GB/T 43697-2024 方法标准深度解读第03页

01 · 标准定位与结构

GB/T 43697-2024解决了此前分类分级"各行业各说各话、企业无通用坐标"的问题。其核心结构可概括为"先分类、后分级、再管控"：

• 分类（Classifying）：按数据属性与业务特征划分数据类别，回答"这是什么数据"——是开展分级的前提，因为不同行业、不同业务的数据其危害判断口径完全不同。
• 分级（Grading）：在分类基础上，按数据被破坏后的危害程度划分级别，回答"这数据值多少钱、闯多大祸"。
• 管控联动：标准强调分类分级结果应作为数据安全管理与防护措施差异化实施的依据，为后续打标、策略联动（第6页）提供规范性输入。

02 · 数据分类方法

2.1 分类维度：行业领域 → 业务属性

标准采用"先行业领域、后业务属性"的线分类法（层级分类）：第一层按行业领域划分（如工业、电信、金融、能源、交通运输、卫生健康、教育、科学数据等），第二层及以下按业务属性逐层细分。这种设计的法理依据在于：重要数据目录本来就是按"地区、部门及相关行业、领域"分别确定的（《数据安全法》第21条），分类体系必须与目录体系对齐。

注：示例仅用于说明分类逻辑的组织方式，具体分类目录应结合本组织业务参照行业细则与GB/T 43697-2024的框架制定。

2.2 分类的操作要点

• 业务语义优先：分类应以业务部门的语言而非技术存储形态（表名、字段名）为准——同一字段在不同业务场景下语义可能不同。
• 颗粒度适中：分类过粗导致分级失去意义，过细则维护成本爆炸。实务上"业务系统→数据域→数据集"三级目录是较常见的折中。
• 与元数据平台绑定：分类结果必须写入元数据（数据目录），否则无法被后续分级、打标与检索消费（第6页）。

03 · 数据三级判定规则

3.1 三级定义与判定矩阵

3.2 判定要素：从"感觉重要"到"规则判定"

标准将影响程度的考量因素归纳为以下维度，组织可将其转化为打分表或判定树：

04 · 识别操作流程

• 触发时机：首次全面开展；新增数据源/新业务上线；数据规模或精度发生重大变化；主管部门发布或更新目录；发生重大数据安全事件后复审。
• 参与角色：数据Owner（业务定级）、数据安全团队（规则与复核）、法务合规（目录比对与义务判断）、架构团队（打标落地）——缺任何一方，结论都难经得起核查。
• 工具支撑：第6页的"发现—识别—打标"工具链将六步法中可自动化的环节（盘点、初判辅助）工业化，人工聚焦影响分析与复核两个判断密集型环节。

05 · 打标规范建议

打标是分类分级从"文档"走向"管控"的桥梁。建议标签模型包含四类标签：

• 打标颗粒度：数据库到字段级逐级打标；文件类（文档、图纸）按文件级打标；API数据按接口级打标并映射到底层字段。
• 自动+人工复核：识别工具给出建议标签与置信度，低置信度或高等级数据必须人工复核（第6页讨论准确率治理）。
• 标签服务化：标签以元数据服务形式供授权系统查询消费，避免标签散落在各业务系统无法一致更新。

06 · 与其他标准的衔接

07 · 高频争议问题

本节参考来源（第3页）

以下均为真实可查的权威来源，用于支撑本页事实性表述；标准具体条款编号与全文以正式出版文本为准。