2021年9月1日，《中華人民共和國數據安全法》正式施行，明確規定“國家建立數據分類分級保護制度”，提出“根據數據在經濟社會發展中的重要程度，以及一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，對國家安全、公共利益或者個人、組織合法權益造成的危害程度，對數據實行分類分級保護”。
開展數據分類分級保護工作時，首先需要對數據進行分類和分級，然后對不同類別不同級別的數據建立相應的全流程數據安全保護措施。本文件根據《中華人民共和國網絡安全法》《中華人民共和國數據安全法》《中華人民共和國個人信息保護法》及國家數據分類分級保護有關規定，給出了數據分類分級的原則和方法，用于指導各行業、各領域、各地方、各部門和數據處理者開展數據分類分級工作。涉及國家秘密的數據和軍事數據不適用于本文件。
本文件按照GB/T 1.1—2020《標準化工作導則 第1部分：標準化文件的結構和起草規則》的規定起草。參考GB/T 25069—2022 信息安全技術 術語規程編制。
本文件給出了數據分類分級的原則和方法，包括數據分類分級基本原則、數據分類框架和方法、數據分級框架和方法等。本文件適用于行業領域主管(監管)部門參考制定本行業本領域的數據分類分級標準規范，也適用于各地方、各部門開展本地區、本部門的數據分類分級工作，同時還可為數據處理者進行數據分類分級提供參考。
基本原則：
在遵循國家數據分類分級保護要求的基礎上，按照數據所屬行業領域進行分類分級管理，依據以下原則對數據進行分類分級。
a) 科學實用原則：數據分類應從便于數據管理和使用的角度，科學選擇常見、穩定的屬性或特征作為數據分類的依據，并結合實際需要對數據進行細化分類。
b) 邊界清晰原則：數據分級的主要目的是為了數據安全，各個數據級別應做到邊界清晰，對不同級別的數據采取相應的保護措施。
c) 就高從嚴原則：采用就高不就低的原則確定數據分級，當多個因素可能影響數據分級時，按照可能造成的最高影響對象和影響程度確定數據級別。
d) 點面結合原則：數據分級既要考慮單項數據分級，也要充分考慮多個領域、群體或區域的數據匯聚融合后對數據重要性、安全風險等的影響，通過定量與定性相結合的方式綜合確定數據級別。
e) 動態更新原則：根據數據的業務屬性、重要性和可能造成的危害程度的變化，對數據分類分級、重要數據目錄等進行定期審核更新。
數據分類框架：
數據按照先行業領域分類、再業務屬性分類的思路進行分類。
a) 按照業務所屬行業領域，將數據分為工業數據、電信數據、金融數據、能源數據、交通運輸數據、自然資源數據、衛生健康數據、教育數據、科學數據等行業領域數據。
b) 各行業各領域主管(監管)部門根據本行業本領域業務屬性，對行業領域數據進行細化分類。常見業務屬性包括但不限于：1) 業務領域：按照業務范圍或業務種類進行細化分類；2) 責任部門：按照數據管理部門或職責分工進行細化分類；
3) 描述對象：按照數據描述對象進行細化分類；4) 上下游環節：按照業務運營活動的上下游環節進行細化分類；5) 數據主題：按照數據的內容主題進行細化分類；6) 數據用途：按照數據使用目的進行細化分類；7) 數據處理：按照數據處理者類型或數據處理活動進行細化分類；8) 數據來源：按照數據來源進行細化分類。
c) 如涉及法律法規有專門管理要求的數據類別(如個人信息)，應按照有關規定或標準對個人信息、敏感個人信息進行識別和分類。
數據分級框架：
根據數據在經濟社會發展中的重要程度，以及一旦遭到泄露、篡改、破壞或者非法獲取、非法利用，對國家安全、公共利益或者個人、組織合法權益造成的危害程度，將數據從高到低分為核心、重要、一般三個級別。各行業各領域應在遵循數據分級框架的基礎上，明確本行業本領域數據分級規則，并對行業領域數據進行定級。
a) 核心數據一旦被泄露、篡改、破壞或者非法獲取、非法利用、非法共享，可能直接危害政治安全、國家安全重點領域、國民經濟命脈、重要民生、重大公共利益。
b) 重要數據一旦被泄露、篡改、破壞或者非法獲取、非法利用、非法共享，可能直接危害國家安全、經濟運行、社會穩定、公共健康和安全。
c) 一般數據一旦被泄露、篡改、破壞或者非法獲取、非法利用、非法共享，僅影響小范圍的組織或公民個體合法權益。
更多詳情請見附件。
所有評論僅代表網友意見，與本站立場無關。