数据分类分级，为什么总在落地时卡住

数据分类分级是数据安全工作的起点，也是最容易「做完了却没用」的一步：目录交付了、文件归档了，业务系统里一切照旧。

下面是我们看到的四个卡点。

卡点一：标准照抄，脱离业务

直接套用行业模板，类目看起来很全，但和本单位的业务对不上：业务人员看不懂，技术人员不知道某张表该归到哪一类。

做法： 以国家标准 GB/T 43697-2024《数据安全技术 数据分类分级规则》和行业规范为框架，但类目要从本单位的业务场景里长出来，用业务人员熟悉的说法。定稿前拿几个真实系统试分一遍，分不下去的地方就是要改的地方。

卡点二：只做目录，不落系统

分类分级的结果停留在表格里，没有对应到具体的库、表、字段，更没有打到系统的标签上。

做法： 交付物不只是目录，而是「目录 + 落到核心系统的结果」。先选几个核心系统，把重要数据精确到字段，形成可以被工具和权限系统读取的结果。

卡点三：分级结果没有连到管控

数据分了级，但不同级别的数据在访问权限、审批、脱敏、留痕上没有区别，分级就失去了意义。

做法： 在定级的同时定好每个级别对应的管控要求——谁能访问、要不要审批、是否脱敏、是否留痕，并在制度和权限配置里落实。

卡点四：一次性项目，没人维护

业务在变，系统在变，分类分级结果过半年就过时了，因为没有人负责更新。

做法： 从一开始就明确维护责任和更新机制：新系统上线、数据结构变化时谁来更新，多久复核一次。必要时用工具定期扫描，发现新增的敏感数据及时补充。

小结

分类分级不是一份文件，而是一套持续运转的机制：业务化的类目、落到系统的结果、对应级别的管控、有人负责的更新。四样缺一样，就会在落地时卡住。

本文结合我们编制数据分类分级实施指南（团体标准）并做试点验证的经验总结。