GB-T 41816-2022 信息安全技术 网络数据分类分级要求 - 副本

GB/T41816-2022信息安全技术网络数据分类分级要求前言本文件为中华人民共和国推荐性国家标准GB/T41816-2022《信息安全技术网络数据分类分级要求》，由国家市场监督管理总局、国家标准化管理委员会正式发布实施，由全国信息安全标准化技术委员会（TC260）归口管理。本标准是我国网络数据全域分类、分级判定、差异化保护、合规治理的基础性、通用性核心国标，全面承接《网络安全法》《数据安全法》《个人信息保护法》《网络数据安全管理条例》法定要求，统一全国网络数据分类分级的方法论、实施流程、判定规则与安全基线。随着数字经济深度发展，网络数据呈现海量汇聚、跨域流转、多主体复用、场景复杂化特征，各行业普遍存在数据底数不清、分类混乱、分级随意、防护一刀切、重要数据识别无依据、差异化保护落地难等行业痛点。原有分类分级规则多为行业零散指引，缺乏全国统一、可量化、可落地、可测评的标准化体系，导致监管口径不统一、企业合规落地无标尺、数据安全治理碎片化。为解决上述问题，本标准确立了统一分类、精准分级、风险导向、全域覆盖、动态管控、适配行业的核心治理体系，明确网络数据分类维度、分级判定要素、实施步骤、安全保护要求与行业适配规则，适用于全行业网络数据处理活动，同时为监管部门监督检查、第三方测评、企业常态化数据治理提供唯一通用基准。本标准与各类行业专项数据分级规范形成“通用基准+行业细化”的标准矩阵，是国内网络数据安全分类分级工作的纲领性文件。本标准无署名、无版权限制，可直接用于政企机构贯标落地、合规自查、等级保护测评、数据安全评估、重要数据备案、数据全生命周期防护体系建设。1范围1.1本文件规定了网络数据分类分级的基本原则、核心定义、分类方法、分级规则、实施流程、差异化安全保护要求、动态管理机制及典型场景应用规范。1.2本文件适用于所有网络运营者、数据处理者开展的网络数据分类分级工作，覆盖数据收集、存储、使用、加工、传输、共享、公开、销毁全生命周期处理场景。1.3本文件适用于行业主管监管部门开展网络数据安全监督管理、合规核查、专项督查、重要数据认定备案工作；同时适用于第三方测评机构、安全服务机构开展分类分级测评、合规咨询、体系整改工作。1.4各行业可在本标准通用框架基础上，结合行业业务特性、监管要求制定细分领域专项分类分级细则，但不得低于本标准规定的通用基线与最低防护要求。1.5本标准覆盖公共数据、行业业务数据、个人信息、运营管理数据、技术日志数据、第三方流转数据等全部网络数据类型，适用于政务、金融、能源、交通、医疗、互联网、工业互联网等全行业领域。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期版本适用于本文件；凡是不注日期的引用文件，其最新有效版本（含所有修改单）适用于本文件。GB/T25069-2022信息安全技术术语GB/T35273-2020信息安全技术个人信息安全规范GB/T37973-2019信息安全技术大数据安全管理指南GB/T41479-2022信息安全技术数据安全风险评估方法GB/T39477-2020信息安全技术政务数据分类分级指南《网络安全标准实践指南——网络数据分类分级指引》3术语和定义3.1网络数据依托网络生成、收集、存储、传输、使用、共享、公开的各类电子化数据资源集合，包含网络运营者在业务运营、平台服务、系统运行、用户交互、技术运维过程中产生和处理的全部数据，是数字化网络空间的核心资产。3.2数据分类按照数据的业务属性、内容属性、用途属性、主体属性，对全域网络数据进行门类划分、归类梳理、标签定义的标准化管理行为，用于厘清数据资产结构、明确数据归属与业务边界。3.3数据分级以数据安全风险为核心导向，依据数据泄露、篡改、丢失、非法滥用后对国家安全、公共利益、个人和组织合法权益的危害程度，对不同类别数据划分安全保护等级的量化判定过程。3.4重要数据一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、经济运行、社会稳定、公共利益的网络数据，是本标准重点识别、重点保护、重点监管的核心数据类型。3.5核心数据重要数据中风险等级最高、影响范围最广、危害程度最大的顶级数据，泄露或异常将直接引发系统性安全风险、重大公共利益损失或国家安全风险。3.6动态分类分级针对数据业务场景、聚合规模、流转范围、使用用途、监管政策的变化，动态调整数据分类标签与安全等级，同步更新防护策略的常态化管理机制。4分类分级总体原则本标准明确网络数据分类分级六大核心原则，为全行业统一判定口径、规避随意定级、保障合规一致提供底层依据，所有分类分级工作必须严格遵循以下原则。4.1依法合规原则分类分级工作严格遵循国家网络安全、数据安全、个人信息保护相关法律法规与监管要求，贴合行业专项监管规定，所有定级结果、分类规则不得与法定要求冲突，确保治理工作合法合规、有据可依。4.2风险导向原则以数据安全事件的危害程度、影响范围、风险后果为核心判定依据，弱化单纯业务属性判定，聚焦数据被非法利用后的实际安全风险，实现风险与等级精准匹配。4.3全域覆盖原则覆盖组织所有网络数据资产，包含生产数据、测试数据、日志数据、离线数据、共享数据、第三方导入数据，无遗漏、无盲区、无隐形数据，实现数据资产底数全覆盖。4.4最小颗粒度原则以数据字段、数据条目、数据子集为最小定级单元，禁止以系统、业务模块笼统定级，保障分类分级精细化、防护策略精准化，杜绝粗放式管理。4.5就高从严原则多字段聚合、多数据融合、多场景流转时，整体数据集合按照最高风险等级定级；同一数据在不同场景产生更高风险的，按最高风险场景从严定级。4.6动态迭代原则数据分类标签、安全等级不静态固化，随业务迭代、数据聚合、场景升级、新规出台、风险变化动态复核、动态调整、持续优化。5网络数据分类规范本标准采用多维度组合分类法，从数据主体、业务用途、数据内容、流转属性四大维度对网络数据进行标准化分类，形成统一的网络数据分类体系，解决行业分类混乱、口径不一的问题。5.1按数据主体分类5.1.1个人数据：可单独或结合其他信息识别特定自然人身份、反映自然人活动情况的各类网络数据，包含普通个人信息、敏感个人信息，是个人权益保护的核心数据类别。5.1.2公共数据：政务部门、公共服务机构在履职、服务过程中产生、归集、共享的公共性网络数据，具备公共属性，支撑社会治理与公共服务。企业及组织数据：企业、社会组织在生产经营、业务服务、运营管理中产生的非个人、非公共类业务数据、经营数据、技术数据、商业数据。5.2按业务用途分类5.2.1业务服务数据：直接支撑对外服务、业务办理、用户交互的核心业务数据，是平台与机构的核心生产数据。5.2.2运营管理数据：支撑内部管理、人员运维、流程管控、绩效考核的内部管理类数据，不直接对外服务。5.2.3技术运维数据：系统日志、访问记录、运维操作、设备运行、网络流量等技术类支撑数据。5.2.4风险合规数据：风控记录、审计日志、合规台账、监管报送、风险处置等合规类数据。5.3按数据公开属性分类5.3.1公开数据：可对外公开披露、无安全风险、无隐私风险、无商业秘密的公示类数据。5.3.2内部数据：仅限组织内部使用、禁止对外公开、无重大敏感风险的内部常规数据。5.3.3受限共享数据：仅可在授权主体、授权场景、授权周期内共享的敏感数据，禁止无授权外传。5.3.4绝密管控数据：严禁对外流转、仅限核心岗位极小范围使用的高风险核心数据。6网络数据分级判定体系（核心章节）本标准基于风险危害程度，将网络数据安全等级从低到高划分为一级（一般数据）、二级（重要数据）、三级（核心重要数据）三个等级，明确各等级判定标准、风险边界、数据范围与防护基线，构建全国统一的网络数据分级基准。6.1一级数据：一般网络数据6.1.1判定标准：数据泄露、篡改、丢失、非法利用后，仅会对组织局部权益造成轻微影响，不会损害个人重大权益、不会危害公共利益、不会影响社会秩序与国家安全，风险危害极低。6.1.2典型数据范围：对外公示公告、公开产品介绍、公开业务指引、无敏感字段的普通统计数据、公开运营资讯等公开类网络数据。6.1.3安全风险特征：无隐私泄露风险、无业务风险、无合规处罚风险、无舆情风险，可依规公开披露。6.1.4基础防护要求：落实基础访问管控、公开审核机制、内容防篡改管控，无需高强度加密、脱敏、专项审批。6.2二级数据：重要网络数据6.2.1判定标准：数据遭到泄露、篡改、非法利用后，可能侵害个人合法权益、造成企业经营损失、引发局部业务风险、影响局部公共服务秩序，虽不构成系统性风险，但存在明确合规与安全风险，属于法定重点保护数据。6.2.2典型数据范围：普通个人信息、非核心业务交易数据、内部运营台账、常规用户行为日志、非涉密业务统计数据、一般性合作备案信息等。6.2.3安全风险特征：易引发个人隐私泄露、用户骚扰、局部业务紊乱、企业声誉风险、常规监管合规风险，是网络数据治理的主体保护对象。6.2.4基础防护要求：落实权限管控、操作审计、传输存储加密、对外共享脱敏、流程审批、台账留存、定期风险核查，实现全流程可控可溯。6.3三级数据：核心重要网络数据6.3.1判定标准：数据一旦泄露、篡改、丢失、非法获取或滥用，将直接危害国家安全、经济运行、社会稳定、重大公共利益，或造成大规模个人权益严重受损、系统性业务瘫痪、重大安全事件，属于最高等级保护数据。6.3.2典型数据范围：敏感个人信息、大规模聚合用户数据、关键行业核心业务数据、网络安全防护核心数据、风险研判核心数据、重要监管报送数据、可能引发系统性风险的聚合数据集合。6.3.3安全风险特征：风险传导性强、影响范围广、危害后果严重，可引发重大舆情、监管重罚、系统性业务故障、公共安全事件甚至国家安全风险。6.3.4基础防护要求：实行最高等级专项管控，落实物理逻辑双重隔离、国密全链路加密、强制不可逆脱敏、专项多级审批、双人双岗管控、实时态势监测、高危操作自动熔断、专属应急预案、定期专项审计，严禁无授权对外流转。7分级判定核心要素与判定规则7.1四大核心判定要素本标准明确分级判定必须综合考量四大核心要素，禁止单一维度片面定级，确保定级结果科学精准：1.危害主体：风险影响对象，包含个人、企业、行业、社会公共利益、国家安全层面。2.影响范围：风险覆盖规模，包含个体影响、局部影响、行业影响、全域社会影响。3.危害程度：轻微影响、一般影响、严重影响、特别重大影响四级危害梯度。4.可利用性：数据被非法获取后是否可直接滥用、是否可叠加其他数据放大风险、是否可逆向推演核心信息。7.2通用定级规则7.2.1单一零散普通数据可按基础等级定级，多维度敏感数据、海量聚合数据自动升级定级，风险叠加必须从严判定。7.2.2涉及个人敏感信息、大规模用户数据、关键业务核心数据，默认不低于二级重要数据，满足重大风险特征的直接判定为三级核心数据。7.2.3数据对外共享、跨主体流转、互联网暴露场景，风险等级自动上调，防护策略同步升级。7.2.4无法精准判定等级的数据，遵循就高不就低、宁严勿松原则，优先按高等级管控。8分类分级实施流程（标准化落地步骤）本标准统一全网数据分类分级实施流程，形成可复制、可落地、可测评的标准化闭环，所有数据处理者需严格按照五步流程完成常态化治理。8.1数据资产全面梳理全面摸排全域网络数据资产，覆盖所有业务系统、数据库、文件数据、接口流转数据、日志数据、离线备份数据、第三方共享数据，梳理数据字段、存储位置、使用主体、流转场景、生命周期节点，建立完整数据资产台账，消除数据盲区。8.2数据标准化分类依据本标准多维度分类体系，完成所有数据的门类划分、标签标注、归类归档，明确数据主体属性、业务属性、公开属性，形成分类清单，厘清数据资产结构。8.3逐字段精准定级以最小数据颗粒度为单元，对照分级判定要素与等级标准，逐字段完成安全等级判定，标注数据安全级别、风险标签、防护要求、适用场景，形成《网络数据分类分级清单》。8.4分级审核与备案建立业务、技术、合规三级审核机制，校验定级准确性、完整性、合规性，修正错定、漏定、低定问题；重要数据、核心数据按监管要求完成专项备案管理。8.5策略匹配与落地防护依据不同数据等级匹配差异化的权限、加密、脱敏、审计、流转、销毁、应急防护策略，实现一级数据基础管控、二级数据规范防护、三级数据极致管控。9分级差异化安全保护要求本标准针对三个等级数据，明确全生命周期差异化防护基线，实现分级防护、精准施策、资源最优配置，杜绝一刀切防护。9.1一级一般数据防护要求落实公开审核、内容防篡改、基础访问权限管控，规范公开披露流程，禁止虚假、违规信息发布；无需高强度加密、脱敏、专项审批，以规范化管理为主。9.2二级重要数据防护要求采集遵循最小必要、知情同意原则；传输存储全程加密；落实精细化权限管控、专人管理、全程操作审计；对外共享、导出强制脱敏、审批留痕；定期开展风险自查、漏洞整改；超期数据规范销毁，杜绝数据残留。9.3三级核心重要数据防护要求实行专项准入管控、最小字段采集、动态授权；存储独立隔离、国密加密、异地备份；传输专属加密链路、禁止公网裸传；使用全程监控、双人复核、动态脱敏；共享零原始数据外流、隐私计算适配；实时风险监测、秒级告警熔断；月度专项审计、季度风险评估、年度体系复盘，建立专属应急处置机制。10动态管理与迭代优化机制10.1常态化复核机制：数据处理者每年至少开展一次全域数据分类分级全面复核，针对新增业务、新增数据、迭代字段完成新增定级，存量数据动态校验。10.2触发式动态调整：出现数据聚合、场景变更、流转范围扩大、监管新规发布、风险事件发生、业务模式迭代等场景，必须立即启动等级复核与策略调整。10.3变更台账管理：所有分类标签、安全等级变更需留存申请、审核、依据、策略更新记录，形成完整变更台账，全程可追溯、可审计、可追责。10.4体系持续优化：结合安全事件、测评问题、监管通报、新型风险，持续优化分类规则、定级标准、防护基线，适配数字化业务迭代发展。11典型行业分类分级适配指引11.1互联网平台行业：重点聚焦用户个人信息、行为轨迹数据、聚合用户数据、平台交易数据，严格区分普通个人信息与敏感个人信息，严控大规模数据聚合风险，