工業(yè)和信息化部辦公廳
關(guān)于印發(fā)《工業(yè)數(shù)據(jù)分類分級(jí)指南（試行）》的通知

工信廳信發(fā)〔2020〕6號(hào)

各省、自治區(qū),、直轄市及新疆生產(chǎn)建設(shè)兵團(tuán)工業(yè)和信息化主管部門，有關(guān)中央企業(yè)：

       現(xiàn)將《工業(yè)數(shù)據(jù)分類分級(jí)指南（試行）》印發(fā)給你們,，請(qǐng)結(jié)合實(shí)際,，認(rèn)真貫徹執(zhí)行。

工業(yè)和信息化部辦公廳
2020年2月27日

工業(yè)數(shù)據(jù)分類分級(jí)指南（試行）

第一章 總則

       第一條為貫徹《促進(jìn)大數(shù)據(jù)發(fā)展行動(dòng)綱要》《大數(shù)據(jù)產(chǎn)業(yè)發(fā)展規(guī)劃（2016-2020年）》有關(guān)要求，更好推動(dòng)《數(shù)據(jù)管理能力成熟度評(píng)估模型》（GB/T 36073-2018）貫標(biāo)和《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》落實(shí),，指導(dǎo)企業(yè)提升工業(yè)數(shù)據(jù)管理能力,，促進(jìn)工業(yè)數(shù)據(jù)的使用、流動(dòng)與共享,，釋放數(shù)據(jù)潛在價(jià)值,，賦能制造業(yè)高質(zhì)量發(fā)展，制定本指南,。

       第二條本指南所指工業(yè)數(shù)據(jù)是工業(yè)領(lǐng)域產(chǎn)品和服務(wù)全生命周期產(chǎn)生和應(yīng)用的數(shù)據(jù),，包括但不限于工業(yè)企業(yè)在研發(fā)設(shè)計(jì)、生產(chǎn)制造,、經(jīng)營(yíng)管理,、運(yùn)維服務(wù)等環(huán)節(jié)中生成和使用的數(shù)據(jù)，以及工業(yè)互聯(lián)網(wǎng)平臺(tái)企業(yè)（以下簡(jiǎn)稱平臺(tái)企業(yè)）在設(shè)備接入,、平臺(tái)運(yùn)行,、工業(yè)APP應(yīng)用等過程中生成和使用的數(shù)據(jù)。

       第三條本指南適用于工業(yè)和信息化主管部門,、工業(yè)企業(yè),、平臺(tái)企業(yè)等開展工業(yè)數(shù)據(jù)分類分級(jí)工作。涉及國(guó)家秘密信息的工業(yè)數(shù)據(jù),，應(yīng)遵守保密法律法規(guī)的規(guī)定,，不適用本指南。

第四條工業(yè)數(shù)據(jù)分類分級(jí)以提升企業(yè)數(shù)據(jù)管理能力為目標(biāo),，堅(jiān)持問題導(dǎo)向,、目標(biāo)導(dǎo)向和結(jié)果導(dǎo)向相結(jié)合，企業(yè)主體,、行業(yè)指導(dǎo)和屬地監(jiān)管相結(jié)合,，分類標(biāo)識(shí)、逐類定級(jí)和分級(jí)管理相結(jié)合,。

第二章  數(shù)據(jù)分類

       第五條工業(yè)企業(yè)結(jié)合生產(chǎn)制造模式,、平臺(tái)企業(yè)結(jié)合服務(wù)運(yùn)營(yíng)模式，分析梳理業(yè)務(wù)流程和系統(tǒng)設(shè)備,，考慮行業(yè)要求,、業(yè)務(wù)規(guī)模、數(shù)據(jù)復(fù)雜程度等實(shí)際情況,，對(duì)工業(yè)數(shù)據(jù)進(jìn)行分類梳理和標(biāo)識(shí),，形成企業(yè)工業(yè)數(shù)據(jù)分類清單。

       第六條工業(yè)企業(yè)工業(yè)數(shù)據(jù)分類維度包括但不限于研發(fā)數(shù)據(jù)域（研發(fā)設(shè)計(jì)數(shù)據(jù),、開發(fā)測(cè)試數(shù)據(jù)等）,、生產(chǎn)數(shù)據(jù)域（控制信息,、工況狀態(tài)、工藝參數(shù),、系統(tǒng)日志等）,、運(yùn)維數(shù)據(jù)域（物流數(shù)據(jù)、產(chǎn)品售后服務(wù)數(shù)據(jù)等）,、管理數(shù)據(jù)域（系統(tǒng)設(shè)備資產(chǎn)信息,、客戶與產(chǎn)品信息、產(chǎn)品供應(yīng)鏈數(shù)據(jù),、業(yè)務(wù)統(tǒng)計(jì)數(shù)據(jù)等）,、外部數(shù)據(jù)域（與其他主體共享的數(shù)據(jù)等）。

       第七條平臺(tái)企業(yè)工業(yè)數(shù)據(jù)分類維度包括但不限于平臺(tái)運(yùn)營(yíng)數(shù)據(jù)域（物聯(lián)采集數(shù)據(jù),、知識(shí)庫(kù)模型庫(kù)數(shù)據(jù),、研發(fā)數(shù)據(jù)等）和企業(yè)管理數(shù)據(jù)域（客戶數(shù)據(jù)、業(yè)務(wù)合作數(shù)據(jù),、人事財(cái)務(wù)數(shù)據(jù)等）,。

第三章 數(shù)據(jù)分級(jí)

       第八條根據(jù)不同類別工業(yè)數(shù)據(jù)遭篡改、破壞,、泄露或非法利用后,，可能對(duì)工業(yè)生產(chǎn)、經(jīng)濟(jì)效益等帶來(lái)的潛在影響,，將工業(yè)數(shù)據(jù)分為一級(jí),、二級(jí)、三級(jí)等3個(gè)級(jí)別,。

       第九條潛在影響符合下列條件之一的數(shù)據(jù)為三級(jí)數(shù)據(jù)：

       （一）易引發(fā)特別重大生產(chǎn)安全事故或突發(fā)環(huán)境事件,，或造成直接經(jīng)濟(jì)損失特別巨大；

       （二）對(duì)國(guó)民經(jīng)濟(jì),、行業(yè)發(fā)展,、公眾利益、社會(huì)秩序乃至國(guó)家安全造成嚴(yán)重影響,。

       第十條潛在影響符合下列條件之一的數(shù)據(jù)為二級(jí)數(shù)據(jù)：

       （一）易引發(fā)較大或重大生產(chǎn)安全事故或突發(fā)環(huán)境事件,，給企業(yè)造成較大負(fù)面影響，或直接經(jīng)濟(jì)損失較大,；

       （二）引發(fā)的級(jí)聯(lián)效應(yīng)明顯,，影響范圍涉及多個(gè)行業(yè)、區(qū)域或者行業(yè)內(nèi)多個(gè)企業(yè),，或影響持續(xù)時(shí)間長(zhǎng),，或可導(dǎo)致大量供應(yīng)商、客戶資源被非法獲取或大量個(gè)人信息泄露,；

       （三）恢復(fù)工業(yè)數(shù)據(jù)或消除負(fù)面影響所需付出的代價(jià)較大,。

       第十一條潛在影響符合下列條件之一的數(shù)據(jù)為一級(jí)數(shù)據(jù)：

       （一）對(duì)工業(yè)控制系統(tǒng)及設(shè)備,、工業(yè)互聯(lián)網(wǎng)平臺(tái)等的正常生產(chǎn)運(yùn)行影響較??；

       （二）給企業(yè)造成負(fù)面影響較小，或直接經(jīng)濟(jì)損失較??；

       （三）受影響的用戶和企業(yè)數(shù)量較少、生產(chǎn)生活區(qū)域范圍較小,、持續(xù)時(shí)間較短,；

       （四）恢復(fù)工業(yè)數(shù)據(jù)或消除負(fù)面影響所需付出的代價(jià)較小。

第四章  分級(jí)管理

       第十二條工業(yè)和信息化部負(fù)責(zé)制定工業(yè)數(shù)據(jù)分類分級(jí)制度規(guī)范,，指導(dǎo),、協(xié)調(diào)開展工業(yè)數(shù)據(jù)分類分級(jí)工作。各地工業(yè)和信息化主管部門負(fù)責(zé)指導(dǎo)和推動(dòng)轄區(qū)內(nèi)工業(yè)數(shù)據(jù)分類分級(jí)工作,。有關(guān)行業(yè),、領(lǐng)域主管部門可參考本指南，指導(dǎo)和推動(dòng)本行業(yè),、本領(lǐng)域工業(yè)數(shù)據(jù)分類分級(jí)工作,。

       第十三條工業(yè)企業(yè)、平臺(tái)企業(yè)等企業(yè)承擔(dān)工業(yè)數(shù)據(jù)管理的主體責(zé)任,，要建立健全相關(guān)管理制度,，實(shí)施工業(yè)數(shù)據(jù)分類分級(jí)管理并開展年度復(fù)查，并在企業(yè)系統(tǒng),、業(yè)務(wù)等發(fā)生重大變更時(shí)應(yīng)及時(shí)更新分類分級(jí)結(jié)果,。有條件的企業(yè)可結(jié)合實(shí)際設(shè)立數(shù)據(jù)管理機(jī)構(gòu)，配備專職人員,。

       第十四條企業(yè)應(yīng)按照《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》等要求,，結(jié)合工業(yè)數(shù)據(jù)分級(jí)情況，做好防護(hù)工作,。
       企業(yè)針對(duì)三級(jí)數(shù)據(jù)采取的防護(hù)措施,，應(yīng)能抵御來(lái)自國(guó)家級(jí)敵對(duì)組織的大規(guī)模惡意攻擊；針對(duì)二級(jí)數(shù)據(jù)采取的防護(hù)措施,，應(yīng)能抵御大規(guī)模,、較強(qiáng)惡意攻擊；針對(duì)一級(jí)數(shù)據(jù)采取的防護(hù)措施,，應(yīng)能抵御一般惡意攻擊,。

       第十五條鼓勵(lì)企業(yè)在做好數(shù)據(jù)管理的前提下適當(dāng)共享一、二級(jí)數(shù)據(jù),，充分釋放工業(yè)數(shù)據(jù)的潛在價(jià)值,。二級(jí)數(shù)據(jù)只對(duì)確需獲取該級(jí)數(shù)據(jù)的授權(quán)機(jī)構(gòu)及相關(guān)人員開放,。三級(jí)數(shù)據(jù)原則上不共享，確需共享的應(yīng)嚴(yán)格控制知悉范圍,。

       第十六條工業(yè)數(shù)據(jù)遭篡改,、破壞、泄露或非法利用時(shí),，企業(yè)應(yīng)根據(jù)事先制定的應(yīng)急預(yù)案立即進(jìn)行應(yīng)急處置,。涉及三級(jí)數(shù)據(jù)時(shí)，還應(yīng)將事件及時(shí)上報(bào)數(shù)據(jù)所在地的省級(jí)工業(yè)和信息化主管部門,，并于應(yīng)急工作結(jié)束后30日內(nèi)補(bǔ)充上報(bào)事件處置情況,。