ICS27.100 CCS F20 T/CEPPC 体 标 团 准 T/CEPPC 23—2024 口 CEPPO 发电企业数据分类分级方法 Methods for classification and gradation of power generation enterprise data 2024-12-2 发布 2024-12-2实施 中国电力发展促进会 发布 目次 力发展公 言 言 1 范围 2规范性引用文件 3术语和定义 4分类分级原则 5数据分类， .2 6数据分级. 6.1数据级别 6.2分级方法 6.3分级要素 6.4影响分析 6.5分级参考规则 6.6综合确定级别 附 录 A (资料性) 发电企业数据分类分级参考示例 附录 B (资料性) 安全风险常见考虑因素 18 附录 c (资料性) 影响程度参考示例. .19 附 录 D (资料性) 衍生数据定级参考 21 参考文献 前言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利，本文件的发布机构不承担识别专利的责任。 本文件由中国电力发展促进会提出并归口。 本文件起草单位：国能信控技术股份有限公司、中国电力发展促进会、中国软件评测中心、ft东核电 有限公司、华北电力大学、长扬科技（北京）股份有限公司、北京云集至科技有限公司、杭州安恒信息 技术股份有限公司、北京熙宁赫科技有限公司、国家能源集团数据中心、国家能源集团ft西电力有限公 司、国家能源集团ft西电力有限公司霍州发电厂、国家能源集团江苏电力有限公司、国能江西新能源产 业有限公司、华电辽宁能源发展股份有限公司、北京华电博瑞电力自动化工程技术有限公司、北京睿数信 安科技有限公司、北京毅通信息技术有限公司 本文件主要起草人：卢宝林、程杰、高柱、李航、刘楷、汪义舟、张良、杨国柱、朱宏杰、徐宁、 何磊、马祎静、胡药、赵华、崔康、高彦超、余康、尚清保、崔永吉、张传升、马红星、王艳丽、刘曙元、 唐刚、郑班超、上官岗、于伟东、赵佩崎、黄涛、王皓、张健、杨林、黄、张妍、李鼻然、李增辉、姜 玉琳、刘琳、高宠博、李陟峰、田昊昕、周英、齐稚。 CEPPC 引 言 2021年9月1日，《中华人民共和国数据安全法》正式施行，明确规定“国家建立数据分类分级保 护制度”，提出“根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、损毁、泄露或者非法获取、 非法使用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护” 2024年，国家标准管理委员会发布《GB/T43697-2024数据安全技术数据分类分级规则》，给出 了分类分级的通用规则，指导各行业领域开展数据分类分级工作。 开展数据分类分级保护工作，首先需要对数据进行分类分级，识别涉及的核心数据和重要数据，然后 建立相应的数据安全保护措施。发电行业作为国家能源体系的基础核心组成部分，是保障国家能源安全、维 护社会稳定的重要保障行业。发电企业的数据，除了个人隐私和常规企业运营相关数据以外，还存在具备发电 企业特有的生产和运营数据， 与通用的分类分级有较大不同。制定本分类分级方法文件，可方便发电企业更好 地组织和管理海量数据，保障发电企业的数据和隐私安全，优化企业运营效率和决策，消除数字鸿沟，更好的推 进数据共享和数字化转型。 CEPPC II 发电企业数据分类分级方法 1 范围 本文件规定了发电企业数据分类分级的原则、过程、方法，并给出了分类和分级的示例。 本文件适用于发电企业数据分类分级管理。 2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改版）适用于本文 件。 GB/T31464-2022电网运行准则 GB/T43697-2024数据安全技术数据分类分级规则 3术语和定义 3. 1 发电企业 power generation enterpris 并入电网运行(拥有单个或数个发电厂)的发电公司，或拥有发电厂的电力企业。 [来源：GB/T 31464-2022,3.1.5] 3. 2 重要数据key data 特定领域、特定群体、特定区域或达到一定精度和规模的， -旦被泄露或篡改、损毁，可能直接危害国 家安全、经济运行、社会稳定、公共健康和安全的数据 注：仅影响组织自身或公民个体的数据一般不作为重要数据。 ［来源：GB/T43697-2024,3.2] 3.3 核心数据core data 对领域、群体、区域具有较高覆盖度或达到较高精度、较大规模、一定深度的，一旦被非法使用或 共享，可能直接影响政治安全的重要数据。 注：核心数据主要包括关系国家安全重点领域的数据，关系国民经济命脉，重要民生，重大公共利益的数据，经国家有关部门 评估确定的其他数据。 ［来源：GB/T43697-2024,3.3] 3. 4 一般数据 general data 核心数据、重要数据之外的其他数据，分为：敏感数据、内部数据、公开数据。 注1：敏感数据为数据一旦被泄露或篡改、损毁，可能直接给公共利益产生轻微危害，给企业权益和个人权益造成特别严 重危害或严重危害的数据。 注2：内部数据为数据一旦被泄露或篡改、损毁，可能直接给企业权益和个人权益造成一般危害或轻微危害的数据。 ［来源：GB/T43697-2024,3.4有修订］ 注3：公开数据为发电企业可以对外公开的数据。 [来源：GB/T43697-2024,3.4有修订］ 4分类分级原则 发电企业数据分类分级应遵循以下原则： a) 科学实用原则：从便于数据管理和使用的角度，科学选择常见、稳定的属性或特征作为数据分 类的依据，并结合实际需要对数据进行细化分类。 b) 边界清晰原则：数据分级的各个数据级别应做到边界清晰，对不同级别的数据采取相应的保护 措施。 c）就高从严原则：当多个因素可能影响数据分级时，按照可能造成的各个影响对象的最高影响程 度确定数据级别。 d）点面结合原则：数据分级既要考虑单项数据分级，也要充分考虑多个领域、群体或区域的数据 汇聚融合后对数据重要性、安全风险等的影响，综合确定数据级别。 e）动态更新原则：根据数据量、数据内容等的变动情况、业务属性、重要性和可能造成的危害程 度的变化，对已经分类、分级的数据，定期进行类别、级别的适用性评估，更新数据类别、级别，并 更新重要数据和核心数据目录等。 5数据分类 发电企业将数据分为基础数据、经营管理数据、业务数据、其他数据四个类别。 基础数据：指在业务开展过程中收集和产生的最基础、最原始的数据，是可被整个组织或系统共享的数 据，如企业基本数据、企业组织结构数据等； 经营管理数据：指在经营和内部管理过程中收集和产生的数据，如人资管理数据、经营管理数据、 发展规划数据等； 业务数据：指在研发、生产业务开展过程中收集和产生的数据，如设计研发数据、生产运行数据等；其他 数据：指除基础数据、经营管理数据、业务数据以外的数据，如系统运维数据和网络安全数据 等。 根据发电企业数据业务价值和数据应用场景大小，发电企业可进一步根据业务的类型、流程、规 模和特性等因素，在整体四个类别的基础上，对每个类别细分为三个层级的子类，最终形成企业数据 目录，发电企业数据分类参考示例见附录A。 6数据分级 6.1数据级别 根据数据在经济社会发展中的重要程度，以及一旦遭到泄露、篡改、破坏或者非法获取、非法使用、非 法共享，对国家安全、经济运行、社会秩序、公共利益、企业权益及个人权益造成的危害程度，可将数据级 别从高到低分为核心数据、重要数据、一般数据三类，并将一般数据进一步划分为敏感数据、内部数据、公开 数据，即5个数据级别为：核心数据L5、重要数据L4、敏感数据L3、内部数据L2、公开数据L1。 6.2分级方法 数据分级通过定量与定性相结合的方式，首先确定数据分级对象并识别数据分级要素，然后开展数 据影响分析，确定数据一旦遭到泄露、篡改、损毁或者非法获取、非法使用、非法共享，可能影响的对象 和影响程度，最终综合确定数据级别，可参考以下步骤进行数据分级。 a)确定分级对象：将定义的分类数据作为数据分级对象。 b）分级要素识别：结合自身数据特点，识别数据涉及的分级要素。 2