📚 课程目录第2章法规与标准体系

法规与标准体系：数据安全法、个人信息保护法、等保2.0、行业监管要求对分类分级的约束

说实话，很多团队一开始做分类分级，上来就画资产清单、贴标签、定级别。干到一半才发现——

「我这个级别合规吗？监管认吗？」

这时候返工，成本就大了。我个人习惯是：先把法规的约束边界摸清楚，再动手。法规不是分类分级的对立面，而是你的护栏。本章我们就聊聊这四层约束到底怎么落地。

数据安全法第21条，是分类分级工作的法律原点。它定了一个大框架：国家建立数据分类分级保护制度。

但注意，它没有直接告诉你「怎么分」。它说的是——

我在项目中遇到过一家电商公司，他们觉得「我们又不受数据安全法管」。结果呢？上了重要数据目录。他们手里有大量用户的交易行为数据，被地方网信办认定属于金融类重要数据。嗯，合规红线从来不是按公司规模画的。

核心要点：

个保法对分类分级的约束，更具体。它直接介入你的分类粒度。

你看第51条：处理个人信息应当采取分类分级措施。这里的「分类分级」不是泛指，而是指——

说白了，个保法把你的分类结果直接映射到了保护义务上。你分得粗，保护就粗？不行。法律对敏感信息的保护义务是不可降级的。

我建议：在做个人信息分类时，直接把个保法的「敏感个人信息清单」作为分类标签的顶层约束。这样你后面做访问控制策略时，直接对号入座。

等保2.0和前面两部法律的关系是什么？我个人理解：等保是执行层。

数据安全法说了要分级保护，个保法说了要分类管理，等保2.0告诉你——怎么在系统层面实现。

你看等保2.0的扩展要求（数据安全部分）：

这就意味着：你的分类分级结果，要能映射到等保等级上。如果某个业务系统存储了重要数据，它的等保级别就不能低于三级。

我记得有个客户，他们的人事系统存了全员的身份证号、工资、绩效评估，但等保只做到二级。我一看就说不行——你们这是敏感个人信息+重要数据，二级等保的安全控制粒度不够。后来他们花了三个月整改，升到了三级。

避坑指南：我曾经见过把等保等级和数据敏感等级混为一谈的团队。等保是系统维度的安全能力分级，数据分类分级是数据维度的资产定级。两者可以映射，但不能直接取代。

国家法律是通用框架，行业监管才是你每天要面对的具体「考官」。

看到了吗？每个行业的监管文件，都是在一个通用框架上叠了行业特有的约束。你做分类分级时，如果只看国家法律不看行业要求，大概率会被打回来。

到这里你可能会问：这么多层约束，怎么整合到一个分类分级体系里？

我的做法是——分层映射，不重复建设。

    底层：按行业监管要求建立分类分级框架（决定你分几级、分哪些类）
中间层：按数据安全法识别重要数据和核心数据（法律底线不可触碰）
顶层：按个保法对个人信息进行敏感度标注（保护义务不可降级）
技术落地：按等保2.0将分级结果映射到系统安全措施

你想想看，这四层不是串联关系，而是层层嵌套的关系。你的分类分级体系，必须在每个层次上都经得起检查。

这张图我放在很多培训里讲过。每次我都说一句话：从下往上建体系，从上往下做检查。先看行业要求定框架，再叠法律底线，最后用等保做技术落地。反过来，合规审计时，从顶层法律开始查，看你的体系是否满足每一层约束。

我曾经：在一个金融科技项目里，他们按照金融行业指引做了五级分类，但没有同步对照数据安全法的重要数据目录。结果监管检查时发现，有一类交易数据已经被列入重要数据目录，但他们只按金融三级的常规要求保护。这个教训就是——行业标准和法律底线，缺一不可。

很多团队问我：能不能只遵守行业监管，不看数据安全法？或者说，等保做完了是不是就不用管分类分级了？

我的答案是：四层约束是乘法关系，不是加法关系。缺一层，整个合规体系就会出漏洞。

做完本章，你应该能做到三件事：