东方瑞通 · CISSP

数据分类与分级体系

数据分类是根据数据敏感性与泄露影响将数据分级、并施加成比例保护的管理过程，核心是「不同敏感度、不同保护等级」。

考点精讲

政府/军事体系常用「绝密（Top Secret）/ 秘密（Secret）/ 机密（Confidential）/ 未分类（Unclassified）」四级：绝密泄露造成「异常严重损害」、秘密造成「严重损害」、机密造成「损害」、未分类无损害；商业组织常用「机密（Confidential）/ 内部（Internal）/ 公开（Public）」等自定义级别。分类级别决定标签、访问控制、存储位置、传输方式与销毁要求。分类过低会泄露、过高会浪费资源，应由数据所有者（Owner）负责定级，并随数据价值变化动态调整。

记忆技巧

记「按后果分级」：泄露后果越严重，级别越高——「绝密>秘密>机密>未分类」。
防陷阱：政府体系里「机密（Confidential）」是第三级，最高是「绝密（Top Secret）」。
记政府四级与后果配对：绝密=异常严重损害、秘密=严重损害、机密=损害、未分类=无损害。

常见误区

把「机密（Confidential）」当成最高级——政府体系里最高是「绝密（Top Secret）」。
把数据分类与访问控制混同——分类是「定级」，访问控制是「按级执行」的后续动作。
误认为分类越高越好——过度分类增加成本与可用性负担，应「恰当分级」。

真题思路

【示例】 【示例】常考政府四级从高到低的排序，或「某数据泄露造成严重损害应定哪一级」。参考 Practice Tests 第 2 章（Domain 2）。

常见问题

Q：谁负责给数据分类？

A：数据所有者（Owner）负责定级，托管者执行保护。

Q：分类级别需要定期复审吗？

A：需要，数据价值随业务变化，分类应动态调整。

Q：政府体系里「机密」是最高级吗？

A：不是，最高是「绝密（Top Secret）」，机密是第三级。

Q：数据分类和访问控制是一回事吗？

A：不是，分类是「定级」，访问控制是「按级执行」的后续动作。

Q：分类越高越好吗？

A：不是，过度分类增加成本与可用性负担，应「恰当分级」。

相关知识

数据生命周期管理数据角色：所有者、托管者、使用者风险应对的五种方式

教材出处：Domain 2 · 资产安全数据分类与分级体系

AI 助教

让 AI 助教带你深入学习，把你卡住的地方直接问它

随时为您答疑解惑