■ 就如同关键信息基础设施认定规则是关键信息基础设施保护制度的基础一样，重要数据识别准则对国家数据安全监管制度的重要性不言而喻。企业是否属于监管对象、是否应当承担法定责任义务，皆由此而起，故其必然受到极大关注。目前，《重要数据识别指南》的国家标准已经形成征求意见稿，围绕该标准的内容及有关工作，自然也有非常多的关切。为此，小贝说安全请团队核心专家、《重要数据识别指南》（征求意见稿）的执笔起草人左晓栋博士作解读。为便于读者阅读，解读采用问答形式。由于内容较多，故本次解读分为上、中、下三篇。
一、《指南》编制背景与过程是怎样的？
2017年6月1日起实施的《网络安全法》第三十七条规定：关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。
这是我国首次在法律层面提出“重要数据”的概念。为推动法律实施，中央网信办组织力量起草了一份《重要数据识别指南》（后文简称《指南》），作为国家标准《数据出境安全评估指南》征求意见稿的附件，于2017年征求了社会意见。当时数据出境还不是热点问题，且各方面对重要数据的认识还不深入，故征求意见的过程很低调。
（注：2017年版指南列出的重要数据类别）
2017年的这份重要数据识别指南按照行业划分重要数据类型，共28大类（含第28类“其他”）。鉴于其范围较大，有些地方存在模糊，故中央网信办决定重新起草重要数据识别指南。在工作形式上，由全国信安标委在2019年设立“重要数据识别指南”标准研究项目，2020年正式开展“重要数据识别指南”标准制修订项目。
目前，《指南》处于征求意见稿阶段。编制组已报请信安标委秘书处，近期于官网征求社会意见。后续还需经过送审稿、报批稿等程序。
二、《指南》将在重要数据安全监管工作中如何使用？
《指南》是为了指导重要数据目录的制定。通过一份文件把所有的重要数据都描述清楚，这实际上是不可能的。为此，《指南》的定位是从宏观上刻画重要数据的主要特征，便于下一步各行业主管部门基于《指南》另行制定具体文件，这与关键信息基础设施认定的过程很类似。
具体可分为以下三个阶段：
一是，根据国家规定，各地区、各部门制定工作文件，在《指南》基础上明确本地区、本部门以及相关行业、领域重要数据的具体类别和详细特征，指导本地区、本部门以及相关行业、领域开展重要数据识别工作。
二是，各类组织根据地区、本部门的具体规定，识别本组织内重要数据，包括梳理数据资产、判断安全影响、识别重要数据、审核重要数据、形成重要数据目录。
三是，各类组织向所在地区、部门和其他有关方面报送本组织内的重要数据识别结果，各地区、各部门形成本地区、本部门以及相关行业、领域的重要数据具体目录。
以上只是各地区、各部门的工作流程。根据《数据安全法》的立法精神，各地区、各部门的重要数据具体目录还应汇总到国家有关主管部门。
以上只是编制组提出的《指南》应用建议，具体应以后续中央网信办等有关部门的文件规定为准。
三、《指南》在多大程度上反映了目前的监管意志？后续进展会如何？
本质上，《指南》的编制是国家标准制修订任务，纳入国家标准制修订流程管理，与法律法规、政策文件的起草程序不一样。
但鉴于这项工作具有高度的政策性，《指南》编制组始终在重要节点向中央网信办汇报进展情况，听取指示。此外，由于编制组核心成员本身也在参与有关数据安全政策研究工作，故《指南》的编制能够与数据安全政策进展保持协调一致。
但需要指出，鉴于《指南》尚处于标准制修订过程的征求意见稿阶段，前期内容修改主要基于信安标委大数据特别工作组和总体组的专家意见，尚未向网络安全主管部门和行业主管监管部门正式征求意见。因此，《指南》目前的内容还不代表政府部门的意志，主要是编制组的工作成果，不排除今后有调整的可能性。
四、重要数据涉及多种数据类型和多个行业，《指南》的制定必然是一项综合性工作，如何确保《指南》能够反映行业特性？
政策性、行业性强，这是《指南》有别于其他国家标准的显著特征。在成立编制组时，我们尽可能邀请了多个行业主管监管部门的专家参与。今后《指南》除了按程序完成送审稿、报批稿外，还将必然经历广泛征求行业主管监管部门和行业用户意见的过程，以确保可操作性。
更重要的是，前述2017年由中央网信办组织起草“重要数据识别指南”时，已经由网信办向各行业主管监管部门发函，听取各行业对重要数据的建议。虽然《指南》目前的内容与2017年版本已迥异，但各行业的具体建议多数都得到了保留，能够保证对行业特性的反映（特别是在人口健康、自然资源等方面）。
五、国家目前对重要数据的监管要求有哪些？
第一类是《网络安全法》第37条和《数据安全法》第31条对重要数据出境提出的安全管理要求。
第二类是《数据安全法》第21条提出的制定重要数据目录要求。
第三类是《数据安全法》第27条提出的明确数据安全负责人和管理机构、第30条提出的定期开展风险评估等责任义务要求。
第四类是《网络安全审查办法》修订时，要求将核心数据、重要数据或大量个人信息被窃取、泄露、毁损以及非法利用或出境的风险，作为采购活动、数据处理活动以及国外上市可能带来的国家安全风险因素。
第五类是国务院办公厅2021年立法计划中，已经要求网信办牵头制定的《数据安全管理条例》。该条例料将对重要数据安全保护提出一整套监管制度。
第六类是根据《数据安全法》第27条要求，在等级保护基础上履行数据安全保护义务，据此下一步的等级保护工作中有可能会强调对重要数据保护的要求。
第七类是目前全国信安标准正在组织制定的其他数据安全标准中（例如《网络数据处理安全规范》），已经全面引入了“重要数据”概念。这些标准将逐步落实法律法规要求、细化对重要数据的保护规定。
六、《指南》如何定位重要数据与核心数据的关系？
“核心数据”是《数据安全法》中提出的重要概念，并给出了定义。根据《数据安全法》的要求，国家将会建立核心数据管理制度。《指南》目前不涉及对核心数据的识别。
核心数据与重要数据的关系也不是《指南》作为国家标准能够回答的问题，需要在有关文件中予以明确。
七、《指南》如何定位重要数据与个人信息的关系？
应当明确一个概念，“重要”的数据不等于就是“重要数据”，否则国家秘密更应该成为重要数据。
《指南》指出，重要数据不包括国家秘密和个人信息，这并不意味着个人信息不“重要”。作出这一表述的考虑有三个。
一是，分类的目的是为了便于管理，当个人信息已经有了个人信息保护制度，尤其是我国已经通过了专门的《个人信息保护法》之后，没有必要通过个人信息保护制度、重要数据保护制度对其进行重复管理。
二是，个人信息的监管颗粒度已经非常细，已经细致到了很多处理行为要征得个人同意甚至是单独同意的地步。就保护数据自身和维护个人信息主体合法权益而言，重要数据管理制度不会比现有个人信息保护制度更有效。
三是，一些人可能建议批量个人信息属于重要数据，但这还是混淆了“重要数据”与“重要的数据”。如果某类数据已经属于A，而偶尔属于B，既遵循A管理制度又在一定条件下遵循B管理制度，这显然会带来逻辑的混乱。
怎么解决对批量个人信息的增强性保护问题呢？
可以规定达到一定量（具体值由法律法规或政策文件规定）的个人信息，除了遵循个人信息保护的既有要求外，还应该落实对处理重要数据的安全要求。但这只是参照遵循，并不是规定批量个人信息就是重要数据。
八、个人信息保护是全球惯例，但却很少见到其他国家规定“重要数据”，如何理解这种差异性？
的确，2017年我国实施《网络安全法》后的一段时间，国外有很多声音认为中国的做法不符合国际惯例，并因此质疑中国的监管范围过宽。
但这两年类似的声音正在逐步消失，特别是欧盟提出“数字主权”之后。因为大家都意识到了，数据分很多类型，影响是多方面的，只保护个人信息远远不够。
我们分析看到，“重要数据”的确不是一个国际通用词汇，多数国家也没有将其作为一个大类提出统一要求。但各国做法往往是，通过多年努力，将监管要求分散到各个具体行业、特定场合进行管理。但这绝不意味着“重要数据”是中国特有的概念。
例如，出于安保的需要，全世界的机场、港口等重要场均所不允许拍照。这类敏感场所图像、视频数据是不是重要数据？
（图示：事实上存在的各种对数据的限制措施）
而且，是不是除了个人信息的出境管理外，其他数据在世界上都不受限制自由流动呢？显然也不是。最典型的是美国有出口管制制度，国际上有“瓦森纳安排”，其出口管制物项本身就是被限制流通的某种数据与知识。
《指南》编制过程中，编制组充分研究了美国的NIST 800-60《将各类信息与信息系统映射到安全类的指南》以及美国的CUI（受控非密）制度，这些都是美国对涉密信息、个人信息之外的其他类数据的分类与管理要求。
九、如何看待重要数据面临的安全威胁？
为什么要研究重要数据面临的安全威胁呢？这同监管目标直接相关。而监管目标反过来又直接决定了什么数据应该被列为重要数据。
例如，如果我们只关注保密性的话（如美国的CUI（受控非密信息）保护制度便完全从保密性角度考虑），那么所有合法公开的数据就没必要作为重要数据进行监管，如天气预报数据。但如果我们还关注完整性、真实性等需求，即使已经公开的天气预报数据，依然应该防止其被篡改，且必须确保天气预报数据来源的真实性，不能由随便某个机构发布。如果有这一层安全考虑，天气预报数据就应当被列为重要数据。
虽然重要数据的定义反映出对其保密性、完整性、可用性的同步考量，但从法律法规和政策文件规定的安全要求看，目前还是以保护重要数据的保密性为主。如《网络安全法》最初提出重要数据出境安全评估制度时，显然是出于保密性的需求，目的是防止重要数据被泄露（非授权访问）。
但是，即使不考虑天气预报这类公开数据，客观上也存在一大批更侧重完整性、可用性保护的数据，例如工业领域的控制系统数据。
为此，要同时考虑到重要数据面临未经授权披露、丢失、滥用、篡改或销毁，或者汇聚、整合、分析等多种风险。但从现有和可以预见的安全监管要求出发，《指南》目前还是采用了保守的做法，对重要数据的大多数描述均是从保密性着手。这可能需要随着时间的发展逐步优化。
十、如何看待重要数据的分布？
出于不被监管的考虑，曾有很多企业提出，希望将重要数据的范围限定在政府部门、事业单位。编制组经过了认真研究，认为重要数据的分布是十分广泛的。
传统上，很多重要数据的确主要分布在政府部门、重点行业企业、公共服务机构、科研组织等。但随着互联网应用的广泛渗透，以及物联网、云计算、人工智能等技术的快速发展，有相当一部分重要数据被互联网企业、其他各类产品和服务提供商所掌握。
一般而言，重要数据主要分布如下：
政府机构：如宏观经济数据、金融监管数据、人口资源数据。
重点行业企业：如银行、电力公司掌握的金融、能源数据。
公共服务机构：如医院掌握的健康医疗数据、高校掌握的教育数据。
具有相应资质的权威专业机构：如地理、地震、天文、气象等数据。
科研机构：很多能够产生科研成果或拥有重要知识产权，且从事研发活动的组织都掌握与科学技术有关的重要数据（如与国防和国家安全相关）。
互联网企业：如提供导航、电子商务服务的企业掌握的地理数据、经济运行数据。
其他各类产品和服务提供商：如大型工程施工设备生产商远程实时掌握的重大工程施工数据。
《指南》编制组不认为存在某类企业、某个行业天然不收集、存储重要数据的情况。
十一、重要数据有没有时效性？如何看待其时效性？
一旦被认定为重要数据，就永远重要吗？这也是被监管对象十分关心的问题。
从一般观念上看，有可能存在这种“永远重要”的情况。但如果审视我国保密法的话，可以看到国家秘密尚有保密期限。如“秘密”级10年，“机密”级20年，“绝密”级30年。
那么重要数据的时效怎么规定？有多大可能长期被作为重要数据（即其“重要性”时效为长期）？监管制度如何对待这种时效性？
《指南》编制组研究认为，情况可能各不一样，难以在标准中对时效作出统一规定。确实存在着时效很短和很长的情况，这要求我国的重要数据安全监管制度应当保留一定灵活性，以适应不同的监管需要。《指南》提出了重要数据描述格式，其中已对重要数据的“时效”属性做了考虑。
｜小贝结语｜
■ 下期左晓栋博士将为我们分享更精彩的解读和起草工作思路，主要涉及以下问题：如何理解《指南》对识别重要数据提出的“聚焦安全影响”原则、“促进数据流动”原则、“衔接既有规定”原则、“综合考虑风险”原则、“定量定性结合”原则和“动态识别复查”原则？《指南》为什么不按照类别对重要数据进行标识，以及《指南》从七个方面提出重要数据的特征，这七个方面是基于什么考虑？
■ 对《重要数据识别指南》的“上篇”解读主要侧重于《指南》的起草背景以及研究思路。本期小贝说安全继续以问答的形式，邀请《指南》的执笔起草人左晓栋博士作“中篇”解读。本篇解读侧重于解释对重要数据的识别原则以及为什么从七个方面划分重要数据特征。
十二、如何理解《指南》对识别重要数据提出的“聚焦安全影响”原则？
“聚焦安全影响”原则强调，应当从国家安全、经济运行、社会稳定、公共健康和安全等角度识别重要数据。
这一原则指出，“重要数据”的出发点是对国家安全影响的考量。因此，只对组织自身而言重要或敏感的数据不属于重要数据，如企业的内部管理相关数据。
需要再次说明，“重要数据”不是“重要的数据”。“重要的数据”可以有不同衡量指标，但“重要数据”只指向国家安全。例如，只对公民权益保护而言重要的数据也不属于重要数据，因为另有个人信息保护制度予以规范。
十三、如何理解《指南》对识别重要数据提出的“促进数据流动”原则？
“促进数据流动”原则强调，识别重要数据的目的是明确安全保护重点和监管对象，防止泛保护，最终要便利数据流动。生产要素的作用发挥，关键在于流动，数据作为新生产要素更是如此。
理解这一原则，要把握两点。
一是，重要数据也要流动，监管不是限制流动，但流动要有条件。因此必须首先把重要数据识别出来，才能对其安全流动提出要求。同时，非重要的一般数据依法自由流动，避免施加不必要的阻碍。只有这样才能充分释放数据价值。
二是，相比于非重要的一般数据，重要数据一定是“少数派”。都是重点就等于没有重点，且这会导致处处设限，极大影响数据流动。
十四、如何理解《指南》对识别重要数据提出的“衔接既有规定”原则？
“衔接既有规定”原则强调，充分尊重地方已有管理要求和行业特色。地方、部门已经制定实施有关数据管理政策和标准规范的，在识别重要数据时应当与其紧密衔接。《指南》的推出不改变各地区、各部门已有的数据安全相关政策要求。
近年来，很多地区、部门都陆续对一些非密但非公开数据规定了安全要求。只要存在这些要求，则原则上应当全部适用。至少，《指南》不拟制造冲突，从其作为标准的文件性质看也应当贯彻落实各地区、各部门已经形成的监管意志与思路。
十五、如何理解《指南》对识别重要数据提出的“综合考虑风险”原则？
“综合考虑风险”原则强调，应当根据数据用途、面临威胁等不同因素，综合考虑数据遭到篡改、破坏、泄露或者非法获取、非法利用等风险，从保密性、完整性、可用性、真实性、准确性等多个角度识别数据的重要性。
重要数据与国家秘密有明显不同。“国家秘密”的定义是从数据的保密性出发，但“重要数据”对国家安全的影响显然不一定只体现为“保密性”。甚至在某些情况下，“保密性”反而不是主要的。
客观上，现有法律法规对重要数据的要求的确主要体现为“保密性”保护，但不排除今后会针对完整性、可用性等提出新的要求。
鉴于各行业情况不完全一样，《指南》对重要数据特征的刻画依然主要考虑了数据保密性，但在具体识别工作中，建议从实际出发，必要时考虑公开数据对国家安全的影响。
十六、如何理解《指南》对识别重要数据提出的“定量定性结合”原则？
“定量定性结合”原则强调，应当以定量与定性相结合的方式识别重要数据，根据具体数据类型、特性不同采取定量或定性方法。
定量和定性各有优缺点，但这种优缺点不是此次考虑问题的起点。有的数据之所以“重要”，与其内在属性相关，其天生就是重要的，与量多少无关。而有的数据，只有到达一定量后，才能由量变到质变，变为重要数据。
因此，《指南》不能同意规定必须用定量或定性方法，需要在识别工作中由数据的具体情况来决定。
十七、如何理解《指南》对识别重要数据提出的“动态识别复查”原则？
“动态识别复查”原则强调，应当定期复查重要数据识别结果，且在数据用途、共享方式、敏感性等发生变化时，对重要数据进行重新识别。
客观上，任何一种识别工作（不仅仅是重要数据识别）都应当体现动态性。但重要数据识别尤其需要坚持这一原则。原因在于，重要数据的“重要性”时效可能在较短时间内发生变化（当然，不排除反过来有的“重要性”时效长期保持不变），与《保守国家秘密法》中对国家秘密提出的保密期限完全不同。
十八、《指南》为什么不按照类别对重要数据给出标识指导？
2017年版本的“重要数据识别指南”的确是按照行业对重要数据给出了分类。这样做的好处在于，便于行业主管监管部门“对号入座”，为执行层面带来便利性。
但这样划分也具有明显的不足。
一是，“重要数据”的重要性来源于其对国家安全的影响，而这种重要性不必然与行业相关，更多的反映了数据的性质与作用。例如，无论是金融机构的敏感场所（如金库），还是重大交通枢纽，其安保数据（如设施结构图、监控设备部署等）对国家安全影响是同样的属性。如将其分别在不同行业进行规定，反而抹杀了这些数据“重要性”的原因。
二是，按行业区分重要数据会影响行业自主性。一个行业有哪些重要数据，这应当由行业主管监管部门确定，很难通过一部文件“包打天下”。为此，在一份统一的文件中，宜淡化行业分类，而是突出数据特征，为行业主管监管部门今后制定细则提供指导。
三是，按行业区分重要数据不符合国家在电子政务中打破“数据孤岛”的建设思路。最初，国家的“十二金”工程分别建设，曾在一定程度上不可避免出现了“烟囱林立”情况，系统难以互联互通。在此后的建设中，早已摒弃了各自分别建设的方式。例如，“人口”信息系统涉及到人的教育信息、婚姻登记信息、健康生理信息、社保缴纳信息、信用信息、交通安全信息、犯罪记录等，不可能由所涉及部门分别建设，而是应当以数据共享为目标，统筹规划、一体化建设。因此，如果从行业分类角度划分重要数据，很多时候也与实际看数据的视角不符。
十九、《指南》从七个方面提出重要数据的特征，这七个方面是基于什么考虑？
目前，《指南》是从“重要数据的特征”角度对重要数据进行刻画，共包括八个方面：与经济运行相关、与人口和健康相关、与自然资源和环境相关、与科学技术相关、与安全保护相关、与应用服务相关、与政务活动相关，以及“其他”。
（图示：重要数据的八项特征）
除“其他”外，其余七项特征是如何确定的呢？
首先，国家有四大基础数据库——人口基础数据库、法人数据库、宏观经济数据库、自然资源与空间地理数据库，从数据作用的角度，这为我们提供了重要的分类指导。“人口基础数据库”除去个人信息外，很多数据与国家安全相关；“法人数据库”主要包含各类企业、机构数据，很多数据（字段）是公开的，不必单独作为对国家安全有影响的一个特征类别；“宏观经济数据库”直接关系国家安全；“自然资源与空间地理数据库”也直接关系国家安全。由此确定了与经济运行相关、与人口和健康相关、与自然资源和环境相关这三大项重要数据特征。
其次，数据对国家的价值还体现在科技领域，这是当前各国竞争的制高点。由此，确定了“与科学技术相关”这项重要数据特征。
第三，所谓“安全”包含实体安全与网络安全，两者都很重要。既然考量国家安全影响，那么自然应当关注国家安全受到的“直接”影响，具体则可分解为实体安全与网络安全。由此，确定了“与安全保护相关”这项重要数据特征。
第四，“特斯拉”等案例提醒我们，很多时候，国家安全影响产生于在提供服务过程中，供应商所掌握的重要用户的应用情况数据。由此，确定了“与应用服务相关”这项重要数据特征。
第五，政务数据作为一类特殊的数据，很多时候也直接关系国家安全。虽然以上几项特征中已部分包含政务数据，但仍有很多政务数据需要单列。由此，确定了“与政务活动相关”这项重要数据特征。
当然，以上划分维度不完全相同，但基本涵盖了对国家安全影响的主要关切。
最后，我们还对比了“总体国家安全观”，确保以上的主要特征能够反映影响国家安全的主要因素。如有尚未涵盖的，则归为“其他”。
｜小贝结语｜
■ 下期我们将继续分享《重要数据识别指南》下篇解读。主要涉及以下问题：“与经济运行相关”、“与人口和健康相关”、“与自然资源和环境相关”、“与科学技术相关”、“与安全保护相关”、“与应用服务相关”、“与政务活动相关”下的几类特征分别基于什么考虑？制定“重要数据描述方法”是基于什么考虑？
■ 风入蒹葭秋色动，雨余杨柳暮烟凝。长假之后恰逢寒露，适合静心学习。继中篇对重要数据识别原则进行逐项解释，并说明了划分重要数据特征的理由后，下篇则解读侧重于解释重要数据的各项具体特征，并说明对“重要数据描述方法”的设计考虑。
二十、“与经济运行相关”下的几类特征是基于什么考虑？
经济运行与国家安全关系极大。但与数据有关的经济运行有可能从哪些方面影响国家安全呢？可以分为两种情况。一种是数据本身反映了经济活动，出于国家安全考虑要对经济活动的状况保密；另一种是数据决定了经济发展，特别是数据影响到国民经济命脉各行业的生产经营。
在第一种情况中，要认识到当前多数经济数据都是公开的，即使存在公开情报分析，也不能因噎废食。但有两类数据一定需要控制知悉范围。一类是反映国家战备能力的数据，另一类是某些不宜公开的统计数据。虽然这些数据绝大多数都因为高度敏感而列为国家秘密，但也有一些数据属于非密但不公开的，尤其以基础数据、原始数据为主，后者应当属于重要数据。故由此确定了“反映战略储备情况”和“与统计相关”两类特征。
在第二种情况中，考虑到关系国民经济命脉的行业，其基础网络与重要系统基本上都是关键信息基础设施，故将关键信息基础设施的核心业务运行数据、行业运行数据与供应链数据作为重要数据。之所以提到供应链数据，主要是考虑到了国际间对抗博弈的现实状况。故由此确定了“支撑重点行业、领域运行”特征。
此外，考虑到主管部门已经对工业数据有明确的分类分级要求，且很多工业生产活动虽然不一定发生在关键信息基础设施领域，但其生产安全的社会影响极大，《指南》对工业数据作了单列。故由此确定了“支撑工业生产”特征。
二十一、“与人口与健康相关”下的几类特征是基于什么考虑？
人口与健康数据必然含有大量个人信息，如前文所述，《指南》编制组没有将个人信息作为重要数据，故《指南》主要考虑了与此相关的生命健康统计数据、分析数据，以及与健康有关的食品、药品类数据。排除掉个人信息后，“人口与健康数据”主要涉及两大类。
一大类涉及人群的总体情况和人自身的健康。包括：非公开的人口普查相关数据，以及基因数据、遗传资源等；诊疗与健康管理信息，即各类诊疗与健康管理数据，以及批量健康医疗数据挖掘、群体画像、开发利用结果数据；疫情管理相关信息，即突发公共卫生事件与传染病疫情监测过程中获得的疫病流行情况，疫情防控过程中获得的病源跟踪、物资调配、交通运输等相关信息。故由此确定了“反映人口情况”和“涉及健康医疗”两类特征。在此之下则包含“诊疗与健康管理信息”、“疫情管理相关信息”等。
另一大类涉及食品药品。从实际情况看，这些受控数据主要体现在两个方面，一方面是实验类数据，另一方面是事件类数据。故由此确定了“涉及食品药品情况”特征。在此之下则包含了“药品实验数据”、“医疗器械实验数据”、“食品药品安全数据”、“食品药品安全重大（紧急）事件信息”等。
二十二、“与自然资源与环境相关”下的几类特征是基于什么考虑？
自然资源类型较多，且相当多的自然资源数据与国防军事安全直接相关。在明确此类重要数据的特征时，主要考虑的是传统上对自然资源的分类，此外还考虑了环境类数据。故由此确定了“涉及地理信息”、“涉及水利情况”、“涉及地震情况”、“涉及气象情况”、“涉及环保监测情况”、“涉及海洋环境监测情况”等特征。
很多自然资源类数据的专业性很强，编制组在把握一些类型和精度时听取了有关方面的意见。
二十三、“与科学技术相关”下的几类特征是基于什么考虑？
科技安全是国家安全的重要组成部分，很多反映科技成果的数据直接影响国家安全。
首先，作为世界各国维护科技安全的一种常规手段，出口管制对象中必然含有数据类物项。但受控数据不应当仅限于此，所有描述出口管制物项的设计原理、工艺流程、制作方法等的信息以及源代码、集成电路布图、技术方案、重要参数、实验数据、检测报告等均应当属于重要数据。故由此确定了“涉及出口管制物项”特征。
此外，知识产权毫无疑问是应当受保护的。但除了保护权利人利益外，有些知识产权与国家利益相关，应当受到特别保护。其中一类关系国防和国家安全，另一类则具有重大经济价值，对国家经济竞争实力有重要影响。因此，即使一些知识产权发明人是个人或企业，也有可能需要将其知识产权数据列为重要数据。故由此确定了“涉及特殊知识产权”特征。
与知识产权类似，一些在科学研究、产业实践过程中产生的，具有重大战略意义或经济价值的论文、报告、实验数据等也可能属于重要数据。有的人可能会认为，我自己写了篇论文，没有利用国家经费，解决了某个重大问题，我的发明发现怎么就成了重要数据了？但美西方国家对我出口管制的物项，有相当多也都是由企业自行研发的。因此，这一逻辑是合理的。故由此确定了“涉及重大发明发现”特征。
最后，与国家安全直接相关的国家科技计划本身，以及国家科技计划管理过程中收集、产生的可能影响国家安全的信息，还有能够反映国家科技、国民经济等各种重大情况的国家大型科学仪器运行数据也应当属于重要数据。故由此确定了“涉及国家科技计划”特征。
二十四、“与安全保护相关”下的几类特征是基于什么考虑？
“安全保护手段和措施”显然是考虑国家安全的重要切入点。信息化条件下，往往从物理安全（实体安全）和网络安全两个方面对重点目标实施保护。故由此确定了“涉及物理安全”和“涉及网络安全”两类特征。
考虑到除了重要场所与目标自身的安全相关数据外，安保装备数据、安保部署数据、危化品数据也会影响重要场所与目标的安全，故在“涉及物理安全”特征下作了如上的进一步划分。
同理，除了关键信息基础设施网络安全自身防护信息外，《指南》还考虑了其他可能影响关键信息基础设施安全的因素。如关键信息基础设施规划建设信息、关键信息基础设施运行维护数据，以及漏洞与重大事件信息、网络安全重大发现与重要研究成果等。此外，还根据有关方面的意见建议，将应急通信数据和无线电数据作为重要数据，这也与关键信息基础设施安全相关。
二十五、“与应用服务相关”下的几类特征是基于什么考虑？
从实践看，一些应用服务本身不一定产生重要数据，但在服务过程中，因为用户重要，或者用户转移的数据重要，而使应用服务提供商掌握了重要数据。这是一种特殊情况，但考虑到类似情况比较普遍，且确实是重要数据的一种来源，有必要单列。故由此确定了“用户委托数据”和“用户使用数据”两类特征。
例如，在向政府部门、公共企事业单位（包括但不限于教育、健康医疗、供水、供电、供气、供热、环境保护、交通等单位）用户或重点项目（如国家重大建设工程）提供服务的过程中，所产生的与用户基本信息、使用情况等有关的数据。如全国直播卫星用户信息、汽车生产制造企业掌握的重要用户行车数据等，以及对上述数据进行加工形成的可能影响国家安全的相关信息。
在向用户提供服务的过程中，用户的重要数据转移到企业或其他组织的信息系统之中，这并不是新产生的重要数据，严格讲这不是新的一类特征。但这种情况下服务提供者需要承担保护重要数据的责任，故《指南》中也还是作了强调。
二十六、“与政务活动相关”下的几类特征是基于什么考虑？
除国家秘密外，国家机关在履行法定职责过程中产生大量不宜公开的文件、资料，很多定位为工作秘密，这显然应当属于重要数据。这种划分方法固然会与前述的几类特征有所交叉，但从实际工作看，单独提出“与政务活动相关”有利于数据的管理。
有一些数据由公民或企业上报，非由国家机关产生，但也不宜公开，《指南》也将其作为重要数据（个人信息除外）。
故由此确定了“国家机关产生的数据”和“公民企业上报数据”两类特征。
二十七、制定“重要数据描述方法”是基于什么考虑？
《指南》只是为部门行业制定重要数据目录提供了原则性参考。但如果没有一个统一的重要数据描述格式，则各地方、各部门制定的重要数据目录很可能多种多样，不利于汇总和管理。为此，有必要提出一种重要数据的描述方法，经科学论证后，可供今后各地方、各部门统一采用。
目前，《指南》提出的重要数据描述方法如下表所示：
｜小贝结语｜
■ 《汽车数据安全管理若干规定（试行）》已经发布，《工业和信息化领域数据安全管理办法》正在征求意见，其中都提出了相关行业领域重要数据的定义。以后还会有越来越多的部门制定关于重要数据管理的规范性文件。《指南》只是国家标准，且目前仍属于征求意见稿阶段，也只是反映了编制组现阶段的认识水平，不代表官方意志。左晓栋博士特别强调，此次连载的3期《指南》解读仅是其个人意见，定有不妥之处。随着时间的发展，相信《指南》会不断修改完善。
总编辑|中国信息安全研究院副院长 左晓栋
声明：本文来自小贝说安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
