数据分类分级（Data Classification and Grading）

数据分类分级（Data Classification and Grading）是根据数据的属性、特征和重要程度等因素，将数据划分为不同的类别和级别，以便对数据进行有针对性的管理、保护和使用。

一、数据分类的目的

1. 提高数据管理的效率和准确性，使数据更容易被查找、理解和使用。
2. 支持合规性要求，确保数据处理符合法律法规和行业标准。

二、数据分级的目的

1. 明确数据的重要程度和风险级别，为实施不同程度的安全保护措施提供依据。
2. 合理分配资源，重点保护关键和敏感数据。

三、数据分类的方法

1. 基于业务流程：根据数据在不同业务流程中的用途和作用进行分类。
2. 基于数据类型：如文本、图像、音频、视频等。
3. 基于数据来源：区分来自内部系统、外部合作伙伴、客户等的数据。

四、数据分级的常见级别

1. 公开级：可以自由公开和使用的数据，如公司的公开宣传资料。
2. 内部级：仅供内部员工访问和使用的数据，如内部工作报告。
3. 机密级：涉及重要商业秘密或敏感信息的数据，如产品研发计划。
4. 绝密级：对组织生存和发展具有决定性影响的数据，如核心技术专利。

五、数据分类分级的意义

1. 降低数据安全风险：通过明确重点保护对象，采取相应的安全措施，降低数据泄露、篡改等风险。
2. 优化资源配置：将有限的资源集中用于保护重要数据，提高资源利用效率。
3. 促进数据共享和利用：在确保安全的前提下，推动数据在组织内外部的合理共享和利用，发挥数据的价值。
   例如，一家金融机构会将客户的个人身份信息、交易记录等数据划分为机密级或绝密级，并采取严格的访问控制和加密措施进行保护。而其对外发布的市场分析报告可能被分类为公开级数据。
   又如，一家科技公司会将研发过程中的技术文档分类为内部级或机密级数据，以防止竞争对手获取关键技术信息。

六、参考步骤

1. 数据资产梳理：全面梳理数据资产，确定待分类分级的数据资产及其所属的行业领域。对企业内的结构化、非结构化数据源进行清查盘点，绘制数据资产地图，呈现数据资产的分布、数量、大小、归属等详细信息。
2. 制定内部规则：按照行业领域数据分类分级标准规范，结合企业自身数据特点，制定数据分类分级细则。如果行业领域主管部门已制定相关规则，企业应参考国家标准并按照行业规则细化执行；若所属行业没有相关标准规范，或存在未覆盖的数据类型，则依据国家标准进行分类分级；当业务涉及多个行业领域时，在参考国家标准的基础上，分别按照各行业领域的标准规范细化执行。
3. 实施数据分类：对数据进行分类，并识别和分类公共数据、个人信息等特殊类别数据。首先明确数据范围，按照行业主管部门职责确定管理的数据范围；然后细化业务分类，结合部门职责分工和业务情况进行分类；接着选择合适的业务属性，对关键业务数据进行细化分类；最后确定分类规则，根据管理和使用需求梳理分析分类结果。
4. 实施数据分级：确定待分级的数据，如数据项、数据集、衍生数据、跨行业领域数据等，并识别数据涉及的分级要素。分析数据一旦遭到泄露、篡改、损毁或者非法获取、非法使用、非法共享，可能影响的对象和影响程度。按照级别确定规则和综合确定级别，最终确定数据级别。
5. 审核上报目录：审核数据分类分级结果，形成数据分类分级清单、重要数据和核心数据目录，并对数据进行分类分级标识，按有关程序报送目录。
6. 动态更新管理：根据数据重要程度和可能造成的危害程度变化，对数据分类分级规则、重要数据和核心数据目录、数据分类分级清单和标识等进行动态更新。例如数据规模、时效性、应用场景、加工处理方式等发生显著变化，或发生数据安全事件、因国家或行业主管部门要求等导致原定的数据级别不再适用时，就需要进行更新。
   需注意，数据分类分级工作需结合企业实际情况和相关法律法规要求进行。同时，随着业务发展和数据环境的变化，应持续评估和优化数据分类分级策略，以确保数据的安全管理和有效利用。

七、《数据安全技术 数据分类分级规则》

国家标准《数据安全技术 数据分类分级规则》（GB/T 43697-2024）将于2024年10月1日起正式实施，该标准给出了数据分类分级的通用规则，可供企业参考。
国家标准中的数据分级是根据数据的敏感性、重要性和潜在风险进行划分，如一般数据、重要数据、核心数据等。
重要数据是指特定领域、特定群体、特定区域或达到一定精度和规模的，一旦被泄露或篡改、损毁，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据，仅影响组织自身或公民个体的数据一般不作为重要数据3。
核心数据是指对领域、群体、区域具有较高覆盖度或达到较高精度、较大规模、一定深度的，一旦被非法使用或共享，可能直接影响政治安全的重要数据，主要包括关系国家安全重点领域的数据，关系国民经济命脉、重要民生、重大公共利益的数据，经国家有关部门评估确定的其他数据。
总之，数据分类分级是数据管理和安全保护的重要基础工作，对于组织的发展和运营具有重要意义。