重要数据 | 数据分类和分级概念解析

刘海军

提要：

数据安全法确定了数据分类分级是数据安全的基本制度，但没有定义什么是分类什么是分级，不同的法律法规、标准中对分类和分级有不同的表述，也引起了众多不同的解读和探讨，比如重要数据是一种分类还是分级？分类和分级是什么关系。本文从相关的法律法规、标准指南分析出发，深入分析和探讨数据分类和分级的内涵和关系，尝试解答这些问题，供参考了解。

1.1 众说纷纭的数据分类和分级

数据安全法提出”国家建立数据分类分级保护制度“，确定分类分级是国家治理数据安全的重要制度。在组织实务中，分类分级也是数据管理的重要基础性工作，但在数据安全法及条例征求意见稿中，并没有定义什么是分类什么是分级。看了不少谈论数据分类分级的标准、文章，发现目前对分类分级的认知还处于一种众说纷纭的状态，比如，有认为重要数据是分类的，也有认为是分级的，对敏感个人信息、一般个人信息有认为是分类的，也有认为是分级的。

在各种数据分类分级的标准中多数直接谈论如何分类分级，但对什么是分类、分级也缺乏明确的定义，包括这两个词对应的英文翻译也是各种各样，如：

图片

可以看到，同一个英文词汇classification，有标准将其对应到分类，也有标准对应到分级。我为什么特别提到英文翻译呢？我个人认为，对分类、分级概念的混乱一方面是因为缺乏明确的共识定义，另一方面也和英文中最初的用法有一定关系。

美国政府在总统行政令EO 13526里将国家安全保密信息分为Top Secret、Secret、Confidential三个级别，统称为classified information（这里的information和data，以及本文其它地方提到的个人信息和个人数据，information和data两词在没有可影响其内涵的区别场景下不做区分），不涉及保密的数据称为unclassified。中国的保守国家秘密法也是将“国家秘密的密级分为绝密、机密、秘密三级”。这里问题来了，分为三个密级数据的行动或过程是数据分级呢？还是数据分类？按中国语境，显然是分级；美国语境下含义也是分级，但其用语表达是classify/classification，对classified information翻译有直译为分类信息，也有意译为机密信息的。

看看牛津英汉双解词典里classify/classification的解释和翻译：

classify - to arrange sth in groups according to features that they have in common 将 ...分类；将...归类classification - the act or process of putting people or things into a group or class 分类、归类、分级

可以看出classify/classification主要是分类，其次也有分级的含义。由于美国在安全领域的极大影响力，做信息安全工作的基本都学过或受美国NIST或其它标准指南的影响，这很可能是对分类分级概念混淆的源头之一。

接下来，我再来分析一下到底应该如何理解分类和分级。

1.2 理解数据分类

在数安法和条例（征求意见稿）里都没有对分类和分级进行定义，在一些标准或指南里也是直接提出分类和分级的方式，但没有对其进行定义。我梳理了一下有定义的一些标准，有：
标准
相关定义
ISO 15489-1:2016 信息和文档-记录管理-第1部分：概念和原则
ISO/DIS 4669 文档管理-信息分类、标记和处理 classification: 依据逻辑结构约定、方法和过程规则，系统化地对业务活动/记录/信息资产进行识别和/或安排到类别中
国家标准《GB/T 38667-2020 信息技术-大数据-数据分类指南》大数据分类big data classification: 根据大数据的属性或特征,将其按一定的原则和方法进行区分和归类,并建立起一定的分类体系和排列顺序的过程
贵州地方标准《DB 52/T 1123-2016 政府数据-数据分类分级指南》政府数据分类 government data categorization: 根据政府数据的属性或特征，将其按照一定的原则和方法进行区分和归类，并建立起一定的分类体系和排列顺序，以便更好的管理和使用政府数据的过程

综合以上的定义或表述，可以将数据分类的定义归纳为：根据数据的属性或特征，按照一定的原则和方法进行区分和归类，并建立起一定的分类体系和排列顺序，以便更好的管理和使用数据的过程。

因为数据天然具备不同的属性和特征，也必然存在不同的管理主体，出于不同的管理目的、基于不同的数据属性或特征对数据采用不同的分类方法。例如：对于一个打工人的数据来说，有毕业学校及专业、工作部门、户籍地址等等各种各样的属性，出于不同的管理目的，可以用不同的属性来作为数据管理的主分类方式：

就学校来说：院系、专业、班级等可以作为学生管理数据的一个主分类方式；就工作单位来说：工作部门的层级（一级部门、二级部门…）可以是员工管理的一个主分类方式；就社区来说：居住省份、地市、区县、社区、居委会可以是居住人员管理的一种主分类方式。

因此数据分类一定是以各种各样的方式并存的，不存在唯一的分类方式，分类方法的采用因管理主体、管理目的、分类属性或维度的不同而不同。

因此，我们在实践中可以看到各种各样的分类，例如：

从业务开展使用数据的视角，看到的是数据的业务特征，比如某企业内有研发、制造、销售、人力资源等部门，大量数据的产生天然就具备业务相关的特征，很自然的数据分类方式就是按业务分类：研发数据、制造数据、销售数据等等。从IT部门/数据管理部门视角，关注的不是业务分工，而是数据自身在IT系统里如何承载、管理、呈现，所以有IT/数据管理部门将数据分类为结构化数据、非结构化数据，主数据、交易数据、元数据等。工信部《工业数据分类分级指南（试行）》里提到的分类方式是：”工业数据分类维度包括但不限于研发数据域（研发设计数据、开发测试数据等）、生产数据域（控制信息、工况状态、工艺参数、系统日志等）、运维数据域（物流数据、产品售后服务数据等）、管理数据域（系统设备资产信息、客户与产品信息、产品供应链数据、业务统计数据等）、外部数据域（与其他主体共享的数据等）“

在组织内，业务部门有业务部门的数据分类方法，作为安全管理部门来说，数据分类必然也是要服务于安全管理的目的，而最重要的安全管理目的就是能够指导对数据进行分级，然后基于分级进行相应的安全防护和管控。

1.3 理解数据分级

先看看分级是如何定义或表述的：

数据安全法

第二十一条　国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。

网络数据安全管理条例（征求意见稿）

第五条 国家建立数据分类分级保护制度。按照数据对国家安全、公共利益或者个人、组织合法权益的影响和重要程度，将数据分为一般数据、重要数据、核心数据，不同级别的数据采取不同的保护措施。

在国家标准《GB/T 25069-2010信息安全技术术语》中，没有定义信息或数据分级，但有安全分级的定义，其内涵实际上是包括了信息的分级：

安全分级（security classification）:根据业务信息和系统服务的重要性和受损影响，确定实施某种程度的保护，并对该保护程度给以命名。依据访问数据或信息需求，而确定的保护程度，同时赋予相应的保护等级。例：“绝密”、“机密”、“秘密”。

单从分级的定义和表述来看，非常明确，数据分级就是依据数据的重要程度和影响程度进行的，分级的结果就是区分出了不同等级，进而进行不同等级的保护。

但将分类分级放在一起谈的时候，就引起了分类和分级之间关系的争议和分歧。

1.4 探讨数据分类和分级间的关系

看上面引用的关于分类分级的条文，不知是否注意到了一个细节，同样是在讲分类分级保护制度：

数据安全法里第21条的提法是分类分级而到了网络数据安全管理条例（征求意见稿）的第5条里，只提了分级而没提分类

另外，在网络安全法提到数据保护时，以及个人信息保护法里，都是没有提分级，只提了分类。

网络安全法第21条第四款：采取数据分类、重要数据备份和加密等措施个人信息保护法等51条第二款：对个人信息实行分类管理

可以看到在法律法规、标准指南里有时提分类、有时提分级、有时分类分级并提，这正是对于分类和分级引起困惑和讨论的地方。

从本文前面的分析得出的结论：分类是根据数据的属性或特征进行的，也必然存在不同的管理主体，出于不同的管理目的、基于不同的数据属性或特征对数据进行不同的分类方法。再看一下数据安全法第21条和网络数据安全条例（征求意见稿）第5条的表述，都提到了依据数据的重要程度和影响程度，重要程度和影响程度正是安全监管部门（对于国家来说）和安全管理部门（对于组织来说）关注的，重要和影响程度是数据的众多属性之一，分级的目的是分等级保护和管控。因此，我认为可以得出结论：

首先从分类分级的目的和概念上、跳出安全管理范畴站在更高的视角来说：

分类和分级并非简单并列的关系，分类是外延更广、应用范围更广泛的概念，分类可以有多种依据；

分级是安全管理部门、为了安全保护和管控的目的，依据重要性和影响程度而进行的分类，这种分类结果有等级差异；

其它管理主体、为了其它管理目的、依据其它属性和特征进行分类是一般意义上的分类，这种分类结果是没有等级差异的；

换个表达方式说，依据数据的重要性和影响程度进行的分类就是分级，分级是多种分类方式中的一种。

基于上面的认识，当我们默认是在安全保护语境内谈论数据安全问题时，分类分级实质上是一回事，安全分类=分级。这或许正是有时讲分类、有时讲分级、有时合并一起讲分类分级，虽然没有定义，但都知道在说什么的原因。

“分级是分类的一种方式”的看法，从DAMA （国际数据管理协会）的DMBOK (DAMA数据管理知识体系）里的表述可以得到印证。DMBOK没有对数据分类进行定义，但在说明数据分类时表示：

任何管理系统都需要对被管理对象进行分类，数据可以依据数据类型 （type of data，例如：事务数据、参考数据、主数据、元数据等）、或数据内容（例如：数据主题领域）、或数据格式、或数据所需的保护级别，也可以依据如何以及哪里保存和访问数据来分类。

从上面这段话可以看出，DMBOK认为分类可以有多种依据，其中之一就是数据所需的保护级别。DOMBOK说的依据数据所需的保护级别，与前面分析中提到的依据数据的重要性和影响程度实质是一回事，如果实在要说区别，可以说依据重要性和影响程度可以得出所需保护级别。总之，这里的含义就是：依据数据所需保护级别进行分类就是分级，分级是多种分类方式中的一种。

既然说安全分类=分级，是否可以只谈分类或分级？我认为这涉及到另一个视角的问题了。

其次，在安全管理的视角、开展工作层面来说，不论是分类还是分级，目的都只是一个，区分出保护等级。

场景1：在安全管理视角下，只谈分类或只谈分级，这种场景下的分类默认是安全分类，谈分类等于谈分级

例如在个人信息保护法中，只提出了要对个人信息进行分类管理，虽然没有明确说如何分类，但实际是分了两类：一般个人信息、敏感个人信息。从对敏感个人信息的定义上可以看出，本质上是依据对个人影响程度的等级差异，因此这个既是分类，也是分级，其结果也是需要进行分等级的保护和管控。如处理敏感个人信息需要取得个人的单独同意就是比一般个人信息要求更高的管控；在实践中，对敏感个人信息通常也会采取比一般个人信息更高等级的安全保护措施，包括更严格的访问控制、加密等。

场景2：在安全管理视角下，将分类和分级视为两个不同的活动，那么这种场景下分类是过程或方法，分级是结果或目的。

例如在美国的国家安全保密信息总统行政令里，对于classification有两个概念，一个是classification categories(分类目录)，文件中给出了军事、情报、科技等8个类别；另一个是classification level（分类级别/分级），就是绝密、机密、秘密3个等级。并且明确指出将政府信息列入classified必须满足的条件之一就是落入8个指定目录类别中的一个或多个。在这里，分类显然是分级的一个条件或前置步骤。这8个分类目录显然并非是政府信息的目录类别的全部。比如，在受控非机密信息（CUI，Controlled Unclassified Information）中，信息的分类目录就有20个大类（如能源、金融等）和125个子类。因此，我认为，从安全管理视角的分类目的是为了方便将业务数据进行分级的一个步骤或过程，其分类和业务的总体分类有很强的相关性，但不一定完全等同。

根据数据安全法的要求，各地区、各部门需要制定重要数据目录，可以认为，这个目录就是分类目录。因为后来又出来个核心数据。那么对于组织来说，根据核心数据、重要数据目录去识别具体的数据是核心数据、重要数据还是一般数据的过程就是定级过程。

通信行业行标《YD/T 3751-2020 车联网信息服务-数据安全技术要求》中，是先将数据分类为基础属性类、车辆工况类、环境感知类等以及若干子类，然后每类数据中都再分了一般数据、重要数据、敏感数据三个等级（注，此重要数据非数安法里的重要数据）。

对于个人信息保护方面，通信行业行标《YD/T 2781-2014 电信和互联网服务-用户个人信息保护-定义及分类》中将用户个人信息先分为用户身份证明类信息、用户数据和服务内容信息、用户服务相关信息等3大类6子类13细类，然后在《YD/T 2782-2014 电信和互联网服务-用户个人信息保护-分级指南》里对每个细类分配给5个不同的敏感等级，比如用户身份证明细类中的身份证复印件分级为最高的敏感等级5级，用户级别资料细类中的身份证号分级为到敏感等级4级。

分析过数据分类和分级的关系，再来看数据分类和分级对应的英文，我个人认为如果单独谈分类、分级，用classification是没有问题的，但如果把两个放在一起谈论的时候，分类用categorization、分级用classification比较好。

1.5 小结

对于数据分类和分级概念造成比较混乱的原因一方面是缺乏明确的有共识的定义，另一方面是英文大量使用的classify/classification这个词本身就有多重含义。

数据分类是根据数据的属性或特征，按照一定的原则和方法进行区分和归类，并建立起一定的分类体系和排列顺序，以便更好的管理和使用数据的过程。依据数据的重要性和影响程度进行的分类就是分级，分级是多种分类方式中的一种。

分级概念比较单一明确，分类概念外延更广，分类在不同场景下有不同的内涵，谈论分类必须结合场景。在安全管理视角下，如果只谈分类或只谈分级，这种场景下的分类默认是安全分类，谈分类等于谈分级；如果将分类和分级视为两个不同的活动，那么这种场景下分类是过程或方法，分级是结果或目的。

最后，现在再来看”重要数据是分类还是分级“这个问题就比较清楚了：谈论分类还是分级的时必须要看场景，必须有相比较的对象，然后从其比较依据来确定是分类还是分级，如果依据是重要性和影响程度，则是分级，否则是分类。

在网络安全法里，并列提及重要数据和个人数据的时候，重要数据和个人信息之间是一种分类，这个分类不能表示两者之间谁更重要，只是表示需要监管的两类数据；但把重要数据和个人信息作为需要监管的数据整体来和一般数据比的话，就是分级。在网络数据安全管理条例（征求意见稿）里提及核心数据、重要数据、一般数据时，重要数据是一种分级，它和其它级别数据相比，重要程度、影响程度不同因而需要有不同的保护级别。

重要数据 | 数据分类和分级概念解析相关推荐

DLP数据丢失防护/数据防泄漏隐私保护概念解析
DLP数据丢失防护/数据防泄漏隐私保护概念解析预防数据丢失 Data Loss Prevention 数据丢失是有意或无意地将信息发布到不受信任的环境. 预防数据丢失(DLP), 也称为数据泄漏预 ...
四.MongoDB 概念解析
1.MongoDB 概念解析不管我们学习什么数据库都应该学习其中的基础概念,在mongodb中基本的概念是文档.集合.数据库,下面我们依次介绍. 下表将帮助您更容易理解Mongo中的一些概念: SQ ...
Webpack核心概念解析
原文链接:banggan.github.io/2019/05/09/- Webpack核心概念解析终于忙完了论文,可以愉快的开始学习了,重拾起重学前端.webpack以及Vue的源码解读作为入职前的 ...
Apache Flink 零基础入门（一）：基础概念解析
Apache Flink 的定义.架构及原理 Apache Flink 是一个分布式大数据处理引擎,可对有限数据流和无限数据流进行有状态或无状态的计算,能够部署在各种集群环境,对各种规模大小的数据进行 ...
Python中最常用的 14 种数据可视化类型的概念与代码
写在前面收集数据后,需要对其进行解释和分析,以深入了解数据所蕴含的深意.而这个含义可以是关于模式.趋势或变量之间的关系. 数据解释是通过明确定义的方法审查数据的过程,数据解释有助于为数据赋予意义并得 ...
Spring Boot笔记-get请求发送json数据（方便前端vue解析）
目录基本概念代码与实例基本概念这里有一个思路,后端只发送Json数据,前端vue去解析.这样的话,就可以做到前后端分离,耦合性就很低了. 代码与实例程序运行截图如下: 得到后,使用vue去解 ...
Java中堆、栈、常量池等概念解析
Java中堆.栈.常量池等概念解析程序运行时,我们最好对数据保存到什么地方做到心中有数.特别要注意的是内存的分配.有六个地方都可以保存数据: (1) 寄存器.这是最快的保存区域,因为它位于和其他所有 ...
Docker——使用docker工具管理软件/组件的运行，镜像、容器、数据卷的基本概念，常用指令，使用docker搭建Java微服务运行环境
Docker--使用docker工具管理软件/组件的运行,镜像.容器.数据卷的基本概念,常用指令,使用docker搭建Java微服务运行环境一.docker的安装和卸载 1.卸载 2.安装 3. 导 ...
CDGA|数据治理中数据如何分类分级呢？
CDGA|数据治理中数据如何分类分级呢? 数据分类是数据管理的第一步,如果企业不对数据进行分类分级,就谈不上数据治理和数据保护,甚至都不会清楚企业到底有哪些数据,更别说要了解哪些是敏感数据,以及他们都 ...
单片机编程软件很简单(22)，keil单片机编程软件优化等级+概念解析
单片机编程软件是单片机使用过程中不可缺少的一环,因此对于单片机编程软件,相关人员应当具备一定了解.往期文章中,小编对单片机编程软件有过诸多介绍.本文对于单片机编程软件的介绍基于两点:1.keil单片机 ...

重要数据 | 数据分类和分级概念解析

重要数据 | 数据分类和分级概念解析相关推荐

最新文章

热门文章