ICSb33.040 M10 YD 中 华 人 民 共 和 国 通 信 行 业 标 准 基础电信企业数据分类分级方法 Data classification and grading method of basic telecommunication enterprises 中华人民共和国工业和信息化部 发布 前 言 本标准按照GB/T 1.1-2009给出的规则起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 II YD/T ××××—×××× 通过网络收集、存储、传输、处理和产生的各种电子数据。 3.7 非网络数据 non network data 非经网络收集、存储、传输、处理和产生的各种电子或非电子数据。 4 缩略语 下列缩略语适用于本文件。 IMEI：移动设备国际身份码（International Mobile Equipment Identity） IMSI：国际移动用户识别码（International Mobile Subscriber Identification Number） IP：网际协议（Internet Protocol） MAC：介质访问控制（Media Access Control） SIM：用户身份识别模块（Subscriber Identity Module） 5 适用范围 本标准所规定的数据范围包括基础电信企业生产经营和管理活动中产生、采集、加工、使用或管理 的网络数据和非网络数据。 6 分类分级原则 基础电信企业数据分类分级应依据如下原则： a) 安全性原则 从利于数据安全管控的角度对数据进行分类分级 b) 稳定性原则 分类分级设置在相当长一个时期内是稳定的，对各类数据的涵盖面广，包容性强。 c) 可执行性原则 宜避免对数据进行过于复杂的分类分级规划，保证数据分级使用和执行的可行性。后续相关的安全 防护要求都在此分类分级的基础上开展。 d) 时效性原则 数据的分级具有一定的有效期。数据的级别可能因时间变化按照一些预定的安全策略发生改变。 e) 自主性原则 基础电信企业可根据自身的数据管理需要，例如战略需要、业务需要、对风险的接受程度等，按照 数据分类原则进行分类之后，按照数据分级方法自主确定更多的数据层级，但不宜将高敏感度数据定为 低敏感度级别。 f) 合理性原则 数据级别宜具有合理性，不能将所有数据集中划分一两个级别中，而另外一些没有数据。级别划定 过低可能导致数据不能得到有效保护；级别划定过高可能导致不必要的业务开支。 4 YD/T ××××—×××× 根据基础电信企业业务运营和企业自身管理特点，按照树形结构，建立数据资源分类目录树。并将 整理后的数据资源列表对应到目录树，确定数据资源列表中每个数据项在目录树中所在的位置，即确定 该数据项的数据类型。 7.5 对数据资源分级 根据基础电信企业数据重要程度和敏感程度，确定数据资源的安全等级。 7.6 数据分类分级标识 基础电信企业应根据数据分类分级方法，采用人工与技术手段相结合的方法，实现企业数据资源的 梳理与分类分级，并进行数据分类分级标识。数据分类分级及标识方法建议参见附录C。 7.7 建立数据分类分级清单 根据数据分类分级情况对企业数据资源进行分类分级标识后，输出企业的数据分类分级清单。清单 内容至少包括所属部门、所在系统、数据类型、安全等级、内容描述、数据量、保存位置、保存期限、 数据处理情况（数据处理目的、数据处理所涉及的信息系统）、数据对外提供情况（共享转让、公开披 露、数据出境）、数据生命周期各环节安全措施配套情况等。 企业建设必要的网络数据资源清单管理技术手段，确保网络数据资源清单内容覆盖全面、信息真实 完整。 7.8 实施数据分类分级安全管控 基础电信企业应当根据网络数据资源的分类分级情况，在数据生命周期的各个环节配套差异化的安 全保护措施，除满足《YD/T XXXX-XXXX 电信网和互联网数据安全通用要求》外，还应遵循如下管控要 点： a) 基础电信企业应根据本企业数据分类分级管理制度对数据进行分类分级标识。对于在数据库中 存储的高安全级别数据（如第4级、第3级数据），标记应细化至数据库表的字段级，其他级别 数据采用的标记宜细化到数据库表的字段级。若出现任何没有分级标识的数据，其默认安全控 制等级为最高安全等级。 b) 原则上未经过脱敏处理的数据不可降级使用，若确有需要，应执行严格的授权审批流程，并对 降级使用数据进行全过程审计。数据使用完毕后，恢复至原安全级别。 c) 数据传输过程中，若涉及高安全级别数据（如第4级、第3级数据）应对数据报文进行加密，并 采取措施（如数字签名、MAC等），以保证数据传输的机密性和完整性。 d) 在使用数据或披露前，涉及高安全级别数据的，应采用数据脱敏技术，确保数据使用、对外披 露等场景的脱敏。 e) 对于个人敏感信息的安全管控，还应满足GB/T 35273-2020中对个人敏感信息的安全管控要求。 6 YD/T ××××—×××× 8.2 基础电信企业数据分级方法 在数据分类基础上,根据基础电信企业数据重要程度以及泄露后对国家安全、社会秩序、企业经营 管理和公众利益造成的影响和危害程度，对基础电信企业网络数据资源进行分级。数据分级按照图2所 示的步骤和方法进行，具体步骤如下： 确定分级对象 数据破坏对国家安全、社会秩 序、公共利益造成的影响 数据破坏对企业利益造成的影 响 数据破坏对用户利益造成的影 响 综合评定对客体的侵害程度 数据对象的安全等级 图2 数据分级流程 a) 确定数据分级对象 基础电信企业数据分级对象可以是最小数据类，也可以是最小数据类下的具体数据字段。 b) 确定数据安全受到破坏时造成影响的客体 数据的安全属性（机密性、完整性、可用性）遭到破坏时造成的影响的客体包括：国家安全和社会 公共利益，企业利益和用户利益。 1) 对国家安全和社会公共利益的影响应考虑数据一旦未经授权披露、丢失、滥用、篡改、销毁， 可能造成的后果对国家安全和社会公共利益的影响程度。 2) 对企业利益的影响应考虑如下3个方面： ─ 业务影响应考虑数据安全事件发生后对生产业务造成的影响。 ─ 财务影响应考虑数据安全事件发生后导致的财务损失。包括：直接损失（收入受损、缴纳 罚款、赔偿金或其他资源损失等）和恢复成本（比如恢复数据、恢复业务、消除影响、安 抚/挽回客户等涉及的资金或人工成本等）。 ─ 声誉影响应考虑数据安全事件发生后被外界所知所造成的声誉受损，包括客户信任度、公 司形象、行业声誉、社会认同感等。 3) 对用户利益的影响应考虑如下用户数据一旦发生安全事件后，对用户财产、声誉、生活状态以 及生理和心理等方面产生的影响。 根据以上分级因素，形成分级影响程度参照表，如表1所示。 表1 数据分级影响程度参照表 8 YD/T ××××—×××× 第四级数据：一旦丢失、泄露、被篡改、被损毁会对国家安全、社会公共利益或企业利益或用户利 益造成特别严重影响的数据，安全管控要求最高； 第三级数据：一旦丢失、泄露、被篡改、被损毁会对国家安全、社会公共利益或企业利益或用户利 益造成严重影响的数据，应实施较强的安全管控； 第二级数据：一旦丢失、泄露、被篡改、被损毁会对国家安全、社会公共利益或企业利益或用户利 益造成一定程度影响的数据，执行基本的安全管控； 第一级数据：一旦丢失、泄露、被篡改、被损毁对国家安全、社会公共利益或企业利益或用户利益 造成影响较小或无影响的数据，对安全管控不作要求。 附录B给出了基础电信企业数据安全分级示例。 企业若在执行四级安全管控落地实施中有难度，可以视实际情况对相邻级别进行合并，实施三级分 级方式和相应安全管控措施。 10 YD/T ××××—×××× 1-3-1 用户服务使 用数据 1-3-2 设备信息 1-3-1-1 业务订购关系 1-3-1-1-1 基本业务订购关系：品牌、套餐定制 等情况； 1-3-1-1-2 增值业务订购关系：邮箱、通讯录等 增值业务的注册、修改、注销等 1-3-1-2 服务记录和日 志 1-3-1-2-1 服务详单及信令：语音、短信、彩信 和数据详单等； 1-3-1-2-2 移动互联网服务记录：Cookie 内容、 上网日志等 1-3-1-3 消费信息和账 单 1-3-1-3-1 消费信息：停开机、入网时间、在网 时间、积分、预存款、信用等级等； 1-3-1-3-2 账单：每月出账的固定费用、通信费 用等 1-3-1-4 位置数据 1-3-1-4-1 精确位置信息：小区代码、基站号、 基站经纬度坐标等； 1-3-1-4-2 大致位置信息：地区代码、城市代码 等 1-3-1-5 违规记录数据 1-3-1-5-1 用户违规记录；垃圾短信、骚扰电话 等相关的黑名单、灰名单等； 1-3-1-5-2 业务违规记录；端口滥用、违规渠道、 不良网站域名等记录及相关黑名单、灰名单等 1-3-2-1 终端设备标识 唯一设备识别码 IMEI、设备 MAC 地址、 SIM 卡 IMSI 信息等 1-3-2-2 终端设备资料 终端型号、品牌、厂商等 1-4 用户统计分析类数据 1-4-1 用户使用习 惯和行为分析数 据 用户偏好、消费习惯，通话、短信频次、上网等 数量与频次等。 1-4-2 用户上网行 为相关统计分析 数据 用户网络行为、用户画像等 表 A.2 企业自身相关数据分类示例表 2、 企业自身相关数据 2-1 网络与系统的建设与运行维护类数据 子类 2-1-1 建设类数据 12 范围 对应数据 2-1-1-1 网络规划类 网络建设、网络规划研究、咨询等 2-1-1-2 投资计划类 网络拓扑结构、新增设备信息、核心技术、设备 采购、位置、性能、供应商等基础建设数据等 2-1-1-3 项目管理类 项目建设方案、可研文件、涉及文件等 YD/T ××××—×××× 统计分析 2-1-4 网 络 安 全 管理类 2-1-4-1 安全审计记录 审计要情，审计决定、审计意见，审计结果通报， 审计内参，审计报告及工作底稿，审计报告等 2-1-4-2 网络安全应急 预案 应急预案、应急演练方案、应急物资管理等信息 2-1-4-3 违法有害信息 监测 违法有害信息监测处置、舆情态势监测预警等数 据 2-1-4-4 核心区域监控 核心区域视频监控记录数据等 2-1-4-5 网络威胁数据 2-1-4-5-1 僵木蠕监控信息； 2-1-4-5-2 移动恶意软件监控信息； 2-1-4-5-3 IDC/ISP 告警信息； 2-1-4-5-4 安全事件记录 2-2-1-1 产品信息 产品 ID、套餐设置、销售品