一、ISO 27799:2016 8.2.2 标准原文
条款原文：应根据组织采用的信息分类方案，建立适当的信息标记程序。对医疗机构而言，标记不是为了让文件看起来更正式，而是为了让持有人、接收人、保管人和处理者一眼知道这份信息属于什么级别、应按什么要求存放、传递、打印、复制和销毁。
理解重点：信息分类如果不转化为可见、可识别的标记，现场人员很难在流转过程中持续做出正确处理判断。
二、条款深度解读
2.1 标记的本质，是把分类结果带进流转现场
信息分类解决的是“这是什么级别”，信息标记解决的是“现场的人能不能看出来”。医疗场景里，信息经常会离开最初产生它的系统环境，变成打印件、PDF、截图、报表、刻盘影像、科研数据包、会诊材料或投诉调查附件。一旦脱离原系统，原有的权限和上下文提示往往随之消失。如果没有清晰标记，接收人根本不知道这份资料应按普通内部文档处理，还是应按高敏感患者信息处理。
这就是为什么 8.2.2 不能被简单理解为“给文件加个标签”。它真正要做的，是让分类在流转中不丢失。标记若缺位，分类体系再完整，也会在最需要人工判断的环节失效。
2.2 医疗机构中的信息标记，不应只停留在文件封面
| 对象 | 标记方式 | 常见缺口 | 控制重点 |
|---|---|---|---|
| 纸质文件和打印件 | 页眉页脚、封面、骑缝、编号 | 复印后标记消失，散页难辨敏感度 | 关键页重复标记、打印控制、页码编号 |
| 电子文档和报表 | 文件头、页脚、水印、元数据标签 | 导出后无级别提示，转发时语义丢失 | 导出模板自动带级别和用途提示 |
| 数据集和项目包 | 目录说明、清单文件、压缩包命名和交付说明 | 只标文件夹名称，不说明是否含识别信息 | 交付包整体标记，附用途和保留要求 |
| 介质与外包装 | 光盘标签、介质编号、外封识别 | 介质表面没有标识，内容级别无法判断 | 介质本体和随附清单同时标记 |
这张表说明，医院的信息标记必须覆盖纸质、电子、数据集和介质多种对象。若只给正式公文做标记，而导出报表、刻录光盘、临时交付包和复印件没有任何提示，真正高风险的信息依然会在现场“失去身份”。
2.3 标记既不能缺位，也不能滥用到失去区分力
有些机构的问题是没有标记，什么都看不出来；另一些机构的问题则是“全都很重要”，所有文件一律盖上高敏感标签。后一种做法看似严格，实际上会让标记迅速失去意义。因为一旦所有资料都被同样对待，前线人员很难理解哪些对象真的需要更强的打印控制、加密传输或限制复制，制度最终会退化成形式。
所以，高质量标记必须建立在清晰分类之上，并与处理要求一致。比如普通内部会议纪要不应套用病历级别标记，而带患者标识的投诉材料、会诊截图、导出表格和科研原始数据则应有明确且醒目的提示。标记本身不是目的，而是触发正确处理动作的信号。
2.4 医疗行业还要特别处理“派生材料”的标记问题
很多高风险材料不是原始病历，而是从病历中派生出来的内容，例如病案复印件、教学案例、统计表、影像截图、问题清单和调查材料。它们往往在形式上不像病历，于是容易被当成普通工作文件对待。8.2.2 在医院场景里最需要补强的，正是这些派生对象。只要派生后仍包含患者标识、敏感病情、可回溯组合信息或受限内部分析内容，就应按相应类别继续标记，而不是因为“做成了新文件”就自动降级。
同时，对于经充分去标识并重新分类的数据，也应当更新标记，防止仍沿用过高或过低的旧标签，造成处理混乱。这说明标记不是一次性动作，而是随着信息形态变化动态调整的管理动作。
三、实施要点
- 先有清晰分类，再设计对应标记规则，避免标记体系与分类体系脱节。
- 为纸质文件、电子文档、数据集、介质和派生材料分别定义标记方式。
- 把级别、用途限制、页码编号、版本信息和必要时的接收对象提示结合起来设计。
- 在系统导出、打印和报表模板中尽量自动带出标记，减少完全依赖人工添加。
- 对复印、截图、派生文件和去标识数据建立重新标记规则，防止旧标签失真或标签丢失。
- 培训现场人员理解标记的实际含义，让标记能触发正确的保管、传输和销毁动作。
四、典型场景
案例一：病案复印件脱离原卷后失去敏感度提示
某医院病案复印件在复印后只保留正文内容，没有任何页眉标识或编号。文件离开病案室后，接收部门无法快速判断其敏感级别，也难以确认是否完整。后续整改时，医院在复印模板中增加了页码、用途提示和敏感标识，使复印件即使脱离原卷也仍能被正确识别和管理。
案例二：科研交付包只写项目名称，未说明是否含识别信息
另一家机构在向合作方交付数据包时，只在压缩包名称中写了项目名，没有任何分类和用途提示。接收方难以判断其中是否可含患者标识、是否应限内部使用、何时应删除。这个案例说明，信息标记若不随着交付对象一起走，分类结果就无法跨部门和跨机构延续。
五、成文信息与审核证据
- 信息标记制度、标记模板和标记与分类的映射规则。
- 纸质文件、电子文件、导出报表和介质标签示例。
- 系统自动带标记的配置说明和打印模板设置。
- 派生材料、去标识数据和交付包的重新标记规则。
- 围绕标记缺失、错标和滥标的抽查与整改记录。
- 培训材料和能证明现场人员理解标记含义的考核记录。
审核 8.2.2 时，检查重点通常是现场随机抽到的纸质件、电子报表或介质，是否能够看出其类别及处理要求。若分类制度存在，但现实载体上完全看不出来，条款就很难被认为真正落地。
六、常见误区
| 误区 | 问题表现 | 正确做法 |
|---|---|---|
| 分类做了，标记可有可无 | 现场无法识别资料应如何处理 | 让分类结果通过标记持续可见 |
| 只给正式文件标记 | 导出表格、截图、复印件和数据包没有提示 | 覆盖所有实际流转对象 |
| 全部标最高级最安全 | 标记失去区分力，现场处理仍然混乱 | 按真实风险分层标记 |
| 派生材料自动降级 | 复印件、摘要、统计表被误当普通文件 | 根据内容重新判断并重标 |
七、结论
8.2.2 的价值，在于让分类结果不只停留在制度层面，而是跟着信息一起进入打印、导出、复制、交付和保管的全过程。对医院来说，只要资料一离开原系统就失去身份提示，后续处理就很容易靠经验和习惯滑向失控。
高质量的信息标记应当清晰、适度、可操作，能够让任何接触者快速知道这份信息该怎么放、怎么发、怎么留、怎么删。它不是为了增加形式感，而是为了在信息流转中持续提醒处理边界。
尤其在医院大量存在复印件、截图、导出表格和项目交付包的现实下，标记是否还能跟着内容一起走，决定了分类能否穿透纸面、屏幕和介质之间的转换。如果一转换就丢失标记，制度很快会在最需要提醒的地方失效。
更实际地说，标记就是现场处理者的第一道提示。如果接收人拿到一份材料后仍要靠猜测才能决定是否可以打印、转发或长期留存，那说明标记工作仍然没有真正完成。
医院每天都在产生大量派生材料，谁都不可能回忆每份资料最初来自哪个系统、当时属于什么类别。能不能在当前载体上一眼看懂其处理边界，正是信息标记存在的根本意义。
标记若不能帮助现场立即作出正确动作，就不算真正有效。
这正是它区别于一般文件美化或格式规范的地方。
没有动作指引的标记，价值非常有限。
这一点尤其关键。
从治理角度看，标记做得越准确，组织越能把纸质件、导出包、派生材料和外部交付纳入同一套受控逻辑。分类由此才真正进入运行现场。