数据分级分类不是写一份制度就结束。真正难的是把规则落到字段、权限和流程里，让一线人员知道什么数据能怎么用。
本文给出一份可操作的启动清单，适合中小企业或刚开始做数据治理的团队。
一、先明确目标，不要为分类而分类
常见目标包括：
- 满足《数据安全法》《个人信息保护法》等合规要求；
- 控制数据访问权限，降低泄露风险；
- 为数据共享、AI 训练和跨部门使用划定边界；
- 支持数据资产盘点和责任落实。
目标不同，分类的粒度和投入差异很大。建议先选一个具体场景，例如“客户数据用于 AI 客服”或“日志对外提供分析”，再扩展。
二、盘点数据资产
至少记录以下信息：
- 数据名称和业务含义；
- 产生系统、存储位置和负责人；
- 数据主体（客户、员工、供应商等）；
- 字段清单和示例；
- 数据量、更新频率和保存期限；
- 现有访问权限和共享对象；
- 是否包含个人信息、敏感个人信息或商业秘密。
盘点不要只依赖 IT 部门。业务人员最清楚字段的真实含义，法务和安全团队负责判断风险。
三、分级规则
可以采用三级或四级模型。一个简单的四级示例：
| 级别 | 定义 | 示例 | 基本要求 |
|---|---|---|---|
| L1 公开 | 可对外公开 | 官网文章、公开价格 | 常规审核 |
| L2 内部 | 仅内部使用 | 内部通知、流程文档 | 员工权限 |
| L3 敏感 | 泄露会造成较大影响 | 客户名单、合同、经营数据 | 最小权限、审批、审计 |
| L4 核心 | 泄露会造成严重后果 | 身份证号、银行卡、密钥、核心算法 | 加密、脱敏、严格审批 |
分级不是越高越好。级别过高会导致业务无法使用，过低则失去保护意义。关键是给出明确示例和判定规则。
四、字段级落地
制度要落到字段。例如客户表可以标注：
- 姓名、手机号：个人信息，L3；
- 身份证号、银行卡号：敏感个人信息，L4；
- 订单金额、产品偏好：业务数据，L3；
- 公开的企业名称：L1 或 L2。
在数据字典、数据库注释和接口文档中同步标注级别，避免只有安全团队知道。
五、权限与流程
分级后要配套：
- 最小权限：默认无权，按岗位申请；
- 审批：L3 以上数据导出或对外共享需审批；
- 脱敏：展示和测试环境使用脱敏数据；
- 审计：记录谁在何时访问、导出或修改；
- 期限：明确保存期限和到期删除机制；
- 离职：及时回收账号和权限。
权限设计要考虑“临时授权”和“紧急访问”，否则一线会绕开流程。
六、AI 场景的特殊要求
把数据用于 AI 时，额外确认：
- 是否包含个人信息，是否取得单独同意或其他合法性基础；
- 是否包含他人商业秘密或未授权内容；
- 是否会将数据传输给境外上游模型；
- 是否需要在进入模型前脱敏；
- 输出是否可能反向识别个人。
对于 L4 数据，建议默认不进入外部模型；确需使用的，先脱敏、评估并保留记录。
七、持续运营
分类不是一次性的项目。建议：
- 每半年复核一次数据资产和级别；
- 新系统上线前完成数据分类评估；
- 数据泄露或业务变更后及时更新；
- 把分类结果纳入开发、采购和合同流程。
八、启动会清单
- 指定数据治理负责人和跨部门小组；
- 选定一个试点业务域；
- 输出数据资产清单模板；
- 确定分级规则和示例；
- 梳理现有权限和共享场景；
- 制定脱敏和审计方案；
- 设定三个月内的可交付成果。
结语
数据分类的价值不在于文件厚度，而在于能否回答“这份数据谁能看、能怎么用、出了问题找谁”。从一个小场景开始，把字段、权限和流程打通，再逐步扩展。