10 · 法规标准速查总表
下表汇总本课题引用的全部法律、行政法规、部门规章、规范性文件与国家标准。日期均为官方公布口径；"施行/实施"指正式生效日期。引用前请以官方公布文本为最终依据。
| 名称 | 文号/标准号 | 公布/发布 | 施行/实施 | 与本课题的关联 |
|---|---|---|---|---|
| 网络安全法 | 主席令第53号 | 2016.11.7 | 2017.6.1 | 第21条等级保护、第37条CIIO数据出境，数据安全义务的系统级基座 |
| 数据安全法 | 2021年通过 | 2021.6.10 | 2021.9.1 | 第21条分类分级保护制度、第24条安全审查、第27—32条义务群、第45—50条罚则 |
| 个人信息保护法 | 2021年通过 | 2021.8.20 | 2021.11.1 | 敏感个人信息特别保护；PIA触发（第55条）；第54条合规审计义务 |
| 关键信息基础设施安全保护条例 | 国务院令第745号 | 2021.8.17 | 2021.9.1 | CIIO认定与数据安全责任；重要数据出境从严管控的衔接依据 |
| 网络数据安全管理条例 | 国务院令第790号 | 2024.9.24 | 2025.1.1 | 重要数据识别申报、目录管理、风险评估、年度报告；大型网络平台定义（注册用户5000万以上或月活1000万以上） |
| 政务数据共享条例 | 国务院令第809号 | 2025.5.28 | 2025.8.1 | 政务数据目录管理与共享属性分类（无条件/有条件/不予共享） |
| 工业和信息化领域数据安全管理办法（试行） | 工信部规章 | 2022.12 | 2023.1.1 | 工业与电信数据三级管理、重要/核心数据目录备案、分级保护义务 |
| 数据出境安全评估办法 | 国家网信办令第11号 | 2022.7.7 | 2022.9.1 | 重要数据与达量个人信息出境评估路径的触发条件与程序 |
| 个人信息出境标准合同办法 | 国家网信办令第13号 | 2023.2.22 | 2023.6.1 | 标准合同路径与备案要求 |
| 促进和规范数据跨境流动规定 | 国家网信办规定 | 2024.3.22 | 2024.3.22 | 出境豁免情形；自贸区负面清单机制 |
| 汽车数据安全管理若干规定（试行） | 五部门联合规章 | 2021.8.16 | 2021.10.1 | 重要数据列举式界定（含"涉及个人信息主体超过10万人"）、年度报送、出境评估 |
| 中国人民银行业务领域数据安全管理办法 | 中国人民银行令〔2025〕第3号 | 2025.5.1 | 2025.6.30 | 央行业务领域数据三级管理；年度风险评估（次年1月15日前报送）；日志留存分级要求 |
| 银行保险机构数据安全管理办法 | 金规〔2024〕24号 | 2024.12.27 | 公布之日 | 数据安全责任制；年度风险评估报告（1月15日前）；操作日志保存期限；审计周期≤6个月 |
| 个人信息保护合规审计管理办法 | 国家网信办令第18号 | 2025.2.12 | 2025.5.1 | 超1000万人处理者每两年至少审计一次；超100万人应指定个人信息保护负责人 |
| 科学数据管理办法 | 国办发〔2018〕17号 | 2018.3.17 | 印发之日 | 科学数据分类分级与开放共享、保密审查 |
| GB/T 43697-2024 数据安全技术 数据分类分级规则 | 国家标准 | 2024.3 | 2024.10.1 | 首个国家级分类分级通用规则：行业领域—业务属性分类+三级分级判定 |
| GB/T 36073-2018 数据安全能力成熟度模型 | 国家标准 | 2018 | 2018 | DSMM框架：4能力域×6生命周期、30个过程域、五级成熟度 |
| GB/T 35273-2020 个人信息安全规范 | 国家标准 | 2020.3 | 2020.10.1 | 敏感个人信息识别与保护指引 |
| GB/T 22239-2019 网络安全等级保护基本要求 | 国家标准 | 2019.5 | 2019.12.1 | 等保2.0基线，与数据分级的"系统级"衔接 |
| GB/T 39786-2021 信息系统密码应用基本要求 | 国家标准 | 2021.3 | 2021.10.1 | 密评依据，数据加密控制基线 |
| GB/T 39725-2020 健康医疗数据安全指南 | 国家标准 | 2020 | 2021 | 健康医疗数据安全保护的行业参考（第4页9.1节引用） |
| JR/T 0197-2020 金融数据安全 数据安全分级指南 | 金融行业标准 | 2020 | 2020 | 金融业五级分级，行业细则优先适用 |
| YD/T 3813-2020 基础电信企业数据分类分级方法 | 通信行业标准 | 2020 | 2020 | 电信领域分类分级操作框架 |
注：①"主席令第53号"指《网络安全法》公布时签发的中华人民共和国主席令第五十三号；②GB/T 36073-2018、GB/T 39725-2020等标准未标注具体日月者，请以国家标准全文公开系统收录信息为准；③各行业细则持续更新，执行时以主管部门最新版本为准。
11 · 监督检查与测评高频问题清单
综合监管通报、测评实践与执法观察，监督检查与第三方测评中最常被追问的问题如下。组织可对照"合格证据"列逐项自查。
| 序号 | 高频检查问题 | 合格证据（应能现场出示） |
|---|---|---|
| 1 | 是否建立数据分类分级制度？ | 正式发布并现行有效的制度文件，引用GB/T 43697-2024及适用行业细则 |
| 2 | 是否完成数据资产盘点？覆盖哪些数据源？ | 数据资产台账/数据地图，含数据库、文件、SaaS、API等异构源 |
| 3 | 重要数据如何识别？判定依据是什么？ | 识别底稿：影响对象与影响程度分析、判定条款引用、Owner与安全双签名 |
| 4 | 是否对照行业重要数据目录进行比对？ | 目录比对记录；被告知/公开发布的申报回执；未被告知的识别留痕 |
| 5 | 重要数据是否完成申报/备案？ | 申报提交凭证、主管部门回执、变更更新记录 |
| 6 | 是否定期开展风险评估并报送？ | 最近一期风险评估报告及报送回执（行业细则有时限要求的从其规定） |
| 7 | 分级结果是否联动管控措施？ | 加密/脱敏/DLP/权限策略配置与标签的联动截图及回写校验记录 |
| 8 | 新增数据如何打标？ | ETL/入库环节打标钩子配置、增量打标记录、低置信度人工复核流 |
| 9 | 是否发现影子数据（未登记数据源）？ | 流量旁路发现记录、整改台账、纳管进度 |
| 10 | 重要数据访问权限如何管理？ | 按人按次授权记录、权限定期复核记录、全量审计日志 |
| 11 | 数据共享/委托处理如何管控？ | 共享审批单、合同安全条款、监督记录；金融等行业提前20个工作日报告凭证 |
| 12 | 数据出境场景是否梳理？路径如何选择？ | 出境场景清单、评估/标准合同/认证/豁免判断材料、自贸区负面清单比对记录 |
| 13 | 数据安全事件应急预案是否演练？ | 年度演练记录、报告流程演练证据、复盘报告 |
| 14 | 是否发生数据安全事件？如何处置？ | 事件台账、处置记录、用户告知与主管部门报告凭证 |
| 15 | 日志留存期限是否达标？ | 日志策略配置：一般数据项≥6个月、重要数据项≥1年、核心数据项≥3年（按人行办法口径示例） |
| 16 | 数据安全负责人与归口机构是否明确？ | 任命文件、职责清单、履职记录（重要数据处理者法定要求） |
| 17 | 测评/审计发现的问题是否整改闭环？ | 统一整改台账、高风险优先排序、复评验证记录、委员会月度汇报纪要 |
| 18 | 是否开展数据安全意识培训？ | 年度培训计划与签到/考核记录，覆盖业务数据Owner与全员 |
迎检心法：检查逻辑从"有没有制度"转向"制度是否在运行"。每项回答都应落到"证据三件套"——制度文本、运行记录、改进痕迹；仅有制度文本而无运行记录，通常被认定为"制度未有效运行"。
12 · 常见问答（FAQ）
| 问题 | 回答 |
|---|---|
| Q1 数据分类和数据分级有什么区别？ | 分类回答"这是什么数据"（按行业领域—业务属性划分），分级回答"数据被破坏后危害多大"（按影响对象×影响程度划为核心/重要/一般）。先分类、后分级，是GB/T 43697-2024的基本逻辑。 |
| Q2 核心数据与重要数据有何区别？ | 核心数据关系国家安全、国民经济命脉、重要民生、重大公共利益，实行更加严格的管理制度（原则上境内存储、从严审批共享）；重要数据是遭到破坏可能危害国家安全、经济运行、社会稳定、公共健康和安全的数据，目录由各地区、各部门确定并告知或公开发布。组织层面实务重点通常是重要数据。 |
| Q3 主管部门没有告知我们，是否就没有重要数据义务？ | 《网络数据安全管理条例》明确：未被相关地区、部门告知或者公开发布为重要数据的，不需要作为重要数据申报。但这不免除组织的主动识别义务——仍应保留识别底稿、跟踪目录动态更新，避免目录更新后陷入被动。 |
| Q4 一般数据是否完全不用管？ | 不是。一般数据需按组织内部基线管控（访问控制、备份等）；其中含个人信息的部分另受《个人信息保护法》约束；公开数据仍需保障完整性与可用性，防止篡改。 |
| Q5 GB/T 43697-2024与行业细则冲突时听谁的？ | "行业标准优先、通用标准校准"：已发布行业细则的领域按细则执行，通用标准用于校准档位；跨行业冲突适用"就高从严"，且映射关系应形成书面映射表留痕（第4页8.2节）。 |
| Q6 重要数据风险评估多久做一次？ | 《数据安全法》第30条要求"定期开展"。有行业细则的从其规定：人民银行办法要求每年开展一次并于次年1月15日前报送；银行保险机构办法要求每年一次并于每年1月15日前报送上年度报告。无明确规定的，按主管部门要求执行并留痕。 |
| Q7 打标打到多细才算够？ | 结构化数据做到库—表—字段三级；文件类（文档、图纸、图片）按文件级；API数据按接口级并映射到底层字段。高敏字段必须字段级打标，否则无法驱动列级加密与脱敏。 |
| Q8 衍生数据、聚合数据怎么定级？ | 看可逆性与信息量：无法回溯个体的汇总统计可按较低档管理，但存在重识别风险的"匿名化"产物应按原级别审慎管理；多源聚合后产生新的敏感结论（如轨迹+消费→行为画像）的，按聚合后的实际危害定级（第3页7节）。 |
| Q9 中小企业资源有限，应该从哪里开始？ | 按"看得见→分得清→管得住"递进：第一步数据盘点建台账；第二步核心数据打标+判定底稿流程；第三步再逐步上工具做联动。优先级永远给含个人信息与业务关键数据的系统（第8页路线图）。 |
| Q10 监管检查和测评最关注什么？ | "机制是否在运行"的三件套：制度文本、运行记录（底稿/台账/日志/复核签名）、改进痕迹（评审纪要/整改闭环）。只有制度文本而没有运行记录，通常被认定为"制度未有效运行"（第9页11节清单）。 |
13 · 术语索引（全课题汇总）
| 术语 | 释义 | 详见 |
|---|---|---|
| 数据分类 | 按数据属性、特征及业务关联性划分不同类别的过程（通常采用"行业领域—业务属性"线分类法） | 第1、3页 |
| 数据分级 | 按数据遭到破坏后的危害对象与危害程度划分级别的过程 | 第1、3页 |
| 核心数据 / 重要数据 / 一般数据 | 国家法定三级：核心数据实行更严格管理制度；重要数据目录由地区、部门确定并告知或公开发布；一般数据为核心、重要数据之外的数据 | 第1、3、7页 |
| 重要数据目录 | 各地区、各部门依法确定并告知或公开发布的重要数据清单，是组织履行申报义务的直接依据 | 第2、7页 |
| 数据处理活动 | 数据的收集、存储、使用、加工、传输、提供、公开等（《数据安全法》第3条） | 第2页 |
| 网络数据 / 大型网络平台 | 《网络数据安全管理条例》界定："大型网络平台"指注册用户超过5000万或者月活跃用户数超过1000万、掌握海量数据要素的网络平台，承担特殊平台义务（年度审计、年度评估报告、年度风险监测报告、识别排序等） | 第9页 |
| 数据安全事件 | 危害数据安全的事件，须立即处置、及时告知用户并向主管部门报告（《数据安全法》第29条） | 第7页 |
| 数据打标 / 数据标签 | 将分类分级结果以标签附着于数据对象元数据的机制，是分级结果驱动管控策略的桥梁 | 第3、6页 |
| 数据地图 / 数据血缘 | 组织数据资产的统一目录视图 / 数据从源头到消费的溯源关系，支撑影响分析与泄露范围评估 | 第6页 |
| DSMM | GB/T 36073-2018《数据安全能力成熟度模型》，4能力域×6生命周期、30个过程域、五级成熟度 | 第5页 |
| 敏感个人信息 / 单独同意 | 一旦泄露易导致人格尊严受侵害或人身财产安全受到危害的个人信息（《个保法》第28条），处理时须取得个人的单独同意（第29条） | 第3页 |
| 去标识化 / 匿名化 | 去标识化：处理后在不借助额外信息情况下无法识别特定自然人且可复原；匿名化：无法复原、不能识别，匿名化信息不属于个人信息——门槛极高，审慎认定 | 第3页 |
| 数据出境安全评估 / 标准合同 / 认证 | 个人信息与重要数据出境的三条合规路径，2024年规定增设豁免情形 | 第7页 |
| PIA（个人信息保护影响评估） | 处理敏感个人信息、自动化决策、委托处理、对外提供、公开、出境等情形的法定义务（《个保法》第55条） | 第1、8页 |
| 影子数据 | 未经登记、未纳管的数据源（影子IT的数据面），通过流量分析发现并纳入治理 | 第6页 |
| KRI / KPI | 关键风险指标 / 关键绩效指标：覆盖度、质量度、联动度、响应度四维指标体系 | 第8页 |
| 等保 / 关基 / 密评 | 网络安全等级保护、关键信息基础设施保护、商用密码应用安全性评估，与数据分类分级构成"系统级+数据级"双层义务 | 第2页 |
14 · 更新日志与使用声明
14.1 更新日志
| 日期 | 更新内容 |
|---|---|
| 2026-09-17 | 终审修订：①全课题分页由8页扩展为9页，新增本附录页；②第1页新增"08 国内外数据分类分级制度比较"；③第2页新增"07 数据安全审查制度与罚则全景"（补全数安法第24、46—50条）；④第4页新增"09 其他领域规则动态观察"（含人民银行办法、金融监管总局办法量化要求与自贸区负面清单）；⑤补全文号：中国人民银行令〔2025〕第3号、金规〔2024〕24号、国家网信办令第18号等；⑥移动端表格横向滑动+首列吸顶适配；⑦22项关键事实（文号、日期、罚款金额、阈值）逐项对照官方公布文本核验，全部通过。 |
14.2 使用声明
- 本课题为合规研究与教育内容，不构成法律意见；重要数据认定、申报决策与出境路径选择，应咨询主管部门口径与专业法律顾问。
- 所有法规、标准条款以官方公布文本为准；本课题不收录、不传播任何未公开的标准原文或内部文件。
- 文中流程、清单、指标均为课题方法论建议模板，组织应结合自身业务与行业监管要求裁剪使用。
- 引用或转载本课题内容请注明出处"迪妙网络空间安全学院 · 数据分类分级与数据安全治理研究课题"。
本节参考来源（第9页）
以下均为真实可查的权威来源入口（均为官方网站首页或专题入口，稳定可访问），各文件的准确文本请以官网公布版本为准。
[1]
《中华人民共和国数据安全法》《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》；《网络数据安全管理条例》（国务院令第790号）；《政务数据共享条例》（国务院令第809号）；《关键信息基础设施安全保护条例》（国务院令第745号）：中国政府网；网数条例全文：中国政府网政策文件页。
[2]
《个人信息保护合规审计管理办法》（国家网信办令第18号，2025年5月1日施行）；《数据出境安全评估办法》（国家网信办令第11号）；《个人信息出境标准合同办法》（国家网信办令第13号）；《促进和规范数据跨境流动规定》（2024年3月22日施行）；《汽车数据安全管理若干规定（试行）》：中国网信网。
[3]
《工业和信息化领域数据安全管理办法（试行）》（2023年1月1日施行）；YD/T 3813-2020《基础电信企业数据分类分级方法》：工业和信息化部官网。
[4]
《中国人民银行业务领域数据安全管理办法》（中国人民银行令〔2025〕第3号，2025年6月30日施行）；JR/T 0197-2020《金融数据安全 数据安全分级指南》：中国人民银行官网；《银行保险机构数据安全管理办法》（金规〔2024〕24号，2024年12月27日印发）：国家金融监督管理总局官网。
[5]
GB/T 43697-2024、GB/T 36073-2018、GB/T 35273-2020、GB/T 22239-2019、GB/T 39786-2021、GB/T 39725-2020：国家标准全文公开系统。