本文目录导读：
- 第一步：明确责任主体与组织保障
- 第二步：全面数据资产盘点（这是基础）
- 第三步：制定科学的分类分级规则（核心难点）
- 第四步：技术工具与自动化手段
- 第五步：实施差异化管控与落地
- 第六步：建立动态更新与审计机制
- 执行关键点
《数据安全法》中明确规定了国家建立数据分类分级保护制度，但法律本身并未给出具体的“分类分级的执行清单”，执行的核心在于“依法合规、自主定级、按类管理”，就是企业或机构需要根据法律原则、行业标准以及自身业务特点，建立一套完整的执行流程。
以下是执行《数据安全法》分级分类的具体步骤和方法：
第一步：明确责任主体与组织保障
- 成立数据安全委员会或工作组：由管理层（如首席数据官CDO、首席安全官CSO）牵头，联合法务、业务、IT、风控等部门。
- 确定制度与规章：制定企业内部《数据分类分级管理办法》、《数据安全管理办法》等制度文件。
第二步：全面数据资产盘点（这是基础）
这一步至关重要,只有知道有什么数据，才能谈怎么分。
- 动作：梳理所有业务系统、数据库、文件服务器、云存储、邮件、协作工具（如钉钉、飞书）中的数据。
- 产出：形成《数据资产清单》，包括数据名称、所在位置、数据量、存储方式、负责人等。
第三步：制定科学的分类分级规则（核心难点）
不能拍脑袋,必须结合法律要求和行业特性。
数据分类（按“业务属性”划分）
通常根据数据的产生来源、业务用途进行划分，常见分类包括：
- 用户数据：如姓名、手机号、身份证、家庭住址、生物信息（人脸、指纹）。
- 业务数据：如订单、交易记录、合同、客户画像、供应链信息。
- 经营管理数据：如财务报表、薪酬、战略规划、会议纪要。
- 技术数据：如源代码、系统日志、运维配置信息。
- 研发数据：如专利、设计图纸、实验结果。
数据分级（按“安全属性”划分）
分级的核心指标是：对国家安全、公共利益、个人合法权益、企业商业利益的影响程度。
通常采用“三级”或“四级”制（如《信息安全技术 数据安全能力成熟度模型》GB/T 37988 建议）：
- 第1级（L1）- 公开数据：造成影响极小，公司公开宣传资料、产品介绍。
- 管控：无需审批即可使用。
- 第2级（L2）- 内部数据：造成轻微影响（如内部不公开、业务效率降低），内部制度、非敏感员工名单、日常报表。
- 管控：内部授权访问。
- 第3级（L3）- 敏感数据：造成严重损害（如商业机密泄露、个人权益侵害、企业声誉受损），员工身份证、大规模客户电话号码、核心财务报表、重要合同。
- 管控：严格审批、加密存储、脱敏处理。
- 第4级（L4）- 核心/重要数据：造成特别严重损害（直接危害国家安全、公共利益或企业生存），维护国家安全相关的数据、关键基础设施的运行数据、核心技术专利、海量公民生物识别信息。
- 管控：最高等级保护，包括专项审计、物理隔离、多重认证、必要时需向主管部门报备。
特别提醒《数据安全法》的要求：
- “重要数据”：这是法律严厉打击的对象，企业必须识别出“一旦泄露可能危害国家安全、经济运行、社会稳定、公共健康和安全”的数据（具体目录由各行业主管部门发布，如工信部、人民银行、卫健委等）。
- “核心数据”：关系到国家安全、国民经济命脉的数据。
第四步：技术工具与自动化手段
完全靠人工进行全量数据分类分级是不现实的,建议采用以下技术工具辅助执行：
- 数据发现与扫描工具：自动扫描数据库、文件服务器中的敏感信息（如身份证号、银行卡号、特定关键词）。
- 数据分类分级引擎：通过机器学习算法，根据预设的规则（如正则表达式、关键字、数据样本特征）自动打标。
- 数据资产地图：可视化呈现数据分布、流转路径、分级状态。
- 数据脱敏工具：对L3/L4级数据进行动态或静态脱敏。
第五步：实施差异化管控与落地
分级分类的最终目的是差异化管控，每个级别对应不同的安全措施：
| 安全措施 | L1公开 | L2内部 | L3敏感 | L4核心/重要 |
|---|---|---|---|---|
| 收集 | 无需同意 | 需合规告知 | 明确授权及目的 | 严格审查并报备 |
| 存储 | 普通存储 | 需要加密 | 强制加密 | 物理隔离+加密 |
| 访问控制 | 任何人 | 全员可读 | 最小权限原则 | 多人审批+白名单 |
| 传输 | 普通通道 | 内部邮件 | 加密传输 | 专用安全通道 |
| 使用/加工 | 无限制 | 内部授权 | 脱敏后使用 | 禁止外传、需审计 |
| 共享/提供 | 公开 | 内部审批 | 合同约束+数据安全评估 | 必须向主管部门报备 |
| 销毁 | 普通删除 | 安全删除 | 物理销毁/不可恢复 | 在监管部门见证下销毁 |
第六步：建立动态更新与审计机制
数据分类分级不是一次性的工作,需要持续运营：
- 定期复核：每半年或一年重新评估分级是否合理，特别是新增业务、新产品上线后必须重新分类。
- 事件驱动：当发生数据泄露或合规检查发现漏洞时，触发重新定级。
- 日志审计：所有对L3/L4级数据的访问、修改、导出行为都需要记录日志并定期审计。
执行关键点
- 法律红线不可碰：必须识别出“重要数据”和“核心数据”，这是监管的重点。
- 行业标准是抓手：结合所在行业（金融、医疗、交通、工业等）的专项标准（如《金融数据安全 数据安全分级指南》）。
- 技术工具是效率：不要幻想靠Excel完成海量数据的分类。
- 动态管理是常态：业务变化，分级也要变。
建议的启动步骤：先盘资产（有哪些数据） -> 再定规则（什么是重要/敏感） -> 然后用工具跑一遍（自动打标） -> 最后根据分级结果修改访问权限。 如果目前资源有限，建议优先处理涉及“个人敏感信息”和“关键业务数据”的部分。
