2023公共数据分类分级指南

公共数据分类分级指南目次前言 II引言 III1围 12范引文件 13语定义 14共据类 25共据级 3附录A（料）共据分分示例 8附录B（料）据全级变事宜 9参考献 10I公共数据分类分级指南范围GB/T21063.4-2007 4GB/T22240-2020 GB/T35273-2020 GB/T35274-2017信息安全技术大数据服务安全能力要求GB/T37988-2019信息安全技术数据安全能力成熟度模型GB/T38667-2020信息技术大数据数据分类指南JR/T0197-2020DB36/T1124-2019下列术语和定义适用于本文件。3.1公共数据Publicdata（3.2公共数据分类Publicdataclassification3.31公共数据分级Publicdatagrading3.4公共数据共享Publicdatasharing254号行为。3.5公共数据开放Publicdataopening254号应按照公共数据的多维特征及其相互间存在的逻辑关联进行科学、系统的分类。应选择分类对象的最稳定的本质特征和属性为依据进行分类。应保证公共数据在同一分类维度下具有唯一性，不同细分分类之间不出现交叉或者重复。注：公共数据分类应遵循国家、地方、部门法律法规、相关规定的要求，参考GB/T38667-2020相关国家数据分类标准对公共数据进行分类。2参照参考的细分。公共数据分级应遵循国家、地方、部门法律法规、相关规定的要求，参考GB/T22240-2020、JR/T0197-2020等国家、行业有关数据安全定级标准对公共数据进行定级。从数据分级的粒度上分，可以对数据项进行分级，也可以对数据项集合进行整体分级。311。————影响程度包括：严重、中等、轻微、几乎无。表1影响程度判别参考依据程度定义几乎无影响数据遭到破坏后，对影响对象几乎不造成损害或影响微弱可以忽略。轻微影响数据遭到破坏后，对影响对象造成轻微损害或一般损害，范围较小、程度可控且结果可以补救。例如：对机构的相关工作产生轻微干扰，但工作仍可正常运转；对自然人造成轻微人身伤害或轻微财产损失。中等影响较小、结果不可逆但可采取措施降低损失。例如：对机构的相关工作产生较大干扰，但工作仍可继续运转；对自然人造成严重人身伤害或较大财产损失。严重影响数据遭到破坏后，对影响对象造成严重损害，影响的范围、程度不可控且结果不可逆。重大财产损失。24（L4级、（L3级（L2）（L1级）。数据分级示例可参见附录A。表2数据级别与判断标准安全等级级别标识定义L1级不敏感数据遭到破坏后，对公共管理和服务机构及个人合法权益几乎无影响；对社会秩序、公共利益以及国家安全几乎无影响。L2级低敏感数据遭到破坏后，对公共管理和服务机构及个人合法权益造成轻微影响；对社会秩序及公共利益、国家安全几乎无影响。L3级较敏感数据遭到破坏后，对公共管理和服务机构及个人合法权益造成中等影响；对社会秩序及公共利益造成轻微影响；对国家安全几乎无影响。L4级敏感数据遭到破坏后，对公共管理和服务机构及个人合法权益造成严重影响；对社会秩序及公共利益造成中等及以上影响；对国家安全造成影响。4B：3。表3数据安全级别和安全管控措施类别L1级L2级L3级L4级数据采公共数据采集设备应符同L1级在满足L2级的基础上，根在满足L3级的基础上，满集与传合安全认证，采集流程据数据提供方的要求，对跨足:输和方式符合相应要求，级跨域的数据采集和传输1、采用身份鉴别机制、指纹对授权采集的过程和信进行链路加密、敏感信息和识别等，对数据采集源(人息进行日志记录。字段的脱敏、权限的访问控员、终端、数据库等)识别和制等安全措施。记录。2、建立数据质量管理机制，确保采集数据的质量。3、应遵循《中华人民共和国密码法》的要求，使用通过国家密码管理局认证的密码技术和密码产品实现“身份鉴别”。数据存1、公共数据应保存在可在满足L1级的基础上，在满足L2级的基础上，满L3储信或可控的信息系统、对存储数据的访问进足:通过国家密码管理局认证的物理环境中。行日志记录和审计，以1、对多租户逻辑存储需要密码技术和密码产品实现2、应建立数据备份机及对运维人员权限的租户隔离、授权管理规范。“防篡改”。制，定期进行数据的备分配和控制。2、需要采用加密技术对存份。储数据进行加密。表3 数安级和全管措（）5DB36/T1713—2022类别L1级L2级L3级L4级数据访问可采用口令、密码、生物识别等鉴别技术对用户进行身份鉴别。在满足L1级的基础上，对数据访问行为、访问内容、访问频率等访问情况进行审计、分析。在满足L2级的基础上，应采用口令、密码、生物识别等两种或两种以上组合的鉴别技术对用户进行身份鉴别。L3续对用户账号进行风险监数据处理1、设置身份标识与鉴别机制。2、对数据的分析处理过程进行统一的日志记录。在满足L1对运维人员进行权限的分配和控制。L2加:1、对分析处理的环境采取认证等安全防护措施。2、对源数据和分析结果的数据加密存储和防泄漏。L3加:1、对部分敏感信息需要进行去标识化处理。2、对操作过程进行日志记录。数据共享对数据共享的过程进行日志记录。在满足L1对运维人员进行权限的分配和控制。L22、对数据共享全链路各环监控。3、对数据共享全链路各环节风险进行监控。4、数据共享审批日志记录的审计。不予共享数据开放对数据开放的过程进行日志记录。在满足L1级的基础上，视情况脱敏。L22、对数据开放全链路各环节的权限最小化控制，如进行白名单控制并对异常进程监控。3、数据开放审批日志记录的审计。不予开放数据销毁是否销毁依实际情况，如采取销毁手段，则需对销毁过程进行记录。建立数据销毁和存储覆写法等方式销毁有进行记录。建立数据销毁和存储媒介应以不可逆的方式销毁有记录。同L3级4。6表4公共数据共享开放级别对照关系数据安全等级L1级L2级L3级L4级共享属性无条件共享有条件共享不予共享共享条件各级数据资源管理部门在各级数据资源管理部门数据视情况进行脱敏或隐不予共享类公共数据全省统一的数据共享交换和数据提供单位在全省依法经过脱密、脱敏平台审批后无条件共享。统一的数据共享交换平处理降低安全级别后台审批后有条件共享。和数据提供单位在全省统且相关权利人同意共一的数据共享交换平台审享的，可以列入无条件共享类或者有条件共享类。审批后有条件共享。开放属性无条件开放有条件开放不予开放开放条件用户在各级公共数据开数据视情况进行脱敏或数据经脱敏或隐去关键信不予开放类公共数据放平台登录后可直接下依法经过脱密、脱敏载。数据资源管理部门和数据处理降低安全级别后理部门和数据提供单位提供单位在全省统一的数或者相关权利人同意在全省统一的数据共享开放的，可以列入无条件开放类或者有条数据资源管理部门审批后件开放类。据资源管理部门审批后有条件开放。有条件开放。7附录A（资料性）公共数据分类分级示例示例1-数据集名称：婚姻登记信息（XX市民政局）数据集按部门分类属于XXXX示例2-数据集名称：工程竣工验收信息数据集按行业分类属于建筑业大类，按线分类法划分中类属于房屋建筑业中类。数据集名称：婚姻登记信息数据项定级：L1L1L2级：当事人婚姻登记类别，配偶姓名，户籍地址属于个人低敏感数据，列入L2级数据。L3级：身份证件类型及号码属于个人较敏感数据，列入L3级数据。数据项集合定级：L38附录B（资料性）数据安全级别变化事宜数据安全级别变化的示例，见表B.1。表B.1数据安全级别变化示例表序号措施安全级别调整a内容等，特定时间或事件后数据失去原有敏感性级别相应降低b数据内容未发生变化，但因数据时效性、数据规模、数据使用场景、数据加工处理方式等发生变化，导致原定的数据级别不再适用：数据内容未发生变化，但数据更新频率从每日更新调整为每