3. 数据分级分类标准体系：国标、行业、企业
做数据分级分类，最头疼的是标准怎么选。
你可能会问：“到底听谁的？国标？行业标准？还是自己定？”
我的答案是：全都要，但有主次。
国标GB/T 35273打底，行业标准做行业细分，企业标准落最终细节。
这三层缺一不可，顺序也别搞反。
下面我拆开讲，顺便聊几个踩过的坑。
3.1 国标GB/T 35273 —— 护身符也是紧箍咒
GB/T 35273《个人信息安全规范》，其实不只是个人信息。
它规定了个人信息的分类和分级原则，比如把个人信息分为个人敏感信息和非敏感信息，又按照危害程度划了四个等级。
为什么我说它是护身符？因为监管部门检查时，第一件事就是问你“有没有按35273做”。
但你千万别以为只照搬国标就够了。
国标是普适的，只说了通用原则和底线。举个例子：国标里“财产信息”属于个人敏感信息，但具体到一家网贷公司，什么程度算“严重危害”？国标没写那么细。
关键要点：
- 国标是所有企业必须对齐的最低线。
- 国标里的“分级”是抽象等级（如：S3、S4），没有行业业务含义。
- 国标分类粒度较粗，通常只有两层（敏感/非敏感）。
我记得有一次客户强行要求按国标直接落地，结果业务部门投诉“这个数据敏感等级高了，开发没法用”。
后来我帮他们在国标基础上加了一层企业上下文，问题才解决。
3.2 行业标准 —— 你的同行可能比你先走一步
行业标准一般由监管机构或行业协会发布，是对国标在特定行业内的细化。
- 金融行业：JR/T 0197-2020《金融数据安全 数据安全分级指南》把数据分为5个级别，定义了每种级别的管控措施。我管它叫“金融五级”。
- 医疗行业：HL7授权和《健康医疗大数据安全管理办法》有明确的分类方法，比如“个人健康信息”被细分为数十个子类。
- 政务/公共数据：通常直接引用《数据安全法》和《个人信息保护法》中的要求，部分省市出了政务数据分级规范。
- 工业/能源：GB/T 41479-2022《工业数据分类分级指南》属于强制范围。
坦白说，如果你所在的行业有专门的标准，优先用行业标准。
我接触过一个银行项目，一开始只用了国标，后来审计要求必须用JR/T 0197——结果返工了两个月才补齐。
我的经验：行业标准往往比国标更细，但不会覆盖所有业务场景。
尤其对于非核心业务（比如企业的福利发放系统），行业标准也可能没写。这时候就需要企业自定义。
3.3 企业自定义标准 —— 最后一公里怎么走
企业自定义标准，说白了就是“让你自己的数据能用起来，又不违规”。
它通常是这样的关系：
| 层级 | 内容 | 示例 |
|---|---|---|
| 一级（L0） | 国标&行业标准映射 | 企业S3级 = 国标L4 = 个人敏感信息 |
| 二级（L1） | 业务细分 | 客户收入信息 -> S3 |
| 三级（L2） | 字段级规则 | “月收入”字段 -> S3，“收入范围（模糊）” -> S2 |
为什么需要企业标准？
因为国标不分“内部员工通讯录”和“公开产品目录”的区别——你觉得前者是L2还是L3？
如果按国标，员工姓名+工号不是敏感信息，但对公司内部而言，这是不该外泄的。所以我建议企业至少做三件事：
- 定分类目录：列出公司所有数据资产，按业务域（人力、财务、客户、产品…）分类。
- 定分级矩阵：对每个分类项，根据国标+行业标准+企业容忍度给出等级。
- 定标识规范：比如字段comment里写 [data_grade=S3, cat=person]，这样开发、安全、审计都能看懂。
我曾经踩过的坑：有一家电商公司，自己定义了12个等级，结果每打一个标签都让人崩溃。
后来我把12级压缩到4级（公开、内部、敏感、机密），再配合业务标签，效果反而更好。
所以别贪多。企业自定义标准不是越细越好，而是“够用且可执行”。
我个人的习惯是：先抄国标和行业标准的等级框架，然后每个等级映射2-3个企业场景。跑通一个试点后，再补充字段级规则。
落地建议
三种标准怎么融合？我画了一张我常用的对照表：
| 实际等级 | 国标对应 | JR/T 0197对应 | 企业级示例 |
|---|---|---|---|
| 公开 | L1 | 1级 | 产品介绍、招聘广告 |
| 内部 | L2 | 2级 | 内部通讯录、业务报表（非财务） |
| 敏感 | L3 | 3-4级 | 客户手机号、合同金额 |
| 机密 | L4 | 5级 | 核心算法、高管薪酬 |
记住了，对标不是死搬。主表走行业标准，补齐用企业标准，底线死活不能低于国标。
我到现在还保留着一个习惯：每个数据分级字段都写上“参考标准来源”。
比如“S3 (GB/T 35273 L3 / JR/T 0197 3级)”。这样审计来查时，直接能用。