数据分类分级不是大企业专属！ 小微企业不做也违法？.docxVIP

数据分类分级不是大企业专属！小微企业不做也违法？

摘要：数据分类分级是全国全行业强制法定义务，无企业规模豁免。本文从法律合规落地实操角度，拆解7个核心问题，帮你低成本、标准化完成合规落地。

一个真实的合规陷阱

去年，某电商创业公司因为用户数据泄露被客户投诉。监管介入调查后发现，这家公司从未做过数据分类分级，所有数据统一放在一个库里，员工可以随意导出。最终认定未履行数据安全保护义务，罚款不说，还被责令限期整改。

老板很委屈：我们就几十个人，哪知道还要做这种事？

但现实是，数据分类分级不是大企业的专属动作，而是写在《数据安全法》《网络安全法》里的强制义务。不管你是一家百人小公司，还是万人集团，这条红线都绕不过去。

好消息是，合规并不意味着要砸几十万买系统。小微企业完全可以走轻量级路线，用最少的成本守住底线。

一、先搞懂：分类和分级是两件事

很多企业一上来就搞混了这两个概念，导致只分级不分类或者分类混乱、分级随意。

简单理解：

数据分类=回答数据是什么。按业务属性把数据归类，比如用户数据、业务数据、运营数据、外部数据。

数据分级=回答数据有多敏感。按数据泄露后的危害程度定级，分为一般数据、重要数据、核心数据。

顺序不能颠倒：必须先分类，后分级。只有把数据梳理清楚了，才知道哪些该重点保护。

企业通用的分类维度可以参考这个框架：

数据类别

包含内容

示例

业务数据

生产、销售、研发数据