数据分类分级是政务数据安全治理的基础性环节，也是共享、开放与授权运营的前提条件。随着《政务数据共享条例》（国务院令第809号，2025年8月1日施行）将“统一目录管理”和“全生命周期安全责任”上升为行政法规义务，以及GB/T 45396—2025《数据安全技术 政务数据处理安全要求》（2025年10月1日实施）对政务数据处理全流程提出可验证的指标体系，分类分级已从“倡导性工作”转变为“法定义务与技术基线”。需要说明的是，目前国家层面尚未出台统一的《政务数据分类分级实施细则》。现行有效的是“法律—行政法规—国家标准—地方及部门规范”四层结构，各地各部门印发的“实施细则”“指南”“规范”均在这一框架内细化。因此，神龙谈数字（神龙同城科技（成都）有限责任公司）基于实践，按“上位依据—核心规则—实施流程—落地要点”的逻辑进行解读，具体执行以本地区、本部门正式印发的文本为准。
| | |
|---|
| 《网络安全法》《数据安全法》《个人信息保护法》《保守国家秘密法》 | 确立数据分类分级保护制度、个人信息保护义务、涉密数据另行管理 |
| 《网络数据安全管理条例》（国务院令第790号，2025年1月1日施行）；《政务数据共享条例》（国务院令第809号，2025年8月1日施行） | 明确重要数据目录管理、处理者主体责任；明确政务数据范围、共享属性分类、目录管理与安全责任 |
| GB/T 43697—2024《数据安全技术 数据分类分级规则》（2024年10月1日实施）；GB/T 45396—2025《数据安全技术 政务数据处理安全要求》（2025年10月1日实施）；GB/T 38667—2020《信息技术 大数据 数据分类指南》 | 提供分类分级方法、重要数据识别指南、政务数据处理安全合规评估指标 |
| 各省（区、市）公共数据或政务数据分类分级指南、规范，以及市级实施细则、目录编制规范等 | 明确本地区类别体系、级别划分、流程时限、审核主体与保护措施，是直接操作依据 |
理解这一结构有助于把握两项边界：其一，涉密数据不适用分类分级细则，须依保密法律法规管理；其二，国家标准为推荐性标准，但一旦被地方法规、部门规章或合同引用即产生约束力，且是监督检查与合规评估的主要技术依据。《政务数据共享条例》明确，政务数据是政府部门在依法履行职责过程中收集和产生的各类数据，不包括属于国家秘密、工作秘密的数据。这意味着分类分级的对象是非涉密政务数据，但实践中仍需同步识别国家秘密与工作秘密并予以排除，防止将涉密事项纳入共享目录。这一“先排除、后分类”的步骤不可省略。分类解决“是什么、归谁管、怎么用”，旨在便于管理和使用；分级解决“风险多大、怎么护”，旨在匹配保护措施。两者顺序上应先分类、后分级，结果上共同进入政务数据目录，形成“目录—数据—系统”关联。无条件共享、有条件共享、不予共享是共享属性分类，用于界定流通范围；核心数据、重要数据、一般数据是安全级别，用于界定保护强度。二者相关但不等价：不予共享的数据未必是重要数据，无条件共享的数据也可能包含需脱敏的个人信息。将“共享属性”直接等同于“安全级别”，是实务中常见的概念混淆。GB/T 43697—2024确立了“先行业领域、再业务属性”的分类思路。地方细则在此基础上普遍形成三级架构：一级按行业领域或业务职能划分（如人口法人、自然资源、教育、卫健、交通、市场监管等），二级按业务职能细化，三级按内容主题或数据项细化。同时支持从数据来源、共享开放属性、表现形态、更新周期等维度补充分类。方法上采用线分类法、面分类法或混合分类法（GB/T 38667—2020）。分类流程通常包括分类准备、分类选择、分类操作、结果评估与维护改进五个环节。操作中需注意三点：一是坚持一数一源，避免同一数据项在不同系统中重复归类；二是个人信息、敏感个人信息应依照专门标准单独识别与标注，不得混入一般组织数据；三是分类结果应以数据项或数据集为颗粒度落地到目录，而非仅停留在系统层面。- 核心数据：对领域、群体、区域具有较高覆盖度或达到较高精度、较大规模、一定深度，一旦被非法使用或共享可能直接影响政治安全的重要数据；主要包括关系国家安全重点领域、国民经济命脉、重要民生、重大公共利益的数据，以及经国家有关部门评估确定的其他数据。
- 重要数据：特定领域、特定群体、特定区域或达到一定精度和规模，一旦泄露、篡改、损毁可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据。仅影响组织自身或公民个体的数据，一般不作为重要数据。
分级的实质是回答两个问题：影响谁（国家安全、经济运行、社会秩序、公共利益、组织权益、个人权益），影响多大（特别严重危害、严重危害、一般危害）。将影响对象与影响程度交叉，即可确定级别。该判定过程要求可复现、有记录，避免仅凭经验主观定级。- 科学实用：类别与级别设置应贴合本地业务实际，具备可操作性；
- 边界清晰：相邻类别、相邻级别之间界限明确，减少自由裁量空间；
- 就高从严：多因素影响时按最高影响程度定级；数据集级别按所含数据项最高级别确定；不同级别数据难以分别保护时，按最高级别管理；
- 点面结合：兼顾单项数据与多领域、多群体、多区域汇聚融合后的安全影响；
- 动态更新：因内容变化、时效性、规模扩大、应用场景变化、汇聚融合、标准规范更新等情形及时调整级别。
一是汇聚升级。单项看似普通的数据，跨部门、跨年度、跨区域汇聚后可能跨越级别门槛。定级时必须评估聚合效应，不能仅凭单字段判断。二是衍生数据定级主体。原始数据由采集方定级，衍生数据由加工方定级，汇聚数据由汇聚方结合聚合情况、体量、时效性、脱敏程度调整级别。脱敏后的数据可降级，但降级应有依据并留痕。三是一般数据的细分。部分地方和行业在三级框架下将一般数据进一步细分为若干子级（如四级或六级体系），用于内部差异化防护与共享开放规则映射。这属于在国家标准基础上的细化管理措施，执行时应以本地区正式文本为准，并注意与国家三级框架的级别映射关系，避免跨行业协作时出现级别误读。- 组织与职责。落实“谁管理谁负责、谁使用谁负责、谁提供谁负责”，明确本单位主要负责人为第一责任人，设立数据安全管理机构与数据安全负责人，厘清业务部门、信息化部门、保密与密码管理岗位的分工。
- 数据资产梳理。摸清数据底数，建立数据资源清单，明确数据来源、存储位置、系统归属、共享开放现状与受托方情况，形成底数台账。
- 制定内部规则。编制本单位分类分级实施细则或操作指引，明确类别体系、级别判定表、审核权限与时限、标识方法与目录字段。
- 定级与审核。按照判定规则形成初评结果，经业务部门确认、数据安全管理机构复核、负责人批准后生效；重要数据、核心数据须按国家和本地区目录管理机制履行识别、申报与确认程序。
- 标识与入目录。将分类分级结果写入政务数据目录（含名称、数据项、提供单位、格式、更新频率、共享属性、使用条件、分类分级等信息），并在系统中进行标识，实现“目录—数据—系统”关联。
- 差异化保护。依据级别实施相应措施：存储加密与隔离、基于角色或属性的最小权限访问控制、多因素鉴别、传输通道与密码技术应用、操作日志留存与审计、共享开放的审批与脱敏、销毁的不可逆处理及全程记录。相关要求应与网络安全等级保护、密码应用安全性评估相衔接。
- 动态更新与复核。建立定期复核与触发式更新机制，明确更新时限与报送路径，确保目录与实际一致。
- 监督与问责。将分类分级落实情况纳入日常监督检查、风险评估与应急演练，发生数据安全事件时按预案处置并报告。
难点一：底数不清。未经全面盘点便直接定级，容易遗漏历史系统与临时库表。建议以系统和数据库为单位开展全量盘点后再行定级，宁可分批推进，也不跳过盘点环节。难点二：标准打架。国家、行业、地方标准并存且级别体系不完全一致。应对方式是建立级别映射表，明确转换规则，并在跨部门、跨行业数据交换时以接收方要求与本地文本为准进行复核。难点三：只定不用。分类分级结果未接入权限控制、共享审批与开放审核，导致成果停留在表格层面。应将级别字段嵌入业务流程与系统策略，实现策略自动匹配，使分级结果真正发挥约束作用。难点四：重要数据识别缺位。重要数据并非自行认定即可，须按目录管理机制识别、申报并由有关部门确认或公布。实务中应避免两种倾向：一是将所有敏感数据均报为重要数据，二是对明显涉及特定领域、群体、区域且达到一定精度规模的数据视而不见。难点五：外包与受托环节失控。委托建设、运维与数据处理的安全责任不因外包而转移。应在合同中明确处理目的、方式、范围与安全义务，严格限制最高管理员权限由本单位在编人员掌握，任务完成后及时收回权限，并对受托方开展定期审查与审计。分类分级的价值不在于产出一份清单，而在于形成一套可复用、可校验、可追溯的治理基础设施：它让共享有据可依（哪些能无条件共享、哪些需脱敏后共享），让防护有的放矢（资源投向高风险数据），让责任可追可查（谁定级、谁审核、谁使用）。对于各单位而言，当前最务实的动作有三项：一是对照本地区、本部门正式印发的细则逐条校准内部规则；二是完成一次覆盖非涉密政务数据的全量盘点与初评；三是将分类分级结果接入目录管理与权限、共享、开放的业务流程。只有当级别真正进入系统策略，分类分级才算从纸面落到地面。说明：本文依据截至目前的公开法律法规与国家标准进行解读，所涉文件名称、施行日期与核心表述以官方发布文本为准；各地各部门出台的实施细则存在差异，具体操作请严格遵循本地区、本部门正式印发的规范性文件。
![]()
![]()
来源：神龙谈数字，若存在侵权，请联系我们处理；内容有误，也欢迎指正。 
