01 · DSMM框架精读
DSMM（GB/T 36073-2018）的结构是"4+6"：四个能力域（通用能力，评价"组织会不会做"）与六个数据生命周期过程（评价"每个环节做得如何"）交叉形成30个过程域。分类分级制度在其中扮演"基础输入"角色：它既依赖"组织建设"提供责任主体、依赖"制度流程"提供判定规则，又为生命周期各环节（采集什么数据、存储多严、交换给谁）提供差异化依据。
| 维度 | 构成 | 说明 |
|---|---|---|
| 能力域（通用） | 组织建设 / 制度流程 / 技术工具 / 人员能力 | 评价数据安全能力的组织面：有没有专责机构与人员、制度是否成体系、工具有效性、人员能力与意识 |
| 数据生命周期 | 数据采集 / 传输 / 存储 / 处理 / 交换 / 销毁 | 评价数据在六个环节的管控能力；分类分级结果决定各环节控制强度 |
| 过程域 | 30个 | 能力域×生命周期交叉细化出的可评估单元，如"数据采集—制度流程""数据交换—技术工具"等 |
1.1 DSMM与分类分级制度的对应关系
- 组织建设：明确数据分类分级的责任主体（谁判定、谁复核、谁审批）——没有组织建设，分级就是无主的文书。
- 制度流程：分级标准、判定流程、变更机制、争议仲裁的制度化——第3页SOP的制度化形态。
- 技术工具：发现、识别、打标、策略联动的工具支撑——第6页的技术实现。
- 人员能力：业务数据Owner的定级能力培训、全员数据安全意识——避免"制度在墙上、操作在手上"的两张皮。
02 · 五级成熟度详解
| 等级 | 名称 | 特征描述 | 分类分级语境下的典型状态 |
|---|---|---|---|
| 1级 | 非正式执行 | 依赖个人经验，无制度化流程，结果不可重复 | 个别系统"知道什么敏感"，无统一标准与台账 |
| 2级 | 计划跟踪 | 有制度与计划，开始执行并跟踪，但覆盖不全 | 发布分级制度，完成部分系统盘点，台账不完整 |
| 3级 | 充分定义 | 制度标准化并全面推广，过程定义清晰、角色明确 | 全量数据打标，分级-策略联动覆盖核心场景，动态更新机制运行 |
| 4级 | 量化控制 | 过程可量化度量，指标驱动管理决策 | 打标覆盖率、识别准确率、策略联动率等指标纳入常态监控 |
| 5级 | 持续优化 | 基于度量持续改进，行业标杆输出 | 分类分级与业务流、数据要素流通场景深度融合，参与行业标准共建 |
务实定位：多数组织应以3级"充分定义"为首个目标态——制度成体系、数据全打标、策略真联动；4级以上的量化控制依赖第6页工具链的支撑与第8页指标体系的积累，不宜跳级建设。监管检查与测评的实际关注点是"制度是否运行"，恰对应3级特征。
03 · 治理组织设计
3.1 法定要求与参考架构
《网络数据安全管理条例》要求重要数据处理者明确数据安全负责人和管理机构；《数据安全法》第27条要求建立健全全流程数据安全管理制度。参考治理架构分三层：
| 层级 | 机构/角色 | 核心职责 |
|---|---|---|
| 决策层 | 数据安全委员会（高管挂帅） | 审议分级标准与重要数据事项、仲裁跨部门争议、审批重大共享与出境事项、听取年度风险评估汇报 |
| 管理层 | 数据安全负责人（重要数据处理者法定配置）+ 归口管理部门 | 制度制定与维护、目录与申报管理、风险评估组织、监测与应急、培训与考核 |
| 执行层 | 业务数据Owner、系统Owner、各分支机构数据安全员 | 数据资产登记、定级发起与维护、控制措施执行、变更上报 |
3.2 设计要点
- 数据Owner制是灵魂：分级判定依赖业务语义，必须为每类数据指定业务负责人（Owner），其定级签名是判定底稿的组成部分。
- 与现有体系融合：数据安全委员会可与网络安全委员会合署或下设专委会，避免"两张网两套班子"；但重要数据事项应有独立的审议记录。
- 规模弹性：中小组织可由安全负责人兼任数据安全负责人，但"职责清单+履职记录"必须完整，避免"一人多帽、实为无人负责"。
04 · 制度体系地图
制度体系建议采用"三层架构"，避免"一册制度管一切"或"制度碎片化"两个极端：
| 层级 | 制度示例 | 要点 |
|---|---|---|
| 一级：总纲 | 《数据安全管理办法》 | 确立分类分级制度、组织架构、总体原则、法律责任衔接 |
| 二级：专项 | 《数据分类分级细则》《重要数据管理细则》《数据共享与对外提供管理办法》《数据安全事件应急预案》《数据安全考核细则》 | 将总纲要求转化为专项领域的可执行规则；分类分级细则须引用GB/T 43697-2024与适用行业细则 |
| 三级：流程/指南 | 数据定级操作流程、打标操作指南、评审会议纪要模板、判定底稿模板 | 操作性文件，直接面向执行层；模板化是确保证据留痕的关键 |
05 · RACI责任矩阵（示例）
R=负责执行，A=最终负责，C=事前咨询，I=知情。下表为分类分级关键活动的责任分配示例：
| 关键活动 | 数据安全委员会 | 数据安全归口部门 | 业务数据Owner | 法务合规 | IT/架构团队 |
|---|---|---|---|---|---|
| 制定分级标准 | A | R | C | C | C |
| 数据资产登记 | I | C | A/R | I | C |
| 级别判定与复核 | I | A（重要数据） | R | C | I |
| 重要数据申报 | A | R | C | C | I |
| 策略联动落地（加密/脱敏/DLP） | I | A | C | I | R |
| 风险评估与报送 | A | R | C | C | I |
| 事件应急处置 | A | R | R | C | R |
注：矩阵为课题建议模板；重要数据的"A"应落在委员会层级以确保高管知情，与《网数条例》负责人义务衔接。
06 · 治理运行机制
- 例会机制：数据安全委员会至少每季度审议一次分类分级运行指标（新增打标量、变更量、争议事项）；重要数据处理者应增加风险评估专项汇报。
- 评审机制：新产品/新业务上线前的数据合规评审（含定级预判）、重要数据变更提级评审——把分级嵌入业务流而非外挂。
- 审计机制：内部审计或第三方对分类分级机制有效性开展年度审计，与《个人信息保护合规审计管理办法》（2025年5月1日施行）的审计安排统筹（处理超过1000万人个人信息的处理者每两年至少一次审计）。
- 考核机制：将数据资产登记及时率、定级准确率、变更响应时效纳入业务线考核，治理闭环的最后一环——没有考核，制度必然衰减。
常见治理失败模式：①委员会形同虚设（全年无审议记录）；②Owner名存实亡（登记有名字、判定无参与）；③制度不迭代（GB/T 43697实施后未更新细则）；④审计发现不整改（无闭环台账）。四项中出现两项以上，测评与监管检查中通常被认定为"制度未有效运行"。
本节参考来源（第5页）
以下均为真实可查的权威来源，用于支撑本页事实性表述。
GB/T 36073-2018《信息安全技术 数据安全能力成熟度模型》（30个过程域、五级成熟度）：国家标准全文公开系统。
《网络数据安全管理条例》（国务院令第790号，2025年1月1日施行）关于重要数据处理者明确数据安全负责人和管理机构、定期开展风险评估并报送的规定：中国政府网。
《中华人民共和国数据安全法》第27条（全流程数据安全管理制度）：中国政府网。
《个人信息保护合规审计管理办法》（国家网信办令第18号，2025年2月公布，2025年5月1日施行）：中国网信网。
GB/T 43697-2024《数据安全技术 数据分类分级规则》：国家标准全文公开系统。