《信息安全技术 数据分类分级指南》全解析

GB/T43697-2024国家标准解读数据分类分级国家标准全解析分类分级重要数据识别落地实施汇报时间：202601标准定位与制度背景从数据安全法到核心国标02数据分类框架与方法先行业领域再业务属性03数据分级规则与判定三级体系与影响分析04实施流程与落地路径六步法与组织保障05行业实践与合规展望行业指南与监管趋势GB/T43697-2024全解析课程导览五个模块逐层展开，帮助学员建立从标准定位到落地实践的整体认知。01标准定位与制度背景从数据安全法到核心国标上位法依据数据安全法确立保护制度根基法律依据012021年9月1日施行的《数据安全法》第二十一条明确：国家建立数据分类分级保护制度。制度升级02与《网络安全法》《个人信息保护法》共同构成顶层法律框架，分类分级从行业自律提升为法定要求。政策衔接03《中共中央

国务院关于构建数据基础制度更好发挥数据要素作用的意见》要求：在分类分级保护制度下推进确权授权使用与市场化流通交易。落地影响04分类分级贯穿数据资产管理、访问控制、风险评估、跨境传输全流程，是监管检查与企业审计的首要对象。GB/T43697-2024全解析04/30标准身份·数据分类分级核心国标补齐全周期技术依据GB/T43697—2024《数据安全技术

数据分类分级规则》由全国网络安全标准化技术委员会归口制定，将《数据安全法》要求落到可执行层面。发布与实施2024年3月15日发布，2024年10月1日正式实施标准编号中国标准分类号

L80，国际标准分类号

35.030前身2022年9月《信息安全技术

网络数据分类分级要求》征求意见稿，整合调整后更名发布起草阵容中国电子技术标准化研究院、清华大学、华为、阿里巴巴、蚂蚁科技、抖音、百度等

37家机构更名后以「数据安全技术」命名的第一部国家标准GB/T43697-2024全解析05/30适用范围适用边界与功能定位一目了然适用对象行业领域主管（监管）部门制定本行业数据分类分级标准规范各地区、各部门开展数据分类分级工作数据处理者开展同类工作两项排除不适用本标准涉及国家秘密的数据按保密相关法规管理，不适用本标准军事数据另行按军事领域规定管理功能定位解决三个问题统一此前各行业规则不一致的局面厘清重要数据界定模糊的痛点补足缺少统一方法指引的短板GB/T43697-2024全解析06/30010203标准结构七个章节十个附录支撑全文正文七章

层层递进01第1–3章说明主要内容、适用范围，界定核心数据、重要数据、一般数据等关键概念02第4章数据分类分级应遵循的基本原则03第5章数据分类框架和分类方法04第6章数据分级框架和分级方法05第7章从行业领域主管部门和数据处理者两个角度，描述分类分级工作的参考流程十个附录

工具箱可查阅规范性附录重要数据识别指南全文唯一具有强制参照地位的规范性附录其余附录覆盖数据分类参考示例个人信息分类示例分级要素识别常见考虑因素影响对象考虑因素影响程度参考示例一般数据分级衍生数据分级动态更新情形GB/T43697-2024全解析07/3002数据分类框架与方法先行业领域再业务属性数据分类分级先行业领域再业务属性分类01确认行业领域数据先落到明确领域，确保每条数据有清晰归属。工业电信金融能源交通运输自然资源卫生健康教育科学数据02领域内细化分类由各行业领域主管（监管）部门依据业务属性，对本行业数据做精细归集。旧问题：分类维度繁多、口径不一两步设计：每条数据先落领域，再在领域内完成归集分类是分级的前置条件——任何数据的定级都离不开分类。二者在数据安全治理与数据资产管理中统称数据分类分级。GB/T43697-2024全解析09/30数据分类分级行业领域分类提供第一层坐标行业领域是数据分类的第一层坐标，标准按所属领域划分主类：国家层面的基础分类底盘工业电信金融能源交通运输自然资源卫生健康教育科学行业主管部门各行业主管部门在本领域内进一步管理细分规则跨领域数据的处理口径以数据产生场景所在的行业为准归类先对号入座，再谈细分规则数据处理者正式分类前，应先梳理自身业务涉及的全部行业领域，再分别归类，防止部分数据游离在分类体系之外。GB/T43697-2024全解析10/30第二层分类·业务属性细化常见业务属性刻画数据特征01业务领域02内容主题03责任部门04数据用途05描述对象06数据处理07流程环节08数据来源09数据主体不必用尽，按需组合按责任部门原材料装备制造消费品电子信息制造软件和信息技术服务按数据来源用户数据业务数据经营管理数据系统运行数据“颗粒度决定分级可操作性GB/T43697-2024全解析11/30数据分类分级特殊数据类别按专门要求识别01法定衔接涉及专门管理要求的数据，按有关规定和标准识别分类，不简单归入业务属性。02典型类别个人信息、敏感个人信息衔接《个人信息保护法》；公共数据、汽车数据同理单独处理。03实操路径先用正则表达式筛查身份证号、手机号、银行卡号等明显特征，完成敏感类型初判，再交人工复核确认。正则筛查特征敏感类型初判人工复核确认这一步直接决定分类成果能否获得法务与合规部门认可。GB/T43697-2024全解析12/3003数据分级规则与判定三级体系与影响分析数据分级三级分级框架先看危害程度分级目的保护数据安全：依据数据在经济社会发展中的重要程度，以及遭泄露、篡改、损毁或非法获取、使用、共享后对六类对象造成的危害程度进行分级。01核心数据02重要数据03一般数据危害程度从高到低判定逻辑回到影响后果判断，而非只看“是否敏感”。同一条数据因覆盖范围、汇聚规模不同，可能落入不同级别。前置条件任何定级都建立在分类基础之上——先明确数据是什么、属于哪个业务环节，再评估其影响。GB/T43697-2024全解析14/30数据分类分级·术语基准三级术语界定各自保护边界01核心数据覆盖度、精度、规模、深度均较高，非法使用或共享可能直接影响政治安全。范围锁定国家安全重点领域、国民经济命脉、重要民生、重大公共利益，及经国家有关部门评估确定的其他数据。02重要数据限于特定领域、群体、区域或达一定精度规模，泄露、篡改、损毁可能直接危害国家安全、经济运行、社会稳定、公共健康和安全。03一般数据核心与重要数据之外的全部数据，涵盖范围最广。数据处理者可结合自身需求进一步细化分级。GB/T43697-2024全解析15/30数据分级·分级要素八类分级要素支撑定级判断定性要素05项结合业务语境判断01领域02群体03区域04重要性05安全风险定量要素03项借助数据字典与元数据统计获得06精度07规模08覆盖度衍生数据

深度

作为主要分级要素要素识别越完整，级别判定越有据可依，经得起

监管抽查与

内部审计检验。GB/T43697-2024全解析16/30数据危害定级六大影响对象三大危害等级影响对象

＼

危害程度特别严重危害严重危害一般危害01国家安全02经济运行03社会秩序04公共利益05组织权益06个人权益影响对象

×

危害程度构成二维矩阵，逐条数据对号入座五分钟内完成初步定级使定级工作可复制、可复核为后续执行「就高从严」原则提供清晰的操作界面GB/T43697-2024全解析17/30数据分级·级别确定规则就高从严与其他确定规则就高从严——级别确定的总口径多因素冲突时，按可能造成的最高影响程度定级，禁止因业务便利或成本考虑自行降级。三类特殊情形·逐项把握01数据集依据其中最高等级的数据项，确定数据集整体级别。02衍生数据经统计、关联、挖掘、聚合或去标识化加工后，仍能恢复还原为重要数据、核心数据的，原则上按原等级管理。03跨行业领域数据分别参照各相关行业领域规范，细化执行。一般数据涵盖范围广，处理者可结合自身需求进一步细化，实现差异化防护。GB/T43697-2024全解析18/30附录G·规范性附录解读重要数据识别指南单独成章附录G以规范性附录形式给出「重要数据识别指南」，首次实现分类方法论＋重要数据识别双轨合一。识别边界仅影响组织自身或公民个体的数据，一般不作为重要数据中小企业由此获得最小化合规路径，避免普通客户信息过度定级触发门槛累计用户量、数据精度达到一定规模时，仍可能触发重要数据判定应逐项对表判断，并非所有客户资料都可免于判定一份标准即可覆盖分类、分级与重要数据识别的完整链条。GB/T43697-2024全解析19/3004实施流程与落地路径六步法与组织保障数据分类分级六步流程贯穿处理者全周期从「摸清家底」到「常态运转」，六步构成完整闭环。行业衔接三情形已有行业规则或重要数据目录按行业要求执行无行业规范，或存在未覆盖类型按本标准执行业务涉及多个行业领域参考本标准，分别按各行业规范细化执行理解这三层衔接逻辑，是规划落地路径的前提。GB/T43697-2024全解析21/3001数据资产梳理02制定内部规则03实施数据分类04实施数据分级05审核上报目录06动态更新管理数据分类分级资产梳理是分级工作的地基01目标形成完整数据资产清单，覆盖结构化与非结构化数据。02盘点对象数据库表、数据项、数据文件等物理或电子记录03双轨推进被动发现解析应用访问流量，无需数据库账号口令，识别活跃数据主动扫描配置数据源账号采样，覆盖无业务流量的冷数据04清单要件存储位置格式数量责任部门清单不全，后续定级必有盲区。GB/T43697-2024全解析22/30落地实施内部规则决定分类分级口径01管理办法明确职责分工与工作流程02分级定义说明用业务语言解释每级含义与管控要求03分类分级模板证件号、银行卡号、手机号、账户信息、地址、生物识别信息等敏感类型逐一对应识别方式验收口径只有一条验收标准业务部门能用自己话说清每一级的含义说得出来，标准才算立住；说不出来，后续打标就会变成安全团队单方面定级，业务部门不认可，成果难以落地。GB/T43697-2024全解析23/30数据分类分级分类分级实施与目录上报衔接自动识别先行，人工稽核兜底自动识别引擎按规则对数据字段打标，形成分类分级清单初稿；随后必须经过人工稽核——每个字段追溯到责任人，级别合理性由法务、安全、业务等部门联合评审。重要数据，审慎确认被标识为重要数据的条目，须逐条审慎确认，不得仅凭引擎结果直接定级。审核上报，形成闭环第五步对分类分级结果审核完善后批准发布，形成数据分类分级清单和重要数据、核心数据目录，并按程序向有关主管部门报送。清单若未能衔接后续保护措施，成果就停在纸面——这是最常见的一类落地失败模式。GB/T43697-2024全解析24/30010203持续治理机制动态更新与三层组织保障成闭环触发更新数据内容变化时效性变化规模变化使用场景变化加工方式变化汇聚融合调整监管要求调整出现上述情形时，须更新规则、目录与清单标识量化抓手72小时新业务变更后

72小时内启动更新流程定期复审覆盖率与准确率三层组织01决策层高管牵头，定目标、批资源、裁争议分类分级不是一次性项目，而是持续运转的治理机制GB/T43697-2024全解析25/3002执行层业务调研、技术实施、标准制定专项小组03监督层内审或第三方定期检查执行情况05行业实践与合规展望行业指南与监管趋势行业实践·金融信息服务金融信息服务首开行业四级先河2026年6月，六部门联合印发《金融信息服务数据分类分级指南》，参照GB/T43697-2024构建行业细分规则。分类三级结构一级3

类业务数据、用户数据、企业数据二级9

类三级67

类分级创新：一般数据再切分国标三级核心重要一般金融四级核心重要敏感一般常规一般量化红线累计100万条普通人基础信息

→

直接划为重要数据10万条人脸、指纹等生物数据

→

直接划为重要数据达到红线即重要，加密隔离存储是硬要求GB/T43697-2024全解析27/30多行业专项指南能源教育工业各自细化落地能源行业率先细化2026年6月30日，国家能源局发布《能源行业数据分类分级指南（2026年版）》，自2026年7月1日起施行，适用于境内能源行业非密数据。一级分类按能源