电力行业数据安全分类分级指南

ICS65.020.20

CCSB31

GAGX

团体标准

T/CAGXXXXX—XXXX

电力行业数据安全分类分级指南

ElectricPowerindustrydatasecurityclassificationandclassification

guide

（征求意见稿）

在提交反馈意见时，请将您知道的相关专利连同支持性文件一并附上。

XXXX-XX-XX发布XXXX-XX-XX实施

广西计算机学会  发布

T/CAGXXXXX—XXXX

单击或点击此处输入文字。

1范围

本文件给出了电力行业数据的分类分级的基本原则、数据分类、数据分级、数据分类分级管理。

本文件适用于全国性电力行业开展电力数据分类分级工作作为参照。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，

仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本

文件。

《中华人民共和国数据安全法》

GB/T35295-2017信息技术大数据术语

GB/T38667-2020信息技术大数据数据分类指南

GB/T35273—2020信息安全技术个人信息安全规范

GBT43697-2024数据安全技术数据分类分级规则

JR/T0158—2018证券期货业数据分类分级指引

JR/T0197—2020金融数据安全数据安全分级指南

YD_T3813-2020基础电信企业数据分类分级方法

DB33/T2351-2021数字化改革公共数据分类分级指南

TC260-PG-20212A网络安全标准实践指南—网络数据分类分级指引

GB∕T20986-2023信息安全技术网络安全事件分类分级指南

3术语和定义

下列术语和定义适用于本文件。

3.1数据分类

根据大数据的属性和特征，将其按一定的原则和方法进行区分和归类，并建立起一定的分类体系和

排列顺序的过程。

3.2数据分级

数据分级是指按照一定的分级原则对分类后的数据进行定级，为数据安全保护策略的制定提供支撑。

3.3敏感数据

敏感数据是指一旦泄露可能会对客户或公司造成损失的数据。

3.4数据资产目录

2

T/CAGXXXXX—XXXX

数据资产目录是指对数据中有价值、可用于分析和应用的数据进行提炼形成的目录体系。

4数据分类分级原则

数据分类分级宜遵循以下原则：

(1)科学实用原则：数据分类应从便于数据管理和使用的角度，科学选择常见、稳定的属性或特征作为

数据分类的依据，并结合实际需要对数据进行细化分类。

(2)边界清晰原则：数据分级的主要目的是为了数据安全，各个数据级别应做到边界清晰，对不同级别

的数据采取相应的保护措施。

(3)就高从严原则：采用就高不就低的原则确定数据分级，当多个因素可能影响数据分级时，按照可能

造成的最高影响对象和影响程度确定数据级别。

(4)点面结合原则：数据分级既要考虑单项数据分级，也要充分考虑多个领域、群体或区域的数据汇聚

融合后对数据重要性、安全风险等的影响，通过定量与定性相结合的方式综合确定数据级别。

(5)动态更新原则：根据数据的业务属性、重要性和可能造成的危害程度的变化，对数据分类分级、重

要数据目录等进行定期审核更新。

5数据分类

5.1一般要求

(1)应按电力数据的多维特征及其相互间存在的逻辑关联进行科学、系统的分类。

(2)使用的词语或短语应能准确表达数据类目的实际内容、内涵和外延，相同概念的用语应保持一致。

(3)应结合现实需求，符合标准使用者对电力数据区分和归类的普遍认知。每个类目下都有电力数据，

不设没有意义的类目。

(4)应保持与国家、地方、行业法律法规关于电力数据分类分级的标准和要求相一致。

(5)原则上同一分类维度内，同一条数据只分入一个类目。

(6)应选择分类对象的最稳定的本质特性作为数据分类的基础和依据。

5.2分类维度

电力行业根据本行业本领域业务属性，将业务条线作为业务一级子类进行细分，确定业务二级子类，

并对其命名。常见业务属性包括但不限于：

(1)业务领域维度：业务领域维度是以电力行业的业务为导向，依据业务范围对对电力数据的一级大类

进行细分。如以生产、管理、营销三个大类进行业务主题划分。

(2)数据主体维度：数据主体维度基于电力行业的业务大类，按照不同的数据主体或属主进行细化分类。

(3)数据来源维度：数据来源维度是按照数据来源、收集方式进行细化分类，通过以数据的归属为界限

对数据进行划分。

3

T/CAGXXXXX—XXXX

5.3分类方法

数据分类可根据数据管理和使用需求，结合已有数据分类基础，灵活选择业务属性将数据细化分类。

具体参考以下步骤开展行业领域数据分类。

(1)明确数据范围：按照行业领域主管（监管）部门职责，明确本领域管理的数据范围。

(2)细化业务分类：对本领域业务进行细化分类，包括：

1)结合部门职责分工，明确行业领域或业务条线的分类；

注：1.电力领域数据，根据业务性质将公司业务分为生产业务、营销业务、管理业务三大类。

2)按照业务范围、运营模式、业务流程等，细化行业领域或明确各业务条线的关键业务分类。

注：2.生产业务可分为调度管理域、规划建设管理域、物资管理域、数字化管理域；营销业务可分为市场营销管理

域；管理业务可分为财务管理域、人力资源管理域、综合管理域、分析指标域、新兴业务管理域、数据采购管

理域。

(3)业务属性分类：选择合适的业务属性，对关键业务的数据进行细化分类。

(4)确定分类规则：梳理分析各关键业务的数据分类结果，根据行业领域数据管理和使用需求，确

定行业领域数据分类规则，可采取“业务条线—关键业务—业务属性分类”的方式给出数据分类规则。

注：3.人力资源综合计划业务类别可标识为“管理业务-人力资源管理域-规划与设计管理-人力资源综合计划业务”。

6数据分级

6.1一般要求

(1)应客观且可被校验，即通过数据自身的属性和分级规则即可判定其分级。

(2)电力数据的分级应与其共享、开放的类型、范围、审批和管理要求直接相关。

(3)应按照就高从严原则确定数据级别。

(4)应充分考虑数据聚合情况、数据体量、数据时效性、数据脱敏处理等因素。

(5)应结合具体应用场景定级。

6.2数据分级要素识别

6.2.1影响的对象

影响对象是指数据面临安全风险时，可能影响的对象。其中，安全风险主要考虑数据遭到泄露、篡

改、损毁或者非法获取、非法使用、非法共享等风险。影响对象通常包括国家安全、经济运行、社会

秩序、公共利益、组织权益、个人权益。

(1)国家安全：影响国家政治、国土、军事、经济、文化、社会、科技、网络、生态、资源、海外利

益、人工智能等国家利益安全。

(2)经济运行：影响市场经济运行秩序、宏观经济形势、国民经济命脉、行业领域产业发展等经济运

行机制。

(3)社会秩序：影响社会治安和公共安全、社会日常生活秩序、民生福祉、法治和伦理道德等社会秩

4

T/CAGXXXXX—XXXX

序。

(4)公共利益：影响社会公众使用公共服务、公共设施、公共资源或影响公共健康安全等公共利益。

(5)组织权益：影响组织自身或其他组织的生产运营、声誉形象、公信力、知识产权等组织权益。

(6)个人权益：影响自然人的人身权、财产权、隐私权、个人信息权益等个人权益。

6.2.2影响的程度

数据安全影响程度是指数据安全属性遭到破坏后，直接或间接造成的全部影响或损害的程度，从低

到高划分为：无影响、轻微影响、中等影响、严重影响。

影响程度的判定，宜综合考虑数据类型特征。数据类型根据业务条线划分并确定，不同业务对应不

同的数据类型，体现不同的业务特点，因此，结合数据类型分析，有利于更加准确地判断影响程度。表

1中提供影响程度的参考说明，供判定影响程度时参考。

表1数据安全影响程度说明

影响程度参考说明

1、数据被破坏后，对社会秩序和公共利益造成严重损害，或对国家安全造成损害。

严重2、可能导致全部业务无法开展，造成重大经济损失。

3、可能导致监管部门严重处罚的情况。

1、数据被破坏后，对公民、法人和其他组织的合法权益造成严重损害，或对社会秩序

和公共利益造成损害，但不损害国家安全。

中等

2、可能导致部分业务无法开展，造成较大经济损失。

3、可能导致监管部门较严重处罚的情况。

1、数据被破坏后，对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、

社会秩序和公共利益。

轻微2、可能导致个别业务短时间无法开展，造成轻微的经济损失。

3、可能导致至监管部门轻微处罚的情况。

4、可能对本企业声誉造成一定程度损害。

1、数据被破坏后，对国家安全、社会秩序、公共利益以及对公民、法人和其它组织的

无合法权益均无影响。

2、或仅造成微弱影响但不会影响电力企业各项业务正常开展。

6.3数据等级描述

根据数据破坏后对群体影响、个体影响及公司自身影响的危害程度来确定安全级别，本标准中数据

等级分为四级，从高到低分别为：4级、3级、2级、1级。

详细数据级别及分级参考判断标准，见表2.

表2数据级别与判断标准

数据级别定义

5

T/CAGXXXXX—XXXX

指数据的安全属性（完整性、保密性、可用性）遭到破坏后数据损失后，影响范围大（跨行

业或跨机构）；

L4级

数据主要用于行业内大型或特大型机构中的重要业务使用，一般针对特定人员公开，且仅为

必须知悉的对象访问或使用。

指不涉及国家秘密，但与国家安全、经济发展以及公众利益密切相关的数据。

当未经授权被披露、丢失或泄露，可能会对国家安全造成一般影响或对公共利益造成严重及

L3级

特别严重影响。原则上应当不予共享。

对国家安全造成严重或特别严重影响的数据一般为涉及国家秘密的数据。未被列入涉及国家

秘密数据的，也视为敏感数据。

指不涉及国家秘密且不属于敏感数据，但与国家安全、经济发展以及公众利益有关且不宜公

开的数据。

L2级

当未经授权被披露、丢失或泄露，可能会对国家安全造成轻微影响，或对公共利益造成轻微

或一般影响。原则上应当有条件共享。

指不涉及国家秘密且不属于敏感数据、内部数据，但法律法规规定理应公开的数据。

L1级

当未经授权被披露、丢失或泄露，对国家安全及公共利益无任何影响。

6.4数据共享、开放与安全级别

数据共享属性、数据开放属性与安全级别对照关系，见表3。

1级数据建议无条件共享，无条件开放；

2级以上数据，建议通过申请审批方式获得，对外有条件共享开放；

4级数据，原则上不予共享，禁止对外开放。

表3数据共享、开放与安全级别的对照关系

对照关系

安全级别1级2级3级4级

共享属性无条件共享有条件共享不予共享

开放属性无条件开放有条件开放不予开放

6.5数据分级方法

在数据分类基础上,根据电力数据重要程度以及泄露后对国家安全、社会秩序、公众利益和组织机

构造成的影响和危害程度，对电力数据资源进行分级。数据分级的步骤和方法宜采用下图：

6

T/CAGXXXXX—XXXX

图1数据分级的步骤与方法

(1)确定数据分级对象：数据分级对象可以是最小数据类，也可以是最小数据类之下的具体数据字段。

(2)确定数据安全受到破坏时造成影响的客体：数据的安全属性（机密性、完整性、可用性）遭到破坏

时造成的影响的客体包括：国家安全、社会公共利益、电力行业机构利益和个人信息主体利益。

(3)评定对影响客体的影响程度：将分级对象对照数据分级影响程度参照表进行映射，判断分级对象发

生丢失、泄露、被篡改、被损毁等安全事件时对影响客体的侵害程度。

(4)确定数据分级对象的安全等级：根据数据对象对客体的影响程度，取影响程度中的最高影响等级为

该数据对象的重要敏感程度。

6.6数据级别变更

数据级别变更的主要因素包括聚合因素、体量因素、时效因素、加工因素：

6.6.1数据聚合因素

因业务需要将相同或不同级别的数据汇聚并进行分析、处理的，数据级别变更应遵循以下原则：

(1)数据的原始用途或所在系统发生改变时，聚合数据的部门应对数据重新定级；

(2)聚合数据安全级别一般不应低于所汇聚的原始数据的最高级别；

(3)原则上不允许原始数据落地，仅允许获取数据分析、处理后的结果。原始数据和临时数据使用应在

中间存储环节有效清除。

6.6.2数据体量因素

在进行数据分级时，根据业务分类、数据归类情况、影响范围和影响程度等多个因素，综合判定数

据级别。

7

T/CAGXXXXX—XXXX

注：1.数据经汇聚后体量过大，如超过10000条一级数据汇聚，应升级为二级数据，如超过500条二级以上数据汇聚，

应升级成为三级数据。

6.6.3数据时效因素

数据在流转、传递、使用过程中，因业务需要，在特定的时间，数据的级别需要调整，以利于数据

的公开、共享和应用。数据时效性的处理，宜注意以下几点：

(1)数据在分类分级之初即考虑数据的时效性，对数据级别进行评估，合理确定数据的级别；

(2)将明显具有不同时效性的数据分不同的类别确定级别；

(3)同一类数据，在某时间点前后具有不同的级别，宜清楚地说明时间点前后的级别，并说明时间点的

触发条件。触发条件可以是某一具体时间，也可以是某一特定事项；

(4)数据时效性要素和类别、级别宜准确标识，并通知相关人员知悉。

6.6.4数据加工因素

(1)对数据进行汇总、分析、加工后产生的数据，若与原始数据之间存在较大差异，宜对新产生的公共

数据重新定级，定级的结果可高于、等于、低于原始数据；

(2)对于汇总、统计、分析、加工而产生的数据，如已采用技术手段抹去或替换个人信息、账户信息等

敏感字段，可以等于、低于原始数据级别；

(3)对于汇总、统计、分析、加工而产生的数据，因数据级别、适用场景发生变化，可以采取与原始数

据不同的管理手段、防护措施；在数据汇总、统计、分析、加工过程中，同样需要对原始数据、临

时数据进行保护。原始数据、临时数据使用后宜在中间存储环节有效清。

7数据分类分级管理

7.1组织与职责

7.1.1建立数据分类分级组织保障

数据分类分级工作的开展需要有组织保障，应明确：

(1)应明确数据分类分级的决策机构和最高责任人。决策机构负统筹和决策职责，决策数据分类分级工

作的目标、内容、标准规范等。决策机构的最高责任人对数据分类分级工作负全面领导责任。

(2)应明确数据分类分级的牵头部门。牵头部门负责牵头推动数据分类分级工作的开展，牵头部门负责

按照决策机构议定的工作目标和要求开展数据分类分级工作，牵头制定企业数据分类分级管理办法、

制度、流程、标准规范，协调解决分类分级工作中的问题，牵头进行数据分类分级工作的评价。

(3)应明确数据分类分级的实施部门，实施部门负责本部门数据分类分级的具体实施工作，具体包括：

按照牵头部门制定的制度、流程、规范等梳理本部门的数据资源，并提交给牵头部门。

7.1.2建立数据分类分级制度保障

数据分类分级工作的开展需要有制度保障，应明确：

8

T/CAGXXXXX—XXXX

(1)数据分类分级的总体要求；

(2)数据分类分级的相关制度、规范、标准、工作流程等的制定、发布、维护和更新的机制以及评审和

修订周期；

(3)数据分类分级管理相关绩效考评和评价机制；

(4)数据资产分类分级清单的确立、审核、修订周期和原则；

(5)数据分类分级保护的总体原则和目标；

(6)操作人员的操作规程。

7.2分类与分级流程

(1)建立数据资源目录

梳理每个部门的所有数据资源再进行逻辑汇聚，对所有部门的数据集合，进行合并然后统一列表，

形成数据资源目录。

(2)数据资源分类

根据电力行业数据自身管理特点，按照树形结构，建立数据资源分类目录树。并将整理后的数据资

源列表对应到目录树，确定数据资源列表中每个数据项在目录树中所在的位置，即确定该数据项的数据

类型。

(3)数据资源分级

根据电力行业数据重要程度和敏感程度，确定数据资源的安全等级。

(4)安全级别审核

对数据分类分级结果进行审核，形成数据分类分级清单

(5)建立数据分类分级清单

应根据数据分类分级情况对数据资源进行分类分级标识后，输出企业的数据分类分级清单。清单内

容至少包括所属部门、所在系统、数据类型、安全等级、内容描述、数据量、保存位置、保存期限、数

据处理情况（数据处理目的、数据处理所涉及的信息系统）、数据对外提供情况（共享转让、公开披露、

数据出境）、数据生命周期各环节安全措施配套情况等。且应建设必要的网络数据资源清单管理技术手

段，确保网络数据资源清单内容覆盖全面、信息真实完整。

8数据分类分级安全保护要求

根据数据资源的分类分级情况，在数据生命周期的各个环节配套差异化的安全保护措施，应遵循如

下管控要点：

(1)根据数据分类分级管理制度对数据进行分类分级。对于在数据库中存储的高安全级别数据（如第3

级数据），应细化至数据库表的字段级。

(2)原则上未经过脱敏处理的数据不可降级使用，若确有需要，应执行严格的授权审批流程，并对降级

使用数据进行全过程审计。数据使用完毕后，恢复至原安全级别。

9

T/CAGXXXXX—XXXX

(3)数据传输过程中，若涉及高安全级别数据（如第3级数据）应对数据报文进行加密，并采取措施，

以保证数据传输的机密性和完整性。

(4)在使用数据或披露前，涉及高安全级别数据的，应采用数据脱敏技术，确保数据使用、对外披露等

场景的脱敏。

(5)对于个人敏感信息的安全管控，还应满足GB/T35273中对个人敏感信息的安全管控要求。

10

T/CAGXXXXX—XXXX

附录A

（资料性附录）

电力行业数据分类示例表

根据电网业务性质，为准确识别业务管理主体，将业务细分到三级业务管理子类即可，根据实际情

况可进一步细分到四级、五级子类。

模板说明

类别

序号业务大类业务域业务管理子类分类定义

（一级）（二级）（三级）

对本领域业务对业务的一级大对业务的二级大

条线进行分类，类进行再次细类进行再次细

1描述最后一级子类中包含的数据名称

描述一级大类分，描述二级子分，描述三级子

的名称类的名称类的名称

示例表

类别

序号业务大类业务域业务管理子类分类定义

（一级）（二级）（三级）

描述发电标煤耗的信息，包括火电厂的用煤

1电力营销数据发电厂相关信息发电标煤耗信息量、水电厂的耗水量等信息、供电标煤耗、发

电标煤耗

1

T/CAGXXXXX—XXXX

附录B

（资料性附录）

电力行业数据分级示例表

模板说明

最低参考

业务条线细分数据归类与细分

数据级别

数据数据数据类

业务大类业务域数据类型说明

（一级子类）（二级子类）型说明

对业务的二级

对本领域业对业务的一级大对数据的子类进

子类进行再次描述数

务条线进行类进行再次细行再次细分，描描述最低

细分，描述其描述数据一级子类中包含的内据二级

分类，描述分，描述业务域述其包含的下一的参加级

包含的下一级容子类包

一级大类的（二级子类）的级数据子类的名别

数据子类的名含容

名称名称称

称

示例表

最低参考

业务条线细分数据归类与细分

数据级别

数据数据

业务大类业务域数据类型说明数据类型说明

一级子类二级子类

用于根据业务需求，按计划维护抄一般指统调量测

表时间，确保抄表工作安排的合理统调量测抄表计划信息：

营销业务市场营销管理域电力交易性、经济性。包括统调量测抄表计抄表计划抄表区段名称、3

划信息、抄表计划、抄表区段、抄信息区段用户类型、

表计划调整等厂家代码等

《电力行业数据分类分级指南》编制说明

一、任务来源

数据安全是大数据发展的基石，我国《数据安全法》确立了“电力行业数据分类分级保护制度”及

其基本原则，这为电力行业数据分类分级规则的制定提供了基本框架和指导方向。随着电力系统的快速

发展和智能化程度的提高，大量的电力数据被不断产生和积累。这些数据涵盖了电压、电流、功率等多

种关键信息，对于电力行业的运营、管理和决策都具有重要价值。然而，由于数据种类繁多、数量庞大，

如果没有一个统一的标准进行分类和分级，将会导致数据管理混乱，难以有效利用这些数据资源。

2

T/CAGXXXXX—XXXX

电力行业数据分类分级是数据安全领域的基础工程，也是数据治理工作的核心任务，它是确定数据

保护和利用之间平衡点的一个重要依据，为电力数据的保护和充分利用奠定了基础，因此成为国家法规

政策标准中的明确要求。

电力行业数据分类分级标准有助于满足电力行业的业务需求。不同的业务对数据的需求和使用方式

不同，通过电力行业数据分类分级，可以为不同业务提供定制化的数据访问权限和使用方式，提升数据

的精细化管理水平，满足各种业务需求，促进业务的发展和创新。因此，编制电力行业数据分类分级标

准成为了电力行业提升数据管理效率和利用价值的迫切需求。

二、起草工作简要过程(含主要参加单位及工作组成员)

本标准由广西电网责任有限公司牵头，联合广西产业技术研究院人工智能与大数据应用研究所、桂

林电子科技大学、广西自治区信息中心、深圳昂楷科技有限公司、广西海轮科技有限公司、广西友邦永

信网络技术有限公司共同制定。

广西电网作为本次团体标准主要牵头单位，从前几年就开始对数据安全领域开展相关研究，为此广

西电网在信息中心专门成立了数据管理科，负责对企业内数据安全管理工作，在数据安全领域上有较高

的积累，其中张希翔、艾徐华、黄依婷、张丽媛、陈昭利、蒙琦、董贇、刘凯杰、韦宗慧、符嘉成、廖

邓彬作为项目负责人，主要负责起草工作方案制定、内容审查工作；广西信息中心徐华福负责起草工作

的组织协调工作，广西产业技术研究院人工智能与大数据应用研究所韦杰、吴鹏与桂林电子科技大学王

子民教授、李俊研究员作为团标骨干，负责起草框架、参与团标撰写；另外深圳昂楷科技有限公司、广

西海轮科技有限公司、广西友邦永信网络技术有限公司在技术理论研究提供支撑工作。

三、编写原则和确定标准主要内容的依据

1、标准的编制原则

落实政策法规相关要求

《中华人民共和国数据安全法》第二十一条明确规定了数据的分类分级保护制度，对数据实行分

类分级保护，加强对重要数据的保护；《个人信息保护法》也强调了个人信息保护的重要性，要求对个

人信息进行分类分级管理，确保个人信息安全。《数据安全管理办法》第十九条，要求采用数据分类、

备份、加密等措施加强对个人信息和重要数据保护；《电力行业网络安全管理办法（修订征求意见稿）》

第二十五条，电力企业应当建立健全全流程数据安全管理和个人信息护制度，按照国家和行业重要数

据目录及电力行业数据分类分级保护相关要求，确定本单位的重要数据具体目录，对列入目录的数据进

3

T/CAGXXXXX—XXXX

行重点保护。

本标准文件在制定过程中，按照以上法律法规和政策文件为依据进行具体规定。

借鉴先进成果及优秀实践

本标准在编制过程中极借鉴先进的成功经验和优秀实践，吸取其他行业在电力行业数据分类分级方

面的先进理念、方法和技术，以及电力行业内部的优秀实践案例。注重标准的实用性和可操作性，结合

电力行业的实际情况进行有针对性优化，制定具备广西电网业务特点的数据分类及分级指南。

2、标准编制依据

在本标准制定过程中，参考