2022年9月14日，全国信息安全标准化委员会就国标《信息安全技术——网络数据分类分级要求》（以下简称“《要求》”）公开征求意见 。《要求》是对此前发布的《2022年第二批网络安全推荐性国家标准计划项目清单》的回应，给出了数据分类分级的原则和方法。该标准作为最新的数据分类分级实操要求文件，是数据处理者开展数据分类分级工作的重要参考。
一、与《网络数据分类分级指引》的关系
二、内容变化和对企业的影响
1、数据分类由面到线：从《指引》的“面分类法”（分为公民个人维度、公共管理维度、信息传播维度、行业领域维度、组织经营维度、加工程度维度），到《要求》明确的“线分类法”（针对 “行业分类—数据范围—确认业务条线—关键业务—业务属性分类”逐级细化）；
（一） 总体框架
-
正文分为范围、规范性引用文件、术语与定义、基本原则、数据分类框架和方法、数据分级框架、数据分级确定方法、数据分类分级实施流程； -
附录分为基于数据描述对象的行业领域数据分类参考示例、数据分级要素识别常见考虑因素、影响对象考虑因素、影响程度参考示例、衍生数据定级参考、动态更新情形参考、一般数据分级参考、个人信息分类示例。
（二） 适用范围和重要定义
-
数据 data：任何以电子或者其他方式对信息的记录。其中，数据项是数据不可分割的最小单位，通常表现为数据库表某一列字段等；数据集是由多个数据项组成的集合，如数据库表、数据文件等；跨行业领域数据是指跨行业领域流动的数据，及多个行业领域数据融合加工的数据。 -
重要数据 key data：特定领域、特定群体、特定区域或达到一定精度和规模的数据，一旦被泄露或篡改、损毁，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全。仅影响组织自身或公民个体的数据一般不作为重要数据。 -
核心数据 core data：对领域、群体、区域具有较高覆盖度或达到较高精度、较大规模、一定深度的重要数据，一旦被非法使用或共享，可能直接影响政治安全。核心数据主要包括关系国家安全重点领域的数据，关系国民经济命脉、重要民生、重大公共利益的数据，经国家有关部门评估确定的其他数据。
-
一般数据 general data：核心数据、重要数据之外的其他数据。个人信息 personal information：以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。 -
行业领域数据 industry sector data：在某个行业领域依法履行工作职责或业务运营活动中收集和产生的数据。 -
组织数据 organization data：组织在自身的业务生产、经营管理和信息系统运维过程中收集和产生的数据。 -
衍生数据 derived data ：经过统计、关联、挖掘、聚合、去标识化等加工活动而产生的数据。
注：核心数据定义演变
（三）数据分类分级原则
《要求》明确要在遵循国家数据分类分级保护要求的基础上，按照数据所属行业领域进行分类分级管理，依据以下原则对数据进行分类分级。
-
科学实用原则：数据分类应从便于数据管理和使用的角度，科学选择常见、稳定的属性或特征作为数据分类的依据，并结合实际需要对数据进行细化分类。
-
边界清晰原则：数据分级的主要目的是为了数据安全，各个数据级别应做到边界清晰，对不同级别的数据采取相应的保护措施。
-
就高从严原则：采用就高不就低的原则确定数据分级，当多个因素可能影响数据分级时，按照可能造成的最高影响对象和影响程度确定数据级别。
-
点面结合原则：数据分级既要考虑单项数据分级，也要充分考虑多个领域、群体或区域的数据汇聚融合后对数据重要性、安全风险等的影响，通过定量与定性相结合的方式综合确定数据级别。
-
动态更新原则：根据数据的业务属性、重要性和可能造成的危害程度的变化，对数据分类分级、重要数据目录等进行定期审核更新。
此外，《基础电信企业数据分类分级方法》等标准指南还提出了安全性原则，稳定性原则、可执行性原则、合理性原则、客观性原则等：
-
合法合规原则：数据分类分级应遵循有关法律法规及部门规定要求，优先对国家或行业有专门管理要求的数据进行识别和管理，满足相应的数据安全管理要求。
-
稳定性原则：分类分级设置在相当长一个时期内是稳定的，对各类数据的涵盖面广，包容性强。
-
可执行性原则：宜避免对数据进行过于复杂的分类分级规划，保证数据分级使用和执行的可行性。后续相关的安全防护要求都在此分类分级的基础上开展。
-
合理性原则：数据级别宜具有合理性，不能将所有数据集中划分一两个级别中，而另外一些没有数据。级别划定过低可能导致数据不能得到有效保护；级别划定过高可能导致不必要的业务开支。
-
客观性原则：数据的分级规则是客观并可以被校验的，即通过数据自身的属性和分级规则就可以判定其分级，已经分级的数据是可以核査的。
-
数据资产梳理：对数据资产进行全面梳理，包括以物理或电子形式记录的数据库表、数据项、数据文件等结构化和非结构化数据资产，明确数据资产基本信息和相关方，形成数据资产清单。
-
数据分类：按照数据分类分级有关要求，建立自身的数据分类规则，对数据进行分类，同时对个人信息、敏感个人信息进行识别和分类。
-
数据分级：按照数据分类分级有关要求，建立自身的数据分级规则，并对数据进行分级。
-
审核上报目录：对数据分类分级结果进行审核和完善，最后批准发布实施，对数据进行分类分级标识，形成数据分类分级清单和重要数据、核心数据目录，按有关程序报送重要数据和核心数据目录等。
-
动态更新管理：根据数据重要程度和可能造成的危害程度变化，对数据分类分级规则、重要数据和核心数据目录、数据分类分级清单和标识等进行动态更新管理，动态更新情形参照附录F。
-
数据按照先行业领域分类、再业务属性分类的思路进行分类：
-
按照业务所属行业领域，将数据分为工业数据、电信数据、金融数据、能源数据、交通运输数据、自然资源数据、卫生健康数据、教育数据、科学数据等行业领域数据。
-
各行业各领域主管（监管）部门根据本行业本领域业务属性，对行业领域数据进行细化分类。常见业务属性包括但不限于：业务领域、责任部门、描述对象、上下游环节、数据主题、数据用途、数据处理、数据来源。
-
如涉及法律法规有专门管理要求的数据类别（如个人信息），应按照有关规定或标准对个人信息、敏感个人信息进行识别和分类。“附录H”给出了个人信息的一级类别、二级类别和相关数据示例.
行业领域开展数据分类时，应根据行业领域数据管理和使用需求，结合本行业本领域已有的数据分类基础，灵活选择业务属性将数据逐级细化分类。行业领域数据分类方法重点考虑以下内容：
a) 明确数据范围：按照行业领域主管（监管）部门职责，明确本行业本领域管理的数据范围。
b) 细化业务分类：对本行业本领域业务进行细化分类，包括：
-
结合部门职责分工，明确行业领域或业务条线分类；
-
按照业务范围、运营模式、业务流程等，细化行业领域或明确各业务条线的关键业务分类；
c) 业务属性分类：按需选择数据描述对象、数据主题、责任部门、上下游环节、数据用途、数据处理、数据来源等业务属性特征，采用线分类法对关键业务的数据进行细化分类。附录A给出了基于数据描述对象的行业领域数据分类参考示例：
d) 确定分类规则：梳理分析各关键业务的数据分类结果，根据行业领域数据管理和使用需求，确定行业领域数据分类规则，例如：
-
可采取“业务条线—关键业务—业务属性分类”的方式给出数据分类规则；
-
也可对关键业务的数据分类结果进行归类分析，将具有相似主题的数据子类进行归类。
-
核心数据一旦被泄露、篡改、破坏或者非法获取、非法利用、非法共享，可能直接危害政治安全、国家安全重点领域、国民经济命脉、重要民生、重大公共利益。 -
重要数据一旦被泄露、篡改、破坏或者非法获取、非法利用、非法共享，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全。 -
一般数据一旦被泄露、篡改、破坏或者非法获取、非法利用、非法共享，仅影响小范围的组织或公民个体合法权益。
-
数据分级要素：影响数据分级的要素，包括数据领域、群体、区域、精度、规模、深度、覆盖度、重要性、安全风险等，其中领域、群体、区域、重要性、安全风险通常属于定性要素，精度、规模、覆盖度属于定量要素，深度通常作为衍生数据的分级要素。 -
影响对象：指数据一旦遭到泄露、篡改、破坏或者非法获取、非法利用、非法共享，可能影响的对象。影响对象通常包括国家安全、经济运行、社会稳定、公共利益、组织权益、个人权益。 -
影响程度：指数据一旦遭到泄露、篡改、破坏或者非法获取、非法利用、非法共享，可能造成的影响程度。影响程度从高到低可分为特别严重危害、严重危害、一般危害。对不同影响对象进行影响程度判断时，采取的基准不同。如果影响对象是组织或个人权益，则以本单位或本人的总体利益作为判断影响程度的基准。如果影响对象是国家安全、经济运行、社会稳定或公共利益，则以国家、社会或行业领域的整体利益作为判断影响程度的基准。
-
首先进行重要数据定级评估，可参考重要数据识别相关标准，重点评估数据一旦被泄露、篡改、损毁或者非法获取、非法使用、非法共享，是否可能直接危害国家安全、经济运行、社会稳定、公共健康和安全，如果符合分级参考规则进一步评估数据是否为核心数据； -
核心数据定级评估可在识别为重要数据的基础上，重点评估数据一旦被泄露、篡改、损毁或者非法获取、非法使用、非法共享，是否可能直接影响政治安全、国家安全重点领域、国民经济命脉、重要民生、重大公共利益。如果符合分级参考规则要求则将数据确定为核心数据，如果不符合则将数据确定为重要数据； -
重要数据、核心数据之外的数据可确定为一般数据，可参考附录G将一般数据共分为2级、3级或4级。
原文始发于微信公众号（鼎信安全）：合规之需，安全之要丨国标《信息安全技术网络数据分类分级要求》(征求意见稿)解读
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论