【数据安全管理制度】数据分级分类原则规范.doc

数据分类分级原那么标准

总那么

为有效保护XXX〔以下简称“XXX”〕数据资产，界定数据资产类别和级别以及管理原那么和方法，明确数据分类分级工作的责任主体和数据资产的责任归属，标准数据资产的分类分级工作流程，指导各部门基于数据资产级别实施数据资产分级保护工作，依据《政务信息资源目录编制指南〔试行〕》〔发改高技〔2017〕1272号〕特制定本标准。

本规定适用于XXX及各委办局的相关科室。

组织架构与职责

数据平安决策委员会主要职责包括：

审核发布数据分类分级平安管理规章制度和分类分级框架；

定期听取数据平安管理小组对数据资产管理与数据分类分级工作的汇报；

对数据资产管理与数据分类分级工作监督评价。

数据平安管理小组是数据资产管理与数据分类分级工作的直接领导与组织机构，主要职责包括：

编制与修订数据分类分级平安管理标准、分类分级平安管理实施细那么以及相关流程和表单；

制定数据分类分级框架，协调推进各部门进行数据定级与数据资产管理工作并落实监督；

定期组织培训，提升数据平安执行团队的数据资产管理能力，提升行内员工对我行数据分类分级框架以及敏感数据的理解和认识；

向数据平安决策委员会汇报行内数据分类分级与各部门数据资产管理工作执行的整体情况。

数据平安执行团队负责数据定级与数据资产管理工作的执行，主要职责包括：

协助数据平安管理小组完成数据分类分级框架的制定与数据梳理工作；

完成数据定级与数据资产管理工作；

完成数据平安管理小组委托的数据资产管理工作。

数据平安执行团队在各业务部门设置数据平安接口人，负责数据资产管理工作在业务部门的落实，主要职责包括：

完成数据定级与数据资产管理工作；

梳理维护市局内数据资产，形成数据资产清单；

根据市局内实际业务情况提出数据平安需求，从业务视角对数据定级提出建议。

数据分类分级原那么

数据分类原那么参照《GB/T7027-2002信息分类和编码的根本原那么与方法》的分类根本原那么：

科学性：选择分类对象最稳定的本质属性或特征作为分类的根底和依据。

系统性：选择的分类属性和特征能按照一定的顺序排列予以系统化，形成一个科学合理的分类体系。

可扩延性：数据分类的分类方式，要保证增加的新的事物或概念时，不影响现有已建立的分类体系。

兼容性：应与政务信息资源分类标准保持一致。

综合实用性：确保数据分类符合对政务事务的普遍认知。

在开展数据分级活动时应遵循以下数据分级根本原那么：

合法合规性原那么：数据定级应满足国家法律法规及行业主管部门有关规定。

可执行性原那么：定级规那么应防止过于复杂，以保证其在数据分级过程中的可行性。

时效性原那么：数据所定级别具有一定的有效期限，金融业机构应按照级别变更策略对数据级别进行及时调整。

自主性原那么：应根据自身数据管理需要〔如战略需要、业务需要、对风险的接受程度等〕，在本标准的框架下自主确定数据级别。

差异性原那么：应根据数据的类型、敏感程度等差异，划分不同的数据平安层级，并将数据划分至不同的级别中，不宜将所有数据集中划分到少数几个级别中。

客观性原那么：数据定级规那么应是客观并可以被校验的，即通过数据自身的属性和定级规那么即可判定其级别，已经定级的数据是可复核和检查的。

数据分类分级方法

按照政府数据资源所涉及的知识范畴，将XXX市政府数据按照主题进行分类，采取大类、中类和小类三级分类法；目前按主题将XXX市政府数据分为以下20大类：综合政务、经济管理、国土资源、能源、工业、交通、信息产业、城乡建设、环境保护、农业、水利、财政、商业、贸易、旅游、效劳业、气象、水文、测绘、地震、对外事务、政法、监察、科技、教育、文化、卫生、体育、军事、国防、劳动、人事、民政、社区、文秘、行政、综合党团。对每一大类主题，按线分类法划分中类。对于每一中类，按照线分类法划分小类。

各业务部门负责数据类别细分与数据资产登记，应当根据本部门实际业务情况，对本部门数据类别划分提出建议，并完本钱部门的数据资产登记工作。

基于政务信息资源所涉及的主体和影响程度以及国家、行业相关政策与标准，将数据平安级别由高到低分为4级、3级、2级、1级。

各级别数据定义如下：

4级数据：数据泄露后，对个人人身平安、企业或国家机关的正常运行、平安造成严重损害。

3级数据：数据泄露后，对个人、企业、其他组织或国家机关的正常运行、平安造成损害。

2级数据：数据泄露后无危害，仅对特定公众和群体有益，且可能对其他公众和群里产生不利影响。

1级数据：数据泄漏后无危害。

数据分级保护根本平安策略

根据不同的政务信息资源的应用场景，各级别数据在数据全生命周期下的根本平安策略如下：

应用场景

1级

2级

3级

4级

采集

1..明确数据采集的目的、用途和范围，标准数据采集的流程和方法。

2.明确数据采集的

渠道及外部数