安全锐见｜数据分级分级为什么那么难做(一):为什么必须重视非结构化数据分类分级？

原创

JUN哥
JUN哥

君说安全

去阅读

前言

当前行业存在一个令人不安的悖论：一方面，法律法规密集出台，监管检查力度空前加大；另一方面，分类分级的实际落地效果却远未达到预期。。

多一度思考，见网安本质！

“为什么必须重视非结构化数据分类分级？*”*

在数字经济时代，数据已成为企业最核心的生产要素。

然而，占企业数据总量80%以上的非结构化数据——包括文档、邮件、图片、音视频、源代码、聊天记录等。

非结构化数据分类分级工作长期以来都是企业数据安全治理中最棘手的难题。

IDC预测，到2025年全球数据总量将增长至175ZB，其中非结构化数据的占比超过80%。

行业调研显示，已完成数据分类分级的企业仅占38%，这其中被认为分类分级结果准确可用的企业，不足一半。

本文为数据分级分级为什么那么难做的第一篇。

本文的标题是企业为什么必须要重视非结构化数据分类分级工作。

　一、非结构化数据：企业数据资产的\"冰山之下\"

当我们谈论企业数据时，首先想到的往往是数据库中整齐排列的表格，即客户信息表、交易流水表、财务报表等结构化数据。

这类数据字段清晰、格式统一，约占企业数据总量的20%。

而隐藏在水面之下的，是体量庞大的非结构化数据：Word合同文档、PDF研究报告、邮件往来、客服录音、监控视频、设计图纸、源代码仓库、即时通讯消息……

这些数据没有预定义的数据模型，没有统一的结构规则，却承载着企业最核心的商业秘密和最敏感的个人信息。

IDC发布的《数据时代2025》报告显示，全球每年产生的数据到2025年将增长到175ZB，其中80%的数据都是非结构化数据。

比如，某四大行之一的远程智能银行中心每日新增超150万条音频服务、超80万条文本服务；

再比如，某大型三甲医院日均产生上万份病历、数千套医学影像及上百GB非结构化数据。

这些数据既是企业数字化转型的宝贵矿藏，也是数据泄露风险最高的\"阿喀琉斯之踵\"。

　二、分类分级：数据安全治理的\"地基工程\"

数据分类分级，是对数据的属性、特征、重要性及影响程度进行区分、归类和定级的方法。

通俗地说，就是回答两个根本问题：\"这是什么数据？\"以及\"这个数据有多重要？\"。

这是数据安全治理体系中最基础、也最容易被低估的一环。

后续的数据脱敏、审计、权限管控、流通审批、加密策略，全部依赖\"数据是什么级别\"这个前提判断。

如果地基没有打牢，后续所有数据安全建设都将成为空中楼阁。

从价值角度看，非结构化数据分类分级的意义体现在三个层面。

第一，风险防控。

通过精准识别敏感数据位置和等级，实现差异化防护，将有限的安全资源投入到最高风险的数据资产上；

第二，合规应对。

《数据安全法》《个人信息保护法》等法律法规明确要求企业履行分类分级义务，这已从\"可选项\"变为\"必答题\"；

第三，价值释放。

清晰的数据目录和分级标签是数据资产入表、数据交易、数据共享流通的前提条件。

　三、现状：一个令人不安的悖论

当前行业存在一个令人不安的悖论：一方面，法律法规密集出台，监管检查力度空前加大；另一方面，分类分级的实际落地效果却远未达到预期。

（一）政策层面

《数据安全法》确立国家分类分级保护制度，GB/T 43697-2024《数据安全技术 数据分类分级规则》于2024年10月实施，金融、医疗、交通、教育等行业细则相继落地，\"国标定框架、行标定细则\"的标准体系已经成型。

（二）市场层面

IDC数据显示，2024年数据分类分级市场同比增长31.2%，是数据安全领域增速最快的细分方向之一。

但信通院调研显示，已完成分类分级的企业中，认为结果\"准确可用\"的不足一半。

（三）实践层面

大量企业的分类分级工作停留在\"文档工程\"阶段。

分级标签躺在Excel表格里，既没有与访问控制、脱敏、加密等防护系统联动，也没有建立动态更新机制，通常在项目验收后半年内即失效。