信安標委發(fā)布《網絡安全標準實踐指南——網絡數(shù)據分類分級指引》
2021年12月31號，全國信息安全標準化技術委員會秘書處發(fā)布了《網絡安全標準實踐指南——網絡數(shù)據分類分級指引》，給出了網絡數(shù)據分類分級的原則、框架和方法。
導 讀
《網絡安全標準實踐指南——網絡數(shù)據分類分級指引》（以下簡稱《實踐指南》）依據法律法規(guī)和政策標準要求，給出了網絡數(shù)據分類分級的原則、框架和方法，可用于指導數(shù)據處理者開展數(shù)據分類分級工作，也可為主管監(jiān)管部門進行數(shù)據分類分級管理提供參考。
《實踐指南》包含正文及3個附錄：
- 正文分為范圍、術語定義、數(shù)據分類分級原則、數(shù)據分類分級框架、數(shù)據分類方法、數(shù)據分級方法、數(shù)據分類分級實施流程；
- 附錄分為組織經營維度數(shù)據分類參考示例、敏感個人信息分類示例、部分行業(yè)數(shù)據分類分級參考示例。
《實踐指南》提出，數(shù)據分類分級原則包括：
- 合法合規(guī)原則；
- 分類多維原則；
- 分級明確原則；
- 從高就嚴原則；
- 動態(tài)調整原則。
數(shù)據分類分級框架中，《實踐指南》提出：
- 常見的數(shù)據分類維度包括公民個人維度、公共管理維度、信息傳播維度、組織經營維度、行業(yè)領域維度；
- 從國家數(shù)據安全角度可將數(shù)據分為一般數(shù)據、重要數(shù)據、核心數(shù)據共三個級別；
- 建議數(shù)據處理者優(yōu)先按照基本框架進行定級，在基本框架定級的基礎上也可結合行業(yè)數(shù)據分類分級規(guī)則或組織生產經營需求，對一般數(shù)據進行細化分級。
《實踐指南》提出，數(shù)據分類分級實施流程包括：
- 數(shù)據資產梳理；
- 數(shù)據分類；
- 數(shù)據定級；
- 審核標識管理；
- 數(shù)據分類分級保護。
其中數(shù)據分類流程包括：
- 識別是否存在法律法規(guī)或主管監(jiān)管部門有專門管理要求的數(shù)據類別，并對識別的數(shù)據類別進行區(qū)分標識；
- 從行業(yè)領域維度，確定待分類數(shù)據的數(shù)據處理活動涉及的行業(yè)領域；
- 完成上述數(shù)據分類后，數(shù)據處理者可采用線分類法對類別進一步細分。
數(shù)據定級流程包括：
- 按照國家和行業(yè)領域的核心數(shù)據目錄、重要數(shù)據目錄，依次判定是否核心數(shù)據、重要數(shù)據，如是則按照就高從嚴原則定為核心數(shù)據級、重要數(shù)據級，其他數(shù)據定為一般數(shù)據；
- 國家和行業(yè)核心數(shù)據、重要數(shù)據目錄不明確時，可參考核心數(shù)據、重要數(shù)據認定的規(guī)定或標準，分析數(shù)據一旦遭到篡改、破壞、泄露或者非法獲取、非法利用的危害對象和危害程度；
- 按照一般數(shù)據分級規(guī)則或者所屬行業(yè)共識的數(shù)據分級規(guī)則對一般數(shù)據進行定級，確定一般數(shù)據細分級別；
- 如果數(shù)據屬于個人信息，應識別敏感個人信息、一般個人信息，對個人信息進行定級。
關于發(fā)布《網絡安全標準實踐指南——網絡數(shù)據分類分級指引》的通知
各有關單位：
為貫徹落實《數(shù)據安全法》提出的“國家建立數(shù)據分類分級保護制度”要求，指導數(shù)據處理者開展數(shù)據分類分級工作，秘書處組織編制了《網絡安全標準實踐指南——網絡數(shù)據分類分級指引》。
本《實踐指南》依據法律法規(guī)和政策標準相關要求，給出了網絡數(shù)據分類分級的原則、框架和方法。全文請點擊附件下載。
全國信息安全標準化技術委員會秘書處
2021年12月31日
附件：《網絡安全標準實踐指南——網絡數(shù)據分類分級指引》
（來源：信安標委等）
