T/CAGX 001-2026 电力行业数据安全分类分级指南

　　ICS 35.030 CCS I6440

　　T/CAGX

　　团 体 标 准

　　T/CAGX 001—2026

　　电力行业数据安全分类分级指南

　　Guidelines for data security classificationand grading in the electric power industry

　　2026-02-28 发布 2026-02-28 实施

　　广西计算机学会 发 布

　　T/CAGX 001—2026

　　T/CAGX 001—2026

　　T/CAGX 001—2026

　　前 言

　　本文件按照GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起草。本文件由广西计算机学会提出并归口 。

　　本文件起草单位：广西电网有限责任公司、广西产业技术研究院人工智能与大数据应用研究所有限公司、桂林电子科技大学、广西壮族自治区信息中心、深圳昂楷科技有限公司、广西海轮科技有限公司、广西友邦永信网络技术有限公司。

　　本文件主要起草人：艾徐华、张希翔、银源、李文战、申超胜、韦杰、徐华福、黄依婷、王子民、韦宗慧、李俊、董贇、甘凯今、谭期文、梁奔香、吴鹏、包乙春、甘东觉、周子煦、秦绍海、蒙颢文、林金智、兰杰、蒙剑强、黄鑫、梁全栋、黄燕燕、陈佳、万义飞、舒杰。

　　本文件在执行过程中如有意见和建议，请反馈至广西计算机学会秘书处(地址:南宁市良庆区宋厢路16号12楼1215号)。

　　本文件是首次制定。

　　T/CAGX 001—2026

　　电力行业数据安全分类分级指南

　　1 范围

　　本文件界定了电力行业数据分类分级的术语和定义，给出了基本原则、数据分类、数据分级、数据分类分级管理、数据分类分级安全保护的内容。

　　本文件适用于电力行业开展电力数据分类分级工作。

　　T/CAGX 001—2026

　　2 规范性引用文件

　　下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件;不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。

　　GB/T 25069 信息安全技术 术语

　　GB/T 35273 信息安全技术个人信息安全规范GB/T 35295 信息技术 大数据 术语

　　T/CAGX 001—2026

　　3 术语和定义

　　下列术语和定义适用于本文件。

　　3.1 电力行业数据安全 power industry data security

　　针对电力行业全业务链条产生的数据，通过技术手段和管理措施保障其保密性、完整性、可用性，并满足行业监管要求和关键信息基础设施保护需求的综合性防护体系。

　　3.2 电力行业数据安全分类分级 classification and Grading of Power Industry Data Security

　　根据电力数据的业务属性、敏感程度和安全影响范围，按照国家标准和行业标准以及其他标准，对电力数据进行分类划分和分级保护的过程，以确保数据在全生命周期(采集、传输、存储、使用、共享、销毁)中的安全性。

　　3.3 数据分类 data classification

　　根据大数据的属性和特征，将其按一定的原则和方法进行区分和归类，并建立起一定的分类体系和排列顺序的过程。

　　3.4 数据分级 data grading

　　即按照一定的分级原则对分类后的数据进行定级，为数据安全保护策略的制定提供支撑。

　　3.5 敏感数据 sensitive data

　　一旦泄露可能会对客户或公司造成损失的数据。

　　3.6 数据资源目录 data resource directory

　　对数据中有价值、可用于分析和应用的数据进行提炼形成的目录体系。

　　3.7 数据加密 data encryption

　　见GB/T 25069-2010 3.2.1，本标准特指满足电力监控系统安全防护要求的加密技术应用。

　　3.8 数据脱敏 data masking

　　见GB/T 37964-2019 3.3，在电力用户信息共享场景中，对敏感字段进行去标识化处理的专项要求。

　　3.9 无条件共享 unconditional sharing

　　数据可以自由地在组织内部或与合作伙伴之间共享，无需任何附加条件或限制。

　　3.10 有条件共享 conditional sharing

　　有条件共享指数据共享需要满足特定条件，如签署保密协议、限定使用范围或目的等，只有符合这些条件时才能进行共享。

　　3.11 不予共享 no sharing

　　不予共享指因数据包含敏感信息或属于机密信息，出于安全和隐私保护的考虑，不允许在任何情况下共享。

　　3.12 数据安全影响程度 the degree of impact on data security

　　数据安全影响程度是指数据安全属性遭到破坏后，直接或间接造成的全部影响或损害的程度，从低到高划分为：无影响、轻微影响、中等影响、严重影响。

　　T/CAGX 001—2026

　　4 基本原则

　　4.1 科学适用原则

　　分类分级体系应兼具理论科学性与业务适用性，以GB/T 43697-2024《数据安全技术 数据分类分级规则》中的分类方法论为基础，紧密结合电力行业特征选取稳定、可操作的分类维度。

　　4.2 边界清晰原则

　　数据分级的主要目的是为了数据安全，各个数据级别应做到边界清晰，对不同级别的数据采取相应的保护措施。

　　4.3 动态更新原则

　　根据数据的业务属性、重要性和可能造成的危害程度的变化，对数据分类分级、重要数据目录等进行定期审核更新。

　　4.4 业务导向性原则

　　以组织战略目标、业务流程及数据价值为核心，确保分类分级结果与业务需求高度匹配。

　　4.5 协同共治原则

　　建立跨部门协作机制，确保数据分类分级与安全防护、合规管理、技术实施等环节协同一致。

　　T/CAGX 001—2026

　　5 数据分类

　　5.1 分类建议

　　[1] 应按电力数据的多维特征及其相互间存在的逻辑关联进行科学、系统的分类;

　　[2] 使用的词语或短语应能准确表达数据类目的实际内容、内涵和外延，相同概念的用语应保持一致;

　　[3] 应结合现实需求，符合标准使用者对电力数据区分和归类的普遍认知;

　　[4] 应保持与国家、地方、行业法律法规关于电力数据分类分级的标准和要求相一致;

　　[5] 原则上同一分类维度内，同一条数据只分入一个类目;

　　[6] 应选择分类对象的最稳定的本质特性作为数据分类的基础和依据。

　　5.2 分类维度

　　电力行业根据本行业本领域业务属性，将业务条线作为业务一级子类进行细分，确定业务二级子类，并对其命名。常见业务属性包括但不限于：

　　[1] 业务领域维度：业务领域维度是以电力行业的业务为导向，依据业务范围对电力数据的一级大类进行细分。如： 以生产、管理、营销三个大类进行业务主题划分;

　　[2] 数据主体维度：数据主体维度基于电力行业的业务大类，按照不同的数据主体或属主关系进行细化分类。如：以发电企业、输配电企业、用电客户、监管部门进行数据主体主题划分;

　　[3] 数据来源维度：数据来源维度是按照数据来源、收集方式进行细化分类，通过以数据的归属为界限对数据进行划分。如： 以设备运行数据、用户用电数据、企业管理数据来源主题划分;

　　[4] 数据安全风险维度：结合泄露可能性、篡改影响、合规风险等动态因素，量化数据面临的安全威胁。如：以用户隐私数据、关键基础设施数据、合规监管数据、公开数据进行数据安全风险主题划分;

　　[5] 数据生命周期维度：包括采集期、存储期、使用期、销毁期，数据分类需适应全生命周期变化进行维度分类。如：以采集期、存储期、使用期、销毁期进行生命周期主题划分。

　　5.3 分类方法

　　数据分类可根据数据管理和使用需求，结合已有数据分类基础，灵活选择业务属性将数据细化分类。具体参考以下步骤开展行业领域数据分类。

　　[1] 明确数据范围：按照行业领域主管(监管)部门职责，明确本领域管理的数据范围;

　　[2] 细化业务分类：对本领域业务进行细化分类，包括：

　　. 结合部门职责分工，明确行业领域或业务条线的分类;

　　注1：电力领域数据，根据业务性质将电力行业业务分为生产业务、营销业务、管理业务三大类。

　　. 按照业务范围、运营模式、业务流程等，细化行业领域或明确各业务条线的关键业务分类。注2：生产业务可分为发电管理域、输电管理域、配电管理域、变电管理域、调度管理域、规划建设管理域、物资

　　管理域等。

　　[3] 业务属性分类：选择合适的业务属性，对关键业务的数据进行细化分类;

　　[4] 确定分类规则：梳理分析各关键业务的数据分类结果，根据行业领域数据管理和使用需求，确定行业领域数据分类规则，可采取“业务条线—关键业务—业务属性分类 ”的方式给出数据分类规则。

　　注3：电费核算与发行业务类别可标识为 “营销服务-电费管理域-结算执行管理-电费核算与发行业务 ”。类对应的级别参照第6章节进行级别判定。

　　T/CAGX 001—2026

　　6 数据分级

　　6.1 分级建议

　　[1] 应客观且可被校验，即通过数据自身的属性和分级规则即可判定其分级;

　　[2] 电力数据的分级应与其共享、开放的类型、范围、审批和管理要求直接相关;

　　[3] 应按照就高从严原则确定数据级别;

　　[4] 应充分考虑数据聚合情况、数据体量、数据时效性、数据脱敏处理等因素;

　　[5] 应结合具体应用场景定级。

　　6.2 数据分级要素识别

　　6.2.1 影响的对象

　　影响对象是指数据面临安全风险时，可能影响的对象。其中，安全风险主要考虑数据遭到泄露、篡改、损毁或者非法获取、非法使用、非法共享等风险。影响对象通常包括国家安全、经济运行、社会秩序、公共利益、组织权益、个人权益。

　　[1] 国家安全：影响国家政治、国土、军事、经济、文化、社会、科技、网络、生态、资源、海外利益、人工智能等国家利益安全;

　　[2] 经济运行：影响市场经济运行秩序、宏观经济形势、国民经济命脉、行业领域产业发展等经济运行机制;

　　[3] 社会秩序：影响社会治安和公共安全、社会日常生活秩序、民生福祉、法治和伦理道德等社会秩序;

　　[4] 公共利益：影响社会公众使用公共服务、公共设施、公共资源或影响公共健康安全等公共利益;

　　[5] 组织权益：影响组织自身或其他组织的生产运营、声誉形象、公信力、知识产权等组织权益;

　　[6] 个人权益：影响自然人的人身权、财产权、隐私权、个人信息权益等个人权益。 6.2.2 影响的程度

　　数据安全影响程度是指数据安全属性遭到破坏后，直接或间接造成的全部影响或损害的程度，从低到高划分为：无影响、轻微影响、中等影响、严重影响。

　　影响程度的判定，宜综合考虑数据类型特征。数据类型根据业务条线划分并确定，不同业务对应不同的数据类型，体现不同的业务特点，因此，结合数据类型分析，有利于更加准确地判断影响程度。表1中提供影响程度的参考说明，供判定影响程度时参考。

　　表 1 数据安全影响程度说明

　　T/CAGX 001—2026

　　6.3 数据等级描述

　　根据数据破坏后对群体影响、个体影响及机构自身影响的危害程度来确定安全级别，本标准中数据等级分为四级，从高到低分别为：4级高风险、3级中风险、2级低风险、1级一般风险。

　　详细数据级别及分级参考判断标准，见表2。

　　表 2 数据级别与判断标准

　　6.4 数据共享、开放与安全级别

　　数据共享属性、数据开放属性与安全级别对照关系，见表3。 1级数据建议无条件共享，无条件开放;

　　2级数据建议通过申请审批方式获得，对外有条件共享开放;

　　3级数据建议通过申请审批方式获得，有条件共享，对外不予开放;

　　4级数据，原则上不予共享，禁止对外开放。

　　表 3 数据共享、开放与安全级别的对照关系

　　6.5 数据分级方法

　　在数据分类基础上,根据电力数据重要程度以及泄露后对国家安全、社会秩序、公众利益和组织机构造成的影响和危害程度，对电力数据资源进行分级。数据分级的步骤和方法宜采用下图：

　　T/CAGX 001—2026

　　图 1 数据分级的步骤与方法

　　[1] 确定数据分级对象：数据分级对象可以是最小数据类，也可以是最小数据类之下的具体数据字段;

　　[2] 确定数据安全受到破坏时造成影响的客体：数据的安全属性(机密性、完整性、可用性)遭到破坏时造成的影响的客体包括：国家安全、社会公共利益、 电力行业机构利益和个人信息主体利益;

　　[3] 评定对影响客体的影响程度：将分级对象对照数据分级影响程度参照表进行映射，判断分级对象发生丢失、泄露、被篡改、被损毁等安全事件时对影响客体的侵害程度;

　　[4] 确定数据分级对象的安全等级：根据数据对象对客体的影响程度，取影响程度中的最高影响等级为该数据对象的重要敏感程度。

　　6.6 数据级别变更

　　数据级别变更是根据数据的敏感性、重要性以及使用场景等因素，对数据级别进行定期审核和动态调整的过程。数据级别变更的主要因素包括聚合因素、体量因素、时效因素、加工因素，这些因素相互关联，共同决定了数据在不同场景下的级别判定：

　　6.6.1 数据聚合因素

　　因业务需要将相同或不同级别的数据汇聚并进行分析、处理的，数据级别变更应遵循以下原则：

　　[1] 数据的原始用途或所在系统发生改变时，聚合数据的部门应对数据重新定级;

　　[2] 聚合数据安全级别一般不应低于所汇聚的原始数据的最高级别;

　　[3] 原则上不允许原始数据落地，仅允许获取数据分析、处理后的结果。原始数据和临时数据使用应在中间存储环节有效清除。

　　6.6.2 数据体量因素

　　在进行数据分级时，根据业务分类、数据归类情况、影响范围和影响程度等多个因素，综合判定数据级别。

　　注：数据经汇聚后体量过大，如超过10000条一级数据汇聚，应升级为二级数据，如超过500条二级以上数据汇聚，应升级成为三级数据。

　　6.6.3 数据时效因素

　　T/CAGX 001—2026

　　数据在流转、传递、使用过程中，因业务需要，在特定的时间，数据的级别需要调整，以利于数据的公开、共享和应用。数据时效性的处理，宜注意以下几点：

　　[1] 数据在分类分级之初即考虑数据的时效性，对数据级别进行评估，合理确定数据的级别;

　　[2] 将明显具有不同时效性的数据分不同的类别确定级别;

　　[3] 同一类数据，在某时间点前后具有不同的级别，宜清楚地说明时间点前后的级别，并说明时间点的触发条件。触发条件宜是某一具体时间或某一特定事项;

　　[4] 数据时效性要素和类别、级别宜准确标识，并通知相关人员知悉。

　　6.6.4 数据加工因素

　　为了提升数据的标准化、质量和安全性，挖掘其潜在价值，支持智能决策与业务需求，对电力数据进行数据加工处理时，宜注意以下几点：

　　[1] 对数据进行汇总、分析、加工后产生的数据，若与原始数据之间存在较大差异，宜对新产生的公共数据重新定级，定级的结果可高于、等于、低于原始数据;

　　[2] 对于汇总、统计、分析、加工而产生的数据，如已采用技术手段抹去或替换个人信息、账户信息等敏感字段，可等于、低于原始数据级别;

　　[3] 对于汇总、统计、分析、加工而产生的数据，因数据级别、适用场景发生变化，可采取与原始数据不同的管理手段、防护措施;在数据汇总、统计、分析、加工过程中，应对原始数据、临时数据进行保护。原始数据、临时数据使用后宜在中间存储环节有效清除。

　　7 数据分类分级管理

　　7.1 组织与职责

　　7.1.1 建立数据分类分级组织保障

　　数据分类分级工作的开展需要有组织保障，应明确：

　　[1] 应明确数据分类分级的决策机构和最高责任人。决策机构负统筹和决策职责，决策数据分类分级工作的目标、内容、标准规范等。决策机构的最高责任人对数据分类分级工作负全面领导责任;

　　[2] 应明确数据分类分级的牵头部门。牵头部门负责牵头推动数据分类分级工作的开展，牵头部门负责按照决策机构议定的工作目标和要求开展数据分类分级工作，牵头制定企业数据分类分级管理办法、制度、流程、标准规范，协调解决分类分级工作中的问题，牵头进行数据分类分级工作的评价;

　　[3] 应明确数据分类分级的实施部门，实施部门负责本部门数据分类分级的具体实施工作，具体包括：按照牵头部门制定的制度、流程、规范等梳理本部门的数据资源，并提交给牵头部门。

　　7.1.2 建立数据分类分级制度保障

　　数据分类分级工作的开展需要有制度保障，应明确：

　　[1] 数据分类分级的总体要求;

　　[2] 数据分类分级的相关制度、规范、标准、工作流程等的制定、发布、维护和更新的机制以及评

　　[3] 审和修订周期;

　　[4] 数据分类分级管理相关绩效考评和评价机制;

　　[5] 数据资产分类分级清单的确立、审核、修订周期和原则;

　　[6] 数据分类分级保护的总体原则和目标;

　　[7] 操作人员的操作规程。

　　7.2 分类与分级流程

　　7.2.1 建立数据资源目录

　　梳理每个部门的所有数据资源再进行逻辑汇聚，对所有部门的数据集合，进行合并然后统一列表，形成

　　T/CAGX 001—2026

　　数据资源目录。

　　7.2.2 数据资源分类

　　根据电力行业数据自身管理特点，按照树形结构，建立数据资源分类目录树。并将整理后的数据资源列表对应到目录树，确定数据资源列表中每个数据项在目录树中所在的位置，即确定该数据项的数据类型。

　　7.2.3 数据资源分级

　　根据电力行业数据重要程度和敏感程度，确定数据资源的安全等级。

　　7.2.4 安全级别审核

　　对数据分类分级结果进行审核，形成数据分类分级清单。

　　7.2.5 建立数据分类分级清单

　　应根据数据分类分级情况对数据资源进行分类分级标识后，输出企业的数据分类分级清单。清单内容应包括所属部门、所在系统、数据类型、安全等级、内容描述、数据量、保存位置、保存期限、数据处理情况(数据处理目的、数据处理所涉及的信息系统)、数据对外提供情况(共享转让、公开披露、数据出境)、数据生命周期各环节安全措施配套情况等。且应建设必要的网络数据资源清单管理技术手段，确保网络数据资源清单内容覆盖全面、信息真实完整。

　　8 数据分类分级安全保护

　　根据数据资源的分类分级情况，在数据生命周期的各个环节配套差异化的安全保护措施，应遵循如下管控要点：

　　[1] 根据数据分类分级管理制度对数据进行分类分级。对于在数据库中存储的高安全级别数据(如中风险以上的数据)，应细化至数据库表的字段级。

　　[2] 原则上未经过脱敏处理的数据不可降级使用，若确有需要，应执行严格的授权审批流程，并对降级使用数据进行全过程审计。数据使用完毕后，恢复至原安全级别。

　　[3] 数据传输过程中，若涉及高安全级别数据(如中风险以上的数据)应对数据报文进行加密，并采取措施，以保证数据传输的机密性和完整性。

　　[4] 在使用数据或披露前，涉及中风险以上数据的，应采用数据脱敏技术，确保数据使用、对外披露等场景的脱敏。

　　[5] 对于个人敏感信息的安全管控，还应满足GB/T 35273信息安全技术个人信息安全规范中对个人敏感信息的安全管控要求。

　　T/CAGX 001—2026

　　参 考 文 献

　　[1] 《中华人民共和国数据安全法》

　　[2] GB/T 38667 信息技术大数据数据分类指南

　　[3] GB/T 43697 数据安全技术数据分类分级规则

　　[4] GB/T 20986 信息安全技术网络安全事件分类分级指南

　　[5] JR/T 0158-2018 证券期货业数据分类分级指引

　　[6] JR/T 0197-2020 金融数据安全数据安全分级指南

　　[7] YD_T 3813-2020 基础电信企业数据分类分级方法

　　[8] DB33/T 2351-2021 数字化改革公共数据分类分级指南

　　[9] TC260-PG-20212A网络安全标准实践指南—网络数据分类分级指引