规则出处与规范指向

本条（《中华人民共和国数据安全法》第二十一条，数据分类分级保护制度）：《中华人民共和国数据安全法》第二十一条规定：国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度。各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据目录，对列入目录的数据进行重点保护。

一、制度要能被执行而不是被引用

数据分类分级制度常见的失效方式是写得过于原则：只说明要分级，却没有给出分级的依据、流程与责任。制度文件应当做到任何人拿着它就能判断一类数据属于哪一级、该走哪些流程。

二、制度应包含的五部分

第一，分类维度。说明按哪些属性对数据分类，例如业务领域、来源、主体与用途。第二，分级标准。给出可操作的判断依据，包括重要程度与危害程度的评估方法。

第三，分级流程。说明由谁提出、由谁审核、如何形成结论、如何更新。第四，差异化要求。逐级说明在访问控制、传输、存储、对外提供与出境方面的具体要求。第五，责任分工。明确数据安全负责人与管理机构的职责。

三、配套表单的作用

制度应当配有可填写的表单：数据资产登记表、分级判定表、重要数据识别记录、对外提供审批表。表单的作用是把判断过程固定下来，使结论可追溯、可复核。仅有制度而无表单，执行时容易流于形式。

四、与个人信息保护制度的衔接

数据安全与个人信息保护是两套并行但相互关联的要求。制度起草时应当明确两者的适用关系：个人信息按个人信息保护法处理，涉及行业重要数据的另按数据安全法分级管理，同一份数据可能同时落入两套要求，需要同时满足。