导语

建立分类分级体系有一条相对固定的推进路线：先盘点数据资产，再逐类定级，然后按级别配置保护措施，最后围绕运行与更新做长期维护。

本篇给出这条路线各步骤的具体做法与产出物。

规则出处与规范指向

《中华人民共和国公司法》第二十一条（本条见《数据安全法》第二十一条·数据分类分级保护制度）：《中华人民共和国数据安全法》第二十一条规定：国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度。各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据目录，对列入目录的数据进行重点保护。

一、盘点与归类

第一步，全面盘点数据资产，按业务系统与数据类别建立清单，明确每类数据的来源、流向与责任部门。

第二步，对照《数据安全法》第二十一条的判断轴与行业重要数据目录，逐类作出定级初判。

二、定级与差异化保护

第三步，组织业务、法务与安全团队联合评审定级结论，形成书面审批记录并正式发布分级结果。

第四步，按级别配置差异化的保护措施：级别越高，访问控制越严、加密要求越高、审计频次越密。

三、运行与更新

建立分级台账并定期复核，把复核结论与调整记录归档，形成可持续运行的分类分级体系。

操作清单

第一步，全面盘点数据资产，按业务系统与数据类别建立清单。

第二步，对照判断轴与行业重要数据目录，逐类作出定级初判。

第三步，组织业务、法务与安全团队联合评审，形成书面审批记录并正式发布。

第四步，按级别配置差异化保护措施，并建立分级台账定期复核更新。