数据分类分级不是填张表，是给公司的数据画张地图

数据安全法、等保都要求做数据分类分级，但很多公司把它做成一张没人看的表。老IT聊聊分类分级到底在做什么、怎么做才不白做。

前阵子有个做外贸的朋友找我，说监管要求做数据分类分级，公司找了个咨询公司，交上来一张几十页的表，填完就再没人看过。他问我：这东西到底是不是走过场？

我说，如果只为了交差，那确实是走过场；但分类分级真正的作用，不是那张表，而是逼你把"公司到底有哪些数据、哪些碰不得"这件事想清楚。今天就用大白话聊聊它。

先搞清楚：分类和分级是两件事

很多人把分类分级当成一个词。其实拆开看就清楚了：

分类是按业务维度，回答"这些数据是什么"——比如客户资料、财务数据、生产数据、员工信息、研发代码，各归各的类。

分级是按重要程度和敏感程度，回答"这些数据有多金贵"——一般就分三到四级：公开的、内部的、敏感的、核心的。比如员工通讯录算内部，客户名单加联系方式算敏感，公司核心源代码和密钥就得上核心。

分类管"归哪堆"，分级管"护多严"。两张皮合起来，才能决定一份数据该配什么权限、加不加密、备份多勤、能不能脱敏导出。

一个是合规。数据安全法、等保2.0、密评、还有各行各业的监管要求，都把数据分类分级写进去了。测评老师真查的时候，看的不是你有没有这张表，而是你的制度、技术手段跟这张表对不对得上——表上写着核心数据要加密，结果数据库裸奔，这就不算数。

另一个是实用。我见过太多公司安全预算花得稀里糊涂：给不重要的数据上了全套加密和审计，真正值钱的客户数据反而一个权限就能拷走。分类分级就是给安全投入画靶子，钱花在最重要的那部分数据上。

第一步，盘点。 先搞清楚数据都在哪：数据库、文件服务器、NAS、OA、ERP、云上的对象存储，还有员工的电脑和网盘。这一步最枯燥，但跳过它后面全白搭。很多人以为"我心里有数"，真盘起来才发现公司里散着一堆没人认领的老数据。

第二步，定标准。 分类维度按你公司的业务来定，分级就定三到四级，够用就行。标准要写得能执行，别搞成"重要的数据是重要的"这种循环定义。

第三步，打标。 数据量大的话，靠人一个个标不现实，可以用自动发现工具按规则初步打标，再让业务部门确认。这里有个关键：业务部门必须参与。数据是谁的、有多重要，只有用得最多的人最清楚，IT自己拍脑袋标的，后面大概率要返工。

第四步，落策略。 地图画好了，安全策略跟着上：核心数据限制访问、加密存储、操作留痕；敏感数据导出走审批、传输走脱敏；内部数据常规保护。这一步才真正让分类分级产生价值。

很多公司把它丢给IT一个人，这是最要命的做法。分类分级天然要跨部门：业务部门是数据的主人，得说清楚每类数据的用途和重要程度；IT/运维负责盘点技术资产、落地权限和加密；安全或合规负责定标准、写制度、跟进整改；有条件的还可以让法务参与，处理跟客户合同、个人信息相关的要求。

牵头人可以定在IT或安全，但千万别孤军奋战。我的经验是：先拉业务部门开一次会，把"哪些数据泄露了公司会很难受"这个问题摆到桌面上，让大家自己说，比IT闭门造车定出来的清单靠谱得多。

有人问：分级之后是不是所有敏感数据都要加密？不一定。加密是手段之一，分级决定的是"保护强度"：

脱敏的作用是"能用但不泄露真身"——开发测试、第三方分析、演示环境里用脱敏后的数据，既不影响干活，又不用承担泄露风险。这些手段怎么组合，全看数据在哪个级别。

坑一：分级越细越好。 有人把数据分了八个等级，最后谁也记不住，执行的时候全按最低标准处理。三到四级足够，关键是级别之间有明显的保护差异。

坑二：只分类不落地。 表做完了，权限、加密、脱敏一样没动。这就像画了张消防图但没装灭火器——测评过了，出事照样抓瞎。

坑三：当成一次性项目。 数据是活的，新系统上线、业务调整、人员流动，分类分级就得跟着更新。建议至少一年复审一次，有重大项目随时补。

市面上的数据安全治理平台、DLP、脱敏工具、数据库审计，功能都不少。但我建议顺序别搞反：先有数据地图，再谈买装备。很多公司上来就买大而全的平台，结果系统里连自己有哪些数据都说不清，工具只能空转。

靠谱的做法是：先从最核心的一两个系统开始，比如财务系统和客户管理系统，把这两摊数据的分类分级做扎实，策略落下去，跑顺了再往其他系统铺。步子小一点，但每一步都是实的。

数据分类分级听着像合规作业，做完了你会发现，它其实是公司数据安全最值钱的一笔投入——因为你终于知道，自己最该护住的东西是什么了。