数据分类分级与数据安全治理第01页：研究总览与背景定位

01 · 研究背景与意义

1.1 制度演进：从"原则入法"到"规则落地"的四个阶段

中国数据分类分级制度经历了清晰的演进脉络：2015年，国务院印发《促进大数据发展行动纲要》，从国家大数据战略层面提出"健全大数据安全保障体系，强化安全支撑"，分类分级思想初见雏形；2021年，《数据安全法》6月10日通过、9月1日施行，第二十一条首次以法律形式确立"数据分类分级保护制度"与"国家核心数据"概念，《个人信息保护法》同年底施行，敏感个人信息特别保护规则为分级提供了个人信息维度的坐标；2022—2023年，《网络数据安全管理条例（征求意见稿）》公开征求意见，工业和信息化部《工业和信息化领域数据安全管理办法（试行）》于2022年12月印发、2023年1月1日施行，行业分级规则率先在工业与信息化领域落地；2024—2025年，GB/T 43697-2024于2024年3月发布、10月1日实施，统一了国家层面的分级规则，《网络数据安全管理条例》（国务院令第790号）2024年9月公布、2025年1月1日施行，重要数据识别申报、风险评估等义务完成行政法规层级的闭环。

1.2 为什么分类分级是数据安全义务的"总开关"

• 差异化保护的逻辑前提：《数据安全法》第二十一条确立的分类分级，本质是按"重要程度+危害程度"对数据实施差异化保护。没有分级，组织只能对所有数据实施同一强度的控制——要么成本失控，要么保护不足。分级结果直接决定加密强度、脱敏要求、访问审批层级、备份策略与出境管控方式。
• 多项法定义务的触发入口：重要数据目录申报（《网数条例》）、定期风险评估报送（《数据安全法》第三十条）、出境安全评估（《数据出境安全评估办法》）、核心数据更严格管理（《数据安全法》第二十一条）——均以"是否被识别为重要/核心数据"为前提。识别漏管意味着整套义务链条断裂。
• 数据要素流通的价值前提：《"数据要素×"三年行动计划（2024—2026年）》（国家数据局等17部门）要求数据"流得动、用得好、管得住"。只有先分清"哪些能流通、哪些受控流通、哪些禁止流通"，数据交易、公共数据授权运营、隐私计算联合建模才有合规基础。
• 风险资源聚焦的现实需要：组织的数据资产规模通常以PB计，安全预算却有限。分类分级使防护资源按风险排序投放，避免"地毯式防护"造成的资源稀释。

1.3 落地差距与真实代价

02 · 研究目标与关键问题

• 义务图谱完备性目标：建立覆盖法律、行政法规、部门规章、国家标准四个效力层级的分类分级义务清单，做到"每项义务—责任主体—触发条件—落地证据"四对应（第2页）。
• 标准方法可操作性目标：将GB/T 43697-2024的分类框架与三级判定规则转化为可执行的识别流程、判定清单与打标规范，避免"读得懂标准、落不了地"（第3页）。
• 行业规则兼容性目标：梳理重点行业分级细则的档位、阈值与申报机制差异，形成跨行业经营主体的适用策略（第4页）。
• 治理与技术闭环目标：以DSMM组织体系承接分级结果，以技术工具链实现"发现—识别—打标—策略联动—审计"自动化，并以成熟度模型与路线图度量持续改进（第5—8页）。

2.1 三个关键研究问题（KQ）

03 · 制度全景与演进时间线

3.1 四层效力体系（资料整理截至2026年9月）

3.2 制度演进关键时间线（均可公开查证）

04 · 术语速查与常见误区

4.1 核心术语

4.2 常见误区辨析

05 · 研究范围与合规边界

• 对象范围：中国法律框架下的数据分类分级制度（法律—行政法规—部门规章—国家标准四层）为主线，覆盖工业（含电信）、金融、汽车、政务公共数据等重点行业细则；涉及出境衔接处以《数据出境安全评估办法》《促进和规范数据跨境流动规定》为边界。
• 深度边界：做到"义务识别—标准解读—行业比对—组织治理—技术实现—管控运营—度量审计"全链条；不逐条抄录受版权保护的标准原文（以规则语义归纳与公开要点方式呈现），不替代具体组织的法律意见。
• 时效声明：法规与标准状态截至2026年9月，均以官方公布文本为准；目录、细则与配套文件更新后应以最新版本重新核对，本课题不预测未发布政策。
• 协同边界：个人信息维度（告知同意、PIA、合规审计）归子课题02"个人信息保护合规"；出境路径与豁免归子课题03"数据跨境流动合规"；隐私计算归子课题04；访问控制与零信任归子课题05；泄露溯源与应急归子课题06——本子课题为其提供分级坐标与治理载体。

06 · 与课题体系的协同关系

07 · 预期成果与交付物

• 《数据分类分级义务图谱（四层清单）》（义务—主体—触发—证据四对应，第2页）
• 《GB/T 43697-2024 落地操作手册》（分类框架模板、三级判定清单、打标规范，第3页）
• 《重点行业分级细则比对手册》（档位映射、冲突处置"就高从严"策略，第4页）
• 《数据安全治理组织与制度体系模板》（RACI矩阵、制度地图，第5页）
• 《分类分级技术工具链建设指南》（发现、识别、打标、策略联动的架构与选型要点，第6页）
• 《重要数据全生命周期管控手册》（识别、申报、评估、保护、变更、报告全流程底稿模板，第7页）
• 《成熟度评估与三年实施路线图》（DSMM对齐的五级自评表、KRI/KPI、分阶段路线图，第8页）

08 · 国内外数据分类分级制度比较（拓展视野）

理解中国制度的独特性，需要放在国际坐标中观察。需说明的是：各法域的"分级"对象与立法逻辑差异较大，下表比较仅供理解制度设计思路之用，不构成跨国合规操作依据；涉及跨境业务的双轨合规，应分别依据各法域现行有效规则执行。

注：FIPS 199与NIST SP 800-60原适用于美国联邦信息系统，但常被企业参考用于内部数据影响定级；欧盟GDPR语境下"匿名化""假名化"门槛讨论，与本课题第3页"衍生数据定级"问题相互呼应。

本节参考来源（第1页）

以下均为真实可查的权威来源，用于支撑本页事实性表述。