DB13河北省市場監(jiān)督管理局發(fā)布I 1 1 1 2 6 8 本標準按照GB/T1.1-2009給本標準主要起草單位：河北省信息安全測評中心、中國軟件評測中心、河北金信網(wǎng)絡(luò)技務(wù)有限公司、河北省委黨校（河北行政學(xué)院）、秦皇島市工業(yè)和信息化局、河北工程大學(xué)王淑婧、唐剛、張友平、馬正英、馬一超、朱信銘、王濤、周峰、任旭東、付江、張桐、周隨著信息技術(shù)的快速發(fā)展和互聯(lián)網(wǎng)的普及應(yīng)用，越來越多的組信息泄露、違法使用個人信息的時間不斷出現(xiàn)；為保障個人的合法權(quán)益，規(guī)范各類組織機構(gòu)合使用個人信息，依據(jù)國家有關(guān)法律法規(guī)制定本標準包括信息系統(tǒng)個人信息處理過程安全要求、技術(shù)要求和管理要求。信息系統(tǒng)個人處理過程安全要求規(guī)定了收集、加工、轉(zhuǎn)移、刪除各個階段的安全要求；技術(shù)要求規(guī)定了環(huán)境全、網(wǎng)絡(luò)與主機安全、終端安全、權(quán)限管理、數(shù)據(jù)安全、審計安全、備份恢復(fù)等方面的安全要理要求規(guī)定了策略與制度、人員與責(zé)任、環(huán)境與資源、操作與維護、風(fēng)險控制、密碼管理等方1信息安全技術(shù)信息系統(tǒng)個人信息保護技術(shù)與管理規(guī)范本標準規(guī)定了信息系統(tǒng)個人信息處理過程中收集、加工、轉(zhuǎn)移、刪除四個階段安全要求本標準適用于信息系統(tǒng)個人信息安全保護應(yīng)用單位信息系統(tǒng)的建設(shè)和管理，也適用于管下列文件對于本文件的應(yīng)用是必不可少的,凡是注日期的引用文件，僅注日期的版本適用于本文按照一定的應(yīng)用目標和規(guī)則對信息進行采集、加工指以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別自然人個人身份的括但不限于自然人的姓名、出生日期、身份證件號碼、個人2從信息系統(tǒng)獲取個人信息的個人、組織和機構(gòu)，依據(jù)個人信息主體的意愿對獲得的4信息系統(tǒng)個人信息處理過程安全要求4.1概述本文件按照GB/Z28828中5.1的要求，從收集、加工、轉(zhuǎn)移和刪除4個主要環(huán)節(jié)對4.2收集4.2.1告知和警示3a)應(yīng)制定相應(yīng)制度，將個人信息收集的目的、范圍、方法和手段、處理方式等明確告知或警示個人信息主體，只收集能夠達到已告知目的的個人信息最小元素集，并征得個人信息b)應(yīng)在進行個人信息收集前，確認數(shù)據(jù)來源的合法性，如果是通過交易得來的數(shù)據(jù)，明確交易d)應(yīng)采用個人信息主體易知悉的方式，通過技術(shù)手段明確告知、警示和承諾相關(guān)事項，具體內(nèi)4.2.1.1應(yīng)告知或警示的相關(guān)事項e)個人信息收集方與個人信息主體簽訂的合同或協(xié)議；f)個人信息管理者、個人信息獲得者的名稱、地址、聯(lián)系方式等；g)個人信息主體有權(quán)選擇是否允許對其個人信息進行處理；i)個人信息主體提供個人信息后可能存在的風(fēng)險，以及不提供個人信息可能出現(xiàn)的后果；j)處理個人信息的范圍，包括：披露或向其他組織和機構(gòu)提供其個人信息的范圍；k)個人信息主體的投訴渠道和應(yīng)急機制；a)采用專業(yè)術(shù)語清楚表達收集目的，對處理個人敏感信息的需求進行充分說明；d)建立個人信息收集程序，保障個人信息的質(zhì)量和準確性；e)對個人信息的處理操作僅取決于收集目的所決定的處理過程，不對個人信息進行其他不相關(guān)f)從非個人信息主體所收集的個人信息是可靠的；g)收集的個人信息是準確的、最新的，是與收集目的相關(guān)的、充分的；h)收集個人信息前或?qū)€人信息用于其他目的時，向個人信息主體說明并獲取同意；i)個人信息處理程序發(fā)生變更時通知個人信息主j)在收集個人信息，或試圖將其轉(zhuǎn)移或委托于其他組織或機構(gòu)時，應(yīng)確保個人信息主體能夠確k)系統(tǒng)持續(xù)進行個人信息收集時，應(yīng)允許個人信息主體配置、調(diào)整、關(guān)閉個人信息收集功能或l)僅采用已告知的技術(shù)手段收集個人信息，不采取隱藏的技術(shù)手段收集個人信息。44.2.2信息顯示a)收集個人信息的客戶端應(yīng)隱蔽輸入的個人信息，使其不以明文形式顯示；b)顯示個人敏感信息或個人一般信息中與個人敏感信息相關(guān)聯(lián)的信息時，涉及的個人敏感信息c)在公共環(huán)境下，應(yīng)采取去標識化處理措施，顯示個人敏感信息時要隱藏部分字段或內(nèi)容。信息系統(tǒng)應(yīng)能防止收集的個人信息被其他設(shè)備或程序4.3.1加工處理a)應(yīng)制定個人信息加工程序，并嚴格按照程序進行個人信息處理；b)應(yīng)采用必要手段，不得對違反程序進行個人信息的加工行為；c)嚴格控制對個人信息進行的加工，避免多用戶進行同一操作行為；4.3.2數(shù)據(jù)存儲的完整性a)應(yīng)對存儲的個人信息采用密碼技術(shù)進行完整性保護，確保個人信息處于完整、可用狀態(tài)；b)應(yīng)能夠檢測到個人信息在存儲過程中完整性，并在檢測到完整性受到破壞時采取必要的恢復(fù)4.3.3數(shù)據(jù)存儲的保密性a)應(yīng)對存儲的個人信息進行保密性保護，確保不具有訪問權(quán)限的用戶不能對其進行訪問；c)個人敏感信息應(yīng)在非存儲區(qū)域使用后應(yīng)立即清除；d)應(yīng)對客戶端存儲的個人一般信息進行加密處理；e)個人敏感信息中的個人鑒別信息比對應(yīng)只能在服務(wù)器中進行；f)信息系統(tǒng)或云計算系統(tǒng)中存儲個人敏感信息，必要時應(yīng)采用加密的方式存儲，并通過有效的4.4轉(zhuǎn)移4.4.1轉(zhuǎn)移數(shù)據(jù)5a)應(yīng)基于明確、合法的目的，采用已告知的手段，征得個人信息主體事先同意的情況下，在已b)應(yīng)制定相關(guān)制度，保證在轉(zhuǎn)移的過程中個人信息保密性、完整性和準確性，防止個人信息在4.4.2數(shù)據(jù)轉(zhuǎn)移的完整性4.4.3數(shù)據(jù)轉(zhuǎn)移的保密性b)應(yīng)在通信過程中對傳輸個人敏感信息的報文或會話進行加密；c)個人敏感信息中的個人身份信息在發(fā)送至客戶端之前，應(yīng)匿名化方式處理，可采用屏蔽個人身份信息中不可猜測的一部分，被屏蔽部分應(yīng)使用d)應(yīng)采取加密算法，實現(xiàn)數(shù)據(jù)加密或協(xié)議加密，保證轉(zhuǎn)移過程中，個人敏感信息不會被預(yù)期個4.5刪除4.5.1信息刪除a)應(yīng)制定嚴格的個人信息刪除或銷毀制度，確保磁介質(zhì)、半導(dǎo)體介質(zhì)和光介質(zhì)等存儲到期或已經(jīng)使用完畢的個人信息得到及時、有效、完全清b)對于需要刪除的個人信息，應(yīng)采取信息完全清除或刪除工具等有效措施，及時妥善刪除或銷c)在達到收集階段告知的個人信息使用目的后，應(yīng)立即刪除或銷毀相關(guān)信息；如需繼續(xù)處理個人一般信息，應(yīng)消除其中能夠識別具體個人的內(nèi)容；如需繼續(xù)處理個人敏感信息d)在到達收集階段告知的個人信息留存期限時，應(yīng)立即刪除或銷毀相關(guān)信息。對留存期限有明e)應(yīng)采取必要的措施，防止刪除或銷毀的個人信息數(shù)據(jù)泄露；f)應(yīng)在將用戶個人敏感信息所在的存儲空間（無論在硬盤上還是在內(nèi)存中）釋放或再分配給其4.5.2監(jiān)督執(zhí)行a)在監(jiān)督人員在場的情況下，刪除或銷毀個人敏感信息，防止個人信息在刪除或銷毀過程中被6b)對于不同類別的個人信息進行刪除或銷毀，應(yīng)分別建立刪除或銷毀登記記錄。刪除或銷毀記錄至少應(yīng)包括：使用人、用途、刪除或銷毀方式與時間、刪除或銷毀人及其簽字、5信息系統(tǒng)個人信息保護技術(shù)要求5.1環(huán)境物理安全a)存儲個人信息的機房在場地選擇、防火、內(nèi)部裝修、供配電、空氣調(diào)節(jié)、安全等方面應(yīng)符合b)應(yīng)為機房安裝電子門禁系統(tǒng)，控制、鑒別和記錄進入機房的人員；c)應(yīng)在物理隔離區(qū)域進出通道或機房內(nèi)部等重要工作區(qū)域安裝錄像監(jiān)控設(shè)備，監(jiān)控錄像至少保d)應(yīng)對存放個人信息數(shù)據(jù)的各類介質(zhì)，例如：磁介質(zhì)、半導(dǎo)體介質(zhì)和光介質(zhì)等，采取相應(yīng)的技e)應(yīng)對系統(tǒng)內(nèi)使用的移動存儲介質(zhì)采用技術(shù)手段進行管理，防止非系統(tǒng)內(nèi)的移動存儲介質(zhì)在系f)應(yīng)對不再使用或二次使用存儲個人敏感信息的介質(zhì)采用技術(shù)手段進行清除或銷毀。a)應(yīng)明確信息系統(tǒng)的邊界，并按照一定的需求劃分安全管理區(qū)域，部署必要的安全設(shè)備（如：b)應(yīng)設(shè)置主機本地安全策略，并開啟相應(yīng)的安全審計功能，包括：3)審核策略和安全選項，對事件的成功和失d)應(yīng)采用技術(shù)手段限制信息系統(tǒng)內(nèi)的主機非授權(quán)接入其他信息系統(tǒng)中，限制5.3終端安全a)應(yīng)采用技術(shù)手段對采集、處理、存儲個人信息的計算機終端進行防護，并對使用計b)應(yīng)設(shè)置終端本地安全策略，并開啟相應(yīng)的安全審計功能，包括：1)密碼策略，開啟密碼復(fù)雜度要求，并設(shè)置c)應(yīng)采用技術(shù)手段限制采集、處理、存儲個人信息的計算機終端非授權(quán)接7d)應(yīng)采取必要的技術(shù)和管理手段限制外出5.4權(quán)限管理d)對個人敏感信息的訪問權(quán)限應(yīng)根據(jù)用戶分類清單進行分配，查詢、使用和5.5數(shù)據(jù)安全a)在信息系統(tǒng)中，應(yīng)對存儲、處理個人信息的數(shù)據(jù)庫進行安全設(shè)計3)應(yīng)加強數(shù)據(jù)庫系統(tǒng)的加固，對個人敏感信息以及個人b)應(yīng)用于云計算系統(tǒng)上的個人信息處理系統(tǒng)的安全性應(yīng)滿足以下要求：5.6訪問控制a)應(yīng)采取相應(yīng)的訪問控制策略對不同類型個人信息相關(guān)數(shù)據(jù)的訪問進行控制，b)應(yīng)采取相應(yīng)的訪問控制策略對不同類型用戶的訪問進行控制，包括：信息的人員身份，采用口令驗證的要對口令長度、復(fù)雜度進行3)對信息系統(tǒng)用戶、接入信息系統(tǒng)的設(shè)備進行標識與鑒別c)采用數(shù)字簽名等技術(shù)手段保證用戶操作行為a)應(yīng)通過開啟主機設(shè)備、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、終端設(shè)備等的日志功能，對處理的相關(guān)過程進行記錄。記錄內(nèi)容包括：操作人、操作日期和時間、操8功與否等，應(yīng)根據(jù)需要確定審計存儲空間，當(dāng)存儲空間將滿5.8備份恢復(fù)a)應(yīng)具有必要的備份恢復(fù)功能，對存儲的個人信息數(shù)據(jù)進行備份和必要時的恢復(fù)處理b)信息系統(tǒng)應(yīng)具有策略設(shè)置功能，在服務(wù)器和虛擬服務(wù)器上存儲個人信息時，可以根據(jù)對個人信息進行處理的方式，制定相應(yīng)的保護策略，包括：權(quán)限分配、訪問控制、密鑰管理a)應(yīng)建立明確的個人信息保護管理目標、內(nèi)容和范圍，個人的使用限制應(yīng)滿足GB/T35273中b)應(yīng)制定明確的個人信息保護策略，個人信息保護工作計劃，做出個人信息保護聲明；f)對信息系統(tǒng)個人信息保護的設(shè)計與開發(fā)建立相關(guān)的規(guī)范和流程；g)定期檢查個人信息安全策略、制度的適宜性，并對其進行持續(xù)的改進和完善；i)制定合理、有效的個人信息侵害補救措施（包括糾正錯誤、消除影響、恢復(fù)名譽、適當(dāng)賠償j)個人信息主體對個人信息的訪問、更正、刪除、撤回、注銷賬戶、獲取副本、請求等應(yīng)滿足a)應(yīng)建立個人信息保護管理責(zé)任制，明確個人信息保護管理機構(gòu)和人員的責(zé)任，個人2)開展個人信息保護日常管理、監(jiān)督檢查、風(fēng)險控制和b)應(yīng)根據(jù)“業(yè)務(wù)需要”和“最少夠用”原則，對信息系統(tǒng)訪問權(quán)限進行分配，控制對個人信息的訪問和使用，確保任何人都只能在其履行職責(zé)時間范圍內(nèi)訪問其開展業(yè)務(wù)所必需息，防止未經(jīng)授權(quán)擅自對個人信息進行查看、披露、篡改或破壞，個人信息獲得者91)按照個人信息主體的意愿、委托合同和個人2)當(dāng)個人信息處理過程中發(fā)生個人信息安全事件時，應(yīng)按照管理制度要求向c)應(yīng)制定相關(guān)規(guī)章制度，對涉及個人信息的第三方人員（包括：測評機構(gòu)、4)個人信息安全事件發(fā)生時獲得事件通告1)對從業(yè)人員進行背景了解和調(diào)查，簽署2)對從業(yè)人員就個人信息安全相關(guān)法律、法規(guī)、標準和管理制度等進行培訓(xùn)3)從業(yè)人員離崗時，按照管理制度終止其對個人信a)應(yīng)在安全的工作環(huán)境（包括：物理環(huán)境、網(wǎng)絡(luò)環(huán)境、計算機環(huán)境和應(yīng)用環(huán)境）中進b)應(yīng)對個人信息處理相關(guān)的工作環(huán)境進行管理，防止個人信息被泄露、損毀、丟失或未經(jīng)授權(quán)e)應(yīng)對存放個人信息數(shù)據(jù)的各類介質(zhì)進行專人管理，對移動存儲介質(zhì)統(tǒng)一f)移動存儲介質(zhì)的存放應(yīng)符合GB/T2887中“媒體存放條件”對存放環(huán)境的要求；h)應(yīng)對個人信息系統(tǒng)的軟硬件資源和信息資源制定管理要求。a)應(yīng)建立個人信息保護安全管理操作流程，規(guī)范對個人信息的操作b)應(yīng)對信息系統(tǒng)用戶進行分類管理，建立用戶分類清單，按照審查和批準的用戶分類清單建立c)應(yīng)對信息系統(tǒng)個人信息處理過程中收集、存儲、轉(zhuǎn)移、刪除各階段提出具d)應(yīng)對個人信息各階段的處理進行授權(quán)管理和訪問控制，嚴格控制對個人信h)應(yīng)對個人信息系統(tǒng)的維護進行管理。包1)采集、處理、存儲個人信息的計算機終端應(yīng)禁止其他高權(quán)限或特殊權(quán)限的用戶進行日常辦公，刪除或禁用系統(tǒng)中的特殊用2)應(yīng)建立用戶口令保護制度，對主機、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、計算機終端、5)應(yīng)及時升級病毒庫，安裝操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)及中理員對用戶身份進行驗證并通過驗證后，才能再恢復(fù)其用戶狀態(tài)；用戶登錄系統(tǒng)8)應(yīng)對用戶口令長度、組成、修改周期進行限制（禁止空口令、弱口令用戶登錄戶口令應(yīng)由大小寫字母、數(shù)字及特殊字符中兩10)應(yīng)通過內(nèi)部審計人員或第三方審計人員，定a)應(yīng)將個人信息保護管理納入組織中相應(yīng)機構(gòu)的工作和管b)應(yīng)建立個人信息保護日常管理監(jiān)督機制，定期檢查個人信息保護策略、制度的落實情況，并c)應(yīng)建立個人信息保護檢查評估機制和工作流程，及時發(fā)現(xiàn)和評估個人信息保d)應(yīng)建立信息系統(tǒng)投入運行前的功能審核機制，保證信息系統(tǒng)無個人信息數(shù)e)應(yīng)