在金融监管持续强化数据安全治理的背景下，数据分类分级已经从“合规要求”逐步演进为金融机构数据治理与安全管理的基础工程。
中国人民银行围绕金融行业特点，对数据分类分级的方法、维度和流程给出了系统性指导，为金融机构开展数据安全管理提供了明确路径。
但在实际工作中，不少机构仍然面临一个现实问题：要求很清楚，落地却不轻松。
本文结合人民银行相关要求，从实践视角出发，对金融机构如何开展数据分类分级工作进行系统梳理，并给出可操作的实施建议。
一、监管视角下的数据分类分级：不仅是“贴标签”
从监管要求来看，金融机构的数据分类分级并不是单一维度的简单划分，而是一个多视角、多层次的综合治理过程，核心体现在两个方面：
- 分类：回答“数据是什么、用在什么业务里”
- 分级：回答“这批数据有多重要、出问题影响有多大”
人民银行在指导意见中，明确提出了三类数据分类方法与一套综合分级方法，这实际上为金融机构构建了一套从微观数据项到宏观数据集的完整识别框架。
二、数据分类实践：三个视角，避免“只分不准”
1. 业务关联性分类：先把“业务账”理清楚
业务关联性分类，是金融机构最容易理解、但最容易“走偏”的一步。
监管要求强调，分类应基于业务视角，结合业务领域、描述对象、数据用途等因素，逐级细化数据项的业务归属，并识别其是否涉及个人信息、是否为外部收集数据。
实践中的关键点在于：
- 不能只停留在系统或表级别，而要能映射到具体业务场景；
- 不能仅依赖IT部门单方面判断，而需要业务、科技、数据管理协同参与；
- 衍生数据要结合实际业务用途重新归类，而不是简单继承来源分类。
很多机构在实践中发现，业务关联性分类本质上是一项“业务梳理工程”，也是后续精细化安全管控能否落地的前提。
2. 敏感性分类：从“是否重要”转向“风险有多大”
敏感性分类强调从数据内涵出发，评估数据泄露、非法利用可能带来的危害程度，并将数据项划分为不同敏感性等级。
监管要求中一个非常重要、但容易被忽视的点是：
敏感性并非绝对属性，而是与使用场景密切相关。
在实践中，金融机构需要注意：
- 数据是否能直接或间接识别个人或组织；
- 在特定业务场景下，数据是否具备“可识别性”；
- 是否存在经风险评估后可降级管理的合理情形（并做好留痕与审批）。
这一步的难点不在“有没有标准”，而在于如何让标准在复杂业务场景中真正可用。
3. 可用性分类：把“系统影响”纳入分类视野
相比前两类分类方法，可用性分类更偏向信息系统和运行保障视角。
监管明确要求，从数据被篡改、破坏后对业务连续性的影响出发，评估数据所在系统对完整性、可用性的依赖程度，并与灾备、恢复目标相结合。
在实践中，可用性分类往往成为连接数据安全与业务连续性管理的重要纽带：
- 关键业务系统的数据，往往天然具备更高的可用性要求；
- 可用性分类结果，可以直接反哺系统灾备等级设计和运维策略。
三、数据分级实践：从“数据项”走向“数据集”
如果说分类解决的是“数据的属性问题”，那么分级更多关注的是“数据的整体影响”。
1. 分级的核心逻辑：叠加效应，而非单点判断
监管要求明确，数据分级需要综合考虑：
- 数据项的敏感性；
- 数据项的组合数量；
- 数据记录的规模与覆盖范围。
这意味着，在实际操作中，单条看似不敏感的数据，一旦形成规模化、结构化的数据集，其安全等级可能显著提升。
因此，分级工作必须以数据集为对象，而不能简单等同于“敏感字段级别”。
2. 重要数据识别：九个维度，防止“主观判断”
人民银行提出的重要数据判定维度，涵盖领域、群体、范围、精度、规模、深度、新鲜度、时间跨度、广度等多个方面，本质上是希望金融机构：
- 避免仅凭经验或主观判断认定重要数据；
- 通过多维度综合评估，提高分级结果的一致性和可解释性；
- 为后续监管检查和内部审计提供可追溯依据。
在实践中，建议金融机构将这些维度结构化为评估模型或规则库，而不是停留在纸面制度层面。
四、分类分级工作流程：一次不是终点，而是起点
监管明确要求，数据分类分级是一项持续性的管理工作，而非“一次性任务”。
从实践来看，较为成熟的金融机构通常会形成以下闭环流程：
- 建立统一的数据资源目录，明确范围与对象；
- 按照分类分级方法实施识别与标注；
- 通过多角色审核机制确保结果合理性；
- 纳入正式目录并完成内部审批与报送；
- 随业务变化、数据变化进行动态更新。
尤其在数据使用场景频繁变化、数据加工链路不断延伸的情况下，动态更新能力往往比首次分类更具挑战性。
五、从“人工驱动”到“智能赋能”：分类分级的必然方向
随着数据规模持续扩大，仅依赖人工方式开展数据分类分级，往往面临成本高、效率低、一致性难保障等问题。
监管在指导意见中也明确提出：
有条件的金融机构，应积极推动数据分类分级工作的智能化、自动化转型，发挥人工智能模型的赋能作用。
在这一背景下，AI 数据分类分级能力正在成为金融机构的重要支撑手段。
以原点安全的一体化数据安全平台为例，其 AI 数据分类分级能力，正是围绕金融机构在实践中的真实难点进行设计：
- 结合业务语义与数据内容，实现数据资产的自动识别与智能归类；
- 支持敏感数据自动识别与多级敏感性判定，降低人工依赖；
- 将分类分级结果与数据目录、访问控制、脱敏、审计等能力联动，避免“分完不用”。
通过智能化手段，数据分类分级不再只是合规动作，而是逐步融入数据安全治理的日常运行体系之中。
结语
数据分类分级，是金融机构构建数据安全治理体系的“地基工程”。
真正成熟的实践，不在于分得多细，而在于分得准、用得起、管得住。
在监管要求日益精细、数据形态日益复杂的背景下，借助 AI 技术提升分类分级工作的自动化与可持续能力，正在成为金融机构的共同选择。
