覆盖13个行业的数据分类分级标准汇编更新（附下载）

2016年11月，《网络安全法》明确将“数据分类”作为网络安全保护法定义务之一。2021年9月，《数据安全法》再次具体确立了“数据分类分级保护制度”及其基本原则。2021年11月，《个人信息保护法》、《网络数据安全管理条例(征求意见稿)》相继出台，明确提出建立数据分类分级保护制度。

国家层面相继出台多项数据分类分级标准规范，金融、工业等行业监管制定出了相关配套标准指引；浙江省、贵州省等多地分别发布公共数据开放分级分类试行指南，为落实数据分类分级管理提供指导性参考。

事实上，数据作为重要生产要素之一，依法采取严密的监管措施，建立完善的数据安全防护体系，保障数据安全，是企业必须要承担的责任。建立数据安全防护体系的第一步就是梳理数据资产进行分类分级。只有做好分类分级工作，对不同分类不同密级的数据采取不同的安全防护措施，才能做好数据全流程动态保护。

本文将“国家层面、行业层面、地方层面”出台的各项数据分类分级标准指南进行总结汇编，希望对此领域感兴趣的同学能够起到一定借鉴作用。目前已有32项，涉及金融、证券期货、医疗、电信、互联网、民航、工业、海洋、卷烟制造、能源、媒体、高校、政务13个行业，数据分类分级建设方向愈发明确。

以下依据《信息安全技术 个人信息安全规范》、《网络安全标准实践指南—网络数据分类分级指引》、《信息技术 大数据 数据分类指南》、《证券期货业数据安全风险防控 数据分类分级指引》等全面了解个人信息、数据分类分级规则及其保障措施。

GB/T 35273-2020
《信息安全技术 个人信息安全规范》

个人信息

个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，如姓名、出生日期、身份证件号码、个人生物识别信息、住址、通信通讯联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等。

判定某项信息是否属于个人信息，应考虑以下两条路径：一是识别，即从信息到个人，由信息本身的特殊性识别出特定自然人，个人信息应有助于识别出特定个人。二是关联，即从个人到信息，如已知特定自然人，由该特定自然人在其活动中产生的信息（如个人位置信息、个人通话记录、个人浏览记录等）即为个人信息。符合上述两种情形之一的信息，均应判定为个人信息。

个人敏感信息

个人敏感信息是指一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。通常情况下，14岁以下(含)儿童的个人信息和涉及自然人隐私的信息属于个人敏感信息。可从以下角度判定是否属于个人敏感信息：

泄露：个人信息一旦泄露，将导致个人信息主体及收集、使用个人信息的组织和机构丧失对个人信息的控制能力，造成个人信息扩散范围和用途的不可控。某些个人信息在泄漏后，被以违背个人信息主体意愿的方式直接使用或与其他信息进行关联分析，可能对个人信息主体权益带来重大风险，应判定为个人敏感信息。例如，个人信息主体的身份证复印件被他人用于手机号卡实名登记、银行账户开户办卡等。

非法提供：某些个人信息仅因在个人信息主体授权同意范围外扩散，即可对个人信息主体权益带来重大风险，应判定为个人敏感信息。例如，性取向、存款信息、传染病史等。

滥用：某些个人信息在被超出授权合理界限时使用（如变更处理目的、扩大处理范围等），可能对个人信息主体权益带来重大风险，应判定为个人敏感信息。例如，在未取得个人信息主体授权时，将健康信息用于保险公司营销和确定个体保费高低。

TC260-PG-20212A
《网络安全标准实践指南—网络数据分类分级指引》

数据分类规则：

据分类具有多种视角和维度，其主要目的是便于数据管理和使用。本实践指南采用面分类法，从国家、行业、组织等视角给出了多个维度的数据分类参考框架。常见的数据分类维度，包括但不限于公民个人维度、公共管理维度、信息传播维度、行业领域维度、组织经营维度。

数据处理者进行数据分类时，应优先遵循国家、行业的数据分类要求，如果所在行业没有行业数据分类规则，也可从组织经营维度进行数据分类，数据分类流程下图所示。

数据分级规则：

数据安全基本分级规则 ：

一般数据分级规则：

GB/T 38667-2020
《信息技术 大数据 数据分类指南》

大数据分类规则：

GB/T 42775-2023
《证券期货业数据安全风险防控 数据分类分级指引》

本文件给出了证券期货业数据分类分级方法概述及数据分类分级方法的具体描述，并就数据分类分级中的关键问题处理给出建议。

本文件适用于证券期货行业机构、相关专项业务服务机构、相关信息技术服务机构开展数据分类分级工作时使用。

数据分类分级保障措施

Step1：建立数据分类分级组织保障

a) 数据分类分级的管理部门：
b) 数据分类分级的最高责任人：
c) 数据分类分级相关的管理角色和职能：
d) 数据分类分级相关的授权机制；

Step2：建立数据分类分级管理制度

a) 数据分类分级的具体要求；
b） 数据分类分级工作中涉及的角色及职责；
c） 数据分类分级的相关制度和操作流程的制定、发布、维护和更新的机制以及评审和修订周期：
d） 数据分类分级管理相关绩效考评和评价机制：
e）数据分类分级的原则、方法；
f） 数据分类分级的日常管理流程；
g） 数据级别的相关变更原则及变更后的通知原则：
h）数据资产分类分级清单的审核与修订周期和原则： i）操作人员的操作规程。

Step3：厘清业务和数据资产

a) 首先需要厘清业务，才能区分业务涉及的具体数据；
b） 业务条线宜根据 JR/T 0176《证券期货业数据模型》的方法，收集所有产生、采集、加工、使用或管理的数据资产，建立数据资产清单。数据资产包含以物理或电子形式记录的数据表、数据项、数据文件等；
c） 数据资产清单宜经数据管理相关方评审确认。

数据分类

本文件推荐的分类方法，从业务条线出发，首先对业务细分，解决业务分类问题，同时确定数据的管理主体。在此基础上，对数据归类细分，形成从总到分的树形数据分类结构；同时，推荐考虑确定“数据形态”，即所处的系统、存储的媒介、物理位置等。详见图1。

图1 数据分类示意图

以下最新标准汇编全文，下载各项数据分类分级标准指南，关注出处“极盾科技”公众号，回复“分类分级”即可：

数据分类分级标准行业汇编

1 文件 3.33 MB

下载

更多标准、白皮书、报告等高质量纯净资料下载，在文末扫码关注官方微信公众号“idtzed”，进入公众号菜单“治库”，或按自动回复发送引号内关键词。