北京市数据分类分级指南 （试行） 北京市经济和信息化局 二〇二一年四月 目 前 次 言 ............................................................................. IV 1 范围 ............................................................................... 5 2 规范性引用文件 ..................................................................... 5 3 术语、定义和缩略语 ................................................................. 5 4 数据分类分级模型 ................................................................... 7 5 数据分类 ........................................................................... 7 6 数据分级 ........................................................................... 9 附录 A：重要数据识别原则 ............................................................. 13 附录 B：金融数据分类分级实践 ......................................................... 14 附录 C：科技数据分类分级实践 ......................................................... 26 附录 D：医疗数据分类分级实践 ......................................................... 28 参考文献 ............................................................................ 30 I 前 言 本规范由北京市经济和信息化局提出。 本规范由北京市经济和信息化局负责归口管理并解释。 本规范起草单位：北京市经济和信息化局、北京市大数据中心、国家互联网应急中心、北京信息安全测评中 心、中电长城网际系统应用有限公司、北京鑫诺律师事务所、联通数字科技有限公司、北京数牍科技有限公司、 北京云集至科技有限公司。 本规范主要起草人：潘锋、刘国伟、唐建国、石志国、刘海峰、张兴、赵章界、高磊、谷铭杰、林野丽、闵 京华、冉祥栋、方庆喆、李媛、康晓宇、李依轩、韩晗、单进勇、岑佩、骆婷、张海涛、卓子寒、刘婧、田涛、 江海昇、栗志鹏、姚雪洁。 I 1 范围 本文件给出了北京市数据分类和数据分级的关系，提出了数据分类和数据分级的原则、方法、 流程。 本文件适用于北京市政务部门、企事业单位、社会组织等开展数据分类分级建设及评估工作。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于 本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T 25069-2010 信息安全技术 术语 GB/T 35273-2020 信息安全技术 个人信息安全规范 3 术语、定义和缩略语 3.1 术语和定义 GB/T 25069-2010和GB/T 35295-2017界定的以及下列术语和定义适用于本标准。 3.1.1 数据 data 以电子或非电子形式对信息所做的记录。 3.1.2 数据项 data unit 构成数据结构的最小数据单位，是组成数据记录的基本单元。 [来源：GB/T 21062.3-2007 政务信息资源交换体系 第 3 部分：数据接口规范 5.2,5.3] 3.1.3 数据处理 data processing 是指特定主体对数据进行的包括但不限于收集、存储、使用、加工、传输、提供、公开等活动。 3.1.4 数据流通 data circulation 是指数据由特定的数据处理者提供给其他特定接收主体，以使该特定接收主体能够对数据进行 处理之过程。 3.1.5 数据分类 data classifying 把具有某种共同属性或特征的数据归并在一起，把具有不同属性或特征的数据区别开来的过程。 3.1.6 5 数据分级 data grading 按照一定的原则和流程等方法将其划分为不同级别，以便对不同级别数据的流通提出有针对性 的安全保护策略。 3.1.7 个人信息 personal information 以电子或其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然 人活动情况的各种信息。 [来源：GB/T 35273-2020,3.1] 3.1.8 个人敏感信息 personal sensitive information 一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害 或歧视性待遇等的个人信息。 [来源：GB/T 35273-2020,3.2] 3.1.9 重要数据 important data 相关组织、机构和个人在我国境内收集、产生的不涉及国家秘密，但与国家安全、经济发展以 及公共利益密切相关的，如果泄露、窃取、篡改、毁损、丢失和非法使用可能危害国家安全、国计 民生、公共利益的未公开数据。 [来源：《中华人民共和国网络安全法》,中国互联网协会《专项调查问题列表与答复》] 3.1.10 公共开放数据 public open data 公共开放数据是指公共数据中无条件开放的数据。 注: 公共数据是指各级行政机关以及具有公共管理和服务职能的事业单位，在依法履行职责、提供公共服务过 程中处理或产生的各类数据。根据数据开放的风险程度，将公共数据分为无条件开放、有条件开放两类。 3.1.11 其他数据 other data 除个人信息数据、重要数据及公共开放数据以外的其他不属于国家秘密的数据。 3.1.12 数据脱敏 data masking 数据脱敏 从原始环境向目标环境进行敏感数据交换的过程中，通过一定方法消除原始环境中的 敏感信息，并保留目标环境业务所需的数据特征或内容的数据处理过程。 3.1.13 对象 object 系统中可供访问的实体。 6 [来源：GB/T 25069-2010 信息安全技术. 定义 2.1.21] 3.1.14 分类对象 objects of classification 进行归类的对象。 3.1.15 隐私 privacy 个人所具有的控制或影响与之相关信息的权限，涉及由谁收集和存储、由谁披露。 [来源：GB/T 25069-2010 信息安全技术. 定义2.1.63] 4 数据分类和数据分级的关系 数据分类是数据分级的前提，数据分级是数据分类的目的，两者相互联系、相互制约服务于数 据应用场景。通过分类标识、逐类定级提高数据管理能力。具体关系如下： a)分类、分级和数据应用场景的关系 数据分类分级工作在数据应用场景中开展，理解数据应用场景是实施数据分类分级工作的前提。 b）分类、分级、数据应用场景之间先后关系 开展数据分类分级工作时，首先确定数据应用场景，其次完成数据分类工作，最后开展数据分 级工作。 c）分类、分级的因果关系 数据分级是数据分类工作的目的，数据分类是数据分级工作的前提。 5 数据分类 北京市数据分类分级以提升数据管理能力为目标，坚持问题导向、目标导向和结果导向相结合， 企业主体、行业指导和属地监管相结合原则，贯彻和落实《中华人民共和国网络安全法》、《信息 安全技术 数据出境安全评估指南（草案）》、《个人信息保护法草案》、《个人信息出境安全评估 办法（征求意见稿）》、《信息安全技术个人信息安全规范》、《北京市公共数据管理办法（征求 意见稿）》等相关法律、法规、标准、办法，促进数据建设和发展。 5.1 分类对象 分类对象主要包括： 在全市范围内与国家安全、经济发展以及公共利益密切相关的数据； 党的机关、人大机关、行政机关、政协机关、审判机关、检察机关、以及各级党政机关派出机 构、直属事业单位及人民团体等的数据； 教育、医疗、供水、供电、供气、供热、环保、公共交通、通讯等与人民群众利益密切相关的 公共企事业单位的数据； 依自然规律出生而取得民事主体资格的人层面相关的数据； 除党政机关、公共服务机构以外的企业和社会组织的数据。 5.2 分类原则 数据分类依据应满足以下原则： a）系统性原则：数据分类应基于对数据的考量，建立一个层层划分、层层隶属的、从整体到部 7 分的分类体系；应当准确把握数据分类对分级和安全保护的影响。 不同的数据应用场景会有不同的类别，不同的数据应当属于不同的类别，应当确保数据类别与 安全保护需求基本一致。 b）独立性原则：类内对象的相互联系较为紧密，类之间对象的相互联系较为简单明了，即分类 具有较高的内聚，较低的耦合。 c）稳定性原则：选择分类对象的最稳定的本质特征作为数据分类的基础和依据；不改变政府机 关、企事业单位、社会团体等组织开展业务的方式和流程，客观描述在这个方式和流程中所处理、 产生的数据。 d）规范性原则：所使用的词语或短语能确切表达数据类实际内容，内涵、外延清楚；在表达相 同的概念时，保证用语一致性；在不影响数据类涵义表达的情况下，保证用语简洁性。 分类应当遵守和符合参考我国的法律、法规、规章等规范性法律文件的要求、遵照或参考国家、行 业标准、规定、以业务为导向、以加强数据安全保护和促进数据流动为目标，符合我国基本国情。 e)可扩展性原则：数据分类结果应可根据法律法规扩展，扩展应考虑影响数据分级变化的因素， 考虑因素对数据级别的影响，并进行描述。在已有数据分类标准的情况下，可使用已有的数据分类 标准。 5.3 分类方法 5.3.1 数据类别 北京市数据划分为四类，包括重要数据类、个人信息数据类、公共开放数据类、其他数据类等， 参见术语和定义 3.1.7，3.1.8，3.1.9，3.1.10，3.1.11。 首先应按照法律法规、标准规范，行业条例和行业标准等，细化数据类别。 如果没有相关规定，类别细化在核心类基础上通过对业务细化和数据细分、归纳，形成从总到 分的逻辑性分类体系；当数据项集合对应多个数据类时，依据数据应用场景确定数据项集合类别。 5.3.2 划分依据 依据《中华人民共和国网络安全