-问：现在对于数据分类分级，其中的级别是不是一定要按核心-重要-一般去划？还是可以按照“公开、限制流通、内部保密、绝密”类似这种角度去划？
-答1：制度完整性上 先做核心、重要、一般数据的识别。
-答2：不然怎么划。。。。先看下保密法，绝密你企业能定义？你分类分级，重要数据4个字都没出现。怎么合规呢。一般数据企业自由定义。
-答3：是的 尽量避免 bm jm mm
-答4：所以最粗颗粒度的分类分级：分级: 公开、限制流通、内部保密、绝密；分类：重要数据，核心数据，一般数据。
-答5：重要数据是分级，不是分类。很多人以为重要数据和个人信息是一个纬度。一个是分类一个是分级。不一样。
-答6：分类是业务属性，量级纬度 是判断自定义级别 是否超出一般定义的一个要素。3级分级也行。
-答7：一般数据包括1-4级，分级可以参考金融的行业标准，JR/T 0197-2020。
-答8：不涉及核心数据、重要数据，只有1-4级（个人信息分级去年有个标准里有建议等级），业务数据的部分看看行标，没有就找业务leader定吧。
-答9：实操有偷懒的做法，国企央企还有政务类的内部发文了，先按核心，重要，一般来，个人信息1000万的，划入重要。
-答10：如果是跨国公司重新来是几乎不可能的。这些法条要求出来之前，公司是按照信息安全的一套来定义级别（基本就是用钱来丈量），结果就是不同的安全措施在现有的各个系统上。如果贸然重新来，制度规则修改容易，调整的级别落到安全措施就是一堆老系统，改不了设置。一个业务都无法落地整改的制度，为了合规，最后其实达不到你想要的合规。以上就是切身体会…我们之前就是面临过现有分级和国家分级匹配落地这个问题。国标定级和企业内部信息安全的定级，连结点（或者说是换算方法）是安全措施，更严格说是CIA的C对应的措施。
-答11：同感，很多分类分级都是从总部铺下来的，我们一通说容易，倒推回去改系统估计没改完国内又出新花头了。
-答12：所以要有空间。基于pia or数据安全风险评估结果，给的空间。一个给业务活路，又控制合规风险+保护自己不背锅的生存方法。不过实践中，还是有很多问题…但没有那么尖锐了。
所以更多的还是尝试做换算，而不是重新来。当然，特色的，可能要做补齐。
-答13：其实吧 只要我能识别 高 次敏字段 和数据血缘， 为什么非要系统打标呢？业务自发整改 做的其实更漂亮 和彻底啊。
总结：还是要结合企业实践。
