01 · 三类评估的衔接
组织常把DSMM评估、合规审计、等保测评混为一谈，导致重复建设或漏做评估。三者对象、目的与结论形态各不相同：
| 评估类型 | 依据 | 评估对象与目的 | 结论形态 |
|---|---|---|---|
| DSMM评估 | GB/T 36073-2018 | 组织数据安全能力成熟度（30个过程域），目的为能力建设与持续改进 | 成熟度等级（1—5级） |
| 个人信息保护合规审计 | 《个人信息保护合规审计管理办法》（2025.5.1施行） | 个人信息处理活动的合规性；处理超1000万人个人信息的处理者每两年至少一次 | 审计报告（符合/不符合+整改建议） |
| 等保测评/密评 | GB/T 22239-2019 / GB/T 39786-2021及配套管理办法 | 系统网络安全等级保护符合性；信息系统密码应用合规性、正确性、有效性 | 测评结论（符合/基本符合/不符合） |
- 衔接原则：统一证据库——分类分级台账、制度文件、风险评估报告、审计记录一次采集、多方复用，避免同一证据在三次评估中重复收集且口径不一。
- 日程统筹：建议以年度为周期统筹三类评估时间表（如等保测评后接DSMM复评，个保审计单数年/双数年与数据安全风险评估错峰），减少迎检叠加对业务的冲击。
- 整改闭环：三类评估发现的问题统一进入整改台账，按"高风险优先+资源约束"排序，整改状态向数据安全委员会月度汇报（第5页治理机制）。
02 · DSMM评估流程
依据GB/T 36073-2018开展的成熟度评估，推荐"六步评估法"：
| 步骤 | 内容 | 关键输出 |
|---|---|---|
| 1 准备 | 确定评估范围（组织级/业务线级）、组建评估组、制定计划 | 评估方案、范围清单 |
| 2 培训 | 对参评部门讲解过程域要求与取证方式，统一口径 | 培训记录 |
| 3 自评 | 各部门对照30个过程域自评打分并提交证据 | 自评报告、证据包 |
| 4 他评 | 评估组访谈、核查证据、现场验证（可委托第三方机构） | 他评记录、差距清单 |
| 5 定级 | 按各过程域得分确定成熟度等级，识别短板过程域 | 成熟度评级报告 |
| 6 整改复评 | 短板过程域制定改进计划，限期整改后复评 | 整改报告、复评结论 |
取证要点：DSMM评估的证据必须"证明过程在运行"而非"证明制度存在"。例如"数据分类分级—制度流程"过程域，合格证据包括：分类分级细则文本、近期定级底稿样本、复核签名记录、变更评审纪要、与策略联动的配置截图——缺运行证据时，制度再完善也只能计低分。
03 · KRI/KPI指标体系
指标体系让治理从"感觉良好"走向"数据说话"。建议按"覆盖度—质量度—联动度—响应度"四个维度建立：
| 维度 | 指标 | 口径说明 | 参考目标 |
|---|---|---|---|
| 覆盖度 | 数据源纳管率 / 数据打标覆盖率 | 已登记纳管（或已打标）数据源÷发现的数据源总量 | ≥95% |
| 质量度 | 识别准确率 / 复核一致率 | 抽样复核中标签正确样本÷抽样样本；人工复核与初判一致比例 | ≥90% |
| 联动度 | 策略联动率 / 高危权限收敛率 | 已按标签配置加密/脱敏/DLP策略的高敏数据集÷应配置总量；高危权限（超授权、僵尸权限）收敛比例 | ≥90% |
| 响应度 | 定级变更响应时长 / 事件MTTR / 整改闭环率 | 数据变更到标签更新、安全事件平均响应处置时长、评估发现问题的按期整改比例 | 按组织基线逐年收敛 |
注：指标目标值为课题建议参考值，组织应结合自身规模与行业监管要求设定基线，并逐年收敛改进；指标数据来自第6页工具链的自动采集，避免手工填报失真。
04 · 五级成熟度自评要点
组织可依据下表快速自评当前分类分级能力所处等级（对应第5页五级定义）：
| 等级 | 自评要点（满足多数即视为达到该级） |
|---|---|
| 1级 | □ 无统一分级标准 □ 仅个别人员知晓敏感数据位置 □ 无数据资产台账 |
| 2级 | □ 已发布分类分级制度 □ 完成部分系统数据盘点 □ 台账存在但覆盖不全、更新不及时 |
| 3级 | □ 制度引用GB/T 43697-2024及行业细则 □ 核心数据资产全量打标 □ 标签驱动加密/脱敏/DLP联动 □ 定级变更流程运行且有记录 |
| 4级 | □ 覆盖度/准确率/联动率等指标自动采集并月度监控 □ 指标异常有分析与改进记录 □ 影子数据纳管机制有效运行 |
| 5级 | □ 分类分级与业务流程（产品上线、共享审批、出境评估）深度集成 □ 指标驱动资源分配决策 □ 经验输出参与行业规则共建 |
05 · 分阶段实施路线图
| 阶段 | 里程碑 | 验收标准 |
|---|---|---|
| 筑基期 | 组织到位、制度发布、资产台账v1.0 | 委员会首次会议纪要；制度发文；台账覆盖核心系统100% |
| 定级期 | 核心数据全打标、底稿与复核流程运行 | 打标覆盖率≥95%；底稿抽样复核一致率≥90% |
| 联动期 | 策略联动上线、重要数据申报与首轮风险评估报送 | 联动率≥90%；申报回执与评估报告归档 |
| 运营期 | 指标看板、三类评估统筹、年度复核常态化 | KRI月度监控连续6个月；年度复核完成率100% |
06 · 常见失败模式与对策（治理层）
| 失败模式 | 对策 |
|---|---|
| 把分类分级当一次性项目 | 转为运营预算+常设岗位；指标纳入月度例会；年度复核制度化 |
| 制度照搬标准原文、脱离业务 | 用组织业务语言重写判定示例；每类数据给出"像/不像"对照样本 |
| 打标与管控两张皮 | 标签服务化+策略执行回写校验（第6页）；联动率纳入KRI |
| 迎检式评估、整改无闭环 | 统一整改台账、高风险优先、委员会月度盯办、复评验证 |
| 忽视行业细则更新 | 设法规跟踪责任人；目录/细则更新后30天内完成影响评估与制度修订 |
| 数据要素流通场景另起炉灶 | 共享/交易/出境场景复用分级标签与底稿，避免"第二套分级"（与子课题03、04衔接） |
07 · 课题总结
数据分类分级与数据安全治理研究的全部内容，可以归结为一句话：以法定分级为坐标，以组织治理为载体，以技术工具为杠杆，以度量审计为闭环。九页的递进逻辑如下：
- 制度层（第1—2页）：厘清《数据安全法》第21条开启的义务链条——分类分级是重要数据申报、风险评估、出境管控等全部后续义务的"总开关"，罚则档位决定了这项工作的刚性。
- 方法层（第3—4页）：GB/T 43697-2024提供"行业领域—业务属性分类+影响对象×影响程度分级"的通用方法，六大行业细则提供落地坐标；跨行业主体以"就高从严"消弭冲突。
- 治理层（第5页）：DSMM的"4能力域×6生命周期"框架将分级嵌入组织毛细血管——没有组织建设与制度流程，标准只是墙上的文件。
- 技术层（第6页）："发现—识别—打标—联动—运营"流水线把分级从文档变成控制面，标签驱动加密、脱敏、DLP、权限、审计的差异化执行。
- 运营层（第7—8页）：重要数据七步管控给出高压场景的完整动作；成熟度评估、KRI/KPI与四年路线图给出持续改进的度量与节奏。
分类分级不是合规负担的终点，而是数据要素可信流通的起点：分得清，才能流得动、管得住、罚得明。这也是本课题与"数据要素×"行动、与隐私计算、与零信任架构的深层连接点——它们共同构成数据要素时代安全与发展并重的技术—制度基础设施。
延伸学习：个人信息维度的合规细节见本子课题02（个人信息保护合规）；出境路径与豁免判断见子课题03；隐私计算场景下的分级延展见子课题04；标签驱动访问控制见子课题05；泄露溯源与应急见子课题06。全专题协同，构成数据安全与隐私保护的完整知识体系。
本节参考来源（第8页）
以下均为真实可查的权威来源，用于支撑本页事实性表述。
GB/T 36073-2018《信息安全技术 数据安全能力成熟度模型》：国家标准全文公开系统。
《个人信息保护合规审计管理办法》（国家网信办令第18号，2025年5月1日施行，处理超1000万人个人信息的处理者每两年至少审计一次）：中国网信网。
GB/T 22239-2019《网络安全等级保护基本要求》、GB/T 39786-2021《信息系统密码应用基本要求》：国家标准全文公开系统。
《网络数据安全管理条例》（2025年1月1日施行）；《中华人民共和国数据安全法》（2021年9月1日施行）：中国政府网。
《"数据要素×"三年行动计划（2024—2026年）》（国家数据局等17部门）：国家数据局官网。