重要数据出境识别与分类分级指南

有一次参加一个行业论坛，有位制造业企业的安全总监提了一个问题，说他手下的一个工程师为了跟国外客户对接，把工厂的生产参数和生产工艺文件直接打包发到了对方的境外服务器上。当时他问工程师这属于重要数据吗？工程师说不知道。他又问那你们有没有重要数据识别标准？对方更是一脸茫然。这个问题在今天的中国制造业中非常普遍，很多企业实际上每天都在传输重要数据，但自己却根本没有意识到。

重要数据这个概念的提出，是数据安全法的一个重要分水岭。在此之前，大家关注的数据保护对象主要是个人信息和国家秘密。数据安全法将重要数据确立为一类单独的数据保护对象，要求对重要数据实行重点保护。重要数据的识别和分类分级，也因此成为数据出境合规中不可回避的基础工作。

那么什么是重要数据？根据数据安全法的定义，重要数据是指一旦泄露、篡改、损毁或者非法利用，可能危害国家安全、经济运行、社会稳定、公共健康和安全的数据。这个定义的范畴远远超出了个人信息的保护范围，涵盖了经济数据、科技数据、政务数据、地理信息、人口健康数据、工业控制数据等众多领域。不同行业的重要数据目录由行业主管部门负责制定，目前已经有不少行业发布了重要数据识别指南。

企业识别重要数据可以从几个维度入手。第一个维度是行业属性，不同行业的重要数据范围差异很大。金融行业的核心交易数据、交易对手信息属于重要数据。能源行业的电力调度数据、油气管道监测数据是重要数据。制造业的工艺参数、产品配方、供应链信息也可能被认定。第二个维度是数据汇聚效应，单条数据看起来不敏感，但大规模汇聚后可以揭示经济运行规律、行业发展趋势、人口分布特征等，这类汇聚数据也属于重要数据范畴。第三个维度是数据关联性，当数据和关键信息基础设施、国防军工、国家重大工程相关联时，其重要性会显著提升。

有了重要数据的识别框架之后，接下来就是分类分级。分类是弄清楚企业有哪些数据，分级是判断这些数据的重要程度。分类的方法可以采用业务驱动加数据属性双轴分类法，从业务维度按照数据产生的业务领域分类，从数据维度按照数据类型分类。比如一家制造企业可以按照研发数据、生产数据、供应链数据、客户数据、财务数据、人力资源数据等类别进行分类。每个类别下再细分具体的子类。

分级的标准通常采用三级制，一般数据、重要数据、核心数据。核心数据是指对国家安全、国民经济命脉、重要民生和重大公共利益具有极其重要影响的数据，覆盖面比较窄。重要数据是大多数企业需要重点关注和保护的数据级别，范围比核心数据宽。一般数据是除上述两类之外的其他数据，安全要求相对较低。

在具体执行分类分级工作时，有几个方法值得参考。第一个方法是数据的全生命周期梳理，从数据的产生、采集、存储、使用、共享、传输到销毁，在每个环节中找出哪些数据对业务至关重要。第二个方法是访谈业务部门，很多重要数据只有业务部门的人员才知道它的价值，安全部门不应闭门造车。第三个方法是参考行业标准，行业主管部门发布的重要数据识别目录是企业识别重要数据的最佳参考依据。

分类分级做完之后，还需要建立相应的管理制度。对不同级别的数据，采取不同程度的保护措施。重要数据至少需要做到访问控制、加密存储、操作审计、传输通道加密、授权审批。核心数据在此基础上还要增加多人审批、物理隔离存储、专人管理等更严格的保护措施。

对于数据出境来说，重要数据的识别和分级直接决定了合规路径的不同。一般数据出境的合规要求相对宽松，重要数据出境必须通过安全评估，核心数据原则上不出境。所以企业如果在出境前没有正确识别数据的重要级别，很可能会出现本应申报安全评估的数据未申报、或者本来不需要申报的数据过度申报的情况。两种情况都会带来合规风险。

重要数据的识别不是一次性的工作，因为企业的业务数据在变化，监管要求也在更新。建议企业建立重要数据目录的动态更新机制，每年至少评估一次，当业务方向调整或者新增跨境业务场景时即时评估。把分类分级的基础工作做好了，数据出境的合规路径自然就清晰了。

常见问题

问：个人信息的汇聚数据是否可能被认定为重要数据？
答：可能。如果企业汇聚了大量的个人信息，通过对这些信息的分析可以揭示人口特征、社会结构或者经济运行趋势，就有可能被认定为重要数据。数据安全法明确将大量汇聚的数据纳入重要数据的潜在范围。