GBT 43697-2024 数据安全技术 数据分类分级规则标准立项发展报告

数据安全技术数据分类分级规则标准立项发展报告StandardizationDevelopmentReport:DataSecurityTechnology—RulesforDataClassificationandGrading摘要随着数字经济的蓬勃发展和《数据安全法》《个人信息保护法》等法律法规的相继出台，数据分类分级已成为国家数据安全治理体系中的基础性制度安排。GB/T43697-2024《数据安全技术数据分类分级规则》由国家标准化管理委员会于2024年3月15日正式发布，并于2024年10月1日实施，是我国数据安全领域又一项重要的基础性国家标准。本标准在充分吸收《数据安全法》第二十一条关于数据分类分级保护制度立法精神的基础上，系统规定了数据分类分级的基本原则、分类框架、分级方法及实施流程，为各行业、各领域开展数据分类分级工作提供了统一的方法论指引和操作性规范。本报告全面梳理了该标准的编制背景、核心技术内容、主要参与单位及其行业应用价值，并对标准实施后的发展趋势进行了展望。报告指出，该标准的发布实施填补了我国数据分类分级国家层面通用规则的空白，对于推动数据要素市场化配置、促进数据安全有序流动、支撑国家数据治理体系建设具有重要的里程碑意义。关键词：数据安全；数据分类分级；国家标准；数据治理；合规管理Keywords:DataSecurity;DataClassificationandGrading;NationalStandard;DataGovernance;ComplianceManagement一、引言1.1编制背景党的十八大以来，党中央、国务院高度重视数据安全工作。2017年《网络安全法》正式实施，首次以法律形式确立了数据安全保护的基本框架。2021年9月1日，《数据安全法》正式施行，明确提出“国家建立数据分类分级保护制度”，要求根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。2021年11月1日，《个人信息保护法》施行，进一步强化了对个人信息的分类分级保护要求。然而，在法律落地实施过程中，各行业、各地方在开展数据分类分级工作时面临标准不统一、方法不一致、结果不可比等突出问题。尽管金融、工信、汽车等领域已相继出台了行业性的数据分类分级指南，但缺乏一部通用的、跨行业的基础性国家标准作为顶层指引。在此背景下，制定一部全国统一的数据分类分级规则标准成为迫切需求。1.2标准定位GB/T43697-2024《数据安全技术数据分类分级规则》定位为数据安全领域的基础性、通用性标准。该标准属于信息安全国家标准体系中的“数据安全”子体系，与GB/T22239《信息安全技术网络安全等级保护基本要求》、GB/T35273《信息安全技术个人信息安全规范》等标准共同构成了我国数据安全保护的标准支撑体系。标准以“分类分级”为核心，为数据处理者开展数据安全管理和保护工作提供了基础性技术指引，适用于所有行业和所有类型的数据处理活动，是数据安全合规工作的“通用语言”。二、标准主要内容2.1标准基本信息-标准编号：GB/T43697-2024-标准名称：数据安全技术数据分类分级规则-英文名称：Datasecuritytechnology—Rulesfordataclassificationandgrading-标准状态：现行-发布机构：国家标准化管理委员会（国家标准）-发布日期：2024年3月15日-实施日期：2024年10月1日-国别：中国-语言：中文（简体）2.2核心术语与定义标准对数据分类分级所涉及的术语进行了规范化定义。其中核心术语包括：“数据分类”，指根据数据的属性或特征，将其按照一定的原则和方法进行归类和描述的过程；“数据分级”，指按照数据一旦遭到篡改、破坏、泄露或者非法获取、非法利用时，对国家安全、公共利益或个人、组织合法权益造成的危害程度，对数据进行定级的过程；以及“核心数据”“重要数据”“一般数据”等数据分级结果的核心概念。这些术语定义的明确和统一，为各行业开展数据分类分级工作奠定了概念基础，也为跨行业、跨领域的数据安全沟通协作提供了统一的语义环境。值得强调的是，标准明确了“重要数据”与“核心数据”的本质区别。核心数据是指对国家安全、国民经济命脉、重要民生、重大公共利益产生直接重大影响的数据，其危害评定维度聚焦于“直接”影响且危害程度达到“重大”级别；而重要数据则是指特定领域、特定群体、特定区域或达到一定精度和规模的数据，一旦被非法获取或利用，可能对国家安全、公共利益造成危害，其危害程度低于核心数据。这一区分明确了二者在危害程度和保护要求上的梯度关系，为后续精准施策提供了依据。2.3数据分类规则在数据分类方面，标准确立了“多维分类、综合应用”的分类思路。数据分类应遵循科学性、稳定性、实用性、扩展性和安全性等原则。分类方法上，标准提出了从业务领域、数据主体、数据用途、数据价值、数据敏感性等多个维度对数据进行分类的框架。具体而言：-业务领域维度：按照数据所属的行业领域或业务条线进行分类，如工业数据、金融数据、交通数据、医疗健康数据等；-数据主体维度：按照数据所描述或关联的主体类型进行分类，如个人数据、法人数据、政府数据等；-数据用途维度：按照数据的应用场景和用途进行分类，如业务运营数据、经营管理数据、系统运维数据、科学研究数据等；-数据敏感性维度：按照数据本身对国家安全、公共利益或组织权益的敏感程度进行分类。标准强调，各行业可根据自身业务特点和数据属性，在上述通用分类框架基础上进行扩展和细化，形成适合本行业的数据分类体系。2.4数据分级规则数据分级是标准的核心内容。标准确立了数据分级的总体框架，将数据危害程度从高到低依次划分为核心数据、重要数据、一般数据三个级别。其中，一般数据还可进一步细分为不同级别（如一级、二级、三级等），以支撑更加精细化的差异化安全保护。分级的基本逻辑是综合考量数据一旦遭到篡改、破坏、泄露或者非法获取、非法利用后，对国家安全、公共利益、个人合法权益、组织合法权益等维度造成的危害程度。在具体分级方法上，标准明确了识别和判定数据级别的关键要素，包括数据涉及的国家安全维度、公共interest维度、个人权益维度、组织权益维度等。标准要求数据处理者综合考虑以下因素：1.数据涉及的国家安全和公共利益影响程度；2.数据涉及的个人信息主体范围和敏感程度；3.数据涉及的业务重要性及其对企业经营的影响；4.数据遭泄露或滥用后可能引发的连锁反应和衍生风险；5.法律法规及相关行业规定对特定类型数据的特殊管理要求。在确定核心数据和重要数据的具体识别规则时，标准给出了若干参考判断维度。其中，识别核心数据主要判断数据是否对国家安全、国民经济命脉、重要民生、重大公共利益产生直接重大影响，具体可考虑数据是否反映国家主权、领土完整、国防军工等极端敏感信息，是否支撑国家关键信息基础设施和重要系统的运行，以及是否涉及人口、健康、金融、能源、粮食、资源等基础领域的海量高精度数据等情形。识别重要数据则判断数据是否可能对国家安全、公共利益造成危害，具体可考虑数据是否来自重点行业和领域，是否反映特定区域或特定群体的整体态势，是否达到一定精度和规模，以及是否存在批量泄露后导致系统性风险的可能等。值得注意的是，一般数据中可能包含大量个人信息的，数据处理者应依据《个人信息保护法》及GB/T35273等相关要求，对个人信息单独进行分级分类管理。2.5分类分级实施流程标准明确了数据分类分级的通用实施流程，主要包括以下阶段：-数据资产梳理：全面盘点组织内各类数据资产，建立数据资产清单；-数据分类：按照分类规则对数据资产进行归类，形成分类目录；-数据分级：依据分级规则对各类数据进行定级，明确各级别数据范围；-制定保护策略：根据分级结果，制定差异化的安全保护策略和措施；-动态更新管理：建立数据分类分级的动态调整和定期复审机制，确保分类分级结果的持续有效性。标准同时强调，数据分类分级不是一个一次性的静态工作，而是需要持续运营和动态维护的过程。组织应建立数据分类分级的组织保障机制、制度保障机制和技术保障机制。三、主要参与单位介绍本标准由全国网络安全标准化技术委员会（TC260）归口，由多家在数据安全领域具有深厚积累的科研机构、高校和企业共同起草。3.1核心起草单位主要起草单位包括：中国电子技术标准化研究院、中国信息安全研究院有限公司、国家信息中心、中国信息通信研究院、公安部第三研究所、中国科学院信息工程研究所、清华大学、北京理工大学、华为技术有限公司、阿里巴巴（中国）有限公司、腾讯云计算（北京）有限责任公司、北京字节跳动网络技术有限公司等。3.2参与单位贡献各起草单位结合自身在数据安全领域的研究积累和实践经验，对标准内容进行了充分研讨和论证。其中，中国信息通信研究院在重要数据识别规则方面提供了丰富的行业研究支撑，基于其长期承担工信领域数据安全管理的实践经验，为标准中“重要数据”判定规则提供了大量实证数据支撑和操作经验参考；公安部第三研究所在数据安全保护等级划分方面提供了权威参考；清华大学出版社等高校团队在标准框架的逻辑严密性和理论完整性方面提供了学术支撑，北京大学等高校的研究人员参与了分级模型的论证和验证工作；华为、阿里、腾讯、字节跳动等企业代表则从行业实践角度，为标准中分类分级方法的可操作性提供了宝贵的一线经验反馈。标准在制定过程中历经多轮征求意见和专家评审，累计收集处理反馈意见数百条，充分体现了各方共识。四、标准的主要创新与突破4.1首次构建通用数据分类分级国家规则GB/T43697-2024是我国数据安全领域首部面向全行业、全领域的数据分类分级基础性国家标准。此前，不同行业各自制定分类分级规则，标准不统一、方法不一致、结果不可比的问题突出。本标准的发布从根本上改变了这一局面，为全国统一的数据安全治理提供了基础性的标准语言和共同的方法框架。4.2确立“核心数据-重要数据-一般数据”三级体系标准以法律为依据，确立了核心数据、重要数据、一般数据的三级分类框架，并与《数据安全法》第二十一条的规定精确衔接。这一分级体系既符合国家立法的制度设计，又具有良好的可操作性。同时，标准允许一般数据进一步细分级别的弹性设计，兼顾了不同行业、不同规模组织的差异化需求，在大规模组织中，可将一般数据进一步细分为多个级别，以实现更精细化的控制。4.3强调动态调整与持续运营标准将数据分类分级明确定位为一个持续运营的动态过程，而非一次性的合规任务。通过建立定期复审、动态更新、风险监测等机制，确立了数据分类分级的长效运营模式，有效回应了数据资产动态变化、新业务新场景不断涌现的现实需求。4.4与法律法规和行业标准有机衔接标准在编制过程中充分衔接了《数据安全法》《个人信息保护法》《网络安全法》等法律法规的要求，并与金融、工信、汽车、卫生健康等行业的分类分级标准形成了有效协同。这种多层次的标准衔接机制确保了国家标准与行业标准之间的兼容性和互补性，避免了重复建设和标准冲突。五、标准应用场景与实施意义5.1应用场景GB/T43697-2024的应用场景十分广泛，涵盖以下主要方面：一是数据安全治理体系建设。各级政府部门、企事业单位可依据本标准建立本地区、本行业、本单位的数据分类分级制度，构建数据安全治理的基础框架。二是数据安全合规评估。数据处理者可依据本标准开展数据安全合规自查，评估自身数据分类分级工作的合规性和有效性。三是数据安全监管执法。监管部门可参照本标准开展数据安全监督检查、风险评估、应急处置等工作，提高监管的科学性和精准性。四是数据交易流通。数据交易场所、数据商等主体可依据本标准对拟交易的数据产品和服务进行分类分级，保障数据交易流通的安全合规。五是数据出境安全管理。处理者依据标准对拟出境数据进行分类分级，是开展数据出境安全评估、个人信息出境标准合同等工作的前置基础。5.2实施意义本标准的实施具有多重深远意义：从国家层面看，标准为数据分类分级保护制度的落地实施提供了统一的技术规则，有助于全面提升国家数据安全治理能力，支撑数字经济和数字政府建设，是维护国家数据安全、促进数据依法有序自由流动的重要制度支撑。从行业层面看，标准为各行业开展数据分类分级工作提供了方法论指导和最佳实践参考，有助于推动行业数据安全管理的规范化和标准化，促进跨行业之间的数据安全互信和协同治理。从组织层面看，标准为各类数据处理者开展数据安全管理工作提供了明确的操作指引，有助于组织系统化识别数据安全风险、合理分配安全保护资源、提升数据安全管理水平，在合法合规利用数据的同时有效保障数据安全。六、结论与展望GB/T43697-2024《数据安全技术数据分类分级规则》的发布实施，标志着我国数据分类分级工作进入了标准化、规范化的新阶段。作为数据安全领域的一项基础性标准，其发布填补了国家层面通用分类分级规则的历史空白，为《数据安全法》确立的数据分类分级保护制度提供了直接的技术支撑和实施路径。该标准构建了“核心数据—重要数据—一般数据”的三级分类分级体系，确立了多维分类框架和动态实施流程，兼顾了与行业标准、法律法规的有机衔接，为各行业、各领域开展数据分类分级工作提供了统一的方法论指引。展望未来，