数据安全法与企业数据分类分级：从哪一步开始

《数据安全法》要求建立数据分类分级保护制度，各地各行业陆续出了落地细则。企业侧的普遍困惑是：分类分级的动作到底从哪一步开始？很多单位第一步就做错了——先买一套数据安全产品，再反过来想怎么分类。

正确的第一步：摸资产

分类分级的前提是知道自己有什么数据。把各业务系统的数据资产盘一遍：哪些库、哪些表、存了什么、谁在用、数据流到哪里去。很多单位做完这步就发现了问题——核心业务数据存在没人管的环境里、第三方接口的数据流向说不清。

分类和分级是两件事

分类按业务属性：个人数据、业务数据、经营数据、公开数据。分级按影响程度：泄露或篡改后造成的危害程度，一般分公开、内部、敏感、核心四级。分类靠业务部门定，分级靠影响评估定，两者交叉形成保护矩阵。

不同级别怎么差别保护？

• 核心数据：加密存储、访问审批、操作全审计、异地备份。
• 敏感数据：脱敏展示、权限最小化、导出管控。
• 内部数据：按部门授权、定期权限复核。

分类分级不是一次性工程，数据在流动，级别要定期复评。涉及智能化场景时还要叠加合规要求，见生成式 AI 办法的合规要点；技术侧的整体框架可看企业数字门户解决方案中的安全设计。