工業(yè)和信息化部辦公廳關(guān)于印發(fā)《工業(yè)數據分類(lèi)分級指南（試行）》的通知

工信廳信發(fā)〔2020〕6號

各省、自治區、直轄市及新疆生產(chǎn)建設兵團工業(yè)和信息化主管部門(mén)，有關(guān)中央企業(yè)：

 

現將《工業(yè)數據分類(lèi)分級指南（試行）》印發(fā)給你們，請結合實(shí)際，認真貫徹執行。

 

工業(yè)和信息化部辦公廳
2020年2月27日

 

工業(yè)數據分類(lèi)分級指南（試行）
  
第一章 總則

 

第一條為貫徹《促進(jìn)大數據發(fā)展行動(dòng)綱要》《大數據產(chǎn)業(yè)發(fā)展規劃（2016-2020年）》有關(guān)要求，更好推動(dòng)《數據管理能力成熟度評估模型》（GB/T 36073-2018）貫標和《工業(yè)控制系統信息安全防護指南》落實(shí)，指導企業(yè)提升工業(yè)數據管理能力，促進(jìn)工業(yè)數據的使用、流動(dòng)與共享，釋放數據潛在價(jià)值，賦能制造業(yè)高質(zhì)量發(fā)展，制定本指南。

 

第二條本指南所指工業(yè)數據是工業(yè)領(lǐng)域產(chǎn)品和服務(wù)全生命周期產(chǎn)生和應用的數據，包括但不限于工業(yè)企業(yè)在研發(fā)設計、生產(chǎn)制造、經(jīng)營(yíng)管理、運維服務(wù)等環(huán)節中生成和使用的數據，以及工業(yè)互聯(lián)網(wǎng)平臺企業(yè)（以下簡(jiǎn)稱(chēng)平臺企業(yè)）在設備接入、平臺運行、工業(yè)APP應用等過(guò)程中生成和使用的數據。

 

第三條本指南適用于工業(yè)和信息化主管部門(mén)、工業(yè)企業(yè)、平臺企業(yè)等開(kāi)展工業(yè)數據分類(lèi)分級工作。涉及國家秘密信息的工業(yè)數據，應遵守保密法律法規的規定，不適用本指南。

 

第四條工業(yè)數據分類(lèi)分級以提升企業(yè)數據管理能力為目標，堅持問(wèn)題導向、目標導向和結果導向相結合，企業(yè)主體、行業(yè)指導和屬地監管相結合，分類(lèi)標識、逐類(lèi)定級和分級管理相結合。

  
第二章  數據分類(lèi)

  

第五條工業(yè)企業(yè)結合生產(chǎn)制造模式、平臺企業(yè)結合服務(wù)運營(yíng)模式，分析梳理業(yè)務(wù)流程和系統設備，考慮行業(yè)要求、業(yè)務(wù)規模、數據復雜程度等實(shí)際情況，對工業(yè)數據進(jìn)行分類(lèi)梳理和標識，形成企業(yè)工業(yè)數據分類(lèi)清單。

第六條工業(yè)企業(yè)工業(yè)數據分類(lèi)維度包括但不限于研發(fā)數據域（研發(fā)設計數據、開(kāi)發(fā)測試數據等）、生產(chǎn)數據域（控制信息、工況狀態(tài)、工藝參數、系統日志等）、運維數據域（物流數據、產(chǎn)品售后服務(wù)數據等）、管理數據域（系統設備資產(chǎn)信息、客戶(hù)與產(chǎn)品信息、產(chǎn)品供應鏈數據、業(yè)務(wù)統計數據等）、外部數據域（與其他主體共享的數據等）。

第七條平臺企業(yè)工業(yè)數據分類(lèi)維度包括但不限于平臺運營(yíng)數據域（物聯(lián)采集數據、知識庫模型庫數據、研發(fā)數據等）和企業(yè)管理數據域（客戶(hù)數據、業(yè)務(wù)合作數據、人事財務(wù)數據等）。

  
第三章 數據分級

 

第八條根據不同類(lèi)別工業(yè)數據遭篡改、破壞、泄露或非法利用后，可能對工業(yè)生產(chǎn)、經(jīng)濟效益等帶來(lái)的潛在影響，將工業(yè)數據分為一級、二級、三級等3個(gè)級別。

 

第九條潛在影響符合下列條件之一的數據為三級數據：

 

（一）易引發(fā)特別重大生產(chǎn)安全事故或突發(fā)環(huán)境事件，或造成直接經(jīng)濟損失特別巨大；

  

（二）對國民經(jīng)濟、行業(yè)發(fā)展、公眾利益、社會(huì )秩序乃至國家安全造成嚴重影響。

 

第十條潛在影響符合下列條件之一的數據為二級數據：

 

（一）易引發(fā)較大或重大生產(chǎn)安全事故或突發(fā)環(huán)境事件，給企業(yè)造成較大負面影響，或直接經(jīng)濟損失較大；

 

（二）引發(fā)的級聯(lián)效應明顯，影響范圍涉及多個(gè)行業(yè)、區域或者行業(yè)內多個(gè)企業(yè)，或影響持續時(shí)間長(cháng)，或可導致大量供應商、客戶(hù)資源被非法獲取或大量個(gè)人信息泄露；

 

（三）恢復工業(yè)數據或消除負面影響所需付出的代價(jià)較大。

 

第十一條潛在影響符合下列條件之一的數據為一級數據：

 

（一）對工業(yè)控制系統及設備、工業(yè)互聯(lián)網(wǎng)平臺等的正常生產(chǎn)運行影響較??；

 

（二）給企業(yè)造成負面影響較小，或直接經(jīng)濟損失較??；

 

（三）受影響的用戶(hù)和企業(yè)數量較少、生產(chǎn)生活區域范圍較小、持續時(shí)間較短；

 

（四）恢復工業(yè)數據或消除負面影響所需付出的代價(jià)較小。

  
第四章  分級管理

   

第十二條工業(yè)和信息化部負責制定工業(yè)數據分類(lèi)分級制度規范，指導、協(xié)調開(kāi)展工業(yè)數據分類(lèi)分級工作。各地工業(yè)和信息化主管部門(mén)負責指導和推動(dòng)轄區內工業(yè)數據分類(lèi)分級工作。有關(guān)行業(yè)、領(lǐng)域主管部門(mén)可參考本指南，指導和推動(dòng)本行業(yè)、本領(lǐng)域工業(yè)數據分類(lèi)分級工作。

 

第十三條工業(yè)企業(yè)、平臺企業(yè)等企業(yè)承擔工業(yè)數據管理的主體責任，要建立健全相關(guān)管理制度，實(shí)施工業(yè)數據分類(lèi)分級管理并開(kāi)展年度復查，并在企業(yè)系統、業(yè)務(wù)等發(fā)生重大變更時(shí)應及時(shí)更新分類(lèi)分級結果。有條件的企業(yè)可結合實(shí)際設立數據管理機構，配備專(zhuān)職人員。

 

第十四條企業(yè)應按照《工業(yè)控制系統信息安全防護指南》等要求，結合工業(yè)數據分級情況，做好防護工作。

 

企業(yè)針對三級數據采取的防護措施，應能抵御來(lái)自國家級敵對組織的大規模惡意攻擊；針對二級數據采取的防護措施，應能抵御大規模、較強惡意攻擊；針對一級數據采取的防護措施，應能抵御一般惡意攻擊。

 

第十五條鼓勵企業(yè)在做好數據管理的前提下適當共享一、二級數據，充分釋放工業(yè)數據的潛在價(jià)值。二級數據只對確需獲取該級數據的授權機構及相關(guān)人員開(kāi)放。三級數據原則上不共享，確需共享的應嚴格控制知悉范圍。

 

第十六條工業(yè)數據遭篡改、破壞、泄露或非法利用時(shí)，企業(yè)應根據事先制定的應急預案立即進(jìn)行應急處置。涉及三級數據時(shí)，還應將事件及時(shí)上報數據所在地的省級工業(yè)和信息化主管部門(mén)，并于應急工作結束后30日內補充上報事件處置情況。