DB3207連云港市市場監(jiān)督管理局發(fā)布I 1 1 1 2 2 3 4 4 4 4 4 5 5 5 5 6 6 7 7 7 7 8 8 8 8 9 9 9 10 10 10 10 10 10 11 11 11 12 12 12 12 12 12 13 13 13 13 14 14 14 15 15 15 15 16 16 16 16 16 17 17 17 17 17 17 181網(wǎng)絡(luò)數(shù)據(jù)安全管理規(guī)范本文件規(guī)定了網(wǎng)絡(luò)數(shù)據(jù)安全管理、網(wǎng)絡(luò)數(shù)據(jù)處理活GB/T25069、GB/T35273通過網(wǎng)絡(luò)收集、存儲、使用、加工、傳輸、提供、公開的各種2注：核心數(shù)據(jù)主要包括關(guān)系國家安全重點領(lǐng)域的數(shù)據(jù)，關(guān)系國民經(jīng)濟(jì)命脈、注：重要數(shù)據(jù)通常指公共通信和信息服務(wù)、能源、交通、水利、金融、公共類機(jī)構(gòu)在開展業(yè)務(wù)活動中收集和產(chǎn)生的，不涉及國家秘密，但一旦泄漏、篡改或濫用在網(wǎng)絡(luò)數(shù)據(jù)處理活動中自主決定處理目的和處理方式的個人和機(jī)3安全管理對象圖1網(wǎng)絡(luò)數(shù)據(jù)安全管理框架注：(1)網(wǎng)絡(luò)數(shù)據(jù)安全管理網(wǎng)絡(luò)數(shù)據(jù)安全管理主要是通過構(gòu)建符合數(shù)據(jù)安全相關(guān)政策法規(guī)、規(guī)員能力和技術(shù)規(guī)范，做好機(jī)構(gòu)管理、制度管理、人員管理、外包管理、分類分級、(2)網(wǎng)絡(luò)數(shù)據(jù)處理活動網(wǎng)絡(luò)數(shù)據(jù)處理活動是數(shù)據(jù)安全體系建設(shè)的核心支撐，通過技術(shù)措施保證數(shù)據(jù)的收集、存儲、公開、銷毀、委托、交易、出境等全生命周期安全。具體建設(shè)可根據(jù)實際數(shù)據(jù)、業(yè)務(wù)場(3)網(wǎng)絡(luò)數(shù)據(jù)安全運營網(wǎng)絡(luò)數(shù)據(jù)安全運營是數(shù)據(jù)安全管控工作常態(tài)化構(gòu)建，運用適當(dāng)?shù)陌踩呗猿掷m(xù)動態(tài)調(diào)整和安全積極防御，做好數(shù)據(jù)風(fēng)險評估、監(jiān)測預(yù)警、應(yīng)急管理等日常運維及運營網(wǎng)絡(luò)數(shù)據(jù)安全管理主要包含安全管理要求、數(shù)據(jù)處理活動要求、安全運營要求三個部分。關(guān)鍵信息基礎(chǔ)設(shè)施、重要網(wǎng)絡(luò)數(shù)據(jù)處理活動，以及網(wǎng)絡(luò)數(shù)據(jù)監(jiān)管者、網(wǎng)絡(luò)數(shù)據(jù)處理者認(rèn)為有必要的網(wǎng)絡(luò)數(shù)據(jù)安全管理，原則上應(yīng)在符合基本要求的基礎(chǔ)上，滿足增強(qiáng)要求。4應(yīng)設(shè)立數(shù)據(jù)安全管理機(jī)構(gòu)，明確數(shù)據(jù)安全責(zé)任人，落實數(shù)據(jù)安全保應(yīng)按照相關(guān)法律、法規(guī)、規(guī)章的數(shù)據(jù)安全責(zé)任人履行職責(zé)應(yīng)b）組織開展數(shù)據(jù)安全影響分析和風(fēng)險評估，督促整改安全隱患；數(shù)據(jù)安全管理機(jī)構(gòu)應(yīng)明確數(shù)據(jù)安全管理人員崗位職責(zé)，落實崗位人員，保障數(shù)據(jù)安全管理與b）負(fù)責(zé)數(shù)據(jù)權(quán)限審批、數(shù)據(jù)分類分級、數(shù)處理個人信息達(dá)到規(guī)定數(shù)量的，應(yīng)指定個人信息保護(hù)負(fù)責(zé)人，負(fù)責(zé)對個人信息處理活動以及應(yīng)針對數(shù)據(jù)類別級別變更、數(shù)據(jù)權(quán)限變更、重要數(shù)據(jù)操作及外部系統(tǒng)接入等事項建立審批程涉及數(shù)據(jù)合作方的，應(yīng)與其數(shù)據(jù)合作方簽訂合作協(xié)議及數(shù)據(jù)安全保密協(xié)議，明確雙方數(shù)據(jù)安應(yīng)定期審查審批事項，及時更新需授應(yīng)指定專門的部門或授權(quán)數(shù)據(jù)安全管理機(jī)構(gòu)負(fù)責(zé)數(shù)據(jù)安全管理制度應(yīng)建立健全數(shù)據(jù)安全保護(hù)制度體系，制度體系內(nèi)容包括但不限于數(shù)據(jù)安全規(guī)章制度、組織機(jī)應(yīng)通過正式、有效的方式發(fā)布數(shù)據(jù)安全管理制度，并進(jìn)行應(yīng)定期對數(shù)據(jù)安全管理制度的合理性和適用性進(jìn)行論證和審定，對存在不足或需要改進(jìn)的安應(yīng)設(shè)立網(wǎng)絡(luò)數(shù)據(jù)安全管理的專項經(jīng)費，并確保該專項經(jīng)費根據(jù)國家法律、法規(guī)、規(guī)章等有關(guān)要求，結(jié)合實際制定個人信息保護(hù)管理規(guī)章制度，應(yīng)包括：b）在個人信息保護(hù)管理過程中記錄與個人信息相關(guān)的活動和行為（如：制度建立、宣傳、教制定合理、有效的個人信息侵害補(bǔ)救措施（包括糾正錯誤、消除影響、恢復(fù)名譽、適當(dāng)賠償應(yīng)建立個人信息主體保護(hù)權(quán)益的渠道和機(jī)制，及時響應(yīng)個人信息主體訪問、復(fù)制、更正、刪應(yīng)加強(qiáng)人員管理，明確規(guī)定人員錄用、人員培訓(xùn)、人員考核、保密協(xié)議、離崗離職、外部人應(yīng)與內(nèi)部數(shù)據(jù)崗位人員、數(shù)據(jù)合作方人員簽訂保密協(xié)議，明確數(shù)據(jù)訪問范圍、操作權(quán)限、人6員調(diào)離崗位保密要求、保密期限、違約責(zé)任應(yīng)根據(jù)“業(yè)務(wù)需要”和“最少夠用”原則，對信息系統(tǒng)訪問權(quán)限進(jìn)行分配，控制對數(shù)據(jù)的訪應(yīng)配備專職安全管理員承擔(dān)數(shù)據(jù)安全應(yīng)定期對不同數(shù)據(jù)崗位人員進(jìn)行技能考核。應(yīng)組織數(shù)據(jù)崗位人員考取相關(guān)資質(zhì)證書，持證上應(yīng)建立個人信息保護(hù)管理責(zé)任制c）應(yīng)對外包服務(wù)機(jī)構(gòu)、人員履行安全責(zé)任義務(wù)的b）能夠在測試環(huán)境下或使用測試數(shù)據(jù)完成的，不得向外包人員開放生產(chǎn)環(huán)境權(quán)限或真實數(shù)據(jù)；c）應(yīng)對外包人員數(shù)據(jù)導(dǎo)出操作或數(shù)據(jù)外發(fā)操作的5.4.4針對第三方接入與數(shù)據(jù)回收情況，應(yīng)包7a）應(yīng)對合作方接入的系統(tǒng)、使用的技術(shù)工具進(jìn)行技術(shù)檢測，避免引入木馬、b）為完成技術(shù)或服務(wù)目的向合作方提供的數(shù)據(jù)，在合作結(jié)束后應(yīng)進(jìn)行回收，并要求合應(yīng)結(jié)合數(shù)據(jù)資產(chǎn)識別技術(shù)手應(yīng)明確數(shù)據(jù)分類標(biāo)準(zhǔn)，依據(jù)數(shù)據(jù)資源屬性特征，將數(shù)據(jù)合理劃分類別，數(shù)據(jù)先按行業(yè)領(lǐng)域分應(yīng)定期評審數(shù)據(jù)對象的類別和級別，如需變更數(shù)據(jù)所屬類型或級別，應(yīng)依據(jù)變更審批流程執(zhí)應(yīng)采取數(shù)據(jù)安全防護(hù)措施，對核心數(shù)應(yīng)建立數(shù)據(jù)資產(chǎn)識別技術(shù)能力，5.6.1應(yīng)將個人信息保護(hù)管理納入機(jī)構(gòu)的工作和管理，在統(tǒng)一、規(guī)范的安全風(fēng)險管理框5.6.2應(yīng)建立個人信息保護(hù)日常管理監(jiān)督機(jī)制，定期檢查個人信息保護(hù)策略、制度的落實情況，及時5.6.3應(yīng)建立個人信息保護(hù)檢查評估機(jī)制和工作流程，及時發(fā)現(xiàn)和評估個人信息保護(hù)工作中存在的漏5.6.4應(yīng)建立信息系統(tǒng)投入運行前的功能審核機(jī)制，保證信息系統(tǒng)無個人信息數(shù)據(jù)主動外泄的隱藏功85.6.5應(yīng)建立第三方評估機(jī)構(gòu)定期對信息系統(tǒng)進(jìn)行安全測評的機(jī)制，發(fā)現(xiàn)問題及時整改，以提高系統(tǒng)5.6.6應(yīng)建立個人信息保護(hù)應(yīng)急響應(yīng)機(jī)制，形成應(yīng)急預(yù)案，并定期演練，以有效應(yīng)對個人信息安全事5.6.7應(yīng)定期開展個人信息保護(hù)管理相關(guān)的內(nèi)部或外部審計，并根據(jù)審計結(jié)果持續(xù)改進(jìn)相關(guān)策略、制5.6.8應(yīng)建立個人信息安全事件報告和通報機(jī)制，提高個人信息保護(hù)的安全防范和告b）處理個人生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等敏感個人信c）處理不滿十四周歲未成年人的個人信息，應(yīng)當(dāng)5.7.2應(yīng)使用密碼技術(shù)用于核心數(shù)據(jù)、重要數(shù)據(jù)的傳輸和存儲。按密碼應(yīng)用要求，定期開展商用密碼5.7.4應(yīng)對云上個人信息處理系統(tǒng)的安全性進(jìn)應(yīng)對數(shù)據(jù)收集來源進(jìn)行鑒別和記錄，確保數(shù)據(jù)收集來源的合法性、正當(dāng)性，明確數(shù)據(jù)類型及僅收集與所需目的相關(guān)的數(shù)據(jù)，非必要不收集敏感數(shù)據(jù)。對于敏感數(shù)據(jù)的收集，需要額外的應(yīng)建立數(shù)據(jù)質(zhì)量管理和監(jiān)控的手段，通過人工方式采集數(shù)據(jù)時，應(yīng)對數(shù)據(jù)采集人員進(jìn)行嚴(yán)格管理，保證將采集數(shù)據(jù)直接報送到相關(guān)人員或系統(tǒng)，采集任務(wù)完成后及時刪除采集人員收集外部機(jī)構(gòu)數(shù)據(jù)前，應(yīng)對數(shù)據(jù)收集過程中的網(wǎng)絡(luò)環(huán)境、系統(tǒng)進(jìn)行安全評估，確保收集數(shù)據(jù)提供服務(wù)的網(wǎng)絡(luò)應(yīng)用程序或第三方應(yīng)用，應(yīng)遵循最小化必要原則，不得因個人信息主體不同App、Web等客戶端完成相關(guān)業(yè)務(wù)后，應(yīng)對留存敏感個人信息或重要數(shù)據(jù)情況應(yīng)明確數(shù)據(jù)存儲相關(guān)安全管控措施，如加密、訪問控制、數(shù)字水印、完整性校驗等，防止未應(yīng)明確數(shù)據(jù)備份與恢復(fù)安全策略，建立數(shù)據(jù)備份恢復(fù)操作規(guī)程，說明數(shù)據(jù)備份周期、備份方式、備份地點；建立數(shù)據(jù)恢復(fù)性驗證機(jī)制，保障數(shù)據(jù)的可對數(shù)據(jù)進(jìn)行分類和標(biāo)記，實施不同等個人生物識別信息應(yīng)與個人身份信息分開存儲，非必要不存儲原始個人生物識別信息，僅存?zhèn)€人信息存儲期限應(yīng)為實現(xiàn)個人信息主體授權(quán)使用目的所必需的最短時間，法律法規(guī)另有規(guī)應(yīng)明確數(shù)據(jù)使用業(yè)務(wù)場景的目的、范圍、審批流程（含權(quán)限授予、變更、撤銷等）、人員崗應(yīng)明確數(shù)據(jù)統(tǒng)計分析、展示、發(fā)布、公開披露等不同數(shù)據(jù)使用場景的應(yīng)根據(jù)不同數(shù)據(jù)使用場景采用安全處理措施，降低數(shù)據(jù)敏感在使用數(shù)據(jù)時，必須遵守適用的法律法規(guī)和合規(guī)性要求。確保數(shù)據(jù)使用的目的和方式符合法僅在獲得合法的數(shù)據(jù)許可和使用權(quán)的情況下使用數(shù)據(jù)。遵守數(shù)據(jù)提供方的規(guī)定和約束，不得應(yīng)建立數(shù)據(jù)使用策略，明確訪問應(yīng)采取技術(shù)措施保證匯聚大量數(shù)據(jù)時確保其數(shù)據(jù)處理行為符合雙方約定要求，對審計數(shù)據(jù)加工過程中應(yīng)確保數(shù)據(jù)的完整性和準(zhǔn)確性，加工后的數(shù)據(jù)應(yīng)符合數(shù)據(jù)隱私保護(hù)的法規(guī)要應(yīng)對參與數(shù)據(jù)加工活動的主體進(jìn)行合法性、正當(dāng)性的評估，確保參與數(shù)據(jù)加工活動的主體為應(yīng)在數(shù)據(jù)加工前，書面明確數(shù)據(jù)加工的目的、范圍、期限、規(guī)則及數(shù)據(jù)加工主體的責(zé)任與義開展數(shù)據(jù)加工活動過程中，對可能危害國家安全、公共安全、經(jīng)濟(jì)安全和社會穩(wěn)定的，應(yīng)立委托他人加工處理數(shù)據(jù)的，應(yīng)與其訂立數(shù)據(jù)安全保護(hù)合同，明確雙方安全保護(hù)責(zé)任；委托加應(yīng)提供安全的數(shù)據(jù)加工環(huán)境，包括網(wǎng)絡(luò)環(huán)境、終端環(huán)境等，避免加工過程導(dǎo)致數(shù)據(jù)泄露、數(shù)應(yīng)對數(shù)據(jù)加工的過程進(jìn)行評估與監(jiān)控，對數(shù)據(jù)加工過程的數(shù)據(jù)操作行為進(jìn)行記錄、審計，對應(yīng)對數(shù)據(jù)加工結(jié)果進(jìn)行評估，如產(chǎn)生新數(shù)據(jù)，應(yīng)對新數(shù)據(jù)進(jìn)行安全審核，確保新數(shù)據(jù)不存在應(yīng)制定數(shù)據(jù)跨機(jī)構(gòu)傳輸管理規(guī)則，并建立相關(guān)技術(shù)措施對跨機(jī)構(gòu)數(shù)據(jù)傳輸進(jìn)應(yīng)明確數(shù)據(jù)傳輸相關(guān)安全管控措施，包括不限于傳輸通道加密、數(shù)據(jù)內(nèi)容加密、數(shù)據(jù)接口傳應(yīng)采用校驗技術(shù)保證數(shù)據(jù)在傳輸應(yīng)建立數(shù)據(jù)傳輸日志。以便于監(jiān)控數(shù)據(jù)傳輸活對傳輸?shù)臄?shù)據(jù)進(jìn)行完整性驗證和防止在可能涉及法律責(zé)任認(rèn)定的應(yīng)用中，應(yīng)采用密碼技術(shù)提供數(shù)據(jù)原發(fā)證據(jù)和數(shù)據(jù)接收證據(jù)，實在提供數(shù)據(jù)給第三方之前，確保已獲得數(shù)據(jù)主制定并發(fā)布統(tǒng)一、權(quán)威的公共數(shù)據(jù)、開放目錄。明確可開放數(shù)據(jù)的范圍，公共數(shù)據(jù)提供部門應(yīng)與公共數(shù)據(jù)使用部門簽署相關(guān)協(xié)議，明確數(shù)據(jù)使用目的、供應(yīng)方式、保公共數(shù)據(jù)提供部門應(yīng)采用國家相關(guān)標(biāo)準(zhǔn)規(guī)定的密碼技術(shù)，保障數(shù)據(jù)共享過程的保密性和完整政務(wù)信息資源交換平臺的政務(wù)信息共享應(yīng)履行GB/T39477—2020第6章確定的共享數(shù)據(jù)安全提供數(shù)據(jù)的人員應(yīng)經(jīng)過身份公共數(shù)據(jù)提供部門應(yīng)對共享的數(shù)據(jù)采取數(shù)字水印等技術(shù)，確保共在數(shù)據(jù)公開前應(yīng)先進(jìn)行風(fēng)險評估工作，對敏感數(shù)據(jù)進(jìn)行匿名化或脫敏，以防止數(shù)據(jù)主體的身a）涉及國家秘密、政務(wù)敏感、工作秘密等重要數(shù)據(jù)，在進(jìn)行數(shù)據(jù)公開時，需要注意保護(hù)個人隱私和敏感信息。對于包含個人身份信息的數(shù)據(jù)，進(jìn)建立數(shù)據(jù)公開審核流程，確保公開數(shù)據(jù)的應(yīng)對存儲數(shù)據(jù)的介質(zhì)或物理設(shè)備采取無法恢復(fù)的方式進(jìn)行數(shù)據(jù)銷毀與刪除，如物理粉碎、消應(yīng)建立數(shù)據(jù)銷毀與刪除規(guī)程，明確數(shù)據(jù)銷毀與刪除場景、方式及審批機(jī)制，設(shè)置相關(guān)監(jiān)督角如因業(yè)務(wù)終止或機(jī)構(gòu)解散，無數(shù)據(jù)承接方的，應(yīng)及時有效銷毀其控制的數(shù)據(jù)，法律、法規(guī)另委托數(shù)據(jù)合作方完成數(shù)據(jù)處理后，應(yīng)要求數(shù)據(jù)合作方及時銷毀委托的相關(guān)數(shù)據(jù)，法律、法規(guī)根據(jù)要求、約定刪除數(shù)據(jù)或完成數(shù)據(jù)應(yīng)在中國境內(nèi)對介質(zhì)存儲的數(shù)據(jù)進(jìn)行定期的數(shù)據(jù)銷毀審計，銷毀數(shù)據(jù)的過程中應(yīng)實施加密和粉碎等措施，確保數(shù)據(jù)無法被恢6.9.1委托他人處理網(wǎng)絡(luò)數(shù)據(jù)，應(yīng)履行審批手續(xù)，以合同等手段監(jiān)督受托方履行相應(yīng)的數(shù)據(jù)安全保護(hù)報警機(jī)制等手段，及時發(fā)現(xiàn)和應(yīng)對安全事件和6.11.2境內(nèi)用戶在境內(nèi)訪問境內(nèi)網(wǎng)絡(luò)的，其流量不應(yīng)6.11.3應(yīng)建立跨境數(shù)據(jù)的評估、審批及監(jiān)管控制b）不得超出網(wǎng)信部門安全評估時明確的出境目的、范圍、方式和數(shù)據(jù)類型、規(guī)模等向境外提c）國家網(wǎng)信部門會同國務(wù)院有關(guān)部門核驗向境外提供個人信息和重d）個人信息出境后確需再轉(zhuǎn)移的，應(yīng)當(dāng)事先與個人約定再在出現(xiàn)法律法規(guī)重大更改或增刪、業(yè)務(wù)活動發(fā)生重大變化、數(shù)據(jù)資產(chǎn)發(fā)生重大變化、發(fā)生重處理重要數(shù)據(jù)或者赴境外上市的數(shù)據(jù)處理者，應(yīng)當(dāng)自行或者委托數(shù)據(jù)安全服務(wù)機(jī)構(gòu)每年開展一次數(shù)據(jù)安全評估，并定期將上一年度數(shù)據(jù)安全評估報告報設(shè)區(qū)的市級網(wǎng)信部門及有關(guān)涉及敏感個人信息處理、個人信息自動化決策、委托處理、他人提供（含境外）、公應(yīng)定期開展數(shù)據(jù)安全自評估工作，涉及處理敏感個人信息及國家規(guī)定的重要數(shù)據(jù)的機(jī)構(gòu)，應(yīng)要數(shù)據(jù)種類、數(shù)量，開展數(shù)據(jù)處理活動的情況當(dāng)有新的攻擊技術(shù)出現(xiàn)后，應(yīng)立即觸發(fā)網(wǎng)應(yīng)具備常態(tài)化數(shù)據(jù)安全風(fēng)險監(jiān)測能力，持續(xù)監(jiān)測數(shù)據(jù)安全風(fēng)險，風(fēng)險類型包括但不限于賬號應(yīng)完善網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案和網(wǎng)絡(luò)安全信息共享平臺，加強(qiáng)數(shù)據(jù)安全信息共享、數(shù)據(jù)安全應(yīng)建立數(shù)據(jù)安全風(fēng)險監(jiān)測預(yù)警機(jī)制，制定合理建立數(shù)據(jù)安全監(jiān)測預(yù)警流程，有效保障業(yè)務(wù)系統(tǒng)所承載數(shù)據(jù)資產(chǎn)的機(jī)密性、完整性、制定實施數(shù)據(jù)安全保護(hù)計劃和數(shù)應(yīng)根據(jù)應(yīng)急預(yù)案明確的數(shù)據(jù)安全事件場景定期開展應(yīng)急演練，檢驗和完善應(yīng)急處置機(jī)制，每年至少一次，事件場景包括但不限于數(shù)據(jù)泄露、丟失、濫用、篡改、毀損、違規(guī)使用應(yīng)建立數(shù)據(jù)安全應(yīng)急處置機(jī)制，依據(jù)本地區(qū)、本行業(yè)網(wǎng)絡(luò)安全事件應(yīng)急相關(guān)文件開展應(yīng)急處發(fā)生數(shù)據(jù)泄露、毀損、丟失、篡改等數(shù)據(jù)安全事件時應(yīng)立即啟動應(yīng)急預(yù)案，采取相應(yīng)的應(yīng)急處置措施，及時告知相關(guān)權(quán)益人，并按照有關(guān)規(guī)數(shù)據(jù)安全應(yīng)急處置后應(yīng)分析事件發(fā)生原因，總結(jié)應(yīng)急處置經(jīng)驗，調(diào)整數(shù)據(jù)安全策略，形成事發(fā)生個人信息泄露、毀損、丟失等數(shù)據(jù)安全事件，或發(fā)生數(shù)據(jù)安全事件風(fēng)險明顯加大時，應(yīng)應(yīng)