数据分类分级的核心并不是“给字段贴标签”，而是弄清楚企业到底有哪些数据、这些数据是什么、重要程度如何，以及后续应该采取什么样的安全保护措施。
目前企业开展数据分类分级工作时，一个非常重要的国家标准就是：
GB/T 43697-2024《数据安全技术 数据分类分级规则》。
一、为什么要做数据分类分级？
企业里的数据越来越多。
一个大型企业可能同时存在：
- 客户信息
- 员工信息
- 财务数据
- 业务数据
- 网络数据
- 生产数据
- 运维数据
- 日志数据
- 研发数据
这些数据的重要程度显然不一样。
如果所有数据都采用完全一样的安全保护措施，要么保护不足，要么安全投入过高。
因此，数据安全管理首先需要解决两个问题：
第一，这是什么数据？
第二，这个数据有多重要？
前一个问题对应的是数据分类，后一个问题对应的是数据分级。
所以可以先记住最简单的一句话：
分类解决“是什么”，分级解决“有多重要”。
二、GB/T 43697-2024到底规定了什么？
GB/T 43697-2024的全称是：
《数据安全技术 数据分类分级规则》
它主要解决的是数据分类分级工作的基本方法和规则。
这里有一个非常重要的认识：
国标并不是直接给所有企业发了一套完全固定的数据分类Excel模板。
不同企业、不同业务领域的数据差异非常大。
例如银行可能存在：
客户数据、账户数据、交易数据、支付数据、风控数据……
电信企业可能存在：
客户数据、网络数据、业务数据、计费数据、运维数据……
政务部门又会有：
人口数据、法人数据、行政审批数据、公共服务数据……
所以国标提供的是一套通用的方法和基本框架，具体分类体系还需要结合行业特点、组织业务和实际数据情况进一步建立。
这也是实际项目中经常出现：
国家标准 + 行业要求 + 企业自身分类目录
这种组合方式的原因。
三、数据分类：先搞清楚“这是什么数据”
数据分类本质上是在回答：
这个数据在业务上属于什么？
例如数据库里有一个字段：
customer_phone通过字段名、字段注释、样例数据和业务上下文，可以判断它可能是：
手机号
进一步可以归入：
客户联系方式 → 客户数据
这就是数据分类。
但分类不能简单依赖字段名
例如一个字段叫：
ID机器很难直接判断它是什么。
它可能是：
- 客户ID
- 员工ID
- 订单ID
- 设备ID
- 地区ID
- 产品ID
如果只按照字段名称匹配，很容易产生误报。
因此实际的数据识别通常需要综合：
字段名称 + 字段注释 + 样例数据 + 数据内容 + 业务语义 + 上下文
尤其是企业数据量比较大的时候，业务上下文非常重要。
四、数据分级：再判断“这个数据有多重要”
分类完成之后，才进入更加关键的分级环节。
简单理解：
分类是在给数据“定性”，分级是在判断数据“重要程度”。
GB/T 43697-2024建立了一般数据、重要数据、核心数据的分级框架。
这里尤其需要注意：
重要数据和个人信息不是一回事。
例如：
姓名、手机号、身份证号
首先需要判断它们属于什么个人信息类型。
但不能简单地认为：
身份证号 = 重要数据
也不能认为：
个人信息 = 重要数据
数据分级需要进一步考虑数据本身的重要程度，以及发生泄露、篡改、损毁、非法获取、非法使用或者非法共享后可能产生的影响。
因此可以把分级理解成：
数据本身 ↓ 数据重要程度 ↓ 影响对象 ↓ 影响范围 ↓ 影响程度 ↓ 综合判断数据级别这里最重要的思想就是：
不能仅仅根据某一个字段名称直接决定最终级别。
五、分类分级到底是怎么做出来的？
真正落到企业项目里，一般可以把整个工作理解成一条完整链路：
数据资产梳理 ↓ 数据发现 ↓ 数据识别 ↓ 数据分类 ↓ 重要数据识别 ↓ 数据分级 ↓ 人工复核 ↓ 形成分类分级清单 ↓ 持续更新第一步：数据资产梳理
首先要知道企业到底有什么数据。
例如：
系统A ├─ 数据库1 │ ├─ customer │ ├─ order │ └─ payment │ └─ 数据库2 ├─ employee └─ salary这一阶段解决的是：
“我有什么数据？”
最终一般形成数据资产清单。
第二步：数据识别
通过分类分级平台或者其他技术手段，对数据库进行扫描。
平台可能获取：
- 数据库
- Schema
- 表
- 字段
- 字段注释
- 数据类型
- 样例数据
- 数据量
然后识别：
phone → 手机号 name → 姓名 id_card → 身份证件信息 address → 地址这一阶段解决：
“这些字段具体是什么数据？”
第三步：数据分类
在数据识别的基础上，把数据放入企业的数据分类体系。
例如：
客户数据 ├─ 客户基本信息 ├─ 客户联系方式 ├─ 客户身份信息 └─ 客户业务信息第四步：数据分级
在分类基础上进一步判断：
这个数据的重要程度是多少？
需要结合数据规模、影响范围、业务场景、数据关联情况等因素进行综合判断。
第五步：人工复核
机器扫描非常适合解决：
“从大量数据里快速找出可能存在的目标数据。”
但机器并不一定知道完整的业务背景。
所以实际项目通常需要人工复核。
例如平台识别：
字段：code机器可能认为：
疑似某类编码数据
但业务人员可能确认：
这是普通的产品编码，没有敏感含义。
于是最终结果就可能从：
疑似
变成：
验证不通过
或者平台无法判断：
需人工确认
这就是为什么分类分级项目里经常需要建立人工稽核规则。
六、为什么机器扫描不能直接等于最终分类分级？
这是实际项目中非常容易出现的误区。
很多人会认为：
平台扫描出来的结果就是最终结果。
实际上更准确的理解应该是：
平台扫描是分类分级工作的技术基础，而不是全部工作。
可以把它拆成四层：
第一层：发现
有哪些数据库、表、字段？
第二层：识别
这个字段可能是什么数据？
第三层：分类
它属于哪个数据类别？
第四层：分级
它的重要程度如何？
所以：
扫描结果 ≠ 最终分类结果 ≠ 最终分级结果例如：
字段：user_id扫描平台可能只能识别：
ID类字段
但业务人员知道：
这是普通客户ID。
如果继续看表结构：
user_id user_name user_phone user_address结合上下文以后，判断准确率就会明显提高。
因此在实际分类分级项目中：
机器负责提高效率，规则负责提高一致性，人工负责解决业务语义和复杂场景。
七、国标落地到企业，最终要形成什么？
分类分级工作最终不是为了做一次扫描。
通常需要形成一套能够持续管理的数据安全基础资料。
至少可以包括：
1. 数据资产清单
回答：
企业有哪些数据？
2. 数据分类分级清单
回答：
每类数据是什么、属于什么级别？
3. 重要数据识别结果
回答：
哪些数据可能属于重要数据？
4. 分类分级规则
回答：
为什么这个数据被识别成这个类别？
5. 人工校验记录
回答：
对机器识别结果是如何确认和修正的？
6. 动态更新机制
回答：
数据发生变化之后，什么时候重新分类分级？
所以分类分级不是一次性的Excel工作，而应该逐渐形成：
发现—识别—分类—分级—复核—更新
的持续管理机制。
八、最后：用三句话真正理解分类分级
数据资产梳理：解决“有什么数据”。
数据分类：解决“是什么数据”。
数据分级：解决“有多重要”。
再结合我现在实际做的平台项目，就是：
数据资产 ↓ 平台扫描 ↓ 数据识别 ↓ 数据分类 ↓ 重要数据识别 ↓ 数据分级 ↓ 人工稽核 ↓ 形成数据分类分级清单 ↓ 持续更新这其实就是理解整个数据分类分级工作的主线。
