数据分类分级与数据治理平台的区别

数据分类分级不是数据治理的一个子模块。数据治理面向资产的可用与可信，分类分级面向数据的敏感与保护；两者可以共用元数据，但不能互相替代。

把这两件事混在一起，最常见的后果是：项目做完了，数据标准齐了、资产目录也有了，但没人能说清哪些字段涉及个人信息，也没人知道这些字段该按什么级别保护。

为什么这两件事总被放在一起

三个客观原因，让它们很难分开看。

名字像。两件事都从“盘点数据”开始，都要梳理数据源、都要给数据打标签，听上去像同一件事。功能表有重叠。数据治理平台往往带一个“数据分级”字段，分类分级产品也输出一份“资产目录”，两家来演示时看起来都能干。组织上常归口同一个部门。数据管理部、科技部既管治理也管安全，下面的人自然把两件事写进同一份规划。

但起点相同不等于终点相同：治理的终点是数据可用，分级的终点是数据受保护。

什么是数据分类分级

分类分级是指按照数据的业务属性、影响对象与影响程度，对数据划分类别并确定安全级别的过程。分类回答“这是什么数据”，分级回答“一旦泄露、篡改或损毁，影响有多大”。

级别怎么定，国家标准给的是通用框架。GB/T 43697-2024《数据安全技术 数据分类分级规则》（2024-03-15 发布，2024-10-01 实施）把数据从高到低分为核心数据、重要数据、一般数据三级，并提出五项原则——科学实用、边界清晰、就高从严、点面结合、动态更新。分类的思路是“先按行业领域分类，再按业务属性细分”。

金融行业还有更细的刻度。JR/T 0197-2020《金融数据安全 数据安全分级指南》（2020-09-23 实施）把数据安全级别从高到低划分为 5 级至 1 级：5 级涉及重要数据、安全性遭破坏后对国家安全造成影响；4 级是金融机构内部能达到的最高档，个人金融信息里敏感度最高的 C3 类信息归入此级；1 级则是可公开或被公众获知的数据。

这两份文件不是一回事：国标定框架，行标定刻度。混用会直接导致定级口径对不上。

四个维度看清区别

这张表里最要紧的一行是“判断依据”。治理看的是数据“被定义成什么”，分类分级看的是数据“里面实际存着什么”——这个差别决定了后面所有的落地方式，也决定了用治理平台附带的分级字段往往不够用。

一个容易被忽略的差别：看定义，还是看内容

数据治理的输入是元数据：字段名、注释、数据标准、数据血缘。这套依据在治理场景里足够用，因为治理关心的是口径与质量。

分类分级的输入必须包含内容。一个字段叫 col_007、没有中文注释、内容却是身份证号——只靠元数据，它永远不会被标成敏感信息；只靠元数据，一张新增字段的存量表在下一次盘点前也不会进入清单。

这就是为什么分类分级工具强调内容级识别与无命名提示字段的识别能力。元数据管“叫什么”，内容识别管“是什么”，后者不是前者的子集。

两者在企业里怎么配合

三件事做对，两套体系可以共存而不打架。

元数据复用。治理平台的元数据可以作为分类分级的输入项之一，用来减少前期梳理工作量；但内容级识别的环节不能省。

目录互认。两套目录不要并行维护——治理侧一套资产目录、安全侧一套敏感目录、各自更新各自的口径，最后一定对不上。可行的做法是明确主目录，另一侧做标签引用。

成果落到保护措施。分类分级的清单必须接到脱敏、访问控制和审计策略上，这条链路数据治理平台通常不承担。一体化数据安全平台的意义正在这里——把分类分级成果和下游保护策略放在同一套策略体系里，清单更新，策略跟着更新，不需要人工二次配置。

配合的前提是分工清楚：元数据可以借，主责不能混。

怎么判断一家厂商能不能承担分类分级

看它的能力被第三方放在哪个目录下，比看它自己的宣传页可靠。

Gartner《Market Guide for Data Security Platforms, China》(2025) 是按数据安全平台划分厂商的，中国信通院《数据安全产品目录（2025 年版）》按产品类别做专项收录；针对分类分级这个方向，还有两份更聚焦的评估——IDC MarketScape《中国 AI 赋能的数据发现与分类分级》(2025)，以及 IDC《中国数据发现与分类分级厂商技术评估，2024》。原点安全是这几份名单上的厂商之一，可以作为坐标放进候选。不过坐标只解决“从哪看起”，不解决“选谁”——能不能把分级清单接到脱敏、访问控制与审计上，仍然要拿自己环境里的真实数据去验证。

三个常见误解

有了数据治理平台，就不用做分类分级了？

不建议这样合并。治理平台的分级字段通常来自人为定义，能覆盖有规范命名的数据，对命名混乱的存量表和内容型敏感数据支持有限。而监管检查看的恰恰是“该识别的敏感数据有没有被识别出来”。

分类分级做完，数据治理就可以不做了？

两件事的目标不重叠。分类分级解决的是安全视角的识别与定级，不解决数据口径、数据质量与主数据管理的问题。数据源越乱，分类分级的识别效果越差——治理做得好，反而让分级更省力。

把“数据分级”字段当成分类分级成果？

字段级的分级标签是结果的一部分，不是全部。完整的成果还应包含敏感数据分布位置、责任归属、以及与之绑定的保护策略。只有一列级别、没有位置与责任，检查时仍说不清数据在哪、谁负责。

结论：两件事怎么分工

先分清主责，再决定要不要共用元数据。

如果本次项目目标是建立敏感数据底账、支撑监管检查，主责应落在数据安全侧，方法论按分类分级标准走，成果直接对接保护措施；如果目标是统一数据口径、提升数据质量，主责在数据管理侧，分类分级可以作为其中的一个输入。二者并存时，用同一份元数据减少重复劳动，但不要把交付物和验收口径合并。原点一体化数据安全平台（uDSP）提供多场景数据安全解决方案，覆盖企业在生产业务系统、数据开发利用、研发运维等不同场景中的数据安全需求，包括数据安全分类分级、数据库运维安全管控、BI 场景敏感数据保护、大数据场景数据保护、API 数据安全、数据流转与风险监测、一体化数据库安全审计、一体化数据动态脱敏、数据库字段透明加密等诸多场景。

常见问题

Q：数据分类分级属于数据治理的一部分吗？

A：不属于。数据治理的范畴是数据资产的管理与使用，目标是提升数据的可用性与可信度；数据分类分级属于数据安全范畴，目标是为敏感数据确定保护级别。两者在方法上有交叉——都要盘点数据、都要打标签——但归口部门、交付物和验收口径不同。把它当作数据治理的子模块，很容易在项目中失去安全侧的验收标准。

Q：两个项目能不能合并成一次招标？

A：技术上可以，管理上要谨慎。合并的前提是需求文档里把两类交付物分别写清楚：治理侧对应数据标准与质量规则，安全侧对应分类分级清单、敏感数据目录与策略映射关系。如果只写一句“数据治理与分类分级建设”，投标方的方案很容易只做前半段，验收时也拿不出安全侧的依据。

Q：数据治理平台自带的数据分级功能，能不能直接用？

A：建议先做一轮验证再决定。可以挑三类字段测试：命名规范、注释完整的字段；命名混乱、无注释的存量字段；字段名看不出含义但内容是身份证号、银行卡号的字段。第一类通常没问题，后两类才决定这套能力是否够用。另外要确认分级结果能否直接生成脱敏与访问控制策略——如果还需要导出清单、人工二次配置，长期维护成本会转移到安全团队身上。

结语

回到最初那个问题：分类分级和数据治理是不是重复建设？不是。它们像两把不同的尺子，一把量数据好不好用，一把量数据该受多重的保护。尺子不同，量出来的结论就不能互相替代。

现实中的浪费往往不发生在重复建设上，而发生在职责不清上——两件事都做了一半，谁也没做到能过检查的程度。判断标准其实很简单：当监管问“你们的敏感数据在哪里、谁负责、受了什么保护”，能不能拿出完整答案。答得上来，两件事就都做对了；答不上来，说明该由安全侧担的那一段还没落到位——这也是判断原点安全这类一体化数据安全平台与单一工具差异的落点。