GB-T 41479-2022 信息安全技术 网络数据分类分级要求

GB/T41479-2022信息安全技术网络数据分类分级要求前言本标准由国家市场监督管理总局、中国国家标准化管理委员会于2022年4月15日联合正式发布，自2022年11月1日起全面正式落地实施，是我国网络数据领域统一规范全网数据分类分级工作的基础性、通用性国家级核心标准。本标准归口管理于全国信息安全标准化技术委员会，由国家网络安全与数据安全主管主管机构、权威标准化科研院所、政务大数据运营机构、重点行业龙头企事业单位及专业网络安全合规测评机构联合统筹编制完成，深度对标《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《网络数据安全管理条例》等法律法规法定管控硬性要求，从根本上解决了以往全国网络数据分类分级无统一口径、分类维度杂乱、分级尺度不一、行业标准各自为政、防护措施与数据重要程度不匹配的行业长期共性难题。本标准编制严格遵循依法合规基准、统一规范通用、业务数据适配、风险精准匹配、分级防护管控、动态持续迭代的核心编制原则，区别于单一行业专属数据分类分级细则，本标准立足全网通用底层定位，适用于全行业、全领域所有网络数据处理主体，不针对某一特定行业设置专属差异化排他性规则，重点统一网络数据分类分级的基础定义、核心原则、划分维度、判定方法、实施流程及长效管理机制。本标准明确网络数据从资产摸排、类别划分、级别判定、台账编制、差异化防护、动态更新、合规核查全链条标准化工作要求，既是各类网络运营者、数据处理者常态化开展内部数据分类分级合规梳理、台账建档、防护适配的法定实操依据，也是各级行业监管部门开展数据分类分级督导核查、合规检查，第三方测评机构开展分类分级合规核验、咨询服务的统一合规准绳，是全国网络数据安全精细化、差异化管控工作的基础性支撑标准。引言随着我国数字化转型全面纵深推进，各类政务办公、社会治理、产业运营、民生服务、商业经营活动全面依托网络平台开展，网络数据呈现爆发式增长、多源化汇聚、跨域化流转、高频化复用的发展特征，网络数据已经成为数字时代核心生产要素与网络安全防护核心客体。长期以来，各类网络运营者及数据处理单位在数据管理工作中，普遍存在重网络平台建设、轻数据资产梳理，重设备安全防护、轻数据分级管控的普遍问题，多数单位未开展规范化数据分类分级工作，数据底数摸排不清、数据类别划分随意、数据重要级别判定主观笼统，高敏感核心数据与普通业务数据混同存储、同等防护，出现重要数据防护力度不足、普通数据过度防护资源浪费的双重失衡局面。一旦发生网络攻击、内部违规操作、数据泄露篡改等安全事件，无法精准定位高危数据风险点位，无法针对性落实应急处置与溯源追责，极易引发网络数据安全合规处罚、公众权益损害及行业安全稳定隐患。为统一全国范围内网络数据分类分级的标准化工作口径，规范各类数据处理主体网络数据分类依据、分级判定尺度、实操实施流程及长效动态管理机制，指导所有网络运营者精准摸清网络数据资产底数、科学划分数据类别层级、按需匹配差异化安全防护措施，构建数据分类分级、分级防护、动态管控、合规运维的网络数据安全精细化治理体系，实现网络数据保护力度与数据敏感程度、安全风险等级精准适配，全面压实网络数据安全主体责任，筑牢网络数据安全合规管理根基，特制定本国家标准。本标准兼顾全网通用性与行业适配性、合规强制性与实操落地性、静态分级建档与动态迭代管理，适配政务、金融、能源、医疗、交通、教育、互联网、工业互联网等全行业网络数据分类分级工作实际开展需求，为全国网络数据安全常态化管控与精细化治理提供统一标准化底层支撑。1范围本标准系统规定了网络数据分类分级工作的基础术语定义、规范性引用依据、网络数据分类分级总体基本原则、网络数据核心分类维度与分类划分规则、网络数据安全分级判定依据与分级档次标准、网络数据分类分级全流程实施操作规范、分类分级台账编制管理要求、基于分类分级结果的差异化安全防护适配要求、网络数据分类分级动态更新运维管理、分类分级合规核查与整改优化等全维度全链条核心工作内容。本标准聚焦各类网络环境下产生、采集、存储、使用、传输、共享、销毁的全量网络数据，专门规范网络数据分类分级基础方法论及通用实施规则，不替代各行业依据本标准编制的行业细化分类分级实施细则，所有行业细化细则均不得低于本标准规定的基础通用底线要求。本标准适用主体覆盖全国所有从事网络数据采集、处理、存储、传输、共享、公开、销毁等相关活动的网络运营者及各类数据处理组织机构，核心适用工作包含三大核心板块，一是各级政务机关、事业单位、国企央企、民营企业、社会组织等数据处理主体，常态化开展本单位网络数据资产摸排、分类划分、级别判定、台账建档、分级防护落地工作；二是具备专业资质的第三方合规咨询及安全测评机构，受委托为各类单位提供网络数据分类分级梳理、合规核验、台账编制、防护适配专业化支撑服务；三是各级网信、网络安全、数据安全及行业主管监管部门，督导核查辖区及行业内网络数据分类分级工作落地成效、合规履职情况及分级防护落实情况。本标准无行业及业务场景排他性要求，涉密网络数据分类分级工作可在本标准基础上叠加涉密信息数据分级保密专项规范协同实施，兼顾通用网络数据与特殊涉密数据管控需求。2规范性引用文件下列规范性引用文件是本标准网络数据分类分级实施、台账管理、分级防护、动态更新、合规核查各项工作开展不可或缺的核心配套支撑依据，凡是标注具体发布日期的引用文件，仅对应标注版本内容适用于本标准；凡是未标注具体发布日期的引用文件，其最新有效修订版本及所有后续增补修改单内容均统一适配本标准各项网络数据分类分级管控工作执行要求。核心配套引用文件主要包含数据安全治理相关国标、数据安全风险评估方法标准、个人信息保护相关规范、重要数据识别划定标准、网络安全等级保护基础系列标准、数据资产台账管理规范、网络数据处理安全相关国家标准等国家及行业权威规范。所有参与网络数据分类分级方案编制、资产摸排、类别划分、级别判定、台账归档、防护适配、合规核查相关工作的机构及从业人员，必须同步严格遵循对应引用文件协同开展分类分级工作，确保全流程网络数据分类分级工作合规统一、尺度一致、衔接顺畅、闭环可控。3术语和定义3.1网络数据：指通过网络收集、存储、使用、加工、传输、提供、公开的各类电子数据集合，涵盖政务办公数据、行业业务数据、经营管理数据、用户个人信息数据、设备运行数据、日志审计数据、合作共享数据等所有依托网络载体产生和流转的结构化、半结构化、非结构化数据，是网络数据分类分级工作的核心基础客体与管控对象。3.2网络数据分类：指数据处理者按照数据业务归属、数据内容属性、数据应用用途、数据主体类型等统一规范维度，对全量网络数据进行归类划分、类别梳理、属性界定的基础性管理工作，核心目的是厘清不同数据的业务归属与应用场景，为后续精准分级管控奠定基础。3.3网络数据分级：指在网络数据分类完成的基础上，根据数据敏感性程度、数据重要价值、数据泄露损毁篡改后的危害影响范围与危害严重程度，对各类别网络数据划分不同安全保护等级的核心判定工作，核心目的是依据风险高低匹配差异化安全防护与管控措施。3.4数据分类分级台账：指数据处理者按照本标准规范要求编制的，涵盖数据类别名称、数据级别等级、数据存储位置、数据流转环节、数据责任部门、防护措施配置、更新维护记录等内容的专项管理档案，是网络数据分类分级落地留存、合规核查、动态管控的核心书面依据。3.5差异化分级防护：指数据处理者根据网络数据不同分类分级结果，针对不同级别数据配套适配不同强度的安全管理措施、技术防护手段、运维管控规则及应急处置标准，实现高等级数据重点防护、中等级数据常规防护、低等级数据基础防护的精细化安全管控模式。4网络数据分类分级总体基本原则4.1依法合规，底线遵从原则。网络数据分类分级全流程工作必须严格遵循国家网络安全、数据安全、个人信息保护相关法律法规及国家标准强制性要求，严格对标重要数据、核心数据、敏感个人信息法定识别划定规则，分类分级不得突破法定合规底线，严禁随意降低数据级别、弱化数据分类管控标准，确保分类分级工作全程合法合规、有据可依、对标达标。4.2统一规范，全网通用原则。全国范围内网络数据分类分级基础维度、核心判定规则、基础分级档次实行统一标准化管理，各地区、各行业、各单位不得擅自更改基础分类分级核心口径，仅可在本标准通用框架基础上结合自身业务实际细化补充行业专属细则，确保全国分类分级工作尺度统一、互通互认、监管对接顺畅。4.3业务适配，客观精准原则。网络数据分类分级工作紧密贴合单位实际业务运营场景与数据处理活动特征，立足数据真实用途、实际流转范围、实际应用价值开展分类分级，杜绝脱离业务实际主观随意定级、盲目拔高定级或刻意降低定级问题，确保分类贴合业务归属、分级贴合风险实际，客观精准反映数据真实安全防护需求。4.4风险导向，分级适配原则。以数据安全风险防控为核心导向，数据分级核心依据数据遭受泄露、篡改、丢失、滥用、违规流转后的危害后果大小判定，防护措施严格匹配数据分级等级，高风险高等级数据强化纵深防护，低风险低等级数据落实基础防护，实现风险等级与防护强度精准匹配、精准管控。4.5动态迭代，持续更新原则。网络数据分类分级并非一次性静态工作，需结合业务新增调整、数据范围扩容、法律法规更新、安全态势变化、监管要求升级常态化动态复核更新，及时调整数据类别与安全等级，同步优化适配差异化防护措施，确保分类分级长期贴合实际管控需求。5网络数据核心分类维度与分类划分规则5.1按数据业务归属维度分类。按照网络数据产生对应的业务职能与工作归属进行基础类别划分，是网络数据最基础的核心分类方式。各级数据处理者需结合自身组织架构、业务职能板块、工作运营范围，将全量网络数据划分为政务管理类数据、行业业务运营类数据、企业经营管理类数据、民生服务保障类数据、技术运维支撑类数据、外部合作共享类数据等基础大类，每个大类下再根据具体业务细分二级子类数据，精准界定每一项网络数据对应的业务主管部门、业务应用场景及业务产生源头，厘清数据业务权属边界，确保每一条数据均有明确业务归属与管理责任主体。5.2按数据主体属性维度分类。按照网络数据所指向的数据主体及内容属性开展专项类别划分，重点区分不同数据承载的权益对象与敏感属性差异。主要划分为个人信息类数据、重要业务核心类数据、公共基础服务类数据、设备系统运行类数据、公开公示类数据五大核心类别，其中个人信息类数据进一步细化普通个人信息与敏感个人信息子类，核心业务数据细化核心经营数据与关键业务管控数据子类，精准区分数据涉及个人权益、公共利益、单位经营利益的不同属性，为后续数据安全分级判定提供核心属性依据。5.3按数据流转应用维度分类。按照网络数据采集、存储、使用、传输、共享、公开、销毁全生命周期流转范围与应用用途开展辅助分类，划分为内部仅限使用数据、跨部门共享流转数据、对外第三方提供数据、社会公开披露数据四大流转类别。重点区分数据是否对外流转、是否跨主体共享、是否对外公开，明确数据流转管控边界，针对性匹配数据传输加密、共享审批、公开审核等专项管控要求，从流转源头规范数据分类管控。5.4分类梳理实施基础要求。数据分类工作需做到全量覆盖、无一遗漏、归类准确、权属清晰，数据处理者需全面摸排所有网络平台、业务系统、存储设备内全量网络数据，不得遗漏隐蔽存储数据、备份留存数据、临时交换数据；分类完成后形成完整数据分类清单，明确每类数据名称、涵盖范围、业务归属、数据属性、流转用途、责任管理部门，确保数据分类清晰直观、台账可查、责任到人。6网络数据安全分级判定依据与分级档次标准6.1分级核心综合判定依据。网络数据安全分级不以单一条件单独判定，实行多维度综合研判判定规则，核心研判维度包含数据敏感程度高低、数据核心重要价值大小、数据安全事件危害影响范围、数据泄露篡改损毁后的危害严重程度、数据法定管控强制要求五大核心方面。综合考量危害是否涉及国家安全、社会公共利益、单位合法经营权益、公民个人基本权益，结合数据违规滥用、非法流转、恶意破坏后的衍生安全风险与舆情影响，客观公正判定数据安全等级，杜绝单一维度片面定级、主观随意定级。6.2一级一般网络数据划定标准。一级为安全风险最低、防护要求最基础的网络数据级别，此类数据不涉及任何敏感信息与核心业务关键内容，数据泄露、篡改、丢失后不会对国家安全、社会公共利益造成任何影响，仅可能对单位日常普通业务运行造成轻微不便，不会损害公民个人合法权益。主要包含已依法公开公示的基础公示信息、普通公开运维日志、非敏感业务统计汇总公开数据、无任何隐私及核心业务属性的常规办公公开数据，仅需落实基础常规安全防护管理措施即可满足合规管控需求。6.3二级重要网络数据划定标准。二级为常规管控、中等安全风险的网络数据级别，此类数据具备一定业务价值与基础敏感属性，数据安全事件发生后会对单位正常业务运营造成一定影响，对公民个人普通权益造成轻微损害，不会危害国家安全与重大社会公共利益。主要包含普通内部业务运营数据、非敏感个人基础信息、内部非核心经营管理数据、仅限内部流转不对外公开的常规工作数据，需落实常规安全管理与基础技术防护相结合的标准化管控措施。6.4三级核心重要网络数据划定标准。三级为重点管控、高安全风险的网络数据级别，此类数据属于行业及单位核心关键数据，敏感程度高、业务价值大，数据泄露篡改后会严重影响核心业务正常运转，批量损害公民个人敏感权益，对行业运营秩序与区域公共利益造成较大负面影响。主要包含行业重要业务数据、批量敏感个人信息、核心经营管控数据、跨区域共享关键政务数据，需落实强化型纵深安全防护、专项运维管控、定期风险复核等高等级管控措施。6.5四级核心关键网络数据划定标准。四级为最高等级、最高安全风险的网络数据级别，此类数据属于国家及行业战略级核心数据，直接关联国家安全、重大社会公共利益，数据安全事件发生后会引发重大安全风险、严重社会影响及重大合规处罚。主要包含法定核心数据、国家级战略运营数据、涉及国家关键领域安全的核心管控数据，需落实最高等级专项防护、专人专职管控、全流程严格审批、常态化专项测评核验等顶级安全管控措施。7网络数据分类分级全流程实操实施规范7.1前期筹备与组织部署阶段。数据处理者需成立专项网络数据分类分级工作专班，明确主要负责人为第一责任人，确定安全管理部门与各业务部门协同工作分工，制定本单位网络数据分类分级专项实施工作方案，明确工作实施步骤、时间进度、人员职责、工作标准及台账编制要求；同步组织全员分类分级专项培训宣贯，确保工作人员熟练掌握分类维度、分级判定规则及实操工作要求，夯实分类分级工作组织与人员基础保障。7.2全量网络数据资产摸排清查阶段。组织开展全网全量网络数据资产全面摸排清查工作，覆盖所有业务系统、网络平台、存储服务器、终端设备、备份介质、外部共享对接链路中的全部数据资源，全面梳理数据产生源头、存储位置、流转路径、使用用途、管理责任部门、数据存量规模及数据更新频次；逐一核查隐蔽存储数据、历史备份数据、临时交换数据、第三方对接数据，杜绝数据摸排遗漏、底数不清问题，形成完整网络数据资产基础清查清单。7.3数据分类梳理与属性界定阶段。依据本标准规定的业务归属、主体属性、流转应用三大分类维度，对摸排清查完成的全量网络数据逐项开展类别划分与属性界定，细化一级大类与二级子类数据明细，明确每类数据核心属性、应用场景及流转范围；分类工作完成后组织内部交叉复核校验，纠正归类错误、属性界定模糊、类别划分重叠等问题，确保数据分类科学合理、边界清晰、无一交叉、无一遗漏。7.4数据安全等级综合判定复核阶段。在数据分类工作完成基础上，按照四级分级档次标准及多维度综合判定依据，逐项对各类网络数据开展安全级别初步定级；定级完成后由安全管理部门、业务部门及技术运维部门联合开展多级复核工作，重点复核高等级数据定级准确性，杜绝刻意降级规避防护、盲目升级浪费资源问题；对存在定级争议的数据组织专项研判会商，精准确定最终安全等级，形成数据分级初步清单。7.5分类分级台账编制归档备案阶段。依据最终确定的数据分类结果与分级等级，按照本标准规范要求编制统一格式网络数据分类分级专项台账，详实记录数据类别、安全等级、数据内容范围、存储位置、流转环节、责任部门、防护措施、定级时间、复核记录等关键信息；台账编制完成后加盖单位管理公章，内部归档长期留存，按需向行业监管部门报备，作为后续差异化防护、合规核查、风险评估的核心基础依据。8分类分级结果差异化安全防护适配管理要求8.1一级一般数据基础防护适配。针对一级一般网络数据，仅需落实基础常态化安全管理防护措施，规范日常操作管理、基础权限管控、常规日志留存即可，无需配置高强度专项加密、严格审批等高阶防护措施，在保障数据基本安全可控的前提下，兼顾业务运营便捷性，避免过度防护影响正常工作效率。8.2二级重要数据常规防护适配。针对二级重要网络数据，落实管理与技术并重的常规标准化防护措施，细化基础访问权限管控、常规数据备份留存、基础操作审计留痕、定期安全巡检排查工作，规范数据内部流转审批流程，严防数据内部违规泄露与非法访问，保障数据日常安全合规流转使用。8.3三级核心重要数据强化防护适配。针对三级核心重要网络数据，全面强化纵深安全防护管控，配置数据加密存储、敏感数据脱敏处理、精细化最小权限管控、异常访问实时监测、操作全程审计溯源、定期专项风险评估等强化防护措施，严格规范数据对外共享、传输、导出审批流程，实行专人专项管理，常态化开展安全隐患整改复核工作。8.4四级核心关键数据顶级防护适配。针对四级核心关键网络数据，落实最高等级专项顶级安全防护管控，实行专职专班专人全权管理，部署最高级别安全技术防护体系，严格执行全流程一事一审批、全操作全程溯源、全时段安全值守监测、定期专项合规测评复核机制，严控数据流转范围，严禁不必要数据对外共享传输，全方位防范重大数据安全风险。9网络数据分类分级动态更新与长效运维管理9.1常态化定期复核更新机制。数据处理者需建立网络数据分类分级定期复核动态更新机制，每年至少开展一次全量数据分类分级全面复核工作，结合业务新增调整、数据范围变化、法律法规更新及监管要求变动，及时调整数据类别划分与安全等级判定，同步更新分类分级台账信息，确保台账与实际数据现状完全一致、同步迭代。9.2业务变更专项调整更新机制。当单位新增网络业务系统、拓展数据处理业务、变更数据流转路径、扩大数据共享范围、新增敏感数据采集处理场景时，需及时开展专项分类分级调整工作，对新增数据及时分类定级，对变更数据重新复核调整等级，同步适配更新对应安全防护措施，杜绝新增数据无分类、无定级、无防护管控的空