2023年8月，財(cái)政部發(fā)布《企業(yè)數(shù)據(jù)資源相關(guān)會(huì)計(jì)處理暫行規(guī)定》（以下簡(jiǎn)稱《暫行規(guī)定》），明確數(shù)據(jù)要素可以在一定條件下作為資產(chǎn)入表，這意味著數(shù)據(jù)要素需要在市場(chǎng)上交易流通，整個(gè)過程包含了成本投入和價(jià)值產(chǎn)出。《暫行規(guī)定》的出臺(tái)進(jìn)一步揭示了不同領(lǐng)域和行業(yè)涉及的數(shù)據(jù)類型和特征是多種多樣的，因此，在推進(jìn)數(shù)據(jù)流通交易前，對(duì)數(shù)據(jù)進(jìn)行分類分級(jí)是非常關(guān)鍵且必要的。

數(shù)據(jù)分類分級(jí)的目的是準(zhǔn)確識(shí)別一系列信息系統(tǒng)中產(chǎn)生的海量數(shù)據(jù)，包括個(gè)人隱私信息、重要數(shù)據(jù)、核心數(shù)據(jù)等各種敏感數(shù)據(jù)，并對(duì)這些敏感數(shù)據(jù)資源實(shí)施多重安全保護(hù)，使之滿足我國(guó)法律法規(guī)中關(guān)于數(shù)據(jù)保護(hù)的新要求，以便在保障信息數(shù)據(jù)來源安全、合法的基礎(chǔ)上進(jìn)一步推進(jìn)數(shù)據(jù)開放共享。

目前，業(yè)界對(duì)于數(shù)據(jù)分類分級(jí)尚無明確定義，但從國(guó)家及地方發(fā)布的相關(guān)政策法規(guī)文件中可以看出，數(shù)據(jù)分類分級(jí)包含了數(shù)據(jù)分類、數(shù)據(jù)分級(jí)兩大部分。

數(shù)據(jù)分類是指根據(jù)數(shù)據(jù)的屬性、特征、價(jià)值、重要性和敏感性等因素，按照相應(yīng)的規(guī)則對(duì)數(shù)據(jù)做不同維度的區(qū)分整理，并構(gòu)建合適的數(shù)據(jù)分類體系。數(shù)據(jù)分類是做好數(shù)據(jù)資產(chǎn)管理的第一要?jiǎng)?wù)，無論是對(duì)數(shù)據(jù)資產(chǎn)做數(shù)據(jù)標(biāo)準(zhǔn)管理、數(shù)據(jù)模型管理、數(shù)據(jù)質(zhì)量管理、數(shù)據(jù)價(jià)值管理，還是對(duì)外提供數(shù)據(jù)資產(chǎn)相關(guān)服務(wù)，都需要先做好數(shù)據(jù)分類。

數(shù)據(jù)分級(jí)是指在數(shù)據(jù)分類的基礎(chǔ)上，根據(jù)數(shù)據(jù)的敏感程度和數(shù)據(jù)遭到篡改、破壞、泄露或非法獲取、非法利用后對(duì)受害者造成的影響程度，將數(shù)據(jù)按不同級(jí)別劃分，從而實(shí)現(xiàn)數(shù)據(jù)的差異化保護(hù)。數(shù)據(jù)分級(jí)更多是從安全合規(guī)性要求、數(shù)據(jù)保護(hù)要求的角度出發(fā)，我們稱之為數(shù)據(jù)敏感度分級(jí)更為貼切。

總體而言，數(shù)據(jù)分類分級(jí)的對(duì)象通常是數(shù)據(jù)項(xiàng)、數(shù)據(jù)集。其中，數(shù)據(jù)項(xiàng)是指在數(shù)據(jù)庫(kù)表中定義的某一列字段，數(shù)據(jù)集則是指由若干個(gè)數(shù)據(jù)項(xiàng)組成的集合（數(shù)據(jù)庫(kù)表、數(shù)據(jù)文件等）。無論何時(shí)，數(shù)據(jù)分類與數(shù)據(jù)分級(jí)都密不可分。因此，在企業(yè)進(jìn)行數(shù)據(jù)資產(chǎn)管理或數(shù)據(jù)安全治理的過程中，數(shù)據(jù)資產(chǎn)的分類與分級(jí)一般都是聯(lián)合進(jìn)行的，我們可稱之為企業(yè)數(shù)據(jù)資源分類分級(jí)。

表1 數(shù)據(jù)基本級(jí)別

在現(xiàn)代信息社會(huì)數(shù)據(jù)呈現(xiàn)爆炸式增長(zhǎng)，以及數(shù)據(jù)安全、數(shù)據(jù)流通等問題日益受到重視的趨勢(shì)下，數(shù)據(jù)分類分級(jí)制度的建設(shè)作為數(shù)據(jù)保護(hù)問題拆解后的一項(xiàng)基礎(chǔ)性工作，逐步被國(guó)家、地方政府和企業(yè)等主體關(guān)注。

目前，我國(guó)已初步形成了以國(guó)家政策法規(guī)及各類行業(yè)標(biāo)準(zhǔn)規(guī)范為主的數(shù)據(jù)安全管理體系，各種行業(yè)標(biāo)準(zhǔn)規(guī)范也相繼發(fā)布。

但是，在實(shí)際生產(chǎn)運(yùn)營(yíng)過程中實(shí)施數(shù)據(jù)分類分級(jí)時(shí)，企業(yè)仍然存在數(shù)據(jù)分類分級(jí)保護(hù)意識(shí)不強(qiáng)、數(shù)據(jù)分類分級(jí)指引不足、難以厘清各類型數(shù)據(jù)的邊界、陷入數(shù)據(jù)維度困境（單一維度無法涵蓋全部數(shù)據(jù)、多維度易產(chǎn)生混亂）等問題。

在此背景下，將現(xiàn)有的國(guó)家或行業(yè)標(biāo)準(zhǔn)的制定思路和原則作為數(shù)據(jù)分類分級(jí)的風(fēng)向標(biāo)，依然具有重要的指導(dǎo)意義。

（1）數(shù)據(jù)分類方法

數(shù)據(jù)分類分級(jí)的基本原則是數(shù)據(jù)分類管理和數(shù)據(jù)分級(jí)保護(hù)。從企業(yè)經(jīng)營(yíng)維度來看，我們可以將企業(yè)運(yùn)行數(shù)據(jù)分為用戶相關(guān)數(shù)據(jù)、企業(yè)業(yè)務(wù)數(shù)據(jù)、經(jīng)營(yíng)管理相關(guān)數(shù)據(jù)、系統(tǒng)運(yùn)行數(shù)據(jù)和安全數(shù)據(jù)。

用戶相關(guān)數(shù)據(jù)是指企業(yè)在為客戶提供產(chǎn)品或服務(wù)的過程中向個(gè)人或組織采集的數(shù)據(jù)信息，以及企業(yè)在開展業(yè)務(wù)過程中產(chǎn)生的應(yīng)歸屬于用戶群體的數(shù)據(jù)信息，主要包括個(gè)人信息（個(gè)人自然信息、個(gè)人身份鑒別信息等）、組織信息（組織基本情況、信用信息等）。

企業(yè)業(yè)務(wù)數(shù)據(jù)是指企業(yè)在生產(chǎn)或經(jīng)營(yíng)過程中形成的與企業(yè)自身相關(guān)的數(shù)據(jù)信息。我們可以參考企業(yè)業(yè)務(wù)所屬行業(yè)對(duì)產(chǎn)生的數(shù)據(jù)進(jìn)行分類分級(jí)，也要注意結(jié)合企業(yè)自身的業(yè)務(wù)特點(diǎn)進(jìn)行細(xì)分，如產(chǎn)品數(shù)據(jù)、合同協(xié)議等。

經(jīng)營(yíng)管理相關(guān)數(shù)據(jù)是指企業(yè)在日常經(jīng)營(yíng)和管理過程中采集到的各類型數(shù)據(jù)，這些數(shù)據(jù)既包括內(nèi)部產(chǎn)生的數(shù)據(jù)，也包括外部采集的數(shù)據(jù)，如公司經(jīng)營(yíng)戰(zhàn)略、財(cái)務(wù)數(shù)據(jù)、并購(gòu)?fù)顿Y及債務(wù)融資信息、人力資源數(shù)據(jù)等。

系統(tǒng)運(yùn)行數(shù)據(jù)和安全數(shù)據(jù)顯示了網(wǎng)絡(luò)和信息系統(tǒng)的日常運(yùn)維情況，包括系統(tǒng)配置參數(shù)、網(wǎng)絡(luò)設(shè)備的安全管理監(jiān)測(cè)數(shù)據(jù)、日志數(shù)據(jù)和網(wǎng)絡(luò)安全漏洞信息等。

除上述四個(gè)維度之外，企業(yè)數(shù)據(jù)劃分還可以繼續(xù)向下拓展，進(jìn)一步做二級(jí)子類、三級(jí)子類細(xì)分，如參照《基礎(chǔ)電信企業(yè)數(shù)據(jù)分類分級(jí)方法》中的企業(yè)數(shù)據(jù)分類范例，用戶數(shù)據(jù)可繼續(xù)細(xì)分為用戶身份相關(guān)類數(shù)據(jù)、用戶服務(wù)內(nèi)容相關(guān)數(shù)據(jù)及其衍生的信息數(shù)據(jù)、用戶信息統(tǒng)計(jì)分析類數(shù)據(jù)。

（2）數(shù)據(jù)分級(jí)方法

根據(jù)危害影響程度，我們可以將數(shù)據(jù)分為一般數(shù)據(jù)、重要數(shù)據(jù)、核心數(shù)據(jù)。其中，針對(duì)一般數(shù)據(jù)，企業(yè)比較常用的分級(jí)規(guī)則是按數(shù)據(jù)的敏感/重要程度從低到高依次分為公開（1級(jí)）、秘密（2級(jí)）、機(jī)密（3級(jí)）、絕密（4級(jí)）四個(gè)級(jí)別。數(shù)據(jù)基本級(jí)別如表1所示，一般數(shù)據(jù)分級(jí)規(guī)則如表2所示。

表2 一般數(shù)據(jù)分級(jí)規(guī)則

（3）企業(yè)數(shù)據(jù)分類分級(jí)流程

企業(yè)數(shù)據(jù)分類分級(jí)的流程一般包括確定項(xiàng)目組、梳理數(shù)據(jù)資產(chǎn)、確定標(biāo)準(zhǔn)和原則、進(jìn)行數(shù)據(jù)分類、劃定安全級(jí)別、明確分類分級(jí)更新管理等。以工業(yè)數(shù)據(jù)為例，相應(yīng)的數(shù)據(jù)分類分級(jí)流程如圖1所示。

圖1 工業(yè)數(shù)據(jù)分類分級(jí)流程

分類分級(jí)準(zhǔn)備過程主要包括實(shí)地調(diào)研企業(yè)生產(chǎn)數(shù)據(jù)現(xiàn)狀，并基于此初步形成企業(yè)數(shù)據(jù)分類分級(jí)計(jì)劃。數(shù)據(jù)分類分級(jí)需結(jié)合企業(yè)的實(shí)際情況，明確本行業(yè)本領(lǐng)域管理的數(shù)據(jù)范圍，并基于行業(yè)相關(guān)的監(jiān)管政策和標(biāo)準(zhǔn)規(guī)范，厘清企業(yè)數(shù)據(jù)的來源情況（數(shù)據(jù)產(chǎn)生的部門、數(shù)據(jù)產(chǎn)生的頻率、數(shù)據(jù)量等）、數(shù)據(jù)的存儲(chǔ)情況、數(shù)據(jù)所屬業(yè)務(wù)類型、數(shù)據(jù)應(yīng)用場(chǎng)景及應(yīng)用方式等。在充分調(diào)研的基礎(chǔ)上，明確數(shù)據(jù)分類分級(jí)目標(biāo)、數(shù)據(jù)分類維度、數(shù)據(jù)分級(jí)依據(jù)、評(píng)估方法等方案。

實(shí)施分類分級(jí)過程主要包括擬定數(shù)據(jù)分類分級(jí)實(shí)施流程，并輸出執(zhí)行成果。以工業(yè)數(shù)據(jù)為例，我們?cè)跇I(yè)務(wù)類型、應(yīng)用場(chǎng)景、產(chǎn)生頻率及數(shù)據(jù)生命周期等不同維度上分別進(jìn)行分類（如表3所示），擬定具體的分類分級(jí)實(shí)施流程，并按照擬定的實(shí)施流程組織企業(yè)相關(guān)部門和人員開展相關(guān)工作，輸出數(shù)據(jù)分類分級(jí)標(biāo)準(zhǔn)、數(shù)據(jù)分類分級(jí)報(bào)告、數(shù)據(jù)分類分級(jí)清單等成果。

表 3 工業(yè)數(shù)據(jù)分類維度

持續(xù)改進(jìn)過程主要包括定期評(píng)估和安全級(jí)別更新。定期評(píng)估主要是針對(duì)數(shù)據(jù)分類分級(jí)的維度、數(shù)據(jù)分類的劃分方法、數(shù)據(jù)安全級(jí)別的判定、數(shù)據(jù)分類分級(jí)的結(jié)果、數(shù)據(jù)分級(jí)管控的防護(hù)措施及管控效果等進(jìn)行評(píng)估，檢查數(shù)據(jù)分級(jí)分類是否合理、能否滿足企業(yè)需求等，并根據(jù)評(píng)估意見對(duì)數(shù)據(jù)分類分級(jí)過程作適當(dāng)調(diào)整和完善，當(dāng)因公司業(yè)務(wù)、政策監(jiān)管等因素變動(dòng)導(dǎo)致數(shù)據(jù)的影響范圍和影響程度發(fā)生變化時(shí)，數(shù)據(jù)的安全級(jí)別也須進(jìn)行相應(yīng)的變更調(diào)整。工業(yè)數(shù)據(jù)分級(jí)分類判定標(biāo)準(zhǔn)和防護(hù)等級(jí)要求如表4所示。

表4 工業(yè)數(shù)據(jù)分級(jí)分類判定標(biāo)準(zhǔn)和防護(hù)等級(jí)要求

分類分級(jí)標(biāo)準(zhǔn)制定只是企業(yè)數(shù)據(jù)分類分級(jí)安全管理工作的起點(diǎn)，要真正落實(shí)數(shù)據(jù)分類分級(jí)安全要求，還需要?jiǎng)?chuàng)建配套的實(shí)施流程和工具庫(kù)，確保能夠在不同的業(yè)務(wù)場(chǎng)景中識(shí)別并標(biāo)識(shí)顯示數(shù)據(jù)的分類分級(jí)信息，進(jìn)而實(shí)施對(duì)應(yīng)的安全措施。

此處以某國(guó)有大型離散型制造業(yè)企業(yè)為例，詳述工業(yè)企業(yè)的數(shù)據(jù)分類分級(jí)流程，具體實(shí)施流程包括數(shù)據(jù)維度劃分、系統(tǒng)盤點(diǎn)與業(yè)務(wù)梳理、數(shù)據(jù)梳理、數(shù)據(jù)歸類等。

（1）數(shù)據(jù)維度劃分

設(shè)立專門的工作組，工作組人員通過查閱企業(yè)集團(tuán)架構(gòu)、產(chǎn)線業(yè)務(wù)、數(shù)據(jù)管理基本情況等資料，按照《工業(yè)數(shù)據(jù)分類分級(jí)指南(試行)》中的數(shù)據(jù)分類維度，將該工業(yè)企業(yè)數(shù)據(jù)域劃分為研發(fā)設(shè)計(jì)數(shù)據(jù)域、生產(chǎn)控制數(shù)據(jù)域、管理數(shù)據(jù)域、運(yùn)維數(shù)據(jù)域、外部數(shù)據(jù)域五個(gè)部分。

研發(fā)設(shè)計(jì)數(shù)據(jù)域可能包含的工業(yè)數(shù)據(jù)類型有研發(fā)設(shè)計(jì)數(shù)據(jù)、開發(fā)和測(cè)試成果數(shù)據(jù)等。生產(chǎn)控制數(shù)據(jù)域可能包含的工業(yè)數(shù)據(jù)類型有控制單元信息、工況狀態(tài)、工藝參數(shù)、系統(tǒng)日志記錄等。

管理數(shù)據(jù)域可能包含的工業(yè)數(shù)據(jù)類型有設(shè)備資產(chǎn)信息、客戶需求與服務(wù)情報(bào)、商品供應(yīng)商數(shù)據(jù)、業(yè)務(wù)統(tǒng)計(jì)數(shù)據(jù)等。

運(yùn)維數(shù)據(jù)域可能包含的工業(yè)數(shù)據(jù)類型有物流數(shù)據(jù)、產(chǎn)品與售后服務(wù)跟蹤數(shù)據(jù)等。外部數(shù)據(jù)域可能包含的工業(yè)數(shù)據(jù)類型有與外部其他信息主體相互共享的數(shù)據(jù)等。

（2）系統(tǒng)盤點(diǎn)與業(yè)務(wù)梳理

工作人員根據(jù)企業(yè)實(shí)際情況，從系統(tǒng)盤點(diǎn)入手，梳理工業(yè)數(shù)據(jù)來源。通過整理企業(yè)重要資產(chǎn)設(shè)備清單，結(jié)合上一步劃分的五個(gè)數(shù)據(jù)域，工作人員從清單中依次篩選出屬于各數(shù)據(jù)域的系統(tǒng)設(shè)備。隨后，工作人員繼續(xù)查閱企業(yè)主營(yíng)業(yè)務(wù)活動(dòng)流程、主要產(chǎn)品工序的詳細(xì)描述信息，保障系統(tǒng)臺(tái)賬基本覆蓋全部工業(yè)數(shù)據(jù)來源。

研發(fā)設(shè)計(jì)數(shù)據(jù)域涉及的系統(tǒng)包含產(chǎn)品研發(fā)ERP系統(tǒng)、配方信息管理系統(tǒng)等，對(duì)應(yīng)的責(zé)任部門為產(chǎn)品研發(fā)部門、配料研發(fā)部門等。

生產(chǎn)控制數(shù)據(jù)域涉及的系統(tǒng)包含能源管理系統(tǒng)、生產(chǎn)指揮系統(tǒng)等，對(duì)應(yīng)的責(zé)任部門為源調(diào)度部門、生產(chǎn)車間等。

管理數(shù)據(jù)域涉及的系統(tǒng)包含銷售ERP系統(tǒng)、人力資源管理系統(tǒng)等，對(duì)應(yīng)的責(zé)任部門為銷售部門、人力資源部門等。

運(yùn)維數(shù)據(jù)域代表性的系統(tǒng)為物流管理系統(tǒng)，對(duì)應(yīng)的責(zé)任部門為供應(yīng)鏈管理部門。外部數(shù)據(jù)域代表性的系統(tǒng)為綜合項(xiàng)目管理系統(tǒng)，對(duì)應(yīng)的責(zé)任部門為項(xiàng)目管理部門。

（3）數(shù)據(jù)梳理

根據(jù)系統(tǒng)盤點(diǎn)與業(yè)務(wù)梳理后形成的系統(tǒng)臺(tái)賬，工作人員通過系統(tǒng)登錄查閱、人員訪談等形式，確定各個(gè)系統(tǒng)中涉及的各類工業(yè)數(shù)據(jù)，并記錄各條數(shù)據(jù)信息，形成數(shù)據(jù)條目。部分?jǐn)?shù)據(jù)條目如表5所示。

表5 企業(yè)部分?jǐn)?shù)據(jù)條目

（4）數(shù)據(jù)歸類

工作人員梳理、整合所有數(shù)據(jù)條目的類型，攜手?jǐn)?shù)據(jù)來源、使用及責(zé)任部門，通過歸并整合、細(xì)分子類等方式，形成企業(yè)工業(yè)數(shù)據(jù)清單。在完成數(shù)據(jù)分類的基礎(chǔ)上，工作人員將按照數(shù)據(jù)域的順序依次約談各類數(shù)據(jù)涉及的管理部門相關(guān)人員，并發(fā)放調(diào)查問卷，確定各類數(shù)據(jù)的級(jí)別并標(biāo)明原因。企業(yè)部分?jǐn)?shù)據(jù)定級(jí)結(jié)果如表6所示。

表 6 企業(yè)部分?jǐn)?shù)據(jù)定級(jí)結(jié)果

表 7 企業(yè)部分?jǐn)?shù)據(jù)分類分級(jí)管理目錄

在此案例中，工業(yè)數(shù)據(jù)分類結(jié)果顯示共有約25個(gè)數(shù)據(jù)大類和60個(gè)一級(jí)子類。在數(shù)據(jù)定級(jí)方面，該企業(yè)一級(jí)數(shù)據(jù)占比75%左右，二級(jí)數(shù)據(jù)占比25%左右，未發(fā)現(xiàn)三級(jí)數(shù)據(jù)，分類分級(jí)管理目錄如表7所示。

總體而言，企業(yè)數(shù)據(jù)分類分級(jí)是一項(xiàng)需要圍繞數(shù)據(jù)持續(xù)開展的工作，涉及企業(yè)生產(chǎn)、管理、運(yùn)營(yíng)各方面和企業(yè)數(shù)據(jù)的全生命周期，需要企業(yè)全員持續(xù)參與。

目前，企業(yè)的數(shù)據(jù)分類分級(jí)仍處于探索階段，數(shù)據(jù)復(fù)雜度高、數(shù)據(jù)規(guī)模龐大等問題導(dǎo)致企業(yè)在推進(jìn)數(shù)據(jù)分類分級(jí)實(shí)踐過程中遇到了許多問題。因此，企業(yè)推進(jìn)數(shù)據(jù)分類分級(jí)工作還需滿足動(dòng)態(tài)管理、持續(xù)開展、可追溯和可審計(jì)等要求，不斷更新、優(yōu)化、完善數(shù)據(jù)分類分級(jí)流程。

來源：軟件和集成電路