安全锐见｜数据分级分级为什么那么难做(三):非结构化数据分类分级的模糊地带与刚性约束的张力

原创

JUN哥
JUN哥

君说安全

2026年10月24日 00:00
贵州

去阅读

前言

想要安全，业务过程就得变得复杂；想要简单，那么安全问题又会迎面而来。如何保持好这个平衡，目前不仅没有完美的解决方案，甚至连合适的解决方案都不存在。

多一度思考，见网安本质！

“非结构化数据分类分级的模糊地带与刚性约束的张力？*”*

在数字经济时代，数据已成为企业最核心的生产要素。

然而，占企业数据总量80%以上的非结构化数据——包括文档、邮件、图片、音视频、源代码、聊天记录等。

非结构化数据分类分级工作长期以来都是企业数据安全治理中最棘手的难题。

IDC预测，到2025年全球数据总量将增长至175ZB，其中非结构化数据的占比超过80%。

行业调研显示，已完成数据分类分级的企业仅占38%，这其中被认为分类分级结果准确可用的企业，不足一半。

本文为数据分级分级为什么那么难做的第三篇。

本文的标题是非结构化数据分类分级的模糊地带与刚性约束的张力。

　一、法规体系已成型，但操作细则仍存模糊地带

我国已建立起以\"三法一条例\"为核心的数据分类分级合规框架。

《数据安全法》确立分类分级保护的基本制度，《个人信息保护法》明确个人信息分级分类处理要求，《网络安全法》规定网络运营者的数据安全义务，《网络数据安全管理条例》进一步细化网络数据处理者的分类分级责任。

国家标准GB/T 43697-2024《数据安全技术 数据分类分级规则》提供了通用方法论，金融、医疗、交通、教育、工业等行业主管部门也相继发布行业指南。

然而，从法律法规到企业可执行的操作细则之间，仍存在多个模糊地带，这直接增加了分类分级的难度：

（一） \"重要数据\"的界定难题

法规要求对\"核心数据、重要数据、一般数据\"实施三级保护，但\"重要数据\"的判定标准：\"一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益\"，属于定性描述，缺乏定量标准。

多少条个人信息泄露构成\"危害公共利益\"？什么样的地理信息精度会\"危害国家安全\"？

这些问题在实践中往往依赖监管部门的个案判断，企业难以预先精准把握。

（二）分级粒度的平衡困境

粒度过粗（如\"所有客户数据均为机密级\"）会导致低风险数据被过度保护，影响业务效率；粒度过细（如按每个文档单独分级）则维护成本极高，难以持续运营。

政策层面并未给出最优粒度的指导意见。

（三）跨标准协调困难

不同行业、不同地区的分类分级标准存在差异。同一批金融数据在银保监会口径下和网信办口径下的分级结果可能不同；跨省流通的数据还需适配各省市的地方标准。

此外，多标准并行增加了企业合规复杂度。

　二、监管从\"看制度\"转向\"核实效\"，对分类分级质量提出更高要求

2025年以来，监管执法范式发生重要转变，即从\"纸面合规\"转向\"实质合规\"。

国家金融监督管理总局印发的《关于开展金融机构数据安全管理能力提升专项行动的通知》（金办发〔2025〕93号）明确了\"发现、整改、通报、处罚\"四层递进监管导向。

其核查重点不再是制度文件和人员任命书，而是数据资产底数是否真实、分级管控是否落地、异常风险是否可处置、个人信息是否实质保护。

公安部令第176号的实施进一步强化了这一趋势，要求企业建立常态化自查机制，实现证据链闭环，随时可接受监管核查。

这意味着，分类分级不再是写完报告交差就结束的工作，而是需要有真实的系统运行记录、可验证的策略联动效果、可追溯的责任绑定机制。

任何\"制度与执行两张皮\"的做法，都将在穿透式监管面前暴露无遗。

　三、企业合规成本与违规风险的权衡

对于企业管理层而言，分类分级面临一个现实的经济决策问题：合规投入需要多少？违规风险有多大？

从投入端看，数据分类分级客观上需要3-6个月甚至更长的实施周期。

中型企业初次分类分级项目投入通常在数十万到数百万元级别，大型机构可达千万元级，且后续每年需投入持续运营成本。

但从风险端看，数据分类分级、重要数据识别、防护措施改造这类核心工作无法依靠短期突击完成，一旦核查发现重大缺陷，企业将面临行政处罚（最高可达上一年度营业额5%）、业务中断、声誉受损等多重风险叠加。

前期主动合规建设的投入，远小于事后整改和事故损失的综合成本。

以上，为非结构化数据分类分级的模糊地带与刚性约束的张力。