ICS35.110CCSL7012SpecificationforsupervisionandinspectionofnetworkdatasecurityDB12/T1198—2023前言 2規范性引用文件 3術語和定義 4監督檢查流程 25監督檢查方式 26監督檢查要求 37監督檢查結果 9附錄A（規范性）監督檢查流程圖 10附錄B（規范性）網絡數據安全監督檢查記錄單 11附錄C（規范性）網絡數據安全監督檢查點權重表 17參考文獻 IDB12/T1198—2023本文件按照GB/T1.1—2020《標準化工作導則第1部分：標準化文件的結構和起草規則》的規定起草。本文件由天津市互聯網信息辦公室提出并歸口。本文件起草單位：天津市互聯網信息辦公室、天津市大數據協會、天津市標準化研究院、天津市大數據管理中心、中科銳眼（天津）科技有限公司、中國電子技術標準化研究院、北京啟明星辰信息安全技術有限公司、國家計算機網絡與信息安全管理中心天津分中心、南開大學、天津市濱海新區互聯網信息辦公室、天津泰達智慧城市科技有限公司、北京市盈科律師事務所。本文件主要起草人：王蕓、徐濱彥、趙洪宇、賈文娟、趙玉玲、于卓、郝津蕾、由方嵐、陸浩、丁釗、劉琳、高朗、張淵、曹洪星、尹太澤、苗興宗、宋一萍、梁哲龍、黃格、徐聰、李凱悅、袁青霞、尚高峰、張尼、張健、蔡迎秋、徐羽佳、高晨濤、郭玉泉、曹靜、張云樂、趙明、袁小梅、宋午陽、張良、王煜。DB12/T1198—2023為維護國家安全、社會公共利益，保護公民、法人和其他組織在網絡數據方面的合法權益，加強網絡數據安全管理，強化網絡數據安全監督檢查，建立健全網絡數據安全監管體系，根據《中華人民共和國網絡安全法》《中華人民共和國數據安全法》《中華人民共和國個人信息保護法》《中華人民共和國密碼法》《關鍵信息基礎設施安全保護條例》《網絡安全審查辦法》《數據出境安全評估辦法》《天津市數據安全管理辦法（暫行）》《天津市網信部門網絡數據安全監督檢查工作規范》等法律法規和相關規范，結合本市實際，制定本規范。DB12/T1198—2023網絡數據安全監督檢查規范本文件規定了網絡數據安全監督檢查的流程、內容和要求。本文件適用于網絡數據安全監管部門、行業主管部門、第三方評估機構等組織，對網絡數據處理者網絡數據的收集、存儲、使用、加工、傳輸、提供、公開和銷毀等活動進行監督、檢查、管理和評估，也適用于各類網絡數據處理者開展建設、自查、整改工作。2規范性引用文件下列文件中的內容通過文中的規范性引用而構成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T35273信息安全技術個人信息安全規范GB/T37988信息安全技術數據安全能力成熟度模型3術語和定義GB/T35273和GB/T37988界定的以及下列術語和定義適用于本文件。3.1網絡數據networkdata通過網絡處理和產生的各類電子數據。3.2重要數據keydata一旦遭到篡改、破壞、泄露或者非法獲取、非法利用等，可能危害國家安全、經濟運行、社會穩定、公共健康和安全等的網絡數據。3.3個人信息personalinformation以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息。3.4敏感個人信息personalsensitiveinformation一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。3.5網絡數據處理者networkdataprocessor在網絡數據處理活動中自主決定處理目的和處理方式的個人和組織。1DB12/T1198—20233.6數據安全datasecurity是指通過采取必要措施，確保數據處于有效保護和合法利用的狀態，以及具備保障持續安全狀態的能力。4監督檢查流程4.1準備階段4.1.1監督檢查發起部門負責編制檢查工作方案，工作方案內容包括組織領導、網絡數據處理者、檢查內容、檢查方式、工作安排、工作保障等內容。4.1.2實施監督檢查前，應根據檢查工作方案組建檢查組、確定網絡數據處理者、確認檢查內容、選擇檢查方式，按照附錄A執行。4.1.3檢查組應不少于2人，至少有1人具備網絡數據安全專業知識、培訓經歷或者從業經驗。4.1.4檢查組事先應向網絡數據處理者告知相關檢查事項，包括但不限于檢查時間、檢查內容等。4.1.5檢查組在實施檢查過程中，應如實記錄檢查時間、地點、內容、發現的問題及其處理情況等。4.1.6檢查組在實施檢查過程中，應嚴格遵守法律法規、工作紀律要求，對涉及國家秘密、商業秘密、個人隱私的信息，應當保密。4.2實施階段檢查組可采用人員訪談、文檔審核、工具測試、配置檢查、流量核驗等方式，開展檢查工作，輸出檢查記錄單，按照附錄B執行。實施過程中，應不干擾、破壞網絡數據處理者的業務連續性。4.3整改階段4.3.1檢查組應根據監督檢查結果，出具書面檢查記錄單，針對檢查中發現的安全問題，提出整改要求及整改時限。4.3.2網絡數據處理者應按照整改要求，在規定的時間內，完成整改工作，并形成整改報告，提交檢查組。4.3.3檢查組應跟蹤整改情況，并記錄整改結果。4.4總結階段檢查組應在檢查結束后，總結檢查情況，編寫總結報告。對檢查過程中收集的資料、檢查記錄單、相關過程文書及整改反饋資料等相關數據，按規定立卷存檔，存檔時間應不少于三年。5監督檢查方式5.1管理檢查管理檢查的檢查方式包括但不限于：a)人員訪談：通過訪談的方式與網絡數據處理者進行交流、討論等活動,獲取相關資料,了解有關信息，檢查實際工作與管理制度、文檔記錄之間的一致程度；2DB12/T1198—2023b)文檔審核：由網絡數據處理者提供與數據安全相關的文檔材料(如網絡數據安全的方針政策、制度規范流程、培訓教育材料、以及與產品技術相關的設計實施方案、配置說明、運行記錄和其他配套表單),檢查組審核相關的文檔材料是否已涵蓋檢查內容。5.2技術檢查技術檢查的檢查方式包括但不限于：a)工具測試：利用技術工具和人工方式對系統進行測試,驗證是否符合檢查內容的技術保障能力要求；b)配置檢查：根據網絡數據處理者提供的技術材料,登錄相關的系統工具平臺,檢查配置是否與材料保持一致,對文檔審核內容進行核實；c)流量核驗：采用旁路部署的方式，對網絡數據處理者的系統進行全流量采集，核驗是否符合檢查內容的技術保障能力要求。6監督檢查要求6.1總體要求監督檢查要求包含通用安全、數據收集安全、數據存儲安全、數據使用安全、數據加工安全、數據傳輸安全、數據提供安全、數據公開安全和數據銷毀安全九個部分。涉及重要數據的網絡處理者原則上應在符合基本要求的基礎上，滿足增強要求。6.2通用安全6.2.1安全合規管理基本要求本項檢查基本要求包括：a)是否定期開展數據安全評估工作；b)是否定期開展網絡安全等級保護測評工作，是否按照測評報告要求，開展整改工作；c)是否填報數據安全備案信息，并及時更新相關數據；d)是否明確數據安全管理機構、管理崗位及相關職責，是否定期開展數據安全自查工作；e)是否明確數據安全事件應急預案，是否定期開展數據安全培訓和應急演練活動；f)是否建立個人信息管理制度和操作規程，是否明確審批制度、流程、管理范圍、安全策略和管控措施，是否明確指定個人信息保護負責人；g)涉及個人信息處理的，是否定期對其處理個人信息遵守法律、行政法規的情況進行合規審計；h)是否建立數據跨境管理制度，是否明確審批制度、流程、管理范圍、安全策略和管控措施；i)涉及數據出境的，檢查數據出境前是否開展數據出境風險自評估，是否通過網信部門數據出境安全評估。增強要求本項檢查增強要求包括：3DB12/T1198—2023a)涉及處理敏感個人信息，或利用個人信息進行自動化決策，或委托處理個人信息、向其他個人信息處理者提供個人信息、公開個人信息，或向境外提供個人信息的，是否事前開展個人信息保護影響評估；b)涉及收集使用兒童個人信息的，是否在符合個人信息保護的基礎上，加強對兒童個人信息的保護；c)是否建立密碼安全管理制度，是否定期開展密碼應用安全性評估；d)相關信息系統是否采用商用密碼檢測認證機構核準的密碼技術和產品。6.2.2數據分類分級基本要求本項檢查基本要求包括：a)是否建立數據分類分級制度、規程、操作指南；b)是否開展數據分類分級標識和管理工作。增強要求是否按照數據分類分級的要求建立相應的訪問控制、數據加解密、數據脫敏等安全管理和控制措施。6.2.3終端數據安全基本要求本項檢查基本要求包括：a)是否制定面向終端的數據安全管理規范和要求；b)是否設置數據安全管理崗位，并指定專人對終端數據安全進行統一管理；c)是否為在網絡環境的終端設備，安裝統一的防病毒軟件。增強要求本項檢查增強要求包括：a)是否為進入內部網絡環境的終端設備，分配終端識別號，并實現計算機終端設備與用戶賬號的一對一綁定；b)是否部署終端數據防泄漏方案，通過技術手段對終端上傳輸的數據進行風險監測。6.2.4監控與審計基本要求是否明確對內部各類數據訪問和操作的日志記錄要求、安全監控要求和審計要求。增強要求是否采用自動和人工審計相結合的方式對網絡傳輸數據的高風險操作進行監測。6.3數據收集安全6.3.1基本要求4DB12/T1198—2023本項檢查基本要求包括：a)是否制定符合業務的數據收集原則、收集流程和方法；b)是否明確收集數據的目的和用途，檢查數據收集和獲取的合法性和正當性；c)涉及個人信息收集的，是否明確個人信息收集的目的、方式和范圍，并經被收集者同意或符合其他合法方式。收集兒童個人信息的，應當取得兒童監護人的同意。6.3.2增強要求本項檢查增強要求包括：a)是否采取技術手段或管控措施，對收集和獲取到的數據進行完整性和一致性校驗；b)是否采取技術手段或管控措施，防止個人信息和重要數據在收集過程中泄露。6.4數據存儲安全6.4.1基本要求本項檢查基本要求包括：a)是否建立數據存儲管理制度，規范存儲媒體使用、購買和標記流程；b)是否具備數據備份與恢復技術，建立數據存儲冗余策略和存儲安全管理制度；c)是否執行定期的數據備份和恢復，實現對存儲數據的冗余管理，保護數據的可用性。6.4.2增強要求本項檢查增強要求包括：a)是否具備對存儲媒體性能監控措施，包括使用歷史、性能指標、錯誤或損壞情況，對超過安全閾值的存儲媒體進行預警；b)是否具備存儲媒體訪問和使用的安全管理規范，并對存儲媒體使用行為進行記錄和審計；c)是否具備對個人敏感數據、重要數據存儲加密的能力。6.5數據使用安全6.5.1數據正當使用基本要求是否建立數據使用正當性的管理制度，在數據使用聲明的目的和范圍內對受保護的個人信息、重要數據進行使用和分析處理。增強要求是否采用技術手段記錄和管理數據使用操作行為。6.5.2數據導入導出安全基本要求本項檢查基本要求包括：a)是否建立數據導入導出安全制度或審批流程；b)是否用存儲媒體進行數據導出時，應建立存儲媒體的標識規范；5c)是否對導入導出的終端、用戶或服務組件等執行身份鑒別，驗證其身份的真實性和合法性。增強要求是否定期驗證導出數據的完整性和可用性。6.5.3鑒別與訪問控制基本要求本項檢查基本要求包括：a)是否指定專人負責管理核心業務系統的用戶身份及數據權限管理；b)是否制定核心業務系統和數據庫的身份鑒別、訪問控制和權限管理制度及要求；c)是否對業務系統登錄的用戶進行身份標識和鑒別，身份標識具有唯一性，鑒別信息具有復雜度要求并定期更換。增強要求是否采用兩種或兩種以上組合的鑒別技術對用戶進行身份鑒別，且其中一種鑒別技術至少應使用密碼技術來實現。6.5.4數據展示安全基本要求本項檢查基本要求包括：a)是否建立數據展示操作規范，明確數據的展示范圍、內容、方式；b)是否依據用戶角色，展示相應數據；c)是否在對外部組織展示重要數據和敏感個人信息時，采用數據脫敏等技術。增強要求是否在展示重要數據和敏感個人信息時，采用防截屏或屏幕水印等技術。6.6數據加工安全6.6.1數據分析安全基本要求是否建立數據分析相關數據源獲取規范和使用機制，明確數據獲取方式、訪問接口、授權機制、數據使用等。增強要求本項檢查增強要求包括：a)是否建立多源數據聚合、關聯分析等數據分析過程中的數據資源操作規范和實施指南；b)是否建立數據分析結果輸出的安全審查機制和授權控制機制，并采取必要的技術手段和管控措施。6.6.2數據脫敏安全基本要求本項檢查基本要求包括：a)是否建立數據脫敏制度、流程和方法，指導數據脫敏操作；b)是否具備數據脫敏軟件或工具，對敏感數據傳輸、共享、發布等環節敏感信息進行隱藏、模糊化處理。增強要求是否對脫敏處理過程進行記錄，并滿足安全審計的要求。6.7數據傳輸安全6.7.1基本要求本項檢查基本要求包括：a)是否制定數據安全傳輸管理規范，明確數據傳輸安全要求；b)是否具備對傳輸通道兩端進行主體身份鑒別和認證的技術方案和工具。6.7.2增強要求是否明確業務中需要加密傳輸的數據范圍和加密算法。6.8數據提供安全6.8.1數據共享安全基本要求本項檢查基本要求包括：a)是否制定數據共享內容、范圍、安全管理制度；b)是否明確數據保護責任，規范第三方網絡數據處理者行為；c)是否明確數據共享最低安全防護要求或技術保護措施；d)是否在數據共享過程中采取數據脫敏、數據加密、安全通道等措施。增強要求是否對共享數據、數據共享范圍及數據共享過程進行監控審計。6.8.2數據供應鏈安全基本要求本項檢查基本要求包括：a)是否制定數據供應鏈安全管理規范，定義數據供應鏈安全目標、原則和范圍；b)是否明確數據供應鏈上下游保護的義務和責任、保護范圍、使用目的、供應方式、保密約定增強要求本項檢查增強要求包括：7a)是否對數據供應鏈上下游的行為進行合規性審核和分析；b)是否建立數據供應鏈庫，并及時更新數據供應鏈目錄和相關數據源數據字典，便于供應鏈上下游合規情況的事后追蹤。6.9數據公開安全6.9.1數據發布安全基本要求本項檢查基本要求包括：a)是否建立數據資源公開發布的審核制度，嚴格審核數據發布業務的合規性；b)是否指定專人負責數據發布信息的披露，并對數據披露人員進行安全培訓。增強要求本項檢查增強要求包括：a)是否采取發布數據使用合規性保護的技術措施；b)是否建立公開數據登記、用戶注冊等發布數據和發布組件的驗證機制。6.9.2數據接口安全基本要求本項檢查基本要求包括：a)是否建立數據接口安全制度與技術規范；b)是否制定數據接口安全控制策略，明確規定使用服務接口的安全限制和安全控制措施（如身份鑒別、授權策略、訪問控制機制、簽名、安全協議等）。增強要求本項檢查增強要求包括：a)是否具備對接口不安全輸入參數進行限制或過濾等能力；b)是否具備服務接口訪問的審計能力。6.10數據銷毀安全6.10.1基本要求本項檢查基本要求包括：a)是否建立數據銷毀策略和管理制度，明確銷毀對象和流程；b)是否建立數據銷毀審批機制，設置銷毀相關監督角色，監督操作過程；c)是否按照分類分級建立相應的數據銷毀機制，明確銷毀方式和銷毀要求；d)是否采用技術工具擦除銷毀核心業務存儲媒體的數據內容。6.10.2增強要求是否針對閃存、硬盤、磁帶、光盤等存儲媒體建立數據銷毀方法和技術。8DB12/T1198—20237監督檢查結果7.1單項結果判定檢查組應圍繞檢查內容，面向網絡數據收集、存儲、使用、加工、傳輸、提供、公開、銷毀安全及通用數據安全階段，對網絡數據處理者開展監督檢查工作。分析檢查點的佐證材料，并與檢查內容的預期結果相比較，給出單項檢查結果符合程度：a)基于組織機構業務場景和數據安全風險,可對數據生存周期各階段安全進行適用性判斷，如果對應風險不存在，則該項結果為不適用，不適用項不納入得分計算。b)如果佐證材料表明所有檢查內容與預期結果一致，則判定該檢查點單項結果為5分；如果佐證材料表明所有檢查內容與預期結果不一致，判定該檢查點單項結果為0分；否則依據佐證材料表明所有檢查內容與預期結果的一致程度，判定該檢查點單項結果為1-4分。7.2整體結果判定根據單項檢查結果和檢查點權重（見附錄C）計算網絡數據處理者整體得分，整體得分按公式（1）計算：Σ=1檢查點得分×檢查點權重監督檢查整體得分=pΣ=1檢查點得分×檢查點權重Σk=1檢查點權重式中：p=檢查點數。監督檢查結果分為符合、基本符合、不符合類型：a)符合：監督檢查整體得分達到100分的監督檢查結果為符合；b)基本符合：監督檢查整體得分達到60分（含）以上不足100分的監督檢查結果為基本符合；c)不符合：監督檢查整體得分在60分以下的監督檢查結果為不符合。7.3檢查結果確認7.3.1開展現場監督檢查，應當制作監督檢查記錄，并由2名以上（含）檢查組人員和網絡數據處理者的負責人或者網絡數據安全管理人員簽名。網絡數據處理者負責人或者網絡數據安全管理人員對監督檢查記錄有異議的，應當允許其做出說明；存在異議的檢查組應當在監督檢查記錄中注明。7.3.2委托第三方網絡數據安全服務機構提供技術支持的，技術支持人員應當一并在監督檢查記錄上簽名。9DB12/T1198—2023（規范性）監督檢查流程圖圖A.1規定了監督檢查的流程。圖A.1監督檢查流程圖DB12/T1198—2023（規范性）網絡數據安全監督檢查記錄單網絡數據安全監督檢查記錄單見表B.1。表B.1網絡數據安全監督檢查記錄單檢查日期：單位名稱：系統名稱：1.檢查結論 年月日，檢查組對單位開展網絡數據安全監督檢查工作。本次監督檢查涉及個檢查類，共計個檢查點，經統計，其中符合項有項，基本符合項有，不符合項有項，不適用項有項。2.檢查清單12b)是否定期開展網絡安全等級保護測345否定期開展數據安全培訓和應急演練6f)是否建立個人信息管理制度和操作789d)相關信息系統是否采用商用密碼檢b)是否開展數據分類分級標識和管理是否按照數據分類分級的要求建立相a)是否制定面向終端的數據安全管理a)是否為進入內部網絡環境的終端設技術手段對終端上傳輸的數據進行風是否明確對內部各類數據訪問和操作是否采用自動和人工審計相結合的方式對網絡傳輸數據的高風險操作進行集和獲取到的數據進行完整性和一致個人信息和重要數據在收集過程中泄數據存儲冗余策略和存儲安全管理制b)是否具備存儲媒體訪問和使用的安在數據使用聲明的目的和范圍內對受是否采用技術手段記錄和管理數據使a)是否建立數據導入導出安全制度或是否定期驗證導出數據的完整性和可制a)是否指定專人負責管理核心業務系b)是否制定核心業務系統和數據庫的是否采用兩種或兩種以上組合的鑒別c)是否在對外部組織展示重要數據和敏感個人信息時，采用數據脫敏等技是否在展示重要數據和敏感個人信息是否建立數據分析相關數據源獲取規數據分析過程中的數據資源操作規范b)是否建立數據分析結果輸出的安全a)是否建立數據脫敏制度、流程和方b)是否具備對傳輸通道兩端進行主體是否明確業務中需要加密傳輸的數據c)是否明確數據共享最低安全防護要d)是否在數據共享過程中采取數據脫全定義數據供應鏈安全目標、原則和范b)是否明確數據供應鏈上下游保護的a)是否對數據供應鏈上下游的行為進數據供應鏈目錄和相關數據源數據字a)是否建立數據資源公開發布的審核制度，嚴格審核數據發布業務的合規b)是否指定專人負責數據發布信息的披露，并對數據披露人員進行安全培a)是否采取發布數據使用合規性保護a)是否建立數據接口安全制度與技術確規定使用服務接口的安全限制和安a)是否具備對接口不安全輸入參數進c)是否按照分類分級建立相應的數據d)是否采用技術工具擦除銷毀核心業單位蓋章：檢查組組長簽字：負責人簽字：檢查組成員簽字：（規范性）網絡數據安全監督檢查點權重表表C.1規定了網絡數據安全監督檢查點權重。表C.1網絡數據安全監督檢查點權重1121314151678191d)相關信息系統是否采用商用密碼檢測認證機構核準的111c)是否為在網絡環境的終端設備，安裝統一的防病毒