“王總，按27001要求，咱們得把所有業(yè)務數(shù)據分分類、定定級?！?br />   “嗯，你弄吧，弄完告訴我?！?br />   “需要您部門配合梳理一下哪些數(shù)據重要、影響多大……”
  “我哪有時間理這些？數(shù)據你們IT部門管不就好了嗎？”
  這是很多企業(yè)在推進ISO 27001信息安全管理體系時，真實的內部對話。數(shù)據分類分級是27001的“地基”——風險評估、訪問控制、事件響應都基于此。但業(yè)務部門不配合，這個地基根本打不下去。問題出在哪里？怎么破局？

  一、業(yè)務部門為什么抗拒？

  原因不外乎三個：
  D一，覺得“這是IT的事”。 很多業(yè)務負責人天然認為“數(shù)據安全是IT部門的工作”，分類分級是技術問題，跟自己沒關系。
  D二，搞不清“這對我有什么用”。 業(yè)務部門的核心KPI是營收、交付、客戶滿意度，數(shù)據分類分級既不影響這些指標，還額外增加了工作量。

  第三，擔心“分類了，我就沒法靈活用了”。 不少業(yè)務部門對數(shù)據分類分級的理解停留在“數(shù)據被貼上標簽后，自己反而不能靈活使用”，認為這會增加審批流程，影響業(yè)務效率。

  二、怎么讓對方愿意配合？

  1. 把“幫IT干活”變成“給自己省錢”
  業(yè)務部門不關心“合規(guī)”，但一定關心“業(yè)績”。兩個真實案例比講標準管用：
  “張經理，隔壁公司的銷售數(shù)據被業(yè)務員誤傳到網盤，導致核心客戶信息泄露、引發(fā)競品惡意競價——那份報告正好是銷售部為了趕項目進度用外部網盤傳的。如果當初做好數(shù)據分級，銷售數(shù)據就不會允許在外網環(huán)境流轉，這單也就不會黃?！?br />   “王總，上次安全事件咱們跟客戶解釋了大半個月，信任至今在修復。按27001要求做數(shù)據分級，不是說給數(shù)據加鎖，是給業(yè)務應急裝上安全氣囊——真出事時有預案兜底，不讓客戶對咱們產生懷疑。”
  2. 把“增加工作量”變成“優(yōu)化工作流程”
  讓業(yè)務部門覺得這是“優(yōu)化”，而非“增加負擔”。比如：
  “李總，按新分類規(guī)則，您部門日常數(shù)據流轉zui多走‘一般級’流程，不需要層層審批。zhong點只是把客戶合同、核心配方這類關鍵數(shù)據與普通文檔分開存放——操作量比現(xiàn)在其實還少了?！?br />   “咱們可以直接把‘數(shù)據分類分級要求’寫進您部門的《崗位說明書》里——明確銷售部負責客戶主數(shù)據分級，研發(fā)部負責配方數(shù)據分級。這樣不用每個季度臨時溝通分工，責任定了，權限也自然對齊了?！?br />   3. 爭取“關鍵少數(shù)”的支持
  業(yè)務部門的負責人統(tǒng)一口徑、集體推進，比單獨跟每個部門溝通效率高很多。爭取管理層例會上的明確表態(tài)，讓數(shù)據分級成為“公司決策”，而非“部門間的協(xié)調”。

  三、具體操作，別讓對方覺得太麻煩

  D一步：降低難度——先“定類”，再“分細”
  不要一上來就讓業(yè)務部門填復雜的分類表。可以先給出三類標簽：公開級、內部級、機密級。讓業(yè)務負責人拿著這三類標簽，先把自己部門的數(shù)據對號入座，之后再細化。
  D二步：提供“填空題”，不是“作文題”
  給業(yè)務部門一張簡單的表格，而不是一份復雜的問卷。比如：“請列出您部門保管的、涉及客戶隱私或公司核心競爭力的數(shù)據，注明存儲位置和使用人員。”——填完這一項，基礎數(shù)據就摸清了。
  第三步：先試點、再推廣
  選一個配合度相對較高的業(yè)務部門先試點，把流程走順了，再向其他部門推廣。用事實說話：“你看，他們做完了，也沒多花多少時間。”
  業(yè)務部門不配合數(shù)據分類分級，根源是認知錯位——他們沒看到這件事和自己有什么關系。溝通的核心不是“講標準”，而是“講場景”：用真實案例說明不分級會有什么后果，用簡化流程說明配合起來并不麻煩。
  一句話總結：把“你要配合我做27001”變成“這能幫你少丟單、少背鍋、少折騰”，業(yè)務部門的配合度自然會不一樣。