 结构化数据（数据库、表格）
  |-- 半结构化数据（日志、XML/JSON）
  |-- 非结构化数据（文档、图片、视频）

四、实施方法论

4.1 总体流程

数据分类分级实施路线：

Phase 1: 数据资产盘点（2-4 周）
    |
    v
Phase 2: 分类定义与规则制定（1-2 周）
    |
    v
Phase 3: 数据标注与分级（4-8 周）
    |
    v
Phase 4: 安全管控措施实施（4-8 周）
    |
    v
Phase 5: 监控审计与持续运营（持续）

4.2 Phase 1: 数据资产盘点

盘点的目标是建立完整的数据资产目录。

盘点内容清单：

  • 数据库实例与表结构
  • 文件存储（NAS/OSS/本地磁盘）
  • API 接口传输的数据
  • 日志数据
  • 备份数据
  • 第三方系统中托管的数据
  • 纸质文档（如需）

盘点输出字段：

字段 说明
asset_id 资产唯一标识
asset_name 资产名称
business_domain 所属业务域
data_owner 数据责任人
storage_location 存储位置
data_format 数据格式
volume 数据量
retention_period 保留期限
contains_pi 是否包含个人信息
contains_spi 是否包含敏感个人信息

4.3 Phase 2: 分类规则制定

分级判定流程：

数据分级决策树：

是否涉及国家安全/公共利益？
    |
   YES --> L4（核心数据）
    |
   NO
    |
是否包含大规模敏感个人信息（>100 万人）？
    |
   YES --> L4（核心数据）
    |
   NO
    |
泄露是否造成较大经济损失或声誉损害？
    |
   YES --> L3（机密数据）
    |
   NO
    |
是否仅限内部使用？
    |
   YES --> L2（内部数据）
    |
   NO --> L1（公开数据）

4.4 Phase 3: 数据标注

标注方式按自动化程度分为三类：

  1. 自动标注：基于预定义规则对结构化数据自动扫描和标记（如正则匹配身份证号、手机号）
  2. 半自动标注：工具推荐分级，人工确认
  3. 人工标注：对复杂场景由数据责任人判定

元数据标签结构建议：

{
  "data_classification": {
    "level": "L3",
    "category": "customer_data",
    "subcategory": "personal_info",
    "contains_sensitive_pi": true,
    "classified_by": "auto_scanner_v2",
    "classified_at": "2026-02-15T10:30:00+08:00",
    "reviewed_by": "[email protected]",
    "reviewed_at": "2026-02-16T14:00:00+08:00",
    "next_review_date": "2027-02-16",
    "applicable_regulations": ["PIPL", "DSL"],
    "retention_until": "2029-02-15"
  }
}

4.5 Phase 4: 安全管控措施

五、分级安全管控矩阵

管控维度 L1 公开 L2 内部 L3 机密 L4 核心
访问控制 无限制 内部人员 最小权限 + 审批 专人 + 双人复核
传输加密 可选 TLS 1.2+ TLS 1.3 TLS 1.3 + 端到端加密
存储加密 无要求 建议 强制（AES-256） 强制 + HSM 密钥管理
脱敏 无要求 无要求 非必要场景脱敏 严格脱敏，最小暴露
审计日志 无要求 基础日志 全量日志 + 异常告警 全量日志 + 实时监控
备份策略 无要求 定期备份 定期备份 + 异地 实时备份 + 异地 + 加密
销毁方式 普通删除 逻辑删除 安全擦除 物理销毁 + 证书
共享限制 自由共享 内部共享 审批后共享 高管审批 + 留痕
跨境传输 允许 评估后允许 安全评估 原则上禁止

六、技术实现方案

6.1 自动发现与扫描

自动数据发现流程：

[连接数据源]
    |
    v
[元数据采集] -- 表名、字段名、数据类型、样本
    |
    v
[规则引擎匹配]
    |-- 正则规则：身份证/手机号/银行卡号/邮箱
    |-- 语义规则：字段名含 "name"/"phone"/"salary"
    |-- 统计规则：数据分布特征识别
    |
    v
[初步分级建议]
    |
    v
[人工审核确认]
    |
    v
[标签写入元数据]

6.2 访问控制实施

推荐采用基于属性的访问控制（ABAC）模型：

访问决策 = f(主体属性, 资源属性, 环境属性, 操作类型)

其中资源属性即包含数据分级标签。

策略示例：

  • 规则 1：data_level = L4 AND user_role != "data_admin" => DENY
  • 规则 2：data_level = L3 AND access_time NOT IN business_hours => DENY + ALERT
  • 规则 3：data_level >= L3 AND operation = "export" => REQUIRE_APPROVAL

6.3 审计与监控

监控指标建议：

指标 告警阈值 适用级别
单用户日访问量 超过历史均值 3 倍 L3, L4
非工作时间访问 任何 L4 访问 L4
批量导出 单次 > 1000 条 L3+ 记录 L3, L4
权限变更 任何 L4 权限变更 L4
跨网段访问 非授权网段访问 L3+ L3, L4

七、组织与流程保障

7.1 组织架构

数据分类分级治理组织：

[数据安全委员会]     -- 决策层，审批重大分级变更
       |
[数据安全管理部门]   -- 管理层，制定规则、监督执行
       |
[数据责任人(Data Owner)] -- 各业务域数据分级的第一责任人
       |
[数据管理员(Data Steward)] -- 执行层，日常标注、审核、维护

7.2 变更管理

数据分级不是一次性工作，需要持续运营：

  • 新增数据：入库前完成分级标注
  • 分级变更：由数据责任人发起，安全部门审核
  • 定期复审：至少年度复审一次，L4 数据半年复审
  • 退役销毁：按分级要求执行销毁并留存记录

八、《数据安全法》专项要求

8.1 重要数据识别

重要数据是指一旦遭到篡改、破坏、泄露或非法获取、非法利用，可能危害国家安全、经济运行、社会稳定、公共健康和安全等的数据。

识别要素：

  • 涉及的领域（政务、通信、交通、金融、能源等）
  • 数据规模（覆盖人群、地域范围）
  • 对国家安全和公共利益的影响程度
  • 是否列入本行业重要数据目录

8.2 重要数据处理者义务

  • 明确数据安全负责人和数据安全管理机构
  • 开展数据安全风险评估，向主管部门报送评估报告
  • 按年度向主管部门报告数据安全情况
  • 跨境传输须经国家网信部门安全评估

8.3 核心数据

核心数据实行更加严格的管理制度，其具体范围由国家数据安全工作协调机制确定。目前各行业正在逐步细化核心数据目录。

九、实施检查清单

9.1 制度层面

  • 已制定数据分类分级管理办法
  • 已明确各级数据的安全要求
  • 已指定数据安全负责人
  • 已建立数据资产目录管理制度
  • 已制定分级变更与复审流程

9.2 技术层面

  • 已部署数据资产发现与扫描工具
  • 已实施元数据标签体系
  • 已按分级配置差异化访问控制
  • 已部署审计日志与异常监控
  • 已实施加密策略（传输 + 存储）

9.3 运营层面

  • 已完成首轮全量数据盘点与分级
  • 已培训数据责任人与管理员
  • 已制定年度复审计划
  • 已纳入安全事件应急响应流程
  • 已建立分级合规审计机制

十、常见陷阱与应对

陷阱 后果 应对
只做一次，不持续运营 分级失效，新数据裸奔 纳入数据生命周期管理
过度分级（全标 L3/L4） 管控成本高，影响效率 严格按标准判定，定期复审降级
分级不落地（有标签无管控） 形同虚设 技术措施与制度同步实施
忽略非结构化数据 文档/邮件成为泄露高发区 扩展扫描范围至文件系统
业务部门不配合 盘点不完整，分级不准确 自上而下推动，纳入绩效考核

参考法规与标准

  • 《中华人民共和国数据安全法》(2021)
  • 《中华人民共和国个人信息保护法》(2021)
  • GB/T 43697-2024 《数据安全技术 数据分类分级规则》
  • GB/T 35273-2020 《信息安全技术 个人信息安全规范》
  • JR/T 0197-2020 《金融数据安全 数据安全分级指南》
  • 《工业数据分类分级指南（试行）》(2020)

Maurice | [email protected]