数治入门 | DG篇：数据分类分级从个人信息、网络、金融、政务等有关标准开始（附下载）

2021年9月1日，《中华人民共和国数据安全法》正式施行，明确规定“国家建立数据分类分级保护制度”，提出“根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护”。

开展数据分类分级保护工作时，首先需要对数据进行分类和分级，然后对不同类别不同级别的数据建立相应的全流程数据安全保护措施。国家层面相继出台多项数据分类分级标准规范，多地分别发布公共数据开放分级分类试行指南，为落实数据分类分级管理提供指导性参考。

事实上，数据作为重要生产要素之一，依法采取严密的监管措施，建立完善的数据安全防护体系，保障数据安全，是企业必须要承担的责任。建立数据安全防护体系的第一步就是梳理数据资产进行分类分级。只有做好分类分级工作，对不同分类不同密级的数据采取不同的安全防护措施，才能做好数据全流程动态保护。

数据分类是数据保护工作中的一个关键部分，是建立统一、准确、完善的数据架构的基础，是实现集中化、专业化、标准化数据管理的基础。行业机构按照统一的数据分类方法，依据自身业务特点对产生、采集、加工、使用或管理的数据进行分类，可以全面清晰地厘清数据资产，对数据资产实现规范化管理，并有利于数据的维护和扩充。数据分类为数据分级管理奠定基础。

数据分级是以数据分类为基础，采用规范、明确的方法区分数据的重要性和敏感度差异，并确定数据级别。数据分级有助于行业机构根据数据不同级别，确定数据在其生命周期的各个环节应采取的数据安全防护策略和管控措施，进而提高机构的数据管理和安全防护水平，确保数据的完整性、保密性和可用性。

在这里从国家、行业以及地方出台的，有关个人信息、网络、金融、政务等各项数据分类分级标准和指南进行简单汇总，希望能起到帮助。

个人信息

近年，随着信息技术的快速发展和互联网应用的普及，越来越多的组织大量收集、使用个人信息，给人们生活带来便利的同时，也出现了对个人信息的非法收集、滥用、泄露等问题，个人信息安全面临严重威胁。

《信息安全技术 个人信息安全规范 GB/T 35273-2020》本标准针对个人信息面临的安全问题，根据《中华人民共和国网络安全法》等相关法律，规范个人信息控制者在收集、存储、使用、共享、转让、公开披露等信息处理环节中的相关行为，旨在遏制个人信息非法收集、滥用、泄漏等乱象，最大程度地保障个人的合法权益和社会公共利益。

个人信息

个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，如姓名、出生日期、身份证件号码、个人生物识别信息、住址、通信通讯联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等。

判定某项信息是否属于个人信息，应考虑以下两条路径:一是识别，即从信息到个人，由信息本身的特殊性识别出特定自然人，个人信息应有助于识别出特定个人。二是关联，即从个人到信息，如已知特定自然人，由该特定自然人在其活动中产生的信息(如个人位置信息、个人通话记录、个人浏览记录等)即为个人信息。符合上述两种情形之一的信息，均应判定为个人信息。

个人基本资料	个人姓名、生日、性别、民族、国籍、家庭关系、住址、个人电话号码、电子邮件地址等
个人身份信息	身份证、军官证、护照、驾驶证、工作证、出入证、社保卡、居住证等
个人生物识别信息	个人基因、指纹、声纹、掌纹、耳廓、虹膜、面部识别特征等
网络身份标识信息	个人信息主体账号、IP 地址、个人数字证书等
个人健康生理信息	个人因生病医治等产生的相关记录，如病症、住院志、医嘱单、检验报告、 手术及麻醉记录、护理记录、用药记录、药物食物过敏信息、生育信息、以 往病史、诊治情况、家族病史、现病史、传染病史等，以及与个人身体健康 状况相关的信息，如体重、身高、肺活量等
个人教育工作信息	个人职业、职位、工作单位、学历、学位、教育经历、工作经历、培训记录、 成绩单等
个人财产信息	银行账户、鉴别信息(口令)、存款信息(包括资金数量、支付收款记录等)、 房产信息、信贷记录、征信信息、交易和消费记录、流水记录等， 以及虚拟 货币、虚拟交易、游戏类兑换码等虚拟财产信息
个人通信信息	通信记录和内容、短信、彩信、电子邮件，以及描述个人通信的数据(通常 称为元数据)等
联系人信息	通讯录、好友列表、群列表、电子邮件地址列表等
个人上网记录	指通过日志储存的个人信息主体操作记录，包括网站浏览记录、软件使用记 录、点击记录、收藏列表等
个人常用设备信息	指包括硬件序列号、设备 MAC 地址、软件列表、唯一设备识别码(如IMEI/Android ID/IDFA/OpenUDID/GUID/SIM 卡 IMSI 信息等)等在内的描 述个人常用设备基本情况的信息
个人位置信息	包括行踪轨迹、精准定位信息、住宿信息、经纬度等
其他信息	婚史、宗教信仰、性取向、未公开的违法犯罪记录等

个⼈敏感信息

个人敏感信息是指一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。通常情况下，14岁以下(含) 儿童的个人信息和涉及自然人隐私的信息属于个人敏感信息。可从以下角度判定是否属于个人敏感信息：

泄露：个人信息一旦泄露，将导致个人信息主体及收集、使用个人信息的组织和机构丧失对个人信息的控制能力，造成个人信息扩散范围和用途的不可控。某些个人信息在泄漏后，被以违背个人信息主体意愿的方式直接使用或与其他信息进行关联分析，可能对个人信息主体权益带来重大风险，应判定为个人敏感信息。例如，个人信息主体的身份证复印件被他人用于手机号卡实名登记、银行账户开户办卡等。

非法提供：某些个人信息仅因在个人信息主体授权同意范围外扩散，即可对个人信息主体权益带来重大风险，应判定为个人敏感信息。例如，性取向、存款信息、传染病史等。

滥用：某些个人信息在被超出授权合理界限时使用(如变更处理目的、扩大处理范围等)，可能对个人信息主体权益带来重大风险，应判定为个人敏感信息。例如，在未取得个人信息主体授权时，将健康信息用于保险公司营销和确定个体保费高低。

个人财产信息	银行账户、鉴别信息(口令)、存款信息(包括资金数量、支付收款记录等)、 房产信息、信贷记录、征信信息、交易和消费记录、流水记录等，以及虚 拟货币、虚拟交易、游戏类兑换码等虚拟财产信息
个人健康生理信息	个人因生病医治等产生的相关记录，如病症、住院志、医嘱单、检验报告、 手术及麻醉记录、护理记录、用药记录、药物食物过敏信息、生育信息、 以往病史、诊治情况、家族病史、现病史、传染病史等
个人生物识别信息	个人基因、指纹、声纹、掌纹、耳廓、虹膜、面部识别特征等
个人身份信息	身份证、军官证、护照、驾驶证、工作证、社保卡、居住证等
其他信息	性取向、婚史、宗教信仰、未公开的违法犯罪记录、通信记录和内容、通讯录、好友列表、群组列表、行踪轨迹、网页浏览记录、住宿信息、精准 定位信息等

网络数据

为贯彻落实《中华人民共和国数据安全法》中“国家建立数据分类分级保护制度”要求，保障国家安全、公共利益、个人和组织的合法权益，《网络安全标准实践指南—网络数据分类分级指引 TC260-PG-20212A》本实践指南依据法律法规和政策标准要求，给出了网络数据分类分级的原则、框架和方法，可用于指导数据处理者开展数据分类分级工作，也可为主管监管部门进行数据分类分级管理提供参考。

数据分类规则

数据分类具有多种视角和维度，其主要目的是便于数据管理和使用。本实践指南采用面分类法，从国家、行业、组织等视角给出了多个维度的数据分类参考框架。常见的数据分类维度，包括但不限于公民个人维度、公共管理维度、信息传播维度、行业领域维度、组织经营维度。

数据处理者进行数据分类时，应优先遵循国家、行业的数据分类要求，如果所在行业没有行业数据分类规则，也可从组织经营维度进行数据分类，数据分类流程下图所示。

数据分级流程

《信息安全技术 网络数据分类分级要求（征求意见稿）》本文件根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及国家数据分类分级保护有关规定，给出了数据分类分级的原则和方法，用于指导各行业、各领域、各地方、各部门和数据处理者开展数据分类分级工作。涉及国家秘密的数据和军事数据不适用于本文件。

数据分类框架

数据按照先行业领域分类、再业务属性分类的思路进行分类。

a) 按照业务所属行业领域，将数据分为工业数据、电信数据、金融数据、能源数据、交通运输数据、自然资源数据、卫生健康数据、教育数据、科学数据等行业领域数据。
b) 各行业各领域主管（监管）部门根据本行业本领域业务属性，对行业领域数据进行细化分类。常见业务属性包括但不限于：

1) 业务领域：按照业务范围或业务种类进行细化分类；
2) 责任部门：按照数据管理部门或职责分工进行细化分类；
3) 描述对象：按照数据描述对象进行细化分类；
4) 上下游环节：按照业务运营活动的上下游环节进行细化分类；
5) 数据主题：按照数据的内容主题进行细化分类；
6) 数据用途：按照数据使用目的进行细化分类；
7) 数据处理：按照数据处理者类型或数据处理活动进行细化分类；
8) 数据来源：按照数据来源进行细化分类。
c) 如涉及法律法规有专门管理要求的数据类别（如个人信息），应按照有关规定或标准对个人信息、敏感个人信息进行识别和分类。

数据分级框架

根据数据在经济社会发展中的重要程度，以及一旦遭到泄露、篡改、破坏或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，将数据从高到低分为核心、重要、一般三个级别。各行业各领域应在遵循数据分级框架的基础上，明确本行业本领域数据分级规则，并对行业领域数据进行定级。

a) 核心数据一旦被泄露、篡改、破坏或者非法获取、非法利用、非法共享，可能直接危害政治安全、国家安全重点领域、国民经济命脉、重要民生、重大公共利益。
b) 重要数据一旦被泄露、篡改、破坏或者非法获取、非法利用、非法共享，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全。
c) 一般数据一旦被泄露、篡改、破坏或者非法获取、非法利用、非法共享，仅影响小范围的组织或公民个体合法权益。

金融行业：证券期货业

证券期货行业业务种类繁多，数据呈现出复杂性高，多样性强的特点。采用规范的数据分类、分级方法，有助于行业机构厘清数据资产、确定数据重要性或敏感度，并针对性地采取适当、合理的管理措施和安全防护措施，形成一套科学、规范的数据资产管理与保护机制，从而在保证数据安全的基础上促进数据开放共享。

《证券期货业数据分类分级指引 JR/T 0158-2018》本标准为数据分类分级工作提供指导性原则，并以《证券期货行业数据模型》的业务条线划分为基础，结合行业特点提出一种从业务到数据逐级划分的数据分类分级方法，同时提供数据分类分级管理的相关建议，供证券期货行业相关机构参考。此外，可供行业制定数据管理、数据安全防护等相关标准时参考。

数据分类规则

本标准推荐的分类方法，从业务条线出发，首先对业务细分，其次对数据细分，形成从总到分的树形逻辑体系结构。

业务条线		数据
一级子类	二级子类	一级子类	二级子类
交易	交易管理	成交信息
		委托信息
		交易业务参数信息
		交易日志信息	订单日志
			成交日志
监管	监察与评价管理	监察参考信息
		监管统计及预警信息	监管统计分析结果
			监管预警信息
		评价、处罚与违规信息
	上报信息	上报信息
信息披露	信息披露管理	产品发行信息(公开)
		产品发行信息(未公开)
其他	业务管理	统计信息
		其他业务管理
	技术管理	规划类数据
	技术管理	运行管理	配置信息数据
			信息资产管理
			数据字典类
			日志类数据

数据分级规则

本标准中的数据等级分为四级，描述标识分为数据级别标识和数据重要程度标识两类，相互一一对应。数据定级一般使用等级本标准中的数据等级分应。

a) 数据级别标识，从高到低划分为：4、3、2、1。
b) 数据重要程度标识，与数据级别标识相对应，从高到低划分为：极高、高、中、 低。

数据级别标识	数据重要程度标识	数据特征
4	极高	1、数据的安全属性(完整性、保密性、可用性)遭到破坏后数据损失后，影响范围大(跨行业或跨机构)， 影响程度一般是“严重”。 2、一般特征：数据主要用于行业内大型或特大型机构中的重要业务使用，一般针对特定人员公开，且仅为必须知悉的对象访问或使用。
3	高	1、数据的安全属性(完整性、保密性、可用性)遭到破坏后数据损失后，影响范围中等(一般局限在本机构)，影响程度一般 是“严重”。 2、一般特征：数据用于重要业务使用，一般针对特定人员公开，且仅为必须知悉的对象访问或使用。
2	中	1、数据的安全属性(完整性、保密性、可用性)遭到破坏后数据损失后，影响范围较小(一般局限在本机构)，影响程度一般是“中等”或“轻微”。 2、一般特征：数据用于一般业务使用，一般针对受限对象公开；一般指内部管理且不宜广泛公开的数据。
1	低	1、数据的安全属性(完整性、保密性、可用性)遭到破坏后数据损失后，影响范围较小(一般局限在本机构)，影响程度一般是“轻微”或“无”。 2、一般特征：数据可被公开或可被公众获知、使用。

以下规则来自《金融数据安全 数据安全分级指南 JR/T 0197-2020》：

数据分类规则

	分类	范围
客户数据	个人数据	是指个人的自然属性信息，包括个人自然信息、个人身份鉴别信息、个人资讯信息等信息。
	单位数据	是指单位的自然属性数据，包含单位基本信息、单位身份鉴别信息、单位标签信息等单位信息。
业务数据	账户信息	指账户相关数据，如账户的基本信息、计息信息、冻结信息、介质信息和核算信息等。
	法定数字货币钱包信息	指法定数字货币钱包相关属性信息。
	合同协议信息	指合同或协议所包含的所有属性信息，如合同法以及商业银行法所规定的基本信息。
	金融监管和服务	包括反洗钱业务信息、贷款业务信息、货币金银业务信息、贷款保险业务信息等
	交易信息	交易通用信息、保险收付费信息等
经营管理	营销服务	产品信息、渠道信息、营销信息
	运营管理	安防管理信息、业务运维信息、客户服务信息、单证管理信息等
	⻛险管理信 息	⻛险偏好信息、⻛险管控信息
	技术管理	项目管理信息、系统管理信息
	综合管理	战略规划信息、招聘信息、员工信息、机构信息等
监管	数据报送	监管报送信息
	数据收取	评级、处罚与违规信息、外部审计信息等

 

数据分级规则

本标准根据⾦融业机构数据安全性遭受破坏后的影响对象和所造成的影响程度，将数据安全级别从⾼到低划分为5级、4级、3级、2级、1级。

最低安全级别参考	数据定级要素		数据一般特征
	影响对象	影响程度
5	国家安全	严重损害/ 一般损害/ 轻微损害	(一)重要数据，通常主要用于金融业大型或特大型机构、金融交易过程中 重要核心节点类机构的关键业务使用， 一般针对特定人员公开，且仅为必须知悉的对象访问或使用。 (二)数据安全性遭到破坏后，对国家安全造成影响，或对公众权益造成严 重影响。
5	公众权益	严重损害
4	公众权益	一般损害	(一)数据通常主要用于金融业大型或特大型机构、金融交易过程中重要核 心节点类机构的重要业务使用，一般针对特定人员公开，且仅为必须知悉的 对象访问或使用。(二)个人金融信息中的C3类信息。 (三)数据安全性遭到破坏后，对公众权益造成一般影响，或对个人隐私或 企业合法权益造成严重影响，但不影响国家安全。
4	个人隐私	严重损害
4	企业合法权益	严重损害
3	公众权益	轻微损害	(一)数据用于金融业机构关键或重要业务使用，一般针对特定人员公开，且仅为必须知悉的对象访问或使用。 (二)个人金融信息中的C2类信息。 (三)数据的安全性遭到破坏后，对公众权益造成轻微影响，或对个人隐私 或企业合法权益造成一般影响，但不影响国家安全。
3	个人隐私	一般损害
3	企业合法权益	一般损害
2	个人隐私	轻微损害	(一)数据用于金融业机构一般业务使用，一般针对受限对象公开，通常为内部管理且不宜广泛公开的数据。 (二)个人金融信息中的C1类信息。 (三)数据的安全性遭到破坏后，对个人隐私或企业合法权益造成轻微影响，但不影响国家安全、公众权益。
2	企业合法权益	轻微损害
1	国家安全	无损害	(一)数据一般可被公开或可被公众获知、使用。 (二)个人金融信息主体主动公开的信息。 (三)数据的安全性遭到破坏后，可能对个人隐私或企业合法权益不造成影 响， 或仅造成微弱影响但不影响国家安全、公众权益。
1	公众权益	无损害
1	个人隐私	无损害
1	企业合法权益	无损害

大数据：政府数据、公共数据

在大数据应用日益广泛的今天，政府数据资源共享和开放已经成为促进大数据产业发展的关键，但由于政府数据的敏感性，加之政府数据分类分级标准的滞后和缺失，使政府数据开放和共享面临诸多困难。

政府数据分类是通过多维数据特征准确描述政府基础数据类型，以对政府数据实施有效管理，有利于按类别正确开发利用政府数据，实现政府数据价值的最大挖掘利用。

政府数据分级是通过政府数据的敏感程度确定数据类型，从而为政府不同类型数据的开放和共享策略的制定提供支撑。

以下规则来自《信息技术 大数据 数据分类指南 GB/T 38667-2020》：

大数据分类规则

维度	分类	释义
技术选型维度	按产生频率分类	可划分为：每年更新数据、每月更新数据、每周更新数据、每日更新数据、每小时更新数据、每分钟更新数据、每秒更新数据、无更新数据等。
	按产生方式分类	可划分为：人工采集数据、信息系统产生数据、感知设备产生数据、 原始数据、二次加工数据等。
	按结构化特征分类	可划分为：结构化数据，如零售、财务、生物信息学、地理数据等; 非结构化数据，如图像、视频、传感器数据、网⻚等；半结构化数据，如应用系统日志、电子邮件等。
	按存储方式分类	可划分为：关系数据库存储数据、键值数据库存储 数据、列式数据库 存储数据、图数据库存储数据、文档数据库存储数据。
	按稀疏程度分类	可划分为：稠密数据和稀疏数据
	按处理时效性分类	可划分为：实时处理数据、准实时处理数据、批量处理数据。
业务应用维度	按产生来源分类	可划分为：人为社交数据、电子商务平台交易数据、移动通信数据、 物联网感知数据、系统运行日志数据等。
	按业务归属分类	可划分为：生产类业务数据、管理类业务数据、经营类业务数据
	按流通类型分类	可划分为：可直接交易数据、间接交易数据、不可交易数据。
	按数据质量分类	可划分为：高质量数据、普通质量数据、低质量数据。
安全隐私保护维度	安全隐私保护分类	高敏感数据、低敏感数据、不敏感数据

以下规则来自《数字化改革 公共数据分类分级指南 DB33/T 2351—2021》：

数据分类规则

分类	范围
数据管理维度	应从元数据角度对公共数据资源目录中的数据进行数据管理维度分类， 主要包括: 数据产生频率；数据产生方式；数据结构化特征；数据存储方式；数据质量要求。
业务应用维度	对公共数据资源目录中的数据进行业务应用维度分类，主要包括: 数据产生来源；数据所属行业；数据应用领域。
安全保护维度	从数据的重要程度等对公共数据资源目录中的数据进行安全保护维度分类，包括: 核心数据：对公共管理和服务机构履行社会管理职能或从事经营活动极其重要的公共数据: -重要数据:公共管理和服务机构收集、产生、控制的不涉及国家秘密，但与国家安全、经济发展、社会稳定，以及公共利益密切相关的公共数据; 一般数据：公共管理和服务机构履行社会管理职能或从事经营活动等一系列活动中产生的可存储的公共数据，不包括核心数据和重要数据。
数据对象维度	对公共数据资源目录中的数据进行数据对象维度分类，包括: 个人：指自然人，包括属性数据和行为数据； 组织：指政府部门、企事业单位、其他法人和非法人组织、团体，包括属性数据和业务数据； 客体：指非个人或组织的客观实体，如道路、建筑、视频捕捉设备等，包括属性数据和感应数据。

数据分级规则

数据级别	级别标识	判断标准
L4 级	敏感	有下列情形之一： 对全社会、多个行业、行业内多个组织造成严重影响； 对单个组织的正常运作造成极其严重影响； 对人身和财产安全、个人名誉造成严重损害。
L3 级	较敏感	有下列情形之一： 对全社会、多个行业、行业内多个组织造成中等程度的影响; 对单个组织的正常运作造成严重影响； 对个人名誉造成中等程度的损害。
L2 级	低敏感	有下列情形之一： 对全社会、多个行业、行业内多个组织造成轻微影响; 对单个组织的正常运作造成中等程度或轻微影响； 对个人的合法权益造成轻微损害。
L1 级	不敏感	对社会秩序、公共利益、行业发展、信息主体均无影响。

以下规则来自《政务数据 数据分类分级指南 DB 52/T 1123-2016》：

数据分类规则

本标准采用多维度和线分类法相结合的方法，在主题、行业和服务三个维度对贵州省政府数据进行分类，对于每个维度采用线分类法将其分为大类、中类和小类三级。业务部门可以根据业务需要，对数据分类进行小类之后的细分。对小类的细分，各部门可以根据业务数据的性质、功能、技术手段等一系列问题进行扩展细分。

分类	范围
主题分类	综合政务、经济管理、国土资源、能源、工业、交通、 邮政、信息产业、城乡建设、环境保护、农业、水利、财政、商业、 贸易、旅游、服务业、气象、水文、 测绘、地震、对外事务、政法、监察、科技、教育、文化、卫生、体育、军事、国防、劳动、人事、⺠ 政、社区、文秘、行政、综合党团。
行业分类	农、林、牧、渔业；采矿业；制造业；电力、热力、燃气及水生 产和供应业；建筑业；批发和零售业；交通运输、仓储和邮政业； 住宿和餐饮；信息传输、软件和信息技术服务业；金融业；房地产业；租赁和商务服务业；科学研究和技术服务业等。
服务分类	惠⺠服务、服务交付方式、服务交付的支撑、政府资源管理。

数据分级规则

政府数据的分级由数据的敏感程度划分，分为如下3个级别。

分级	释义
非敏感数据	此类数据为公开数据。政府部⻔无条件共享。
涉及用户隐私数据	此类数据为政府内部数据。原则上政府部⻔无条件共享，部分涉及公⺠、法人、其他组织权益的敏感信息可在政府许可的情况下有条件共享。
涉及国家秘密数据	此类数据为涉密数据。依据法律法规决定是否共享。

本文部分摘编自极盾科技《数据分类分级标准汇编》，更多工业、电信、医疗等行业数据分类分级标准指南请下载：

更多标准、白皮书、报告等资料下载，请在文末扫码关注官方微信公众号“idtzed”，按自动回复发送引号内关键词即可。与我们有更多合作，扫码添加老邪企业微信：

• 数据平台和工具入库；
• 峰会、论坛等活动直播推广；
• 新产品、场景、应用等在线发布；
• 技术、案例解读等公开课召募等

一起利用学习保持领先，从评估数字化技能水平，确定学习路径开始。现在，数治企业网院BiDigi推出培训订阅计划，提供自定义的交互式学习体验，依据行业推崇的水平完成相应的针对性在线培训、动手实践和考试认证。