電信和互聯(lián)網(wǎng)個(gè)人信息保護(hù)能力審計(jì)規(guī)范

電信終端產(chǎn)業(yè)協(xié)會(huì)發(fā)布I II III 1 1 1 1 2 2 2 2 2 2 2 2 3 3 3 3 4 4 4 4 4 4 4 5 5 5 5 6 6 6 6 6 6 6 7本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定進(jìn)行系統(tǒng)性的審計(jì)人員建設(shè)、能力建設(shè)、規(guī)程建設(shè)，落實(shí)個(gè)人信息保護(hù)工作。1電信和互聯(lián)網(wǎng)個(gè)人信息保護(hù)能力審計(jì)規(guī)范本文件適用于第三方評(píng)估機(jī)構(gòu)開展評(píng)估工作，同時(shí)也適用于個(gè)人信息處理者進(jìn)行自評(píng)GB/T35273-2020信息安全技術(shù)個(gè)人信息第三方應(yīng)用thirdpartyappl服務(wù)中的自動(dòng)化工具，包括但不限于軟件開發(fā)工具包（SDK）、第三方代碼、組件、腳本、接口、算法4縮略語2HTML：超級(jí)文本標(biāo)記語言（HyperTextMaSDK：軟件開發(fā)工具包（SoftwareDevelopme5概述規(guī)范個(gè)人信息處理活動(dòng)、提升個(gè)人信息安全防護(hù)水平，促進(jìn)個(gè)開展電信和互聯(lián)網(wǎng)個(gè)人信息保護(hù)能力審計(jì)應(yīng)遵循以應(yīng)明確個(gè)人信息保護(hù)能力審計(jì)流程，確保收集到充分適當(dāng)?shù)膶徲?jì)證據(jù)以對(duì)審計(jì)事項(xiàng)進(jìn)行審查和評(píng)c）應(yīng)持續(xù)接受培訓(xùn)。包括但不限于相關(guān)法律法規(guī)、行業(yè)標(biāo)準(zhǔn)、組織管理制度、審計(jì)對(duì)象應(yīng)完整覆蓋個(gè)人信息處理活動(dòng)及相關(guān)保4d）審計(jì)過程形成的記錄應(yīng)能對(duì)安全事件的處置、應(yīng)急響應(yīng)和事后a）應(yīng)及時(shí)處理審計(jì)過程中發(fā)現(xiàn)的個(gè)人信息違規(guī)使用、濫用a）應(yīng)建立完善的制度體系，對(duì)個(gè)人信息保護(hù)政策、相關(guān)規(guī)程和安全措施的有效性進(jìn)行審b）應(yīng)建立自動(dòng)化監(jiān)測(cè)記錄個(gè)人信息處理活動(dòng)的能力，審計(jì)系統(tǒng)應(yīng)留存相關(guān)審計(jì)記錄；b）開展處理活動(dòng)時(shí)，基于個(gè)人信息分類分級(jí)d）應(yīng)采用加密、安全存儲(chǔ)、訪問控制等安全措施進(jìn)行個(gè)d）應(yīng)提供記錄導(dǎo)出能力，包括但不限于文b）支持對(duì)各類風(fēng)險(xiǎn)隱患和安全事件的審計(jì)參數(shù)配置，如數(shù)據(jù)量級(jí)閾值、數(shù)據(jù)類型、安全/非安全d）能夠根據(jù)審計(jì)內(nèi)容的要求，形成日常操作和6中對(duì)象統(tǒng)計(jì)功能，可對(duì)敏感對(duì)象的訪問行為、操作9個(gè)人信息保護(hù)能力審計(jì)評(píng)估談等方法確認(rèn)評(píng)估內(nèi)容的審計(jì)內(nèi)容或?qū)徲?jì)功能落實(shí)情況出具評(píng)估結(jié)論階段應(yīng)包括評(píng)估報(bào)告和結(jié)論，根據(jù)評(píng)估實(shí)施內(nèi)容和具體評(píng)估指標(biāo)相符合情況給出說9.2確定評(píng)估對(duì)象9.3調(diào)研評(píng)估對(duì)象評(píng)估對(duì)象確認(rèn)后，應(yīng)對(duì)其相關(guān)的審計(jì)內(nèi)容和審計(jì)功能分別進(jìn)行調(diào)研，調(diào)研評(píng)估對(duì)象要求包括：9.4制定評(píng)估計(jì)劃評(píng)估方應(yīng)合理預(yù)估評(píng)估工作復(fù)雜度