DB15-T 2197-2021 大數(shù)據(jù)應用 數(shù)據(jù)安全管理責任指南

35.040CCS

L8015 DB15/T

2197—2021大數(shù)據(jù)應用 數(shù)據(jù)安全管理責任指南Big

data

application——Data

management

responsibility

2021-05-25

發(fā)布 2021-06-25

實施內(nèi)蒙古自治區(qū)市場監(jiān)督管理局 發(fā)

布DB15/T

2197—2021 前言

.................................................................................

II1

范圍

...............................................................................

12

規(guī)范性引用文件

.....................................................................

13

術語和定義

.........................................................................

14

概述

...............................................................................

14.1 基本原則

.......................................................................

14.2 場景分類

.......................................................................

25

安全控制措施

.......................................................................

25.1 基本安全要求

...................................................................

25.2 數(shù)據(jù)提供者安全控制措施

.........................................................

35.2.1 數(shù)據(jù)來源合法

...............................................................

35.2.2 數(shù)據(jù)共享管理

...............................................................

35.3 數(shù)據(jù)使用者安全控制措施

.........................................................

35.3.1 數(shù)據(jù)共享申請

...............................................................

35.3.2 共享數(shù)據(jù)使用

...............................................................

35.4 數(shù)據(jù)管理者安全控制措施

.........................................................

45.4.1 數(shù)據(jù)共享管理

...............................................................

45.4.2 安全管理

...................................................................

45.4.3 檢查評估

...................................................................

45.4.4 安全事件調(diào)查處置

...........................................................

55.4.5 人員培訓

...................................................................

55.5 服務第三方安全控制措施

.........................................................

55.5.1 服務第三方通用安全要求

.....................................................

55.5.2 數(shù)據(jù)產(chǎn)品提供者安全控制措施

.................................................

55.5.3 數(shù)據(jù)服務提供者安全控制措施

.................................................

6參考文獻

..............................................................................

7DB15/T

2197—2021 本文件按照GB/T

《標準化工作導則 第1部分：標準化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。本文件由內(nèi)蒙古自治區(qū)大數(shù)據(jù)中心提出并歸口。絡空間安全研究所、華信咨詢設計研究院有限公司。偉。IIDB15/T

2197—2021大數(shù)據(jù)應用 1 范圍的安全控制措施。本文件適用于自治區(qū)相關單位通過大數(shù)據(jù)云平臺進行數(shù)據(jù)共享交換過程中的安全管理。2規(guī)范性引用文件文件。GB/T

35295

信息技術

大數(shù)據(jù)

術語3 術語和定義GB/T

35295界定的以及下列術語和定義適用于本文件。3.1服務第三方

third

party

service

provider提供相關服務的供應方，包括數(shù)據(jù)產(chǎn)品和數(shù)據(jù)服務提供者。3.2數(shù)據(jù)管理者

data

數(shù)據(jù)的管理者，由政府賦予數(shù)據(jù)管理職能的行政機構(gòu)。3.3數(shù)據(jù)血緣data

關系。4 概述4.1 基本原則數(shù)據(jù)共享交換安全控制措施的基本原則包括：a)

共享交換安全管理采取主動防御、綜合防范方針，堅持保障數(shù)據(jù)共享交換安全與促進應用發(fā)展相協(xié)調(diào)、管理與技術并重的原則，實行統(tǒng)一協(xié)調(diào)、分工負責、分級管理；DB15/T

2197—2021b)

支撐數(shù)據(jù)共享交換的基礎設施和網(wǎng)絡應符合國家等級保護和關鍵信息基礎設施保護的相關法規(guī)和標準；c)

數(shù)據(jù)共享交換過程由數(shù)據(jù)提供者、數(shù)據(jù)使用者、數(shù)據(jù)管理者和服務第三方組成。各參與方應按照誰主管、誰負責，誰使用、誰負責，誰運營、誰負責的原則，在各自職責范圍內(nèi)，做好數(shù)據(jù)安全管理工作；d)

數(shù)據(jù)共享交換過程中各參與方之間的安全責任相互獨立，在部分情況下需要依賴于另一方安全管理措施的有效性，責任由雙方共同承擔。4.2 場景分類數(shù)據(jù)共享交換活動涉及數(shù)據(jù)提供者、數(shù)據(jù)使用者、數(shù)據(jù)管理者以及服務第三方（數(shù)據(jù)運營提供者、數(shù)據(jù)服務提供者），共享交換場景如圖1所示。在數(shù)據(jù)共享交換場景下各相關方履行自身職責，采取安全管理措施，以保證數(shù)據(jù)共享交換風險可控。針對數(shù)據(jù)交換共享過程的數(shù)據(jù)流動、過程控制和管理，數(shù)據(jù)共享交換場景可分為以下幾類：場景1：數(shù)據(jù)提供者數(shù)據(jù)采集及共享環(huán)節(jié)；場景2：數(shù)據(jù)服務提供者進行數(shù)據(jù)處理的環(huán)節(jié)；場景3：數(shù)據(jù)使用者獲取數(shù)據(jù)的環(huán)節(jié)；場景4：數(shù)據(jù)運營提供者在數(shù)據(jù)采集、共享過程中的控制環(huán)節(jié)；場景5：數(shù)據(jù)管理者在數(shù)據(jù)共享交換過程的管理環(huán)節(jié)。

圖1共享交換場景分類示意圖5 安全控制措施5.1 基本安全要求數(shù)據(jù)共享交換場景的基本要求包括：a)

數(shù)據(jù)共享工作應通過共享交換平臺進行，通過

API

服務調(diào)用方式獲取共享數(shù)據(jù)；b)

數(shù)據(jù)提供者、數(shù)據(jù)使用者、數(shù)據(jù)管理者可在保留安全管理責任的前提下，通過簽訂標準合同明確責任和義務，將安全管理執(zhí)行工作外包給服務第三方；DB15/T

2197—c)

對于無條件共享的數(shù)據(jù)，歸集整理后通過平臺可向各單位進行數(shù)據(jù)共享；對于有條件共享的數(shù)據(jù)，由數(shù)據(jù)使用者向數(shù)據(jù)提供者提交數(shù)據(jù)資源共享申請，經(jīng)數(shù)據(jù)提供者審批同意和數(shù)據(jù)管理者審核確認后，通過平臺的

（應用程序編程接口）服務進行數(shù)據(jù)共享；d)

確立數(shù)據(jù)分類分級，根據(jù)數(shù)據(jù)敏感度等級、場景數(shù)據(jù)使用風險等級制定相應的控制措施；e)

數(shù)據(jù)的保存期限應符合法律法規(guī)的要求，共享交換過程涉及各方應及時銷毀超過數(shù)據(jù)保存期的數(shù)據(jù)，或者進行脫敏保存歸檔；f)

數(shù)據(jù)共享交換的各參與方應保障各階段數(shù)據(jù)血緣的完整性，保障數(shù)據(jù)質(zhì)量，并可提供數(shù)據(jù)處理過程日志供第三方審計。5.2 數(shù)據(jù)提供者安全控制措施5.2.1 數(shù)據(jù)來源合法數(shù)據(jù)提供者應保障數(shù)據(jù)來源合法，安全控制措施包括：a)

按照法定職責采集數(shù)據(jù)資源，明確本部門數(shù)據(jù)采集、發(fā)布、維護的規(guī)范和程序，確保數(shù)據(jù)的正確性、完整性、時效性以及確權范圍；b)

除法律、法規(guī)另有規(guī)定以外，應當遵循“一數(shù)一源”的原則，不得重復采集可以通過共享方式獲取的數(shù)據(jù)資源；c)

按照法律、法規(guī)規(guī)定的數(shù)據(jù)范圍進行采集，遵循數(shù)據(jù)采集必要性及最小化原則，不得采集法定范圍之外的數(shù)據(jù)。5.2.2 數(shù)據(jù)共享管理數(shù)據(jù)提供者應提供數(shù)據(jù)共享服務，安全控制措施包括：a)

應明確本部門數(shù)據(jù)資源的共享范圍，及時響應數(shù)據(jù)使用者的數(shù)據(jù)共享需求；b)

法律、法規(guī)、規(guī)章等規(guī)定需要共享的數(shù)據(jù)，應按照相關要求進行共享；c)

對數(shù)據(jù)使用者提交的數(shù)據(jù)共享申請，應根據(jù)履職需要和最小化原則，進行審批授權；d)

應明確數(shù)據(jù)的共享范圍、共享期限、共享用途、共享方式和數(shù)據(jù)保存期限，通過平臺向數(shù)據(jù)使用者共享數(shù)據(jù)；e)

應對共享的數(shù)據(jù)設置對應的數(shù)據(jù)分類分級標簽；f)

應通過技術手段確保共享數(shù)據(jù)的完整性和一致性，并按照約定的更新頻率更新數(shù)據(jù)。5.3 數(shù)據(jù)使用者安全控制措施5.3.1 數(shù)據(jù)共享申請數(shù)據(jù)使用者應按照以下要求申請數(shù)據(jù)共享，安全控制措施包括：a)

應基于業(yè)務場景向數(shù)據(jù)提供者或數(shù)據(jù)管理者申請數(shù)據(jù)共享，并依據(jù)法律法規(guī)的要求在授權的使用范圍內(nèi)使用共享數(shù)據(jù)；b)

申請共享數(shù)據(jù)時，應向數(shù)據(jù)提供者明確數(shù)據(jù)的使用目的、范圍、期限、更新頻率等具體使用需求，共享數(shù)據(jù)的使用需經(jīng)過兩級審批（見

5.2.2

及

5.4.1）。5.3.2 共享數(shù)據(jù)使用數(shù)據(jù)使用者按要求使用共享數(shù)據(jù)，安全控制措施包括：a)

應在數(shù)據(jù)提供者的數(shù)據(jù)授權范圍內(nèi)使用共享數(shù)據(jù)；b)

不應對脫敏后的個人信息和敏感數(shù)據(jù)通過技術手段進行再識別；c)

應根據(jù)共享數(shù)據(jù)的保存期限進行數(shù)據(jù)銷毀工作；DB15/T

2197—d)

應根據(jù)共享數(shù)據(jù)的安全級別，采取相應等級的安全防護措施進行防護；e)

需要對共享數(shù)據(jù)進行再次加工時，應聯(lián)合數(shù)據(jù)管理者對加工后的數(shù)據(jù)進行識別和設置分類分級標簽，并采取相應等級的防護措施進行安全防護；f)

應完整記錄數(shù)據(jù)使用過程中的操作日志，以便識別潛在的違約使用者；g)

應明確數(shù)據(jù)使用的第一責任人。5.4 數(shù)據(jù)管理者安全控制措施5.4.1 數(shù)據(jù)共享管理數(shù)據(jù)管理者對數(shù)據(jù)共享過程進行管理，安全控制措施包括：a)

建立數(shù)據(jù)資源共享管理制度，指定專人負責數(shù)據(jù)資源目錄的編制、審核和維護；b)

依據(jù)數(shù)據(jù)資源目錄審核歸集的數(shù)據(jù)資源，確保歸集數(shù)據(jù)合規(guī)性、準確性和完整性；c)

針對具體業(yè)務場景，結(jié)合數(shù)據(jù)敏感度等級，確定場景數(shù)據(jù)使用風險等級；根據(jù)數(shù)據(jù)敏感度等級、場景數(shù)據(jù)使用風險等級確定相應的控制措施；d)

對數(shù)據(jù)提供者提交的數(shù)據(jù)分類分級情況進行審核，對不符合要求的數(shù)據(jù)分類和分級情況通報數(shù)據(jù)提供者重新設置標簽；e)

牽頭制定數(shù)據(jù)使用的策略和規(guī)則，對數(shù)據(jù)使用者的數(shù)據(jù)共享申請進行二次審批，重點審核數(shù)據(jù)使用的目的和范圍是否與其自身業(yè)務開展相關；f)

對數(shù)據(jù)使用者的分析數(shù)據(jù)結(jié)果輸出進行抽查，避免分析結(jié)果輸出中包含可恢復的個人信息、重要數(shù)據(jù)等數(shù)據(jù)和結(jié)構(gòu)標識，防止個人信息、重要數(shù)據(jù)等敏感信息的泄漏；g)

牽頭數(shù)據(jù)共享交換各方對融合衍生后的數(shù)據(jù)進行識別和設置分類分級標簽，并采取相應等級的防護措施進行安全防護。5.4.2 安全管理數(shù)據(jù)管理者 包括：a)

對數(shù)據(jù)收集、使用、存儲、處理、共享交換、產(chǎn)生、銷毀的過程進行監(jiān)管，確保數(shù)據(jù)流轉(zhuǎn)和使用符合相關管理規(guī)定；b)

對服務第三方提供的產(chǎn)品和服務進行監(jiān)管，要求服務第三方提供相關交付件，通過對交付件進行分析審核、評估驗證等活動，確保服務第三方所提供的產(chǎn)品和服務持續(xù)滿足安全能力要求；c)

監(jiān)管過程中發(fā)現(xiàn)的安全風險事件應及時告知相關方，并監(jiān)督其整改；d)

宜委托有資質(zhì)和專業(yè)技術能力的服務第三方來承擔安全監(jiān)管工作，但應做好授權和監(jiān)督審計工作，并確保承擔安全監(jiān)管工作的服務方獨立于其他服務第三方。5.4.3 檢查評估數(shù)據(jù)管理者應組織開展對數(shù)據(jù)共享交換各參與方的數(shù)據(jù)安全檢查評估，安全控制措施包括：a)

應定期組織開展對數(shù)據(jù)共享交換各參與方的數(shù)據(jù)安全檢查，對檢查中發(fā)現(xiàn)的重大安全隱患，應當責令有關單位立即排除并報相關監(jiān)管部門；對檢查中發(fā)現(xiàn)的違法行為，應當立即制止，并提請公安部門依法查處；b)

應定期對數(shù)據(jù)使用者的數(shù)據(jù)安全防護能力進行評估，確保數(shù)據(jù)使用者只能獲取與之防護能力等級相匹配的數(shù)據(jù)。DB15/T

2197—20215.4.4 安全事件調(diào)查處置安全事件調(diào)查處置過程中宜采取的安全控制措施包括：a)

當發(fā)生重大數(shù)據(jù)安全事件時，數(shù)據(jù)管理者應牽頭成立調(diào)查組對發(fā)生安全事件的單位進行調(diào)查，調(diào)查組可以調(diào)閱、摘抄、復制與數(shù)據(jù)安全事件有關的資料，封存有關設備，進行調(diào)查取證；b)

應根據(jù)調(diào)查結(jié)果對相關數(shù)據(jù)共享交換單位和人員進行責任追究，責令限期整改并報相關監(jiān)管部門；對造成重大損失或者社會影響的，責令暫停相關業(yè)務，涉及違法犯罪的由公安機關依法查處。5.4.5 人員培訓數(shù)據(jù)管理者應定期進行人員安全培訓，包括：a)

應建立人員數(shù)據(jù)安全培訓機制，對數(shù)據(jù)共享交換各參與方人員普及和培訓數(shù)據(jù)安全相關知識，通過多種形式推廣數(shù)據(jù)安全的風險防范思路和方法，提高數(shù)據(jù)共享交換各方人員的數(shù)據(jù)安全意識，促進數(shù)據(jù)安全工作的有效執(zhí)行；b)

管理人員和安全人員進行專項技能培訓，確保各參與方人員提高數(shù)據(jù)安全專項技能。5.5 服務第三方安全控制措施5.5.1 服務第三方通用安全要求服務第三方包括數(shù)據(jù)產(chǎn)品提供者和數(shù)據(jù)服務提供者，應滿足以下通用安全要求：a)

提供的產(chǎn)品和服務應滿足國家法律法規(guī)和地方規(guī)章的要求，例如提供基礎設施和平臺服務的應滿足國家網(wǎng)絡安全等級保護的相關要求，提供安全專用產(chǎn)品的應取得計算機信息系統(tǒng)安全專用產(chǎn)品銷售許可證；b)

提供的產(chǎn)品和服務應安全可控，并進行書面安全承諾，承諾提供的產(chǎn)品和服務不包含惡意程序、隱蔽接口或未明示功能的模塊等；c)

應建立并執(zhí)行針對產(chǎn)品和服務安全缺陷、漏洞的應急響應機制和流程，在發(fā)現(xiàn)提供的產(chǎn)品和服務存在安全缺陷、漏洞時，應立即采取修復或替代方案等補救措施，及時告知用戶安全風險，并向數(shù)據(jù)管理者報告；d)

提供的產(chǎn)品和服務需要收集的用戶信息時，應明確告知收集用戶信息的目的、用途、范圍和并采取安全措施保護用戶信息的安全；e)

提供的產(chǎn)品和服務應不破壞數(shù)據(jù)管理者制定的整體安全策略，應不導致其他服務第三方的產(chǎn)品和服務安全能力的失