03｜分类分级标准体系：国际标准、国家标准、行业标准参考
做分类分级标准制定，最怕什么？
最怕拍脑袋定规则，结果跟外部监管、行业实践搭不上边。我做过好几个数据治理项目，早期团队就吃过这个亏——自己关起门来定了一套分类，等跟安全审计一碰撞，发现好几处跟国际标准对不上，又得返工。说白了，标准体系就是你的“安”。你得先知道别人怎么玩，再结合自己的业务去落地。
这一章，我们就把三大类标准拆开看：国际标准、国家标准、行业标准。不扯虚的，直接上干货，告诉你每个标准能解决什么实际问题。
3.1 国际标准：你在跟谁对齐
国际标准是“通用语言”。如果你的企业有出海业务、或者要跟外资合作，这部分绕不开。
核心原则： 国际标准关注的是“管控框架”而非“分类标签”。它们告诉你应该怎么管，而不是直接给你一个分类表。
3.1.1 ISO 27001：信息安全管理的“宪法”
ISO 27001 本质上是一个信息安全管理体系标准。它不直接教你数据怎么分类，但它的 Annex A 控制项里，有一条专门讲“信息分类”（A.8.2）。
- 核心要求： 信息应当根据其法律要求、价值、敏感性和关键性进行分类。
- 实际操作： 你需要制定分类方案，定义标签（比如：公开、内部、机密、绝密），然后告诉员工怎么打标、怎么处理。
- 我的经验： 我记得有一次帮一家制造企业过认证，他们直接把ISO的“公开、内部、机密”抄过来。结果发现“项目报价单”按这个标准只能算“内部”，但财务觉得应该算“机密”——这就是分类粒度跟业务不匹配。后来我建议他们叠加“业务域”做二级分类，才算解决。
小提示： ISO 27001 不规定“敏感数据”的具体清单，这个推导工作得你自己做。但它的审计逻辑很清晰：你定了分类→你执行了→你有证据。缺一环都不行。
3.1.2 NIST SP 800-系列：给安全打补丁的“实操手册”
NIST的标准，尤其是 SP 800-53 和 SP 800-60，比ISO具体得多。它几乎是把“每种数据类型该上什么控制措施”都写进了表格里。
- SP 800-60： 专门讲信息安全分类的映射。它会告诉你，“财务数据→高影响→需要加密+审计+访问控制”。
- SP 800-53： 提供控制目录。比如你分类为“高敏感”，对应就需要AC-2（账户管理）、IA-2（标识鉴别）等。
- 避坑指南： 我曾经直接拿NIST的控制列表去套国内企业，结果发现一半控制项因为法规差异（比如数据出境要求）不适用。NIST是参考，不是圣经。
注意： 国际标准往往默认组织已经拥有比较成熟的IT治理基础。如果你所在的企业连数据资产盘点都没做过，建议别急着上NIST框架，容易“大炮打蚊子”。
3.2 国家标准：合规的“底线”
国内的GB/T标准，特别是个人信息和重要数据相关的那几份，是法律红线。这块出错，等着你的就是监管部门约谈和罚款。
3.2.1 GB/T 35273：个人信息安全规范的“基本法”
如果你处理用户数据，这本书必须读三遍。
- 分类逻辑： 它把个人信息分为“个人敏感信息”和“一般个人信息”。
- 判定标准： 敏感信息一旦泄露、或非法使用，可能导致人格尊严受损、人身财产安全受危害。比如：身份证号、银行账户、行踪轨迹。
- 我常犯的错： 最开始我以为“姓名+手机号”肯定是敏感信息。但标准里明确写——单一条目的手机号一般不判断为敏感信息，只有跟其他信息组合后产生风险才需要考虑。所以别一刀切，要按“识别度+风险”去判断。
| 类别 | 典型数据项 | 存储要求 |
|---|---|---|
| 一般个人信息 | 姓名、性别、出生日期 | 去标识化后即可存储 |
| 个人敏感信息 | 身份证号、支付信息、位置数据 | 必须加密存储，并做访问控制 |
一句话总结： 35273 是“划红线”——告诉哪些数据不能碰、碰了要怎么负责。
3.2.2 GB/T 37988：数据安全能力的“体检表”
37988 全称是《数据安全能力成熟度模型》，也叫DSMM。它不直接定义分类规则，但它定义了“分级保护能力”——你的分类级别决定了你的保护措施要达到哪个成熟度。
- 五个能力域： 数据采集、传输、存储、处理、交换。
- 分级对应： 如果你的数据是L4级（极高敏感），那么存储环节必须达到成熟度4级（持续优化），不能只做到L2级（被动响应）。
- 我的项目： 有一次做差距分析，我们发现客户按照“内部公开”分类的数据，在传输环节却用了明文。按照37988的要求，这就属于“措施与等级不匹配”，必须整改。
3.3 行业标准：你所在领域的“游戏规则”
不同行业的监管粒度完全不同。金融、医疗、工业互联网，每个都有自己的活法。
| 行业 | 参考标准/文件 | 典型分级方式 | 注意事项 |
|---|---|---|---|
| 金融 | JR/T 0197-2020《金融数据安全 数据安全分级指南》 | 5级制：0-无级别、1-一般、2-重要、3-敏感、4-核心 | 要求“最小够用”，业务部门不能看到非本岗位的核心数据 |
| 医疗 | 《信息安全技术 健康医疗数据安全指南》GB/T 39725-2020 | 个人健康数据、诊疗数据、可穿戴设备数据分别归档 | 患者基因信息与普通挂号信息分级不同，前者按高敏感处理 |
| 工业互联网 | 《工业数据安全分级分类指南》工信部 | 设备数据、生产数据、运营数据 | 注意“控制类数据”如果包含PID参数，实际上属机密级 |
你想想看，金融行业的核心客户信息泄露，后果有多严重？所以他们的分级粒度会细到“字段级”。而制造业是另一个极端：设备运行数据丢了，可能暂时影响不大，但配方数据一旦泄露，竞争壁垒就没了。
所以我的建议是： 先找到你所在行业已经发布的指导文件。如果行业标准还在起草中，就参考对标公司（比如行业头部企业）的实践做法。别自己从头发明轮子。
3.4 如何把这些标准串起来？一张图说明白
下面这张图展示了我个人最常用的标准体系整合思路。核心就一句话：国际标准定“框架”，国家标准定“底线”，行业标准定“细节”。
很多人容易陷入一个误区：想把所有标准都塞进你的分类骨架里。但实际落地的时候，你只需要回答三个问题：
- 监管部门最在意什么？（比如银保监会、网信办）—— 对应国家标准。
- 你的业务伙伴要求你通过什么认证？—— 对应国际标准。
- 你家数据安全事故主要集中在哪类数据？—— 对应行业最佳实践。
嗯，这里要特别注意： 标准体系是活的。你今年刚做完分级，明年可能就有新规出台（比如《网络数据安全管理条例》的正式稿）。我通常会在标准制度里留一个“扩展字段”——当有新的法规要求时，只需要更新这个字段的映射表，不用推翻整个分类体系。
核心提醒： 标准是用来帮助你做决策的，不是用来限制你的。如果你发现某个标准跟你的业务严重冲突，别硬套，先找法务和合规同事一起评估。我记得有一次在汽车行业，客户非要套物联网行业的标准，结果因为车载数据量级差距太大，分类效果很差。最后我们折中：安全等级沿用国家标准，分类粒度参考行业头部企业的实践。