3. 数据分类分级实战

数据分类分级是数据安全治理的起点，也是面试中区分“做过项目”和“背过概念”的高频分水岭。面试官问“你做过分类分级吗”，真正想听的不是你复述《数据安全法》第二十一条，而是你能否讲清楚：依据什么标准、怎么落地、标签怎么设计、遇到什么阻力、最终交付了什么。本章围绕这四个问题展开，并给出可直接用于面试的项目经验表达框架。

一、先分清“分类”和“分级”

分类解决“是什么”，按业务属性、数据主体、来源、用途等维度把数据归入不同类别，例如个人信息、业务经营数据、系统运维数据、公开数据。分级解决“多重要”，按一旦泄露、篡改、丢失、滥用对国家安全、公共利益、组织利益、个人权益造成的危害程度划分等级。两者是正交关系：同一类别可以有不同的级别，同一级别也可以来自不同类别。

常见误区是把分类当分级，或者只做分级不做分类。分类是分级的前提，分级是差异化管控的依据。面试中如果只谈“我们分了四级”，而不说分类维度和分级判定依据，基本会被判定为没有真正落地过。

二、标准体系：国标、行标与内部规范的衔接

落地时通常要同时参考三层标准。第一层是法律与国标，如《数据安全法》《个人信息保护法》、GB/T 43697《数据安全技术 数据分类分级规则》、GB/T 35273《个人信息安全规范》。第二层是行业标准，金融行业参考JR/T 0197，电信行业参考YD/T 3813，工业、医疗、汽车各有对应规范。第三层是企业内部规范，把外部标准翻译成可执行的判定规则和管控要求。

面试中不要只报标准编号，要说明“我们以GB/T 43697为框架，结合JR/T 0197的金融行业分级要求，裁剪出适合本企业的四级体系”。这句话能体现你理解标准之间的层级和裁剪逻辑。

三、行业落地方法：从资产盘点到达标管控

分类分级的落地不是一次性动作，而是一条链路：资产盘点 → 分类打标 → 分级判定 → 管控映射 → 持续运营。下面以一个假设的银行零售业务场景为例，说明关键环节。

第一步，资产盘点。以数据表、字段、文件目录、API接口为最小盘点单元。假设盘点出“客户信息表 customer_info”，包含字段：客户姓名、身份证号、手机号、银行卡号、账户余额、开户网点、最近登录时间。盘点时要记录数据来源系统、存储位置、责任部门、数据量级。

第二步，分类打标。按业务属性归类：姓名、身份证号、手机号属于“个人基本信息”；银行卡号、账户余额属于“个人金融信息”；开户网点属于“业务经营信息”；最近登录时间属于“系统运维数据”。分类标签建议采用“一级类-二级类-三级类”的层级结构，例如“个人信息-个人身份信息-身份证号”。

第三步，分级判定。分级不能拍脑袋，要有判定矩阵。以“影响对象 × 影响程度”为两个轴：影响对象包括个人权益、组织利益、公共利益、国家安全；影响程度分为轻微、一般、严重、特别严重。假设身份证号泄露可导致个人权益严重损害，判定为三级；账户余额泄露可导致个人财产重大损失，判定为四级；开户网点泄露影响一般，判定为二级；最近登录时间影响轻微，判定为一级。

这里给出一个可直接参考的分级判定示例表：

数据字段	分类标签	影响对象	影响程度	级别	管控要求示例
身份证号	个人信息-身份信息	个人权益	严重	三级	加密存储、脱敏展示、审批访问
账户余额	个人金融信息	个人权益	特别严重	四级	强加密、双人审批、审计留痕、禁止导出
开户网点	业务经营信息	组织利益	一般	二级	内部访问控制、日志记录
最近登录时间	系统运维数据	组织利益	轻微	一级	公开或内部共享

第四步，管控映射。级别不是标签，必须落到具体管控措施。四级数据要求加密存储、访问双人审批、操作全审计、禁止批量导出；三级要求加密存储、脱敏展示、按需授权；二级要求访问控制和日志；一级可内部共享。管控映射表是分类分级项目最有价值的交付物之一，面试时能说出“我们输出了级别到管控措施的映射矩阵”，比说“我们分了级”有说服力得多。

第五步，持续运营。数据是动态的，新字段、新系统、新业务不断产生。要建立变更触发机制：新增字段必须打标定级后才能上线；数据出境、共享、开放前必须复核级别；每半年或每年做一次全量复核。运营机制决定了项目是“一次性报告”还是“可持续能力”。

四、标签体系设计：让分类分级可计算、可继承

标签体系是分类分级的载体。设计时要遵循四个原则：层级清晰，一级类不宜超过十个，二级类控制在三到五层；命名唯一，同一含义不出现两个标签；可继承，字段级标签能向上汇总到表级、库级、系统级；可扩展，预留自定义标签位，避免业务变化时推翻重来。

一个可参考的标签结构如下：

标签ID: TAG-PI-ID-001
标签名称: 身份证号
一级类: 个人信息
二级类: 个人身份信息
三级类: 身份证号
默认级别: 三级
判定依据: 泄露可导致个人权益严重损害
管控策略: 加密存储、脱敏展示、审批访问
责任部门: 数据管理部
更新周期: 每半年复核

标签体系还要考虑与元数据管理、数据目录、权限系统的联动。理想状态下，字段打标后，权限系统能自动读取级别并执行对应策略，而不是靠人工在多个系统里重复配置。面试中如果能提到“标签驱动管控自动化”，会明显加分。

五、面试中如何回答分类分级项目经验

回答要遵循“背景—标准—方法—难点—结果”的结构，但不要机械报流水账。建议用两到三分钟讲清楚一个完整案例，重点突出你的判断和取舍。

示例表达：“我参与过某银行零售客户数据的分类分级项目。背景是监管要求年底前完成重要数据目录报送，但行内数据分散在三十多个系统，字段命名不统一。我们以GB/T 43697为框架，结合JR/T 0197裁剪出四级体系。我负责的是客户信息域的字段级打标和分级判定。具体做法是先做资产盘点，梳理出两千多个字段，然后建立‘影响对象×影响程度’判定矩阵，组织业务、合规、安全三方评审。最大的难点是业务部门认为‘开户网点’不重要，但合规认为它结合其他字段可识别到具体客户，最终我们把它定为二级并纳入组合识别场景。项目输出了字段级标签、级别到管控映射矩阵和变更触发机制，支撑了后续的数据脱敏和权限治理。复盘来看，如果更早引入自动化打标工具，盘点效率会更高。”

这个回答包含了标准依据、个人职责、具体方法、冲突处理和交付物，面试官能从中判断你是否真正参与过。避免只说“我们用了某工具”“我们分了四级”，那等于什么都没说。

最后提醒一点：面试官常追问“你们的分级和监管要求怎么对齐”“如果业务说数据不重要怎么办”“分类分级怎么和DSMM、等保衔接”。准备时要把这些延伸问题想清楚，才能从“做过”升级为“讲得明白”。