CCSL09蘇DB32052024-12-25發布蘇州市市場監督管理局發布DB3205/T1167—2024前言 2規范性引用文件 3術語和定義 4數據分類分級原則 5數據分類規則 5.1分類框架 5.2分類方法 6數據分級規則 6.1分級框架 6.2分級方法 6.3分級要素 7數據分類分級管理 7.1職責分工 7.2工作要求 附錄A（資料性）醫療機構數據分類參考表 7附錄B（資料性）醫療機構數據分類分級職責劃分參考表 9附錄C（資料性）數據目錄上報模板 10附錄D（資料性）數據安全級別變化規則示例表 11參考文獻 DB3205/T1167—2024本文件按照GB/T1.1—2020《標準化工作導則第1部分：標準化文件的結構和起草規則》的規定起草。本文件的某些內容可能涉及專利，本文件的發布機構不承擔識別專利的責任。本文件由蘇州市衛生健康委員會提出、歸口并組織實施。本文件起草單位：蘇州市衛生健康信息中心、中國聯合網絡通信有限公司蘇州市分公司、蘇州市衛生健康委員會、中共蘇州市委網絡安全和信息化委員會辦公室、蘇州市公安局、蘇州市質量和標準化院、北京神州綠盟科技有限公司、中國信息通信研究院、蘇州市姑蘇區政務信息中心、昆山市衛生計生信息中心、常熟市衛生信息中心、蘇州市吳江區衛生計生統計信息中心、蘇州市吳中區衛生健康發展中心、蘇州市姑蘇區民政和衛生健康局、蘇州工業園區衛生健康委員會、蘇州大學附屬第一醫院、蘇州大學附屬第二醫院、蘇州大學附屬兒童醫院、蘇州市立醫院、蘇州市中醫醫院、蘇州市第五人民醫院、蘇州市第九人民醫院、蘇州大學附屬第四醫院、蘇州市疾病預防控制中心、蘇州明基醫院、常熟市第二人民醫院。本文件主要起草人：鞠鑫、陸治平、湯崢、朱杰、徐愛彬、張俊杰、陸曉明、劉旭哲、周文淵、王寶燕、李嘉、周號云、金建芳、錢瑾、趙亞、姚永剛、顧嘉奇、湯景云、沈婷、趙芯蕊、胡莉莉、貝乾、金健、仲曉偉、李斌、朱建光、王瀾、顏慶、顧紀君、徐先泉、張華榮、程思民、劉亞軍、汪春亮、朱晨、諸俊、閔寒、費雪剛、柳維生、唐廣場、王怡、沈翀、黃利軍、沈穎杰、丁翀、方衛青、高喆、葉棟、潘愛女、謝曉烽、李泉、丁松松、趙斌、邵軍琦、王萍、施嶺、馬林平。DB3205/T1167—20241醫療機構數據分類分級規范本文件規定了醫療機構開展數據分類分級的原則、規則和管理等。本文件適用于指導醫療機構開展數據分類分級工作，也適用于監管部門開展數據分類分級的落地考核和檢查。醫療機構包括公立醫院、民營醫院、社區衛生服務中心（站）、校醫院、鄉鎮衛生院、診所（醫務室）、村衛生室、疾病預防控制中心、婦幼保健機構、專科疾病防治院（所、站）、衛生監督所（中心）。本文件不適用于涉及國家秘密的數據。2規范性引用文件下列文件中的內容通過文中的規范性引用而構成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T25069—2022信息安全技術術語GB/T43697—2024數據安全技術數據分類分級規則3術語和定義GB/T25069—2022界定的以及下列術語和定義適用于本文件。3.1數據data任何以電子或者其他方式對信息的記錄。3.2數據分類dataclassification根據數據的屬性或特征，按照一定的原則和方法進行區分和歸類。3.3數據分級datagrading根據數據的敏感程度和被破壞后對受害者的影響程度，按照一定的原則和方法進行定級，為數據全生命周期過程中組織數據的開放、共享安全策略制定提供支撐。3.4重要數據keydata特定領域、特定群體、特定區域或達到一定精度和規模的，一旦被泄露或篡改、損毀，可能直接危害國家安全、經濟運行、社會穩定、公共健康和安全的數據。3.5核心數據coredata2DB3205/T1167—2024對領域、群體、區域具有較高覆蓋度或達到較高精度、較大規模、一定深度的，一旦被非法使用或共享，可能直接影響政治安全的重要數據。3.6一般數據generaldata核心數據、重要數據之外的其他數據。4數據分類分級原則醫療機構數據分類分級原則遵循GB/T43697—2024且考慮與行業分類分級規則的一致性。a）根據GB/T43697—2024，醫療機構數據分類分級遵循科學實用、邊界清晰、就高從嚴、點面結合、動態更新五個基本原則。b）行業一致性原則：醫療機構開展數據分類分級時，與行業主管部門相關規定和要求、其他數據分類分級框架保持必要的一致性。5數據分類5.1分類框架醫療機構數據分類按照先業務屬性分類，再按照數據屬性分類的思路進行分類。a）按照業務屬性，將數據分為個人信息、機構運營數據、醫療應用數據、醫療支付數據、公共衛生數據、醫學教育研究數據、其他數據七個一級類別。b）在業務屬性分類的基礎上，按照醫療機構的數據屬性，對數據進行細化分類。二級類別包括但不限于：1）個人屬性信息是指醫療機構中所有人員的基本信息和活動情況的數據集合，包括個人基本信息、個人身份信息、個人通訊信息、個人財產信息、個人生物識別信息、個人就醫信息、個人健康生理信息、其他個人信息八個子類；2）機構運營數據是指支撐醫療機構日常運行管理和服務的數據集合，包括機構基礎數據、機構醫療資源數據兩個子類；3）醫療應用數據是指機構在開展醫療活動中產生和收集的數據集合，包括基礎就診信息、病歷信息、檢查檢驗報告、用藥信息、病程記錄信息、手術記錄信息、其他醫療就診數據七個子類；4）醫療支付數據是指醫療機構開展醫療活動中產生的財務數據的集合，包括交易信息、保險信息兩個子類；5）公共衛生數據是指醫療機構開展醫療活動中產生的呈現公共衛生概況的數據集合，包括環境衛生數據、傳染病疫情數據、疾病監測預防數據、出生死亡數據、其他公共衛生數據五個子類；6）醫學教育研究數據是指醫療機構開展醫學研究和教育培訓活動中產生和收集的數據集合，包括醫學教育宣傳數據、醫療科研數據兩個子類；7）其他數據是指不屬于以上分類的數據。c）醫療機構數據一、二級分類參考見附錄A。DB3205/T1167—20243d）在一級類別、二級類別的基礎上，醫療機構根據工作需要進行子類細分?？杉毞譃槿夘悇e、四級類別，以方便確定等級。e）如涉及法律法規有專門管理要求的數據類別（如個人信息等應按照有關規定和標準進行識別和分類。5.2分類方法醫療機構數據分類可根據數據有效保護、合法利用和持續安全的實際需要，結合已有數據分類框架（參見5.1），使用線分類法、面分類法、混合分類法等方法，靈活選擇業務領域和數據屬性將數據細化分類。具體參考以下步驟開展數據分類。a）明確數據范圍：按照醫療機構主管（監管）部門職責，明確本機構管理的數據范圍。b）細化業務分類：對本機構業務進行細化分類，包括：1）結合部門職責分工，明確醫療機構或業務條線的分類；2）按照業務范圍、運營模式、業務流程等，細化醫療機構或明確各業務條線的關鍵業務分類。c）業務屬性分類：選擇合適的業務屬性，對關鍵業務的數據進行細化分類。d）確定分類規則：梳理分析各關鍵業務的數據分類結果，根據本機構數據管理和使用需求，確定本機構數據分類規則，例如：1）可采取“業務條線—關鍵業務—業務屬性分類”的方式給出數據分類規則；2）也可對關鍵業務的數據分類結果進行歸類分析，將具有相似主題的數據子類進行歸類。6數據分級6.1分級框架根據醫療機構數據在經濟社會發展中的重要程度，以及一旦遭到泄露、篡改、損毀或者非法獲取、非法使用、非法共享，對國家安全、經濟運行、社會秩序、公共利益、組織權益、個人權益造成的危害程度，將醫療機構數據從高到低分為核心數據（L5）、重要數據（L4）和一般數據，其中一般數據細分為三級（L3、L2、L1），與國家和行業的數據分類分級要求相對應。6.2分級方法醫療機構數據分級，可按照以下步驟進行數據分級：a）確定分級對象：確定待分級的數據，如數據項、數據集、衍生數據、跨行業領域數據等；b）分級要素識別：結合自身數據特點，醫療機構應對不同類別的數據，開展數據所屬領域、數據描述群體、數據描述區域、數據重要性、數據規模、數據覆蓋度、數據深度等數據分級要素的梳理；c）數據影響分析：醫療機構應評估不同類別數據，一旦遭到泄露、篡改、損毀、非法獲取、非法使用、非法共享后對國家安全、經濟運行、社會秩序、組織、個人權益的影響，并將影響程度劃分為特別嚴重危害、嚴重危害、一般危害三層。影響對象、程度與數據級別的關系見表1；d）綜合確定級別：按照6.3，結合數據分類分級原則，綜合確定數據級別。DB3205/T1167—20244表1數據級別規則參考表注：如果影響大規模的個人或組織權益，影響對象可能不只包括個人權益或組織權益，也可能對國6.3分級要素影響醫療機構數據分級的要素，包括醫療機構數據的群體、精度、規模、深度、覆蓋度、重要性等。數據分級應充分識別以下數據分級要素情況：a）在分級要素識別、數據影響分析的基礎上，應按照以下規則對醫療機構數據級別進行進一步確定和調整，相關信息見表2；表2數據級別確定表DB3205/T1167—20245表2數據級別確定表（續）b）醫療機構中若存在反映生物技術研究、開發和應用情況，反映族群特征、遺傳信息，關系重大突發傳染病、動植物疫情，關系生物實驗室安全，或可能被利用制造生物武器、實施生物恐怖襲擊，關系外來物種入侵和生物多樣性的數據，此類數據級別應不低于L4；c）醫療機構中若存在反映國家或地區群體健康生理狀況，關系疾病傳播與防治，關系食品藥品安全的數據，此類數據級別應不低于L4；d）若待分級數據涉及多個要素、多個影響對象或影響程度，應按照就高從嚴原則確定數據級別；e）數據集級別應在數據項級別的基礎上，按照就高從嚴的原則，將數據集包含數據項的最高級別作為數據集默認級別，但同時也要考慮分級要素（如數據規模）變化可能需要調高級別；f）衍生數據級別應按照就高從嚴原則，在原始數據級別的基礎上，綜合考慮加工后的數據深度等分級要素對國家安全、經濟運行、社會秩序、公共利益、組織權益、個人權益的影響進行確定；g）根據數據重要程度和可能造成的危害程度的變化，應對數據級別進行動態更新；h）特殊病種和特殊人群等的特殊數據的安全級別，按照管理實際可以適當提高。7數據分類分級管理7.1職責分工針對數據分類分級工作開展，醫療機構應有明確的工作分工和職責確定，確保數據分類分級工作有序推進。a）應明確數據分類分級的管理部門，負責醫療機構的分類分級統籌管理工作，領導各部門開展分類分級工作。職責劃分如下：1）負責數據分類分級工作的目標、計劃的制定；2）負責數據分類分級流程、制度的制定；3）負責數據分類分級規范的制定；4）負責對執行部門的分類分級成果開展審核評價；5）負責對重要/核心數據目錄的編制和統一上報；6）負責數據分類分級保護策略的制定。b）應明確數據分類分級的執行部門，負責醫療機構分類分級工作的具體執行，協調各部門開展數據分類分級工作。職責劃分如下：1）依據管理部門制定的分類分級目標、計劃、流程、制度以及規范開展數據分類分級工作；DB3205/T1167—202462）負責將執行結果反饋至管理部門；3）配合管理部門開展數據分類分級相關規范制度的優化迭代。在執行過程中對數據分類分級規范要求存在異議時，應與管理部門溝通，討論規范的合理性，研討并修正，保證數據分類分級規范的可執行性。c）醫療機構數據分類分級職責劃分建議參考附錄B。7.2工作要求7.2.1分類分級工作流程醫療機構開展數據分類分級工作，可以按照以下流程：a）數據資產梳理：對本機構的數據資產進行全面梳理，形成數據資產清單，確定數據分類分級對象（如數據集、數據項、衍生數據等）；b）數據分類分級：按照本文件數據分類方法和數據分級方法，結合本機構實際對數據進行分類分c）數據目錄上報：醫療機構應根據行業主管部門要求，將擬定為核心和重要數據目錄報送至上級單位進行審批、備案；d）動態更新管理：數據業務屬性、使用場景、公開范圍、聚合脫敏、數據時效等發生變化時，醫療機構應按照本文件重新開展數據分類分級并按流程上報備案。7.2.2分類分級管理流程醫療機構管理數據分類分級工作，可以參考以下要求：a）數據分類分級的管理部門應整合數據分類和數據分級的成果，制定本醫療機構的數據分類分級規范；b）數據分類分級的管理部門應根據上級主管單位下發/更新的重要數據目錄、核心數據目錄，對本機構的數據分類分級目錄進行調整；c）數據分類分級的管理部門應制定本機構的數據分類分級流程、制度，督促數據分類分級執行部門周期性開展分類分級工作。DB3205/T1167—2024（資料性）醫療機構數據分類參考表醫療機構數據分類參考表見表A.1。表A.1醫療機構數據分類參考表醫保卡號、農合家庭醫療號、農合個人編號，建卡/檔時間、可識主訴、現病史、既往病史、體格檢查（體征）、家族史、癥狀、等等DB3205/T1167—20248表A.1醫療機構數據分類參考表（續）法藥物用法、藥物使用-頻率、藥物使用-劑量單位、藥物使用-手術/操作代碼、手術名稱、手術級別、手術目標部位名稱、手術日期時間、介入物名稱、手術體位代碼、手術過程描述、暴發調查、漏報調查等）等反應）等DB3205/T1167—2024（資料性）醫療機構數據分類分級職責劃分參考表醫療機構數據分類分級職責劃分參考表見表B.1。表B.1醫療機構數據分類分級職責劃分參考表分類分級統籌管理、協調，重要/核心數據目錄主導分類分級流程、制度、規范的制定，定制數據分依據管理部門制定的分類分級目標、計劃、流程、制DB3205/T1167—2024（資料性）數據目錄上報模板數據目錄上報模板見表C.1。表C.1數據目錄上報模板是否建議納入核心數*數據名稱*依據數據分類分級規范*級分類*數據二級分類*建議數據級別*數據載體*數據來源*據量 單*據量 單*數據處*是否涉及跨主體流動*是否為涉外數據*信息系統名稱*是否為關鍵信息基礎設施*覆蓋類型*覆*是否出境*是否開展數據出境安全評估*是否進行數據安全風險評估*12注2：數據目錄臺賬經確認形成核心和重