DB3704T 0040-2024 公共數(shù)據(jù)安全管理規(guī)范

ICS35.020CCSL80

DB3704棗 莊 市 地 方 標(biāo) 準(zhǔn)DB3704/T0040-2024公共數(shù)據(jù)安全管理規(guī)范2024-03-27發(fā)布 2024-04-27實(shí)施棗莊市市場(chǎng)監(jiān)督管理局 發(fā)布DB3704/T0040DB3704/T0040—2024目 次前 言 1公共數(shù)據(jù)安全管理規(guī)范 2范圍 2規(guī)范性引用文件 2術(shù)語(yǔ)和定義 2總體原則 2通用安全能力 3人員管理 3人員職責(zé) 4委托處理 4安全評(píng)估 4應(yīng)急響應(yīng) 5網(wǎng)絡(luò)安全 5數(shù)據(jù)生命周期管理 5數(shù)據(jù)采集 5數(shù)據(jù)傳輸 5數(shù)據(jù)存儲(chǔ) 5數(shù)據(jù)匯聚 6數(shù)據(jù)使用 6數(shù)據(jù)共享 7數(shù)據(jù)開放 7DB3704/T0040DB3704/T0040—2024PAGEPAGE1前 言本文件按照GB/T1.1-2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。請(qǐng)注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別專利的責(zé)任。本文件起草單位：棗莊市大數(shù)據(jù)中心、北京安華金和科技有限公司。本文件主要起草人：王輝、陳夫真、趙瑞欣、陳亞楠、郗金鑫、郭騰、王俐、徐娟、雷嘉賓、趙善文。本文件為首次發(fā)布。公共數(shù)據(jù)安全管理規(guī)范范圍本文件規(guī)定了公共數(shù)據(jù)在數(shù)據(jù)處理活動(dòng)中的安全管理要求。本文件適用于指導(dǎo)涉及公共數(shù)據(jù)采集、存儲(chǔ)和使用的各單位進(jìn)行數(shù)據(jù)安全管理能力建設(shè)，規(guī)范公共數(shù)據(jù)的使用。規(guī)范性引用文件下列文件中的內(nèi)容通過(guò)文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對(duì)應(yīng)的版本適用于本文件:不注日期的引用文件，其最新版本(包括所有的修改單)適用于本文件。GB/T22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求GB/T37964-2019信息安全技術(shù)個(gè)人信息去標(biāo)識(shí)化指南GB/T39477-2020信息安全技術(shù)政務(wù)信息共享數(shù)據(jù)安全技術(shù)要求術(shù)語(yǔ)和定義下列術(shù)語(yǔ)和定義適用于本文件。公共數(shù)據(jù)國(guó)家機(jī)關(guān)，法律法規(guī)授權(quán)的具有管理公共事務(wù)職能的組織，具有公共服務(wù)職能的企業(yè)事業(yè)單位，人民團(tuán)體等（以下統(tǒng)稱公共數(shù)據(jù)提供單位）在依法履行公共管理職責(zé)、提供公共服務(wù)過(guò)程中，收集和產(chǎn)生的各類數(shù)據(jù)。數(shù)據(jù)安全通過(guò)采取必要措施，確保數(shù)據(jù)處于有效保護(hù)和合法利用的狀態(tài)，以及具備保障持續(xù)安全狀態(tài)的能力。網(wǎng)絡(luò)安全通過(guò)采取必要措施，防范對(duì)網(wǎng)絡(luò)的攻擊、侵入、干擾、破壞和非法使用以及意外事故，使網(wǎng)絡(luò)處于穩(wěn)定可靠運(yùn)行的狀態(tài)，以及保障網(wǎng)絡(luò)數(shù)據(jù)的完整性、保密性、可用性的能力。數(shù)據(jù)處理活動(dòng)包括數(shù)據(jù)的采集、傳輸、存儲(chǔ)、匯聚、使用、共享、開放等?？傮w原則為規(guī)范公共數(shù)據(jù)安全的基本要求，防范和抵御數(shù)據(jù)可能面臨的各類安全風(fēng)險(xiǎn)，公共管理和服務(wù)機(jī)構(gòu)在處理數(shù)據(jù)過(guò)程中，應(yīng)遵循下列原則，具體包括：合法正當(dāng)原則：公共數(shù)據(jù)收集采取合法、正當(dāng)?shù)姆绞?，不?yīng)竊取或者以其他非法方式獲取數(shù)據(jù)，數(shù)據(jù)處理活動(dòng)過(guò)程不應(yīng)危害國(guó)家安全、公共利益，不應(yīng)損害個(gè)人、組織的合法權(quán)益。權(quán)責(zé)明確原則：采取技術(shù)和其他必要的措施保障數(shù)據(jù)的安全，對(duì)數(shù)據(jù)處理活動(dòng)中涉及的組織和個(gè)人的合法權(quán)益負(fù)責(zé)。目的明確原則：數(shù)據(jù)處理活動(dòng)具有明確、清晰、具體的目的。最小必要原則：數(shù)據(jù)處理活動(dòng)僅處理可滿足特定公共服務(wù)為目的所需的最少數(shù)據(jù)類型和數(shù)量。公開透明原則：以明確、易懂和合理的方式公開個(gè)人信息處理的范圍、目的、規(guī)則等，并接受外部監(jiān)督，法律、行政法規(guī)另有規(guī)定的例外情況，從其規(guī)定。動(dòng)態(tài)調(diào)整原則：數(shù)據(jù)安全等級(jí)隨著數(shù)據(jù)對(duì)客體侵害程度的變化進(jìn)行動(dòng)態(tài)調(diào)整，數(shù)據(jù)重要程度、數(shù)據(jù)處理活動(dòng)過(guò)程、數(shù)據(jù)安全管控措施等的變更可能引起數(shù)據(jù)對(duì)客體侵害程度的變化。全程可控原則：采取必要管控措施確保數(shù)據(jù)處理活動(dòng)各環(huán)節(jié)的可控性，防止未授權(quán)訪問(wèn)及處理公共數(shù)據(jù)，記錄數(shù)據(jù)處理活動(dòng)各環(huán)節(jié)過(guò)程，記錄內(nèi)容清晰可追溯。通用安全能力人員管理圖1 數(shù)據(jù)安全管理人員架構(gòu)圖應(yīng)設(shè)立數(shù)據(jù)安全管理機(jī)構(gòu)，明確數(shù)據(jù)安全責(zé)任人，落實(shí)數(shù)據(jù)安全保護(hù)責(zé)任,負(fù)責(zé)公共數(shù)據(jù)的安全管理工作，應(yīng)當(dāng)加強(qiáng)人員管理，明確在人員培訓(xùn)、人員考核、保密協(xié)議、離崗離職、外部人員管理等方面的管理規(guī)定并嚴(yán)格落實(shí)。數(shù)據(jù)安全管理機(jī)構(gòu)應(yīng)明確數(shù)據(jù)管理員、數(shù)據(jù)安全管理員、數(shù)據(jù)安全審計(jì)員等崗位職責(zé)，落實(shí)崗位人員，保障數(shù)據(jù)安全管理與審計(jì)工作開展。人員職責(zé)數(shù)據(jù)安全責(zé)任人：負(fù)責(zé)組織制定數(shù)據(jù)保護(hù)計(jì)劃并落實(shí)。負(fù)責(zé)組織開展數(shù)據(jù)安全影響分析和風(fēng)險(xiǎn)評(píng)估，督促整改安全隱患。負(fù)責(zé)組織按要求向有關(guān)部門報(bào)告數(shù)據(jù)安全保護(hù)和事件處置情況。負(fù)責(zé)組織受理并處理數(shù)據(jù)安全投訴和舉報(bào)事項(xiàng)等。數(shù)據(jù)管理員：負(fù)責(zé)管理數(shù)據(jù)的生命周期，包括數(shù)據(jù)的收集、存儲(chǔ)、處理和分發(fā)；負(fù)責(zé)確保數(shù)據(jù)的可靠性、完整性和安全性；負(fù)責(zé)管理數(shù)據(jù)質(zhì)量，確保數(shù)據(jù)的準(zhǔn)確性和一致性；數(shù)據(jù)安全管理員：負(fù)責(zé)制定和執(zhí)行數(shù)據(jù)安全策略和程序，確保數(shù)據(jù)的機(jī)密性、完整性和可用性；負(fù)責(zé)管理訪問(wèn)控制、身份驗(yàn)證、加密、備份和恢復(fù)等數(shù)據(jù)安全措施；數(shù)據(jù)安全審計(jì)員：負(fù)責(zé)審核和評(píng)估組織的數(shù)據(jù)安全策略、程序和實(shí)踐，確保其符合行業(yè)標(biāo)準(zhǔn)和法規(guī)要求；負(fù)責(zé)評(píng)估數(shù)據(jù)安全風(fēng)險(xiǎn)和威脅，提出改進(jìn)建議和解決方案；負(fù)責(zé)監(jiān)測(cè)和分析數(shù)據(jù)安全事件，及時(shí)采取措施防止和應(yīng)對(duì)安全威脅；大數(shù)據(jù)管理部門處理個(gè)人信息時(shí)，應(yīng)指定個(gè)人信息保護(hù)負(fù)責(zé)人，負(fù)責(zé)對(duì)個(gè)人信息處理活動(dòng)以及采取的保護(hù)措施等進(jìn)行監(jiān)督，并公開個(gè)人信息保護(hù)負(fù)責(zé)人聯(lián)系方式，將個(gè)人信息保護(hù)負(fù)責(zé)人的姓名、聯(lián)系方式等報(bào)送履行個(gè)人信息保護(hù)職責(zé)部門。應(yīng)針對(duì)數(shù)據(jù)類別級(jí)別變更、數(shù)據(jù)權(quán)限變更、重大數(shù)據(jù)操作及外部系統(tǒng)接入等事項(xiàng)建立審批程序，按照審批程序執(zhí)行審批過(guò)程。涉及數(shù)據(jù)合作方的機(jī)構(gòu)，應(yīng)與數(shù)據(jù)合作方簽訂合作協(xié)議及數(shù)據(jù)安全保密協(xié)議，明確雙方數(shù)據(jù)安全保密責(zé)任與義務(wù)，宜定期審核數(shù)據(jù)合作方資質(zhì)背景、數(shù)據(jù)安全保障能力等，并組織動(dòng)態(tài)合規(guī)評(píng)估。委托處理大數(shù)據(jù)管理部門組織企業(yè)和其他機(jī)構(gòu)等受托方建設(shè)、維護(hù)信息系統(tǒng)或者存儲(chǔ)、加工數(shù)據(jù)等場(chǎng)景時(shí)，應(yīng)當(dāng)對(duì)受托方的數(shù)據(jù)安全保護(hù)能力、資質(zhì)進(jìn)行核實(shí)，并與受托方簽訂保密協(xié)議，并要求其簽訂安全承諾書，明確相關(guān)安全責(zé)任不隨委托關(guān)系轉(zhuǎn)移，監(jiān)督并定期檢查受托方履行數(shù)據(jù)安全保護(hù)義務(wù)情況。要組織受托方與相關(guān)服務(wù)單位和人員簽訂保密協(xié)議。要嚴(yán)格管控?cái)?shù)據(jù)的權(quán)限管理，禁止受托方接觸、處理批量原始數(shù)據(jù)，做好其操作行為的日志記錄與風(fēng)險(xiǎn)預(yù)警，確保受委托方不擅自留存、使用、泄露、銷毀或者向他人提供數(shù)據(jù)。受委托方承建、運(yùn)維信息系統(tǒng)的用戶超過(guò)100萬(wàn)人時(shí)，社會(huì)管理和公共服務(wù)機(jī)構(gòu)應(yīng)提供數(shù)據(jù)安全保護(hù)措施和評(píng)估措施方案，并將評(píng)估情況報(bào)同級(jí)網(wǎng)信部門。安全評(píng)估應(yīng)結(jié)合自身數(shù)據(jù)安全要求，制定數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估方法，明確風(fēng)險(xiǎn)評(píng)估目的、范圍、依據(jù)、評(píng)估流程、評(píng)估頻率、實(shí)施評(píng)估、綜合評(píng)估分析等內(nèi)容。在出現(xiàn)法律、資產(chǎn)、業(yè)務(wù)等方面重大情況變化時(shí)應(yīng)進(jìn)行局部或全面數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估，形成數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估報(bào)告。涉及國(guó)家、行業(yè)存在數(shù)據(jù)安全合規(guī)監(jiān)管要求的機(jī)構(gòu)，應(yīng)定期開展數(shù)據(jù)安全合規(guī)性評(píng)估，并向有關(guān)主管部門報(bào)送合規(guī)性評(píng)估報(bào)告。涉及敏感個(gè)人信息處理活動(dòng)時(shí)，應(yīng)事先開展個(gè)人信息保護(hù)影響評(píng)估，評(píng)估記錄至少保存五年。應(yīng)急響應(yīng)預(yù)案制定。各級(jí)應(yīng)當(dāng)制定數(shù)據(jù)安全事件應(yīng)急預(yù)案，發(fā)生安全事件時(shí)，應(yīng)當(dāng)按照應(yīng)急預(yù)案及時(shí)開展應(yīng)急處置；事件處置完成后，應(yīng)當(dāng)在規(guī)定期限內(nèi)形成總結(jié)報(bào)告，報(bào)送同級(jí)部門。應(yīng)急演練。各級(jí)應(yīng)當(dāng)根據(jù)應(yīng)急預(yù)案定期開展應(yīng)急演練，保存演練記錄，針對(duì)演練中發(fā)現(xiàn)的問(wèn)題，應(yīng)當(dāng)立即進(jìn)行整改，發(fā)現(xiàn)安全隱患時(shí)，應(yīng)當(dāng)立即停止使用數(shù)據(jù)。應(yīng)根據(jù)應(yīng)急預(yù)案明確的數(shù)據(jù)安全事件場(chǎng)景定期開展應(yīng)急演練，檢驗(yàn)和完善應(yīng)急處置機(jī)制，每年至少一次，事件場(chǎng)景包括但不限于數(shù)據(jù)泄露、丟失、濫用、篡改、毀損、違規(guī)使用等。網(wǎng)絡(luò)安全支撐公共數(shù)據(jù)處理活動(dòng)的基礎(chǔ)網(wǎng)絡(luò)、云平臺(tái)系統(tǒng)、資源共享網(wǎng)站等基礎(chǔ)設(shè)施的通用安全要應(yīng)符合GB/T22239—2019中的第三級(jí)安全要求。數(shù)據(jù)生命周期管理數(shù)據(jù)采集大數(shù)據(jù)管理部門應(yīng)按照“最小必要”原則采集數(shù)據(jù)，保障被收集人的合法權(quán)益。采集過(guò)程中應(yīng)采取相關(guān)安全防護(hù)措施和技術(shù)手段，確保環(huán)境、設(shè)施、人員等安全可控。大數(shù)據(jù)管理部門應(yīng)明確數(shù)據(jù)分類分級(jí)原則、方法和操作指南，對(duì)公共數(shù)據(jù)進(jìn)行分類分級(jí)管理。c）大數(shù)據(jù)管理部門進(jìn)行數(shù)據(jù)采集活動(dòng)，應(yīng)明確數(shù)據(jù)采集的渠道和外部的數(shù)據(jù)源，并對(duì)外部數(shù)據(jù)源的合法性進(jìn)行確認(rèn)。數(shù)據(jù)采集中若涉及個(gè)人信息，應(yīng)明確數(shù)據(jù)采集過(guò)程中個(gè)人信息和重要數(shù)據(jù)的知悉范圍和需要采集的控制措施，確保采集過(guò)程中的個(gè)人信息和重要數(shù)據(jù)不被泄露。e）大數(shù)據(jù)管理部門進(jìn)行數(shù)據(jù)采集活動(dòng)，應(yīng)明確數(shù)據(jù)質(zhì)量管理相關(guān)的要求；明確數(shù)據(jù)采集過(guò)程中質(zhì)量監(jiān)控規(guī)則、明確數(shù)據(jù)質(zhì)量監(jiān)控范圍及監(jiān)控方式。數(shù)據(jù)傳輸數(shù)據(jù)傳輸活動(dòng)應(yīng)當(dāng)根據(jù)傳輸?shù)臄?shù)據(jù)類型、級(jí)別和應(yīng)用場(chǎng)景，制定安全策略并采取保護(hù)措施。數(shù)據(jù)傳輸過(guò)程中應(yīng)當(dāng)采取必要的安全技術(shù)措施保障數(shù)據(jù)傳輸安全、可控、及時(shí)、高效。應(yīng)對(duì)關(guān)鍵的網(wǎng)絡(luò)傳輸鏈路、網(wǎng)絡(luò)設(shè)備節(jié)點(diǎn)實(shí)行冗余建設(shè)。應(yīng)制定組織的網(wǎng)絡(luò)可用性管理指標(biāo)，包括可用性的概率數(shù)值、故障時(shí)間/頻率/統(tǒng)計(jì)業(yè)務(wù)單元等?；诳捎眯怨芾碇笜?biāo)，建立網(wǎng)絡(luò)服務(wù)配置方案和宕機(jī)替代方案等。數(shù)據(jù)存儲(chǔ)數(shù)據(jù)存儲(chǔ)不應(yīng)因存儲(chǔ)形式或存儲(chǔ)時(shí)效的改變而降低安全保護(hù)強(qiáng)度。應(yīng)根據(jù)安全級(jí)別、重要性、量級(jí)、使用頻率等因素，將數(shù)據(jù)分域分級(jí)存儲(chǔ)。數(shù)據(jù)應(yīng)存儲(chǔ)至統(tǒng)一平臺(tái)，原則上不得在產(chǎn)生、使用數(shù)據(jù)的相關(guān)業(yè)務(wù)系統(tǒng)之外存儲(chǔ)。數(shù)據(jù)存儲(chǔ)應(yīng)采取脫敏、加密、訪問(wèn)控制等安全措施。數(shù)據(jù)應(yīng)依托政務(wù)云平臺(tái)或信息系統(tǒng)開展容災(zāi)備份，建立數(shù)據(jù)恢復(fù)機(jī)制，及時(shí)開展數(shù)據(jù)恢復(fù)演練。應(yīng)明確數(shù)據(jù)邏輯存儲(chǔ)隔離授權(quán)與操作要求，確保具備多用戶數(shù)據(jù)存儲(chǔ)安全隔離能力。數(shù)據(jù)匯聚社會(huì)管理和公共服務(wù)機(jī)構(gòu)應(yīng)根據(jù)數(shù)據(jù)資源目錄，將本單位所有可匯聚的相關(guān)數(shù)據(jù)匯聚至市級(jí)一體化大數(shù)據(jù)平臺(tái)，并負(fù)責(zé)數(shù)據(jù)及時(shí)更新；對(duì)不予匯聚的數(shù)據(jù)，應(yīng)提出法律法規(guī)依據(jù)，并作出書面說(shuō)明。數(shù)據(jù)要在完成采集后，采用系統(tǒng)對(duì)接等方式及時(shí)進(jìn)行匯聚。數(shù)據(jù)使用數(shù)據(jù)分析應(yīng)設(shè)立負(fù)責(zé)數(shù)據(jù)分析安全的崗位和人員，負(fù)責(zé)整體的數(shù)據(jù)分析安全原則制定、提供相應(yīng)技術(shù)支持。應(yīng)明確數(shù)據(jù)處理與分析過(guò)程的安全規(guī)范，覆蓋構(gòu)建數(shù)據(jù)倉(cāng)庫(kù)、建模、分析、挖掘、展現(xiàn)等方面的安全要求，明確個(gè)人信息保護(hù)、數(shù)據(jù)獲取方式、訪問(wèn)接口、授權(quán)機(jī)制、分析邏輯安全、分析結(jié)果安全等內(nèi)容。應(yīng)明確數(shù)據(jù)分析安全審核流程，對(duì)數(shù)據(jù)分析的數(shù)據(jù)源、數(shù)據(jù)分析需求、分析邏輯進(jìn)行審核，以確保數(shù)據(jù)分析目的、分析操作等當(dāng)面的正當(dāng)性。在針對(duì)個(gè)人信息的數(shù)據(jù)分析中，數(shù)據(jù)分析者應(yīng)采用多種技術(shù)手段以降低數(shù)據(jù)分析過(guò)程中的隱私泄露風(fēng)險(xiǎn)。數(shù)據(jù)使用應(yīng)明確數(shù)據(jù)使用的評(píng)估制度，所有個(gè)人信息和重要數(shù)據(jù)的使用應(yīng)先進(jìn)行安全影響評(píng)估，滿足國(guó)家合規(guī)要求后，允許使用。數(shù)據(jù)的使用應(yīng)避免精確定位到特定個(gè)人，避免評(píng)價(jià)信用、資產(chǎn)和健康等敏感數(shù)據(jù)，不得超出與收集數(shù)據(jù)時(shí)所聲明的目的和范圍。數(shù)據(jù)處理環(huán)境公共數(shù)據(jù)處理環(huán)境的系統(tǒng)設(shè)計(jì)、開發(fā)和運(yùn)維階段應(yīng)制定相應(yīng)的安全控制措施，實(shí)現(xiàn)對(duì)安全風(fēng)險(xiǎn)的管理。應(yīng)基于數(shù)據(jù)處理環(huán)境建立分布式處理安全要求，對(duì)外部服務(wù)組件注冊(cè)與使用審核、分布式處理節(jié)點(diǎn)間可信連接認(rèn)證、節(jié)點(diǎn)和用戶安全屬性周期性確認(rèn)、數(shù)據(jù)文件標(biāo)識(shí)和用戶身份鑒權(quán)、數(shù)據(jù)副本節(jié)點(diǎn)更新檢測(cè)及防止數(shù)據(jù)泄露等方面進(jìn)行安全要求和控制。數(shù)據(jù)展示數(shù)據(jù)展示前，應(yīng)事前評(píng)估展示需求，包括展示的條件、環(huán)境、權(quán)限、內(nèi)容等，確定展示的必要性和安全性。涉及到個(gè)人信息的對(duì)外展示，應(yīng)遵循GB/T37964-2019數(shù)據(jù)應(yīng)用社會(huì)管理和公共服務(wù)機(jī)構(gòu)應(yīng)對(duì)采集匯聚的數(shù)據(jù)提供數(shù)據(jù)應(yīng)用，掛載到統(tǒng)一平臺(tái)相關(guān)數(shù)據(jù)資源目錄下，并做好運(yùn)維服務(wù)。統(tǒng)一平臺(tái)提供接口共享和批量共享兩種應(yīng)用方式。接口共享方式，用于數(shù)據(jù)單條查詢或校核對(duì)比；批量共享方式，用于依托統(tǒng)一平臺(tái)，在保證數(shù)據(jù)安全基礎(chǔ)上進(jìn)行批量數(shù)據(jù)導(dǎo)出或脫敏數(shù)據(jù)導(dǎo)出。鼓勵(lì)各級(jí)依托統(tǒng)一平臺(tái)建立數(shù)據(jù)綜合分析支撐能力，探索采用“多租戶”等模式，由使用數(shù)據(jù)的社會(huì)管理和公共服務(wù)機(jī)構(gòu)在統(tǒng)一平臺(tái)上構(gòu)建算法模型，開展批量數(shù)據(jù)應(yīng)用，獲取結(jié)果數(shù)據(jù)。數(shù)據(jù)共享在進(jìn)行數(shù)據(jù)共享前，應(yīng)明確數(shù)據(jù)共享內(nèi)容范圍和數(shù)據(jù)共享的管控措施，及數(shù)據(jù)共享涉及單位或部門相關(guān)用戶職責(zé)和權(quán)限。在個(gè)人信息委托處理、共享