一、《要求》及相关法律法规解读

开展数据分类分级保护工作时，首先需要对数据进行分类和分级，然后对不同类别不同级别的数据建立相应的全流程数据安全保护措施。数字经济融合中，大部分企业对于数据分类分级的方法和原则应具通用性。如一个业务涵盖电商、消费金融的网络平台可能要同时满足电信业和金融业的分类分级，那有什么指引可以统一网络数据分类分级的原则、框架和方法呢？

2022年9月14日，全国信息安全标准化技术委员会发布《要求》，《要求》根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及国家数据分类分级保护有关规定，给出了数据分类分级基本原则、数据分类方法、数据分级框架和数据定级方法等内容，为运营者在进行数据分类分级工作时提供技术参考。

区别于技术性文件，《要求》适用于行业领域主管（监管）部门参考制定本行业本领域的数据分类分级标准规范，也适用于各地方、各部门开展本地区、本部门的数据分类分级工作，同时还可为数据处理者进行数据分类分级提供参考，帮助公司依据《要求》建立数据分类分级保护制度，指导公司内部数据安全部门恰当有效地开展数据分类分级工作。《要求》提供了数据分类分级基本原则、数据分类方法、数据分级框架和数据定级方法等，提出通用的数据分类分级保护要求。该标准作为最新的数据分类分级实操要求文件，是数据处理者开展数据分类分级工作的重要参考提出通用的数据分类分级保护要求。

数据作为企业的重要资产组成部分，公司对数据开展分类分级有利于企业对数据的管理与使用，也是安全保护公司数据的基本前提。

基于数据多维性的特征加上企业与国家、行业视角的不同，目前多数企业还没有做到对已有数据严格的分类分级，从而存在低估或高估数据集的情况，从而导致不准确的风险评估。不规范的数据管理将带来安全隐患，甚至发生关键数据泄露事件，针对此种难以落实数据分类分级的现实困境，《要求》标准为运营者在进行数据分类分级工作时提供技术参考，帮助企业建立数据分类分级保护制度，指导公司内部数据安全部门恰当有效地保护公司数据资产。

《要求》标准为运营者在进行数据分类分级工作时提供技术参考，给出了数据分类分级的实施流程建议，主要步骤包括：

（1）数据资产梳理；

（2）数据分类；

（3）数据分级；

（4）审核上报目录；

（5）动态更新管理。

具体实施流程请见下图：

数据处理者可根据标准给出的数据分类的框架和方法，建立自身的数据分类规则，同时对个人信息、敏感个人信息进行识别和分类。

按照数据分类分级有关要求，建立自身的数据分级规则，并对数据进行分级。

标准给出了数据分级框架，根据数据在经济社会发展中的重要程度，以及一旦遭到泄露、篡改、破坏或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，将数据从高到低分为核心数据、重要数据、一般数据三个级别。数据处理者可在此框架的基础上，对数据进行分级。

根据数据在经济社会发展中的重要程度，以及一旦遭到泄露、篡改、破坏或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，将数据从高到低分为核心、重要、一般三个级别。各行业各领域应在遵循数据分级框架的基础上，明确本行业本领域数据分级规则，并对行业领域数据进行定级。

• 核心数据一旦被泄露、篡改、破坏或者非法获取、非法利用、非法共享，可能直接危害政治安全、国家安全重点领域、国民经济命脉、重要民生、重大公共利益。

• 重要数据一旦被泄露、篡改、破坏或者非法获取、非法利用、非法共享，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全。

• 一般数据一旦被泄露、篡改、破坏或者非法获取、非法利用、非法共享，仅影响小范围的组织或公民个体合法权益。

数据分级通过定量与定性相结合的方式，首先识别数据分级要素（详见标准“7.2 数据分级要素”以及“附录B”）情况，然后开展数据影响分析（考量影响对象和影响程度，详见标准“7.3 数据影响分析”），确定数据一旦遭到泄露、篡改、破坏或者非法获取、非法利用、非法共享，可能影响的对象和影响程度，最终综合确定数据级别。

• 数据分级要素：影响数据分级的要素，包括数据领域、群体、区域、精度、规模、深度、覆盖度、重要性、安全风险等，其中领域、群体、区域、重要性、安全风险通常属于定性要素，精度、规模、覆盖度属于定量要素，深度通常作为衍生数据的分级要素。

• 影响对象：指数据一旦遭到泄露、篡改、破坏或者非法获取、非法利用、非法共享，可能影响的对象。影响对象通常包括国家安全、经济运行、社会稳定、公共利益、组织权益、个人权益。

• 影响程度：指数据一旦遭到泄露、篡改、破坏或者非法获取、非法利用、非法共享，可能造成的影响程度。影响程度从高到低可分为特别严重危害、严重危害、一般危害。对不同影响对象进行影响程度判断时，采取的基准不同。如果影响对象是组织或个人权益，则以本单位或本人的总体利益作为判断影响程度的基准。如果影响对象是国家安全、经济运行、社会稳定或公共利益，则以国家、社会或行业领域的整体利益作为判断影响程度的基准。

1)    确定分级对象

根据标准，数据处理者可将业务产生的数据项（数据项是数据不可分割的最小单位，通常表现为数据库表某一列字段等）、数据集（数据集是由多个数据项组成的集合，如数据库表、数据文件等）、衍生数据（脱敏数据、标签数据、统计数据、融合数据等属于衍生数据，衍生数据定级参考标准附录E）、跨行业领域数据（跨行业领域数据是指跨行业领域流动的数据，及多个行业领域数据融合加工的数据）等全部数据作为分类对象。

2)    分级要素识别

标准给出了影响数据分级的要素，包括数据领域、群体、区域、精度、规模、深度、覆盖度、重要性、安全风险等，其中领域、群体、区域、重要性、安全风险通常属于定性要素，精度、规模、覆盖度属于定量要素，深度通常作为衍生数据的分级要素。识别数据定级要素相关情况，常见考虑因素可参考标准附录B。

数据处理者在识别数据分类要素时，应通过定量与定性相结合的方式，识别数据分级要素情况。

3)    数据影响分析

数据处理者在识别完数据分级要素之后，可开展数据影响分析工作，确定数据一旦遭到泄露、篡改、破坏或者非法获取、非法利用、非法共享，可能影响的对象和影响程度。

其中影响对象通常包括国家安全、经济运行、社会稳定、公共利益、组织权益、个人权益，可参考标准附录C。影响程度从高到低可分为特别严重危害、严重危害、一般危害，对不同影响对象的影响程度具体说明可参考标准附录D。

4)    综合确定级别：

数据处理者在确定分级对象、识别分级要素、分析数据影响后，可进行综合确定数据级别，标准给出了数据分级确定参考规则，可参考。

数据处理者需要注意的是，在综合确定级别时，标准建议按照重要数据、核心数据、一般数据的顺序进行确定，并且由于一般数据涵盖范围较广，数据处理者可结合组织自身需求，对一般数据进行细化分级，如将一般数据在细化分成4级、3级、2级等（可参考标准附录G，注意此处的细分级别与网络安全等级保护的级别有所不同，是参考且只对一般数据进行细分）。

二、实际案例经验分享

首先企业对公司数据资产进行全面的梳理，资产梳理作为数据处理者网络数据安全工作的一项基础工作，同时也是数据分类分级的第一步，包括以物理或电子形式记录的数据库表、数据项、数据文件等结构化和非结构化数据资产，明确数据资产基本信息和相关方，形成数据资产清单。

• 职责。说明组织及职责。数据分类分级的通常涉及公司的各个部门，包括业务部门、职能部门。有些公司成立由CTO牵头、各个部门负责人组成的数据安全管理委员会，资产管理部或信息安全部统筹数据分类分级工作，各部门设立一名数据管理员，负责收集整理本部门的数据资产。

• 数据分类分级的原则。通常情况下数据分类遵循系统性、规范性、稳定性、明确性、扩展性等原则，数据分级遵循依从性、可执行性、时效性等原则。

• 数据分类分级的管理内容。明确数据分类分级的操作流程，如何分、怎么分。明确数据资产清单收集、整理等流程。

• 数据分类分级安全管理策略。针对数据分级的结果，明确不同等级的处理策略，对数据的获取与提供，制定不同的数据访问权限或提取等管理审批流程。明确数据的汇总、统计、分析、加工等要求。明确数据分类分级的监控与维护等。

数据分类分级简单来说是界定了数据的类别、级别，但实际上二者是两个概念。

数据分类主要从业务角度出发，根据《要求》，数据分类根据“行业分类—数据范围—确认业务条线—关键业务—业务属性分类”逐级进行细化，是把具有某种共同属性或特征的数据归并在一起，通过其类别的属性或特征来对数据进行区别，将同样内容、同样性质的信息以及要求统一管理的信息划分在一起，而把相异的和需要分别管理的信息区分开来，然后确定各个集合之间的关系，形成一个有条理的分类系统。比如，根据数据分类，企业的数据可分为客户数据、业务数据、经营管理数据等。

数据分级更多是从安全合规性要求、数据保护要求的角度出发，满足监管要求。根据《要求》，数据分级通过定量与定性结合的方式进行分级，更为细致全面。数据分级是根据数据的敏感程度和数据遭到篡改、破坏、泄露或非法利用后对受害者的影响程度，按照一定的原则和方法进行定义，实际上数据分级是数据敏感维度的数据分类。

企业对数据进行分类管理，能够便于数据的管理和使用，是对数据进行分级保护的基础。总体来说，数据的分类分级是数据安全的基础性工作，是对数据实施安全保护措施的重点和前提。

根据《要求》，一般数据分级分为4种情况，按照数据一旦遭到泄露、篡改、破坏或者非法获取、非法利用，对社会稳定、公共利益或个人、 组织合法权益等造成的危害程度，分别是分为4级、分为3级、分为2级和最低参考级别。

数据作为企业的重要资产组成部分，公司对数据开展分类分级一方面是为了满足合规需求，另一方面有利于企业对数据的管理与使用，也是安全保护公司数据的基本前提。根据《要求》，一般情况下，数据处理者可结合组织自身需求，对一般数据进行细化分级，如将一般数据在细化分成4级、3级、2级等。

通过我们实际帮助处理数据分类分级的一家知名AI语音行业公司的经验，为了保护数据的完整性、保密性和可用性，出于数据出境合规的需要，帮助该公司制定了 《数据分类分级指引》制度模板，明确了数据的分类、分级的相关规定，并按此规定对数据进行数据分类分级，识别数据敏感程度，以便实施针对性的保护措施。

其中按照数据所属主体，将数据分为客户和供应商数据、业务数据、经营管理数据三大类。客户和供应商数据，是指客户和供应商的个人数据及业务数据；业务数据，是指平台在生产运营过程中收集和产生的数据；经营管理数据，是指以电子或其他方式记录的与公司有关的各种数据。

按合法合规性、可执行性、时效性、差异性等原则对数据进行分级，以数据遭到破坏后可能造成的影响是确定数据安全级别的重要判断依据，将数据安全级别从低到高分为公开，1级，2级，3级作为分级规则。如下表所示：并提供了可供参考的《数据分类分级细则表》，如下表：

结语