第二章：政策法规与合规要求
做数据分级分类，第一件事不是画模型，也不是写代码。
你得先搞清楚：法律是怎么要求的。
我见过太多团队上来就分「高敏、低敏、内部公开」，结果审计一来发现和《数据安全法》的分类标准对不上，全盘返工。所以这一章咱们把几个关键法规掰开揉碎了说清楚。
2.1 《数据安全法》——数据分类的法定依据
2021年9月1日正式实施的《数据安全法》第二十一条规定：国家建立数据分类分级保护制度。
这是所有企业做数据分类的法律源头。你想想看，没有这个法，分类就是自选动作；有了它，就是必选动作。
| 条款 | 要求 | 落地影响 |
|---|---|---|
| 第二十一条 | 建立数据分类分级保护制度 | 企业必须制定分类分级标准 |
| 第二十七条 | 重要数据目录备案 | 需向行业主管或网信办备案 |
| 第四十五条 | 未履行保护义务的处罚 | 罚款最高1000万，停业整顿 |
我个人习惯把《数据安全法》当成「底线法」——它不告诉你具体怎么分，但告诉你必须分，而且重要数据要特殊保护。我建议你记住一个原则：凡是被官方认定为「重要数据」的，必须纳入最高保护等级。
我曾经在一个金融项目中，把客户交易流水只分了「中等」等级。结果合规部门对照《数据安全法》第二十七条，发现这笔数据属于「金融重要数据」，需要单独报备。连夜补了三个月的工作量……从此我再也不敢小看「重要数据」这四个字。
2.2 《个人信息保护法》——个人数据的分类红线
2021年11月1日起施行。《个保法》直接定义了个人信息、敏感个人信息的概念，而且明确了分级处理规则。
- 个人信息：可识别到特定自然人的各种信息（姓名、身份证号、电话号码等）
- 敏感个人信息：一旦泄露容易导致人格尊严或人身财产安全受损的信息（生物识别、金融账户、行踪轨迹、不满十四周岁未成年人信息等）
这里有个关键点：敏感个人信息必须征得「单独同意」，而且处理目的必须明确。
我在实际项目中遇到过一种情况：HR系统里存储了员工的指纹打卡记录。很多团队觉得这就是考勤数据，分到「内部公开」就行。但《个保法》第二十八条明确把「生物识别信息」列为敏感个人信息。嗯，这个分类错了就是违法。
敏感个人信息的处理条件比一般个人信息严格得多——
· 必须具有特定目的和充分必要性
· 必须采取更严格的保护措施
· 必须进行个人信息保护影响评估
如果你的分类结果没有把这些数据标红，合规检查基本过不了。
2.3 《网络安全法》与等保2.0——数据安全的技术基线
2017年施行的《网络安全法》主要负责「管网络」。
但数据是跑在网络上的。所以等保2.0（GB/T 22239-2019）里单独设了「数据安全」部分，作为技术基线。
| 等保等级 | 数据安全要求举例 | 适用场景 |
|---|---|---|
| 第一级 | 自主保护，基本访问控制 | 中小企业内部非核心系统 |
| 第二级 | 数据备份、权限分级 | 一般企业OA、CRM |
| 第三级 | 数据加密、审计日志、数据防泄露 | 金融、医疗、政务核心系统 |
| 第四级 | 数据容灾、完整性校验、动态脱敏 | 国家级重要信息系统 |
| 第五级 | 专控专管、物理隔离 | 国家绝密级系统 |
说白了，你的数据分到哪一级，等保的技术措施就要跟到哪一级。这是硬挂钩。我曾经帮一个电商平台做数据分类，他们把用户收货地址分为「中风险」，但等保三级要求收货地址必须加密存储。结果整改时发现数据库里还存着明文，花了两个通宵全量清洗……
我建议你把等保的技术要求直接映射到数据分级分类的「保护措施」列里。比如：
· 一级数据：仅需备份
· 二级数据：备份 + 权限控制
· 三级数据：备份 + 权限 + 加密 + 审计
这样的映射关系能让你在落地时少走至少一半弯路。
2.4 《数据出境安全评估办法》——跨境场景的特殊要求
2022年9月1日起施行。如果你的业务涉及数据出境（比如跨国企业的HR数据、跨境电商的用户数据），那这条法规必须纳入分类框架。
- 重要数据和个人信息出境都需要安全评估
- 评估通过后才能出境
- 评估结果有效期2年
我记得有个SaaS公司把海外用户的业务数据存在国内，然后同步到新加坡节点。他们分类时只分了「重要」和「一般」，完全没考虑数据出境合规。后来被网信办约谈，才知道同步行为已经构成数据出境——而且他们根本没过评估。
所以我的建议是：在做数据分级分类时，单独设一个维度叫「数据流通区域」，凡是涉及出境的，自动升级一个保护等级。
2.5 法规之间的联动关系
下面这张图把几个法规的协同关系画清楚了——
从图上你能看出来：所有法规最终都指向「数据分类分级制度」，然后向下落到具体的保护措施。换句话说，你的分类标准只有同时满足《数据安全法》的类别框架、《个保法》的敏感信息定义、等保的技术等级要求，才是合规的。
2.6 实施层面的合规映射表
我建议你建一张类似下面的表，直接挂到你的分类标准里——
| 数据类别示例 | 对标法规 | 应定等级 | 必须措施 |
|---|---|---|---|
| 用户身份证号 | 个保法（敏感个人信息） | L4（最高） | 加密存储 + 脱敏展示 + 单独同意 |
| 企业财务报表 | 数据安全法（重要数据） | L3 | 备案 + 访问审计 + 容灾 |
| 产品日活数据 | 网络安全法（网络运行数据） | L2 | 权限控制 + 备份 |
| 海外用户手机号 | 数据出境办法 | L3-L4 | 安全评估 + 加密传输 |
为什么要做这张表？因为审计人员查的不是你的分类标准好不好看，而是你的分类结果有没有满足各法规的具体条款。你准备好这张表，就能一分钟说清楚每一个字段的合规依据。
合规的分类等级 = 数据安全法的类别 + 个保法的敏感度 + 等保的技术要求 + 是否涉及出境
2.7 我踩过的三个坑
- 坑一：只看《数据安全法》，忽略《个保法》
以为只要分了「重要数据」就行，结果个人数据没分敏感级别。被约谈时才补。 - 坑二：等保等级和分类等级脱钩
分类分到L3，但实际存储还是L1级别的措施。审计一看就是漏洞。 - 坑三：忽略数据出境场景
你以为数据只在国内流转，实际api早就把数据同步到海外节点了。
嗯，这些坑我现在讲出来，就是希望你少走。法规是死的，落地是活的。把合规映射表做在前面，比事后补救省一百倍的精力。
2.8 本章要点
- 《数据安全法》定分类义务，《个保法》定敏感边界
- 等保2.0给出技术措施基线，分类等级必须与之对应
- 数据出境场景需单独评估，自动升级保护等级
- 合规映射表是审计时的护身符
- 先法规后分类，顺序错了全盘重来