一、这门课到底讲什么？先聊聊我的初衷
做了十几年数据安全，我见过太多企业把《GB/T 35273》当成摆设。
标准文件翻出来几十页。有人直接丢给法务。有人让IT部门自己看着办。结果呢？数据还是裸奔，合规检查一来就手忙脚乱。
为什么会这样？说白了，标准讲的是“你应该怎么做”，但没告诉你“具体怎么落地”。
这门课就是来填这个坑的。
我把自己踩过的坑、摸索出来的方法、跟监管和审计打交道的经验，全都揉进去。目标只有一个——让你看完就能动手做分类分级。
1.1 课程背景：不是你一个人在头疼
2018年《数据安全法》征求意见，我就开始研究数据分类分级。那时候圈子里都在问几个问题：
- 个人信息到底分几级？
- 敏感数据怎么定标准？
- 业务系统和合规要求怎么对齐？
我当时在一个金融科技公司负责数据治理。老板说：“你搞个分类分级方案，下周上线。”我听完就懵了。
标准里写了“根据影响程度分级”。但影响程度怎么量化？没人告诉我。只好自己摸索。
一个小插曲： 我第一次做的分类分级表，被安全审计打了回票。原因是“粒度太粗，没法落地”。从那以后我明白了一个道理：分类分级不是写文档，是要能执行。
1.2 这门课适合谁？
我在企业做培训时，发现三类人最需要这类内容：
| 角色 | 痛点 |
|---|---|
| 数据安全工程师 | 懂技术但不懂合规语言，不知道怎么对齐标准 |
| 合规/法务人员 | 懂法律条文但不懂数据流转，方案缺乏可操作性 |
| IT管理者/架构师 | 需要落地但没时间研读标准，只想拿到能用的模板 |
如果你属于上面任何一类，这门课就是为你准备的。你不需要提前背下35273的条文——我会带着你在实战中用起来。
1.3 学习目标：学完你能干什么？
我不喜欢那种“了解、理解、掌握”的虚词。直接说结果：
- 能看懂标准： 把35273里的术语直接对应到你的数据资产上
- 能动手分类： 按照业务场景给数据打标签，定级、定类
- 能通过审计： 知道监管检查时看什么，提前补好漏洞
- 能持续运营： 建立一套可持续的分类分级管理办法，不是一次性工程
注意一个常见误区： 很多人以为分类分级只是打标签，做完就完事了。我曾经也这么想。结果半年后业务系统一改版，分级全乱了，又重新梳理。分类分级应该是动态的，不是静态的。
1.4 整门课的知识体系长什么样？
我习惯把复杂的知识拆成几个模块。这门课分四块：
你看这图，从左到右，从上到下，是一个完整的闭环。不是让你一次性走完，而是每一步都能产出可交付的成果。
1.5 我怎么讲这门课？
我给自己定了三条原则：
- 不念标准： 每一条款都配一个真实案例，让你知道“这条用在哪儿”
- 不写空话： 每个方法都附带模板、工具、操作步骤，照做就行
- 不藏坑： 我摔过的跟头全说出来，你就不用再摔了
我的习惯： 每讲完一个知识点，我会给你一个“一分钟自检清单”。你拿它对照自己的现状，马上就能发现问题。这个习惯我在企业培训里用了很多次，反馈很不错。
1.6 学前准备：你需要什么？
不需要什么高门槛。做到两点就行：
- 手边有一份 GB/T 35273-2020 原文（电子版也行，课后会提供下载链接）
- 脑子里记得你们公司 主要业务系统和数据类型（比如客户信息、交易记录、日志等）
有了这两样，你就已经准备好了。剩下的我来带路。