国内外数据分类分级标准
做数据分类分级，最头疼的就是面对一堆标准——到底该听谁的？说实话，每个标准都有它的出发点和适用场景。我这些年接触过不少跨区域、跨行业的数据治理项目，发现一个道理：没有万能的标准，只有合适的组合。下面我把几个核心的拎出来聊聊。
ISO/IEC 27001：信息安全管理体系的基石
ISO 27001 算是最老牌的全球性标准了。它本身不直接教你“怎么给数据分几级”，但提出了一个核心思想：基于风险评估确定保护等级。说白了，你先识别数据资产，然后评估机密性、完整性、可用性三个维度的风险，最后决定采取多强的控制措施。
我记得早年给一家跨国银行做合规咨询时，他们总部要求全球分支机构按 ISO 27001 做数据分类。可问题是，每个国家的法律要求不一样。当时我们把 ISO 27001 的“资产分类与控制”控制项（A.8.2）拆解成三级：公开、内部、机密。但到了中国发现涉及客户金融信息，还得额外叠加等保的要求。嗯，这就是标准融合的典型场景。
GDPR：个人数据分类分级的“排头兵”
欧洲的 GDPR 对数据分类分级的贡献在于——它把个人数据这个类别界定得非常清楚。普通个人数据、特殊类别数据（比如生物识别、健康、政治观点）的区分，直接决定了你该上多少保护成本。
比如，“姓名+电话”算普通个人数据，加密传输就行；但“指纹+医疗诊断”就是特殊类别，基本要全生命周期加密加权限管控。我参与过一个中欧合资的项目，客户问我们：中国法律没特殊类别这个概念，怎么对标 GDPR？我建议他们看国标 GB/T 35273，里面也有“个人敏感信息”的概念，两者虽然有差异，但处理原则是相通的。
等保2.0：国内信息系统安全定级的“硬杠杠”
等保2.0虽然主体是信息系统安全等级保护，但它附带的数据定级方法很实用。等级保护定级主要看系统遭受破坏后对国家安全、社会秩序、公共利益的影响程度，分成第一级到第五级。
举个例子，一个政务信息系统，如果数据被篡改可能影响大量公民办事，定级至少是第三级。这时候数据的分类分级就要跟着系统的等级来——系统定了三级，里面跑的核心数据默认按“重要数据”或“敏感数据”处理。我曾经碰上客户觉得“系统定三级而已，数据没那么重要”，结果等保测评时被审计揪出来，差点过不了。我的建议是：数据分类分级要与系统定级联动，不能两张皮。
国标 GB/T：本土化的操作手册
国内这几年出的国标非常接地气。最有名的是 GB/T 39335—2020《信息安全技术 数据安全能力成熟度模型》 和 GB/T 35273—2020《个人信息安全规范》。前者给出了数据分类分级的一般方法和安全能力评估维度，后者专门针对个人信息提出了敏感信息划分标准。
我个人的经验是，国标的优势在于它直接告诉你“具体怎么分”。比如 GB/T 39335 里有个“数据分类分级生命周期模型”，从采集、存储、使用到销毁，每个阶段对分级的要求都列得清清楚楚。这比国际标准那种“你看着办”的风格友好多了。
四类标准的对比与选型
下面这个表格我经常在项目里用，直观对比这些标准对数据分类分级的要求差异。
| 标准 | 核心概念 | 分类分级方法 | 典型应用场景 |
|---|---|---|---|
| ISO 27001 | 信息资产分类与控制 | 按资产价值与风险定级（一般3~5级） | 跨国企业、ISO认证合规 |
| GDPR | 个人数据 & 特殊类别数据 | 按数据性质分两级（普通/特殊），再结合处理目的 | 欧盟市场业务、隐私保护专项 |
| 等保2.0 | 系统等级一至五级 | 系统定级后，数据分级自动对应（常用三级制） | 政府、国企、关键信息基础设施 |
| GB/T 39335 | 数据安全能力与分类分级 | 推荐三级制（一般、重要、核心），含具体划分标准 | 国内企业数据治理、数据安全评估 |
你想想看，如果我是一个刚入行的数据治理工程师，该从哪个入手？我个人路线是：先读 GB/T 39335 把分级思路理清，然后用等保2.0作为系统级安全底座，再根据业务是否涉及跨境或 GDPR 按需补充。不要把精力花在纠结“哪个标准对”上——它们不是互斥的，而是可以组合使用的。