制度 | 数据安全定级管理细则(模板)

数据安全定级管理细则

第一章 总则

第一条 为贯彻落实《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》等法律法规关于数据分类分级保护制度的有关要求，规范本单位各类数据资产的安全定级管理工作，明确不同安全等级数据的保护策略和管控措施，提升数据安全管理的精细化、系统化水平，有效防范数据篡改、破坏、泄露、非法获取及非法利用等安全风险，保障数据依法有序自由流动和合法开发利用，结合本单位数据处理活动的实际情况和业务发展需要，制定本细则。

第二条 本细则适用于本单位所有部门及分支机构在各类业务活动中收集、产生、存储、使用、加工、传输、提供、公开、销毁等数据处理全生命周期所涉及的全部数据资产的安全定级工作。涉及国家秘密的数据和军事数据，按照相关保密法律法规和专门规定执行，不适用本细则。本细则是本单位数据安全管理制度的组成部分，各部门应当在本细则框架下制定本部门具体的数据定级操作规范，确保定级工作有章可循、有据可依。

第三条 数据安全定级管理遵循以下基本原则：合法合规原则，定级工作应当严格遵守国家法律法规、行业监管要求和国家标准规范，不得以任何理由规避或降低法定保护标准；科学实用原则，定级方法应当科学合理、便于操作，定级结果应当能够真实反映数据的安全属性和保护需求；分级明确原则，各级别之间的界限应当清晰，定级标准应当具体可衡量，避免模糊交叉；就高从严原则，当同一数据符合多个定级条件时，应当按照其中最高安全级别进行定级，对于涉及多个类别的数据集合，其安全级别按照所包含数据项的最高级别确定；动态调整原则，数据的安全级别不是一成不变的，应当根据数据内容的变化、业务环境的变化、法律法规的调整以及安全威胁态势的发展，及时对数据级别进行复核和调整；点面结合原则，既要从整体上把握数据资产的宏观安全态势，也要关注具体数据项和关键数据场景的微观风险。

第二章 数据定级组织与职责

第四条 本单位设立数据安全管理工作领导小组，由单位主要负责人担任组长，分管信息化或数据工作的领导担任副组长，各相关部门负责人为成员。领导小组负责统筹协调本单位数据安全定级管理工作，审议决定数据定级工作中的重大事项，监督检查各部门数据定级工作的落实情况，协调解决定级工作中出现的跨部门问题。

第五条 数据安全管理部门是本细则的主管部门，主要职责包括：组织制定和修订数据安全定级管理细则及相关配套制度；牵头组织开展全单位数据资产的梳理、分类和定级工作；建立和维护数据安全级别目录台账，对定级结果进行审核和备案管理；组织开展数据定级的培训、宣贯和指导工作；定期对各部门数据定级工作进行监督检查和评估；根据外部环境变化和内部业务调整，组织对数据级别进行动态复核和调整；配合上级监管部门和行业主管部门做好重要数据和核心数据的识别、备案及保护工作。

第六条 各业务部门是本部门数据定级工作的责任主体，部门负责人为本部门数据安全定级的第一责任人。各业务部门的主要职责包括：按照本细则的要求，对本部门所辖各类数据进行全面梳理和盘点，形成部门数据资产清单；依据定级标准和规则，逐类逐项确定数据的安全级别，提出定级建议；配合数据安全管理部门做好定级结果的审核、备案和更新工作；根据数据定级结果，落实相应的安全保护措施和管理要求；在业务发生变化或数据内容发生调整时，及时提出级别变更申请。

第七条 信息技术部门负责为数据定级工作提供技术支撑，包括部署和维护数据发现与识别工具、数据脱敏与加密工具、访问控制与审计系统等技术平台，协助各部门开展数据资产的自动化梳理和敏感数据识别，为不同安全级别数据的差异化技术保护提供实现方案。

第三章 数据定级等级划分

第八条 根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用后对国家安全、公共利益或者个人、组织合法权益造成的危害程度，将本单位数据安全级别划分为五个等级，从高到低依次为第五级、第四级、第三级、第二级和第一级。级别越高，代表数据的重要程度和敏感程度越高，需要采取的安全保护措施越严格。

第九条 第五级数据是指关系国家安全、国民经济命脉、重要民生、重大公共利益的数据，属于国家核心数据范畴。这类数据一旦遭到篡改、破坏、泄露或非法利用，可能直接危害国家政治安全、经济安全、国防安全、科技安全等重要领域的安全稳定，或者可能引发特别重大突发事件、特别重大群体性事件，对一个或多个省级行政区的社会正常运行造成严重影响。本单位如涉及此类数据，应当严格按照国家核心数据管理的有关规定执行，并立即向行业主管部门和国家有关机关报告。

第十条 第四级数据是指特定领域、特定群体、特定区域或者达到一定精度和规模，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能直接危害经济运行、社会稳定、公共健康和安全的重要数据。具体包括但不限于：可能直接影响宏观经济运行状况和发展趋势的数据；可能对一个或多个地区、行业内多个企业或大规模用户造成严重影响的数据；可能直接导致重大突发事件或重大群体性事件、影响一个或多个地区社会稳定的数据；法律法规明确规定要求重点保护的数据；行业主管部门明确列入重要数据目录的数据。第四级数据应当在一般数据保护的基础上实施重点保护。

第十一条 第三级数据是指具有一定敏感性和重要性，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能对单位自身的核心业务运行、商业利益、声誉形象造成严重影响，或者对大量个人主体的合法权益造成较大损害的数据。主要包括：单位的核心经营数据、财务数据、研发数据、客户资料、供应链数据等；较大规模的个人信息，包括一般个人信息和部分敏感个人信息；法律法规规章未明确要求公开的个人信息，其安全等级不得低于第三级；行业监管规定要求加强保护的业务数据。第三级数据应当采取较为全面的安全管理和技术保护措施。

第十二条 第二级数据是指具有一定内部价值，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能对单位内部的正常运营管理造成一定影响，或者对少数个人的合法权益造成有限损害的数据。主要包括：单位内部的一般行政管理数据、一般人事信息、内部工作文档、一般业务统计数据等；已经过匿名化或去标识化处理但仍具有一定参考价值的数据；法律法规未明确要求公开但泄露后影响不大的内部数据。第二级数据应当采取基本的安全管理和技术保护措施。

第十三条 第一级数据是指可以公开或已经合法公开披露的数据，这类数据的泄露或非法利用不会对国家安全、公共利益、单位合法权益或个人合法权益造成危害。主要包括：单位已经公开发布的产品信息、服务介绍、宣传材料、公开报告等；法律法规要求公开的政务信息和公共数据；经过脱敏处理后可以对外公开的统计数据等。第一级数据应当采取最低限度的安全保护措施，但仍需确保数据的完整性和可用性，防止被恶意篡改或破坏。

第四章 数据定级流程与方法

第十四条 数据定级工作按照以下流程组织实施：数据资产梳理、数据分类、数据安全定级、定级结果审核、标识与备案、动态更新。各部门应当将数据定级工作纳入日常数据管理的常规流程，不得以业务繁忙或其他理由拖延或回避。

第十五条 数据资产梳理是定级工作的基础。各部门应当对本部门所管辖的全部数据源进行全面的清查和盘点，包括各类数据库、数据表、数据字段、文件服务器、文档管理系统、业务应用系统、备份数据等结构化数据和非结构化数据。梳理工作应当明确每一类数据的名称、格式、存储位置、数据量、数据来源、数据流向、责任部门、责任人、共享范围、开放条件等基本信息，形成完整的数据资产清单。数据资产清单应当至少每年全面更新一次，遇有重大业务调整或信息系统变更时应当及时补充完善。

第十六条 数据分类是在资产梳理的基础上，按照数据的业务属性、内容特征和应用场景进行归类。分类维度可以包括业务领域、责任部门、描述对象、流程环节、数据主体、内容主题、数据用途、数据处理方式、数据来源等。常见的数据类别包括但不限于：用户数据（包括个人用户信息和组织用户信息）、业务数据（包括生产数据、销售数据、研发数据、运营数据等）、经营管理数据（包括财务数据、人力资源数据、行政数据等）、系统运行数据（包括日志数据、审计数据、配置数据等）、外部数据（包括供应商数据、合作方数据、从公开渠道获取的数据等）。数据分类应当做到全面覆盖、不重不漏，确保每一类数据都有明确的类别归属。

第十七条 数据安全定级按照以下步骤和方法进行：

第一步，识别法律法规和行业监管要求。各部门在定级时，应当首先识别所涉数据是否属于法律法规、行业规章或主管监管部门有专门管理要求的数据类别。如属于核心数据或重要数据目录范围内的数据，应当按照就高从严原则直接定级为相应级别。如属于个人信息，应当识别其中是否包含敏感个人信息，并按照个人信息保护的相关规定确定其最低安全级别。

第二步，进行危害程度分析。对于未列入核心数据和重要数据目录的数据，应当从数据一旦遭到篡改、破坏、泄露或者非法获取、非法利用后可能造成的危害对象和危害程度两个维度进行分析。危害对象包括国家安全、公共利益、单位合法权益、个人合法权益等。危害程度可以从影响范围、影响严重程度、影响持续时间等方面进行综合评估。分析时应当充分考虑数据在被大量聚合、关联分析后可能产生的衍生风险。

第三步，确定安全级别。根据危害程度分析的结果，对照本细则第八条至第十三条的等级划分标准，确定数据的安全级别。对于同一数据集合中包含多个不同级别数据项的，应当按照其中最高级别确定整个数据集合的安全级别。对于数据接口的定级，应当按照该接口响应请求所返回字段中的最高安全级别进行定级。

第四步，综合评审与确认。各部门提出的定级建议应当提交数据安全管理部门进行综合评审。评审过程中应当充分考虑数据的业务场景、使用方式、共享范围、流通渠道等实际因素，确保定级结果既符合合规要求又具有可操作性。评审通过后由数据安全管理部门统一确认并登记备案。

第十八条 对于暂时无法明确判定安全级别的数据，在完成定级之前应当按照不低于第三级的标准进行临时保护，待确定等级后再调整为相应的保护措施。任何数据不得以级别未定为理由而放弃安全保护。

第五章 定级结果管理与动态调整

第十九条 数据安全管理部门应当建立统一的数据安全级别目录台账，对所有已定级的数据资产进行分类登记，记录数据名称、类别、安全级别、定级依据、定级日期、责任部门、责任人、保护措施等完整信息。台账应当以电子化和纸质化两种方式同时保存，确保数据的可追溯性和可审计性。

第二十条 数据安全级别目录台账应当按照数据的重要程度和敏感程度实行分级管理，第五级和第四级数据的台账信息应当严格控制知悉范围，采取额外的保密措施，防止台账本身成为敏感信息泄露的渠道。

第二十一条 数据定级结果实行动态调整机制。出现下列情形之一的，相关部门应当及时启动级别复核程序：数据内容发生实质性变化，新增或删除了关键信息；数据处理的目的、方式或应用场景发生了重大变化；相关法律法规、行业标准或监管要求发生了调整；数据安全事件发生后，经评估发现原有定级偏低或偏高；数据共享范围或开放条件发生了变化；业务系统进行了重大升级或迁移；数据量级达到了一定规模后可能产生新的安全风险。级别复核由数据所属部门提出申请，数据安全管理部门组织评审，必要时可以邀请外部专家参与评估。级别调整决定应当以书面形式通知相关部门，并同步更新数据安全级别目录台账。

第二十二条 每年至少组织开展一次全单位范围的数据定级复查工作，由数据安全管理部门牵头，各业务部门配合，对全部数据资产的安全级别进行系统性的复核和评估。复查结果应当形成书面报告，报送数据安全管理工作领导小组审阅。对于复查中发现的定级不准确、保护措施不到位等问题，应当及时整改。

第六章 不同级别数据的安全保护要求

第二十三条 数据安全保护遵循分级防护的原则，不同安全级别的数据应当采取差异化的安全保护措施。数据安全保护措施包括管理措施和技术措施两个方面，二者应当相互配合、互为补充。

第二十四条 第一级数据的安全保护要求：确保数据的完整性和可用性，防止数据被恶意篡改或破坏；采取基本的访问控制措施，防止非授权修改；对数据的公开范围进行适当管理，确保公开数据的准确性和时效性。第一级数据的保护可以参照单位一般信息资产的管理标准执行。

第二十五条 第二级数据的安全保护要求：在满足第一级保护要求的基础上，增加以下措施：建立基本的访问权限管理机制，按照最小必要原则授予访问权限；对数据的访问、使用、复制、共享等操作进行基本的日志记录；采取必要的技术措施防止数据被非授权获取或泄露；制定基本的数据安全管理规范并督促落实。第二级数据的保护应当纳入单位日常信息安全管理的常规流程。

第二十六条 第三级数据的安全保护要求：在满足第二级保护要求的基础上，增加以下措施：建立较为全面的数据安全管理制度和操作规程；实施严格的访问控制策略，对不同岗位、不同角色的访问权限进行精细化配置；对敏感数据字段采取加密存储或脱敏处理措施；对数据的全生命周期进行较为完整的审计跟踪；定期对数据安全保护措施的有效性进行测试和评估；对接触第三级数据的人员进行专门的安全培训和保密教育；建立数据安全事件应急响应机制，明确事件报告流程和处置预案。

第二十七条 第四级数据的安全保护要求：在满足第三级保护要求的基础上，增加以下措施：建立重要数据专项管理制度，明确重要数据处理的审批和登记流程；对重要数据的处理活动实行更加严格的权限管控，建立双人操作、相互监督的机制；对重要数据的存储和传输实施高强度的加密保护；建立重要数据的备份和容灾机制，确保数据的可用性和可恢复性；定期开展针对重要数据的安全风险评估，评估结果报送行业监管部门；制定重要数据安全事件专项应急预案，定期组织应急演练；按照行业监管部门的要求，完成重要数据的识别、备案和报送工作；对重要数据的出境活动严格按照国家有关规定进行安全评估。

第二十八条 第五级数据的安全保护要求：在满足第四级保护要求的基础上，实施更加严格的全方位保护。具体保护措施按照国家关于核心数据管理的专门规定执行，包括但不限于：实行最高级别的访问控制和权限管理；实施全生命周期的加密保护和严格审计；建立专门的物理隔离和逻辑隔离环境；制定核心数据安全管理的专项制度和操作规范；配备专职的安全管理人员和技术人员；建立多层次、多维度的安全监测和预警体系。本单位如涉及第五级数据，还应当及时向行业主管部门和国家有关机关报告，并严格按照其指导要求落实保护措施。

第二十九条 当同一数据处理活动中涉及多个不同安全级别的数据时，整体安全保护水平应当按照其中最高级别数据的要求执行。当不同级别的数据被混合存储或处理时，应当采取有效的技术手段进行逻辑隔离或物理隔离，防止低级别数据成为高级别数据安全风险的突破口。

第七章 定级工作的监督与考核

第三十条 数据安全管理部门应当建立数据定级工作的监督检查机制，定期对各部门的数据资产梳理情况、定级准确性、级别标识规范性、保护措施落实情况等进行抽查和审计。对于检查中发现的问题，应当下达整改通知书，明确整改要求和期限，并跟踪整改落实情况。

第三十一条 将数据安全定级管理工作纳入各部门的年度工作考核体系。对于定级工作落实到位、数据安全保护措施有效的部门和个人，给予表彰或奖励。对于未按规定开展数据定级工作、定级结果严重失实、保护措施严重缺失导致数据安全事件发生的部门和个人，依据本单位相关规定追究管理责任，情节严重的依法依规移送有关部门处理。

第三十二条 任何部门和个人有权向数据安全管理部门举报数据定级管理中的违法违规行为。数据安全管理部门应当对举报信息予以保密，并及时核查处理。

第八章 附则

第三十三条 本细则由数据安全管理部门负责解释和修订。各部门可以根据本细则，结合本部门业务特点和实际情况，制定本部门的数据定级操作细则或实施办法，报数据安全管理部门备案后执行。

第三十四条 本细则如与国家法律法规、行业监管规定或上级主管部门的要求不一致的，以国家法律法规、行业监管规定或上级主管部门的要求为准。本细则未尽事宜，参照相关法律法规、国家标准和行业规范执行。

第三十五条 本细则自发布之日起施行，原有相关规定与本细则不一致的，以本细则为准。