《信息安全技术 重要数据识别指南（征求意见稿）》解读

《信息安全技术 重要数据识别指南（征求意见稿）》解读

IXCDC

《网络安全法》最早在法律层面提及重要数据概念。之后，《数据安全法》要求各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录。但关于重要数据的识别标准尚未明确，最近公开的《信息安全技术 重要数据识别指南（征求意见稿）》（以下简称《征求意见稿》）正试图为我们解决这个亟待回答的重要基础性问题，为重要数据安全保护工作提供支撑。

1

“重要数据”（key data）的定义

《征求意见稿》界定了“关键信息基础设施”、“重要数据”、“国家秘密”以及“个人信息”四个术语的定义。其中，“重要数据”关涉国家安全、公共利益，但不包括国家秘密和个人信息，不是说二者不重要，而是另有管理制度予以保护。但是，基于海量个人信息形成的统计数据、衍生数据有可能属于重要数据。

2

重要数据识别的六大基本原则

1. 聚焦国家、公共安全影响，而非企业个体安全

2. 防止泛保护，允许一般数据的自由流动

3. 衔接既有政策、标准

4. 综合数据用途、面临威胁等多方面风险

5. 定量定性结合

6. 动态识别复查

3

重要数据的八大主要特征

这八大特征并非重要数据的分类标准，只是为了方便重要数据的识别，从数据的作用、受破坏后可能带来的影响等角度考虑。

1. 与经济运行相关

(1) 反映战略储备情况

(2) 支撑工业生产

(3) 支撑重点行业、领域运行

(4) 与统计相关

2. 与人口与健康相关

(1) 反映人口情况

(2) 涉及健康医疗

(3) 涉及食品药品情况

3. 与自然资源与环境相关

(1) 涉及地理信息

(2) 涉及水利情况

(3) 涉及地震情况

(4) 涉及气象情况

(5) 涉及环保监测情况

(6) 涉及海洋环境监测情况

4. 与科学技术相关

(1) 涉及出口管制物项

(2) 涉及特殊知识产权

(3) 涉及重大发明发现

(4) 涉及国家科技计划

5. 与安全保护相关

(1) 涉及物理安全

(2) 涉及网络安全

6. 与应用服务相关

(1) 用户委托数据

(2) 用户使用数据

7. 与政务活动相关

(1) 国家机关产生的数据

(2) 公民企业上报数据

8. 其他

一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的非国家秘密信息。

4

重要数据识别的五大流程

根据《数安法》并结合《征求意见稿》，可知各地区、部门负责指导本地区、部门及相关行业、领域开展重要数据识别工作。识别结束后，识别组织将识别结果向所在地区、部门等报送。具体识别流程包括：

1. 梳理数据资产

2. 判断安全影响

3. 识别重要数据

4. 审核重要数据

5. 形成目录

当然，不排除将来各个行业根据这个标准制定更进一步的行业细则和更具体的申报流程。

5

重要数据的统一描述方法

由于重要数据目录是由各行业各地方自行制定，为了统一规范重要数据的报送和处理，《征求意见稿》给出了重要数据的描述方法。

1. 目录中应当列出数据的分类，具体的分类标准可由各行业自己确定。

2. 各组织要描述自己所在行业对数据的监管要求，以及适用的现有管理政策。

3. 描述重要性，包括对国家安全的影响、面临的主要安全威胁，以及重要性的时效。

4. 描述数据产生、使用与保护情况，包括数据来源、用途、共享交换情况、安全措施情况等。

若有其他特殊情况需要予以说明的，则在备注中描述。对重要数据形成总体描述后，按程序进行报送。