網(wǎng)上投稿
2024年3月21日，國(guó)家標(biāo)準(zhǔn)GB/T 43697-2024《數(shù)據(jù)安全技術(shù)數(shù)據(jù)分類(lèi)分級(jí)規(guī)則》（“規(guī)則”）正式發(fā)布，并將于2024年10月1日起正式實(shí)施。規(guī)則規(guī)定了數(shù)據(jù)分類(lèi)分級(jí)的原則、框架、方法和流程，給出了重要數(shù)據(jù)識(shí)別指南，既適用于行業(yè)領(lǐng)域主管（監(jiān)管）部門(mén)參考制定本行業(yè)本領(lǐng)域的數(shù)據(jù)分類(lèi)分級(jí)標(biāo)準(zhǔn)規(guī)范，也適用于各地區(qū)、各部門(mén)開(kāi)展數(shù)據(jù)分類(lèi)分級(jí)工作，同時(shí)為企業(yè)進(jìn)行數(shù)據(jù)分類(lèi)分級(jí)提供參考。
在規(guī)則發(fā)布之前，重要數(shù)據(jù)的判斷標(biāo)準(zhǔn)主要依靠《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例（征求意見(jiàn)稿）》《數(shù)據(jù)出境安全評(píng)估辦法》《信息安全技術(shù)重要數(shù)據(jù)識(shí)別指南（征求意見(jiàn)稿）》等文件。經(jīng)過(guò)近幾年的行業(yè)實(shí)踐和探索，國(guó)家終于在數(shù)據(jù)安全和數(shù)據(jù)治理層面，特別是重要數(shù)據(jù)識(shí)別問(wèn)題上，向前邁出了堅(jiān)實(shí)的一步。規(guī)則提出要遵循國(guó)家數(shù)據(jù)分類(lèi)分級(jí)保護(hù)要求，按照數(shù)據(jù)所屬行業(yè)領(lǐng)域進(jìn)行分類(lèi)分級(jí)管理。企業(yè)需要在數(shù)據(jù)分類(lèi)分級(jí)的基礎(chǔ)上，開(kāi)展重要數(shù)據(jù)的識(shí)別與合規(guī)管理工作。
（1） 數(shù)據(jù)分類(lèi)。按照“先行業(yè)領(lǐng)域分類(lèi)、再業(yè)務(wù)屬性分類(lèi)”的思路進(jìn)行分類(lèi)，將數(shù)據(jù)分為工業(yè)數(shù)據(jù)、電信數(shù)據(jù)、金融數(shù)據(jù)、能源數(shù)據(jù)、交通運(yùn)輸數(shù)據(jù)、自然資源數(shù)據(jù)、衛(wèi)生健康數(shù)據(jù)、教育數(shù)據(jù)、科學(xué)數(shù)據(jù)等。
（2） 數(shù)據(jù)分級(jí)。根據(jù)數(shù)據(jù)在經(jīng)濟(jì)社會(huì)發(fā)展中的重要程度，以及一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，對(duì)國(guó)家安全、經(jīng)濟(jì)運(yùn)行、社會(huì)秩序、公共利益、組織權(quán)益、個(gè)人權(quán)益造成的危害程度，將數(shù)據(jù)從高到低分為核心數(shù)據(jù)、重要數(shù)據(jù)、一般數(shù)據(jù)三個(gè)級(jí)別。
一、 重要數(shù)據(jù)識(shí)別十大要素
根據(jù)規(guī)則，重要數(shù)據(jù)是指特定領(lǐng)域、特定群體、特定區(qū)域或達(dá)到一定精度和規(guī)模的，一旦被泄露或篡改、損毀，可能直接危害國(guó)家安全、經(jīng)濟(jì)運(yùn)行、社會(huì)穩(wěn)定、公共健康和安全的數(shù)據(jù)，僅影響組織自身或公民個(gè)體的數(shù)據(jù)一般不作為重要數(shù)據(jù)。企業(yè)重要數(shù)據(jù)的識(shí)別應(yīng)建立數(shù)據(jù)分類(lèi)分級(jí)的基礎(chǔ)上，并從如下十大要素進(jìn)行識(shí)別：
二、工業(yè)企業(yè)數(shù)據(jù)分類(lèi)分級(jí)的法律要求與重要數(shù)據(jù)的識(shí)別步驟
工業(yè)和信息化部早在2020年就發(fā)布《工業(yè)數(shù)據(jù)分類(lèi)分級(jí)指南（試行）》，要求“工業(yè)企業(yè)結(jié)合生產(chǎn)制造模式、平臺(tái)企業(yè)結(jié)合服務(wù)運(yùn)營(yíng)模式，分析梳理業(yè)務(wù)流程和系統(tǒng)設(shè)備，考慮行業(yè)要求、業(yè)務(wù)規(guī)模、數(shù)據(jù)復(fù)雜程度等實(shí)際情況，對(duì)工業(yè)數(shù)據(jù)進(jìn)行分類(lèi)梳理和標(biāo)識(shí)，形成企業(yè)工業(yè)數(shù)據(jù)分類(lèi)清單；根據(jù)不同類(lèi)別工業(yè)數(shù)據(jù)遭篡改、破壞、泄露或非法利用后，可能對(duì)工業(yè)生產(chǎn)、經(jīng)濟(jì)效益等帶來(lái)的潛在影響，將工業(yè)數(shù)據(jù)分為一級(jí)、二級(jí)、三級(jí)等3個(gè)級(jí)別?！?2022年《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法》進(jìn)一步規(guī)定，工業(yè)和信息化部組織制定工業(yè)和信息化領(lǐng)域數(shù)據(jù)分類(lèi)分級(jí)、重要數(shù)據(jù)和核心數(shù)據(jù)識(shí)別認(rèn)定、數(shù)據(jù)分級(jí)防護(hù)等標(biāo)準(zhǔn)規(guī)范，指導(dǎo)開(kāi)展數(shù)據(jù)分類(lèi)分級(jí)管理工作，制定行業(yè)重要數(shù)據(jù)和核心數(shù)據(jù)具體目錄并實(shí)施動(dòng)態(tài)管理。2024年2月工業(yè)和信息化部發(fā)布了《工業(yè)領(lǐng)域數(shù)據(jù)安全能力提升實(shí)施方案（2024—2026年）》要求，到2026年底，工業(yè)領(lǐng)域數(shù)據(jù)安全保障體系基本建立，開(kāi)展數(shù)據(jù)分類(lèi)分級(jí)保護(hù)的企業(yè)超4.5萬(wàn)家，至少覆蓋年?duì)I收在各省（區(qū)、市）行業(yè)排名前10%的規(guī)上工業(yè)企業(yè)。其他工業(yè)領(lǐng)域數(shù)據(jù)法規(guī)還包括：《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估實(shí)施細(xì)則（試行）》《工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)安全保護(hù)要求》《智能制造 工業(yè)數(shù)據(jù)分類(lèi)原則》《工業(yè)互聯(lián)網(wǎng)企業(yè)網(wǎng)絡(luò)安全 第4部分：數(shù)據(jù)防護(hù)要求》《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全行政處罰裁量指引（試行）》等，初步形成了工業(yè)數(shù)據(jù)的分類(lèi)分級(jí)法規(guī)體系。
工業(yè)企業(yè)在進(jìn)行重要數(shù)據(jù)識(shí)別之前，應(yīng)在遵循如上國(guó)家和行業(yè)領(lǐng)域數(shù)據(jù)分類(lèi)分級(jí)要求的基礎(chǔ)上，參考規(guī)則中的如下步驟開(kāi)展分類(lèi)分級(jí)與重要數(shù)據(jù)識(shí)別與合規(guī)管理工作。
（1） 數(shù)據(jù)資產(chǎn)梳理：對(duì)數(shù)據(jù)資產(chǎn)進(jìn)行全面梳理，確定待分類(lèi)分級(jí)的數(shù)據(jù)資產(chǎn)及其所屬的行業(yè)領(lǐng)域。
（2） 制定內(nèi)部規(guī)則：按照行業(yè)領(lǐng)域數(shù)據(jù)分類(lèi)分級(jí)標(biāo)準(zhǔn)規(guī)范，結(jié)合處理者自身數(shù)據(jù)特點(diǎn)，參考本文件制定自身的數(shù)據(jù)分類(lèi)分級(jí)細(xì)則：
l 如行業(yè)領(lǐng)域主管部門(mén)已制定行業(yè)領(lǐng)域數(shù)據(jù)分類(lèi)分級(jí)規(guī)則，處理者應(yīng)結(jié)合自身實(shí)際參考本文件的數(shù)據(jù)分類(lèi)分級(jí)方法，按照行業(yè)領(lǐng)域數(shù)據(jù)分類(lèi)分級(jí)規(guī)則細(xì)化執(zhí)行；
l 如所屬行業(yè)領(lǐng)域沒(méi)有行業(yè)主管部門(mén)認(rèn)可的數(shù)據(jù)分類(lèi)分級(jí)標(biāo)準(zhǔn)規(guī)范的，或存在行業(yè)領(lǐng)域規(guī)范未覆蓋的數(shù)據(jù)類(lèi)型，按照本文件進(jìn)行數(shù)據(jù)分類(lèi)分級(jí)；
l 如果業(yè)務(wù)涉及多個(gè)行業(yè)領(lǐng)域，可在參考本文件的基礎(chǔ)上，分別按照各個(gè)行業(yè)領(lǐng)域的數(shù)據(jù)分類(lèi)分級(jí)標(biāo)準(zhǔn)規(guī)范細(xì)化執(zhí)行。
（3）實(shí)施數(shù)據(jù)分類(lèi)：對(duì)數(shù)據(jù)進(jìn)行分類(lèi)，并對(duì)公共數(shù)據(jù)、個(gè)人信息等特殊類(lèi)別數(shù)據(jù)進(jìn)行識(shí)別和分類(lèi)。
（4）實(shí)施數(shù)據(jù)分級(jí)：對(duì)數(shù)據(jù)進(jìn)行分級(jí)，確定核心數(shù)據(jù)、重要數(shù)據(jù)和一般數(shù)據(jù)的范圍。
（5） 審核上報(bào)目錄：對(duì)數(shù)據(jù)分類(lèi)分級(jí)結(jié)果進(jìn)行審核，形成數(shù)據(jù)分類(lèi)分級(jí)清單、重要數(shù)據(jù)和核心數(shù)據(jù)目錄，并對(duì)數(shù)據(jù)進(jìn)行分類(lèi)分級(jí)標(biāo)識(shí)，按有關(guān)程序報(bào)送目錄。
（6） 動(dòng)態(tài)更新管理：根據(jù)數(shù)據(jù)重要程度和可能造成的危害程度變化，對(duì)數(shù)據(jù)分類(lèi)分級(jí)規(guī)則、重要數(shù)據(jù)和核心數(shù)據(jù)目錄、數(shù)據(jù)分類(lèi)分級(jí)清單和標(biāo)識(shí)等進(jìn)行動(dòng)態(tài)更新管理，動(dòng)態(tài)更新情形。
三、工業(yè)企業(yè)重要數(shù)據(jù)合規(guī)管理責(zé)任
根據(jù)《數(shù)據(jù)安全法》《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法（試行）》等相關(guān)規(guī)定，企業(yè)如果存在處理重要數(shù)據(jù)的情況，則應(yīng)落實(shí)如下數(shù)據(jù)安全保護(hù)責(zé)任：
（1）重要數(shù)據(jù)備案：將本單位重要數(shù)據(jù)目錄向本地區(qū)行業(yè)監(jiān)管部門(mén)備案。備案內(nèi)容包括但不限于數(shù)據(jù)來(lái)源、類(lèi)別、級(jí)別、規(guī)模、載體、處理目的和方式、使用范圍、責(zé)任主體、對(duì)外共享、跨境傳輸、安全保護(hù)措施等基本情況。涉及重要數(shù)據(jù)備案內(nèi)容發(fā)生變化的，應(yīng)當(dāng)履行備案變更手續(xù)。
（2）重要數(shù)據(jù)處理者的特定管理要求： 1）建立覆蓋本單位相關(guān)部門(mén)的數(shù)據(jù)安全工作體系，明確數(shù)據(jù)安全負(fù)責(zé)人和管理機(jī)構(gòu)，建立常態(tài)化溝通與協(xié)作機(jī)制。本單位法定代表人或者主要負(fù)責(zé)人是數(shù)據(jù)安全第一責(zé)任人，領(lǐng)導(dǎo)團(tuán)隊(duì)中分管數(shù)據(jù)安全的成員是直接責(zé)任人；2）明確數(shù)據(jù)處理關(guān)鍵崗位和崗位職責(zé)，并要求關(guān)鍵崗位人員簽署數(shù)據(jù)安全責(zé)任書(shū)，責(zé)任書(shū)內(nèi)容包括但不限于數(shù)據(jù)安全崗位職責(zé)、義務(wù)、處罰措施、注意事項(xiàng)等內(nèi)容；3）建立內(nèi)部登記、審批等工作機(jī)制，對(duì)重要數(shù)據(jù)的處理活動(dòng)進(jìn)行嚴(yán)格管理并留存記錄。
（3）重要數(shù)據(jù)處理的特定要求：1）數(shù)據(jù)收集過(guò)程中，應(yīng)當(dāng)根據(jù)數(shù)據(jù)安全級(jí)別采取相應(yīng)的安全措施，加強(qiáng)重要數(shù)據(jù)收集人員、設(shè)備的管理，并對(duì)收集來(lái)源、時(shí)間、類(lèi)型、數(shù)量、頻度、流向等進(jìn)行記錄，通過(guò)間接途徑獲取重要數(shù)據(jù)和核心數(shù)據(jù)的，工業(yè)和信息化領(lǐng)域數(shù)據(jù)處理者應(yīng)當(dāng)與數(shù)據(jù)提供方通過(guò)簽署相關(guān)協(xié)議、承諾書(shū)等方式，明確雙方法律責(zé)任。2）存儲(chǔ)重要數(shù)據(jù)的，應(yīng)當(dāng)采用校驗(yàn)技術(shù)、密碼技術(shù)等措施進(jìn)行安全存儲(chǔ)，并實(shí)施數(shù)據(jù)容災(zāi)備份和存儲(chǔ)介質(zhì)安全管理，定期開(kāi)展數(shù)據(jù)恢復(fù)測(cè)試。3）使用、加工重要數(shù)據(jù)的，還應(yīng)當(dāng)加強(qiáng)訪(fǎng)問(wèn)控制。4）提供重要數(shù)據(jù)的，應(yīng)當(dāng)與數(shù)據(jù)獲取方簽訂數(shù)據(jù)安全協(xié)議，對(duì)數(shù)據(jù)獲取方數(shù)據(jù)安全保護(hù)能力進(jìn)行核驗(yàn)，采取必要的安全保護(hù)措施。5）工業(yè)和信息化領(lǐng)域數(shù)據(jù)處理者銷(xiāo)毀重要數(shù)據(jù)后，不得以任何理由、任何方式對(duì)銷(xiāo)毀數(shù)據(jù)進(jìn)行恢復(fù)，引起備案內(nèi)容發(fā)生變化的，應(yīng)當(dāng)履行備案變更手續(xù)。6）委托處理重要數(shù)據(jù)的，應(yīng)當(dāng)對(duì)受托方的數(shù)據(jù)安全保護(hù)能力、資質(zhì)進(jìn)行核驗(yàn)。
（4）風(fēng)險(xiǎn)評(píng)估及年報(bào)報(bào)送要求：自行或委托第三方評(píng)估機(jī)構(gòu)，每年對(duì)其數(shù)據(jù)處理活動(dòng)至少開(kāi)展一次風(fēng)險(xiǎn)評(píng)估，及時(shí)整改風(fēng)險(xiǎn)問(wèn)題，并向本地區(qū)行業(yè)監(jiān)管部門(mén)報(bào)送風(fēng)險(xiǎn)評(píng)估報(bào)告。
（5）重要數(shù)據(jù)跨境傳輸?shù)奶囟ㄒ螅?/span>在中華人民共和國(guó)境內(nèi)收集和產(chǎn)生的重要數(shù)據(jù)，法律、行政法規(guī)有境內(nèi)存儲(chǔ)要求的，應(yīng)當(dāng)在境內(nèi)存儲(chǔ)，確需向境外提供的，應(yīng)當(dāng)依法依規(guī)進(jìn)行數(shù)據(jù)出境安全評(píng)估。
根據(jù)2024年3月22日國(guó)家網(wǎng)信辦發(fā)布的《促進(jìn)和規(guī)范數(shù)據(jù)跨境流動(dòng)規(guī)定》，“數(shù)據(jù)處理者應(yīng)當(dāng)按照相關(guān)規(guī)定識(shí)別、申報(bào)重要數(shù)據(jù)”。其中，關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者向境外提供個(gè)人信息或者重要數(shù)據(jù)；關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者以外的數(shù)據(jù)處理者向境外提供重要數(shù)據(jù)，均應(yīng)當(dāng)通過(guò)所在地省級(jí)網(wǎng)信部門(mén)向國(guó)家網(wǎng)信部門(mén)申報(bào)數(shù)據(jù)出境安全評(píng)估。鑒于《數(shù)據(jù)安全技術(shù)數(shù)據(jù)分類(lèi)分級(jí)規(guī)則》已經(jīng)公布并將于2024年10月1日實(shí)施，期間將會(huì)有更多行業(yè)領(lǐng)域主管（監(jiān)管）部門(mén)、其他相關(guān)部門(mén)或地區(qū)發(fā)布數(shù)據(jù)安全與重要數(shù)據(jù)方面的管理規(guī)定，企業(yè)適用“未被相關(guān)部門(mén)、地區(qū)告知或者公開(kāi)發(fā)布為重要數(shù)據(jù)的，數(shù)據(jù)處理者不需要作為重要數(shù)據(jù)申報(bào)數(shù)據(jù)出境安全評(píng)估?！钡目臻g越來(lái)越小。為此，建議企業(yè)在2024年10月1日之前的不到半年的政策窗口期，及時(shí)開(kāi)展數(shù)據(jù)分類(lèi)分級(jí)和重要數(shù)據(jù)識(shí)別工作，避免因重要數(shù)據(jù)問(wèn)題而可能導(dǎo)致的業(yè)務(wù)不合規(guī)風(fēng)險(xiǎn)。
滬公網(wǎng)安備 31010402007129號(hào)
