3. 数据分类标准体系：GB/T 35273、等保2.0、行业标准
数据分类这事儿，光有理论不行。你得知道站在哪套标准上画线。
我这些年做安全架构，见过不少团队埋头写代码，最后被合规一锤子打回重做。说白了，分类标准就是你的“安全尺”，尺子拿错了，后面全白搭。
国内用得最多的三把尺子：GB/T 35273（个人信息安全规范）、等保2.0（网络安全等级保护）、以及各路行业标准。它们不是互相替代的关系，而是层层嵌套、各有侧重。我习惯把它们看作一个“标准金字塔”——顶层是通用原则，中层是制度要求，底层是落地细则。
3.1 GB/T 35273 —— 个人信息分类的底线
GB/T 35273 全称是《信息安全技术 个人信息安全规范》。你想想看，它是所有涉及个人信息的系统的“基本法”。
我个人习惯，在接口设计阶段就把这个规范里的分类映射到字段上。
核心分类维度：
- 个人敏感信息 —— 包括身份证、银行账户、行踪轨迹、生物识别信息等。一旦泄露，会直接危害人身财产安全。
- 一般个人信息 —— 姓名、性别、出生日期、电话号码（非敏感用途）等。
- 个人标识信息 —— 用户ID、设备标识、Cookie ID等，可结合其他信息定位到具体个人。
你可以把这三类当成接口字段的“默认标签”。比如，用户注册接口返回的 id_card 字段，我直接把它标记为 sensitive。你说是不是很简单？
💡 我踩过的坑： 之前有个项目，把用户手机号当成“一般信息”处理，结果等保测评直接给了个不通过。后来才知道，手机号在 GB/T 35273 附录里明确列为“可识别的个人标识”，必须按敏感信息管控。所以，一定要翻翻规范的附录表和示例，别只看正文。
3.2 等保2.0 —— 分层防护的定级依据
等保2.0 的正式名称是《网络安全等级保护制度》。它不直接告诉你“这个字段分几类”，而是告诉你：“你系统里这些数据，该上几把锁”。
为什么这么说？因为等保2.0 要求你按照系统定级（一至四级），逐级强化安全措施。数据分类在其中扮演“分级依据”角色。
| 系统等级 | 典型场景 | 数据分类要求 | 接口安全要点 |
|---|---|---|---|
| 第一级 | 内部OA、非敏感业务 | 仅区分内部/公开数据 | 基础身份认证 |
| 第二级 | 一般互联网系统 | 区分个人敏感信息与一般信息 | SSL、传输加密、日志审计 |
| 第三级 | 金融交易、医疗平台 | 明确敏感数据类型，建立分类目录 | 接口签名、防篡改、访问控制细粒度 |
| 第四级 | 国家关键基础设施 | 全量数据分类清单，每个字段有安全标签 | 国密加密、双因子认证、全链路审计 |
你看，数据分类的颗粒度是跟着等保等级走的。如果你做第三级系统，接口里只按“敏感/非敏感”二分，测评员一查肯定给你打回来。我记得有次帮客户整改，他们系统跑着第三级业务，但分类只有两档，最后硬是补了三个月才过。所以，定级之前先把分类标准卡死。
3.3 行业标准 —— 把分类塞进业务场景
GB/T 35273 和等保2.0 都是普适标准。但到了具体行业，你会发现“敏感信息”的定义天差地别。比如：
- 金融行业（JR/T 0171）：把客户财务流水、信贷记录、风险评分单独列为极高敏感级，远高于普通个人信息。
- 医疗行业（WS/T 515）：个人健康信息（病历、遗传信息、诊疗记录）属于最高级别，接口必须支持
字段级脱敏。 - 政务行业：政务信息共享分类要求明确“涉密”“内部”“公开”三级，接口输出时得带权限水印。
⚠️ 我在一个跨境支付项目上吃过亏： 当时金融合规团队要求我们按 JR/T 0171 的“L4 极高敏感级”处理交易日志里的用户身份证，但我们只按 GB/T 35273 的一般敏感级做了加密。结果上线前两天被监管点名，连夜改了 12 个接口的序列化逻辑。教训就是：行业标准往往比通用标准更严格，接口设计早期就得对齐。
所以，我建议你在接口设计文档里专门开一个“分类映射表”，像这样：
// 接口字段分类映射示例（伪代码）
{
"field": "user_id_card",
"gb_35273": "个人敏感信息",
"dengbao_level": "第三级 → 强制加密",
"industry_level": "金融 JR/T0171 L4",
"transport_encrypt": true,
"storage_encrypt": true,
"audit_enabled": true
}这样一张表，既能应付等保测评，又能过行业合规检查。你想想看，后面做接口开发，每个字段往上查标签就行，不用每次都纠结“这个该不该加密”。
3.4 三套标准的组合应用建议
我的实战组合框架：
- 顶层用 GB/T 35273 定基线 —— 所有涉及个人信息的字段必须做敏感/非敏感二分，保证“不犯大错”。
- 中层用等保2.0 定安全等级 —— 根据系统定级，决定哪些字段需要强制加密、哪些需要脱敏、哪些需要审计。
- 底层用行业标准细化标签 —— 比如金融行业额外增加“L3-交易风险数据”，医疗行业增加“PHI”标签，政务行业增加“涉密”标签。
说白了，三个标准就像三把尺子，叠在一起量出来的数据才是合规的。
💡 一个小技巧： 我通常在接口的 x-data-classification 自定义头里直接挂载分类标签，像 x-data-classification: sensitive, dengbao-3, jr-0171-l4。这样前端、网关、审计系统都不用查数据库，直接就能对接口做安全控制。
好，这一节的内容就这些。记住：标准不是用来背的，是用来给接口画红线的。