GB/T 35273 标准概述与背景
数据分类分级这件事，说白了就是给每一份数据贴上标签、定好级别。
为什么要这么做？因为数据丢了、用错了，后果很严重。我刚开始做数据安全那会儿，很多公司连数据资产清单都没有。数据放在哪、谁在用、敏感不敏感，一概不知。
这种状态，就像你家里门没锁、窗户开着，然后问自己“我家安全吗”？所以，一个统一的标准非常重要。
今天咱们就来聊聊这个标准——GB/T 35273。
2.1 标准发布历程：从无到有
我记得2017年，GB/T 35273 第一次发布。那时候业内几乎没什么统一的数据分类分级标准。
大家各搞各的。有的按保密级别分，有的按业务属性分，有的干脆不分类。我去一家金融企业做安全评估，发现他们的数据标签全是手工填的Excel，而且已经三年没更新过。
标准发布后，至少有了个统一的参照点。
| 时间 | 事件 | 主要内容 |
|---|---|---|
| 2017 年 | 初次发布 | 提出个人信息安全规范，明确分类分级原则 |
| 2020 年 | 第一次修订 | 增加个人信息影响评估、数据删除等细则 |
| 2023 年 | 配套文件发布 | 数据分类分级指引、网络安全等级保护关联标准 |
个人技巧：标准更新后，最好把老版本的标注留在旁边做对比。我在做合规审计时，经常看到企业还在用2017版的老规则，导致新要求全没覆盖。
2.2 核心思想：个人信息处理的“基本法”
GB/T 35273 的核心思想其实不复杂。你想想看，它要解决三个问题：
- 个人信息该不该收？ —— 也就是必要性原则。能少收就少收，能不收就不收。
- 收完之后怎么用？ —— 要公开透明，用户授权、用途明确。
- 如果出事了怎么办？ —— 要有应急处理、影响评估、脱敏之类的兜底措施。
说白了，这就是一条“最小化收集 + 合法合规使用 + 安全兜底”的路径。我在项目中遇到过一家电商公司，他们把所有用户数据都拉到自己的大数据平台，连用户的浏览器收藏夹都存着。结果呢？被取证调查时发现根本没权限控制存了哪些数据。
核心要点：不是所有数据都需要分类分级。只有那些能够单独或者结合其他信息识别出特定自然人的数据，才属于标准管控范围。别把公司内部的花名册、会议室预定记录也算进去。
2.3 与其他标准的关系：一张清晰的“标准家族图谱”
GB/T 35273 不是孤立的。国内有一整套数据安全标准体系，它们之间互相补充、互相印证。
我经常被问到：“老师，GB/T 35273 和 GB/T 38667 有什么区别？” 嗯，这是个好问题，我详细说一下：
| 标准编号 | 标准名称 | 与 GB/T 35273 的关系 |
|---|---|---|
| GB/T 35273 | 个人信息安全规范 | 数据分类分级的“母标准”，定义了基础规则 |
| GB/T 38667 | 大数据安全管理指南 | 在大数据环境下，对 35273 进行扩展和细化 |
| GB/T 39335 | 个人信息安全影响评估指南 | 针对 35273 的评估环节，提供具体方法 |
| GB/T 41479 | 数据安全能力成熟度模型 | 衡量企业数据安全能力的成熟度，与 35273 的要求对应 |
我曾经踩过的坑：有次做项目，我们照搬了 GB/T 38667 的大数据分类规则，直接套用到一个小型电商平台上。结果发现很多规则根本不适用，因为平台的数据量级、用户规模完全达不到大数据级别。标准之间可以引用，但不能机械套用。一定要根据自己企业的实际场景做裁剪。
所以，你问我怎么选标准？我的建议是：
- 如果你只是做基本的个人信息保护，GB/T 35273 足够了。
- 如果你的系统处理海量用户数据，要同时参考 GB/T 38667。
- 如果你要做合规审计或安全评估，再补上 GB/T 39335 和 GB/T 41479。
嗯，这里要注意：这些标准不是替代关系，而是层级递进关系。你不可能跳过 GB/T 35273 直接去执行 GB/T 38667，因为连基础的分类分级都没做，大数据安全根本无从谈起。