根據(jù)《GB/T 38667-2020 信息技術(shù)-大數(shù)據(jù)-數(shù)據(jù)分類指南》的定義，數(shù)據(jù)分類是根據(jù)數(shù)據(jù)的屬性或特征，按照一定的原則和方法進(jìn)行區(qū)分和歸類，以便更好地管理和使用數(shù)據(jù)。數(shù)據(jù)分類不存在唯一的分類方式，會(huì)依據(jù)企業(yè)的管理目標(biāo)、保護(hù)措施、分類維度等形成多種不同的分類體系。

數(shù)據(jù)分類是數(shù)據(jù)資產(chǎn)管理的第一步。不論是對數(shù)據(jù)資產(chǎn)進(jìn)行編目、標(biāo)準(zhǔn)化，還是數(shù)據(jù)的確權(quán)、管理，或是提供數(shù)據(jù)資產(chǎn)服務(wù)，進(jìn)行有效的數(shù)據(jù)分類都是其首要任務(wù)。數(shù)據(jù)分類更多是從業(yè)務(wù)角度或數(shù)據(jù)管理的方向考量的，包括行業(yè)維度、業(yè)務(wù)領(lǐng)域維度、數(shù)據(jù)來源維度、共享維度、數(shù)據(jù)開放維度等。同時(shí)，根據(jù)這些維度，將具有相同屬性或特征的數(shù)據(jù)，按照一定的原則和方法進(jìn)行歸類。

數(shù)據(jù)分級則是按數(shù)據(jù)的重要性和影響程度區(qū)分等級，確保數(shù)據(jù)得到與其重要性和影響程度相適應(yīng)的級別保護(hù)。影響對象一般是三類對象，分別是國家安全和社會(huì)公共利益、企業(yè)利益（包括業(yè)務(wù)影響、財(cái)務(wù)影響、聲譽(yù)影響）、用戶利益（用戶財(cái)產(chǎn)、聲譽(yù)、生活狀態(tài)、生理和心理影響）。

企業(yè)建議選取影響程度中的最高影響等級為該數(shù)據(jù)對象的重要敏感程度。同時(shí)，數(shù)據(jù)定級可根據(jù)數(shù)據(jù)的變化進(jìn)行升級或降級，例如包括數(shù)據(jù)內(nèi)容發(fā)生變化、數(shù)據(jù)匯聚融合、國家或行業(yè)主管要求等情況引起的數(shù)據(jù)升降級。數(shù)據(jù)分級本質(zhì)上就是數(shù)據(jù)敏感維度的數(shù)據(jù)分類。

• 五級數(shù)據(jù)指對國家安全造成影響，或?qū)姍?quán)益造成嚴(yán)重影響數(shù)據(jù)。

• 四級數(shù)據(jù)指對公眾權(quán)益造成一般影響，或?qū)€(gè)人隱私或企業(yè)合法權(quán)益造成嚴(yán)重影響，但不影響國家安全數(shù)據(jù)。例如個(gè)人健康生理信息、個(gè)人身份鑒別信息等。

• 三級數(shù)據(jù)指對公眾權(quán)益造成輕微影響，或?qū)€(gè)人隱私或企業(yè)合法權(quán)益造成一般影響，但不影響國家安全數(shù)據(jù)。例如比較常見的個(gè)人信息，姓名、身份證，聯(lián)系方式等。

• 二級數(shù)據(jù)指對個(gè)人隱私或企業(yè)合法權(quán)益造成輕微影響，但不影響國家安全、公眾權(quán)益數(shù)據(jù)。

• 一級數(shù)據(jù)指對個(gè)人隱私或企業(yè)合法權(quán)益不造成影響，或僅造成微弱影響，但不影響國家安全、公眾權(quán)益數(shù)據(jù)。

分級原則如下：

合法合規(guī)原則：分級應(yīng)遵循有關(guān)法律法規(guī)及部門規(guī)定要求，優(yōu)先對國家或行業(yè)有專門管理要求的數(shù)據(jù)進(jìn)行識(shí)別和管理，滿足相應(yīng)的數(shù)據(jù)安全管理要求。

就高從嚴(yán)原則：數(shù)據(jù)分級時(shí)采用就高不就低的原則進(jìn)行定級，例如數(shù)據(jù)集包含多個(gè)級別的數(shù)據(jù)項(xiàng)，按照數(shù)據(jù)項(xiàng)的最高級別對數(shù)據(jù)集進(jìn)行定級。

動(dòng)態(tài)調(diào)整原則：數(shù)據(jù)的級別可能因?yàn)槎鄠€(gè)低敏感的數(shù)據(jù)聚合提高數(shù)據(jù)級別，也可能因?yàn)槊撁艋蛘哌^期等原因降低數(shù)據(jù)級別。

分類分級標(biāo)準(zhǔn)制定只是企業(yè)數(shù)據(jù)分類分級安全管理工作的起點(diǎn)。真正要落實(shí)數(shù)據(jù)分類分級安全要求，需要建立配套的實(shí)施流程與工具。確保在不同的業(yè)務(wù)場景中能夠識(shí)別并標(biāo)識(shí)出數(shù)據(jù)的分類與分級，并實(shí)施對應(yīng)的安全措施，例如：在權(quán)限申請和數(shù)據(jù)分享的場景，不同級別的數(shù)據(jù)采用分級安全控制策略與審批流程；在安全事件處理場景，不同級別的數(shù)據(jù)的事件定級及響應(yīng)處理流程有差異等等。

敏感數(shù)據(jù)規(guī)則庫的建立是自動(dòng)化識(shí)別的基礎(chǔ)能力，規(guī)則庫采用的技術(shù)包括關(guān)鍵字、正則表達(dá)式、基于文件屬性識(shí)別、基于元數(shù)據(jù)信息的自定義識(shí)別、機(jī)器學(xué)習(xí)等。例如：

銀行卡號(hào)、證件號(hào)、手機(jī)號(hào)，有明確的規(guī)則，可以根據(jù)正則表達(dá)式和算法匹配。

姓名、特殊字段，沒有明確信息，可能是任意字符串，可以通過配置關(guān)鍵字來進(jìn)行匹配。

營業(yè)執(zhí)照、地址、圖片等，沒有明確規(guī)則，可以通過自然語言算法來識(shí)別，使用開源算法庫。

當(dāng)然，數(shù)據(jù)分類分級只是數(shù)據(jù)安全工作中基礎(chǔ)的環(huán)節(jié)，真正要做好數(shù)據(jù)安全管理，需要建立相對完整的安全管理與技術(shù)體系，才能有效落實(shí)數(shù)據(jù)的分類分級策略，保障數(shù)據(jù)的安全與合規(guī)。

數(shù)據(jù)分類分級建設(shè)思路

各業(yè)務(wù)部門是數(shù)據(jù)分類分級執(zhí)行工作的責(zé)任主體，負(fù)責(zé)本業(yè)務(wù)領(lǐng)域的數(shù)據(jù)分類分級執(zhí)行工作，管控業(yè)務(wù)數(shù)據(jù)源。確保數(shù)據(jù)被準(zhǔn)確記錄和及時(shí)維護(hù)，落實(shí)數(shù)據(jù)分類分級管控機(jī)制，執(zhí)行監(jiān)管數(shù)據(jù)相關(guān)工作。各業(yè)務(wù)部門及其負(fù)責(zé)人負(fù)責(zé)落實(shí)數(shù)據(jù)分類分級有關(guān)要求，并協(xié)同開展數(shù)據(jù)分類分級實(shí)施工作。

1）數(shù)據(jù)分類分級工作的開展應(yīng)具備制度保障，企業(yè)應(yīng)建立數(shù)據(jù)分類分級工作的相關(guān)制度，明確并落實(shí)相關(guān)工作要求，包括但不限于：

2）數(shù)據(jù)分類分級的目標(biāo)和原則；

3）數(shù)據(jù)分類分級工作涉及的角色、部門及相關(guān)職責(zé)；

4）數(shù)據(jù)分類分級的方法和具體要求；

5）數(shù)據(jù)分類分級的日常管理流程和操作規(guī)程，以及分類分級結(jié)果的確定、評審、批準(zhǔn)、發(fā)布和變更機(jī)制；

6）數(shù)據(jù)分類分級管理相關(guān)績效考評和評價(jià)機(jī)制；

1）站在集團(tuán)及下屬企業(yè)兩個(gè)層面做數(shù)據(jù)分類；

2）不求大而全，實(shí)用為主。主數(shù)據(jù)、指標(biāo)數(shù)據(jù)分類做實(shí)；

3）滿足一個(gè)集團(tuán)在不同層級人員的共享需求；

4）盡量多一些有影響力的成員單位加入。