網上投稿
2024年3月21日，國家標準GB/T 43697-2024《數據安全技術數據分類分級規則》（“規則”）正式發布，并將于2024年10月1日起正式實施。規則規定了數據分類分級的原則、框架、方法和流程，給出了重要數據識別指南，既適用于行業領域主管（監管）部門參考制定本行業本領域的數據分類分級標準規范，也適用于各地區、各部門開展數據分類分級工作，同時為企業進行數據分類分級提供參考。
在規則發布之前，重要數據的判斷標準主要依靠《網絡數據安全管理條例（征求意見稿）》《數據出境安全評估辦法》《信息安全技術重要數據識別指南（征求意見稿）》等文件。經過近幾年的行業實踐和探索，國家終于在數據安全和數據治理層面，特別是重要數據識別問題上，向前邁出了堅實的一步。規則提出要遵循國家數據分類分級保護要求，按照數據所屬行業領域進行分類分級管理。企業需要在數據分類分級的基礎上，開展重要數據的識別與合規管理工作。
（1） 數據分類。按照“先行業領域分類、再業務屬性分類”的思路進行分類，將數據分為工業數據、電信數據、金融數據、能源數據、交通運輸數據、自然資源數據、衛生健康數據、教育數據、科學數據等。
（2） 數據分級。根據數據在經濟社會發展中的重要程度，以及一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，對國家安全、經濟運行、社會秩序、公共利益、組織權益、個人權益造成的危害程度，將數據從高到低分為核心數據、重要數據、一般數據三個級別。
一、 重要數據識別十大要素
根據規則，重要數據是指特定領域、特定群體、特定區域或達到一定精度和規模的，一旦被泄露或篡改、損毀，可能直接危害國家安全、經濟運行、社會穩定、公共健康和安全的數據，僅影響組織自身或公民個體的數據一般不作為重要數據。企業重要數據的識別應建立數據分類分級的基礎上，并從如下十大要素進行識別：
二、工業企業數據分類分級的法律要求與重要數據的識別步驟
工業和信息化部早在2020年就發布《工業數據分類分級指南（試行）》，要求“工業企業結合生產制造模式、平臺企業結合服務運營模式，分析梳理業務流程和系統設備，考慮行業要求、業務規模、數據復雜程度等實際情況，對工業數據進行分類梳理和標識，形成企業工業數據分類清單；根據不同類別工業數據遭篡改、破壞、泄露或非法利用后，可能對工業生產、經濟效益等帶來的潛在影響，將工業數據分為一級、二級、三級等3個級別?！?2022年《工業和信息化領域數據安全管理辦法》進一步規定，工業和信息化部組織制定工業和信息化領域數據分類分級、重要數據和核心數據識別認定、數據分級防護等標準規范，指導開展數據分類分級管理工作，制定行業重要數據和核心數據具體目錄并實施動態管理。2024年2月工業和信息化部發布了《工業領域數據安全能力提升實施方案（2024—2026年）》要求，到2026年底，工業領域數據安全保障體系基本建立，開展數據分類分級保護的企業超4.5萬家，至少覆蓋年營收在各?。▍^、市）行業排名前10%的規上工業企業。其他工業領域數據法規還包括：《工業和信息化領域數據安全風險評估實施細則（試行）》《工業互聯網數據安全保護要求》《智能制造 工業數據分類原則》《工業互聯網企業網絡安全 第4部分：數據防護要求》《工業和信息化領域數據安全行政處罰裁量指引（試行）》等，初步形成了工業數據的分類分級法規體系。
工業企業在進行重要數據識別之前，應在遵循如上國家和行業領域數據分類分級要求的基礎上，參考規則中的如下步驟開展分類分級與重要數據識別與合規管理工作。
（1） 數據資產梳理：對數據資產進行全面梳理，確定待分類分級的數據資產及其所屬的行業領域。
（2） 制定內部規則：按照行業領域數據分類分級標準規范，結合處理者自身數據特點，參考本文件制定自身的數據分類分級細則：
l 如行業領域主管部門已制定行業領域數據分類分級規則，處理者應結合自身實際參考本文件的數據分類分級方法，按照行業領域數據分類分級規則細化執行；
l 如所屬行業領域沒有行業主管部門認可的數據分類分級標準規范的，或存在行業領域規范未覆蓋的數據類型，按照本文件進行數據分類分級；
l 如果業務涉及多個行業領域，可在參考本文件的基礎上，分別按照各個行業領域的數據分類分級標準規范細化執行。
（3）實施數據分類：對數據進行分類，并對公共數據、個人信息等特殊類別數據進行識別和分類。
（4）實施數據分級：對數據進行分級，確定核心數據、重要數據和一般數據的范圍。
（5） 審核上報目錄：對數據分類分級結果進行審核，形成數據分類分級清單、重要數據和核心數據目錄，并對數據進行分類分級標識，按有關程序報送目錄。
（6） 動態更新管理：根據數據重要程度和可能造成的危害程度變化，對數據分類分級規則、重要數據和核心數據目錄、數據分類分級清單和標識等進行動態更新管理，動態更新情形。
三、工業企業重要數據合規管理責任
根據《數據安全法》《工業和信息化領域數據安全管理辦法（試行）》等相關規定，企業如果存在處理重要數據的情況，則應落實如下數據安全保護責任：
（1）重要數據備案：將本單位重要數據目錄向本地區行業監管部門備案。備案內容包括但不限于數據來源、類別、級別、規模、載體、處理目的和方式、使用范圍、責任主體、對外共享、跨境傳輸、安全保護措施等基本情況。涉及重要數據備案內容發生變化的，應當履行備案變更手續。
（2）重要數據處理者的特定管理要求： 1）建立覆蓋本單位相關部門的數據安全工作體系，明確數據安全負責人和管理機構，建立常態化溝通與協作機制。本單位法定代表人或者主要負責人是數據安全第一責任人，領導團隊中分管數據安全的成員是直接責任人；2）明確數據處理關鍵崗位和崗位職責，并要求關鍵崗位人員簽署數據安全責任書，責任書內容包括但不限于數據安全崗位職責、義務、處罰措施、注意事項等內容；3）建立內部登記、審批等工作機制，對重要數據的處理活動進行嚴格管理并留存記錄。
（3）重要數據處理的特定要求：1）數據收集過程中，應當根據數據安全級別采取相應的安全措施，加強重要數據收集人員、設備的管理，并對收集來源、時間、類型、數量、頻度、流向等進行記錄，通過間接途徑獲取重要數據和核心數據的，工業和信息化領域數據處理者應當與數據提供方通過簽署相關協議、承諾書等方式，明確雙方法律責任。2）存儲重要數據的，應當采用校驗技術、密碼技術等措施進行安全存儲，并實施數據容災備份和存儲介質安全管理，定期開展數據恢復測試。3）使用、加工重要數據的，還應當加強訪問控制。4）提供重要數據的，應當與數據獲取方簽訂數據安全協議，對數據獲取方數據安全保護能力進行核驗，采取必要的安全保護措施。5）工業和信息化領域數據處理者銷毀重要數據后，不得以任何理由、任何方式對銷毀數據進行恢復，引起備案內容發生變化的，應當履行備案變更手續。6）委托處理重要數據的，應當對受托方的數據安全保護能力、資質進行核驗。
（4）風險評估及年報報送要求：自行或委托第三方評估機構，每年對其數據處理活動至少開展一次風險評估，及時整改風險問題，并向本地區行業監管部門報送風險評估報告。
（5）重要數據跨境傳輸的特定要求：在中華人民共和國境內收集和產生的重要數據，法律、行政法規有境內存儲要求的，應當在境內存儲，確需向境外提供的，應當依法依規進行數據出境安全評估。
根據2024年3月22日國家網信辦發布的《促進和規范數據跨境流動規定》，“數據處理者應當按照相關規定識別、申報重要數據”。其中，關鍵信息基礎設施運營者向境外提供個人信息或者重要數據；關鍵信息基礎設施運營者以外的數據處理者向境外提供重要數據，均應當通過所在地省級網信部門向國家網信部門申報數據出境安全評估。鑒于《數據安全技術數據分類分級規則》已經公布并將于2024年10月1日實施，期間將會有更多行業領域主管（監管）部門、其他相關部門或地區發布數據安全與重要數據方面的管理規定，企業適用“未被相關部門、地區告知或者公開發布為重要數據的，數據處理者不需要作為重要數據申報數據出境安全評估?！钡目臻g越來越小。為此，建議企業在2024年10月1日之前的不到半年的政策窗口期，及時開展數據分類分級和重要數據識別工作，避免因重要數據問題而可能導致的業務不合規風險。
滬公網安備 31010402007129號
