DB50T 1453-2023 工业数据分类分级导则

ICS35.240.50CCSL04

DB50重 庆 市 地 方 标 准DB50/T1453—2023工业数据分类分级导则2023-08-25发布 2023-11-25实施重庆市市场监督管理局 发布DB50/T1453DB50/T1453—2023PAGE\*ROMANPAGE\*ROMANII目 次前言 II范围 1规范性引用文件 1术语和定义 1工业数据分类分级 1总体原则 1分类维度 2分类方法 2分级维度 3分级方法 3工业数据分级管控防护 3工业数据分级防护要求 3工业数据全生命周期 4基于工业数据全生命周期的防护措施 4分类分级流程 5概述 5分类分级准备 6实施工业数据分类分级 6实施分级管控防护 7结果评估 7优化改进 8附录A（资料性）工业企业数据分类分级详细描述表示例 9参考文献 11前 言本文件按照GB/T1.1—20201草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由重庆市工业互联网发展研究中心（中国工业互联网研究院重庆分院）提出。本文件由重庆市大数据应用发展管理局归口并组织实施。本文件起草单位：重庆市工业互联网发展研究中心（中国工业互联网研究院重庆分院）、重庆邮电（重庆DB50/T1453DB50/T1453—2023PAGEPAGE10工业数据分类分级导则范围本文件规定了工业数据分类分级、分级管控防护的要求，提供了工业数据分类分级流程。规范性引用文件（包括所有的修改单适用于本文件。GB/T4754-2017 国民经济行业分类GB/T38667-2020 信息技术大数据数据分类指南术语和定义GB/T38667-2020界定的以及下列术语和定义适用于本文件。工业数据 industrialdata工业数据分类industrialdataclassification（工业数据分级industrialdatagrading（工业数据分类分级总体原则工业分类维度分类维度宜根据工业数据产生情况、业务类型、存储情况、应用情况进行划分，包括但不限于：工业数据所属行业类别；工业数据业务类型；工业数据产生的部门；工业数据存储方式；工业数据存储位置；工业数据更新频率；工业数据用途。根据所属行业类别分类4754—2017的要求进行分类。根据业务类型分类根据产生的部门分类根据工业数据产生来源的工业企业的具体部门或组织机构进行分类。根据存储方式分类根据工业数据储存方式进行分类，主要包括纸质文档、电子文档、电子表格、数据库、数据仓库、云存储等。根据存储位置分类根据更新频率分类综合考虑工业数据的更新频率、访问频次和分析引用程度，可分为三类：冷数据、温数据和热数据。根据用途分类分类方法工业数据分类方法参照GB/T38667-2020第8分级维度（表1 工业数据级别与判断标准工业数据级别级别标识判断标准L3级核心数据有下列情形之一：易引发特别重大生产安全事故或突发环境事件，或造成直接经济损失特别巨大；对国民经济、行业发展、公众利益、社会秩序乃至国家安全造成严重影响。L2级重要数据有下列情形之一：易引发较大或重大生产安全事故或突发环境事件，给企业造成较大负面影响，或直接经济损失较大；引发的级联效应明显，影响范围涉及多个行业、区域或者行业内多个企业，或影响持续时间长，或可导致大量供应商、客户资源被非法获取或大量个人信息泄露；恢复工业数据或消除负面影响所需付出的代价较大。L1级一般数据有下列情形之一：对工业控制系统及设备、工业互联网平台等的正常生产运行影响较小；给企业造成负面影响较小，或直接经济损失较小；受影响的用户和企业数量较少、生产生活区域范围较小、持续时间较短；恢复工业数据或消除负面影响所需付出的代价较小。分级方法工业数据分级管控防护工业数据分级防护要求表2 工业数据分级防护要求工业数据级别防护要求L3级应能抵御来自国家级敌对组织的大规模恶意攻击L2级应能抵御大规模、较强恶意攻击L1级应能抵御一般恶意攻击工业数据全生命周期基于工业数据全生命周期的防护措施表3 工业数据防护措施数据生命L1级L2级L3级工业数据采集则开展数据采集；对收集人员、设备的管理。在L1级的基础上还应满足以下要求：数据采集前，应对数据采集所涉及的软硬件工具等，采取必要的测试、认证等措施，并进行内部审批；应具备对数据采集行为进行监测的技术能力，确保数据采集的合规性和执行上的一致性，并能够在发现异常时进行告警；通过间接途径获取数据的，应与数据提供方通过签署相关协议、数据源合法性书面承诺等方式，明确双方法律责任。在L2级的基础上还应满足以下要求：应具备数据采集行为实时监控能收集行为可溯源。工业数据传输安全传输协议等措施保证数据传输安全。L1级的基础上还应满足以下要求：时可采用单向隔离传输等技术手段；地址、数据库异常连接（如在设定时间内，某IP与实时数据库无任何数据交互或异常交互）等进行实时告警，在检测到数据遭破坏时及时采取恢复措施。在L2级的基础上还应满足以下要求：应具备数据传输实时监测处置能传输；应具备数据溯源能力，确保所有数据传输路径可恢复，数据传输行为可溯源。工业数据存储抵赖性；根据实际情况开展数据备份。在L1级的基础上还应满足以下要求：应对存储数据的使用进行身份鉴别和访问控制；应采用存储介质安全管控、校验技术、加密技术、数字签名等手段实现数据安全存储，不得直接提供存储系统的公共信息网络访问。在L2级的基础上还应满足以下要求：应对历史数据库、时序数据库、实时数据库等核心数据存储设备进行切换并恢复数据。表3 工业数据防护措施（续）周期L1级L2级L3级工业数据处理利用数据进行自动应对数据挖掘、关联分析等数据处理行为进行记录。在L1级的基础上还应满足以下要求：应明确原始数据加工过程中的数据获取方式、访问接口、授权机制、逻辑安全、处理结果安全等内容，并周期性的检查用户操作数据的情况，统一管理数据处理权限；应对数据挖掘、关联分析等数据处理行为的时间、范围、数量、级别、行为等信息进行记录和审计。在L2级的基础上还应满足以下要求：应具备数据处理加工行为实时监控能力，在发现异常时及时终止数据处理加工行为，并采用技术手段确保所有数据挖掘、使用、加工、分析等行为可溯源。工业数据共享应明确数据共享的数据安全协议。在L1级的基础上还应满足以下要求：应具备数据共享安全监控技术能力，确保提供的数据合理规范使用，未超出授权范围；应在数据上云等活动中开展数据安全监测。在L2级的基础上还应满足以下要求：共享核心数据应事先向地方工业和信息化主管部门提出审批申请。工业数据开放应在数据开放前对数据开放的必要性、范开放的，应根据数据特方法对数据进行必要的脱敏处理，确保数据开放在L1级的基础上还应满足以下要求：研判结果为可以开放的重要数据，应根据实际情况，采取数据脱敏、数据水印等必要措施保证数据开放安全。在L2级的基础上还应满足以下要求：原则上不允许开放。工业数据销毁应明确数据销毁对象、规则、流程技术等要求，对销毁活动进行记录和留存。在L1级的基础上还应满足以下要求：应设置数据销毁相关监督人员，对销毁过程进行监督等；应实现存储介质物理销毁，保证在数据完全删任何方式对销毁数据进行恢复。在L2级的基础上还应满足以下要求：应及时向地方工业和信息化主管部门进行备案。分类分级流程概述规范和确立工业数据分类分级的基本原则和总体流程。工业数据分类分级的基本原则包括：——科学性原则：按照工业数据的逻辑关联进行科学和系统化的分类；——扩展性原则：工业数据分类的维度和逻辑应具有可扩展性，以满足将来可能出现的新数据；——关联性原则：分类是分级的基础；——自主定级原则：各工业领域企业应按照本文件自主对各种类型的工业数据进行分级。工业数据分类分级总体流程主要包括分类分级准备、实施分类分级、实施分级管控、结果评估1。图1 工业数据分类分级总体流程分类分级准备调研工业数据现状调研工业数据现状过程包括：调研工业数据产生情况，包括但不限于产生的部门、场景、方式、频率、外部数据等；调研工业数据应用情况，包括但不限于应用场景、应用方式等。制定分类分级工作计划制定分类分级工作计划，主要内容包括：分类分级工作的领导组织；工作目标；分类维度和场景；分级维度；分类分级工作实施方案及进度安排；评估方法；分类分级以及分级管控体系的维护方案。实施工业数据分类分级拟定分类分级实施流程组织实施组织实施宜根据拟定的分类分级实施流程，组织企业相关部门和人员开展具体分类分级工作。输出分类分级结果实施分级管控防护确定分级管控防护措施以工业数据分类分级情况为基础，制定相应的防护要求和防护措施。拟定分级管控防护实施流程组织实施组织实施宜根据拟定的分级管控防护实施流程，组织企业相关部门和人员开展具体分级管控防护工作。输出分级管控防护结果结果评估核查实施过程核查实施过程包括：核查工业数据分类分级结果，明确类别划分和安全需求是否合理；核查分类和分级维度，确保维度符合业务需求、安全需求和达成既定目标；核查分级管控防护措施，确保管控防护措施落地落实；核查实施过程记录，确保过程合理规范；根据核查结果调整工业数据分类分级过程。访谈调查（评估分类分级结果和分级管控效果评估分类分级结果和分级管控效果宜组织专家和业务人员等对分类分级结果和分级管控效果进行工业企业数据分类分级样表见附录Ａ。优化改进总结经验教训（定期评估安全级别变更（导致数据影响范围和程度改变时，应及时调整工业数据的安全防护级别。附 录 A（资料性）工业企业数据分类分级详细描述表示例表A.1工业企业数据分类分级样表行业类别企业名称数据业务类型一级子类二级子类数据名称数据产生部门存储方式存储位置更新频率数据用途数据级别数据描述备注电子信息xxx有限公司研发数据生产设计数据-设计数据研发部门xxxxL3级数据)14nm及以下工艺芯片生产设计数据电子信息xxx有限公司研发数据生产设计数据-设计数据研发部门xxxxL2级数据)28nm以下14nm以上工艺芯片生产设计数据电子信息xxx有限公司研发数据开发测试代码-代码数据研发部门xxxxL3级产品的核心代码数据机械加工xxx有限公司研发数据研发设计数据-研发数据研发部门云存储云服务器温数据原始数据L3级产品设计核心数据机械加工xxx有限公司生产管理数据生产管理数据-生产数据制造部门云存储云服务器热数据原始数据L2级品质核心数据医药行业xxx有限公司能源管理数据能源管理数据-能源能耗数据能源部门数据库本地服务器热数据监控数据L2级能源采集数据装备制造xxx有限公司产品研发数据研发设计研发设计文档二维图纸产品研发中心本地PLM系统温数据内部使用L1级二维图纸文件装备制造xxx有限公司经营管理类经营管理数据人力与客户数据客户数据信息管理部本地ERP系统温数据客户管理L2级公司的客户信息装备制造xxx有限公司经营管理类经营管理数据资源管理数据钢材采购计划计划物流部本地钢材管理系统热数据经营管理L1级钢材需求、采购和排产计划表A.1工业企业数据分类分级样表（续）行业类别企业名称数据业务类型一级子类二级子类数据名称数据产生部门存储方式存储位置更新频率数据用途数据级别数据描述备注汽车零配件xxx有限公司生产制造类生产制造数据生产监控数据机加数据采集大数据中心本地MES系统热数据统计分析L2级机械加工场景的运行数据x汽车零配件xxx有限公司生产制造类生产制造数据工业控制信息SPC分析大数据中心本地MES系统热数据统计分析L2级过程控制数据汽车零配件xxx有限公司经营管理类经营管理数据资源管理数据采购订单大数据中心本地ERP系统热数据记账分析L2级采购类数据电气机械行业xxx有限公司生产制造类生产制造数据工艺参数工艺文件技术研发部数据库本地服务器温数据生产制造使用L2级生产工艺参数电气机械行业xxx有限公司生产制造类生产制造数据x质量数据检测中心本地SAP系统温数据生产制造使用L2级过程检查、质量数据xxxxxx研究院经营管理类数据数据数据财务资产部本地SAP系统热数据使用L2级业务统计数储、排产等)DB50/T1453DB50/T1453—2023参 考 文 献[1]GB/T19668.1-2014信息技术服务监理第1部分：总则[2]GB/T20269-2006信息安全技术信息系统安全管理要求[3]GB/T20984-2