資料分類分級怎麼做？機密等級怎麼訂與 AI 使用規則
資料分類分級是依資料外洩、被竄改或無法使用時對公司的影響，把資料分成幾個機密等級，再為每一級訂出儲存、傳送、列印、銷毀與能否輸入生成式 AI 的規則。多數企業用公開、內部、機密、極機密四級就足夠，ISO/IEC 27002:2022 控制措施 5.12 舉的例子也是四個影響層級。
員工最常問的不是「什麼是機密」，而是報價單能不能寄給客戶、會議紀錄能不能丟進 ChatGPT 摘要。資料分類分級的目的，就是讓員工不用每次問主管也能自己判斷。下面依序說明等級怎麼訂、怎麼判斷、各級處理規則與 AI 使用規範；若要把分類分級納入完整的資安管理制度，可以參考 ISO 27001 驗證輔導。
資料分類分級是什麼？
資料分類分級是資訊安全管理中，依資料的敏感度與重要性決定保護程度的方法。「分類」回答資料屬於哪一類，例如客戶資料、財務資料、技術資料；「分級」回答資料要多嚴格保護，例如公開或極機密。兩者合起來，才能決定誰可以看、可以怎麼用。
ISO/IEC 27002:2022 控制措施 5.12 要求依機密性、完整性、可用性與相關法令要求建立分類機制，並由資訊擁有者負責分類；5.13 要求依分類標示資訊。對台灣企業還有一個實際好處：《營業秘密法》第 2 條規定營業秘密必須是「所有人已採取合理之保密措施者」，分級並標示機密，正是證明採取保密措施的基本做法。
常見的 4 個機密等級
4 個等級最好用：級數太少，員工無法區分「內部」與「機密」；級數太多，員工記不住，最後全部標成最高級。經濟部智慧財產局的《營業秘密保護實務教戰手冊》也建議，規模小的公司可以先分兩級，規模較大的再細分。
| 等級 | 外洩的影響 | 常見例子 |
|---|---|---|
| 公開 | 不會造成損害 | 官網內容、產品型錄、新聞稿 |
| 內部 | 輕微的商譽或作業影響 | 內部公告、一般會議紀錄、組織圖 |
| 機密 | 對營運或業務目標造成明顯影響 | 合約、報價、財務報表、客戶名單、一般個資 |
| 極機密 | 嚴重影響長期目標，甚至危及公司存續 | 核心製程與配方、原始碼、併購資料、特種個資 |
這四級對應 ISO/IEC 27002:2022 控制措施 5.12 舉的四個影響層級：揭露不造成損害、造成輕微商譽或作業影響、短期內明顯影響營運、嚴重影響長期目標或公司存續。名稱可以依公司習慣調整，例如把「極機密」叫做「限閱」，但等級定義要寫清楚。
怎麼判斷一份資料屬於哪一級？
判斷時看三件事：資料外洩、被改錯或打不開時對公司的影響，是否含有個資或受合約保密條款約束，以及有沒有法令要求特定的保護方式。取影響最大的那一項決定等級，而不是看文件長短或誰寫的。
實務上有兩個簡單規則可以避免爭議。第一，含個資的資料至少列為機密；含病歷、健康檢查、犯罪前科等個資法第 6 條特種個資者，列為極機密。第二，客戶或合作夥伴依保密協議提供的資料，等級不低於對方要求的等級。
分級由資料的擁有者決定，通常是產生或負責該資料的部門主管，而不是 IT。ISO/IEC 27002:2022 也提醒，資料的敏感度會隨時間改變，例如財報公告後就從機密變成公開，因此等級要定期檢視；判斷方式可以搭配 資訊資產清冊 一起記錄。
各等級的處理規則：儲存、傳送、列印、銷毀
分級本身不會保護資料，真正發揮作用的是每一級對應的處理規則。下表是可以直接改寫的範本，最後一欄是許多公司目前最需要補上的生成式 AI 規則：
| 等級 | 儲存 | 傳送 | 列印 | 銷毀 | 可否輸入生成式 AI |
|---|---|---|---|---|---|
| 公開 | 不限 | 不限 | 不限 | 一般回收 | 可以 |
| 內部 | 公司核准的系統與雲端 | 公司信箱，不轉寄私人信箱 | 可列印，不放公共區域 | 碎紙 | 僅限公司核准、不以輸入內容訓練模型的企業版 AI |
| 機密 | 限權限控管的資料夾，必要時加密 | 加密或使用受控分享連結 | 需要時才印，取件不留置 | 碎紙或銷毀紀錄 | 不得輸入公開 AI 服務；僅限公司核准的封閉環境 |
| 極機密 | 加密並限定人員，存取留紀錄 | 經主管核准，加密傳送 | 原則禁止列印 | 銷毀並留存紀錄 | 禁止 |
規則要配合標示才有效。依 ISO/IEC 27002:2022 控制措施 5.13，紙本可在頁首頁尾標示等級，電子檔可用檔名、頁首或檔案屬性標示；使用 Microsoft 365 的公司，可以用敏感度標籤自動加上浮水印與加密。
哪些資料可以輸入生成式 AI？
生成式 AI 的規則，可以直接參考行政院 2023 年 8 月 31 日通過的《行政院及所屬機關（構）使用生成式 AI 參考指引》：機密文書應由承辦人親自撰寫，不得使用生成式 AI；不得向生成式 AI 提供應保密、個人資料或未經同意公開的資訊。企業雖不受這份指引約束，但它的邏輯正好可以套用在分類分級上。
換成企業的規則就是：公開資料可以使用；內部資料只能用公司核准、不以輸入內容訓練模型的企業版服務；機密與極機密資料不得貼進公開的 AI 服務。實務上我們最常看到的外洩，不是被駭，而是員工把客戶合約或會議逐字稿貼進免費的 AI 工具摘要。AI 使用的其他風險，可以參考 AI 資安風險 的完整整理。
個資法與 ISO 27001 對資料分類有什麼要求？
個資法沒有規定一定要分級，但要求非公務機關對個資採取適當的安全措施，並對特種個資設有更嚴格的蒐集限制；把個資列為機密以上，是落實這些要求最直接的方式。ISO 27001 則透過附錄 A 的 5.12 分類、5.13 標示、5.10 可接受使用與 5.14 資訊傳送，要求企業建立分類機制並落實到日常作業。
稽核時，稽核員通常會抽一份文件，請員工說出它的等級與可以寄給誰；答得出來，資料分類分級才算真的落地。這也是為什麼分級定義要寫得具體，並放進 資安是什麼 這類新人訓練教材裡。
資料分類分級怎麼導入？
資料分類分級的導入可以分 5 個步驟，中小企業約一到兩個月能完成第一版：
- 訂定等級：決定分幾級，寫出每一級的定義與例子。
- 盤點資料：請各部門列出主要資料類型與存放位置，並由擁有者判定等級。
- 訂處理規則：依上面的範本，為每一級寫出儲存、傳送、列印、銷毀與 AI 規則。
- 標示與工具：設定文件範本、檔名規則或敏感度標籤，讓標示自動化。
- 宣導與檢查：用實際文件訓練員工判斷等級，並每年抽查與檢討。
第一步最常卡住的是主管們對等級定義有不同意見。建議先用公司真實的 10 份文件試分一次，討論出共識後再寫成規則，比從定義開始爭論有效得多。
還沒有分類分級制度，這週可以先做什麼？
這週先做兩件事：在公司公告「機密以上資料不得貼進公開 AI 服務」，並請各部門主管各挑 3 份最常對外傳送的文件，標出它們應該屬於哪一級。這兩件事不需要任何系統，卻能立刻降低最常見的外洩風險。
如果想把分類分級、標示與 AI 使用規則一次建立起來，可以 從一場 30 分鐘的諮詢開始。
資料分類分級常見問題
資料分類要分幾級？
多數企業分 4 級就足夠：公開、內部、機密、極機密，對應 ISO/IEC 27002:2022 控制措施 5.12 舉例的四個影響層級。規模較小、資料類型單純的公司，也可以先分「一般」與「機密」兩級，之後再細分。級數超過 5 級時，員工通常記不住，反而容易全部標成最高級。
個資一定是機密嗎？
建議至少列為機密。個資外洩會產生通知當事人的義務與賠償風險，個資法也要求採取適當的安全措施；含病歷、健康檢查、犯罪前科等特種個資者，建議列為極機密。公開在官網的聯絡窗口姓名與電話，則可視為公開資訊，不必提高等級。
員工怎麼知道文件是哪一級？
靠標示與訓練。文件範本的頁首頁尾預先放好等級欄位，電子檔用檔名或敏感度標籤標示，郵件主旨加上等級，員工就能一眼辨識。新進人員訓練時用真實文件練習判斷，並提供一頁式的等級對照表，遇到不確定時，以較高的等級處理並詢問資料擁有者。
參考資料
- ISO/IEC 27002:2022 Information security controls – 控制措施 5.10、5.12、5.13、5.14。ISO · 2022 年 2 月
- 營業秘密法 – 第 2 條：營業秘密須採取合理之保密措施。經濟部 · 民國 109 年 1 月 15 日修正
- 行政院及所屬機關（構）使用生成式 AI 參考指引 – 機密文書與應保密資訊不得使用生成式 AI。行政院 · 民國 112 年 8 月 31 日
- 個人資料保護法 – 第 6 條特種個資。法務部全國法規資料庫
