DB50T 1453-2023 工業(yè)數(shù)據(jù)分類分級導(dǎo)則

ICS35.240.50CCSL04DB50重慶市市場監(jiān)督管理局發(fā)布DB50/T1453—2023前言 12規(guī)范性引用文件 13術(shù)語和定義 14工業(yè)數(shù)據(jù)分類分級 14.1總體原則 14.2分類維度 24.3分類方法 24.4分級維度 34.5分級方法 35工業(yè)數(shù)據(jù)分級管控防護(hù) 35.1工業(yè)數(shù)據(jù)分級防護(hù)要求 35.2工業(yè)數(shù)據(jù)全生命周期 45.3基于工業(yè)數(shù)據(jù)全生命周期的防護(hù)措施 46分類分級流程 56.1概述 56.2分類分級準(zhǔn)備 66.3實(shí)施工業(yè)數(shù)據(jù)分類分級 66.4實(shí)施分級管控防護(hù) 76.5結(jié)果評估 76.6優(yōu)化改進(jìn) 8附錄A（資料性）工業(yè)企業(yè)數(shù)據(jù)分類分級詳細(xì)描述表示例 9參考文獻(xiàn) IDB50/T1453—2023本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起請注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識別專利的責(zé)任。本文件由重慶市工業(yè)互聯(lián)網(wǎng)發(fā)展研究中心（中國工業(yè)互聯(lián)網(wǎng)研究院重慶分院）提出。本文件由重慶市大數(shù)據(jù)應(yīng)用發(fā)展管理局歸口并組織實(shí)施。本文件起草單位：重慶市工業(yè)互聯(lián)網(wǎng)發(fā)展研究中心（中國工業(yè)互聯(lián)網(wǎng)研究院重慶分院）、重慶郵電大學(xué)、重慶市質(zhì)量和標(biāo)準(zhǔn)化研究院、重慶大學(xué)、重慶電子工程職業(yè)學(xué)院、重慶優(yōu)米工業(yè)自動(dòng)化設(shè)備有限公司、工因特（重慶）科技有限公司、重慶西辰智能技術(shù)有限公司、中移物聯(lián)網(wǎng)有限公司、數(shù)字重慶大數(shù)據(jù)應(yīng)用發(fā)展有限公司、重慶飛象工業(yè)互聯(lián)網(wǎng)有限公司。本文件主要起草人：郭剛、陳宏果、賈云健、葉林佶、楊超、唐萍峰、黃慶卿、張程、夏中靈、魏旻、魯金屏、馬曉雙、竇俊豪、杜雪飛、盛佳會、樊陸陸、丁源、樊超、邱江、林紫微、溫智宇、劉軒宏、穆金剛、李斌、李良健、楊益、王強(qiáng)、歐陽光。DB50/T1453—2023工業(yè)數(shù)據(jù)分類分級導(dǎo)則本文件規(guī)定了工業(yè)數(shù)據(jù)分類分級、分級管控防護(hù)的要求，提供了工業(yè)數(shù)據(jù)分類分級流程。本文件適用于工業(yè)數(shù)據(jù)分類分級和分級管控防護(hù)。本文件不適用涉及國家秘密信息的工業(yè)數(shù)據(jù)分類分級和分級管控防護(hù)。2規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/TGB/T4754-201738667-2020國民經(jīng)濟(jì)行業(yè)分類信息技術(shù)大數(shù)據(jù)數(shù)據(jù)分類指南3術(shù)語和定義GB/T38667-2020界定的以及下列術(shù)語和定義適用于本文件。3.1工業(yè)數(shù)據(jù)industrialdata工業(yè)領(lǐng)域產(chǎn)品和服務(wù)全生命周期產(chǎn)生和應(yīng)用的數(shù)據(jù)，包括但不限于工業(yè)企業(yè)在研發(fā)設(shè)計(jì)、生產(chǎn)制造、經(jīng)營管理、運(yùn)維服務(wù)等環(huán)節(jié)中生成和使用的數(shù)據(jù)，以及工業(yè)互聯(lián)網(wǎng)平臺企業(yè)在設(shè)備接入、平臺運(yùn)行、工業(yè)APP應(yīng)用等過程中生成和使用的數(shù)據(jù)。3.2工業(yè)數(shù)據(jù)分類industrialdataclassification按照工業(yè)數(shù)據(jù)具有的某種共同屬性或特征（包括數(shù)據(jù)對象、重要程度、開放屬性、業(yè)務(wù)場景、行業(yè)要求等），采用一定的原則和方法進(jìn)行區(qū)分和歸類，以便于管理和使用工業(yè)數(shù)據(jù)。3.3工業(yè)數(shù)據(jù)分級industrialdatagrading按照不同類別的工業(yè)數(shù)據(jù)遭到破壞（包括篡改、攻擊、泄露或非法利用等）后可能對工業(yè)生產(chǎn)、經(jīng)濟(jì)效益等帶來的潛在影響，對工業(yè)數(shù)據(jù)進(jìn)行定級，為工業(yè)數(shù)據(jù)全生命周期管理的安全策略制定提供支撐。4工業(yè)數(shù)據(jù)分類分級4.1總體原則1DB50/T1453—2023在遵循國家數(shù)據(jù)分類分級保護(hù)要求的基礎(chǔ)上，按照工業(yè)數(shù)據(jù)所屬行業(yè)領(lǐng)域進(jìn)行分類分級管理，工業(yè)數(shù)據(jù)分類分級以提升企業(yè)數(shù)據(jù)管理能力為目標(biāo)，堅(jiān)持問題導(dǎo)向、目標(biāo)導(dǎo)向和結(jié)果導(dǎo)向相結(jié)合，企業(yè)主體、行業(yè)指導(dǎo)和屬地監(jiān)管相結(jié)合，分類標(biāo)識、逐類定級和分級管理相結(jié)合。4.2分類維度分類維度宜根據(jù)工業(yè)數(shù)據(jù)產(chǎn)生情況、業(yè)務(wù)類型、存儲情況、應(yīng)用情況進(jìn)行劃分，包括但不限于：a)工業(yè)數(shù)據(jù)所屬行業(yè)類別；b)工業(yè)數(shù)據(jù)業(yè)務(wù)類型；c)工業(yè)數(shù)據(jù)產(chǎn)生的部門；d)工業(yè)數(shù)據(jù)存儲方式；e)工業(yè)數(shù)據(jù)存儲位置；f)工業(yè)數(shù)據(jù)更新頻率；g)工業(yè)數(shù)據(jù)用途。4.2.1根據(jù)所屬行業(yè)類別分類工業(yè)數(shù)據(jù)所屬行業(yè)類別包含電子信息相關(guān)行業(yè)、裝備相關(guān)行業(yè)、消費(fèi)品相關(guān)行業(yè)、石化化工相關(guān)行業(yè)、鋼鐵相關(guān)行業(yè)、有色金屬相關(guān)行業(yè)等，具體按照GB/T4754—2017的要求進(jìn)行分類。4.2.2根據(jù)業(yè)務(wù)類型分類根據(jù)工業(yè)企業(yè)的業(yè)務(wù)場景進(jìn)行分類，主要包括研發(fā)數(shù)據(jù)、生產(chǎn)管理數(shù)據(jù)、人事管理數(shù)據(jù)、經(jīng)營數(shù)據(jù)、財(cái)務(wù)數(shù)據(jù)、運(yùn)維數(shù)據(jù)、外部數(shù)據(jù)等。為了更詳細(xì)地描述業(yè)務(wù)場景，可繼續(xù)劃分為一級子類和二級子類進(jìn)行說明。4.2.3根據(jù)產(chǎn)生的部門分類根據(jù)工業(yè)數(shù)據(jù)產(chǎn)生來源的工業(yè)企業(yè)的具體部門或組織機(jī)構(gòu)進(jìn)行分類。4.2.4根據(jù)存儲方式分類根據(jù)工業(yè)數(shù)據(jù)儲存方式進(jìn)行分類，主要包括紙質(zhì)文檔、電子文檔、電子表格、數(shù)據(jù)庫、數(shù)據(jù)倉庫、云存儲等。4.2.5根據(jù)存儲位置分類結(jié)合工業(yè)數(shù)據(jù)的存儲方式，按照存儲位置進(jìn)行分類，主要包括檔案保管場所、公共電腦、部門電腦、本地服務(wù)器、云服務(wù)器等。4.2.6根據(jù)更新頻率分類綜合考慮工業(yè)數(shù)據(jù)的更新頻率、訪問頻次和分析引用程度，可分為三類：冷數(shù)據(jù)、溫?cái)?shù)據(jù)和熱數(shù)據(jù)。4.2.7根據(jù)用途分類根據(jù)工業(yè)數(shù)據(jù)的用途和使用場景進(jìn)行分類，主要包括業(yè)務(wù)數(shù)據(jù)、制造過程數(shù)據(jù)、主題數(shù)據(jù)、監(jiān)控?cái)?shù)據(jù)、展示數(shù)據(jù)、場景分析數(shù)據(jù)等。4.3分類方法2DB50/T1453—2023工業(yè)數(shù)據(jù)分類方法參照GB/T38667-2020第8章的相關(guān)要求，根據(jù)分類維度的排列組合，采用線面結(jié)合的混合分類方法。4.4分級維度根據(jù)不同類別的工業(yè)數(shù)據(jù)遭到破壞（包括篡改、攻擊、泄露或非法利用等）后，對工業(yè)生產(chǎn)、經(jīng)濟(jì)效益等帶來的潛在影響的范圍和程度進(jìn)行安全分級，將工業(yè)數(shù)據(jù)劃分為三種安全級別，由高至低分別為：核心數(shù)據(jù)（L3級）、重要數(shù)據(jù)（L2級）、一般數(shù)據(jù)（L1級），三種級別的判斷標(biāo)準(zhǔn)具體如表1所示。表1工業(yè)數(shù)據(jù)級別與判斷標(biāo)準(zhǔn)對國民經(jīng)濟(jì)、行業(yè)發(fā)展、公眾利益、社會秩序乃至國家安4.5分級方法工業(yè)數(shù)據(jù)分級方法按照每個(gè)等級的不同特征和要求將工業(yè)數(shù)據(jù)進(jìn)行分級。其主要分為三個(gè)階段：分類、評估、測試。根據(jù)工業(yè)數(shù)據(jù)的屬性及使用目的進(jìn)行等級劃分，并確定工業(yè)數(shù)據(jù)權(quán)限。5工業(yè)數(shù)據(jù)分級管控防護(hù)5.1工業(yè)數(shù)據(jù)分級防護(hù)要求根據(jù)工業(yè)數(shù)據(jù)的分類分級結(jié)果，針對不同級別的工業(yè)數(shù)據(jù)，制定相應(yīng)的防護(hù)要求，例如能夠抵御惡意攻擊等。工業(yè)數(shù)據(jù)分級防護(hù)要求具體如表2所示。表2工業(yè)數(shù)據(jù)分級防護(hù)要求3DB50/T1453—20235.2工業(yè)數(shù)據(jù)全生命周期工業(yè)數(shù)據(jù)的全生命周期主要包括數(shù)據(jù)采集、數(shù)據(jù)傳輸、數(shù)據(jù)存儲、數(shù)據(jù)處理、數(shù)據(jù)共享、數(shù)據(jù)開放和數(shù)據(jù)銷毀過程。5.3基于工業(yè)數(shù)據(jù)全生命周期的防護(hù)措施根據(jù)工業(yè)數(shù)據(jù)的分類分級結(jié)果，按照工業(yè)數(shù)據(jù)分級防護(hù)要求，應(yīng)對工業(yè)數(shù)據(jù)所處的全生命周期階段制定相應(yīng)的防護(hù)措施。例如公司的代碼數(shù)據(jù)，應(yīng)當(dāng)確定其級別，針對代碼數(shù)據(jù)產(chǎn)生(數(shù)據(jù)采集)、數(shù)據(jù)傳輸、數(shù)據(jù)存儲等全生命周期過程，制定如保密規(guī)范、數(shù)據(jù)加密、數(shù)據(jù)檢測等防護(hù)措施?；诠I(yè)數(shù)據(jù)全生命周期的防護(hù)措施具體如表3所示。表3工業(yè)數(shù)據(jù)防護(hù)措施4DB50/T1453—2023表3工業(yè)數(shù)據(jù)防護(hù)措施（續(xù)）數(shù)據(jù)開放的必要性、范6分類分級流程6.1概述6.1.1規(guī)范和確立工業(yè)數(shù)據(jù)分類分級的基本原則和總體流程。56——關(guān)聯(lián)性原則：分類是分級的基礎(chǔ)；——自主定級原則：各工業(yè)領(lǐng)域企業(yè)應(yīng)按照本文件自主對各種類型的工業(yè)數(shù)據(jù)進(jìn)行分級。6.1.3工業(yè)數(shù)據(jù)分類分級總體流程主要包括分類分級準(zhǔn)備、實(shí)施分類分級、實(shí)施分級管控、結(jié)果評估和優(yōu)化改進(jìn)等五個(gè)過程，見圖1。調(diào)研工業(yè)數(shù)據(jù)現(xiàn)狀過程包括：a)調(diào)研工業(yè)數(shù)據(jù)產(chǎn)生情況，包括但不限于產(chǎn)生的部門、場景、方式、頻率、外部數(shù)據(jù)等；b)調(diào)研工業(yè)數(shù)據(jù)存儲情況，包括但不限于d)調(diào)研工業(yè)數(shù)據(jù)應(yīng)用情況，包括但不限于應(yīng)用場景、應(yīng)用方式等。制定分類分級工作計(jì)劃，主要內(nèi)容包括：e)分類分級工作實(shí)施方案及進(jìn)度安排；g)分類分級以及分級管控體系的維護(hù)方案。DB50/T1453—2023分類分級實(shí)施流程宜根據(jù)工業(yè)數(shù)據(jù)產(chǎn)生的部門、場景、頻率以及數(shù)據(jù)的整個(gè)生命周期，擬定具體的實(shí)施流程，包括但不限于制定實(shí)施步驟、執(zhí)行實(shí)施工作、監(jiān)控實(shí)施工作、總結(jié)實(shí)施過程等。6.3.2組織實(shí)施組織實(shí)施宜根據(jù)擬定的分類分級實(shí)施流程，組織企業(yè)相關(guān)部門和人員開展具體分類分級工作。6.3.3輸出分類分級結(jié)果輸出分類分級結(jié)果宜梳理各個(gè)步驟的分類分級結(jié)果，其形式不限于工業(yè)企業(yè)數(shù)據(jù)分類分級詳細(xì)描述表、數(shù)據(jù)庫表、工業(yè)數(shù)據(jù)分類分級描述表等。6.4實(shí)施分級管控防護(hù)6.4.1確定分級管控防護(hù)措施以工業(yè)數(shù)據(jù)分類分級情況為基礎(chǔ)，制定相應(yīng)的防護(hù)要求和防護(hù)措施。6.4.2擬定分級管控防護(hù)實(shí)施流程擬定管控防護(hù)實(shí)施流程宜根據(jù)工業(yè)數(shù)據(jù)分類分級的結(jié)果，針對不同的數(shù)據(jù)類型和級別，擬定具體的實(shí)施流程，包括但不限于制定實(shí)施步驟、執(zhí)行實(shí)施工作、監(jiān)控實(shí)施工作、總結(jié)實(shí)施過程等。6.4.3組織實(shí)施組織實(shí)施宜根據(jù)擬定的分級管控防護(hù)實(shí)施流程，組織企業(yè)相關(guān)部門和人員開展具體分級管控防護(hù)工作。6.4.4輸出分級管控防護(hù)結(jié)果輸出分級管控防護(hù)結(jié)果宜梳理各個(gè)步驟的分級管控防護(hù)結(jié)果，形成工業(yè)數(shù)據(jù)分級管控防護(hù)清單和分級管控防護(hù)效果文件。6.5結(jié)果評估6.5.1核查實(shí)施過程核查實(shí)施過程包括：a)核查工業(yè)數(shù)據(jù)分類分級結(jié)果，明確類別劃分和安全需求是否合理；b)核查分類和分級維度，確保維度符合業(yè)務(wù)需求、安全需求和達(dá)成既定目標(biāo)；c)核查分級管控防護(hù)措施，確保管控防護(hù)措施落地落實(shí)；d)核查實(shí)施過程記錄，確保過程合理規(guī)范；e)根據(jù)核查結(jié)果調(diào)整工業(yè)數(shù)據(jù)分類分級過程。6.5.2訪談?wù){(diào)查訪談?wù){(diào)查宜以分類分級工作干系人（包括負(fù)責(zé)人員、執(zhí)行人員、工業(yè)數(shù)據(jù)管理人員、工業(yè)數(shù)據(jù)使用人員等）為調(diào)查對象，詢問實(shí)施過程中存在的問題和建議、分類維度與業(yè)務(wù)場景的關(guān)聯(lián)程度、分類和分級維度的劃分與實(shí)際情況的吻合度、分類分級結(jié)果是否符合實(shí)際使用情況等，根據(jù)調(diào)查意見調(diào)整工業(yè)數(shù)據(jù)分類分級過程。6.5.3評估分類分級結(jié)果和分級管控效果7DB50/T1453—2023評估分類分級結(jié)果和分級管控效果宜組織專家和業(yè)務(wù)人員等對分類分級結(jié)果和分級管控效果進(jìn)行評價(jià)，方式包括但不限于專家評審、程序自動(dòng)檢查、評價(jià)系統(tǒng)、安全檢查系統(tǒng)等，根據(jù)評估意見調(diào)整工業(yè)數(shù)據(jù)分類分級過程。工業(yè)企業(yè)數(shù)據(jù)分類分級樣表見附錄A。6.6優(yōu)化改進(jìn)6.6.1總結(jié)經(jīng)驗(yàn)教訓(xùn)宜根據(jù)分類分級工作的全過程，對管理和技術(shù)等方面的工作（包含工作機(jī)制、方法、分級防護(hù)措施等）進(jìn)行總結(jié)歸檔，形成分類分級過程資產(chǎn)。6.6.2定期評估對分類和分級維度、類別劃分方法、安全級別判定方法、分類分級結(jié)果、分級管控防護(hù)措施、分級管控效果進(jìn)行定期評估，檢查其是否合理、是否滿足現(xiàn)有需求等，根據(jù)評估意見調(diào)整工業(yè)數(shù)據(jù)分類分級過程。6.6.3安全級別變更因業(yè)務(wù)、監(jiān)管調(diào)整等因素（工業(yè)數(shù)據(jù)內(nèi)容變化、更新頻次變化、應(yīng)用場景變化、合規(guī)性變化等）導(dǎo)致數(shù)據(jù)影響范圍和程度改變時(shí)，應(yīng)及時(shí)調(diào)整工業(yè)數(shù)據(jù)的安全防護(hù)級別。8DB50/T1453—2023（資料性）工業(yè)企業(yè)數(shù)據(jù)分類分級詳細(xì)描述表示例工業(yè)數(shù)據(jù)分類分級的核心是實(shí)施分類分級管理和監(jiān)督，對于工業(yè)企業(yè)數(shù)據(jù)分類分級詳細(xì)描述表的編制，本文件不做具體限定,表A.1給出一種詳細(xì)描述表示例,供相關(guān)人員參考。表A.1工業(yè)企業(yè)數(shù)據(jù)分類分級樣表存儲方式更新頻率備注司-xxxx司-xxxx設(shè)計(jì)數(shù)據(jù)司-xxxx司-云存儲溫?cái)?shù)據(jù)司-云存儲熱數(shù)據(jù)據(jù)司-數(shù)據(jù)庫器熱數(shù)據(jù)據(jù)司本地統(tǒng)溫?cái)?shù)據(jù)件司類據(jù)部本地統(tǒng)溫?cái)?shù)據(jù)司類部本地?zé)釘?shù)據(jù)劃9DB50/T1453—2023表A.1工業(yè)企業(yè)數(shù)據(jù)分類分級樣表（續(xù)）存儲方式更新頻率備注件司類心本地統(tǒng)熱數(shù)據(jù)據(jù)x件司類析心本地統(tǒng)熱數(shù)據(jù)據(jù)件司類心本地統(tǒng)熱數(shù)據(jù)司類部數(shù)據(jù)庫器溫?cái)?shù)據(jù)數(shù)司類x本地統(tǒng)溫?cái)?shù)據(jù)類部本地統(tǒng)熱數(shù)據(jù)DB50/T1453—2023參考文獻(xiàn)[1]GB/T19668.1-2014信息技術(shù)服務(wù)監(jiān)理第1部分：總則[2]GB/T20269-2006信息安全技術(shù)信息系統(tǒng)安全管理要求[3]GB/T20984-2022信息安全技術(shù)信息