YD/T 3813-2020 标准解读

一、标准核心修订内容汇总

• 删除原2017年试行版中“数据安全等级保护”与等保2.0直接挂钩的强制性表述，改为依据数据自身属性与业务影响程度独立定级；
• 新增“数据处理活动类型”作为分类维度之一，明确区分采集、传输、存储、使用、共享、销毁六类场景下的差异化分级要求；
• 将原三级分级体系（一般、重要、核心）扩展为四级（一级至四级），四级对应《数据安全法》所定义的“重要数据”，并明确定义其识别路径：须同时满足“关系国家安全、经济运行、社会稳定、公共健康和安全”且“经行业主管部门认定”；
• 补充“跨境数据传输”专项分类项，要求基础电信企业对出境数据单独标注“跨境标识”，并在分级表中单列评估因子；
• 优化数据资产目录编制要求，强制要求目录字段包含数据来源系统、生命周期阶段、关联业务系统、是否含个人信息、是否含重要数据、所属分级结果及更新时间戳。

二、关键技术要点深度解读

1. 分类维度四元结构：标准确立“业务领域—数据对象—处理活动—数据形态”四维正交分类法。其中，“业务领域”按网络运维、计费账务、客户服务、网信安、工程建设五类划分；“数据对象”细分为用户数据、网络数据、业务数据、管理数据；“处理活动”严格对应GB/T 35273附录A操作类型；“数据形态”区分结构化（数据库表）、半结构化（日志、XML）、非结构化（语音、视频、工单扫描件）三类，不同形态在分级权重系数中赋予0.8–1.2差异系数。
2. 分级判定双轨模型：采用“影响程度+发生概率”二维矩阵法，影响程度分四级（轻微、一般、严重、特别严重），发生概率分三级（低、中、高），交叉生成12个风险单元，映射至四级分级结果；其中，四级数据必须满足“特别严重影响×中概率”或“严重影响×高概率”任一组合，并经省级公司数据安全管理委员会复核确认。
3. 个人信息分级嵌套规则：明确P1–P3三级嵌套机制——P1（一般个人信息）适用基础加密；P2（敏感个人信息）须叠加访问控制、操作审计、去标识化；P3（生物识别、行踪轨迹等）执行与四级数据同等管控强度，包括独立物理存储区、双人操作审批、全链路水印追踪。
4. 动态调整触发阈值：规定数据分级结果有效期不超过12个月；当单次数据泄露事件涉及用户数≥10万、或单条数据被用于电信诈骗≥3起、或数据被境外主体非法获取时，须启动紧急重评程序，时限≤72小时。

三、主要条款行业应用规范

四、标准实施价值与落地建议

• 支撑《数据安全法》《个人信息保护法》在基础电信领域具象化落地，为工信部数据安全风险评估、APP侵害用户权益专项整治提供统一标尺；
• 推动企业构建“分类—分级—防护—审计—处置”闭环管理体系，降低因数据滥用导致的行政处罚风险（依据《电信条例》第七十八条最高罚则提升至500万元）；
• 建议建立分级结果与ITIL变更管理流程强耦合机制：所有涉及四级数据的系统变更须前置提交《数据影响评估报告》，纳入CAB（变更顾问委员会）必审项；
• 建议将数据分类分级结果接入SOAR平台，实现自动触发防护策略：如检测到四级数据向非白名单IP传输，自动阻断并生成SOAR工单；
• 建议每季度开展“分级符合性穿透测试”，选取3%的生产库表样本，通过SQL注入、权限提升、日志篡改等方式验证分级标签真实性与防护措施有效性，测试结果纳入网络安全考核KPI。