《資料安全法》第二十一條【資料分類分級保護】 解讀與合規實踐探究

本文從我國已 頒佈 的資料分類分級政策文字為出發點，以其文字內容為出發點，量化其演化趨勢。

• 以“資料二十條”內涵為導向、以資料分類分級為基礎的標準編制推演。 “資料二十條”核心內涵在於以盤活資料經濟價值為核心的權屬關係確立上，在權屬關係上“資料二十條”體現出淡化所有權、強調使用權、聚焦資料使用權流動。同時，在制度架構上，體現出三權分置（即：資料資源持有權、資料加工使用權、資料產品經營權）。因此，需要結合“資料二十條”內涵認識把握資料的基本規律（即：產權、流通、交易、使用、分配、治理、安全等），透過基本規律找尋不同規律點的共性要點內容，透過資料基本規律可看出，圍繞在各環節的共性要點在於“確權”、 “定價”、“可信” 、“管理”方向上。

• 結合推演邏輯，推理標準制定方向。 在融合“資料二十條”找尋的共性中，不能摒棄掉之前已形成資料分類分級基礎沉澱，應以國家 頒佈 相關標準（如：《資料安全法》第21、25、27、30、31條；《網路安全法》第27、37條 ；《重要資料識別指南（徵求意見稿）》對重要資料的分類；《網路安全等級保護定級指南》第4.2條；《網路安全標準實踐指南——網路資料分類分級指引》等）為基礎，去疊加融合“資料二十條”共性要點，透過上述的推演，建議在此處可首先融合“管理”與“確權”（即：《資料分類分級管理要求》、《資料分類分級確權要求》），因為，“管理”層面之前的標準更多強調對資料的共性管理，當基於資料分類分級時，就應更多強調對特性的管理；確權層面一直缺少可助推國家建立合理標準的可行指引。因此，基於當前國家標準現狀在 “管理”、“確權”將成為下一步的可能方向點。

• 基於確定的標準方向，構思融合方法。

  1. 《資料分類分級管理要求》。之前對資料的管理，主要強調對資料的共性管理，當以資料分類分級為基礎時，就應圍繞資料分類、資料分級強調對特性的管理，具有層次結構。如：資料分類劃分的行業，哪些為關基行業、哪些為非關基行業、哪些為與國家經濟命脈相關行業等，對不同的分類應實行不同的對資料管理要求（如：在組織結構、人員能力、戰略規劃、資料技術、資料流動、資料脫敏、資料加密等進行逐層考慮）；

  
  

  2. 《資料分類分級確權要求》。從資料流動性的角度來看，越高別的資料反倒在確權上越變得容易（即：越高別的資料流動條件越多，牽扯外延關聯越少）。因此，基於資料分類分級的確權應是一種逆向思維模式，並按照三大類（即：公共資料、企業資料、個人資料）進行劃分，這三類都可進行獨立推演及制定要求，並運用產權分置執行機制、結合洛克財產權勞動論賦予的生命力及相關法律標準進行展開。

• 如何理解重要資料定義？ 此指南定義：以電子方式存在的，一旦遭到篡改、破壞、洩露或者非法獲取、非法利用，可能危害國家安全、公共利益的資料。

  關鍵詞 /KEYWORDS：電子方式  危害  安全

  實際可以透過兩個維度進行重要資料定義詮釋： 一是什麼為資料、二是在界定的資料中如何尋找重要資料。

  1.  什麼是資料？ 透過此指南定義前半句可以看出（即：以電子方式存在的），只要以電子方式存在的即為資料，但這裡的資料實際即包含了一般資料、重要資料，也包含了核心資料等，實際是一個比較寬泛的範圍，這就衍生出如何界定重要資料。

  2.  如何在資料中界定重要資料？ 這裡可對應到本文在思想側所提到 “更多關注可能產生的影響” 角度。再回到此指南定的後半句（即：一旦遭到篡改、破壞、洩露或者非法獲取、非法利用，可能危害國家安全、公共利益的資料）。在資料中尋找重要資料需要觀察資料重要程度、資料關聯因素、資料影響範圍、定性及定量等。（注：資料是否為國家關鍵資訊基礎設施資料、資料是否與國家關鍵基礎設施進行關聯、資料天生是否與國家安全相關（即：天生影響因子數就很高，並與國家安全、社會穩定、公共健康、經濟執行等強相關）、資料透過量變是否達到質變（即：天生影響因子數並不高，單獨存在並非為重要資料，但持續的單獨資料進行積累匯聚，當資料達到一定量級發生洩漏、破壞後會影響到國家安全、社會穩定時可能變為重要資料））。

• 如何識別重要資料？ 本 文基於此指南從資料流動側、安全風險影響側進行回答。

• 1.   重要資料是否可以進行資料流動（資料流動側）？從釋放資料價值角度進行考量，本文認為無論是什麼樣的資料都需要進行資料流動（即：資料流動是釋放資料價值的必要手段），只不過不同等級資料流動的方式不同，有些可以是“無序”的資料流動、有些需要是“有序”的資料流動。相對一般資料來講，重要資料就需要建立在有序流動的基礎上進行釋放資料價值，安全能力防護上需要滿足高安全防護能力等級（如：等保2.0的3級以上標準），引入資料分類分級保護制度，透過對資料的分級明確安全保護重點，使資料分級和資料流動進行關聯。因此，資料是在高安全防護等級標準中進行有序流動的資料，根據對映的國家安全影響情況可納入重要資料範疇。

• 
  

• 2.  重要資料遭受破壞會造成哪些影響（安全風險影響側）？ 重要資料安全影響側要 規避本位思考侷限性 ，更多上升到國家安全層面（即：組織自身的重要或敏感資料不屬於此指南的重要資料；重要資料要從國家安全、經濟執行、社會穩定、公共健康影響範圍角度進行識別）。此指南對如下相關場景包含的重要資料進行舉例：戰略物資產能、儲備量；反映關鍵資訊基礎設施網路安全方案、系統配置資訊、核心軟硬體設計資訊、系統拓撲、應急預案等情況的資料；描述出口管制物項的設計原理、工藝流程、製作方法等的資訊以及原始碼、積體電路布圖、技術方案、重要引數、實驗資料、檢測報告；反映重點安保單位、重要生產企業、國家重要資產（如鐵路、輸油管道）的施工圖、內部結構、安防等情況的資料，以及未公開的專用公路、未公開的機場等的資訊；未公開的水情資訊、水文觀測資料、氣象觀測資料、環保監測資料；以及描述與國防、國家安全相關的智慧財產權的資料等。

• 本條與《網路安全法》第21、31、37條進行關聯；

• 本條與《網路 安全 等級保護基本要求》強調的等級保護物件受到侵害後對客體造成的 損害程度進行關聯——即： 一般 損害、嚴重損害、特別嚴重損害；

• 本條與《網路安全標準實踐指南——網路數 據分類分級指引》強調的資料遭到篡改、破壞後所造成的不同危害程度進行關聯——即： 嚴重影響、輕微影響、重大負面影響、輕微受損等；

• 本條與《基於電信企業資料分類分級辦法》進行關聯；

• 本條與《關鍵資訊基礎設施安全保護條例》強調的某些運營和管理關係到國家安全、國計民生、公共利益的網路設施和資訊系統屬於關鍵資訊基礎設施運營者進行關聯；

• 本條與《網路資料安全管理條例（徵求意見稿）》第5、9、26條進行關聯；

• 本條與《汽車資料安全管理若干規定（試行）》第3條進行關聯；

• 本條與《資料出境安全評估辦法》強調的資料資源規模、範圍、種類、敏感程度、風險要點進行關聯

• 本條與《資訊保安技術 資料分類分級規則（徵求意見稿）》進行關聯；

• 本條與《證券期貨業資料安全風險防控 資料分類分級指引》進行關聯；

• 本條與《證券期貨業資料分類分級指引》進行關聯；

• 本條與《資訊保安技術 健康醫療資料安全指南》進行關聯；

• 本條與《科學資料安全分類分級指南》進行關聯；

• 本條與《網際網路資料中心技術及分級分類標準》進行關聯；

• 本條與《資訊保安技術 個人資訊保安規範》進行關聯；

• 本條與《國民經濟行業分類》進行關聯；

• 本條與《資訊保安技術 公共及商用服務資訊系統 個人資訊保護指南》進行關聯；

• 本條與《資訊科技 大資料 資料分類指南》進行關聯；

• 本條與《公共信用資訊分類與編碼規範》進行關聯；

• 本條與《資訊保安技術 網路安全事件分類分級指南》進行關聯；

• 本條與《資訊保安技術 資訊保安事件分類分級指南》進行關聯；

• 本條與《資訊保安技術 網路安全漏洞分類分級指南》進行關聯；

• 本條與《資訊保安技術 重要資料識別指南》進行關聯；

• 本條與《資訊保安技術 公共資料開放安全要求》進行關聯；