数据分类分级怎么落地，GB/T 43697 实操清单

《数据安全法》自 2021 年 9 月 1 日施行起，就确立了"国家建立数据分类分级保护制度"。可操作的通用规则来自 GB/T 43697-2024《数据安全技术 数据分类分级规则》，这是"数据安全技术"系列国家标准的第一部，2024 年 3 月发布、2024 年 10 月 1 日起实施。

它解决的是一个长期悬空的问题，什么算重要数据、什么算核心数据。在此之前，法律只说要分类分级保护，没给判定标准，企业想合规也无从下手。

一、三个级别，和一句最重要的定心丸

数据从高到低分三级。

标准里有一句话，值得每个中小企业 IT 负责人记住。

仅影响组织自身或公民个体的数据，一般不作为重要数据。

这句话就是定心丸。它把边界划得很清楚，你公司的客户名单泄露了、财务数据被偷了，是严重的安全事件，但不因此让你的数据变成"重要数据"。重要数据的判定锚点是国家安全与社会公共利益，"我觉得这数据挺重要"不算数。

判断不准的时候，标准也给了原则，就高从严。当多个因素可能影响定级时，按可能造成的最高影响程度确定级别。

二、分类怎么分，先行业、再业务属性

标准的分类思路是两步走。

第一步，按行业领域分。工业、电信、金融、能源、交通运输、自然资源、卫生健康、教育、科学数据等。多数企业的归属是明确的。

第二步，按业务属性细化。标准列了九种可选属性，实际用得最多的是这四个。

对中小企业，最省力也最够用的做法是两层。先按"数据主体"把个人信息单独拎出来（因为法律对它有专门要求），剩下的按"描述对象"分成用户、业务、经营管理、运维四类。这四类正好对应四套不同的访问权限。

关键提醒，个人信息与敏感个人信息另有专门的国家标准和识别规则，不能拿数据分级的"重要数据"标准去套，那是两套不同的法律义务体系。

三、分级怎么定，四步和八个要素

定级是一条流水线，顺序不能乱。

1. 确定分级对象。先明确要给谁定级，是某个字段（如身份证号）、某张表，还是某个数据集？跨领域融合的数据要单独识别，融合之后级别可能上升。
2. 识别分级要素。标准给了八个要素，领域、群体、区域、精度、规模、深度、覆盖度、重要性。其中领域、群体、区域、重要性偏定性，精度、规模、覆盖度偏定量，"深度"主要用在衍生数据上。
3. 做影响分析。问两个问题，一是影响谁（国家安全 / 经济运行 / 社会秩序 / 公共利益 / 组织权益 / 个人权益），二是影响多重（特别严重危害 / 严重危害 / 一般危害）。
4. 综合确定级别。按就高从严原则定。

这里有一个最容易被忽略、也最体现标准水平的地方，"点面结合"原则要求考虑聚合效应。 单条数据可能都不敏感，但百万条聚在一起、或经统计挖掘之后，就可能触及国家安全。所以衍生数据要单独定级，不能简单继承源数据的级别。

四、中小企业可照着做的四步

标准本身是给监管部门和大型数据处理者准备的，直接照抄会过重。落到中小企业，建议按这个顺序。

第一步，列数据资产清单（先别买工具）。 把系统、数据库、文件服务、SaaS 账号都过一遍，每个记五项，在哪、谁负责、大约多少条、含不含个人信息、对外不对外。这一步用表格就能完成，不需要任何产品。

第二步，先把个人信息单独归类。 对照个人信息分类，把可识别到自然人的数据挑出来；再判断哪些属于敏感个人信息（泄露后容易导致人格尊严受侵害、或人身财产安全受危害的）。这一类直接适用《个人信息保护法》的义务，与数据分级是两条线。

第三步，做重要数据识别，并留下书面结论。 这一步的重点在于走完判断过程并记录，找到没找到都是次要的。标准附录 G《重要数据识别指南》是规范性附录，给了十七项考虑因素，逐条对照问"我有没有"，把判断依据和结论写下来。结论是"无"也必须留档，这是将来面对检查时唯一能证明你尽到义务的东西。

第四步，一般数据内部再分级，并把措施挂上去。 对确认不涉及重要数据的企业，剩下的工作就是按内部影响程度给一般数据分级（标准附录 H 有参考），并给每一级明确谁能访问、能不能导出、要不要脱敏、留存多久、要不要审计。分级如果不挂措施，就是一份没人看的表格。

做完这四步会得到三样东西，数据资产台账、分类分级细则、分级对应的管控措施。再加上一条，定期复核。标准把"动态更新"列为基本原则，业务变了、数据范围变了，级别要跟着变。

五、最常踩的五个坑

1. 把"敏感个人信息"当成"重要数据"。 概念混用会导致保护措施错配。个人信息对应的是告知同意、最小必要、权利响应；重要数据对应的是更严格的管理与报送要求。
2. 只分类不分级，或只分级不分类。 分类回答"这是什么"，分级回答"有多要紧"，缺一个都没法落地管控。
3. 用扫描工具扫一遍就当完成。 工具只能给出候选和线索，最终定级必须由业务和法务共同确认。纯工具驱动的分级结果在检查时站不住。
4. 一次做完就锁死。 这违反动态更新原则。建议至少每年复核一次，业务发生重大变更时立即复核。
5. 没有责任人和台账。 分类分级本质是一项留痕工作。台账、版本记录、审批痕迹缺一样，等于没做。

六、做完之后要干什么

分类分级做完只是第一步。它的产出必须能驱动具体的保护动作。

• 访问控制与权限。按数据类别和级别设计权限模型，做到最小必要；跨部门共享要有审批痕迹。
• 加密与脱敏。敏感级别数据的存储加密、对外提供时的脱敏规则。
• 备份与恢复。不同级别的数据对应不同的备份频率与保留期限，并保留恢复演练记录，参见数据备份与容灾方案。
• 审计与日志。重要数据的访问、导出、修改行为必须留日志，且日志本身要留存够久。
• AI 场景下的额外要求。如果你在用大模型处理企业内部数据，分级结果就是"哪些文档允许进检索库"的依据。没有分级，检索库的权限设计根本无从谈起，参见内部知识库方案。
• 边界防护。不同级别的数据不应混在同一片扁平网络里，参见网络安全整体方案。

如果你的企业还需要通过等级保护测评，数据分类分级的结果会直接用于定级和整改判断，两件事应该一起做而不是分两轮做。可以先看等保测评全流程。

七、常见问题

中小企业也要做数据分类分级吗？ 《数据安全法》确立的是普遍性制度，不区分企业规模。但实施强度可以匹配自身情况。数据量小、不涉重要数据的企业，做到"台账 + 判断结论 + 分级措施"三件事就已经到位。

行业已经有自己的分类分级指南了，还要看国标吗？ 国标是通用规则，行业指南是在它之上细化的。优先适用本行业主管部门发布的规则和重要数据目录，国标用于补充理解与判断方法。

重要数据要对外报送吗？ 按标准要求，识别出重要数据、核心数据后，应按相关法律法规或行业主管部门要求报送。具体路径以本行业主管部门的最新要求为准。

什么时候该重新做一次？ 标准把动态更新列为基本原则。建议至少年度复核；业务范围、数据规模、对外共享方式发生重大变化时立即复核。

数据分类分级最大的价值在于它逼着你第一次把"我们到底有什么数据"讲清楚，表格只是副产品。很多企业做完之后收获最大的地方，是突然发现有几个没人负责、权限全开的历史数据库。

需要帮忙梳理数据资产或制定分类分级细则，可以联系我们。更多选型与落地类文章，见技术分享栏目。