2026 年，数据合规已经从”要不要做”进入”怎么做到位”的阶段。《数据安全法》确立的数据分类分级保护制度不再只是原则性要求，GB/T 43697-2024《数据安全技术 数据分类分级规则》给出了可操作的方法，各地网信、工信以及行业主管部门的检查也开始逐项对照标准核对。但现实中，多数中小企业的卡点非常一致：知道要分级，却不知道从哪个系统、哪张表开始；好不容易做完一份分级清单，却对不上等保测评和客户审计的要求；文档躺在共享盘里，业务一改就失效。
这篇文章把数据分类分级拆成一条可执行的落地路径，覆盖标准依据、四步实施法、分级后的差异化防护矩阵、中小企业的低成本做法，以及数据出境与持续运营要点。
一、为什么 2026 年必须做数据分类分级
数据分类分级是数据安全治理的”地基”，也是几乎所有后续安全动作的前置条件。
法规层面：《中华人民共和国数据安全法》（2021 年 6 月 10 日通过，2021 年 9 月 1 日施行）第二十一条明确建立数据分类分级保护制度，并确立”核心数据、重要数据、一般数据”的分级框架；《网络数据安全管理条例》（国务院令第 790 号，2024 年 9 月 24 日公布，2025 年 1 月 1 日起施行）进一步细化了重要数据目录管理、数据安全负责人、风险评估与数据出境等要求。
标准层面：GB/T 43697-2024《数据安全技术 数据分类分级规则》（2024 年 3 月 15 日发布，2024 年 10 月 1 日实施）给出了”先分类、后分级”的通用方法与级别划分参考，是目前企业动手做分级最直接的技术依据。配套的 GB/T 43698-2024《网络安全技术 软件供应链安全要求》等标准，则从供应链角度对数据处理活动提出了延伸要求。
测评与审计层面：GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（2019 年 5 月 10 日发布，2019 年 12 月 1 日实施，即”等保 2.0″）已在安全管理制度、数据安全等控制项中要求企业识别数据资产并实施差异化保护。没有分级结论，等保测评中的数据安全条款很难举证，客户的供应商安全审计也容易直接判不通过。
业务层面：分级结论决定了加密、脱敏、权限、审计、备份策略该往哪里投。不分级的直接结果往往是两个极端——要么全部加密导致成本失控、性能下降，要么关键数据完全裸露在普通账号可访问的目录里。
二、四步落地法：从数据资产盘点到分级目录
第一步：组织与制度先行。 明确数据安全负责人（可与信息安全负责人合并，但必须落到具体人名），发布《数据分类分级管理办法》，写清分类维度、分级依据、审批流程与责任部门。制度先行的价值在于：分级结果会直接改变业务部门的数据使用习惯，没有制度背书，业务侧通常不会配合盘点。
第二步：数据资产盘点。 按业务系统逐一梳理：系统承载哪些数据、数据从哪里来、流向哪里、存放在哪个存储。产出一张字段级的《数据资产清单》，至少包含系统名称、数据类别、字段名、是否含个人信息、数据量级、存储位置、对外共享情况。中小企业不必一次覆盖全部系统，优先盘点 OA、ERP 与财务、CRM 与客户系统、HR、研发代码库这五类即可覆盖绝大部分风险敞口。
第三步：分类与分级。 按 GB/T 43697-2024 的思路，先按业务属性分类（如用户数据、业务数据、经营管理数据、系统运维数据），再按”一旦泄露、篡改、丢失或非法利用造成的危害程度”分级。企业落地实践中最常用的是四级模型：
| 级别 | 判定要点 | 典型数据 | 建议措施 |
|---|---|---|---|
| 公开 | 可对外公开，无危害 | 官网内容、公开产品资料 | 常规管理 |
| 内部 | 泄露后影响有限 | 内部通知、一般流程文档 | 访问控制、定期备份 |
| 敏感 | 泄露影响企业或员工权益 | 客户名单、合同、员工薪酬 | 加密、权限最小化、日志审计 |
| 核心/重要 | 泄露影响公共利益或企业存续 | 核心算法、研发图纸、批量个人信息、重要数据目录内数据 | 存储加密、脱敏、DLP、双人审批、独立安全域 |
第四步：打标与动态维护。 分级不是一次性项目。数据资产目录要能随系统变更更新，并设置”触发式复评”——新系统上线、业务模式变化、法规更新、发生安全事件时重新评估。建议把分级标签落到数据库表与字段备注，或写入数据资产平台，让分级结果可以被技术手段读取，而不是只存在于一份 Excel 里。
三、分级之后：差异化防护矩阵
分级的价值只有落到措施上才成立。可以按级别逐层叠加控制手段：
- 公开与内部级：账号实名、最小权限、定期备份与恢复演练。
- 敏感级：传输加密（TLS）、存储加密、导出审批、操作日志留存不少于 6 个月。
- 核心与重要级：独立安全域、密钥集中管理、强制脱敏、DLP 出网管控、堡垒机运维留痕、变更双人复核。
- 先做”最小可行分级”：第一轮只覆盖 3-5 类最关键数据（客户个人信息、财务数据、研发资料），把方法跑通比一次做全更重要。
- 不要一上来就买 DLP：分级尚未完成就采购技术工具，常见结果是工具闲置、策略无人维护。先用制度与权限收敛解决主要问题，再按级别补技术手段。
- 让服务商交付可举证的文件：无论自建还是托管，最终应拿到《数据资产清单》《分类分级目录》《分级防护措施对照表》三份文件，这才是测评与审计时能直接使用的证据。
这套分层逻辑与等保 2.0 的”一个中心、三重防护”（安全管理中心，加上安全计算环境、安全区域边界、安全通信网络）是天然对齐的：分级结论就是边界防护策略、访问控制策略、审计策略的设计输入。先把分级做出来，等保整改中的许多控制项会从”不知道该配什么”变成”按级别配”，投入也能按重要性排序。
四、中小企业的低成本落地路径
中小企业不必照搬大型企业的重型体系，三条路径可结合预算选择：
| 路径 | 适用情况 | 主要投入 | 见效周期 |
|---|---|---|---|
| 自建 | 已有专职安全或 IT 团队 | 人力为主 | 2-4 个月 |
| 工具辅助 | 有 1-2 名 IT 人员、系统数量较多 | 工具订阅费 | 1-2 个月 |
| 服务商托管 | 无专职 IT，且需同时满足等保与客户审计 | 按项目或年费 | 2-6 周 |
三条实操建议：
五、数据出境与持续运营
如果企业使用境外 SaaS、设有海外分支或涉及跨境业务，分级后会直接触发出境合规判断。按现行规则，数据出境主要有三条路径：数据出境安全评估、个人信息出境标准合同备案、个人信息保护认证，具体适用取决于数据级别、数量与接收方情况。路径判断失误是常见风险点，建议在分级完成后同步做一次出境场景梳理。
持续运营方面，建议把三件事写进年度计划：一是数据分类分级目录的年度复评；二是数据安全风险评估（《网络数据安全管理条例》已明确重要数据处理者的评估义务）；三是应急演练，重点验证核心级数据的恢复时间目标（RTO）与恢复点目标（RPO）是否达标。
六、常见问题解答（FAQ）
数据分类分级和数据安全治理是什么关系？
分类分级是数据安全治理的第一步和基础。它先回答”企业有哪些数据、其中哪些更重要”，后续的加密、脱敏、权限、审计、备份策略都以分级结论为依据。跳过分级直接采购安全产品，通常会导致防护投入与实际风险错配。
中小企业规模不大，也一定要做数据分类分级吗？
只要处理个人信息或业务数据，就属于《数据安全法》的适用范围；开展等保测评或面对客户安全审计时，分级结论也是必要举证材料。规模小的企业可以做”最小可行分级”，只覆盖核心数据类别，但不能完全不做。
数据分类分级一般分几级？
GB/T 43697-2024 给出的通用框架是核心数据、重要数据、一般数据，一般数据再按影响程度细分。企业落地中常用四级模型，即公开、内部、敏感、核心与重要，级别数量本身不是重点，关键是每一级都能对应到具体措施。
做一次数据分类分级需要多久？
中小企业首轮最小可行分级通常 2-6 周；覆盖核心业务系统的完整分级约 1-3 个月，具体取决于系统数量、数据台账基础和业务部门配合程度。系统数量多、历史数据欠账多的企业，建议分阶段推进而不是一次铺开。
分级做完就结束了吗？
不是。需要年度复评，并在新系统上线、业务模式变更、法规更新或发生安全事件时触发复评。缺少动态维护机制的分级目录，通常在半年内就会与实际情况脱节，反而在审计时成为减分项。
写在最后
数据分类分级不是一份用来交差的文档，而是企业数据安全投入的”分配地图”。2026 年的合规检查、等保测评和客户审计，都已经默认企业手里有这样一张地图。建议的做法是：先用四步法跑通一轮最小可行分级，把防护措施按级别叠加，再逐步扩大覆盖面。需要一次数据资产梳理与分级基线评估，或需要把分级结论接入等保整改与整体防护建设，可联系小诺IT，服务热线 400-0525-015，提供从咨询到落地的一站式支持。