DB21/T 3895-2023 工业数据流通 通用安全要求

ICS25040.40

CCSL70

DB21

辽宁省地方标准

DB21/T3895—2023

工业数据流通通用安全要求

2023—12—30发布2024—01—30实施

辽宁省市场监督管理局发布

DB21/T3895—2023

目次

前言.............................................................................III

1范围.............................................................................1

2规范性引用文件...................................................................1

3术语和定义.......................................................................1

4数据流通前安全要求...............................................................3

4.1采集所需流通的数据...........................................................3

4.2数据流通安全风险评估.........................................................5

4.3确定数据流通目录.............................................................6

4.4数据脱敏.....................................................................6

5实施数据流通安全要求.............................................................7

5.1数据交易安全.................................................................7

5.2数据出境安全................................................................12

5.3数据传输安全................................................................13

5.4数据接口安全................................................................14

6数据流通后安全要求..............................................................14

6.1数据存储....................................................................14

6.2数据处理....................................................................18

6.3数据销毁....................................................................21

附录A（规范性）工业数据分类分级要求.............................................24

A.1数据分类....................................................................24

A.2数据分级....................................................................26

参考文献..........................................................................29

I

DB21/T3895—2023

II

DB21/T3895—2023

前言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起

草。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。

本文件由辽宁省工业和信息化厅提出并归口。

本文件起草单位：沈阳华睿博信息技术有限公司、上海数据交易所、国家计算机网络应急技术处理

协调中心辽宁分中心、辽宁艾特斯智能交通技术有限公司、东北大学、辽宁职业学院、辽宁省大数据管

理中心、北京赛迪时代信息产业股份有限公司、辽宁省先进装备制造业基地建设工程中心等。

本文件主要起草人：邵华、申翔宇、李凯、黄书鹏、王宇飞、宋宪辉、谭振华、王义刚、杨成实、

张翔宇、魏国伟、刘洋等。

本文件发布实施后，任何单位和个人如有问题和意见建议，均可以通过来电和来函等方式进行反馈，

我们将及时答复并认真处理，根据实际情况依法进行评估及复审。

本文件起草单位通讯地址和联系电话：通讯地址：辽宁省沈阳市和平区青年大街386号华阳国际大

厦2396，联系电话：18698840986。

本文件归口部门通讯地址和联系电话：通讯地址：辽宁省沈阳市皇姑区北陵大街45—2号，联系电

话：024—86893258。

III

DB21/T3895—2023

工业数据流通通用安全要求

1范围

本文件规定了工业数据流通基本原则、数据流通参与方安全要求、数据流通前安全要求、实施数据

流通安全要求以及数据流通后安全要求。

本文件适用于工业数据流通安全防护工作指导和落实。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，

仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本

文件。

GB/T5271.1-2000信息技术词汇第1部分：基本术语

GB/T22239-2019信息安全技术网络安全等级保护基本要求

GB/T25069-2022信息安全技术术语

GB/T35273-2020信息安全技术个人信息安全规范

GB/T35274-2017信息安全技术大数据服务安全能力要求

GB/T37932-2019信息安全技术数据交易服务安全要求

GB/T37973-2019信息安全技术大数据安全管理指南

GB/T37988-2019信息安全技术数据安全能力成熟度模型

GB/T42128-2022智能制造工业数据分类原则

3术语和定义

GB/T25069-2022界定的以及下列术语和定义适用于本文件。

3.1

数据data

信息的可再解释的形式化表示，以适用于通信、解释或处理。

1

DB21/T3895—2023

[来源：GB/T5271.1-2000,01.01.02]

3.2

工业数据industrialdata

在工业领域中，涉及企业的所有生产活动和服务所产生的数据。

[来源：GB/T42128-2022，3.1.1]

3.3

数据供方datasupplier

数据流通中提供数据的组织机构。

[来源：GB/T37932-2019，3.2]

3.4

数据需方dataacquirer

数据流通中购买和使用数据的组织机构。

[来源：GB/T37932-2019，3.3]

3.5

数据交易datatransaction

数据供方和需方之间以数据商品作为交易对象，进行的以货币或货币等价物交换数据商品的行为。

注1：数据商品包括用于交易的原始数据或加工处理后的数据衍生产品。

注2：数据交易包括以大数据或其衍生品作为数据商品的数据交易，也包括以传统数据或其衍生品作为数据商品的

数据交易。

[来源:GB/T37932-2019，3.1]

3.6

数据流通datacirculation

数据及数据产品在不同实体间流转的行为。

3.7

2

DB21/T3895—2023

数据交易服务机构datacirculationservice

为数据供需双方提供数据交易服务的组织机构。

[来源：GB/T37932-2019，3.4]

3.8

个人信息personalinformation

以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然

人活动情况的各种信息。

注1：个人信息包括姓名、出生日期、身份证件号码、个人生物识别信息、住址、通信通讯联系方式、通信记录和

内容账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、流通信息等。

注2：个人信息控制者通过个人信息或其他信息加工处理后形成的信息，例如,用户画像或特征标签,能够单独或者

与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的,属于个人信息。

[来源：GB/T35273-2020，3.1，有修改]

4数据流通前安全要求

4.1采集所需流通的数据

4.1.1数据采集安全管理

数据供方数据采集应满足如下要求：

a）组织开展数据采集活动的过程中应满足权责一致、目的明确、选择同意、最小必要、公开透明、

确保安全、主体参与等原则；

b）应设立数据采集安全管理团队，负责制定和推动实施整体的数据采集安全合规管理制度；

c）应设立数据采集风险评估团队，负责对不同业务或项目场景的数据采集提供安全评估服务支持，

并制定相应的改进方案，评估内容包括但不限于合规安全性、技术安全性等；

d）定义采集数据的目的和用途，明确数据来源、采集方式、采集范围等内容，并制定标准的采集

模板、数据采集方法、策略和规范；

e）遵循合规原则，确保数据采集的合法性、正当性和必要性；

f）设置专人负责信息生产或提供者的数据审核和采集工作；

3

DB21/T3895—2023

g）对于初次采集的数据，应采用人工与技术相结合的方式进行数据采集，并根据数据的来源、类

型或重要程度进行分类；

h）最小化采集数据，仅需要完成必须工作即可，确保不收集与提供服务无关的个人信息和重要数

据；

i）对采集的数据进行分级分类标识，并对不同类别、级别的数据实施相应的安全管理策略和保障

措施，对数据采集环境、设施和技术采取必要的安全管理措施；

j）部署数据采集系统或相关工具，制定数据采集策略（如采集周期、频率、采集内容等）对数据

进行采集；

k）在采集过程中对被采集方授权同意采集的过程和信息进行日志记录；

l）实施数据采集过程的数据防泄漏安全技术措施：如采集数据的加密、采集链路加密、敏感信息

和字段的脱敏、权限的访问控制等；

m）应按照本文件7.1中的要求对数据进行存储。

4.1.2数据源鉴别及记录管理

数据供方开展数据源鉴别及记录活动的过程中应遵循如下基本要求，防止数据仿冒和伪造：

a）设立负责数据源鉴别和记录的岗位和人员，负责对数据源进行鉴别、记录和追溯，检测数据是

否被仿冒、伪造，同时提供统一的数据源管理策略和方案；

b）采取标注法、反向查询法等技术手段对外部收集的数据和数据源进行识别和记录；

c）对关键溯源数据进行备份，并采取数据加密、访问控制及数据备份等技术手段对溯源数据进行

安全保护；

d）确保负责该项工作的人员理解数据源鉴别标准和组织内部的数据采集业务，并结合实际情况执

行标准要求；

e）通过身份鉴别、数据源认证等安全机制确保数据来源的真实性。

4.1.3数据质量管理

数据供方应对采集的数据进行质量管理，应满足如下要求：

a）应设立数据质量管理岗位和人员，负责制定统一的数据质量管理要求，明确对数据质量进行管

理和监控的责任部门或人员；

4

DB21/T3895—2023

b）应明确数据质量管理相关的要求，包含数据格式要求、数据完整性要求、数据字典维护管理要

求、数据源质量评价标准等；

c）应明确数据采集过程中质量监控规则，明确数据质量监控范围及监控方式；

d）应明确组织的数据淸洗、转换和加载操作相关的安全管理规范，明确执行的规则和方法、相关

人员权限、完整性和一致性要求等。

4.1.4数据分类分级

数据供方应对采集到的数据进行分类分级，应满足如下要求：

a）应按照附录A的要求对组织的数据进行分类分级标识和管理；

b）应对不同类别级别的数据建立相应的访问控制、数据加解密、数据脱敏等安全管理和控制措施；

c）应明确数据分类分级变更审批流程和机制，通过该流程保证对数据分类分级的变更操作及其结

果符合组织的要求。

4.2数据流通安全风险评估

4.2.1按照GB/T37973-2019中的风险评估过程对数据流通操作进行风险评估和分析，包括但不限于

以下内容：

a）数据流通目的；

b）目的实现方式，以及是否可以通过不流通数据或流通脱敏后的数据等方式达成；

c）流通数据对国家安全、社会经济、公共秩序、企业生产运营、个人利益等造成的影响和数据安

全等级改变；

d）流通数据对个人信息主体可能造成的侵害；

e）是否涉及数据出境；

f）不流通数据是否会造成损害或损失；

g）访问这些流通数据的相关方及其数据安全能力是否足够保证流通数据安全；

h）流通数据是否已经达成目的，是否需要继续流通数据；

i）是否有任何法定限制或其他因素对数据流通的限制。

5

DB21/T3895—2023

4.2.2根据风险评估结果，对于可能影响国家安全、经济安全、生产安全、个人信息安全等的数据，

应限制进行流通，或者采取措施在保证安全的前提下进行流通。对于可以进行流通的数据，应根据风险

评估结果采取相应安全措施进行流通。

4.3确定数据流通目录

根据风险评估结果，针对可进行共享的工业数据，制定流通数据目录，目录包括但不限于以下内容：

a）流通数据所在域，包括研发域、生产域、管理域、运维域、标识解析域、工业互联网平台域等；

b）流通数据目的；

c）流通数据类型、格式、级别和规模；

d）流通数据用途、支撑的业务系统；

e）流通数据允许使用的范围；

f）流通数据使用期限；

g）流通数据的方式。

4.4数据脱敏

工业数据脱敏应满足如下要求：

a）应设立数据脱敏部门并配置专职的技术人员和管理人员，负责制定整体的数据脱敏原则和制度，

并推动相关要求确实可靠的落地执行；

b）应根据实际业务场景，结合行业法规的要求，制定相应的数据脱敏策略；

c）应确保经过数据脱敏处理后，原始信息中包含的敏感信息已被移除，无法通过处理后的数据得

到敏感信息；

d）脱敏后的数据应尽可能的体现原始数据的特征，且应尽可能多的保留原始数据中的有意义信息，

以减小对使用该数据的系统的影响；

e）应保证数据脱敏的过程可通过程序自动化实现，可重复执行；

f）数据脱敏时需保证对相同的原始数据，在各输入条件一致的前提下，无论脱敏多少次，其最终

结果数据是相同的；

g）可通过配置的方式，按照输入条件不同生成不同的脱敏结果，从而可以方便的按数据使用场景

等因素为不同的最终用户提供不同的脱敏数据；

6

DB21/T3895—2023

h）在数据脱敏之前，应结合数据分级分类表对敏感数据进行识别和定义，明确需要脱敏的数据信

息，一般包括个人信息数据、组织敏感信息、国家重要数据等，并根据识别出的敏感数据的具

体情况，确定合适的脱敏方法；

i）在数据脱敏的各个阶段需加入安全审计机制，严格、详细记录数据处理过程中的相关信息，形

成完整的数据处理记录；

j）设置专人定期对脱敏相关的日志记录进行安全审计，发布审计报告，并跟进审计中发现的异常。

5实施数据流通安全要求

5.1数据交易安全

5.1.1数据交易参与方安全要求

数据供方安全要求

数据供方应满足如下要求：

a）为一年内无重大数据类违法违规记录的合法组织机构；

b）完成在数据交易服务机构的注册,并经数据交易服务机构审核通过,才允许参与数据交易业务；

c）数据供方应证明其具备向数据需方安全交付数据的能力；

d）向数据交易服务机构提供书面的安全承诺，内容包括但不限于：交易数据来源合法性证明材料、

交易数据满足法律法规和政策要求、对交易数据质量评估说明、遵守数据交易安全原则、愿意

接受数据交易服务机构安全监督、愿意对数据交易后果负责等；

e）遵守数据交易服务机构的安全管理制度和流程。

数据需方安全要求

数据需方应满足如下要求：

a）为一年内无重大数据类违法违规记录的合法组织机构；

b）完成在数据交易服务机构的注册,并经数据交易服务机构审核通过,才允许参与数据交易业务；

c）提供书面的数据交易和使用安全承诺，内容包括但不限于：满足法律法规和政策要求、遵守数

据交易安全原则、愿意接受数据交易服务机构安全监督、遵守与数据供方约定的数据安全要求、

对所持有数据提供充分的安全保护、未经明确授权不公开或转交数据给第三方等；

d）按照供需双方约定的使用目的、范围、方式和期限使用数据,禁止进行个人信息的重新识别；

7

DB21/T3895—2023

e）在按照数据交易约定方式完成数据使用后，应根据合同约定做好相应处理；

f）遵守数据交易服务机构的安全管理制度和流程。

数据交易服务机构安全要求

.1基本要求

数据交易服务机构应满足以下基本要求：

a）得到我国行政或主管部门的授权或许可；

b）为一年内无重大数据类违法违规记录的境内合法组织机构；

c）具备承担数据交易服务相对应的安全保障能力；

d）将从事境内数据交易服务的数据交易服务平台部署在我国境内；

e）对数据供方提供的数据来源合法性证明材料声明进行审核；

f）对数据违规使用行为进行监测；

g）制定并执行交易违规处罚规则；

h）未经授权不擅自使用数据供方或需方的数据或数据衍生品；

i）至少满足GB/T37988-2019中的三级要求；

j）不应对主要业务进行外包；

k）应确保使用的云平台安全可靠。

.2组织安全管理要求

.2.1安全管理制度和规程

数据交易服务机构应满足以下要求：

a）制定数据交易服务安全管理策略,说明数据交易安全总体目标、范围、原则和安全框架等，确

保数据完整性、正确性、机密性的同时，防止数据的泄漏、篡改、伪造及相关人员的抵赖行为；

b）建立数据交易服务安全管理制度,