在数安法和条例（征求意见稿）里都没有对分类和分级进行定义，在一些标准或指南里也是直接提出分类和分级的方式，但没有对其进行定义。我梳理了一下有定义的一些标准，有：

• 就学校来说：院系、专业、班级等可以作为学生管理数据的一个主分类方式；
• 就工作单位来说：工作部门的层级（一级部门、二级部门…）可以是员工管理的一个主分类方式；
• 就社区来说：居住省份、地市、区县、社区、居委会可以是居住人员管理的一种主分类方式。

• 从业务开展使用数据的视角，看到的是数据的业务特征，比如某企业内有研发、制造、销售、人力资源等部门，大量数据的产生天然就具备业务相关的特征，很自然的数据分类方式就是按业务分类：研发数据、制造数据、销售数据等等。
• 从IT部门/数据管理部门视角，关注的不是业务分工，而是数据自身在IT系统里如何承载、管理、呈现，所以有IT/数据管理部门将数据分类为结构化数据、非结构化数据，主数据、交易数据、元数据等。
• 工信部《工业数据分类分级指南（试行）》里提到的分类方式是：”工业数据分类维度包括但不限于研发数据域（研发设计数据、开发测试数据等）、生产数据域（控制信息、工况状态、工艺参数、系统日志等）、运维数据域（物流数据、产品售后服务数据等）、管理数据域（系统设备资产信息、客户与产品信息、产品供应链数据、业务统计数据等）、外部数据域（与其他主体共享的数据等）“

在组织内，业务部门有业务部门的数据分类方法，作为安全管理部门来说，数据分类必然也是要服务于安全管理的目的，而最重要的安全管理目的就是能够指导对数据进行分级，然后基于分级进行相应的安全防护和管控。

03 数据分级概念解析

第二十一条　国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。

第五条 国家建立数据分类分级保护制度。按照数据对国家安全、公共利益或者个人、组织合法权益的影响和重要程度，将数据分为一般数据、重要数据、核心数据，不同级别的数据采取不同的保护措施。

安全分级（security classification）:根据业务信息和系统服务的重要性和受损影响，确定实施某种程度的保护，并对该保护程度给以命名。依据访问数据或信息需求，而确定的保护程度，同时赋予相应的保护等级。例：“绝密”、“机密”、“秘密”。

但将分类分级放在一起谈的时候，就引起了分类和分级之间关系的争议和分歧。

• 数据安全法里第21条的提法是分类分级
• 而到了网络数据安全管理条例（征求意见稿）的第5条里，只提了分级而没提分类

• 网络安全法第21条第四款：采取数据分类、重要数据备份和加密等措施
• 个人信息保护法等51条第二款：对个人信息实行分类管理

• 分类和分级并非简单并列的关系，分类是外延更广、应用范围更广泛的概念，分类可以有多种依据。
• 分级是安全管理部门、为了安全保护和管控的目的，依据重要性和影响程度而进行的分类，这种分类结果有等级差异。
• 其它管理主体、为了其它管理目的、依据其它属性和特征进行分类是一般意义上的分类，这种分类结果是没有等级差异的。
• 换个表达方式说，依据数据的重要性和影响程度进行的分类就是分级，分级是多种分类方式中的一种。

任何管理系统都需要对被管理对象进行分类，数据可以依据数据类型 （type of data，例如：事务数据、参考数据、主数据、元数据等）、或数据内容（例如：数据主题领域）、或数据格式、或数据所需的保护级别，也可以依据如何以及哪里保存和访问数据来分类。