中国《数据安全法》与《网络安全法》：数据分类分级、重要数据目录、等级保护（等保2.0）要求
这两部法律，是国内数据合规的「地基」。我经常跟团队说，搞懂它们，你就拿到了入场券。
《网络安全法》2017年生效，重点在「网络运行安全」。说白了，就是防黑客、防攻击、防数据泄露。而《数据安全法》2021年才来，它更关注「数据本身的安全」。你想想看，光把系统守好还不够，数据怎么用、怎么流转、怎么分级，都得管起来。
我个人习惯把这两部法看作「一体两面」——网安法管「路」，数安法管「货」。路要修得结实，货要分门别类放好。
数据分类分级：不是拍脑袋，是法定动作
《数据安全法》第二十一条明确要求：国家建立数据分类分级保护制度。这不是建议，是强制。
我在项目中遇到过不少企业，上来就问：「老师，我们该分几级？」我的回答永远是——先搞清楚你有哪些数据，再谈分级。
核心逻辑：分类是「按业务属性切分」，分级是「按危害程度定级」。先分类，后分级，顺序不能乱。
常见的分类维度包括：
- 业务维度：客户数据、员工数据、财务数据、研发数据
- 技术维度：结构化数据、非结构化数据、半结构化数据
- 合规维度：个人信息、重要数据、核心数据
分级标准呢？《数据安全法》给出了三个层级：
| 级别 | 定义 | 危害后果 |
|---|---|---|
| 核心数据 | 涉及国家安全、国民经济命脉 | 可能严重危害国家安全 |
| 重要数据 | 虽未达到核心数据级别，但仍可能危害国家安全 | 可能危害国家安全、公共利益 |
| 一般数据 | 不涉及国家安全和公共利益 | 仅影响个人或企业自身 |
嗯，这里要注意——「重要数据」是个法定概念，不是你自己拍脑袋定的。国家会发布重要数据目录，你得对照着来。
重要数据目录：你的「必查清单」
《数据安全法》要求各地区、各部门制定本行业、本领域的重要数据目录。这意味着什么？
我举个例子。你在金融行业，央行会出金融重要数据目录；你在工业领域，工信部会出工业重要数据目录。你得主动去查，而不是等出事再说。
实操建议：每年至少做一次「重要数据识别」工作。把业务系统里的数据过一遍，对照行业目录，标记出哪些属于重要数据。我习惯用Excel维护一张清单，字段包括：数据名称、所在系统、级别、责任人、保护措施。
曾经有个客户，觉得自己是中小企业，没有重要数据。结果一查，他们的用户行为数据里包含了大量地理位置信息，按行业目录属于「可能危害公共安全」的重要数据。嗯，后来他们连夜补了备案。
等级保护（等保2.0）：从「合规」到「能力」
等保2.0是《网络安全法》的直接产物。2019年正式实施，取代了老版的等保1.0。
最大的变化是什么？我总结三点：
- 覆盖范围扩大：从「信息系统」扩展到「网络基础设施、云平台、物联网、工业控制」
- 安全要求升级：从「技术+管理」变成「技术+管理+数据安全」
- 监管力度加强：不备案、不测评，直接罚款，甚至停业
等保2.0把安全保护等级分为五级：
| 等级 | 名称 | 适用对象 | 测评频率 |
|---|---|---|---|
| 第一级 | 自主保护 | 一般企业内网 | 自行评估 |
| 第二级 | 指导保护 | 中小企业核心系统 | 每两年一次 |
| 第三级 | 监督保护 | 金融、医疗、政务等 | 每年一次 |
| 第四级 | 强制保护 | 国家关键信息基础设施 | 每半年一次 |
| 第五级 | 专控保护 | 国家绝密系统 | 按需 |
大多数企业做到第三级就够了。但别小看第三级——安全技术要求包括身份鉴别、访问控制、入侵防范、数据完整性等十几个大类，每一项都有具体指标。
避坑指南：我曾经见过一家公司，等保测评过了，但半年后就被通报整改。为什么？因为他们把测评当「考试」，考完就恢复原状。等保2.0强调「持续合规」，不是一次通过就万事大吉。你得把安全措施嵌入到日常运维里。
三者的关系：一张图说清楚
数据分类分级、重要数据目录、等级保护，这三者不是孤立的。我画了一张图，帮你理清逻辑：
你看，数据分类分级是起点。它帮你识别出哪些是重要数据。然后，重要数据目录告诉你这些数据该怎么管。最后，等级保护2.0为这些数据所在的系统提供安全防护。三者缺一不可。
落地建议：从哪开始？
如果你现在从零开始，我建议按这个顺序走：
- 第一步：盘点数据资产。搞清楚你有哪些数据，存在哪，谁在用。
- 第二步：对照行业重要数据目录，标记出重要数据和核心数据。
- 第三步：确定系统等级，启动等保2.0定级备案。
- 第四步：根据分级结果，制定差异化的安全策略。
- 第五步：建立持续监控和定期复审机制。
一个小技巧：我习惯用「数据安全矩阵」来管理。横轴是数据分类，纵轴是安全等级，交叉点就是保护措施。比如「客户数据+重要数据」这一格，对应的措施就是加密存储、访问审计、定期备份。这样一目了然。
最后说一句——合规不是终点，是起点。真正的高手，是把合规要求变成产品能力。你想想看，如果一开始设计系统时就考虑了分类分级和等保要求，后面运维会省多少事？