DB54T 0423-2024 公共数据 数据分类分级规范

ICS35.24054CCSL7854西 藏 自 治 区 地 方 标 准DB54/T0423—2024公共数据 数据分类分级规范2024-11-18发布 2024-12-18实施西藏自治区市场监督管理局  发布DB54/T0423—2024DB54/T0423—2024PAGE\*ROMANPAGE\*ROMANII目 次范围 1规范性引用文件 1术语和定义 1数据分类分级原则 2数据分类原则 2数据分级原则 2数据分类要求 2数据分类维度 2数据分类框架 4数据分类体系 4数据分级要求 8分级要素 8分级规则 9分级流程 10数据级别变更 11数据分类分级结果处理 11分类结果处理 11分级结果处理 11附录A （规范性）GB/T4754-2017《国民经济行业分类》规定的行业分类目录 13附录B （规范性）数字经济及其核心产业统计分类（2021） 17附录C （资料性）对于各类影响对象的不同影响程度描述 18附录D （资料性）不同数据对象的安全分级示例 20附录E （资料性）数据安全级别变更参考 21附录F （资料性）公共数据分类分级结果参考示例 22参 考 文 献 24前 言本文件按照GB/T1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》给出规则起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本文件由西藏自治区经济和信息化厅（自治区数据管理局）提出并归口。（自治区数据管理局责任公司、国家工业信息安全发展研究中心。青、贺赟、李云志、杜洪涛、陶炜、栾燕、蔡长亮。DB54/T0423DB54/T0423—2024PAGEPAGE10公共数据数据分类分级规范范围别变更事项。本文件适用于指导西藏自治区各级、各部门实施的数据分类工作和数据安全定级工作。规范性引用文件件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T21063.3政务信息资源目录体系第三部分：核心数据GB/T38667信息技术大数据数据分类指南GB/T43697数据安全技术数据分类分级规则GB/T4754国民经济行业分类术语和定义下列术语和定义适用于本文件。公共数据publicdata或提供公共服务过程中收集、产生的数据。公共数据分类publicdataclassification系，以便更好地管理和使用数据。公共数据分级publicdatagrading根据数据的敏感程度和风险影响，对公共数据进行分类和管理的过程。组织数据organizationdata组织在自身生产经营活动中收集、产生的不涉及个人信息和公共利益的数据。核心数据coredata共享，可能直接影响政治安全的重要数据。注：核心数据主要包括关系国家安全重点领域的数据，关系国民经济命脉，重要民生，重大公共利益的数据，经国家有关部门评估确定的其他数据。重要数据keydata害国家安全、经济运行、社会稳定、公共健康和安全的数据。注：仅影响组织自身或公民个体的数据一般不作为重要数据。一般数据generaldata核心数据、重要数据之外的其他数据数据分类分级原则数据分类原则公共数据的分类，应遵循以下原则：公共服务视角从建设数字型、服务型政府视角出发，面向数据共享、数据服务与应用，依据业务来源分类；统一标准数据分类保持与国家、行业法规标准一致，同维度内一条数据只属于一个类目；边界明确全区各级、各行业部门统一分类维度和颗粒度，能够依据分类规范快捷判断出相关数据资源类型，并使数据分类结果能够支持各部门明确数据管理责任边界。数据分级原则公共数据的分级，应遵循以下原则：客观明确身。就高从严应按照就高从严原则确定数据级别，数据集的级别应根据下属数据项的最高级来定级。动态调整数据分类要求数据分类维度数据分类可从数据业务资源属性、数据共享属性、数据开放属性等维度进行划分，未尽事宜参考GB/T38667-2020执行。业务资源属性基础类数据子证照基础数据等。主题类数据行业部门类数据检察院等政务部门数据资源，以及区内市、县、乡各级行业部门数据资源。数据共享属性根据数据共享属性可分为：无条件共享类、有条件共享类和不共享类。无条件共享数据可提供给所有公共管理和服务机构共享使用，其中：——基础数据资源在公共管理和服务机构间可无条件共享；——已公开发布的数据，或者法规条例、规章制度要求无条件公开的数据，可无条件共享；——不涉及国家秘密、组织业务秘密和公民个人隐私的数据，可无条件共享；——有条件共享数据，如不能提供依据的法律法规和规章制度，视为无条件共享数据。有条件共享数据条件。不共享数据府有关要求。规另有规定的除外。数据开放属性根据数据开放属性可分为：禁止开放类、有条件开放类、无条件开放类。禁止开放类——开放后危及国家安全、公共安全、经济安全和社会稳定的；——涉及商业秘密、个人隐私的；——因数据获取协议或者知识产权保护等禁止开放的；——法律、法规规定不得开放的。有条件开放类禁止的；——开放将严重挤占公共基础设施资源，影响公共数据处理效率的；——开放安全风险难以评估的；据。无条件开放类——除禁止开放类与有条件开放类公共数据以外的其他公共数据；件开放类公共数据。数据分类框架公共数据从资源属性和开放共享属性进行分类，其中资源属性数据分类参照“类、项、目、细目”的四级分类方法，实际分类时可根据需要扩展成更加细分的分类，参见图1示意。图1 公共数据分类层级示意图数据分类体系的资源属性维度进行分类，包括基础数据、主题数据和部门数据。基础数据二级、三级、四级分类要求5人口基础类政治面貌、住址、死亡标识代码、死亡日期等；——户籍基础数据；——教育基础数据；——卫生健康基础数据；——民政基础数据；——劳动就业基础数据；——社会保险基础数据；——住房公积金基础数据；——住房基础数据；——家庭成员间关系基础数据。力社保部门、残联部门、国土房管部门等。法人单位类三级分类包括行政法人、事业法人、企业法人、社会团体和其他法人。四级分类可包括：态、机构类型代码、登记管理部门名称、注册地址、成立日期等；——人员及联络信息基础数据；——经营或运行基础数据；——登记管理数据；——主体分类数据；——地址基础数据；——分支机构数据；——注册登记变更数据；——注销及吊销信息；——出资及税务基础数据；——社保基础数据；——住房公积金基础数据；——年报数据。数据主要来源包括：区编办、市场部门、民政部门、税务部门、公安部门等。自然资源空间类自然资源空间数据三级分类包括：——基础地理，包括坐标系、比例尺等；——行政区划，包括行政区划名称与级别等；——基础地质——基础覆被——遥感监测——自然资源——环境与生态——灾害与灾难——基础设施——综合数据，包括经济与社会、自然地理与人文、综合对地观测等经济、统计类数据。四级分类可包括：——现状类数据，是所有数据的基础，为其他各类数据提供统一的基底；——规划类数据，是为行政审批和空间用途管制提供管控依据的数据；——管理类数据，是自然资源管理和开发利用过程所产生的信息。数据主要来源包括：自然资源部门、民政部门、建设部门、文化旅游部门、公安部门等。电子证照类——分类方式一：电子证照三级分类包括自然人证照、法人证照。包括：身份证、驾驶证、学历学位证书、结婚证、出生证明、房产证等；法人证照是以企业统一社会信用代码作为统一标识，由法人单位持有，表征某方面的资质或能力，会等。书、声明公示等。宏观经济类宏观经济类数据三级分类包括：政府统计数据、部门统计数据、外部数据。GDP查类数据，如经济、基本单位、工业、建筑业、第三产业、农业、人口等普查数据。——部门统计数据，包括：财政、税收、工商、教育、卫生、社保等部门统计数据。——外来数据，包括：国外统计、外省市、市场调查、咨询机构等来源数据。数据主要来源：统计、发改、经信、税务、市场监管、财政等部门的有关经济数据。信用信息类类及其他。——基础登记类，自然人的基础登记类数据包括：身份识别信息、家庭状况信息、政治面貌信息、——运营及财务类，包括：家庭资产信息、产品及服务信息、管理体系评定信息、生产及运营设施转让及出资信息等。资产处置信息、不良及关注类债务信息、已还清债务信息和民间借贷信息等。信息、主体自身承诺和评价信息、第三方评价信息、主体查询记录。其他类数据包括信用修复信息、信用承诺信息和其他信用信息等主题类数据二级分类要求公共数据按主题域进行划分的二级分类主要包括以下23项：——科技创新——商贸流通——社会救助——城建住房——教育文化——工业农业——机构团体——地理空间——资源能源——市场监管——生活服务——生态环境——交通运输——安全生产——社保就业——医疗卫生——信用服务——公共安全——财税金融——气象服务——法律服务——疫情防控——其他部门类数据二级分类要求部门类数据以自治区各部门渠道进行数据归集，二级分类以部门划分，主要包括：——自治区党委部门——自治区人大——自治区政协——自治区法院——自治区检察院——自治区政府部门——中央国家机关和兄弟省（市）驻藏机构——中央企业驻藏机构——人民团体——新闻媒体——科研院所——区管企业——地市级政府GB/T4754-2017分，或者按业务主题进行细分。其中，行业细分包括：——A农、林、牧、渔业——B采矿业——C制造业.——D电力、热力、燃气及水生产和供应业——E建筑业——F批发和零售业——G交通运输、仓储和邮政业——H住宿和餐饮业——I信息传输、软件和信息技术服务业——J金融业——K房地产业——L租赁和商务服务业——M科学研究和技术服务业——N水利环境和公共设施管理业——O居民服务、修理和其他服务业——P教育——Q卫生和社会工作——R文化、体育和娱乐业——S公共管理、社会保障和社会组织——T国际组织《GB/T4754-2017国民经济行业分类》规定的四级细目分类可参考附录A。数字经济涉及的新兴行业相关细目分类可参考附录B。数据分级要求分级要素成危害的影响对象、影响程度两大要素进行分级。影响对象利益或者公民、组织合法权益，数据分级需要考虑以下四类影响对象：国家安全社会可持续发展和国家其他重大利益、保障持续安全状态的能力造成影响。公共利益数据发生泄露、篡改、丢失或滥用后，可能对社会的医疗卫生、生产经营、教学科研、公共环境、市政项目、文体旅游、社会福利、住宅用房及其他公用事业等社会秩序和公众的身心健康、政治权利、人身自由、经济权益等造成影响。个人合法权益活动和领域等造成影响。组织合法权益。誉形象、公信力、资金资产等造成影响。影响程度主要指危害程度，从低到高可分为无危害、轻微危害、一般危害、严重危害：无危害数据发生泄露、篡改、丢失或滥用后，不对影响对象产生影响。轻微危害数据发生泄露、篡改、丢失或滥用后，对影响对象的运行、资产、安全造成轻微损害或一般损害，范围较小、程度可控，结果可以补救。财产损失。一般危害围较大、程度可控、结果可以补救或范围较小，结果不可逆，但可以采取措施降低损失。财产损失。严重危害程度不可控、结果不可逆。大财产损失。对于各类影响对象的不同影响程度描述，详见附录C。分级规则根据数据的安全属性破坏后的影响对象、影响程度，将数据级别从高到低划分为核心数据（3级、（2级（1级表1 数据安全基本分级规则安全级别敏感标识影响对象影响程度判断标准核心数据（3）高敏感国家安全轻微/一般/严重危害有下列情形之一：对全社会、多个行业、行业内多个组织造成严重影响；对单个组织的正常运作造成极其严重影响；对人身和财产安全、个人名誉造成严重损害。公共利益一般/严重危害个人权益严重危害组织权益严重危害重要数据（2）敏感国家安全无危害有下列情形之一:益造成中等程度的损害。公共利益轻微危害个人权益一般危害组织权益一般危害一般数据（1）低敏感国家安全无危害有下列情形之一:公共利益无危害个人权益轻微/无危害组织权益轻微/无危害对于不同数据资源对象的数据安全等级描述和示例，详见附录D。分级流程数据分级由业务归口部门负责，宜按照以下流程开展（见图2）：数据资产梳理关准备工作。数据安全定级准备第二步：明确数据定级的颗粒度（如库文件、表、字段等。第三步：根据法律法规和业务管理要求，识别数据安全定级关键要素。数据安全级别判定判定。（处理等）等因素，对数据安全级别进行复核，调整形成数据安全级别评定结果及定级清单。数据安全级别审核与本机构数据安全保护目标一致。数据安全级别批准第七步：本部门设置数据安全管理决策组织（保密委员会或信息安全办公室等，对数据安全分级结果进行审议批准。图2 数据定级及数据变更后定级流程参考数据级别变更但不限于以下情形：对公共数据进行汇总、分析、加工后产生的公共数据，与原始数据之间存在较大差异；数据内容发生变化，导致原有数据的分级级别不适用变化后的数据；变化，导致原定的数据级别不再适用；因数据汇聚融合，导致原有数据级别不再适用汇聚融合后的数据；因国家或行业主管部门要求变化，导致原定的数据级别不再适用；相关变更调整事宜参考附录E。数据分类分级结果处理分类结果处理各业务部门在填报数据资源目录清单时，根据本文件数据分类要求，识别和确定数据资源的分类。并根据实际需求，按“类+项+目+细目+扩展”的方法，确定数据资源对象的多级、细化分类。分级结果处理场景要求，制定不同级别数据的安全管理与防护策略。注：比如，根据数据级别，确定数据的共享和开放程度。在此基础上，可形成数据的类型与对应安全分级定级表，参考附录F示例。AA附录 A（规范性）GB/T4754-2017《国民经济行业分类》规定的行业分类目录以下为GB/T4754-2017《国民经济行业分类》规定的行业分类目录A农、林、牧、渔业农业林业畜牧业渔业农、林、牧、渔专业及辅助性活动B采矿业煤炭开采和洗选业石油和天然气开采业黑色金属矿采选业有色金属矿采选业非金属矿采选业开采专业及辅助性活动其他采矿业C制造业农副食品加工业食品制造业酒、饮料和精制茶制造业17纺织服装、服饰业皮革、毛皮、羽毛及其制品和制鞋业木材加工和木、竹、藤、棕、草制品业家具制造业.造纸和纸制品业印刷和记录媒介复制业文教、工美、体育和娱乐用品制造业石油、煤炭及其他燃料加工业化学原料和化学制品制造业医药制造业化学纤维制造业橡胶和塑料制品业非金属矿物制品业黑色金属冶炼和压延加工业有色金属冶炼和压延加工业金属制品业通用设备制造业专用设备制造业.汽车制造业铁路、船舶、航空航天和其他运输设备制造业电气机械和器材制造业计算机、通信和其他电子设备制造业仪器仪表制造业其他制造业废弃资源综合利用业金属制品、机械和设备修理业D电力、热力、燃气及水生产和供应业电力、热力生产和供应业燃气生产和供应业水的生产和供应业E建筑业房屋建筑业土木工程建筑业建筑安装业建筑装饰、装修和其他建筑业F批发和零售业批发业零售业G交通运输、仓储和邮政业54多式联运和运输代理业装卸搬运和仓储业邮政业H住宿和餐饮业住宿业餐饮业I信息传输、软件和信息技术服务业电信、广播电视和卫星传输服务互联网和相关服务软件和信息技术服务业J金融业货币金融服务资本市场服务保险业其他金融业K房地产业房地产业L租赁业商务服务业M科学研究和技术服务业研究和试验发展专业技术服务业。科技推广和应用服务业N水利环境和公共设施管理业水利管理业生态保护和环境治理业公共设施管理业土地管理业O居民服务、修理和其他服务业居民服务业机动车、电子产品和日用产品修理业其他服务业P教育教育Q卫生和社会工作卫生社会工作R文化、体育和娱乐业新闻和出版业广播、电视、电影和录音制作业文化艺术业体育娱乐业S公共管理、社会保障和社会组织中国共产党机关国家机构人民政协、民主党派社会保障群众团体、社会团体和其他成员组织基层群众自治组织及其他组织T国际组织国际组织BB附录 B（规范性）数字经济及其核心产业统计分类（2021）（GB/T分类中符合数字经济产业特征的和以提供数字产品为目的的相关行业类别活动，进行的再分类。★01数字产品制造业0101计算机制造0102通讯及雷达设备制造0103数字媒体设备制造0104智能设备制造0105电子元器件及设备制造0106其他数字产品制造业★02数字产品服务业02010202020302040205其他数字产品服务业★03数字技术应用业0301软件开发0302电信、广播电视和卫星传输服务0303互联网相关服务0304信息技术服务0305其他数字技术应用业★04数字要素驱动业0401互联网平台0402互联网批发零售0403互联网金融0404数字内容与媒体0405信息基础设施建设04060407★05数字化效率提升业050105020503050405050506050705080509其他数字化效率提升业附录 C（资料性）对于各类影响对象的不同影响程度描述表C.1规定了对于各类影响对象的不同影响程度描述表C.1 对于各类影响对象的不同影响程度描述表影响对象影响程度参考说明国家安全严重危害域安全要资源等造成严重影响瘫痪、大量业务处理能力丧失一般危害1.对政治、国土、军事、经济、文化、社会、科技、网络、生态、资源、核安全等构成威胁，影响海外利益、生物、太空、极地、深海、人工智能等重点领域安全2.对本地区、本部门以及相关行业、领域生产、运行和经济利益等造成影响3.引发的级联效应明显，影响范围涉及多个行业、区域或者行业内多个企业，或者影响持续时间长，对行业发展、技术进步和产业生态等造成严重影响轻微危害对本地区、本部门以及相关行业、领域生产、运行和经济利益等造成轻微影响影响持续时间短，对行业发展、技术进步和产业生态等造成一般影响无危害对国家安全不造成影响公共利益严重危害波及一个或多个省市的大部分地区，引起社会动荡，对经济建设有极其恶劣的负面影响一般危害波及一个或多个地市的大部分地区引起社会恐慌，对经济建设有重大的负面影响轻微危害波及一个地市或地市以下的部分地区，扰乱社会秩序，对经济建设有一定的负面影响无危害对公共利益不造成影响个人合法权益严重危害个人信息主体可能会遭受重大的、不可消除的、可能无法克服的影响，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害。如遭受无法承担的债务、失去工作能力、导致长期的心理或生理疾病、导致死亡等表C.1 对于各类影响对象的不同影响程度描述表(续)一般危害个人信息主体可能遭受较大影响，个人信息主体克服难度高，消除影响代价较大。被解雇、被法院传唤、健康状况恶化等轻微危害个人信息主体可能会遭受困扰，但尚可以克服。如付出额外成本、无法使用应提供的服务、造成误解、产生害怕和紧张的情绪、导致较小的生理疾病等无危害对个人信息合法权益不造成影响，或仅造成微弱影响但可忽略不计组织合法权益严重危害可能导致组织遭到监管部门严重处罚(包括取消经营资格、长期暂停相关业务等)，或者影响重要/关键业务无法正常开展的情况，造成重大经济或技术损失，严重破坏机构声誉，企业面临破产一般危害可能导致组织遭到监管部门处罚(包括一段时间内暂停经营资格或业务等)，或者影响部分业务无法正常开展的情况，造成较大经济或技术损失，破坏机构声誉轻微危害可能导致个别诉讼事件，或在某一时间造成部分业务中断，使组织的经济利益、声誉、技术等轻微受损无危害对组织合法权益不造成影响，或仅造成微弱影响但不会影响国家安全、公共利益、市场秩序或各项业务的正常开展CC附录 D（资料性）不同数据对象的安全分级示例表D.1规定了不同数据对象的安全分级示例表D.1 不同数据对象的安全分级示例数据等级数据资源类型组织个人其他对象数据特征：数据特征：国家法律法规或强制性数据特征：国家法律法规和强法律法规明确保护的企事业标准规定的特别敏感数据，主要用制性标准定义的重要数据，一数据，泄露会给单位带来严重于特定职能部门、特殊岗位的重要般只针对特定人员公开。被破的经济损失或名誉损失，且对业务，只针对特定人员公开。一旦坏或泄露后，会对社会、组织3级社会及其他组织造成损害的等造成损害。信息示例：示例：示例：银行账户异动信息，法出院记录，门诊就诊记录，城乡居空气环境质量小时值、GIS设人账号信息，财务报表民资金账户信息备图标信息数据特征：数据特征：数据特征：涉及法人和其他组织权益的涉及政府的内部信息用于一内部数据,仅对受限内部对象泄露会给个人带来直接经济损失的般业务使用，针对受限对象共共享或开放，一旦泄露会给企信息享或开放。业带来直接经济损失或名誉示例：示例：2级损失的信息社会保障卡，户口本居住证，不动高速收费站过车信息示例：产权证市内道路管制信息出口退税外贸企业申报情况信息，社保欠费企业信息，企业年报数据特征：涉及法人和其他组数据特征：数据特征：织权益的内部数据，用于一般涉及公民的个人数据，用于一般业涉及客体的总体数据或粗颗业务使用，针对受限对象共享或开放；或公开渠道可获取。个人向特定群体公开的信息；或公可以向社会公开的数据；或公1级示例：空气环境监测信息，道开渠道可获取。开渠道可获取。路运输许可证信息，科研信用示例：示例：行业评价信息，社会组织严重老年人优待证信息、无偿献血证、近岸海区预报信息、车辆废气违法失信名单、各种公示信息个人信用评价信息。排放信息。DD附录 E（资料性）数据安全级别变更参考制时，其安全级别可降低。数据安全升降级原则上只进行相邻数据级别的升降，在需跨多级升降数据安全级别的场景，应按照逐级升降的原则进行。表E.1 数据安全级别变更参考序号变更措施参考1已合法公开披露的公共数据可定为1级；2法律法规规章未明确要求公开的个人信息等级不得低于1级；3已脱敏数据可单独定级，经有效脱敏后的公共数据，可视情况降1级；4法律法规明确保护的公共数据，数据安全等级应定为2级以上；5没有任何安全属性标识的公共数据，默认为2级。6聚合数据安全级别，一般不应低于所汇聚的原始数据的最高级别；7数据脱敏后，级别可相应降低；8数据采用接口方式提供服务，功能限制在核验方面时，级别可相应降低；9数据采用接口方式提供服务，且该接口本身带有用户身份鉴别功能，只供经验证的本人授权查，级别可相应降低EE附录 F（资料性）公共数据分类分级结果参考示例按政务基础数据大类，给出数据多级分类的参考示例和安全定级参考级别，根据自治区实际需求来定。确定后完善正文。表F.1 公共数据分类分级结果参考示例项目细目示例参考等级共享类型据法人/其他组织基本信息社会组织信息1-2有条件共享状态如设立、合并、注销等1-2有条件共享行为如中标通知书、公司上市申请、签署合同等1-2有条件共享自然人基本信息如户籍信息、居民身份信息1-2有条件共享状态如死亡信息、服刑人员个人基本信息、特种人员信息1-2无/有条件共享行为如个人劳动合同签订信息、职工住院病历相关信息1有条件共享社会信用数据法人/其他组织信用法人/其他组织信用信息如基本信用信息、信用状态等1-2有条件共享失信企业信息如被列入失信企业黑名单等1无条件共享自然人信用自然人信用信息如基本信用信息、信用状态等1