《核能領(lǐng)域數(shù)據(jù)分類分級(jí)指南》-編制說明

《核能領(lǐng)域數(shù)據(jù)分類分級(jí)指南》編制說明（征求意見稿）一、工作簡(jiǎn)況1、任務(wù)來源為貫徹《中華人民共和國數(shù)據(jù)安全法》，落實(shí)、細(xì)化、規(guī)范核能行業(yè)數(shù)據(jù)安全具體工作，增強(qiáng)核能領(lǐng)域數(shù)據(jù)全生命周期安全防護(hù)的能力，提升核能行業(yè)整體數(shù)據(jù)安全水平，中國核能行業(yè)協(xié)會(huì)信息化專業(yè)委員會(huì)組織行業(yè)內(nèi)外相關(guān)單位共同編制核能領(lǐng)域數(shù)據(jù)安全系列標(biāo)準(zhǔn)。2022年12月15日，中國核能行業(yè)協(xié)會(huì)信息化專業(yè)委員會(huì)（簡(jiǎn)稱“信專委”）發(fā)函“關(guān)于商請(qǐng)參加核能領(lǐng)域數(shù)據(jù)安全標(biāo)準(zhǔn)編制工作的函”（核協(xié)信專函〔2022〕29號(hào)）。本標(biāo)準(zhǔn)《核能領(lǐng)域數(shù)據(jù)分類分級(jí)指南》為其中用于指導(dǎo)核能行業(yè)開展數(shù)據(jù)分類分級(jí)工作的規(guī)范。2、主要工作過程本標(biāo)準(zhǔn)各階段進(jìn)度計(jì)劃安排如下：2022年底前完成工作研討和初步意向征集；2023年第一季度基于對(duì)中核礦業(yè)科技集團(tuán)有限公司、福建福清核電有限公司開展數(shù)據(jù)安全檢測(cè)評(píng)估活動(dòng)契機(jī)，調(diào)研相關(guān)單位數(shù)據(jù)分類分級(jí)現(xiàn)狀；2023年第一季度完成標(biāo)準(zhǔn)草案和立項(xiàng)工作；2023年第二季度完成定向意見征求；2023年第三季度完成公開意見征求；2024年第二季度完成標(biāo)準(zhǔn)送審稿；2024年第三季度完成標(biāo)準(zhǔn)報(bào)批稿。當(dāng)前標(biāo)準(zhǔn)編制進(jìn)展描述如下：2022年12月，信專委完成標(biāo)準(zhǔn)立項(xiàng)前的工作研討和初步意向征集；2023年1月13日，中國核能行業(yè)協(xié)會(huì)召開團(tuán)體標(biāo)準(zhǔn)立項(xiàng)評(píng)審會(huì)，該標(biāo)準(zhǔn)在會(huì)上通過立項(xiàng)審查，并通過公示期；2023年3月2日，信專委組織召開了組內(nèi)工作推進(jìn)會(huì)議，完成了標(biāo)準(zhǔn)編寫規(guī)范和方法的培訓(xùn)，并對(duì)標(biāo)準(zhǔn)立項(xiàng)評(píng)審過程中專家提的意見進(jìn)行了整改響應(yīng)；2023年10月18日，信專委組織召開加快推進(jìn)核能領(lǐng)域數(shù)據(jù)安全標(biāo)準(zhǔn)編制工作會(huì)議，宣貫政府主管部門對(duì)核能領(lǐng)域數(shù)據(jù)安全工作新的要求，并提出加快數(shù)據(jù)安全標(biāo)準(zhǔn)編制工作；2023年11-12月，標(biāo)準(zhǔn)編制組對(duì)標(biāo)準(zhǔn)內(nèi)容進(jìn)一步完善，形成征求意見稿；2024年2-3月，準(zhǔn)備標(biāo)準(zhǔn)定向征求意見、公開征求意見。3、主要參加單位和工作組成員及其所作的工作等本文件編制的參與單位和分工如下：?jiǎn)挝幻Q編寫分工主要承擔(dān)工作中核礦業(yè)科技集團(tuán)有限公司組長(zhǎng)單位牽頭編制國核示范電站有限責(zé)任公司成員單位參與編制華能山東石島灣核電有限公司成員單位參與編制同方知網(wǎng)數(shù)字出版技術(shù)股份有限公司成員單位參與編制福建福清核電有限公司成員單位參與編制北京啟明星辰信息安全技術(shù)有限公司成員單位參與編制中國寶原投資有限公司成員單位參與各階段的討論和評(píng)審二、標(biāo)準(zhǔn)編制原則和主要內(nèi)容1、標(biāo)準(zhǔn)編制原則本標(biāo)準(zhǔn)的編制旨在指導(dǎo)核行業(yè)單位組織實(shí)施文檔評(píng)估，幫助管理主體查找短板，提升文檔管理水平。本標(biāo)準(zhǔn)本著公正性、科學(xué)性、實(shí)用性的原則編制。公正性本標(biāo)準(zhǔn)在實(shí)施過程中，要求以掌握的事實(shí)材料為依據(jù)，尊重客觀事實(shí)，不帶有主觀隨意性，不受外界干擾、不遷就任何單位和個(gè)人的片面要求?？茖W(xué)性本標(biāo)準(zhǔn)研究了國內(nèi)外企業(yè)文檔管理的指標(biāo)、評(píng)價(jià)體系的制定和執(zhí)行情況及相關(guān)法規(guī)要求，基于國內(nèi)核行業(yè)單位文檔管理及評(píng)價(jià)體系的建設(shè)需求，參考相關(guān)DA、GB標(biāo)準(zhǔn)，結(jié)合多個(gè)核行業(yè)單位的文檔管理實(shí)踐和管理特點(diǎn)進(jìn)行編制。實(shí)用性本標(biāo)準(zhǔn)的指標(biāo)設(shè)計(jì)立足現(xiàn)有企事業(yè)文檔管理實(shí)踐，內(nèi)容全面、指導(dǎo)性強(qiáng)，達(dá)到促進(jìn)企事業(yè)文檔管理規(guī)范、安全、有效的目的。2、標(biāo)準(zhǔn)主要內(nèi)容的依據(jù)2.1概述按照GB/T1.1-2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。本標(biāo)準(zhǔn)給出了標(biāo)準(zhǔn)適用范圍，明確了數(shù)據(jù)分類分級(jí)基本原則，制定了數(shù)據(jù)分類的框架方法、數(shù)據(jù)分級(jí)的框架方法，提供了數(shù)據(jù)分類分級(jí)基本實(shí)施流程等，增加了核能行業(yè)數(shù)據(jù)分類參考示例、影響對(duì)象影響程度描述、核能行業(yè)數(shù)據(jù)清單分級(jí)行業(yè)示例進(jìn)一步進(jìn)行補(bǔ)充說明。2.2主要技術(shù)內(nèi)容說明2.2.1第1章范圍 本章概述了本標(biāo)準(zhǔn)的編制內(nèi)容，規(guī)定了本標(biāo)準(zhǔn)的編制目的和適用范圍。本標(biāo)準(zhǔn)適用于核能領(lǐng)域數(shù)據(jù)處理者開展數(shù)據(jù)分類分級(jí)工作。2.2.2第2章規(guī)范性引用文件核能領(lǐng)域數(shù)據(jù)分類分級(jí)指南引用GB/T25069—2022信息安全技術(shù)術(shù)語的規(guī)范構(gòu)成本文件。2.2.3第3章術(shù)語和定義本標(biāo)準(zhǔn)中的術(shù)語及定義部分參照國家、行業(yè)標(biāo)準(zhǔn)規(guī)范中已有的相應(yīng)術(shù)語給出定義。其中：“數(shù)據(jù)”參照數(shù)據(jù)安全法中第三條給出的定義；“重要數(shù)據(jù)”參照GB/T41479—2022信息安全技術(shù)網(wǎng)絡(luò)數(shù)據(jù)處理安全要求給出術(shù)語定義；“核心數(shù)據(jù)”參照《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例(征求意見稿)》第七十三條給出術(shù)語定義；“一般數(shù)據(jù)”、“組織數(shù)據(jù)”、“衍生數(shù)據(jù)”、“行業(yè)領(lǐng)域數(shù)據(jù)”參考借鑒全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)(SAC/TC260)提出并歸口《信息安全技術(shù)網(wǎng)絡(luò)數(shù)據(jù)分類分級(jí)要求(征求意見稿)》給出的術(shù)語定義?！皵?shù)據(jù)分類”、“數(shù)據(jù)分級(jí)”自定義。2.2.4第4章基本原則本章闡述了核能領(lǐng)域全產(chǎn)業(yè)鏈條、多業(yè)務(wù)場(chǎng)景數(shù)據(jù)進(jìn)行分類分級(jí)基本原則。在遵循國家數(shù)據(jù)分類分級(jí)保護(hù)要求的基礎(chǔ)上，優(yōu)先開展數(shù)據(jù)分類分級(jí)管理，實(shí)現(xiàn)核能行業(yè)領(lǐng)域數(shù)據(jù)在數(shù)據(jù)全生命周期安全治理，數(shù)據(jù)分類分級(jí)遵循科學(xué)實(shí)用、邊界清晰、就高從嚴(yán)、點(diǎn)面結(jié)合、靈活擴(kuò)展、動(dòng)態(tài)更新的六大原則。2.2.5第5章核能領(lǐng)域數(shù)據(jù)分類本章圍繞核能行業(yè)數(shù)據(jù)的屬性、特征闡述了數(shù)據(jù)分類的前置工作、細(xì)化框架、分類方法及步驟流程。數(shù)據(jù)分類是數(shù)據(jù)保護(hù)工作中的關(guān)鍵部分，構(gòu)成專業(yè)化、標(biāo)準(zhǔn)化開展數(shù)據(jù)管理工作的重要基礎(chǔ)。在開展核能領(lǐng)域數(shù)據(jù)分類之前，盤點(diǎn)數(shù)據(jù)擁有者的數(shù)據(jù)資產(chǎn)，建立數(shù)據(jù)資產(chǎn)全景，便于確定數(shù)據(jù)分類方法。按照業(yè)務(wù)屬性維度搭建數(shù)據(jù)分類框架，包括但不限于業(yè)務(wù)領(lǐng)域、責(zé)任部門、描述對(duì)象、上下游環(huán)節(jié)、數(shù)據(jù)主題、數(shù)據(jù)用途、數(shù)據(jù)處理、數(shù)據(jù)來源。數(shù)據(jù)分類大致步驟為：先明確數(shù)據(jù)范圍，明確核能行業(yè)領(lǐng)域管理數(shù)據(jù)范圍；后細(xì)化業(yè)務(wù)劃分，明確業(yè)務(wù)條線關(guān)鍵業(yè)務(wù)歸屬；再按需選擇業(yè)務(wù)屬性針對(duì)關(guān)鍵業(yè)務(wù)數(shù)據(jù)歸類；最后根據(jù)數(shù)據(jù)管理和使用需求，確定分類規(guī)則。數(shù)據(jù)分類工作開展流程包括開展業(yè)務(wù)數(shù)據(jù)分類、判斷是否存在法律法規(guī)或主管監(jiān)管部門有專門管理要求的數(shù)據(jù)類別、識(shí)別核能領(lǐng)域數(shù)據(jù)分類規(guī)則未覆蓋的數(shù)據(jù)分類。2.2.6第6章核能領(lǐng)域數(shù)據(jù)分級(jí)本章闡述了核能領(lǐng)域數(shù)據(jù)分級(jí)框架、分級(jí)要素、數(shù)據(jù)影響、分級(jí)規(guī)則及分級(jí)步驟等。數(shù)據(jù)分級(jí)能夠?yàn)槠髽I(yè)有針對(duì)性制定數(shù)據(jù)安全管控措施提供支撐。明確核能領(lǐng)域數(shù)據(jù)分級(jí)框架，數(shù)據(jù)分級(jí)主要從數(shù)據(jù)安全保護(hù)的角度，考慮影響對(duì)象、影響程度兩個(gè)要素進(jìn)行分級(jí)。根據(jù)核能數(shù)據(jù)內(nèi)容，通過定量與定性相結(jié)合的方式,綜合確定數(shù)據(jù)級(jí)別。

在數(shù)據(jù)分級(jí)框架中，影響對(duì)象要素描述核能行業(yè)數(shù)據(jù)一旦遭到泄露、篡改、破壞或者非法獲取、非法利用、非法共享，可能影響的對(duì)象。影響程度要素說明數(shù)據(jù)一旦遭到篡改、破壞、泄露或者非法獲取、非法利用后，所造成的危害影響大小。梳理數(shù)據(jù)分級(jí)工作開展步驟，依次為確定分級(jí)對(duì)象、識(shí)別分級(jí)要素、分析數(shù)據(jù)影響、綜合確定級(jí)別。并在原有數(shù)據(jù)的安全級(jí)別不適用變化后的數(shù)據(jù)，應(yīng)及時(shí)更新數(shù)據(jù)分類分級(jí)結(jié)果。以實(shí)際業(yè)務(wù)為導(dǎo)向，通過判斷數(shù)據(jù)影響對(duì)象及影響程度，進(jìn)行核能領(lǐng)域數(shù)據(jù)分級(jí)實(shí)踐。2.2.7第7章數(shù)據(jù)分類分級(jí)識(shí)別流程本章總結(jié)了核能領(lǐng)域數(shù)據(jù)分類總體流程，數(shù)據(jù)處理者據(jù)此推進(jìn)實(shí)施。數(shù)據(jù)分類分級(jí)實(shí)施流程包括數(shù)據(jù)資產(chǎn)梳理、數(shù)據(jù)分類、數(shù)據(jù)分級(jí)、審核上報(bào)目錄、動(dòng)態(tài)更新管理。全面梳理數(shù)據(jù)資產(chǎn)，形成數(shù)據(jù)資產(chǎn)識(shí)別清單；建立數(shù)據(jù)分類規(guī)則，完成行業(yè)數(shù)據(jù)分類；識(shí)別數(shù)據(jù)分級(jí)因素，綜合確定數(shù)據(jù)定級(jí)；審核數(shù)據(jù)分類分級(jí)結(jié)果，報(bào)送上級(jí)主管部門；根據(jù)數(shù)據(jù)重要程度和可能造成的危害程度變化，動(dòng)態(tài)更新數(shù)據(jù)級(jí)別。2.2.8附錄《核能領(lǐng)域數(shù)據(jù)分類參考示例》、《影響對(duì)象影響程度描述》、《核能領(lǐng)域數(shù)據(jù)清單分級(jí)示例表》《核能領(lǐng)域數(shù)據(jù)分類參考示例》從數(shù)據(jù)描述對(duì)象角度列舉核能領(lǐng)域分類示例，先確定行業(yè)領(lǐng)域數(shù)據(jù)主題域分類框架，基于管理和業(yè)務(wù)條線劃分，再基于業(yè)務(wù)細(xì)分進(jìn)行數(shù)據(jù)主題域劃分，粒度劃分到一、二級(jí)主題?！队绊憣?duì)象影響程度描述》結(jié)合組織管理與業(yè)務(wù)運(yùn)行實(shí)際，針對(duì)國家安全、公共利益、組織合法權(quán)益三個(gè)影響對(duì)象，產(chǎn)生嚴(yán)重危害、一般危害、輕微危害、無危害的不同影響程度具體列舉示例進(jìn)行分析說明。《核能領(lǐng)域數(shù)據(jù)清單分級(jí)示例表》針對(duì)核能領(lǐng)域數(shù)據(jù)類型或數(shù)據(jù)能力，例如核燃料產(chǎn)能、儲(chǔ)存數(shù)據(jù)，乏燃料后處理能力，設(shè)備數(shù)據(jù)等，給出數(shù)據(jù)清單名稱，描述數(shù)據(jù)清單內(nèi)容，給出數(shù)據(jù)建議分級(jí)，并提出分級(jí)依據(jù)，為核能行業(yè)數(shù)據(jù)分級(jí)工作推進(jìn)提供參考。3、解決的主要問題核能產(chǎn)業(yè)數(shù)字化轉(zhuǎn)型過程中，數(shù)據(jù)信息量劇增，數(shù)據(jù)權(quán)屬、數(shù)據(jù)交換、數(shù)據(jù)價(jià)值挖掘等方面的工作都面臨“數(shù)據(jù)安全”的威脅和挑戰(zhàn)。目前仍缺少針對(duì)核能行業(yè)業(yè)務(wù)特點(diǎn)的一套行之有效的實(shí)操性方法，指導(dǎo)開展核能行業(yè)自己的數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估工作。學(xué)習(xí)借鑒國家其它行業(yè)領(lǐng)域的經(jīng)驗(yàn)，開展核能領(lǐng)域數(shù)據(jù)安全標(biāo)準(zhǔn)編制，制定了數(shù)據(jù)分類分級(jí)基本原則、數(shù)據(jù)分類的框架方法、數(shù)據(jù)分級(jí)的框架方法、基本實(shí)施流程等，增加了核能行業(yè)數(shù)據(jù)示例，有效規(guī)范數(shù)據(jù)處理活動(dòng)、促進(jìn)數(shù)據(jù)依法有序流動(dòng)、促進(jìn)數(shù)據(jù)開發(fā)利用，保障核能數(shù)據(jù)全生命周期安全。三、主要試驗(yàn)（或驗(yàn)證）情況本標(biāo)準(zhǔn)提出核能領(lǐng)域數(shù)據(jù)分類分級(jí)方法，相關(guān)技術(shù)和管理?xiàng)l款源于核能企業(yè)數(shù)據(jù)全生命周期管理實(shí)踐。同時(shí)，為使標(biāo)準(zhǔn)內(nèi)容更加符合應(yīng)用實(shí)際，在標(biāo)準(zhǔn)應(yīng)用階段可以更加有效地指導(dǎo)核能企業(yè)開展數(shù)據(jù)安全檢測(cè)評(píng)估工作，協(xié)會(huì)信專委面向核行業(yè)廣泛征集數(shù)據(jù)安全分類分級(jí)問題及相關(guān)工作建議，經(jīng)研究后提煉共性問題、在標(biāo)準(zhǔn)內(nèi)容中予以完善。四、標(biāo)準(zhǔn)中涉及專利的情況本標(biāo)準(zhǔn)的某些內(nèi)容可能涉及專利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別專利的責(zé)任。五、預(yù)期達(dá)到的社會(huì)效益、對(duì)產(chǎn)業(yè)發(fā)展的作用等情況我國高度重視數(shù)據(jù)安全，2021年9月，我國出臺(tái)《數(shù)據(jù)安全法》。其中，第二十一條明確規(guī)定國家建立數(shù)據(jù)分類分級(jí)保護(hù)制度，對(duì)數(shù)據(jù)實(shí)行分級(jí)分類保護(hù)。要求各地區(qū)、各部門應(yīng)當(dāng)按照數(shù)據(jù)分類分級(jí)保護(hù)制度，，確定本地區(qū)、本部門以及相關(guān)行業(yè)、領(lǐng)域的重要數(shù)據(jù)具體目錄，對(duì)列入目錄的數(shù)據(jù)進(jìn)行重點(diǎn)保護(hù)。核領(lǐng)域安全事關(guān)國家安危、人民健康、社會(huì)穩(wěn)定、經(jīng)濟(jì)發(fā)展及大國地位，數(shù)據(jù)安全是核領(lǐng)域安全的重要組成部分。核能領(lǐng)域數(shù)據(jù)呈現(xiàn)多源異構(gòu)的特點(diǎn)，價(jià)值各不相同，不能等同視之，核領(lǐng)域數(shù)據(jù)分類分級(jí)是實(shí)施數(shù)據(jù)全生命周期安全保護(hù)措施的重點(diǎn)和前提。核能行業(yè)出臺(tái)數(shù)據(jù)分級(jí)分類指南意義重大，只有在科學(xué)規(guī)范的分類分級(jí)基礎(chǔ)上，才能有效規(guī)范數(shù)據(jù)處理活動(dòng)，保障數(shù)據(jù)安全，才能更好地促進(jìn)數(shù)據(jù)依法有序自由流動(dòng)，促進(jìn)數(shù)據(jù)開發(fā)利用，才能有利于從操作層面推進(jìn)數(shù)據(jù)分類分級(jí)落地實(shí)施，提升行業(yè)數(shù)據(jù)管理能力，進(jìn)一步推動(dòng)以數(shù)據(jù)為關(guān)鍵要素的數(shù)字經(jīng)濟(jì)發(fā)展。該標(biāo)準(zhǔn)緊密結(jié)合核能企業(yè)生產(chǎn)經(jīng)營實(shí)踐反饋，對(duì)接產(chǎn)業(yè)全鏈條全場(chǎng)景數(shù)據(jù)顆粒度，充分?jǐn)U展標(biāo)準(zhǔn)的行業(yè)適應(yīng)性，指導(dǎo)核能行業(yè)數(shù)據(jù)分類分級(jí)工作開展，促進(jìn)分類分級(jí)標(biāo)準(zhǔn)在核能行業(yè)落地應(yīng)用，提高核能企業(yè)數(shù)據(jù)安全保障能力。六、與國際、國外對(duì)比情況目前未查詢到核能領(lǐng)域數(shù)據(jù)分類分級(jí)相關(guān)的國際、國外標(biāo)準(zhǔn)。七、在標(biāo)準(zhǔn)體系中的位置，與現(xiàn)行相關(guān)法律、法規(guī)、規(guī)章及標(biāo)準(zhǔn)，特別是強(qiáng)制性標(biāo)準(zhǔn)的協(xié)調(diào)性我國現(xiàn)有的相關(guān)標(biāo)準(zhǔn)，“GB/T37988-2019信息安全技術(shù)數(shù)據(jù)安全能力成熟度模型”主要提出了數(shù)據(jù)安全成熟度模型，“GB/T20984—2022信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估方法”是網(wǎng)絡(luò)與信息系統(tǒng)安全防護(hù)標(biāo)準(zhǔn)，“GB/T41479—2022《信息安全技術(shù)網(wǎng)絡(luò)數(shù)據(jù)處理安全要求》”，在總體要求中明確了網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng)要求。2021年是我國數(shù)據(jù)安全政策元年，2021年9月，《數(shù)據(jù)安全法》正式出臺(tái)，2022年數(shù)據(jù)安全合規(guī)建設(shè)全面啟動(dòng)，在數(shù)據(jù)安全安全