DB4403T 271-2022 公共數據安全要求

ICS35.240.01CCSL67

DB4403深 圳 市 地 方 標 準DB4403/T271—2022公共數據安全要求發布深圳市市場監督管理局發布深圳市市場監督管理局2022-12-012022-11-14DB4403/T271—2022DB4403/T271—2022DB4403/T271—2022DB4403/T271—2022目??次前言 IV圍 1范引用文件 1語和定義 1總體安全原則和要求 2總體安全原則 2總體安全求 3總體框架 3數據分級方法 4分級概述 4確定定級對象 4定級要素 4受侵害的客體 4客體的侵害程度 4級要素與等級關系 4定級步驟 5級別更 5級別求 5用管理安全要求 6體據安全策略 6本全要求 6級增強安全要求 6四級增強安全要求 6數據全管理機構與人員 6本安全要求 6級增強安全要求 7四級增強安全要求 7據安全管理制度體系 8本安全要求 8級增強全要求 8四級增強安全要求 8通用術安全要求 8據類分級護 8本安全要求 8級增強安全要求 9四級增強安全要求 9數據安全評估 9I本安全要求 9級增強安全要求 9四級增強安全要求 9數據安全風險測 9本全要求 9級增強安全要求 10四級增強安全要求 10數據安全管控 10本全要求 10級增強安全要求 10級增強安全求 11數據安全應急處置 11本安全要求 11級增強安全要求 12級增強安全要求 12數據安全計 12本安全要求 12級增強安全要求 12四級增強安全要求 12數據處理活動安全要求 12據收集 12本安全要求 12級增強全要求 13四級增強安全要求 13據存儲 13本安全求 13級增強安全要求 13四級增強安全要求 13數據傳輸 13本安全要求 13級增強安全要求 13四級增強安全要求 14數據使用 14本安全要求 14級強安全要求 14四級增強安全要求 14據加工 14本安全要求 14級增強全要求 15四級增強安全要求 15據開放共享 15本全要求 15級增強安全要求 15II四級增強安全要求 15數據易 15本安全要求 15級增強安全要求 15四級增強安全要求 16數據出境 16本安全求 16級增強安全要求 16四級增強安全要求 16數據銷毀與刪除 16本安全要求 16級增強全要求 16級強全要求 16A（資性B（規范性

公共數據類分級清單示例 17公共數據子類或數據字段定級及級別要求 18定級要素與等級關系 18級別要求 20C（資性

共數據類方法 23類方法及示例 23不同行業類方法 23D（資性

常見人信息類級參考表 24參考文獻 27III前??言本文件按照GB/T1.1—2020《標準化工作導則定起草。

1部分：標準化文件的結構和起草規則》的規IV本文件由深圳市政務服務數據管理局提出并歸口。IV本文件起草單位深圳市信息安全管理中（杭州有限責任公司金磚國家未來網絡研究院中國分院深圳市智慧城市科技發展集團有限公司華為技術有限公司蟻科技集團股份有限公司。本文件主要起草人李董安波林宇群穆端端軒豪男趙劍方興周頓科魏鳳玲姚冬炎、董亮、宮昊、林楨、劉慧洋、王志、常新苗、白曉媛。公共數據安全要求范圍本文件規定了公共數據安全要求主要包括總體安全原則和要求總體框架數據分級方法通用管理安全要求、通用技術安全要求及數據處理活動安全要求。本文件適用于公共管理和服務機構數據安全能力的建設評估與監管適用于處理量個人信息的服務平臺數據安全能力的建設與評估。規范性引用文件下列文件中的內容通過文中的規范性引用而構成本文件必不可少的條款其中注日期的引用文件，僅該日期對應的版本適用于本文件不注日期的引用文件其最新版（包括所有的修改單適用于本文件。GB/T20984—2022GB/T22239—2019GB/T22240—2020GB/T35273—2020GB/T37988—2019

信息安全技信息安全技信息安全技信息安全技信息安全技

信息安全風險評估方法網絡安全等級保護基本要求網絡安全等級保護定級指南個人信息安全規范數據安全能力成熟度模型GB/T39477—2020

信息安全技

數據安全技術要求GB/T39786—2021

信息安全技

信息系統密碼應用基本要求術語和定義GB/T35273—2020、GB/T37988—2019界定的以及下列術語和定義適用于本文件。公共數據 commondata公共管理和服務機構及處理大量個人信息的服務平臺在依法履行公共管理職責或者提供公共服務過程中產生、處理的數據。注：本文件提及的數據均指公共數據。數據安全 datasecurity通過采取必要措施確保數據處于有效保護和合法利用的狀態以及具備保障持續安全狀態的能力。公共管理和服務機構 publicadministrationandserviceinstitutions本市國家機關、事業單位和其他依法管理公共事務的組織，以及提供教育、衛生健康、社會福利、供水、供電、供氣、環境保護、公共交通和其他公共服務的組織。敏感個人信息 personalsensitiveinformation1注1：敏感個人信息包括公民身份號碼、個人生物特征信息、銀行賬號、通信記錄和內容、財產信息、征信信息、行蹤軌跡、住宿信息、健康生理信息、交易信息、14歲以下（含）兒童的個人信息等。注2：個人信息處理者通過個人信息或其他信息加工處理后形成的信息，如一旦泄露、非法提供或濫用可能危害人身和財產安全，極易導致個人名譽、身心健康受到損害或歧視性待遇等的個人信息，也屬于敏感個人信息。[來源：GB/T25069—2022，3.195，有修改]重要數據 keydata一旦泄露可能直接影響國家安全、公共安全、經濟安全和社會穩定的數據。營管理信息等。[來源：GB/T41479—2022，3.9，有修改]匿名化 anonymization公共數據中涉及的個人信息經過處理無法識別特定自然人且不能復原的過程。數據合作方 datacooperator與公共管理和服務機構進行業務合作、提供技術支撐和數據服務等，并可能接觸到公共數據的外部單位。安全多方計算 securemulti-partycomputation第三方應用 thirdpartyapplication第三方提供的產品或服務，以及被接入或嵌入公共管理和服務機構產品或服務中的自動化工具。注：包括但不限于軟件開發工具包、第三方代碼、組件、腳本、接口、算法模型、小程序等。[來源：GB/T41479—2022，3.12，有修改]總體安全原則和要求總體安全原則目的明確原則：數據處理活動具有明確、清晰、具體的目的；2明示同意原則數據相關主體擁有對其個人信息的處理目的方式范圍等規則的知情在進行數據處理活動前應向數據相關主體明示并獲得授權同意法律行政法規另有規定的例外情況，從其規定；最小必要原則：數據處理活動僅處理可滿足特定公共服務為目的所需的最少數據類型和數量；公開透明原則以明確易懂和合理的方式公開個人信息處理的范圍目的規則等并接受外部監督，法律、行政法規另有規定的例外情況，從其規定；動態調整原則：數據安全等級隨著數據對客體侵害程度的變化進行動態調整，數據重要程度、數據處理活動過程、數據安全管控措施等的變更可能引起數據對客體侵害程度的變化；全程可控原則取必要管控措施確保數據處理活動各環節的可控性防止未授權訪問及處理公共數據，記錄數據處理活動各環節過程，記錄內容清晰可追溯。總體安全要求承載公共數據的信息系統應按GB/T22239—2019描述的基本要求同步規建設運營信息系統，并對信息系統組織開展定級備案、等級測評、安全整改工作；數據處理過程涉及的密碼技術應按GB/T39786—2021描述的密碼應用基本要求執行。總體框架總體框架圖35.2 安全要求類別圖1 總體框架總體框架如圖135.2 安全要求類別圖1 總體框架在總體安全要求基礎上，公共數據安全要求由如下兩大類構成：數據通用安全要求明確通用管理安全要求及通用技術安全要求從管理及技術角度分級闡述公共數據安全要求；數據處理活動安全要求數據處理活動圍繞數據收集數據存儲數據傳輸數據使用數據加工、數據開放共享、數據交易、數據出境、數據銷毀與刪除9個過程，分級闡述公共數據安全要求。數據分級方法分級概述公共管理和服務機構應對數據進行分類管理在數據分類基礎上根據數據在經濟社會發展中的重要程度以及一旦遭到篡改破壞泄露或者被非法獲取非法利用國家安全社會秩序和公共利益或者個人信息主體、公共管理和服務機構合法權益造成的損害程度，對數據分級。確定定級對象數據定級對象應包括數據庫和數據可為數據下的具體數據字段數據定級對象分級方法不適用于半結構化及非結構化數據。定級要素4受侵害的客體；對客體的侵害程度4受侵害的客體；對客體的侵害程度。受侵害的客體數據定級對象受到破壞所侵害的客體包括以下三個方面：個人信息主體及公共管理和服務機構的合法權益；社會秩序和公共利益；國家安全。對客體的侵害程度對客體的侵害程度應根據數據定級對象遭受篡改破壞泄露或者被非法獲取非法利用時涉及的數據類型、數據量、數據影響面綜合判定。對客體造成的侵害程度歸結為以下四種：無損害；一般損害；嚴重損害；特別嚴重損害。6.4 定級要素與等級關系1形B。表1數據庫定級要素與安全等級關系受侵害的客體對客體的侵害程度一般損害嚴重損害特別嚴重損害個人信息主體及公共管理和服務機構的合法權益第一級第二級第二級社會秩序和公共利益第二級第三級第四級國家安全第三級第四級第五級6.5 定級步驟5級別變更5級別變更。級別要求數據庫安全等級與其安全要求的對應關系見表2，數據子類或數據字段安全等級與其安全要求的對應關系應符合附錄B。2表2數據庫安全等級與安全要求關系數據庫安全等級安全要求第一級基本安全要求第二級基本安全要求第三級基本安全要求、三級增強安全要求第四級基本安全要求、三級增強安全要求、四級增強安全要求第五級第五級為非常重要的監督管理對象，其安全要求不在本文件描述通用管理安全要求總體數據安全策略6公共數據安全管理應作為重點內容，納入總體安全管理范疇。三級增強安全要求應定期對數據安全策略的合理性及適用性進行論證和審定，動態調整。6公共數據安全管理應作為重點內容，納入總體安全管理范疇。三級增強安全要求應定期對數據安全策略的合理性及適用性進行論證和審定，動態調整。四級增強安全要求四級無增強安全要求。數據安全管理機構與人員基本安全要求機構管理機構管理包括如下要求：應設立數據安全管理機構，明確數據安全責任人，落實數據安全保護責任；應按照相關法律、法規、規章的要求編制公共數據資源目錄，加強數據安全保護；數據安全責任人履行職責包括但不限于：數據安全管理機構應明確數據管理員數據安全管理員數據安全審計員等崗位職責實崗位人員，保障數據安全管理與審計工作開展。相關崗位職責應包括：；；。處理個人信息達到國家網信部門規定數量的負責對個人信息處理活動以及采取的保護措施等進行監督將個人信息保護負責人的姓名、聯系方式等報送履行個人信息保護職責部門；應針對數據類別級別變更數據權限變更重大數據操作及外部系統接入等事項建立審批程序，按照審批程序執行審批過程；涉及數據合作方的機構應與數據合作方簽訂合作協議及數據安全保密協明確雙方數據安全保密責任與義務宜定期審核數據合作方資質背景數據安全保障能力等并組織動態合規評估。人員管理人員管理包括如下要求：應加強人員管理明確規定人員錄用人員培人員考核保密協離崗離職外部人員管理等方面管理要求并嚴格落實；離崗保密要求、保密期限、違約責任等，有效約束操作行為；應制定數據安全培離崗保密要求、保密期限、違約責任等，有效約束操作行為；應制定數據安全培內、；宜組織數據崗位人員考取相關資質證書。三級增強安全要求機構管理機構管理包括如下要求：應針對重大數據處理活動建立逐級審批機制；應定期審查審批事項，及時更新需授權和審批的項目、審批部門和審批人等信息。人員管理人員管理包括如下要求：應配備專職安全管理員承擔數據安全管理員工作；應針對不同數據崗位制定不同的培訓計劃，對數據安全基礎知識、崗位操作規程等進行培訓；應定期對不同數據崗位人員進行技能考核。四級增強安全要求機構管理四級無增強安全要求。7人員管理人員管理包括如下要求：關鍵事務崗位應配備多人共同管理；應從內部人員中選拔從事關鍵數據崗位的人員。數據安全管理制度體系基本安全要求數據安全管理制度體系包括如下要求：；數據分類分級、交；提供重要互聯網平臺服務；8數據分類分級保護基本安全要求數據分類分級保護包括如下要求：應結合數據資產識別技術手段關聯系統、數據共享情況、數據出境情況等；8 通用技術安全要求置措施；GB/T35273—20208數據分類分級保護基本安全要求數據分類分級保護包括如下要求：應結合數據資產識別技術手段關聯系統、數據共享情況、數據出境情況等；8 通用技術安全要求置措施；GB/T35273—2020不；；制度進行修訂。三級增強安全要求應形成由安全策略、管理制度、操作規程、記錄表單等構成的全面的數據安全管理制度體系。四級增強安全要求四級無增強安全要求。應明確數據分類標準，相關示例見附錄C；應明確數據對象安全等級應在數據分類分級基礎上，形成數據資產清單，相關示例見附錄A，落實不同數據安全等級差異化防護措施要求數據庫安全等級差異化防護要求依據本文件第7至9章落實執行數據子類或數據字段安全等級差異化防護措施應符合附錄B；應定期評審數據對象的類別和級別如需變更數據所屬類型或級別應依據變更審批流程執行變更。三級增強安全要求應采取數據安全防護措施，對重要數據和敏感個人信息進行重點保護。四級增強安全要求應建立數據資產識別技術能力，對數據對象進行標記與跟蹤，構建數據血緣關系。數據安全評估基本安全要求數據安全評估包括如下要求：應結合自身數據安全要求；在出現法律法規重大更改或增刪數數據安全管理方針發生變化等重大；行業存在數據安全合規監管要求的機構并向有關主管部門報送合規性評估報告；涉及敏感個人信息處理其他對個人權益有重大影響的個人信息處理活動等少。三級增強安全要求應定期開展數據安全自評估工作涉及處理敏感個人信息及國家規定的重要數據的機構門報送風險評估報告四級增強安全要求四級無增強安全要求。數據安全風險監測基本安全要求數據安全風險監測包括如下要求：9應具備常態化數據安全風險監測能持續監測數據安全風險風險類型包括但不限于賬號風險、權限風險、異常操作行為、數據出境風險、數據暴露面風險等；應加強數據安全風險閉環管理，持續提升數據安全風險處置能力。三級增強安全要求數據安全風險監測包括如下要求：應建立數據安全風險監測預警機制，制定合理有效的風險監測指標；應對數據安全事件和可能引發數據安全事件的風險隱患進行收集、分析判斷和持續監控預警，建立數據安全監測預警流程，有效保障業務系統所承載數據資產的機密性、完整性、可用性；應配備專人負責數據安全風險監測工作，定期出具風險監測報告；應定期對數據安全風險監測工作的有效性、全面性進行審核驗證。四級增強安全要求四級無增強安全要求。數據安全管控基本安全要求數據訪問權限管控數據訪問權限管控包括如下要求：應根據不同數據級別明確數據管理審計類賬號權限開通分配使用變更注銷等安全管理要求，賬號關聯對象包括機構內部及數據合作方人員；應對賬號及對應權限進行記錄權限發生變更時及時更新重點關注離職人員賬號回收、管理權限變更、沉默賬號、復活賬號；應嚴格控制賬號訪問、操作權限，明確賬號權限審批流程；應對賬號進行統一身份認證、操作行為記錄；應對業務系統之間的數據訪問采取身份鑒別、訪問控制、安全審計、資源控制等技術措施；應對數據批量下載上傳刪除共享和銷毀等重大操作行為設置內部審批流程并記錄操作行為。數據防泄露管控應在網絡層面對數據流轉、泄露和濫用情況進行監控，及時對異常數據操作行為進行預警。數據接口管控數據接口管控包括如下要求：應在數據接口調用前進行身份鑒別，通過技術手段限制非白名單接口接入；應對數據接口定期開展安全檢測，及時發現并處置數據安全風險隱患；應對數據接口實施調用審批流程，對接口調用行為進行日志記錄；應定期梳理數據接口，形成接口清單。三級增強安全要求數據訪問權限管控10數據防泄露管控數據接口管控數據接口管控包括如下要求：應對異常數據接口調用行為實現自動預警、攔截功能；注：開放數據接口的平臺包括但不限于數據開放平臺、數據共享交換平臺、數據交易平臺、大數據平臺、能力開放平臺。四級增強安全要求數據訪問權限管控數據防泄露管控應在終端層面對異常數據操作行為及時定位和阻斷。數據接口管控四級無增強安全要求。數據安全應急處置基本安全要求數據安全應急處置包括如下要求：11三級增強安全要求數據安全應急處置包括如下要求：四級增強安全要求應采取技術手段保證數據處理活動的溯源數據真實性和保密性。數據安全審計基本安全要求數據安全審計包括如下要求：12數據收集基本安全要求數據收集包括如下要求：12數據收集基本安全要求數據收集包括如下要求：收集外部機構數據前，應對外部機構數據源的合法性、合規性進行鑒別；應按照GB/T35273—2020中5.1至5.6規定的要求開展個人信息收集工作；9 數據處理活動安全要求內容、操作結果等，在發生安全事件時可提供溯源取證能力，日志保存時間不少于180天；c) 三級增強安全要求應定期對數據賬號操作及接口調用情況進行安全審計。四級增強安全要求四級無增強安全要求。e) 提供公共服務的移動互聯網應用程序或第三方應用應遵循最小化收集原則不應因個人信息主體不同意收集非必要個人信息三方應用。三級增強安全要求收集外部機構數據前應對數據收集過程中的網絡環境系統進行安全評估確保收集數據的機密性、完整性和可用性。四級增強安全要求四級無增強安全要求。數據存儲基本安全要求數據存儲包括如下要求：應明確數據存儲相關安全管控措施，如加密、訪問控制、數字水印、完整性校驗等；應明確數據備份與恢復安全策略建立數據備份恢復操作規程說明數據備份周期備份方式、備份地點；建立數據恢復性驗證機制，保障數據的可用性與完整性；應提供異地數據備份功能，利用通信網絡將數據定時批量傳送至備用場地；個人生物識別信息應與個人身份信息分開存儲，原則上不應存儲原始個人生物識別信息(如樣本、圖像等)，僅存儲個人生物識別信息的摘要信息；13或者個人信息主體另行授權同意的除外超出個人信息存儲期限后應13或者個人信息主體另行授權同意的除外超出個人信息存儲期限后應對個人信息進行刪除或匿名化處理。三級增強安全要求數據存儲包括如下要求：應提供異地實時備份功能，利用通信網絡將數據實時備份至備份場地；應具備勒索病毒事前預警、事中阻斷及事后恢復的保障能力；應提供數據處理環節關聯信息系統的熱冗余，保證數據的高可用性。四級增強安全要求應建立異地災難備份中心，提供數據的實時切換。數據傳輸基本安全要求數據傳輸包括如下要求：應明確數據傳輸相關安全管控措施，如傳輸通道加密、數據內容加密、數據接口傳輸安全等；應對數據傳輸兩端進行身份鑒別，確保數據傳輸雙方可信任；應采用校驗技術保證數據在傳輸過程中的完整性。三級增強安全要求數據傳輸包括如下要求：應對關鍵網絡傳輸線路及核心設備實施冗余建設，確保數據傳輸的網絡可用性；9.3.3 四級增強安全要求數據使用基本安全要求數據使用包括如下要求：（應明確數據統計分析、展示、發布、公開披露等不同數據使用場景的安全管理要求；（降低數據敏感度及暴露風險；存在利用算法推薦技術進行自動化決策分析的情形，應保證決策的透明度和結果公平合理；14安全和社會穩定。14安全和社會穩定。三級增強安全要求數據使用包括如下要求：應采取技術措施保證匯聚大量數據時不暴露敏感信息；宜對不同數據使用場景采取數字水印等技術，實現數據防泄密及溯源能力；四級增強安全要求四級無增強安全要求。數據加工基本安全要求數據加工包括如下要求：應在數據加工前，書面明確數據加工目的、范圍、期限、規則及數據加工主體的責任與義務；d)委托他人加工處理數據的應與其訂立數據安全保護合同明確雙委托加工處理個人信息的應約定委托處理的目的期限處理方式個人信息的種保護措施以及雙方的權利和義務等對受托人的個人信息處理活動進行監督三級增強安全要求數據加工包括如下要求：據操作行為及時預警、處置；應對數據加工結果進行評估如產生新數據應對新數據進行安全審核確保新數據不存在數據泄露風險；應提供安全的數據加工環境包括網絡環境終端環境等避免加工過程導致數據泄露。四級增強安全要求四級無增強安全要求。數據開放共享15數據開放共享包括如下要求：公共數據提供部門應與公共數據使用部15數據開放共享包括如下要求：公共數據提供部門應與公共數據使用部門簽署相關協明確數據使用目的供應方式保密約定、數據共享范圍、數據安全保護要求等內容；公共數據提供部門應采用國家相關標準規定的密碼技；政務信息資源交換平臺的政務信息共享應履行GB/T39477—2020第6章確定的共享數據安全要求。三級增強安全要求數據開放共享包括如下要求：公共數據提供部門應建立內部審批機制，明確數據對外共享目的、范圍、期限、頻次等內容；公共數據提供部門宜對共享的數據采取數字水印等技術，確保共享數據可溯源；宜采用多方安全計算、同態加密等數據隱私計算技術實現數據共享的安全性。四級增強安全要求四級無增強安全要求。數據交易基本安全要求應按照相關法律、法規、規章的要求開展數據交易，加強交易過程的數據安全保護。三級增強安全要求。9.7.3 四級增強安全要求。數據出境基本安全要求數據出境包括如下要求：應明確數據出境業務場景嚴格遵守國家法律行政法規數據出境安全監管要求符合國家法律行政法規規定情形的應提前開展數據出境安全評估及網絡安全審查工作嚴禁未授權數據出境行為；；。三級增強安全要求三級無增強安全要求。四級增強安全要求16數據銷毀與刪除基本安全要求16數據銷毀與刪除基本安全要求數據銷毀與刪除包括如下要求：應建立數據銷毀與刪除規程明確數據銷毀與刪除場景方式及審批機制設置相關監督角色，記錄數據銷毀與刪除操作過程；如因業務終止或組織解散無數據承接方的應及時有效銷毀其控制的數據法律法規另有規定的除外；委托數據合作方完成數據處理后應要求數據合作方及時銷毀委托的相關數據法律法規另有規定或者雙方另有約定的除外；根據要求、約定刪除數據或完成數據處理后無需保留源數據的，應及時刪除相關數據；應按照GB/T35273—2020中8.3執。三級增強安全要求數據銷毀與刪除包括如下要求：應在中國境內對介質存儲的數據進行銷毀或刪除；應對存儲數據的介質或物理設備采取無法恢復的方式進行數據銷毀與刪除如物理粉碎消磁、多次擦寫等。四級增強安全要求四級無增強安全要求。DB4403/T271—2022附 錄 A（資料性）序號平臺系統名稱責任部門數據庫名稱端口號數據庫版本信息大小庫表數量表序號表名稱安全等級1門152110GB101user級門152110GB102級序號數據子類類型數據字段名稱數據總量分類分級（數據類別）分類分級（數據級別）存儲位置(平臺系統名稱-數據庫名稱-表名〉是否涉及訪問及導出是否涉及數據共享是否涉及出境是否國家定義的重要數據150000身份證3級是是否否50000姓名3級是是否否表表A.2 數據資產分類分級（數據子類或數據字段）清單示例表A.1 業務系統（數據庫）清單示例公共數據分類分級清單示例業務系統（數據庫）清單示例見表A.1，數據資產分類分級（數據子類或數據字段）清單示例見表A.2。DB4403/T271—2022DB4403/T271—20221818附 錄 B（規范性）公共數據子類或數據字段定級及級別要求定級要素與等級關系）。表B.1數據子類或數據字段定級要素與安全等級關系數據定級要素數據一般特征對應級別受侵害的客體對客體的侵害程度國家安全特別嚴重損害/嚴重損害/一般損害數據子類或單一數據字段安全性遭到破壞關聯同一其它數據字段后可能對國家安全造成影響公共利益造成嚴重影響務機構的合法權益造成特別嚴重影響。GB/T35273—2020A、附錄B中的“個人健康生理信息個人生物識別信息”等。4社會秩序和公共利益特別嚴重損害/嚴重損害4個人信息主體及公共管理和服務機構的合法權益特別嚴重損害4社會秩序和公共利益一般損害數據子類或單一數據字段安全性遭到破壞關聯同一其它數據字段后可能對社會秩序和公共利益造成一般影響或對個人信息主體及公共管理和服務機構的合法權造成嚴重影響，但不影響國家安全。GB/T35273—2020A、附錄B中的“個人基本資個人身份信息個人通信信息個人位置信息聯系人信息個人財產信息3個人信息主體及公共管理和服務機構的合法權益嚴重損害3個人信息主體及公共管理和服務機構的合法權益一般損害數據子類或單一數據字段安全性遭到破壞關聯同一其它數據字段后可能對個人信息主體及公共管理和服務機構的合法權益造成一般影響但不影響國家安全秩序和公共利益。GB/T35273—2020A、B中的“個人教育工作信息網絡身份標識信息記錄個人常用設備信息”等。219DB4403/T271—202219表B.1數據子類/數據字段定級要素與安全等級關系（續）數據定級要素數據一般特征對應級別受侵害的客體對客體的侵害程度國家安全無損害數據子類或單一數據字段一知、使用。個人信息主體涉及的可公開或主動公開的信息。1社會秩序和公共利益無損害1個人信息主體及公共管理和服務機構的合法權益無損害1DB4403/T271—2022DB4403/T271—2022級別要求依據表取20表統20表處理活動級別要求4級3級2級1級數據收集通過或。。通過或。。通過或。。。數據存儲。用。用。用。-DB4403/T271—2022表B.2公共數據子類或數據字段安全等級與安全要求關系（續）處理活動級別4級3級2級1級數據傳輸。。密、脫敏等安全措施，確保傳輸安全性。。。采-數據使用。如多方計算、聯邦學習等。。如多方計算、聯邦學習等。。-數據加工。宜。宜。-21DB4403/T271—2022DB4403/T271—2022DB4403/T271—2022DB4403/T271—202222表B.2公共數據子類或數據字段安全等級與安全要求關系（續）22處理活動級別4級3級2級1級數據開放共享。學習等。。學習等。。-數據交易a。a。a。a，。數據出境----數據銷毀與刪除。字段進行擦除，確保數據不可恢復。。-2323C.2 不同行業分類方法見。圖C.1公共數據分類示例附 錄 C（資料性）公共數據分類方法分類方法及示例梳大一所。DB4403/T271—2022DB4403/T271—2022DB4403/T271—2022DB4403/T271—20222424附 錄 D（資料性）常見個人信息分類分級參考表表。表D.1 常見個人信息分類分級參考表一級類別二級類別典型示例和說明參考級別個人信息個人健康生理信息指個人因生病醫治等產生的相關記錄如病癥住院志醫囑單、檢驗報告、手術及麻醉記錄、護理記錄、用藥記錄、藥物食物過敏信息、生育信息、以往病史、診治情況、家族病史、現病史、傳染病史等，以及與個人身體健康狀況相關的其他信息，如吸煙史等。4個人生物識別信息指輔助識別個人身份的生物信息，如：弱隱私生物特征信息，包括人臉、聲紋、步態、耳廓、眼紋、筆跡等；強隱私生物特征信息，包括個人基因、指紋、掌紋、虹膜等。4個人鑒別信息指個人的金融用戶鑒別信息，如：（或芯片等效信息（CNCN、卡片有效期、銀行卡密碼、網絡支付交易密碼；（包括但不限于支付賬號證券賬戶保險賬戶登錄密碼、交易密碼、查詢密碼、USBKEY、U盾（網銀、手機銀行密保工具信息）等。4指個人的其它用戶鑒別信息，且泄露后不造成個人經濟損失，但會對個人工作或生活造成影響，如：公共管理和服務機構對社會公眾提供服務的網站涉及的用戶鑒別信息，如社保、教育、交通、水電等相關系統；公共管理和服務機構內部系統涉及的用戶鑒別信息，包括OA系統、郵件系統等用戶鑒別信息。3個人基本資料指個人基本情況，如：個人姓名、生日、性別、民族、國籍、家庭關系、住址、電子郵件地址、婚姻狀況等。3個人身份信息指個人的身份信息如身份證軍官證護照駕駛證工作證、社保卡、居住證、港澳通行證、駕照編號等。3個人通信信息指個人的通信記錄數據，如：通信記錄和內容、短信、彩信、電子郵件，以及描述個人通信的數據(通常稱為元數據)等。3個人位置信息指能具體定位到個人的地理位置信息，如：行蹤軌跡、精準定位信息、住宿信息、經緯度等常在位置和當前位置等信息。3聯系人信息指個人各類通信聯系方式數據，如：手機號碼、固定電話、電子郵箱地址、微信號、QQ號等。32525表D.1 常見個人信息分類分級參考表續）一級類別二級類別典型示例和說明參考級別個人信息聯系人信息指好友通信聯系方式數據，如：通訊錄、好友列表、群列表、電子郵件地址列表、微信群號等。3未成年個人信息指未