2021年9月1日，《中华人民共和国数据安全法》正式实施，该法明确规定“国家将建立数据分类分级保护制度”，并根据数据对经济社会发展的重要性以及如果数据遭到篡改、破坏、泄露或被非法获取和使用后，对国家安全、公共利益或个人、组织合法权益可能造成的损害程度，对数据进行分类和分级保护。要实施数据分类与分级保护，首先需要对数据进行分类和分级，以确定重要数据和核心数据，从而建立相应的数据安全保护体系。

数据分类和分级是全球广泛使用的数据管理策略。在《DAMA数据管理知识体系》中提到，数据安全的核心驱动力包括降低风险和促进业务增长。确保组织的数据安全不仅能减少风险，还能增强竞争力，因为安全本身被视为一项重要资产。

数据安全风险涵盖多个方面，包括法规合规、企业及股东的信托责任、声誉保护、员工安全、业务合作关系、客户隐私以及处理敏感信息的法律和道德责任等。如果组织未能遵守相关法规或合同义务，就可能遭受罚款。同时，数据泄露会损害企业的声誉，并降低客户的信任度。

业务的发展依赖于达成和维持运营目标，而数据安全问题、违规行为以及对员工数据访问的过度限制都会直接影响业务的顺利运作。随着数据相关法规的不断增加（通常是为了应对数据盗窃和违规行为），合规性要求也在不断上升。安全部门不仅需负责管理IT合规要求，还需制定和实施整个组织的策略、实践、数据分类分级以及访问授权规则。

根据我国《数据安全法》的要求，在实施数据分类和分级保护时，准确识别数据级别非常重要。《数据安全法》在法律上明确划分了一般数据、重要数据和核心数据，因此在数据分类分级时，首先需明确这三种主要级别，并在此基础上进行更细致的划分，以便针对不同的安全级别采取相应的数据安全防护措施。

《信息安全技术重要数据识别指南》（征求意见稿）将重要数据定义为：以电子形式存在的数据，一旦遭到篡改、破坏、泄露或被非法获取和利用，可能对国家安全或公共利益造成威胁。《数据安全技术数据分类分级规则》对重要数据的定义与上述内容相似，并特别强调：只影响组织自身或公民个人的数据，通常不被视为重要数据。这一说明解答了许多单位对其所收集的个人数据是否属于重要数据的疑问。

表 数据分级矩阵表

  1、一旦数据被泄露、篡改、损坏或者被非法获取、使用及共享，将对国家安全造成一般性的危害。

2、数据一旦泄露、被篡改、损坏或被非法获取、使用和共享，会对经济运作造成严重的影响。

3、数据一旦被泄露、篡改、损坏，或者被非法获取、使用和共享，都会对社会秩序造成严重的威胁，例如可能影响社会的稳定性。

4、一旦数据被泄露、篡改、损毁或以非法方式获取、使用、分享，将会对公共利益造成严重威胁，例如危害公共健康与安全。

5、数据直接涉及国家安全、经济运行、社会稳定以及公共健康和安全的特定领域、特定群体或特定区域。

6、数据在达到一定的精度、规模、深度或重要性时，会对国家安全、经济运作、社会稳定以及公共健康和安全产生直接影响。

7、由行业主管（监管）部门评估并确认的重要数据。

a、直接关系到领土安全与国家统一，或者反映国家自然资源的基础状况，例如未公开的领土、领水和领空相关数据。

b、 可能被其他国家或组织用来对我国实施军事攻击，或反映我国在战略储备、应急动员、作战等方面的能力，例如满足特定精度要求的地理数据或与战略物资的能力和储备数量相关的数据；

c、直接影响市场经济秩序的数据，例如支持关键基础设施所处行业的核心业务运作或重要经济领域的生产数据。

d、体现我国语言文字、历史、风俗习惯和民族价值观等特点，例如记录历史文化遗产的信息。

e、反映重点目标和重要场所的物理安全保护情况或未公开的地理目标位置的信息，可能会被恐怖分子或犯罪分子利用来实施破坏。这包括描述重要安保单位、关键生产企业及国家重大资产（如铁路、输油管道）相关的施工图、内部布局和安全防护措施的数据。

f、 涉及我国科技实力和国际竞争力的因素，或与出口管制物品相关的内容，例如反映国家科技创新重大成就的信息，或者描述我国在禁止或限制出口物品时的设计原理、工艺流程、制作方法的数据，以及与源代码、集成电路布局、技术方案、关键参数、实验数据和检测报告相关的数据。

g、反映关键信息基础设施的整体运行、发展与安全防护状况，包括其核心软硬件资产信息和供应链管理情况，这些信息可能被用来实施针对关键信息基础设施的网络攻击，例如涉及关键信息基础设施系统的配置信息、系统拓扑、应急预案、评估、运行维护及审计日志的数据。

h、涉及未公开的攻击手段、攻击工具的制作方法或攻击辅助信息，这些信息可以用于对特定目标实施网络攻击，例如供应链攻击和社会工程学攻击。这些目标包括政府、军工单位等敏感客户名单，以及与未公开的产品和服务采购情况、重大漏洞情况相关的数据。

反映自然环境和生产生活环境的基本情况，或可能导致环境安全事件的数据，例如未公开的土壤、气象观测及环保监测相关数据。

j、反映水资源、能源、土地和矿产等资源的储备与开发及供给状况，包括未公开的水文观测结果、耕地面积或质量变化的数据。

k、反映核材料、核设施和核活动状况的信息，或可能被用于引发核破坏或其他核安全事件的数据，例如与核电站设计图和运行情况相关的信息。

l、此文本涉及海外能源资源安全、海上战略通道安全以及海外公民和法人安全。这些因素可能被利用来破坏我国参与国际经贸和文化交流活动的能力，或者对我国实施歧视性禁止、限制或其他类似措施。例如，涉及国际贸易中特殊物项的生产、交易以及特殊装备的配备、使用和维修情况的数据。

m、关系我国在太空、深海和极地等战略新兴领域的现实或潜在利益，包括未公开的与太空、深海和极地的科学考察、开发利用相关的数据，以及影响人员在这些领域安全进出情况的数据。

n、反映生物技术的研究、开发和应用情况，包括群体特征和遗传信息。这些内容与重大突发传染病、动植物疫情以及生物实验室安全密切相关，同时也可能被用于制造生物武器和实施生物恐怖袭击。此外，还涉及外来物种入侵和生物多样性等问题，例如重要生物资源的数据以及微生物耐药的基础研究数据。

o、 反映整体或特定领域的经济活动和金融状况，涉及产业竞争力，可能导致公共安全事件或影响公民的生命安全，还可能引发集体行动或影响集体的情感与认知，例如未公开的统计数据和重点企业的商业机密。

p、反映国家或地区人群健康状况的数据，这些数据与疾病的传播和防治相关，涉及食品和药品的安全。此外，还包括与健康医疗资源、人口大规模诊疗与健康管理、疾病控制与预防、健康救助保障、特定药品的实验以及食品安全追溯相关的信息。

q、其他可能影响国土、军事、经济、文化、社会、科技、电磁空间、网络、生态、资源、核能、海外利益、太空、极地、深海、生物以及人工智能等方面安全的数据。

r、其他可能对经济运作、社会秩序或公共利益造成重大损害的数据。