📌 导语

随着《互联网信息服务管理办法（修订草案征求意见稿）》再次公开征求意见，数据分类分级保护制度从原则性要求加速走向精细化落地。今日要闻显示，无论是供应链攻击的定向性，还是办公设备中员工个人信息的合规争议，均指向同一核心命题：分类分级是否精准，决定了安全投入的效率与合规风险的高低。本文结合最新政策动态与攻击案例，剖析制度实践的深层挑战。

🔑 关键要点

1. 数据分类分级不再是‘台账工程’，而是决定攻防对抗中‘优先保护谁’的战略起点，SCRM供应链攻击中云端下发的定向性正印证了攻击者对高价值数据的精准识别。

2. 《互联网信息服务管理办法（修订草案）》将数据分类分级与业务合规强绑定，企业‘自说自话’的定级体系面临监管审查与问责风险。

3. 办公设备中员工个人信息与业务数据的混同，成为分类分级实践中最棘手的‘灰色地带’，合规边界亟需技术手段辅助界定。

4. 从CSOP 2026大会到Flocks AI挑战赛，行业共识正从‘合规要求’转向‘基于数据资产地图的自动化分级与动态调整’。

🔍 深度分析

数据分类分级保护制度已从纸面走向实战，但落地效果与预期仍有显著差距。当前核心矛盾在于‘三不’：第一，定级标准不统一。虽然《数据安全法》明确了分类分级的法律地位，但行业细则尚未完全出台，企业常参照GB/T 43697-2024《数据安全技术 数据分类分级规则》自行裁剪，导致同一类型的数据在不同企业定级差异巨大，监管抽查时缺乏横向可比性。第二，动态调整不及时。今日曝光的SCRM供应链攻击链条显示，攻击者利用官方公告接口与RCE组合，精准窃取特定客户数据。这暴露出企业静态的资产台账无法反映数据流动中的价值变化——当某份数据被汇聚、加工后，其敏感度可能跃升，但分级标签往往滞后。第三，与业务场景脱节。办公设备中员工个人信息的问题即是典型：设备归属与数据归属分离，既有业务数据又有个人隐私，现有分类分级规则难以指导具体处置。从趋势看，行业领先者正引入‘数据血缘’分析和AI辅助分级，试图将分级标签内嵌于数据流转路径。然而，技术工具只是辅助，制度成功的关键在于将分类分级与数据安全风险评估、供应链安全管理、个人信息保护影响评估等机制打通，形成联动闭环。

⚡ 影响评估

对行业而言，分类分级的精细化程度将成为安全厂商产品分化的分水岭，自动化分级工具与数据安全态势感知平台的市场需求将快速释放。对企业而言，尤其是拥有大量客户数据与员工信息的中大型企业，定级不准将直接导致安全预算错配——低价值数据投入过度，高价值数据保护不足，且在监管检查中面临高额罚单与责令整改风险。对个人而言，若企业分类分级不到位，员工个人信息在办公设备处理场景下的泄露风险将长期存在，隐私权益保障依然脆弱。

💡 建议措施

1. 建立‘业务-数据-风险’三维映射模型，由业务部门主导初步定级，安全部门复核，避免IT部门闭门造车；明确将供应链数据与员工个人信息纳入高优先级保护目录。

2. 引入数据血缘追踪与自动化分级工具，对数据在采集、汇聚、加工、传输过程中的级别变化进行动态监控，确保云端下发、接口调用等场景下的分级标签实时更新。

3. 针对办公设备‘公私混合’数据场景，制定专项处置规程，优先采用沙箱隔离、虚拟桌面或数据不落地的技术方案，从源头减少分类分级的模糊地带。

4. 将分类分级结果与安全策略（如访问控制、加密强度、审计频率）强制联动，并纳入供应链安全审查与第三方合作评估的准入条件，确保制度不是‘墙上文件’。

数安早知道

— 点击上方链接访问知识库，获取更多安全资讯 —