ICS35.030 CCSL80 中华人民共和国国家标准 GB/T43697—2024 数据安全技术 数据分类分级规则 Datasecuritytechnology—Rulesfordataclassificationandgrading 2024-03-15发布 2024-10-01实施 国家市场监督管理总局 国家标准化管理委员会发布目 次 前言 Ⅲ ………………………………………………………………………………………………………… 引言 Ⅳ ………………………………………………………………………………………………………… 1 范围 1 ……………………………………………………………………………………………………… 2 规范性引用文件 1 ………………………………………………………………………………………… 3 术语和定义 1 ……………………………………………………………………………………………… 4 基本原则 2 ………………………………………………………………………………………………… 5 数据分类规则 2 …………………………………………………………………………………………… 5.1 数据分类框架 2 ……………………………………………………………………………………… 5.2 数据分类方法 3 ……………………………………………………………………………………… 6 数据分级规则 3 …………………………………………………………………………………………… 6.1 数据分级框架 3 ……………………………………………………………………………………… 6.2 数据分级方法 4 ……………………………………………………………………………………… 6.3 数据分级要素 4 ……………………………………………………………………………………… 6.4 数据影响分析 4 ……………………………………………………………………………………… 6.5 级别确定规则 5 ……………………………………………………………………………………… 6.6 综合确定级别 6 ……………………………………………………………………………………… 7 数据分类分级流程 7 ……………………………………………………………………………………… 7.1 行业领域数据分类分级流程 7 ……………………………………………………………………… 7.2 处理者数据分类分级流程 7 ………………………………………………………………………… 附录A(资料性) 基于描述对象与数据主体的数据分类参考 8 ………………………………………… 附录B(资料性) 个人信息分类示例 9 …………………………………………………………………… 附录C(资料性) 数据分级要素识别常见考虑因素 11 …………………………………………………… 附录D(资料性) 安全风险常见考虑因素 13 ……………………………………………………………… 附录E(资料性) 影响对象考虑因素 14 …………………………………………………………………… 附录F(资料性) 影响程度参考示例 16 …………………………………………………………………… 附录G(规范性) 重要数据识别指南 18 …………………………………………………………………… 附录H(资料性) 一般数据分级参考 20 …………………………………………………………………… 附录I(资料性) 衍生数据分级参考 22 …………………………………………………………………… 附录J(资料性) 动态更新情形参考 23 …………………………………………………………………… 参考文献 24 …………………………………………………………………………………………………… ⅠGB/T43697—2024 前 言 本文件按照GB/T1.1—2020《标准化工作导则 第1部分:标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由全国网络安全标准化技术委员会(SAC/TC260)提出并归口。 本文件起草单位:中国电子技术标准化研究院、中国科学技术大学、国家计算机网络应急技术处理 协调中心、国家信息技术安全研究中心、中国信息安全测评中心、中国网络空间研究院、中国网络安全审 查技术与认证中心、国家工业信息安全发展研究中心、国家信息中心、北京市政务信息安全保障中心(北 京信息安全测评中心)、公安部第三研究所、中国信息通信研究院、清华大学、中国人民公安大学、中国科 学院软件研究所、交通运输部科学研究院、杭州安恒信息技术股份有限公司、三六零数字安全科技集团 有限公司、北京抖音信息服务有限公司、北京快手科技有限公司、中国核能行业协会、中国石油化工集团 有限公司、中国银联股份有限公司、中国邮政储蓄银行股份有限公司、阿里巴巴(北京)软件服务有限公 司、蚂蚁科技集团股份有限公司、华为技术有限公司、北京百度网讯科技有限公司、中国移动通信集团有 限公司、中国电信集团有限公司、北京爱奇艺科技有限公司、数库(上海)科技有限公司、北京奇虎科技有 限公司、深信服科技股份有限公司、启明星辰信息技术集团股份有限公司、奇安信科技集团股份有限 公司。 本文件主要起草人:姚相振、左晓栋、胡影、周晨炜、吴梦婷、陈琦、周亚超、上官晓丽、卢磊、任英杰、 陈特、晏慧、杨晨、杨晓伟、李文婷、卓子寒、邢潇、杨韬、李敏、段静辉、许静慧、李媛、任卫红、金波、胡振泉、 耿贵宁、单博深、许皖秀、张敏、晏敏、都婧、杨光、姜伟、杨帅锋、孙岩、刘蓓、郭明多、张夕夜、曹京、芦天亮、 杨骁涵、杨博龙、落红卫、王昕、郝春亮、朱雪峰、沙睿、蒋楠、郭延玲、刘磊、田鑫、张放、朱晨红、彭骏涛、 孙勇、白晓媛、彭晋、常新苗、李实、王海棠、钟舒翔、张骁、张妍婷、江为强、范东媛、杨立宝、许琛超、樊庆君、 张宇光、蓝宇娜、张屹、陆忠明、叶润国、宋博韬、姚卓、宋晓鹏、刘前伟、安锦程。 ⅢGB/T43697—2024 引 言 2021年9月1日,《中华人民共和国数据安全法》正式施行,明确规定“国家建立数据分类分级保护 制度”,提出“根据数据在经济社会发展中的重要程度,以及一旦遭到篡改、损毁、泄露或者非法获取、非 法使用,对国家安全、公共利益或者个人、组织合法权益造成的危害程度,对数据实行分类分级保护”。 开展数据分类分级保护工作,首先需要对数据进行分类分级,识别涉及的重要数据和核心数据,然 后建立相应的数据安全保护措施。本文件在国家数据安全工作协调机制指导下,根据《中华人民共和国 数据安全法》《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》及有关规定,给出了数据 分类分级的通用规则,用于指导各行业领域、各地区、各部门和数据处理者开展数据分类分级工作。 ⅣGB/T43697—2024 数据安全技术 数据分类分级规则 1 范围 本文件规定了数据分类分级的原则、框架、方法和流程,给出了重要数据识别指南。 本文件适用于行业领域主管(监管)部门参考制定本行业本领域的数据分类分级标准规范,也适用 于各地区、各部门开展数据分类分级工作,同时为数据处理者进行数据分类分级提供参考。 本文件不适用于涉及国家秘密的数据和军事数据。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文 件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于 本文件。 GB/T25069—2022 信息安全技术 术语 3 术语和定义 GB/T25069—2022界定的以及下列术语和定义适用于本文件。 3.1 数据 data 任何以电子或者其他方式对信息的记录。 3.2 重要数据 keydata 特定领域、特定群体、特定区域或达到一定精度和规模的,一旦被泄露或篡改、损毁,可能直接危害 国家安全、经济运行、社会稳定、公共健康和安全的数据。 注:仅影响组织自身或公民个体的数据一般不作为重要数据。 3.3 核心数据 coredata 对领域、群体、区域具有较高覆盖度或达到较高精度、较大规模、一定深度的,一旦被非法使用或共 享,可能直接影响政治安全的重要数据。 注:核心数据主要包括关系国家安全重点领域的数据,关系国民经济命脉、重要民生、重大公共利益的数据,经国家 有关部门评估确定的其他数据。 3.4 一般数据 generaldata 核心数据、重要数据之外的其他数据。 3.5 个人信息 personalinformation 以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息。 3.6 敏感个人信息 sensitivepersonalinformation 一旦泄露或者非法使用,容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。 1GB/T43697—2024 3.7 行业领域数据 industrysectordata 在某个行业领域内依法履行工作职责或开展业务活动中收集和产生的数据。 3.8 公共数据 publicdata 各级政务部门、具有公共管理和服务职能的组织及其技术支撑单位,在依法履行公共事务管理职责 或提供公共服务过程中收集、产生的数据。 3.9 组织数据 organizationdata 组织在自身生产经营活动中收集、产生的不涉及个人信息和公共利益的数据。 3.10 衍生数据 deriveddata 经过统计、关联、挖掘、聚合、去标识化等加工活动而产生的数据。 3.11 数据处理者 d