GB-T 46069-2025 数据安全技术 数据分类分级指南

GB/T46069-2025数据安全技术数据分类分级指南ICS35.030CCSL80中华人民共和国国家标准GB/T46069-2025数据安全技术数据分类分级指南Datasecuritytechnology—Guidefordataclassificationandgrading2025-XX-XX发布2025-XX-XX实施国家市场监督管理总局国家标准化管理委员会发布前言本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。本文件由全国网络安全标准化技术委员会（SAC/TC260）提出并归口。本文件起草单位：国内网络安全权威科研机构、国家级数据治理示范单位、重点行业数字化转型骨干企业、网络安全合规专业服务机构及相关数据管理标准化参编单位。本文件主要起草人：国家数据安全领域标准化专家、行业数据治理资深研究员、网络安全技术研发核心工程师、数据合规管理实务专家、各重点行业数据安全管控负责人。数据分类分级是落实《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》等法律法规要求的基础性核心工作，是构建全国统一规范、统筹协同、分级管控的数据安全保护体系的前置必要环节。为统一各类组织数据分类分级的工作思路、实施流程、判定标准和管理要求，规范全行业、全领域数据资源梳理归类、安全级别划定、防护策略适配全流程工作，指导党政机关、企事业单位、各类社会组织科学合规开展数据分类分级常态化工作，强化数据全生命周期安全管控，防范数据篡改、破坏、泄露、非法获取及非法利用等各类安全风险，筑牢国家数据安全、公共利益安全及个人与组织合法权益安全防线，结合我国数据资源管理实际发展现状及各行业数字化转型安全刚需，制定本指导性国家标准。1范围本文件规定了数据安全领域数据分类分级工作的总体原则、核心术语和定义、数据分类体系构建要求、数据分级判定依据与划分标准、数据分类分级全流程实施步骤、分类分级结果动态管理规范以及分级适配安全管控基本要求等通用性核心内容。本文件适用于中华人民共和国境内所有开展数据收集、存储、使用、加工、传输、提供、公开、销毁等全生命周期数据处理活动的党政机关、事业单位、企业法人、社会组织及其他各类数据处理者。本文件为各类数据处理者开展常态化数据分类分级工作提供统一规范指引和实操工作遵循，适用于通用领域基础数据、行业专属业务数据、公共政务数据、社会经营数据、个人信息及重要数据等全类型数据的分类分级工作。各行业主管监管部门可依据本文件基础要求，结合本行业业务特性、数据应用场景及安全管控特殊需求，细化制定行业专属数据分类分级细分实施细则；关键信息基础设施运营者、重要数据处理者、核心政务数据管理单位等重点主体，应在本文件框架基础上，结合自身数据处理规模、业务运营模式及安全防护等级要求，深化细化本单位定制化数据分类分级管理规范，确保分类分级工作贴合实际、落地见效。本文件不适用于涉密数据分类分级管理工作，涉密数据分类分级按照国家涉密管理相关专项法规标准执行。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件；凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T25069-2022信息安全技术术语GB/T43697-2024数据安全技术数据分类分级规则GB/T37973-2019信息安全技术大数据安全管理指南GB/T41479-2022信息安全技术个人信息处理中告知和同意实施指南国家数据安全工作协调机制发布重要数据识别指南3术语和定义GB/T25069-2022界定的以及下列术语和定义适用于本文件。3.1数据任何以电子或者其他方式对信息的记录，涵盖文本、数值、图像、音频、视频、程序代码、业务台账、统计报表、交互日志、衍生数据等各类数字化及实体化记录形式，是数据处理活动的核心对象和数据安全保护的核心客体。3.2数据分类数据处理者按照统一规范的划分维度、归类逻辑和业务属性，对自身全量数据资源进行全面梳理、甄别划分、归类整合，构建层级清晰、类别明确、边界清晰的数据类别体系的系统性工作，核心是明确数据的业务归属、资源属性和应用范畴，为差异化分级管控奠定基础。3.3数据分级数据处理者根据数据在国家安全、经济社会发展、公共利益保障以及个人和组织合法权益维护中的重要程度，结合数据一旦发生篡改、破坏、泄露、非法获取、非法利用等安全事件后可能造成的危害范围、危害程度、影响时长及修复难度，对已分类完成的各类数据划定安全保护等级的专项工作，核心是匹配对应等级的安全防护、风险管控和应急处置措施。3.4重要数据一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、经济运行、社会稳定、公共卫生安全等国家核心利益和社会公共利益的数据，具体范围按照国家重要数据识别指南及各行业细化识别标准精准界定。3.5核心数据重要数据中处于核心关键层级，一旦发生安全事件将直接引发重大国家安全风险、系统性行业风险、大规模公共利益损害且难以快速修复管控的顶级重要数据，是数据安全最高等级保护的核心对象。3.6数据全生命周期数据从初始收集汇聚、集中存储管理、内部合规使用、深度加工处理、跨主体传输共享、对外提供公开、最终销毁归档的全流程存续周期，数据分类分级工作需贯穿全生命周期各环节动态适配调整。4数据分类分级总体原则数据处理者开展数据分类分级全流程工作，应当严格遵循依法合规、统筹统筹、业务适配、风险导向、动态适配、实用可落地的核心原则，确保分类分级工作科学规范、贴合业务、管控有效，杜绝形式化、走过场式分类分级管理。4.1依法合规原则严格遵循国家数据安全、个人信息保护、网络安全、关键信息基础设施保护等相关法律法规及国家标准规范要求，严格落实行业主管监管部门专项管控规定，分类分级的维度设定、等级划分、流程实施、结果应用均不得违反法定责任义务，严格守住数据安全合规底线，确保所有分类分级工作全程合法合规、有据可依。4.2统筹统一原则遵循国家统一的数据分类分级基础框架和核心判定标准，全国范围内保持基础分类维度、分级等级划分、核心判定规则统一，各行业、各单位在统一框架下结合自身实际细化补充，杜绝各自为政、标准不一、分级混乱的问题，实现国家层面统筹管控、行业层面细化适配、单位层面落地执行的三级协同管理格局。4.3业务适配原则紧密贴合数据处理者主营业务运营模式、数据应用场景、业务流转路径及数据管理实际需求开展分类分级工作，分类分级体系不脱离业务实际、不设置冗余无效分类分级层级，确保分类结果贴合业务管理逻辑，分级结果匹配业务运营安全刚需，兼顾数据安全保护与数据合规流通利用双向平衡。4.4风险导向原则以数据安全风险防控为核心导向，聚焦数据安全事件发生后的危害后果、影响范围、损失程度作为分级核心判定依据，优先对核心关键数据、高风险数据开展精准分类和高级别防护，合理分配安全防护资源，实现安全资源精准投放、风险分级精准管控、隐患源头精准治理。4.5动态适配原则数据分类分级结果不实行终身固定管理，结合业务拓展变化、数据资源新增迭代、安全政策更新调整、外部网络安全风险态势变化及安全事件处置复盘情况，定期开展分类分级复核、调整和优化工作，确保分类分级结果始终适配数据处理活动实际现状和安全管控最新要求。4.6实用可落地原则分类分级流程简化高效、判定标准清晰明确、操作要求简单易行，兼顾大型机构规模化数据管理和中小微单位轻量化合规实操需求，避免复杂冗余、脱离实操的技术要求和管理流程，确保各类数据处理者均可快速落地实施、常态化运维管理。5数据分类体系构建要求数据分类采用“先领域大类划分、再业务中类细分、最后资源小类细化”的三级层级分类架构，按照国家统一领域划分标准结合业务实际逐层归类，实现全量数据无遗漏、无重复、边界清晰规范分类。5.1一级领域大类分类一级分类按照国家宏观领域统筹划分，主要涵盖政务公共数据、工业产业数据、金融财税数据、教育科研数据、医疗健康数据、交通物流数据、能源资源数据、民生服务数据、互联网平台数据、个人信息数据及其他通用基础数据等核心领域大类。各数据处理者需按照自身主营业务所属行业和数据核心归属领域，将全量数据统一划归对应一级大类，明确数据整体领域归属，奠定分类基础框架。5.2二级业务中类分类在一级领域大类基础上，按照数据对应的具体业务职能、工作板块、运营模块划分二级业务中类。党政机关按照政务履职职能划分业务中类，企业按照生产经营、运营管理、客户服务、研发创新、风控合规等业务板块划分业务中类，社会组织按照自身服务职能和运营范围划分业务中类。二级业务中类需精准对应数据产生的业务环节和使用管理部门，明确数据业务归属权责，实现数据分类与业务管理权责一一对应。5.3三级资源小类分类在二级业务中类基础上，按照数据具体内容属性、数据采集来源、数据应用用途、数据存储形式细化划分三级资源小类，精准细化到具体数据集合、数据台账、数据表单、数据日志等具体数据资源单元。三级资源小类是数据分级判定和日常安全管控的最小分类单元，需做到每个小类数据边界清晰、内容明确、责任到人、管理到户，杜绝数据分类模糊、归属交叉、台账不清等问题。5.4分类工作核心要求数据处理者需开展全量数据资源全面摸底排查工作，梳理形成完整数据资源台账，按照三级分类架构逐一完成归类划分，严禁遗漏核心业务数据、重要运营数据及个人信息数据。分类过程中需同步明确每类数据的产生部门、管理责任人、使用范围、存储位置及流转路径，做到分类工作与数据权责管理深度绑定。对于跨领域、跨业务交叉数据，按照数据核心用途和主要危害影响领域确定唯一分类归属，避免重复分类、多头管理。6数据分级划分标准与判定要求本文件将所有分类完成的数据按照安全保护重要程度和安全事件危害后果，从低到高划分为一般数据、重要数据、核心数据三个基础安全等级，各等级划定标准以危害影响范围、危害严重程度、损失修复难度为核心判定核心指标，结合数据应用场景综合研判确定。6.1一级一般数据一级一般数据是指数据遭到篡改、破坏、泄露或者非法获取、非法利用后，仅会对数据处理者自身局部业务运营、内部日常管理造成轻微不利影响，不会危害国家安全、社会公共利益，不会侵害个人及组织重大合法权益，影响范围仅限单位内部局部业务场景，损失程度轻微且可快速修复恢复的各类基础数据。此类数据不涉及敏感业务信息、不涉及个人核心隐私、不涉及行业关键运营信息，是日常业务运转所需的基础通用性数据，安全防护以常规基础管理防护为主。6.2二级重要数据二级重要数据是指数据遭到篡改、破坏、泄露或者非法获取、非法利用后，会对数据处理者核心业务运营造成严重影响，可能侵害大量个人合法权益、损害企业重大经营利益，引发局部行业运营波动、区域公共服务秩序扰动，但不会直接危害国家安全、整体社会稳定和国家核心公共利益的数据。此类数据包含行业关键业务数据、大规模普通个人信息、企业核心经营数据、区域公共服务运营数据等，需落实专项安全防护、权限精细化管控、流转全程审计等强化保护措施。6.3三级核心数据三级核心数据是重要数据中的最高层级数据，是指数据遭到篡改、破坏、泄露或者非法获取、非法利用后，将直接危害国家安全、国家经济命脉运行、社会整体稳定、重大公共卫生安全等核心国家利益和全局公共利益，引发系统性行业风险、大规模社会影响、难以逆转的重大损失，且损失修复周期长、治理难度大的关键核心数据。此类数据需按照国家最高等级安全保护要求，落实专属专项防护、7×24小时安全监测、严格准入管控、全流程加密保护、专属应急处置等最高标准安全管控措施。6.4分级综合判定流程数据分级判定需实行“数据摸底初判、风险综合研判、等级复核审定、结果备案确认”的标准化判定流程。先由数据管理责任部门按照分级基础标准完成数据等级初步判定，再由数据安全管理机构结合数据应用场景、流转范围、接触人员规模、外部风险态势开展综合风险研判，修正完善初步分级结果，随后由单位主要负责人或安全分管负责人完成分级结果复核审定，最终将分级完成台账及结果按照行业监管要求报备至对应主管监管部门，确保分级判定严谨规范、有据可查、责任明晰。7数据分类分级全流程实施步骤各类数据处理者需按照前期筹备、数据摸底、规范分类、精准分级、结果备案、管控落地六大核心步骤，常态化有序推进数据分类分级全流程实施工作，确保各环节衔接顺畅、工作闭环落地。7.1前期筹备阶段数据处理者需成立专项数据分类分级工作专班，明确数据安全管理牵头部门、各业务部门工作职责及专职工作责任人，结合本文件要求和行业细则，制定本单位数据分类分级专项工作实施方案和工作计划，组织开展内部工作人员分类分级专项培训，普及分类分级标准、工作流程和实操要求，配齐工作所需管理台账、排查工具等基础保障资源，夯实分类分级工作组织基础和人员技术基础。7.2全量数据摸底阶段全面排查梳理本单位所有数据处理活动涉及的全部数据资源，覆盖数据收集、存储、使用、加工、传输、提供、公开、销毁全生命周期各环节，摸清各类数据的来源渠道、存储位置、使用部门、流转范围、接触人员、数据规模、更新频次等基础信息，编制形成完整详实、动态更新的全量数据资源摸底台账，做到数据底数清、情况明、无遗漏、无盲区。7.3标准化分类实施阶段严格按照本文件三级层级分类体系，依托全量数据摸底台账，对每一项数据资源逐一完成一级领域大类、二级业务中类、三级资源小类归类划分，明确每类数据的分类编号、分类名称、业务归属和管理责任主体，形成正式数据分类结果清单，同步做好分类工作记录留存，确保分类全程可追溯、可核查、可复盘。7.4精准化分级划定阶段以已完成分类的数据为基础，按照本文件三级分级划分标准和综合判定流程，结合数据安全风险危害程度和影响范围，逐一划定各类数据安全保护等级，针对特殊复杂场景数据组织专项专家研判会商，精准确定分级结果，杜绝随意定级、盲目定级、降级定级等违规行为，形成正式数据分级结果清单，同步标注各等级数据安全保护管控要求。7.5分级结果备案公示阶段数据分类分级工作完成后，数据处理者按照行业主管监管部门备案管理要求，及时将数据分类分级台账、判定报告、工作记录等相关材料报送备案；在单位内部适度范围内公示分类分级核心结果，明确各部门数据管控责任，接受内部监督管理，对于核心涉密及超高敏感分级信息，按照保密管理要求管控公示范围，严控信息扩散风险。7.6管控措施落地适配阶段依据数据不同分类分级结果，针对性适配差异化数据安全管控措施，按照一般数据基础防护、重要数据强化防护、核心数据最高防护的差异化要求，落实数据权限管控、访问审计、加密存储、传输防护、脱敏处理、备份恢复、风险监测、应急处置等安全防护工作，将分类分级结果深度融入日常数据安全管理全流程，实现分级分类、精准防护、按需管控。8数据分类分级动态管理与复核更新数据分类分级工作实行常态化动态管理机制，严禁分级分类结果长期固化、一成不变，需结合业务变化、数据迭代、政策更新、风险变化定期开展复核调整工作，确保分类分级结果持续适配数据处理安全管理实际需求。8.1定期常态化复核数据处理者每年至少组织一次全面数据分类分级专项复核工作，全面核查数据分类准确性、分级合理性、台账完整性，针对业务新增数据、淘汰废弃数据、业务调整变更数据，及时完成分类分级新增、修改、注销等调整工作，更新完善数据分类分级台账，同步同步调整对应安全管控措施。8.2不定期动态调整当出现国家数据安全相关法律法规标准更新、行业安全管控政策调整、单位核心业务重大变更、新增大规模数据处理活动、发生数据安全事件或重大数据安全风险隐患等情况时，需在规定时限内启动数据分类分级专项动态调整工作，及时复核修正相关数据分类分级等级，同步优化适配安全防护策略，防范因分类分级滞后引发的数据安全风险。8.3变更记录与归档管理所有数据分类分级新增、修改、注销、调整等变更工作，均需做好全程工作记录，详细标注变更原因、变更内容、变更时间、研判过程、审批人员等关键信息，所有工作台账、研判报告、审批材料统一归档留存，归档保存期限符合数据安全合规管理及行业档案管理相关要求，确保分类分级变更全程可追溯、可核查、可追责。9分类分级配套安全管控适配要求数据处理者需严格按照数据不同分类分级安全等级，配套落实差异化、精准化、全生命周期安全管控措施，实现分类分级与安全防护深度融合，切实筑牢不同等级数据安全防护屏障。9.1一级一般数据管控要求针对一级一般数据，落实基础常规安全管理措施，做好数据基础访问权限管控、日常操作日志记录、基础存储安全防护和常规数据备份工作，规范内部日常数据使用管理流程，无需额外增设特殊强化防护措施，在保障数据安全的前提下，兼顾数据高效便捷使用和业务正常流转。9.2二级重要数据管控要求针对二级重要数据，落实强化专项安全