数据安全法分级分类如何执行

本文目录导读：

1. 第一步：明确责任主体与组织保障
2. 第二步：全面数据资产盘点（这是基础）
3. 第三步：制定科学的分类分级规则（核心难点）
4. 第四步：技术工具与自动化手段
5. 第五步：实施差异化管控与落地
6. 第六步：建立动态更新与审计机制
7. 执行关键点

《数据安全法》中明确规定了国家建立数据分类分级保护制度，但法律本身并未给出具体的“分类分级的执行清单”，执行的核心在于“依法合规、自主定级、按类管理”，就是企业或机构需要根据法律原则、行业标准以及自身业务特点，建立一套完整的执行流程。

以下是执行《数据安全法》分级分类的具体步骤和方法：

第一步：明确责任主体与组织保障

1. 成立数据安全委员会或工作组：由管理层（如首席数据官CDO、首席安全官CSO）牵头，联合法务、业务、IT、风控等部门。
2. 确定制度与规章：制定企业内部《数据分类分级管理办法》、《数据安全管理办法》等制度文件。

第二步：全面数据资产盘点（这是基础）

这一步至关重要,只有知道有什么数据，才能谈怎么分。

• 动作：梳理所有业务系统、数据库、文件服务器、云存储、邮件、协作工具（如钉钉、飞书）中的数据。
• 产出：形成《数据资产清单》，包括数据名称、所在位置、数据量、存储方式、负责人等。

第三步：制定科学的分类分级规则（核心难点）

不能拍脑袋,必须结合法律要求和行业特性。

数据分类（按“业务属性”划分）

通常根据数据的产生来源、业务用途进行划分，常见分类包括：

• 用户数据：如姓名、手机号、身份证、家庭住址、生物信息（人脸、指纹）。
• 业务数据：如订单、交易记录、合同、客户画像、供应链信息。
• 经营管理数据：如财务报表、薪酬、战略规划、会议纪要。
• 技术数据：如源代码、系统日志、运维配置信息。
• 研发数据：如专利、设计图纸、实验结果。

数据分级（按“安全属性”划分）

分级的核心指标是：对国家安全、公共利益、个人合法权益、企业商业利益的影响程度。

通常采用“三级”或“四级”制（如《信息安全技术 数据安全能力成熟度模型》GB/T 37988 建议）：

• 第1级（L1）- 公开数据：造成影响极小，公司公开宣传资料、产品介绍。
  • 管控：无需审批即可使用。
• 第2级（L2）- 内部数据：造成轻微影响（如内部不公开、业务效率降低），内部制度、非敏感员工名单、日常报表。
  • 管控：内部授权访问。
• 第3级（L3）- 敏感数据：造成严重损害（如商业机密泄露、个人权益侵害、企业声誉受损），员工身份证、大规模客户电话号码、核心财务报表、重要合同。
  • 管控：严格审批、加密存储、脱敏处理。
• 第4级（L4）- 核心/重要数据：造成特别严重损害（直接危害国家安全、公共利益或企业生存），维护国家安全相关的数据、关键基础设施的运行数据、核心技术专利、海量公民生物识别信息。
  • 管控：最高等级保护，包括专项审计、物理隔离、多重认证、必要时需向主管部门报备。

特别提醒《数据安全法》的要求：

• “重要数据”：这是法律严厉打击的对象，企业必须识别出“一旦泄露可能危害国家安全、经济运行、社会稳定、公共健康和安全”的数据（具体目录由各行业主管部门发布，如工信部、人民银行、卫健委等）。
• “核心数据”：关系到国家安全、国民经济命脉的数据。

第四步：技术工具与自动化手段

完全靠人工进行全量数据分类分级是不现实的,建议采用以下技术工具辅助执行：

1. 数据发现与扫描工具：自动扫描数据库、文件服务器中的敏感信息（如身份证号、银行卡号、特定关键词）。
2. 数据分类分级引擎：通过机器学习算法，根据预设的规则（如正则表达式、关键字、数据样本特征）自动打标。
3. 数据资产地图：可视化呈现数据分布、流转路径、分级状态。
4. 数据脱敏工具：对L3/L4级数据进行动态或静态脱敏。

第五步：实施差异化管控与落地

分级分类的最终目的是差异化管控，每个级别对应不同的安全措施：

第六步：建立动态更新与审计机制

数据分类分级不是一次性的工作,需要持续运营：

1. 定期复核：每半年或一年重新评估分级是否合理，特别是新增业务、新产品上线后必须重新分类。
2. 事件驱动：当发生数据泄露或合规检查发现漏洞时，触发重新定级。
3. 日志审计：所有对L3/L4级数据的访问、修改、导出行为都需要记录日志并定期审计。

执行关键点

1. 法律红线不可碰：必须识别出“重要数据”和“核心数据”，这是监管的重点。
2. 行业标准是抓手：结合所在行业（金融、医疗、交通、工业等）的专项标准（如《金融数据安全 数据安全分级指南》）。
3. 技术工具是效率：不要幻想靠Excel完成海量数据的分类。
4. 动态管理是常态：业务变化，分级也要变。

建议的启动步骤：先盘资产（有哪些数据） -> 再定规则（什么是重要/敏感） -> 然后用工具跑一遍（自动打标） -> 最后根据分级结果修改访问权限。 如果目前资源有限，建议优先处理涉及“个人敏感信息”和“关键业务数据”的部分。