数据分类分级规则国家标准解读与行业实践 2024

《OLYMPICCOUNCILOFASIA亚奥理事会官方合作伙伴OFFICIALPRESTIGEPARTNEROFTHEOYMPICCOUNCILOFASIAGB/T43697-2024《数据安全技术数据分类分级规则》国家标准解读与行业实践400-6059-01数据分类分级政策法规要求Contents02数据分类分级国家标准解读03部分行业数据分类分级标准04数据分类分级安全保护实践数据分类分级政策法规要求数据分类分级法律法规要求《网络安全法》首次提出“重要数据”定义“《网络安全法》首次提出“重要数据”定义“网络数据”第三章网络运行安全第二十一条国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：(一)制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；(二)采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；(三)采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；（四)采取数据分类、重要数据备份和加密等措施；(五)法律、行政法规规定的其他义务。《数据安全法》明确国家建立“数据分类分级保护制度”《数据安全法》明确国家建立“数据分类分级保护制度”第二十一条国家建立数据分类分级保护制度根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度。各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。第一千零三十四条自然人的个人信息受法律保护个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。个人信息中的私密信息，适用有关隐私权的规定；没有规定的，适用有关个人信息保护的规定。第五十一条个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失：(一)制定内部管理制度和操作规程；二)对个人信息实行分类管理；(三)采取相应的加密、去标识化等安全技术措施；(四)合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训；(五)制定并组织实施个人信息安全事件应急预案；(六)法律、行政法规规定的其他措施。数据分类分级保护制度国家数据分类分级保护制度标准国家数据分类分级保护制度标准•信息安全技术数据分类分级规则（原名称“网络数行业、领域数据分类分级保护地区、部门、机构数据分类分级保护数据安全法数据安全法•各地区、各部门应当按照数据分类分级保护制国家标准编制过程《数据络分级》网据分引布《数类指发制数据分类分级国家标准解读资例料示者分类程理据分流处数级资例料示者分类程理据分流处数级领据分程业数级流行域分类确别合级综定确则别规级定影析据分数响分素据要数级-本标准在编制过程中遵循了问题导向原则、协调性原则- 123456789101112则效益在某个行业领域内依法履行工作职责或开展业行业领域数据在某个行业领域内依法履行工作职责或开展业行业领域数据公共数据组织在自身生产经营活动中收集、产生的不组织数据衍生数据数据处理者数据数据特定领域、特定群体、特定区域或达到一定特定领域、特定群体、特定区域或达到一定旦被泄露或篡改、损毁，可能直接危害国家安全注：仅影响组织自身或公民个体的数据一般不作为重要数据。数据对领域、群体、区域具有较高覆盖度或达到较对领域、群体、区域具有较高覆盖度或达到较一定深度的，一旦被非法使用或共享，可能直注：核心数据主要包括关系国家安全重点领域的数据，关系国民经济命脉、重要民生、重大公共利益的数据，经国家有关部门评估确定的其他数据。核心数据一般数据个人信息敏感个人信息边界清晰原则边界清晰原则就高从严原则科学实用原则动态更新原则在遵循国家数据分类分级保护要求的基础上，按照数据所属行业领域进行分类分级管理,点面结合原则点面结合原则融合后的安全影响,据录核心数据目录核心数据目录数据影响分析分级要素识别重要数据目录数据按照先行业领域分类、数据按照先行业领域分类、再业务属性分类的思路进行分类。b)各行业各领域主管(监管)部门根据本行业本领域业务属性，对本行业领域数据进行细化分类。常见业务属性包括但不限1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素7.级别确定规则数据分类框架常见业务属性包括但不限于：数据分类框架数据分类框架1.数据分类框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素7.级别确定规则数据分类可根据数据管理和使用需求数据分类可根据数据管理和使用需求，结合已有数据分类基础，灵活选择业务属性将数据细化分类。具体参考以下步骤开展行业领域数据分类。b)细化业务分类:对本行业本领域业务进行细化分类，包括:d)确定分类规则:梳理分析各关键业务的数据分类结可采取“业务条线—关键业务—业务属性分类”的方式给1.数据分类框架2.数据分类方法1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素7.级别确定规则数据分类框架示例：•工业领域数据，按照部门职责分成原材料、装备制造、消费品、电子信息制造、软件和信息技术服务等。•原材料分为钢铁、有色金属、石油化工等；装备制造分为汽车•钢铁数据按照数据描述对象，分为用户数据、业务数据、经营管理数据、系统运维数据等，•业务数据细分为研发设计数据、控制信息、工艺参数等，•其中研发设计数据类别能标识为“工业数据-原材料数据-钢铁数据-业务数据-研发设计数据”。2)也可对关键业务的数据分类结果进行归类分析，将具有相似主题的数据子类进行归类。工业领域数据也按照数据处理、流程环节等业务属性进行分类，示例：•按照数据处理者类型分为工业企业工业数据、平台企业工业数据；•工业企业工业数据分为研发数据、生产数据、运维数据、管理数据、外部数据；•按照数据主题将生产数据分为控制信息、工况状态、工艺参数、系统日志等。根据数据在经济社会发展中的重要程度根据数据在经济社会发展中的重要程度，以及一旦遭到泄露、篡改、损毁或者非法获取、非法使用、非法共享，对国家安全、经济运行、社会秩序、公共利益、组织权益、个人权益造成的危害程度，将数据从高到低分为核心数据、重要数据、一般数据三个级别。1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素7.级别确定规则数据分级框架c)影响基本经济制度安全、供给侧结构性改革、粮食安全、能源安全、重要资源安全、系统性金融d)影响国家科技实力、科技自主创新、关键核心技术、国际科技竞争力、科技伦理风险、出口管制f)影响国家社会治理体系、社会治安防控体系、g)影响生态环境安全、绿色生态发展、污染防治、生态系统质量和稳定性、生态环境领域国家治理i)影响电磁空间、网络空间安全、关键信息基础设施安全、人工智能安全，或者可能被利用实施对关键信息基础设施、核心技术设备等的网络攻击，可能导致特别重大或重大网络安全和数据安全事k)影响国家生物安全治理体系、生物资源和人类遗传资源安全、生命安全和生物安全领域的重大科判断数据是否可能影响经济运行，常见考虑因a)影响市场准入、市场行为、市场结构、商品销售、交换关系、生产经营秩序、涉外经济关b)影响社会总供给和总需求、国民经济总值和增长速度、国民经济中主要比例关系、物价总水平、劳动就业总水平与失业率、货币发行总规模与增长速度、进出口贸易总规模与变动等c)影响涉及国家安全的行业、支柱产业和高新技术产业中的重要骨干企业、提供重要公共产品的行业、重大基础设施和重要矿产资源行业根据数据在经济社会发展中的重要程度根据数据在经济社会发展中的重要程度，以及一旦遭到泄露、篡改、损毁或者非法获取、非法使用、非法共享，对国家安全、经济运行、社会秩序、公共利益、组织权益、个人权益造成的危害程度，将数据从高到低分为核心数据、重要数据、一般数据三个级别。1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素7.级别确定规则数据分级框架a)影响社会稳定，可能引发社会恐慌，导致重大突发事件、群b)影响人民群众民生保障或日常生活秩序，如扶贫、就业、收c)影响国家机关、企事业单位、社会团体的生产秩序、经营秩a)影响对重大疾病(尤其是传染病)的预防、监控和治疗，或者1.数据分类框架2.数据分类方法1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素7.级别确定规则数据分级方法数据分级是为了保护数据安全，具体可参考以下步骤进行数据分级。a)确定分级对象：确定待分级的数据，如数据项、数据集、衍生数据、跨行业领域数据等。工产生的数据。b)分级要素识别：结合自身数据特点，按照6.3识别数据涉及的分级要素情况。c)数据影响分析：结合数据分级要素识别情况，分析数据一旦遭到泄露、篡改、损毁或者非法确定分级对象确定分级对象综合确定级别综合确定级别综合确定级别〞内容，综数据分级要素数据分级要素1.数据分类框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素7.级别确定规则数据分级应首先识别以下数据分级要素情况。d)精度:数据的精确或准确程度。数据精度可识别数值精度e)规模:数据规模及数据描述的对象范围或能力大小。数据规模可识别数据存储量、群体规模、区域规模、领域规模、生产f)深度:通过数据统计、关联、挖掘或融合等加工处理，对数据描述对象的隐含信息或多维度细节信息的刻画程度。数据深度可识别数据在刻画描述对象的经济运行、发展态势、行踪轨迹、活动记录、对象关系、历史背景、产业供应链等方面的g)覆盖度:数据对领域、群体、区域、时段等的h)重要性:数据在经济社会发展中的重要程度。重要性可识别数据在经济建设、政治建设、文化建设、社会建设、生态文明1.数据分类框架2.数据分类方法1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素7.级别确定规则数据分级要素C.2数据精度考虑因素数据精度识别的常见考虑因素，例如：——数值精度，如统计指标的精度等；——空间精度，如位置定位精度、数字地图精度等；——生产工艺精密度，如集成电路精细度、机械加工精度等；——视频图像高清度；——遥测遥感精度；——仪器仪表精度。C.6数据重要性考虑因素数据重要性识别常见考虑因素，例如：a)在数字经济建设中的重要程度，如数字基础设施建设、数据要素市场流通、产业数字化转型、数字化产业竞争力等；b)在数字政府和政治建设中的重要程度，如政务数据共享、公共数据开放和开发利用、数字化政务服务、监管治理体系建设、政治制度、法律司法等；c)在文化建设中的重要程度，如教育、科业；d)在社会建设中的重要程度，如公共服务字农村等；e)在生态文明建设中的重要程度，如自然地震等；f)在国家安全、维护社会稳定等工作的重要程度，如涉外数据对维护和塑造国家安全意义重大。C.5数据覆盖度考虑因素数据覆盖度识别的常见考虑因素，例如：——领域覆盖分布或密度，如领域覆盖占比、领域覆盖分布、领域覆盖密度等；——群体覆盖分布或密度，如群体覆盖占比、群体覆盖分布、人口密度等；——区域覆盖分布或密度，如行政区划覆盖度、区域覆盖分布、区域覆盖密度等；——时段覆盖分布或密度，如时间段覆盖度、时间段覆盖分布、时间段覆盖密度等。数据分级要素数据分级要素1.数据分类框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素7.级别确定规则数据在经济社会发展中的重要程度数字经济建设如数字基础设施建设数字经济建设如数字基础设施建设、数据要素市场流通、产业数字化转型、数字化产业竞争力等经济在国家安全、维护社会稳定等工作的重要程度，如涉外数据对维护和塑造国家安全意义重大经济社会建设如公共服务数字化社会建设如公共服务数字化、智慧城市、数字生活建设、住建、数字农村等社会生态如自然资源、生态环境、交通、水利、气象、林草社会生态数字政府和政治建设如政务数据共享、公共数据开放和开数字政府和政治建设如政务数据共享、公共数据开放和开发利用、数字化政务服务、监管治理体系建设、政治制度、法律司法等政府文化如教育、科学、文学艺术、新闻出版、广播电视、卫生体育、图书馆、博物馆、网络空间等各项文化事业数据影响分析数据影响分析1.数据分类框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则影响对象是指数据一旦遭到泄露、篡改、损毁或者非法获取、非法利用、非法共享（面临安全风险时可能影响的对象。公共利益04公共利益社会公众使用公共服务、公共设施、公02经济运行02经济运行05组织权益组织自身或其他组织的生产运营、声益03社会秩序03社会秩序06个人权益1.数据分类框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别在分级要素识别、数据影响分析的基础上在分级要素识别、数据影响分析的基础上，按照以下规则确定数据级别。a)应按照6.5规定的数据级别确定规则，识别核心数据、重要数据和一般数据。b)重要数据的识别，在符合6.5b)的基础上应按照附录G执行。c)如待分级数据涉及多个要素、多个影响对象或影响程度，应按照就高从严原则确定数据级别。d)数据集级别可在数据项级别的基础上，按照就高从严的原则，将数据集包含数据项的最高级别作为数据集默认级别，但同时也要考虑分级要素(如数据规模)变化可能需要调高级别。注:数据集中各数据项级别与数据集级别不一定相同，具体要根据该数据项的影响对象和影响程度进行判断。e)在6.1规定的数据分级框架下，如还需对一般数据进行细化分级保护，可参考附录H对一般数据进行分级。f)衍生数据级别可按照就高从严原则，在原始数据级别的基础上，综合考虑加工后的数据深度等分级要素对国家安全、经济运行、社会秩序、公共利益、组织权益、个人权益的影响进行确定，具体见附录I。g)跨行业领域数据分级，原则上可按照数据来源的行业领域数据分级规则确定级别，如果存在跨行业领域数据融合加工，需考虑融合加工对数据分级要素的影响，按照衍生数据确定级别。h)根据数据重要程度和可能造成的危害程度的变化，应对数据级别进行动态更新。行业领域数据分类分级流程行业领域数据分类分级流程1.数据分类框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程行业领域主管(监管)部门在遵循国家有关规定要求的基础上行业领域主管(监管)部门在遵循国家有关规定要求的基础上，可参考以下步骤开展行业领域数据分类分级工作。a)制定行业标准规范:按照国家数据分类分级保护有关要求，参照本文件制定本行业本领域的数据分类分级标准规范，重点可明确以下内容:1)明确行业数据分类细则，确定数据分类所依据的业务属性，给出按照业务属性划分的数据类别;2)分析行业领域数据的领域、群体、区域、精度、规模、深度、重要性等分级要素，明确本行业本领域重要数据识别细则，确定哪些数据可确定为重要数据;3)明确本行业本领域核心数据识别细则，提出哪些数据建议确定为核心数据;4)明确本行业本领域一般数据范围。b)开展数据分类分级:行业领域主管(监管)部门，根据本行业本领域的数据分类分级标准规范，组织本行业本领域数据处理者开展数据分类分级工作，指导数据处理者准确识别、及时报送重要数据和核心数据目录信息。1.数据分类框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则或严重危害(如关系其他国家安全重点领域);7)经有关部门评估确定的核心数据。重要数据的级别确定规则重要数据的级别确定规则5)数据直接关系国家安全、经济运行、社会稳定、公共健7)经行业领域主管(监管)部门评估确定的重要数据。1.数据分类框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则1.数据分类框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别a)应按照6.5规定的数据级别确定规则，识别核心数据、重要数据和一般数据。b)重要数据的识别，在符合6.5b)的基础上应按照附录G执行。但同时也要考虑分级要素(如数据规模)变化可能需要调高f)衍生数据级别可按照就高从严原则，在原始数据级g)跨行业领域数据分级，原则上可按照数据来源的行业领域数据分级规则确定级别，如果存在跨行业领域数据融合h)根据数据重要程度和可能造成的危害程度的变化，应对数据级行业领域数据分类分级流程行业领域数据分类分级流程1.数据分类框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程a)制定行业标准规范:按照国家数据分类分级保护有关要求，参照本文件制定本行业本领域的数据分类分级标准规2)分析行业领域数据的领域、群体、区域、精度、规模、深度、重要性等分级要素，明确本行业本领域重要数据1.数据分类框架2.数据分类方法1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程10.处理者数据分类分级流程处理者数据分类分级流程数据资数据资产梳理制定内制定内部规则标准规范，结实时数实时数据分类实时数实时数据分级审核上审核上报目录动态更动态更新管理1)1)如行业领域主管部门已制定行业领域数据分类分级规则，处理者应结合自身实际参考本文2）如所属行业领域没有行业主管部门认可的数据分类分级标准规范的，或存在行业领域规范未覆盖的数据类型，按照本文件3）如果业务涉及多个行业领域，可在参考本文件的基础上，分别按照各个行业领域的数据分类1.数据分类框架1.数据分类框架2.数据分类方法2.数据分类方法附录A（资料性）基于描述对象与数据主体的数据分类参考3.数据分级框架3.数据分级框架附录B（资料性）个人信息分类示例4.数据分级方法4.数据分级方法附录C（资料性）数据分级要素识别常见考虑因素5.数据分级要素5.数据分级要素附录D（资料性）安全风险常见考虑因素附录E（资料性）影响对象考虑因素6.数据影响分析6.数据影响分析附录F（资料性）影响程度参考示例7.级别确定规则7.级别确定规则附录G（规范性）重要数据识别指南8.综合确定级别8.综合确定级别附录H（资料性）一般数据分级参考9.行业领域数据分9.行业领域数据分附录I（资料性）衍生数据分级参考类分级流程类分级流程附录J（资料性）动态更新情形参考10.处理者数据分类10.处理者数据分类分级流程分级流程附录附录A（资料性）基于数据描述对象与数据主题的数据分类参考1.数据分类框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程10.处理者数据分类分级流程基于描述对象的数据分类参考示例数据类别类别定义用户数据如个人信息、组织用户信息（如组业务数据经营管理数据如经营战略、财务数据、井购及融系统运维数据洞数据、安全事件数据等附录附录A（资料性）基于数据描述对象与数据主题的数据分类参考1.数据分类框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程10.处理者数据分类分级流程基于数据主体的数据分类参考示例数据类别类别定义公共数据据如政务数据，在供水、供电、供气组织数据个人信息如个人身份信息、个人生物识别信个人位置信息、个人健康生理信息等附录B附录B（资料性）个人信息分类示例1.数据分类框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程10.处理者数据分类分级流程附录B附录B（资料性）个人信息分类示例1.数据分类框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程10.处理者数据分类分级流程1.数据分类框架2.数据分类方法1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程10.处理者数据分类分级流程附录C.1-C.3（资料性）数据分级要素识别常见考虑因素C.1数据领域、群体、区域考虑因素如行业领域;业务条线、业务类目;生产经营活动;流如人群;团体、单位、组织;网络、信息系统、数据中心;资源、原材料、物项目;基础设施;注:与国家安全、经济运行、社会秩序、公共利C.2数据精度考虑如统计指标的精度等;如集成电路精细度、机械加工精度等;C.3数据规模考虑1.数据分类框架2.数据分类方法1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程10.处理者数据分类分级流程附录C.4-C.6（资料性）数据分级要素识别常见考虑因素C.4数据深度考虑C.5数据覆盖度考虑因素C.6重要性考虑因素如公共服务数字化、智慧城市、数字生活建1.数据分类框架2.数据分类方法1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程10.处理者数据分类分级流程附录D（资料性）安全风险常见考虑因素安全风险类别定义示例数据泄露数据窃取、未授权访问数据、违规导出数据等破坏数据保密性风险。数据篡改未授权修改、注入、仿冒、伪造数据等破坏数据完整性风险。数据毁损也称数据破坏，数据被损毁、数据质量下降、数据访问或使用中断等破坏数据可用性风险。非法获取数据违反法律、行政法规等有关规定，超范围收集、强制授权、非法获取公民个人信息等违法违规收集数据风险。非法使用数据也称非法利用数据，违反法律、行政法规等有关规定，使用、加工、委托处理数据。非法共享数据违反法律、行政法规等有关规定，向他人提供、交换、转移、交易、出境、公开数据。益附录E（资料性）影响对象考虑因素-国家安全1.数据分类框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程10.处理者数据分类分级流程讼1.数据分类框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程10.处理者数据分类分级流程1.数据分类框架2.数据分类方法1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程10.处理者数据分类分级流程附录F（资料性）影响程度参考示例-国家安全、经济影响对象影响程度参考说明国家安全害经济运行害1)直接影响关系国民经济命脉的重要行业和关键领域的经2)直接影响关系国民经济命脉的重点产业、重大基础设施、重大建设项目以及其他重3)对一个或多个行业领域的经济发展、业务生产、技术进步、产业生态造成特别严业和高新技术产业中的重要骨干企业造成重大损害，导致大面积业务中断4)对一个或多个省级行政区的经济运行造成特别严重危害，例如导致大范围停工停产、大规模基1)直接影响宏观经济运行状况和发展趋势，如社会总供给济主要比例关系、物价总水平、劳动就业总水平与失业率、货币发行总规模与增长速度2)直接影响一个或多个地区、行业内多个企业或大规模用户，对行业发展、技术进步和严重影响，或者直接影响行业领域核心竞争力、核心业务运行、关键产1)对单个行业领域发展、业务经营、技术进步、产业生态较小、生产生活区域范围较小、持续时间较短、社会负面影响较小2)对单个行业领域或1.数据分类框架2.数据分类方法1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程10.处理者数据分类分级流程附录F（资料性）影响程度参考示例-国家安全、经济影响对象影响程度参考说明社会秩序害2)直接导致特别重大突发事件、特别重大群体性事件、暴力恐怖活动等，引起一个或多1)直接导致重大突发事件、重大群体性事件等，影响一个或2)直接影响企事业单位、社会团体的生产秩序、经营秩序、教学科研秩序、医疗卫生秩序公共利益害大范围社会成员(如1000万人以上)无法使用公共设施、获取公开数据资2)导致特别重大网络安全和数据安全事件，或者导致特别重大事故级别的安全生产事故3)导致特别重大突发公共卫生事件(1级)，造成社会公众健康特别严重损害的重大2)导致重大突发公共卫生事件(Ⅱ1级)，造成社会公众健康严重损害的重大传染病疫情3)导致一个或多个地市大部分地区的社会公共资源供应较长期中断，较大范围社会成员对公共利益产生一般危害，影响小范围社会成员使用公共设施、获取公开数据资源、1.数据分类框架2.数据分类方法1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程10.处理者数据分类分级流程附录F（资料性）影响程度参考示例-国家安全、经济影响对象影响程度参考说明组织权益导致组织遭到监管部门严重处罚(如取消经营资格、长期暂停相关业务等)法正常开展的情况，造成重大经济或技术损失，严重破坏导致组织遭到监管部门处罚(如一段时间内暂停经营资格或业务等)，或者导致个别诉讼事件，或在某一时间造成部分业务中断，使组织的经济个人权益个人信息主体遭受重大的、不可消除的、可能无法克服的影响，容易导致自然人的者人身、财产安全受到危害。如遭受无法承担的债务、失去工作能力、导致长个人信息主体会遭受困扰，但尚可以克服。如付出额外成本、无法使用应提供的服1.数据分类框架2.数据分类方法3.数据分级框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程10.处理者数据分类分级流程附录G（规范性）重要数据识别指南考虑因素数据类型举例如未公开的领陆、领水、领空数据;备量有关的数据;或重要经济领域生产的数据;如记录历史文化遗产的数据;实验数据、检测报告的数据;急预案、测评、运行维护、审计日志的数据;产品和服务采购情况、未公开重大漏洞情况的数据;1.数据分类框架2.数据分类方法1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程10.处理者数据分类分级流程附录G（规范性）重要数据识别指南序考虑因素数据类型举例9反映自然环境、生产生活环境基础情况，或可被利用造成环境安全如未公开的与土壤、气象观测、环保监测有关的数据;反映水资源、能源资源、土地资源、矿产资源等资源储备和开发、供给情况情况的数据;反映核材料、核设施、核活动情况，或可被利用造成核破坏或其他核安全如涉及核电站设计图、核电站运行情况的数据;关系海外能源资源安全、海上战略通道安全、海外公民和法人安全，或可被利用备、使用和维修情况的数据;的数据;反映生物技术研究、开发和应用情况，反映族群特征、遗传信息关系重大突发传染病、动植物疫情，关系生物实验室安全，或可能被利用制如重要生物资源数据、微生物耐药基础研究数据;反映全局性或重点领域经济运行、金融活动状况，关系产业竞争力，可造成公共如未公开的统计数据、重点企业商业秘密;反映国家或地区群体健康生理状况，关系疾病传播与防治，关系食品药品安全如涉及健康医疗资源、批量人口诊疗与健康管理源的数据;资源、核、海外利益、太空、极地、深海、生物、人工智能等安全的数据;素).其他可能对经济运行、社会秩序或公共利益造成严重危害的数据。432附录H（资料性）一般数据分级参考1.数据分类框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程10.处理者数据分类分级流程------432附录H（资料性）一般数据分级参考1.数据分类框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程10.处理者数据分类分级流程------附录附录H（资料性）一般数据分级参考1.数据分类框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程10.处理者数据分类分级流程一般数据分级，要考虑敏感个人信息等特定类型数据等敏感性，特定数据类型最低参考级别包括：数据级别一般数据分4级框架下一般数据3级框架下在一般数据2级框架下最低参考级别一般个人信息不低于2级;于2级;2级;4)个人标签信息不低于2级;附录附录I（资料性）衍生数据定级参考1.数据分类框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程10.处理者数据分类分级流程数据类别类别定义数据示例对敏感数据(如个人信息)采取技术手段进行数对用户行为进行画像分析，生成用户标签数指数、交易统计数据、统计分析报表、分对不同业务目的或群体、区域、领域的数据汇综合考虑数据加工对分级要素、影响对象、影响程度的影响，按照第6章进行数据分级：维数据进行关联、分析或挖掘，汇聚了更大规挖掘出更敏感、更深层的数据，级别可以升高例如，反映国民经济运行总体情况、行业领0101数据内容02数据合并03数据融合04数掘安全技术05其他方面附录I（资料性）衍生数据定级参考1.数据分类框架1.数据分类框架2.数据分类方法3.数据分级框架4.数据分级方法5.数据分级要素6.数据影响分析7.级别确定规则8.综合确定级别9.行业领域数据分类分级流程10.处理者数据分类分级流程数据分类分级完成后，当数据的业务属性、重要程度和可能造成的危害程度变化时通常需要进行动态更新，动态更新常见情形包括但不限于：b)数据内容未发生变化，但数据时效性、数据规模、数据应用场景、数据c)多个原始数据直接合并，导致原有的安全级别c)多个原始数据直接合并，导致原有的安全级别d)因对不同数据选取部分数据进行合井形成的新数据，导致原有数据的安全级别e)不同数据类型经汇聚融合形成新的数据类别，导致原有的数据级别不再e)不同数据类型经汇聚融合形成新的数据类别，导致原有的数据级别不再f)数据进行脱敏或删除关键字段，或者经f)数据进行脱敏或删除关键字段，或者经数据A数据B数据A数据B5基于数据分类分级结果的进阶服务工作2基于数据分类分级安全管控策略制定实践数据安全管理制度数据安全管理制度数据分类分级管理制度数据分类分级申请审批流程数据分类分级工作流程实施依据标准指导实施依据使用业务场景数据分类分级权限审批基于数据分类分基于数据分类分级级别、量级判定权限矩阵（特殊情况走专委会评审合议）44策略依据能力支撑根据规则策略执行分类分级分类分级结果与使用情况监测 数据分类分级系统6根据规则策略执行分类分级分类分级结果与使用情况监测数据脱敏基于数据分类分级结果的进阶服务工作3数据脱敏基于数据分类分级结果的进阶服务工作3基于系统的数据安全保护实践数据共享数据资源底座数据分析部门数据分析人员分级分类数据发现风险评估大数据审计数据安全管控平台敏感数据发现资产与风险管理数据安全风险分析用户与实体行为分析数据安全审计与稽核数据安全策略下发数据安全归业务部门数据安全责任制数据安全治理架构立法目的及依据适用范围术语定义数据安全监管总体要求数据分类数据安全技术保护部门数据安全文化建设风险合规与审计部门数据分级保护原则和目标数据安全管理体系动态调整数据开发利用持续提升管理体系数据资产管理数据服务管理数据安全评估数据安全技术保护体系信息系统生命周期的数据安全数据安全基础设施外部交互数据安全外部数据采购数据加工数据使用数据公开数据安全保护基线-信息系统保护大数据平台安全数据安全保护基线-数据销毁管理数据转移数据收集数据委托处理数据共同处理数据安全保护基线-数据访问控制数据安全测试数据安全保护基线-数据存储保护数据跨境数据删除与销毁外包管理数据安全归业务部门数据安全责任制数据安全治理架构立法目的及依据适用范围术语定义数据安全监管总体要求数据分类数据安全技术保护部门数据安全文化建设风险合规与审计部门数据分级保护原则和目标数据安全管理体系动态调整数据开发利用持续提升管理体系数据资产管理数据服务管理数据安全评估数据安全技术保护体系信息系统生命周期的数据安全数据安全基础设施外部交互数据安全外部数据采购数据加工数据使用数据公开数据安全保护基线-信息系统保护大数据平台安全数据安全保护基线-数据销毁管理数据转移数据收集数据委托处理数据共同处理数据安全保护基线-数据访问控制数据安全测试数据安全保护基线-数据存储保护数据跨境数据删除与销毁外包管理网络安全与数据安全保护数据加工数据安全保护基线-数据传输保护数据共享及集团内部共享处理原则告知义务影响评估跨境传输风险监测风险评估与审计数据安全风险管理机制监管方式机构报告监管措施与法律责任现场检查与事件处置决策个人信息风险报告委托处理共享和外部提供数据目录管理事件监管报告应急响应与处置行业监测预警行业协会职责银行保险机构数据安全管理办法银行保险机构数据安全管理办法数据备份数据备份数据安全事件数据安全事件分级数据安全治理数据分类分级数据安全管理数据安全技术数据安全治理数据分类分级数据安全管理数据安全技术个人信息保护数据安全风险主要内容主要内容：建立数据分类分级标准。要求银行保险机构制定数据分类分级保护制度，建立数据目录和分类分级规范，并采取差异化的安全保护措施。数据分类银行保险机构应对机构业务及经营管理过程中获取、产生数据分类对比管理办法《金融数据安全数据安全分级指《信息安全技术数据分类分级规客户数据客户数据点领域、国民经济命脉、重要民生、重大公共利益；能直接危害国家安全、经济运行、社会稳定、公安全；民个体造成重要影响的数据；数据分级数据分级5.1建立数据分类分级组织保障5.3厘清业务和数据资产统计、分析、加工《证券期货业数据安全风险防控5.1建立数据分类分级组织保障5.3厘清业务和数据资产统计、分析、加工证券期货业数据安全风险防控数据分类分级指引一、范围二、规范性引用文件三、术语和定义四、适用的数据范围五、数据分类分级保障措施5.2建立数据分类分级管理制度5.2建立数据分类分级管理制度六、数据分类七、数据分级八、运数据分类分级中的关键问题处理据分类分级的变更分类分级的变更级别的确定附录A（资料性）证券期货业典型数据分类分级模板A.1数据分类分级模板A.2数据汇集型会管单位典型数据分类分级模板A.3一般会管单位典型数据分类A.5证券公司典型数据分类分级模板《证券期货业数据安全风险防控数据分类分级指引》证券期货业数据分类要点《证券期货业数据安全风险防控数据分类分级指引》证券期货业数据分级方法数据定级方法a)确定影响对象。确定需定级的某类数据的安全c)确定影响程度。确定该类数据安全属性(完对数据进行定级如下：444高3高3中2中2无低1轻微、无低1表4数据定级规则表（二）工业数据分类分级：安全管理要求•《工业和信息化领域数据安全管理办法（试行）》根据数据遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益等造成的危害程度，工信领域数据分为⼀般数据、重要数据和核心数据三级。工业数据分类分级：分类分级指南.《工业互联网企业数据安全分类分级指南》分为正文、配套实施附件及标准规范三部分，明确了分类分级企业定级要求和工作流程，明确地方主管部门建立三级重点工业互联网企业清单，定期开展定级核查，指导企业准确定级并落实安全措施。（三）教育数据分类分级学校数据分类规则学校数据分类规则按照数据业务属性不同，学校数据分为概况数据、学生数据、教职工数据、教学管理数据、科研管理数据、校务数据和其他数据七类包括学校基本数据和学科点数据两个子类教职工数据教职工管理数据两个子类教学管理数据 教学资源数据、教学质量与评价数据三个子类科研管理数据管理数据、办公管理数据、安全管理数据、财务管理数据、资产与设备管理数据、图书管理数据、后勤服务数据、信息系统运行数据八个子类教育督导数据八个子类教育行政部门数据分类规则教育督导数据八个子类教育行政部门数据分类规则按照数据描述对象不同，教育行政部门数据（简称部门数据）分为教育基础数据、教育业务数据、教育行政管理数据、其他数据四类。教育基础数据员基础数据和学校 教育业务数据据、教职工管理数据、办学条件管理数据、教育教学管理数据、考试招生就业管理数据、科研管理数教育行政管理数据财务资产数据、干部人事数据、后勤服务数据、信息系统运行数据五个子类404教育数据分类分级流程教育数据分类分级流程教育机构按照以下步骤开展数据分类分级工作：数据目录报批数据目录审定数据目录审定教育系统重要数据目录并提出教育系统核心数据分类分级04020402动态更新管理数据资产梳理动态更新管理0105数据分类分级流程据等）0105数据分类分级流程据等）教育行政部门数据分类参考教育行政部门数据分类参考数据一级级别数据二级级别数据示例教育基础数据人员基础数据姓名、性别、民族、出生日期、籍贯、政治面貌、户口所在地等个人信息个人身份识别信息（身份证号、护照号等）、个人健康生理信息（病症、以往病史等）、个人生物识别信息（指纹、面部识别特征等）以及不满十四周岁未成年人的个人信息等敏感个人信息学校（机构）基础数据标识码、名称、地址、统一社会信息用代码、邮政编码、办学类型码、办学（园）许可证书号、校区基本信息、联系电话等教育业务数据学生管理数据学籍数据、学历学位数据、资助数据、就业数据、体质健康数据、心理健康数据等教职工管理数据职务职称数据、培养数据、考核数据、聘用数据、离职数据等办学条件管理数据办学经费数据、房地产与设施数据、仪器设备、软件资源与实验室数据、图书期刊数据、课程管理数据、教材管理数据、数字教育资源数据等教育教学管理数据学科专业建设数据、教育质量评价数据、教师考核评价数据、学生综合素质评价数据等考试招生就业管理数据报名数据、考务数据、成绩数据、招生计划数据、录取数据、毕业生求职数据、毕业生就业数据、招聘数据等科研管理数据项目管理数据、经费管理数据、成果管理数据、考核管理数据等国际交流与合作数据来华留学数据、出国（境）留学工作数据、外籍教师管理数据、国际交流数据等教育督导数据义务教育督导数据、学校督导数据、督学管理数据、评估监测数据等教育行政管理数据综合办公数据公文处理数据、档案管理数据、会议管理数据、信访数据、政务公开数据等财务资产数据财务管理数据、项目管理数据、资产管理数据等干部人事数据编制管理数据、招录数据、职称评审数据、职务任免数据、人事考核数据、人事档案数据、教育培训数据、离退休管理数据等后勤和安全管理数据维修管理数据、物业管理数据、餐饮卫生数据、安全保卫数据，安防交通数据等信息系统运行数据信息资产数据、用户鉴别数据、配置数据、数字证书、威胁情报数据、安全事件数据、日志数据等其他数据其他数据其他数据数据分类参考GB/T35298-2017、JY/T0633-2022等相关学校数据分类参考学校数据分类参考学校基本数据标识码、名称、地址、统一社会信息用代码、邮政编码、办学类型码办学类型码、办学（园）许可证书号、校区基本信息、院系所单位数据、联系电话、历史沿革数据等学科点数据学科门类数据、硕士点数据、博士点数据、学科点统计数据等学生基础数据姓名、性别、民族、出生日期、籍贯、政治面貌、户口所在地等个人信息个人身份识别信息（身份证号、护照号等）、个人健康生理信息（病症、以往病史等）、个人生物识别信息（指纹、面部识别特征等）以及不满十四周岁未成年人的个人信息等敏感个人信息学生管理数据新生数据、招生数据、学籍数据、学历学位数据、实践活动数据、资助数据、毕业就业数据等教职工基础数据姓名、性别、民族、出生日期、籍贯、政治面貌、户口所在地、联系电话号码等个人信息个人身份识别信息（身份证号、护照号等）、个人健康生理信息（病症、以往病史等）、个人生物识别信息（指纹、面部识别特征等）、个人财产信息（银行账户等）等教职工管理数据聘用数据、岗位职务数据、考核数据、专家管理数据、进修培训数据、薪酬福利数据、离校数据等课程数据教学计划数据、选课数据、排课数据等教学资源数据教材数据、数字教育资源数据等教学质量与评价数据评教数据、教学成果数据等科研管理数据项目管理数据、经费管理数据、成果管理数据、考核管理数据等外事管理数据来华留学数据、出国（境）留学工作数据、来访数据、出访数据、外籍专家数据、国际交流数据等办公管理数据公文数据、网上信息发布数据、会议管理数据、公章管理数据、档案管理数据等安全管理数据物防数据、技术防范措施数据、安全教育数据、安全规章制度数据、应急演练数据等财务管理数据账务数据、项目经费数据、教职工工资数据、学生收费数据、票据数据等资产与设备管理数据用地数据、建筑物数据、设施数据、实验室管理数据、仪器设备管理数据等图书管理数据图书数据、期刊数据等后勤服务数据校园一卡通数据、食堂管理数据、公寓管理数据、校园环境管理数据、校园修缮数据、物业管理数据等信息系统运行数据信息资产数据、用户鉴别数据、配置数据、数字证书、威胁情报数据、安全事件数据、日志数据等其他数据其他数据数据分类参考GB/T29808-2013、GB/T35298-2017、JY/T1006-2012、JY/T1007-2012、JY/T0633-2022等相关教育数据结构标准规范。数据目录模板数据目录模板数据目录模板数据基本情况责任主体情况数据处理情况数据安全情况称人动据施省市评估结论医生调阅移动应用患者查询商保对接二次利用医疗器械临床研究健康传感医生调阅移动应用患者查询商保对接二次利用医疗器械临床研究健康传感6种健康医疗数据分类8种典型场景数据安全个人属性个人属性数据医疗支付医疗支付数据健康状况健康状况数据卫生资源卫生资源数据医疗应用医疗应用数据公共卫生公共卫生信息5种数据开放形式数据分析平台数据分析平台在线查询文件共享网站公开健康医疗数据分类分级健康医疗数据分类健康医疗数据分为个人属性数据、健康状况数据、医疗应用数据、医疗支付数据、卫生资源数据、公共卫生数据6类健康医疗数据分类健康医疗数据分类分级健康医疗数据分级析据健康医疗数据分类分级2.按照医生职能范围确定不同角色，不同角色分3.标注数据的分级，与相应角色的权限匹配；标注4.调阅时需进行多因素身份鉴别认证，限制访问时间、地点；宜考虑患者知3.个人的操作权限进行合理设置；4.采用校验技术或者密码技术保证传输3.确保数据采集、数据传输、数据存储、数据使用2.宜进行数据分类分级，并标签化，分成第2级、第5.对数据进行去标识化工作，数据传输安全、使用期限后301.数据采集按照GB/T35273个人信2.确保数据访问控制，确保传输安全、存2.对接中做好数据传输安全、数据使用安1.研发生产过程中宜设计产品安全能力；2.器械维护过程中确保数据采集安全、维护操作安数据分类分级与保护实践建立适应已有行业标准规范的数标匹配、准确适用的数据分类分建立以个人信息分类分级保护为梳理出个人信息数据分类分级结果建立适应已有行业标准规范的数标匹配、准确适用的数据分类分建立以个人信息分类分级保护为梳理出个人信息数据分类分级结果建立定制化的数据分类分级保护数据分类分级需求场景理解需求场景数据分类分级开展思路目标数据分类分级需求分析数据分类分级需求分析经出台了数据分类分级行业标准规范，需要结合行标来指导自身的数据分类分级工作③定制需求角度③定制需求角度：具体业务场景未出台数据分类分级标准规范或未形成可参考的数据分类分级逻辑框架明确组织单位数据分类分级现状梳理当前数据分类分级建设需求确定数据分类分级目标及范围数据分类分级流程明确组织单位数据分类分级现状梳理当前数据分类分级建设需求确定数据分类分级目标及范围数据分类分级流程数据安全风险识数据安全风险识别数据分类分级逻辑框架初步搭建数据分类分级目数据分类分级指数据分类分级调研数据分类分级落点数据归类定级数据分类分级目标确定基于当前组织单位数据分类分级工作开展情况，结合组织单位对数据分类分级工作及建设目标的需求数据分类分级目标确定定数据分类分级阶段性建设目标、实施范围、以及组织协调建立适应已有行业标准规范的数据分类分级保护制度，梳理出对标匹配、准确适用的数据分类分级结果基于重要业基于重要业务条线基于重要系基于重要系统理清数据分类分级工作对接部门及职责分工访谈、审阅、查勘访谈、审阅、查勘数据分类分级调研分类分级基础调研已有数据分类分级基础调研合规要求业务部门数据资产制度基础、实业务流程技术工具控制措施数据分类分级流程数据安全风险识数据安全风险识别数据分类分级逻辑框架初步搭建数据分类分级目数据分类分级指数据分类分级调研数据分类分级落点数据归类定级数据分类分级调研——调研策略规要求；合规要求业务流程行调研；容、数据来源、数据共享情况；数据