数字技术数据数据资源分类分级指南(T-CIITA 409—2022).pdf

《数字技术数据数据资源分类分级指南(T-CIITA 409—2022).pdf》由会员分享，可在线阅读，更多相关《数字技术数据数据资源分类分级指南(T-CIITA 409—2022).pdf（16页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、T/CIITA 409-2022数数字字技技术术 数数据据 数数据据资资源源分分类类分分级级指指南南ICS 35.020CCS L 70团团体体标标准准T/CIITA 409-2022D Di ig gi it ta al l t te ec ch hn no ol lo og gy yD Da at ta aG Gu ui id de el li in ne es s f fo or r c cl la as ss si if fi ic ca at ti io on n a an nd d g gr ra ad di in ng go of f d da at ta a r re es s

2、o ou ur rc ce es s2022-12-28 发布2023-01-01 实施中国信息产业商会 发布CIITACIITAT/CIITA 409-2022T/CIITA 409-2022I目次前言.III数字技术 数据 数据资源分类分级指南.11 范围.12 规范性引用文件.13 术语和定义.14 总则.35 分类.45.1 分类原则.45.2 分类维度.45.3 分类方法.46 分级.56.1 分级原则.56.2 分级要点.66.3 分级内容.66.4 分级方法.67 分级管控措施.78 分类分级实施流程.8参考文献.10T/CIITA 409-2022T/CIITA 409-202

3、2III前言本文件按照 GB/T 1.12020 标准化工作导则 第 1 部分：标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由中国信息产业商会团体标准专业委员会提出并归口。本文件起草单位：中国电子信息产业集团有限公司、中电数创（北京）科技有限公司、中国电子系统技术有限公司、北京捷报金峰数据技术有限公司、南京大物移云数据科技有限公司、北京千里马网信科技有限公司、北京瑞谷拜特软件技术有限公司、清华大学、北京大数据研究院、南京熊猫电子股份有限公司、视联动力信息技术股份有限公司。本文件主要起草人：陆志鹏、国丽、胡成盛、杨二龙、王

4、国娟、郑海涛、杨文刚、李保珍、余臻、孔新兵、王剑波、王福强、王晓亮、朱立锋、郑曦、温彦龙、修心、范国浩、章纯梓、胡俊、谢冬水、杨梦歌、郭旭周、方东。T/CIITA 409-20221数字技术 数据 数据资源分类分级指南1范围本文件给出了数据资源分类分级总则、分类分级方法、分级管控措施以及分类分级的实施流程。本文件适用于数据要素金库的设计、建设和运行过程中，对数据资源的分类分级进行管理，也可以为政府、组织和企业在开放和共享本单位数据资源时，构建科学合理的分类分级体系提供指导。使用数字技术的其他相关工作，可参考使用。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其

5、中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 5271.12000信息技术 词汇 第1部分：基本术语GB/T 38667信息技术 大数据 数据分类指南T/CIITA 4062022数据元件的结构要求3术语和定义下列术语和定义适用于本文件。3.1数据 data信息的可再解释的形式化表示，以适用于通信、解释或处理。来源：GB/T 5271.12000，01.01.023.2数据资源 data resources在生产、生活和管理等社会活动中以数字化形式留存的信息资源。来源：T/CIITA 4062022，3.93.3

6、数据要素金库 vault of data elements由主管部门监管，统一标准、自主可控、安全可靠的数据基础设施。注：用于核心数据、重要数据、敏感数据和数据元件的存储计算和互联互通。主要应用于政府、组织、行业和大型企业。T/CIITA 409-202223.4分类维度 dimension of classification用于实现分类的数据所具有的某个或某些共同特征。来源：GB/T 386672020，3.63.5分类方法 methodof classification根据选定的分类维度，将数据类别以某种形式进行排列组织的逻辑方法。来源：GB/T 386672020，3.73.6数据资源分

7、类 classification of data resource根据数据资源的属性或特征，将其按照一定的原则和方法进行区分和归类，并建立起一定的分类体系和排列顺序，以便更好地管理和使用数据资源的过程。3.7数据资源分级 grading of data resources按照一定的分级原则和方法，对分类后的数据资源进行定级的过程。3.8政府数据 government data行政机关在履行相应职责过程中生产、采集、加工、使用和管理的数据。3.9组织数据 organization data公共企事业单位在业务生产、经营管理和信息系统运维过程中收集和产生的数据。3.10企业数据 enterpris

8、e data企业在经营活动中产生的各类数据。注：如生产销售、存储运输、运营管理、财务纳税、负债投资以及履行社会责任等。3.11个人数据 personal data以电子或者其他方式记录的与已识别，或者可识别的自然人有关的各种信息，不包括匿名化处理后的数据。3.12T/CIITA 409-20223个人信息 personal information以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。注1：个人信息包括姓名、出生日期、身份证件号码、个人生物识别信息、住址、通信通讯联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、

9、住宿信息、健康生理信息、交易信息等。注2：个人信息控制者通过个人信息或其他信息加工处理后形成的信息，例如,用户画像或特征标签,能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的，属于个人信息。来源：GB/T 352732020，3.1，有修改3.13数据主体 subject of data数据内容所标识或关联的主体对象。3.14数据持有主体 subject of controlling data对数据进行采集、处理、存储和管理的法人或自然人。4总则明确数据的主体，是数据资源分类分级工作的基础。可从多维度、多角度对数据进行类别和级别的划分，不同的分类维度也会有不同的划分方法

10、。为合理进行数据要素金库的建设，有效的归集并安全的管理国家的核心或重要数据，主要从数据主体的分类维度和数据重要性影响因素出发，确定数据分类分级标准。在具体分类分级工作中，可基于本文件的分类分级方法，结合其他相关标准进行细化扩展。从数据的产生、数据的处理和数据的存储等过程来看，数据的主体相对复杂，主体之间有着紧密的联系。按照数据主体的性质，将数据的主体划分为以下四类。政府：是指具有统治和社会管理职能，行使国家权力的所有机关，涵盖立法、行政和司法机关。如公安、交通税务、社保、金融、统计等政府职能部门。组织：是指依照法律规定承担社会公共服务职能，具有公益性质，直接关系人民群众身体健康和生命安全的公共

11、企事业单位。主要包括学校、医院，供水、供电、供气、供热、环境保护、公共交通等领域的企事业单位，以及非营利性社会团体、协会等。注：本文件所称组织，是较为狭义的概念，主要涵盖除财政拨款的政府部门和以盈利为主要目的企业这二者之外的，与公共利益紧密相关的社会机构。部分机构由于其性质较为特殊，如私营的学校和医院，为便于应用，一般也将其归入此类。企业：是指主要以盈利为目的，运用各种生产要素（土地、劳动力、资本、技术等）向市场提供商品或服务，实行自主经营、自负盈亏、独立核算的法人单位。个人：是指作为民事主体存在的自然人个体。T/CIITA 409-202245分类5.1分类原则应在充分考虑数据资源被要求有效

12、归集和管理，依据以下原则对数据资源进行分类。a)科学性原则。按照数据资源的多维特征及相互间客观存在的逻辑关联，进行科学和系统化地分类。b)稳定性原则。数据资源的分类，应以数据资源目录中的各种数据分类方法为基础，并以数据资源最稳定的特征和属性为依据，制定分类方案，以而确保与国家数据分类体系的统一。c)实用性原则。数据资源分类，应确保每个类目下具有数据资源，不设立没有意义的类目，数据类目的划分应符合用户对数据资源分类的普遍认识。d)扩展性原则。数据资源分类的方案，在总体上应具有概括性、包容性和动态性，以满足将来可能出现的数据资源类型。e)兼容性原则。应充分考虑国内外相关标准的应用实践情况，与其他标

13、准协调一致。5.2分类维度从数据产生的过程和特点来看，数据主体和数据持有主体往往是不一致的。根据数据的依附对象，分为数据主体和数据持有主体两类。数据主体和数据持有主体分别包括政府、组织、企业和个人四大类。按照数据主体和数据持有主体两方面，对数据资源进行分类的情况，见图1。图 1 对数据资源进行分类的情况5.3分类方法5.3.1 按数据主体分类将数据资源按数据主体进行分类，可便于明确数据权属，从而在数据使用过程中，保障数据权属方的利益。数据资源按照数据主体的分类，包括以下四大类。a)政府数据：是数据主体类型为政府，政府依法有权对其进行处置、利用的数据。涉及公共利益的数据，如空间地理、气象水文等，

14、因其公共资源的属性，为便于T/CIITA 409-20225应用管理，将其数据主体统一归为政府，即此类数据划为政府数据。根据政府服务和管理相关职能的特点，政府数据主要包括以下几类：1)因政府的管理和服务活动而产生的数据，如土地规划、市政设施建设、交通设施建设、旅游景点开发、住宅房产建设、市场监管等；2)因政府的管理和服务需要而采集的数据，如气象信息、地理信息、空气质量信息等；3)因政府的管理和服务需要而汇总的统计数据，如人口统计、经济统计、社会状况统计等。b)组织数据：是公共企事业单位在业务生产、经营管理和信息系统运维过程中收集和产生的数据。包括供水、供电、供气、供热、教育、医疗和公共交通等数

15、据。其中，涉及到个人受教育、医疗健康、出行，以及个人（家庭）或企业用水、用电和用气等数据，不属于组织数据。因社会组织为服务政府、服务社会公共事业的职能活动而产生的数据，属于组织数据。c)企业数据：是企业经营活动中产生的各类数据。如生产销售、存储运输、运营管理以及财务纳税、负债投资和履行社会责任等。企业因业务经营而采集的个人信息和环境信息等，不属于企业数据。d)个人数据：个人数据包括生物识别、身体健康等基本数据，以及个人进行社会生活、生产相关而产生的交通出行、通信、住宿、购物消费和收入纳税等数据。5.3.2 按数据持有主体分类将数据资源按照持有的主体进行分类，以便于明确数据的来源，为管理数据提供

16、依据。数据资源按照持有数据的主体不同，可分为以下四大类。a)政府持有数据：是政府相关部门根据自身职能而管理的数据。政府部门除管理数据主体为自身的数据外，还包括因自身职责职能需要而采集的个人、企业和组织数据。如个人户籍数据、房产数据、社保数据，企业纳税数据，组织的规划建设数据等。b)组织持有数据：是由公共企事业单位持有管理的数据。组织除管理自身运营产生的数据外，还管理个人和企业部分数据。如教育、医疗、电网等相关数据。c)企业持有数据：是企业经营管理产生的数据和因业务需要而采集的涉及个人、组织和政府的数据。如个人的出行、消费数据，组织和政府的位置数据等。d)个人持有数据：是个人的社会生活而生成的数

17、据，包括作为个人成为市场主体的组成部分（即个体工商户）生产的数据。6分级6.1分级原则应在遵循国家相关法律法规要求的基础上，依据以下原则进行分级。a)可行性原则。按照数据全生存周期的安全需求和合规性，确定数据的安全等级，避免进行过于复杂的分级规划，保证分级使用和执行的可行性。b)从严性原则。采用就高不就低的原则确定数据分级，当多个因素可能影响数据分级时，按照可能造成的最高影响对象和影响程度确定数据级别。c)实用性原则。应确保分级的结果，能够为数据资源全生存周期的安全策略，提供T/CIITA 409-20226有效的决策信息，并避免对数据资源进行过于复杂的分级规划，保证使用和执行数据的分级具有可

18、行性。d)扩展性原则。数据源端各公共管理和服务机构，可根据自身管理数据的需要，例如战略需要、业务需要、对风险的接受程度等，按照数据分级的方法，自主确定更多的数据层级并定级，但不应将高敏感度的数据定为低敏感度的级别。e)客观性原则。数据的分级规则，是客观并可以被校验的，即通过数据自身的属性和分级规则，判定其分级。已经分级的数据，应可以被复核和检查。6.2分级要点分级过程中，应注意以下方面。a)聚焦数据资源本身。对数据资源泄露或损坏的影响，应基于数据资源完全泄露或损坏来考虑，而不应基于已有任何技术的防护措施来考虑。b)识别国家重要数据。对国家重要数据保护，应遵从相关法律法规要求，采用相应的安全保护

19、措施，在数据资源分级中从高考虑。c)关注个人信息和商业秘密安全。对个人信息和商业秘密保护，应遵从相关法律法规要求，要高度重视数据交易或业务相关的个人信息和商业秘密保护，在数据资源分级中从高考虑。d)合理选择分级要素。影响数据资源分级的要素，包括数据领域、影响程度、影响范围、安全风险等定性要素，同时还包括精度、规模、活跃度、覆盖度等定量要素。e)评估预测影响后果。安全属性和数据质量是信息安全风险评估中的重要参考属性，针对数据资源分级，数据资源安全属性和数据质量遭到破坏后可能造成的影响范围和影响程度，是确定数据资源级别的重要判断依据，推荐采用。6.3分级内容应根据数据资源分级的要点对于国家安全、社

20、会稳定和公民安全的重要程度，以及数据是否涉及国家重要数据、企业或个人权益等，从高到底，将数据资源划分为以下四级。a)级，即核心数据，是指严重影响国家安全或社会稳定，数据仅针对特殊人员且仅为必须知悉的对象访问或使用。注：关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度。b)级，包括影响或者可能影响国家安全或社会稳定的重要数据，以及涉及到个人敏感信息的数据，数据仅限内部人员访问或使用。c)级，包括经处理后不直接影响国家安全或社会稳定的一般数据，以及涉及到个人非敏感信息的数据。数据经处理后可在一定范围内使用。d)级，即公开数据，是指依照国家法律法规或相

21、关政策的应对社会公开的数据。6.4分级方法6.4.1 政府持有数据的分级方法按照不同的数据主体进行划分。分级的方法，见表1。T/CIITA 409-20227表 1 政府持有数据的分级方法数据持有主体数据主体数据级别政府组织企业个人政府核心数据核心数据核心数据级重要数据重要数据重要数据敏感数据级一般数据一般数据一般数据非敏感数据级公开数据公开数据公开数据级注：标“”处表示该数据持有主体通常不持有此级别的数据。6.4.2 组织持有数据的分级方法按照数据的不同数据主体进行划分。分级方法，见表2。表 2 组织持有数据的分级方法数据持有主体数据主体数据级别政府组织企业个人组织核心数据级重要数据重要数据

22、重要数据敏感数据级一般数据一般数据一般数据非敏感数据级公开数据公开数据公开数据级注：标“”处表示该数据持有主体通常不持有此级别的数据。6.4.3 企业持有数据的分级方法按照数据的不同数据主体进行划分。分级方法，见表3。表 3 企业持有数据的分级方法数据持有主体数据主体数据级别政府组织企业个人企业核心数据级重要数据重要数据重要数据敏感数据级一般数据一般数据一般数据非敏感数据级公开数据公开数据公开数据级注：标“”处表示该数据持有主体通常不持有此级别的数据。6.4.4 个人持有数据的分级方法按照数据的不同数据主体进行划分。分级方法，见表4。表 4 个人持有数据的分级方法数据持有主体数据主体数据级别政

23、府组织企业个人个人级重要数据重要数据敏感数据级一般数据一般数据一般数据非敏感数据级公开数据公开数据公开数据级注：标“”处表示该数据持有主体通常不持有此级别的数据。7分级管控措施T/CIITA 409-20228根据不同主体持有数据的分级结果，决定该级别的数据是否适合入库，以及对该级别的数据进行开放和共享前是否需要脱敏（包括逻辑数据运算等处理方式）处理等。不同数据等级的管控措施，见表5。表 5 不同级别数据资源的管控措施级别代号级别名称数据安全管控措施I级公开数据公开数据可依照法律法规，在合理的范围内进行处理级一般数据政府、组织、企业的一般数据应加密存储，开放和共享应当通过技术和管理手段降低数据

24、汇聚、整合、分析的过程导致不宜公开的信息泄露的风险；不符合中华人民共和国个人信息保护法第十三条规定的，应对个人信息进行匿名化脱敏处理。个人信息存储期限应为实现个人信息主体授权使用的目的所必需的最短时间，法律法规另有规定或者个人信息主体另行授权同意的除外；超出上述个人信息存储期限后，应对个人信息进行删除或匿名化处理。个人信息采集后宜立即进行去标识化处理，并采取技术和管理方面的措施，将可用于恢复识别个人的信息与去标识化后的信息分开存储并加强访问和使用的权限管理级重要数据政府、组织、企业的重要数据应加密存储，开放或共享此类级别数据应有严格的核准制度支撑，未获批准的组织和个人不得获取此级别数据；个人敏

25、感信息在满足个人信息入库要求的前提下，应加密存储。其中个人生物识别信息应与个人身份信息分开存储，原则上不应存储原始个人生物识别信息（如样本、图像等），仅存储个人生物识别信息的摘要信息级核心数据政府、组织、企业的核心数据应加密并单独保存防护，原则上不开放和共享8分类分级实施流程开展数据资源分类分级工作时，可按照图 2 所示，实施的流程。图 2 数据资源分类分级的实施流程T/CIITA 409-20229分类分级的实施流程，具体包括以下步骤。a)数据资源信息的梳理：对数据资源的元数据信息进行梳理，包括数据资源名称、类型、区域范围、时间范围等。b)数据资源的分类：根据数据资源分类的相关要求，对数据资

26、源进行合理分类。一般包括以下方面的工作：1)考虑实际业务工作需要，选取合适的分类维度，包括但不限于数据主体和数据持有主体等方面；2)充分依托各行业各领域现有的分类标准和应用实践，建立基于数据资源的分类规则体系；3)结合数据资源信息梳理结果，开展数据资源分类，建立类别映射关系，形成数据资源分类成果；4)根据实际业务需要，可对数据资源各分类类别进行细分扩展，满足不同场景下的应用要求。c)数据资源的分级：按照数据资源分级的相关要求，对数据资源进行分级。一般包括以下方面的工作。1)基于数据资源的分级原则和要点，合理选择并识别影响数据资源定级的关键要素；2)充分依托各行业各领域现有的分级标准和应用实践，

27、建立基于数据资源的分级规则体系；3)基于数据主体和数据持有主体的角度，从影响范围、影响对象、影响程度等方面评估数据资源的安全风险情况，对数据资源进行合理定级；4)考虑实际工作要求，如有需要可对数据资源定级结果进行细化扩展，满足安全监管相关规定。d)分类分级的审核：对数据分类、分级的结果，进行审核和完善，复核数据资源定级过程和结果，对不合理的分类、分级结果，进行调整。e)分类分级的发布：分类、分级结果的发布和实施。相关单位据此开展数据资源使用、管理和监管。f)分类分级的更新：根据数据资源所包含信息的变化情况，调整数据资源的分类、分级，定期开展安全风险评估等动态管理。T/CIITA 409-202

28、210参考文献1 GB/T 7027信息分类和编码的基本原则与方法2 GB/T 352952017信息技术大数据术语3 GB/T 379882019信息安全技术数据安全能力成熟度模型4 中华人民共和国国民经济和社会发展第十四个五年规划和2035年远景目标纲要5“十四五”数字经济发展规划（国发202129号）6 关于加强数字政府建设的指导意见（国发202214号）7 公共企事业单位信息公开规定制定办法（国办发202050号）8 中华人民共和国全国人民代表大会常务委员会.中华人民共和国网络安全法.2016年11月7日.9 中华人民共和国国务院令.中华人民共和国认证认可条例.2020年11月28日.10 中华人民共和国全国人民代表大会常务委员会.中华人民共和国数据安全法.2021年6月10日.11 中华人民共和国全国人民代表大会常务委员会.中华人民共和国个人信息保护法.2021年8月20日.12 关于开展数据安全管理认证工作的公告（国家市场监督管理总局、国家互联网信息办公室联合印发，2022年第18号）_