2. 数据分类分级标准体系：国际标准与行业标准归纳总结

聊到数据分类分级，很多人第一反应就是「拿本标准来用」。但真干活的时候你会发现，标准不是拿来就套的，得「拆」着用。我这些年见过不少团队，照着 ISO 抄一遍，结果业务根本不认 —— 说白了，标准是骨架，血肉还得自己长。

2.1 国际标准：几个绕不开的大家伙

国际上跟数据分类分级关系最密的，我列三个。你想想看，做数据安全合规，不管是中国还是海外，几乎都绕不开它们。

我最早接触 ISO 27001 是在一家跨国银行项目里。当时客户要求「所有数据必须分三级」，但三级怎么分？标准没说。嗯，它只告诉你「你得这么做」，具体尺度自己定。这其实是个好事 —— 灵活。

2.2 行业标准：每个赛道都有自己的「方言」

国际标准是通用语言，但落到具体行业，必须说「方言」。我见过最典型的就是金融和医疗 —— 同一个「高敏感」概念，两边定义完全不同。

金融行业

• JR/T 0197-2020（金融数据安全分级指南）：把数据分为 5 级，从 1 级（可公开）到 5 级（严重危害国家安全）。
  我做过一个银行的核心系统分级，客户交易流水被硬塞进 4 级，但实际对外做报表展示又得降到 2 级 —— 这种「动态降级」标准里没写，你得自己补策略。
• JR/T 0171-2020（个人金融信息保护规范）：专门针对个人金融信息，分 C3/C2/C1 三类，C3 最严（如交易密码）。

医疗行业

• WS 445-2014（电子病历基本数据集）加上《个人信息保护法》：病历数据按「标识身份」程度分，姓名+身份证号算特类，单纯诊断编码算敏感但可脱敏。
• 我曾经掉过一个坑：某医院把「全部病历」都标为最高级，结果科研调用时每次都要审批，效率极低。后来我们按「是否可直接关联患者身份」分了两层，流转速度提升 4 倍。

政务与教育

2.3 标准体系的层级关系

光列标准没用，你要知道它们怎么「叠」在一起。我习惯画成一张图，心里就清楚了。下面这张 SVG 就是标准体系的典型结构。

从图里能看到：国际标准在最上层，它定原则；行业标准在中左，它定细节；区域法律在中右，它定红线；企业落地在最下面，你得全部吃透然后自己做「翻译」。

2.4 如何选标准？我的实战排序

经常有人问我：「这么多标准，我先看哪个？」我的习惯是按这个顺序：

1. 先确定业务所在行业 —— 有行业标准必须优先用行业标准。比如你搞金融数据，不读 JR/T 0197 就等于裸奔。
2. 再对标国际通用框架 —— 用 ISO 27001 的资产分类要求补全行业标准没覆盖的资产类型（比如日志、备份）。
3. 最后检查合规红线 —— 看《个人信息保护法》《数据安全法》有没有针对你产生额外分类要求。

2.5 标准落地的常见误区

• 误区一：把标准当圣经抄 —— 标准写的是「分类应考虑法律要求」，你不能只写一句话。得把法律拆成具体字段指标。比如「身份证号」按个保法直接进最高敏感级。
• 误区二：只分不标 —— 分类分级必须跟着标签走。我见过一个公司分了五级，但数据库里没有任何标签，安全策略根本不知道哪个字段是几级。等于白分。
• 误区三：等级划分照搬行业五行 —— 行业标准给的是范例，你要根据自己业务调整。比如金融行业的「交易信息」通常是 4 级，但你们公司内部查询系统可能只需要 3 级控制，别硬套。