📚 课程目录第3章基本概念与术语

第三章基本概念与术语：数据资产、数据分类、数据分级、敏感数据、重要数据、核心数据

说实话，很多团队一开始做数据安全分类分级，最头疼的不是技术，而是概念打架。业务部门问“敏感数据和重要数据有啥区别”，安全部门说“核心数据是不是就是绝密级”，来回扯皮。我自己早期也踩过这个坑，项目刚启动就卡在名词定义上。所以这一章，咱们先把概念掰扯清楚。

数据资产，说白了就是企业拥有或控制的、能产生价值的数据资源。注意两个关键词：“拥有或控制”和“能产生价值”。

我个人的习惯：做资产盘点时，先把“有业务价值、有安全影响、有合规要求”的数据拎出来。那些存了一堆垃圾数据的旧表，先别急着标“资产”，否则后面分级的工作量直接翻倍。

数据分类，是按数据的业务属性或内容特征打标签。比如：用户个人信息、交易记录、生产日志、研发代码……每个类别对应不同的管理要求。

目的很直接：让数据可检索、可理解、可管理。你想想看，如果HR系统里存了一堆销售合同，财务系统里又存了员工身份证号，那数据就乱套了。

我参与过一个银行项目，他们把数据分成“客户信息”“账户交易”“风控模型”“内部运行”四大类，后来又拆出子类。分类本身不涉及安全等级，只是告诉别人“这堆数据是干什么用的”。

数据分级，是按数据的安全敏感程度或危害后果划分等级。常见的有三级、四级、五级。比如：

注意，分级和分类是两个维度。同一类数据里的不同字段，可能分到不同级别。比如“客户信息”类里，姓名可能是L2，身份证号就是L3。

我曾经踩过的坑：一开始把分类和分级混在一起，标的“客户信息-敏感级”，结果业务部门说“所有客户信息都是敏感的，不用再分级了”，导致后续管控策略一刀切，根本没区分字段。后来我坚持“先分类后分级”，先分堆，再按每个字段的安全影响打等级。

敏感数据，指的是一旦泄露、篡改或滥用，会对个人、组织甚至国家造成损害的数据。这个定义比较宽泛。

这里有个容易混淆的点：敏感数据不是某个固定的等级，而是一类数据的统称。在三级分级体系里，L3和L4都算敏感数据。但在具体法规里，敏感数据可能有特指——比如《个人信息保护法》里说的“敏感个人信息”就比我们日常说的“敏感数据”范围窄得多。

这个词来自《数据安全法》。“重要数据”特指可能影响国家安全、经济运行、社会稳定、公共健康和安全的数据。不是所有的敏感数据都是重要数据。

举个例子：某个电商平台用户的收货地址，泄露了会侵犯隐私，算敏感数据，但不算重要数据。但该平台每日交易总额、用户增长趋势、供应链关键节点的库存数据，一旦泄露可能被竞争对手用来操纵市场，那就可能被列为重要数据。

  判断标准：重要数据的核心特征是对“国家或者地区”层面的影响。企业内部再机密的数据，如果只影响公司自身，一般只算商业机密，不叫重要数据。但是呢，监管部门的目录出来之前，很多企业干脆把所有核心业务数据都标成“重要数据”，为的是合规不出错——我个人不太赞同这种懒办法。

核心数据是重要数据里最顶尖的那一撮，指的是一旦泄露、篡改、破坏，会直接危害国家安全、国民经济命脉、重要民生、重大公共利益的数据。

你可以这么记：重要数据 > 核心数据。重要数据是个大筐，核心数据是筐里最贵的那几颗钻石。比如关键信息基础设施的物理位置、国防科研项目的技术参数、国家级人口数据库的核心字段，这些才够得上核心数据。

在实际落地中，大多数企业根本碰不到核心数据——除非你做的是能源、交通、金融、国防这类行业。我曾经和一家券商沟通，他们觉得自己市场部二十年的客户交易明细“是核心数据”，但按照官方定义，这只能算重要数据（而且可能都不够重要）。

下面这张图是我自己画的概念关系图，帮你一眼看懂这些术语的层级和归属。

第三章 基本概念与术语：数据资产、数据分类、数据分级、敏感数据、重要数据、核心数据