2022年1月13日、全国情報セキュリティ標準化技術委員会は、｢国家標準『情報セキュリティ技術 重要データ識別ガイドライン』意見募集稿｣を発表した。2022年3月13日までパブリックコメントの募集を行ったが、本稿執筆時点までに正式発表はされていない。
本意見募集稿は、「重要データ」を識別するための基本原則と識別の際に考慮すべき要素を明らかにした推奨性の国家標準であり、重要データに該当するか否かの判断基準が、具体的な例を挙げて明確に示されている。また最後に、重要データを説明するフォーマットを提示している。
本稿では、本意見募集稿の要点を日本語訳をつけて抜粋整理し、見解をまとめている。
本意見募集稿の主な内容
重要データの定義（3.1）
電子的に存在するデータで、一旦改ざん、破壊、漏えい、盗難、不正利用に遭えば、国家の安全や公共の利益が損なわれる可能性があるデータを指す。
重要データに国家機密や個人情報は含まれないが、大量の個人情報を元にした統計データや派生データは重要データに該当する可能性がある。
重要データの識別における基本原則（4）
重要データの識別において従う原則は次の通り。
a）安全保障上の影響に着目する：国家の安全、経済の運営、社会の安定、公衆衛生・安全等の観点から重要データを識別する。企業内部の経営関連データ等、組織そのものにとって重要なデータや機密性の高いデータは、重要データに該当しない。
b）保護の重点を強調する：データを等級分けしてセキュリティ保護の重点対象となるデータを明確にすることで、一般データは十分に流通し、重要データはセキュリティ保護の要件を満たすことを前提に秩序をもって流通することで、データの価値を解放する。
c）既存の規制と連携する：地方における既存の管理要求や業界の特性を十分に考慮し、地方や部門が制定し実施したデータ管理に関する政策や標準・規範と密接に連携する。
d）リスクを包括的に考慮する：データの用途や直面する脅威等の様々な要因に応じて、データの改ざん、破壊、漏えい、盗難、不正利用等のリスク、および機密性、完全性、可用性、真実性、正確性等の多面的な角度からデータの重要性を識別する。
e）定量的・定性的手法を組み合わせる：具体的なデータの種類や特性に応じて、定量的手法と定性的手法を組み合わせて重要データを識別する。
f）動的な識別と再評価を実施する：データの用途、共有方法、重要性等の変化に応じて重要データを動的に識別し、識別結果を定期的に見直す。
重要データの識別要素（5）
重要データを識別する際には、次の要素を考慮する。これらの要素のうち一つを満たせば、重要データに該当する。
a）国家の戦略的備蓄と緊急動員能力を反映する、例えば戦略的物資の生産能力と備蓄量は重要データに該当する。
b）重要情報インフラ施設の運用や重点領域の工業生産を支える、例えば重要情報インフラ施設を有する産業・分野の中核事業の稼働や重点領域の工業生産を直接支えるデータは重要データに該当する。
c）重要情報インフラ施設のネットワークセキュリティ保護状況を反映し、重要情報インフラ施設にサイバー攻撃を実行するために利用できる、例えば重要情報インフラ施設のネットワークセキュリティ保護計画、システム構成情報、コアソフトウェアとハードウェアの設計情報、システムトポロジー、緊急時計画等の状況が反映されたデータは重要データに該当する。
d）輸出管理品に関連する、例えば輸出管理品の設計原理、プロセスフロー、製造方法等を記述した情報およびソースコード、集積回路レイアウト、技術計画、重要パラメータ、実験データ、テストレポート等は重要データに該当する。
e）他の国や組織が中国に対して軍事攻撃を行うために利用する可能性がある、例えば一定の精度要件を満たした地理情報等は重要データに該当する。
f）重点目標、重要拠点の物理的なセキュリティ保護状況あるいは非公開の地理的目標の位置を反映したテロリストや犯罪者が破壊を目的に利用可能な、例えば重点セキュリティ保護組織、重要生産企業、重要国家資産（鉄道、石油パイプライン等）の施工図、内部構造、セキュリティ等の情報を反映したデータ、および非公開の専用道路や空港等のデータは重要データに該当する。
g）重要設備やシステムコンポーネントのサプライチェーンを破壊して高度な持続的脅威等のサイバー攻撃を仕掛けるために利用される可能性がある、例えば重要顧客のリスト、重要情報インフラ施設運営者の非公開の製品・サービス調達状況、非公開の重大な脆弱性は重要データに該当する。
h）大勢の健康・生理状態、民族的特徴、遺伝情報等を反映した基礎データ、例えば人口センサス情報、ヒト遺伝子情報、DNAシークエンシングの生データは重要データに該当する。
i）国の天然資源や環境に関する基礎データ、例えば非公開の水文情報、水文観測データ、気象観測データ、環境モニタリングデータは重要データに該当する。
j）科学技術力に関連し、国際競争力に影響を与えるデータ、例えば国防や国家の安全保障に関連する知的財産権を記述したデータは重要データに該当する。
k）外国政府から制裁を受ける可能性のある機密事項の生産取引および重要設備の配備・使用に関するデータ、例えば重点企業の金融取引に関するデータ、重要設備の生産・製造に関する情報、国家重大プロジェクトの建設過程における重要設備の配備・使用等の生産活動に関する情報は、重要データに該当する。
l）政府機関、軍需企業、およびその他の機密かつ重要な機関へのサービス提供の過程で発生する公開に適さない情報、例えば軍需企業による長期間の車両使用に関する情報は、重要データに該当する。
m）非公開の政務データ、業務上の秘密、情報データおよび法執行・司法データ、例えば非公開の統計データは重要データに該当する。
n）国家の政治、領土、軍事、経済、文化、社会、科学技術、生態、資源、核施設、海外での利益、生物、宇宙、極地、深海等の安全に影響を与える可能性があるその他のデータ。
重要データの記述フォーマット（6）
重要データの記述フォーマットを次に示す。
a） 基本信息（基本情報）
1）「处理者（処理者）」とは、重要データの処理者を指す。
2）「系统或应用（システムまたはアプリケーション）」とは、重要データを有するシステムまたはそれをサポートするアプリケーションを指す。
3）「地区或部门（地域又は部門）」とは、重要データ処理者が所在する地域又は部門を指す。
b） 分类（分類）
1）「类(カテゴリー)」とは、重要データ処理者の所在する地域または部門が定める重要データの類を指す。
2）「子类（サブカテゴリー）」とは、重要データの下位カテゴリーを指し、適宜記入する。一部の重要データでは、さらにサブカテゴリーに細分化することがある。
c） 重要性描述（重要性の説明）
1）「影响（影響）」とは、重要データが国家の安全や公共の利益に与える影響、すなわち重要データが「重要」である理由を指す。
2）「安全威胁（セキュリティ上の脅威）」とは、重要データが機密性、完全性、可用性、真実性、正確性等の面で直面する可能性のあるセキュリティ上の脅威を指す。
3）「重要性时效（重要性の時効）」とは、重要データが「重要」であることを維持する時間の長さを指し、その期限を過ぎると重要データに該当しなくなる。
d） 产生、使用与保护（生成、使用、保護）
1）「数量（数量）」とは、重要データの量を指す。
2）「来源（ソース）」とは、重要データがどのように収集または生成されたかを指す。
3）「用途（用途）」とは、重要データの利用目的および具体的な利用の手段・方法を指す。
4）「共享情况（共有状況）」とは、他の組織と共有、取引、処理の委託、越境移転した重要データの状況を指す。
5）「保护情况（保護状況）」とは、重要データに対し講じられたセキュリティ保護措置を指す。
e）备注（備考）
その他の説明すべき事項を記載する場合に使用する。
本意見募集稿に対する見解
本意見募集稿は、サイバーセキュリティ法（网络安全法）やデータセキュリティ法（数据安全法）等で定められた「重要データ」に関する推奨性の国家標準である。
どのようなデータが重要データに該当するかについては、これまで複数の法令の中で触れられていたが、明確な判断基準は示されていなかった。本意見募集稿では、重要データを「電子的に存在するデータで、一旦改ざん、破壊、漏えい、盗難、不正利用に遭えば、国家の安全や公共の利益が損なわれる可能性があるデータ」と定義した上で、重要データに該当する要素を明らかにし、併せて具体的な例を挙げている。
また個人情報や組織そのものにとって重要なデータ等は機密性が高いものであっても重要データには該当しないことが明確にされた。
本意見募集稿はすでに周知の「重要データ」の条件を整理し直したものであるが、意見募集を経て、重要データに該当する要件がさらに追加される可能性もあるため、修正の動向には注意が必要である。
なおデータセキュリティ法21条では、各地域と各部門がデータ分類分級保護制度に基づいて重要データのリストを作成すると定めている。加えて、各部門が発表するデータセキュリティに関連する法令で、管轄領域における重要データの識別基準が示される可能性もあるため、 これらを含めた包括的な対応が求められる。
公式リンク（中国語）
https://www.tc260.org.cn/front/bzzqyjDetail.html?id=20220113195354&norm_id=20201104200036&recode_id=45625
