信息安全技術數(shù)據(jù)出境安全評價指引編制說明全國信息安全

1、信息安全技術 數(shù)據(jù)出境安全評估指南編制說明一、 任務來源信息安全技術 數(shù)據(jù)出境安全評估指南是國家標準化管理委員會批準的信息安全國家標準制定項目，國標計劃號為XXX。本標準為自主制定標準，牽頭單位為上海華東電信研究院，參與標準申請單位有工業(yè)和信息化部電信研究院、公安部第一研究所、阿里巴巴（北京）軟件服務有限公司、北京大學互聯(lián)網(wǎng)發(fā)展研究中心、中國電子技術標準化研究院、中國電子信息產(chǎn)業(yè)發(fā)展研究院、國家信息技術安全研究中心、深圳市騰訊計算機系統(tǒng)有限公司、阿里云計算有限公司、螞蟻金服、國信優(yōu)易數(shù)據(jù)有限公司等11家單位，歸口單位為全國信息安全標準化技術委員會（簡稱信安標委）。二、 項目的目的與意義數(shù)據(jù)出境

2、安全評估指南是針對網(wǎng)絡運營者開展個人信息和重要數(shù)據(jù)出境安全自評估，以及國家網(wǎng)信部門、行業(yè)主管部門組織開展的個人信息和重要數(shù)據(jù)出境安全評估的規(guī)范指引，指南旨在提供個人信息和重要數(shù)據(jù)出境的安全評估的流程、要點和方法，指導網(wǎng)絡運營者開展數(shù)據(jù)出境安全評估工作，為國家相關政策法律的落地實施奠定基礎，有助于促進數(shù)據(jù)出境安全評估有序開展，維護國家安全、經(jīng)濟發(fā)展，保障社會公共利益、個人隱私安全。數(shù)據(jù)出境安全評估指南可以幫助數(shù)據(jù)出境各方參與主體： 明確數(shù)據(jù)出境安全評估管理流程 建立數(shù)據(jù)出境安全風險評估模型 衡量數(shù)據(jù)出境活動風險程度 判定網(wǎng)絡運營者是否可以開展數(shù)據(jù)出境活動三、 主要工作過程數(shù)據(jù)出境安全評估指南國家

3、標準制定項目：（一） 立項準備階段1、2017年1月19日，標準牽頭單位組織召開第一次研討會，明確標準基本定位，研討完善標準框架；2、2017年2月21日，標準牽頭單位組織召開第二次研討會，明確標準主要研究內(nèi)容及要求；3、2017年3月，標準牽頭單位組織召開第三次研討會，進一步明確企業(yè)需求，深入了解典型企業(yè)數(shù)據(jù)出境場景；4、2017年4月，立項在大數(shù)據(jù)安全特別工作組獲得通過；（二） 編制起草階段1、2017年5月10日，標準編制組召開第一次封閉研討會，并對標準草案進行修改完善；2、2017年5月25日、26日，標準編制組召開第二次封閉研討會，并對標準草案進行修改完善；3、2017年6月19日、

4、20日，標準編制組召開第三次封閉研討會，并對標準草案進行修改完善；4、2017年6月27日，召開專家評審會，收集到對標準草案的修改完善的意見；5、2017年6月28日，召開大數(shù)據(jù)安全特別工作組會議，同意根據(jù)會議意見，對標準文稿修改后，作為征求意見稿提交；6、2017年7月3日、4日，標準編制組召開第四次封閉研討會，并對標準草案進行修改完善，形成了信息安全技術 數(shù)據(jù)出境安全評估指南的征求意見稿。7、2017年8月25日，標準牽頭單位組織召開企業(yè)研討會，并對標準征求意見稿進行修改完善。四、 標準的主要內(nèi)容本標準定義了數(shù)據(jù)出境安全評估流程、評估要點、評估方法等內(nèi)容，國家網(wǎng)信部門、行業(yè)主管部門以及網(wǎng)絡

5、運營者按照本指南對向境外提供個人信息和重要數(shù)據(jù)的活動行為進行安全評估，發(fā)現(xiàn)重大安全隱患，及時采取有效措施，在合法正當必要的前提下，確保個人信息和重要數(shù)據(jù)安全流動，避免對國家安全、經(jīng)濟發(fā)展、社會公共利益和個人信息主體權益造成不利影響。本標準適用于網(wǎng)絡運營者開展的個人信息和重要數(shù)據(jù)出境安全自評估，以及國家網(wǎng)信部門、行業(yè)主管部門組織開展的個人信息和重要數(shù)據(jù)出境安全評估。本標準涉及的主要內(nèi)容包括：1、數(shù)據(jù)出境安全評估流程具體包括評估總體流程、安全自評估流程、主管部門評估流程。安全自評估流程包括：啟動條件、工作組、制定數(shù)據(jù)出境計劃、評估要點及方法、評估報告等。主管部門評估流程包括：啟動條件、評估方案、工

6、作組、評估要點及方法、評估報告、專家委員會審議等。2、數(shù)據(jù)出境評估要點評估要點包括合法正當性評估和風險可控性評估。風險可控性評估指標包括：個人信息屬性評估要點、重要數(shù)據(jù)屬性評估要點、數(shù)據(jù)發(fā)送方的安全保護能力、數(shù)據(jù)接收方的安全保護能力、數(shù)據(jù)接收方所在國家或地區(qū)的政治法律環(huán)境。3、個人信息和重要數(shù)據(jù)出境風險可控評估方法通過對個人信息的類型、重要數(shù)據(jù)的影響程度等級以及安全事件可能性等級進行綜合判定，得出數(shù)據(jù)出境安全風險級別為：低、中、高、極高。五、產(chǎn)業(yè)化情況、推廣應用論證和預期達到的經(jīng)濟效果已制定完成數(shù)據(jù)出境安全評估指南標準草案的試點工作方案，計劃在重點領域開展試點落地，幫助企業(yè)提升數(shù)據(jù)出境安全評估能力，促進數(shù)據(jù)安全流動。六、 采用國際標準和國外先進標準情況本標準為自主制定。七、 與相關法律法規(guī)及國家有關規(guī)定、國內(nèi)相關標準的關系本標準與現(xiàn)行法律、法規(guī)以及國家標準沒有沖突與矛盾的地方。本標準與全國信息安全標準化技術委員會制定的個人信息安全規(guī)范相配套，將個人信息安全規(guī)范中個人信息安全相關要求作為基本實踐的基礎，實現(xiàn)個人信息安全評估。八、 有關問題的說明項目組在標準編制過程中，經(jīng)歷了內(nèi)部討論與論證、技術研討會等過程，項目組在工作過程中遵循GB/T1.12009編制原則，對國內(nèi)外現(xiàn)狀做