规则出处与规范指向

本条（《中华人民共和国数据安全法》第二十一条，数据分类分级保护制度）：《中华人民共和国数据安全法》第二十一条规定：国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度。各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据目录，对列入目录的数据进行重点保护。

一、被指出的常见问题

数据安全方面的突出问题通常包括：未建立分类分级制度、未识别重要数据、未明确数据安全负责人、未落实必要的技术与管理措施、对外提供缺乏审批。这些问题多属于义务缺失，而非单次操作失误。

二、整改的五个步骤

第一，完成数据资产盘点，形成台账。第二，开展分级判定，识别可能属于重要数据的内容。第三，落实责任，明确数据安全负责人与管理机构。

第四，补强技术与管理措施，包括权限、加密、日志、备份与应急预案。第五，建立对外提供与出境的审批流程，并保留完整的审批记录。

三、说明时的重点

义务缺失类问题的说明，重点应当放在整改的完成度上：盘点了多少数据、识别出哪些级别、设置了哪些措施、建立了什么流程。同时应当说明已完成的工作与后续安排，并附可核验的记录。

四、与个人信息保护整改的统筹

数据安全与个人信息保护在权限管理、日志留痕、应急响应与对外提供等方面存在大量重合。整改时应当统筹推进，避免形成两套并行的重复工作，也避免在两套要求之间留下空隙。