互聯(lián)網(wǎng)交互式服務(wù)安全保護(hù)要求

互聯(lián)網(wǎng)交互式服務(wù)安全保護(hù)要求1范圍本標(biāo)準(zhǔn)規(guī)定了互聯(lián)網(wǎng)交互式服務(wù)安全保護(hù)的要求。本標(biāo)準(zhǔn)適用于互聯(lián)網(wǎng)交互式服務(wù)提供者落實(shí)互聯(lián)網(wǎng)安全保護(hù)管理制度和安全保護(hù)技術(shù)措施。2規(guī)范性引用文件下列文件對(duì)于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GAXXXX-201X信息安全技術(shù)互聯(lián)網(wǎng)服務(wù)安全評(píng)估基本程序及要求3術(shù)語(yǔ)和定義GAXXXX-201X界定的以及下列術(shù)語(yǔ)和定義適用于本文件。3.1互聯(lián)網(wǎng)交互式服務(wù)internetinteractiveservice為用戶提供向社會(huì)公眾發(fā)布信息的服務(wù)，發(fā)布方式包括文字、圖片、音視頻等。注：包括但不限于論壇、社區(qū)、貼吧、文字或音視頻聊天室、微博客、博客、即時(shí)通信、移動(dòng)下載、分享存儲(chǔ)、第三方支付等互聯(lián)網(wǎng)信息服務(wù)。3.2違法有害信息illegalandharmfulinformation違反國(guó)家法律、法規(guī)，危害國(guó)家安全、公共安全、公民人身財(cái)產(chǎn)安全的信息。3.3破壞性程序destructiveprogram具有對(duì)計(jì)算機(jī)信息系統(tǒng)的功能或存儲(chǔ)、處理及傳輸?shù)臄?shù)據(jù)進(jìn)行非授權(quán)獲取、刪除、增加、修改、干擾、破壞等功能的程序。3.4個(gè)人電子信息personalelectronicinformation能夠被知曉和處理，與具體自然人相關(guān)，能通過身份證號(hào)碼、網(wǎng)絡(luò)標(biāo)識(shí)符或者生理、心理、經(jīng)濟(jì)、文化、社會(huì)身份中一個(gè)或多個(gè)要素實(shí)現(xiàn)該自然人身份識(shí)別的電子信息和涉及該自然人隱私的電子信息。注：包括但不限于姓名、年齡、性別、身份證號(hào)碼、戶籍、通訊地址、電子郵件、電話號(hào)碼、指紋、婚姻狀況、家庭、教育、職業(yè)經(jīng)歷、收入、賬號(hào)、密碼、個(gè)人愛好和興趣等。其中帳號(hào)又包括網(wǎng)絡(luò)帳號(hào)、支付帳號(hào)、電子交易帳號(hào)等。3.5個(gè)人電子信息的處理personalelectronicinformationprocessing使用信息系統(tǒng)收集、存儲(chǔ)、加工、轉(zhuǎn)移、使用、披露、屏蔽、刪除或銷毀等處置個(gè)人電子信息的行為。4安全管理制度要求4.1總則4.1.1應(yīng)建立文件化的安全管理制度，安全管理制度文件應(yīng)包括：a） 安全崗位管理制度；b） 系統(tǒng)操作權(quán)限管理；c） 安全培訓(xùn)制度；d） 用戶管理制度；e） 新服務(wù)、新功能安全評(píng)估；f） 用戶投訴舉報(bào)處理；g） 信息發(fā)布審核、合法資質(zhì)查驗(yàn)和公共信息巡查；h） 個(gè)人電子信息安全保護(hù)；i） 安全事件的監(jiān)測(cè)、報(bào)告和應(yīng)急處置制度；j） 現(xiàn)行法律、法規(guī)、規(guī)章、標(biāo)準(zhǔn)和行政審批文件。4.1.2安全管理制度應(yīng)經(jīng)過管理層批準(zhǔn)，并向所有員工宣貫。4.2文件控制安全管理制度文件應(yīng)予以保護(hù)和控制，包括：a） 應(yīng)按計(jì)劃的時(shí)間間隔或在發(fā)生重大的變化時(shí)評(píng)審安全管理制度文件，以確保文件是適當(dāng)?shù)模籦） 確保在使用處可獲得適用文件的相關(guān)版本；c） 確保文件保持清晰、易于識(shí)別；d） 確保外來(lái)文件得到識(shí)別，并控制其分發(fā)；e） 確保文件是現(xiàn)行有效的。4.3記錄控制應(yīng)建立記錄并加以保護(hù)與控制，以提供符合本標(biāo)準(zhǔn)要求的證據(jù)。5機(jī)構(gòu)要求5.1法律責(zé)任5.1.1互聯(lián)網(wǎng)交互式服務(wù)提供者應(yīng)是一個(gè)能夠承擔(dān)法律責(zé)任的組織或個(gè)人。5.1.2互聯(lián)網(wǎng)交互式服務(wù)提供者從事的信息服務(wù)有行政許可的應(yīng)取得相應(yīng)許可。5.2信息安全組織5.2.1應(yīng)建立與業(yè)務(wù)和規(guī)模相適應(yīng)的信息安全組織機(jī)構(gòu)：a） 組建專職安全管理隊(duì)伍；b） 安全管理人員應(yīng)經(jīng)過安全培訓(xùn)與公安機(jī)關(guān)考核，安全管理人員數(shù)量應(yīng)與業(yè)務(wù)規(guī)模相適應(yīng)。注：安全管理人員數(shù)量原則上按照日均信息發(fā)布量、頻道或欄目數(shù)、同時(shí)在線用戶數(shù)等交互式服務(wù)規(guī)模配備，能實(shí)現(xiàn)9.3要求的違法有害信息防范與處置能力。5.2.2最高管理者應(yīng)在管理層任命一名人員，具有以下方面的職責(zé)和權(quán)力：a） 負(fù)責(zé)安全管理制度的建立、實(shí)施與保持；b） 負(fù)責(zé)新服務(wù)、新功能的風(fēng)險(xiǎn)評(píng)估與安全方案審核；c） 向最高管理者報(bào)告安全狀況與任何改進(jìn)的需求。5.2.3應(yīng)有專門人員負(fù)責(zé)配合公安機(jī)關(guān)的工作。5.3網(wǎng)安警務(wù)室應(yīng)為公安機(jī)關(guān)網(wǎng)安警務(wù)室開展工作提供相應(yīng)的環(huán)境和支持配合，接受網(wǎng)安警務(wù)室的安全管理和指導(dǎo)。6人員安全管理6.1安全崗位管理制度應(yīng)建立安全崗位管理制度，明確主辦人、主要負(fù)責(zé)人、安全責(zé)任人的職責(zé)；崗位管理制度應(yīng)包括保密管理。6.2關(guān)鍵崗位人員6.2.1關(guān)鍵崗位人員任用之前的背景核查應(yīng)按照相關(guān)法律、法規(guī)、道德規(guī)范和對(duì)應(yīng)的業(yè)務(wù)要求來(lái)執(zhí)行，包括：a） 個(gè)人身份核查；b） 個(gè)人履歷的核查；c） 學(xué)歷、學(xué)位、專業(yè)資質(zhì)證明；d） 從事關(guān)鍵崗位所必需的能力。6.2.2應(yīng)與關(guān)鍵崗位人員簽訂保密協(xié)議。6.3安全培訓(xùn)應(yīng)建立安全培訓(xùn)制度，定期對(duì)所有工作人員進(jìn)行信息安全培訓(xùn)，提高全員的信息安全意識(shí)，包括：a） 上崗前的培訓(xùn)；b） 安全制度及其修訂后的培訓(xùn)；c） 與法律、法規(guī)的發(fā)展保持同步的繼續(xù)培訓(xùn)。6.4人員離崗應(yīng)嚴(yán)格規(guī)范人員離崗過程：a） 及時(shí)終止離崗員工的所有訪問權(quán)限；b） 關(guān)鍵崗位人員須承諾調(diào)離后的保密義務(wù)后方可離開；c） 配合公安機(jī)關(guān)工作的人員變動(dòng)應(yīng)通報(bào)公安機(jī)關(guān)。7訪問控制管理7.1訪問管理制度應(yīng)建立包括物理的和邏輯的系統(tǒng)訪問權(quán)限管理制度。7.2權(quán)限分配應(yīng)按以下原則根據(jù)人員職責(zé)分配不同的訪問權(quán)限：a） 角色分離，如訪問請(qǐng)求、訪問授權(quán)、訪問管理；b） 滿足工作需要的最小權(quán)限；c） 未經(jīng)明確允許，則一律禁止。7.3特殊權(quán)限應(yīng)限制和控制特殊訪問權(quán)限的分配和使用：a） 標(biāo)識(shí)出每個(gè)系統(tǒng)或程序的特殊權(quán)限；b） 按照“按需使用”、“一事一議”的原則分配特殊權(quán)限；c） 記錄特殊權(quán)限的授權(quán)與使用過程；d） 特殊訪問權(quán)限的分配需要管理層的批準(zhǔn)。注：特殊權(quán)限是系統(tǒng)超級(jí)用戶、數(shù)據(jù)庫(kù)管理等系統(tǒng)管理權(quán)限。7.4權(quán)限的檢查應(yīng)定期對(duì)訪問權(quán)限進(jìn)行檢查，對(duì)特殊訪問權(quán)限的授權(quán)情況應(yīng)在更頻繁的時(shí)間間隔內(nèi)進(jìn)行檢查，如發(fā)現(xiàn)不恰當(dāng)?shù)臋?quán)限設(shè)置，應(yīng)及時(shí)予以調(diào)整。8網(wǎng)絡(luò)與操作安全8.1操作規(guī)程應(yīng)將網(wǎng)絡(luò)與系統(tǒng)操作形成文件化的操作規(guī)程，并對(duì)所有需要的用戶可用，操作規(guī)程包括：計(jì)算機(jī)的啟動(dòng)和關(guān)機(jī)、備份、設(shè)備維護(hù)、介質(zhì)處理、日志管理等。8.2網(wǎng)絡(luò)與主機(jī)系統(tǒng)的安全應(yīng)維護(hù)使用的網(wǎng)絡(luò)與主機(jī)系統(tǒng)的安全，包括：a） 實(shí)施計(jì)算機(jī)病毒等惡意代碼的預(yù)防、檢測(cè)和系統(tǒng)被破壞后的恢復(fù)措施；b） 實(shí)施7×24h網(wǎng)絡(luò)入侵行為的預(yù)防、檢測(cè)與響應(yīng)措施；c） 適用時(shí)，對(duì)重要文件的完整性進(jìn)行檢測(cè)，并具備文件完整性受到破壞后的恢復(fù)措施；d） 對(duì)系統(tǒng)的脆弱性進(jìn)行評(píng)估，并采取適當(dāng)?shù)拇胧┨幚硐嚓P(guān)的風(fēng)險(xiǎn)。注：系統(tǒng)脆弱性評(píng)估包括采用安全掃描、滲透測(cè)試等多種方式。8.3備份8.3.1應(yīng)建立備份策略，有足夠的備份設(shè)施，確保必要的信息和軟件在災(zāi)難或介質(zhì)故障時(shí)可以恢復(fù)。8.3.2網(wǎng)絡(luò)基礎(chǔ)服務(wù)（登錄、消息發(fā)布等）應(yīng)具備容災(zāi)能力。8.4安全審計(jì)8.4.1應(yīng)記錄用戶活動(dòng)、異常情況、故障和安全事件的日志。8.4.2審計(jì)日志內(nèi)容應(yīng)包括：a） 用戶注冊(cè)相關(guān)信息，包括：1） 用戶唯一標(biāo)識(shí)；2） 用戶名稱及修改記錄；3） 身份信息，如：姓名、證件類型、證件號(hào)碼等；4） 注冊(cè)時(shí)間、IP地址及端口號(hào)；5） 電子電子郵箱地址和電話號(hào)碼；6） 用戶備注信息；7） 用戶其他信息。b） 群組、頻道相關(guān)信息，包括：1） 創(chuàng)建時(shí)間、創(chuàng)建人、創(chuàng)建人IP地址及端口號(hào)；2） 刪除時(shí)間、刪除人、刪除人IP地址及端口號(hào)；3） 群組組織結(jié)構(gòu)；4） 群組成員列表。c） 用戶登錄信息，包括：1） 用戶唯一標(biāo)識(shí)；2） 登錄時(shí)間；3） 退出時(shí)間；4） IP地址及端口號(hào)。d） 用戶信息發(fā)布日志，包括：1） 用戶唯一標(biāo)識(shí)；2） 信息標(biāo)識(shí)；3） 信息發(fā)布時(shí)間；4） IP地址及端口號(hào)；5） 信息標(biāo)題或摘要，包括圖片摘要。e） 用戶行為，包括：1） 進(jìn)出群組或頻道；2） 修改、刪除所發(fā)信息；3） 上傳、下載文件。適用時(shí)，應(yīng)記錄使用客戶端終端設(shè)備的標(biāo)識(shí)、位置。8.4.3應(yīng)確保審計(jì)日志內(nèi)容的可溯源性，即可追溯到真實(shí)的用戶ID、網(wǎng)絡(luò)地址和協(xié)議。電子郵件、短信息、網(wǎng)絡(luò)電話、即時(shí)消息、網(wǎng)絡(luò)聊XX網(wǎng)絡(luò)消息服務(wù)提供者應(yīng)能防范偽造、隱匿發(fā)送者真實(shí)標(biāo)記的消息的措施；涉及地址轉(zhuǎn)換技術(shù)的服務(wù)，如移動(dòng)上網(wǎng)、網(wǎng)絡(luò)代理、內(nèi)容分發(fā)等應(yīng)審計(jì)轉(zhuǎn)換前后的地址與端口信息；涉及短網(wǎng)址服務(wù)的，應(yīng)審計(jì)原始URL與短URL之間的映射關(guān)系。8.4.4應(yīng)保護(hù)審計(jì)日志，保證無(wú)法單獨(dú)中斷審計(jì)進(jìn)程，防止刪除、修改或覆蓋審計(jì)日志。8.4.5應(yīng)能夠根據(jù)公安機(jī)關(guān)要求留存具備指定信息訪問日志的留存功能。8.4.6審計(jì)日志保存周期：a） 應(yīng)永久保留用戶注冊(cè)信息、好友列表及歷史變更記錄，永久記錄聊天室（頻道、群組）注冊(cè)信息、成員列表以及歷史變更記錄；b） 系統(tǒng)維護(hù)日志信息保存12個(gè)月以上；c） 應(yīng)留存用戶日志信息12個(gè)月以上；d） 對(duì)用戶發(fā)布的信息內(nèi)容保存6個(gè)月以上；e） 已下線的系統(tǒng)的日志保存周期也應(yīng)符合以上規(guī)定。9應(yīng)用安全9.1安全評(píng)估應(yīng)建立互聯(lián)網(wǎng)服務(wù)安全評(píng)估制度。在互聯(lián)網(wǎng)新服務(wù)、新功能上線前，按照本標(biāo)準(zhǔn)要求評(píng)估安全風(fēng)險(xiǎn)、制訂信息網(wǎng)絡(luò)安全技術(shù)方案。并向?qū)俚毓矙C(jī)關(guān)報(bào)備。9.2用戶管理9.2.1應(yīng)向用戶宣傳法律法規(guī)，應(yīng)在用戶注冊(cè)時(shí)，與用戶簽訂服務(wù)協(xié)議，告知相關(guān)權(quán)利義務(wù)及需承擔(dān)的法律責(zé)任。9.2.2應(yīng)建立用戶管理制度，包括：a） 用戶實(shí)名登記真實(shí)身份信息，并對(duì)用戶真實(shí)身份信息進(jìn)行有效核驗(yàn)，有校核驗(yàn)方法可追溯到用戶登記的真實(shí)身份，如：1） 身份證與姓名實(shí)名驗(yàn)證服務(wù)；2） 有效的銀行卡；3） 合法、有效的數(shù)字證書；4） 已確認(rèn)真實(shí)身份的網(wǎng)絡(luò)服務(wù)的注冊(cè)用戶；5） 經(jīng)電信運(yùn)營(yíng)商接入實(shí)名認(rèn)證的用戶。b） 應(yīng)對(duì)用戶注冊(cè)的賬號(hào)、頭像和備注等信息進(jìn)行審核，禁止使用違反法律法規(guī)和社會(huì)道德的內(nèi)容；c） 應(yīng)建立用戶黑名單制度，對(duì)網(wǎng)站自行發(fā)現(xiàn)以及公安機(jī)關(guān)通報(bào)的多次、大量發(fā)送傳播違法有害信息的用戶應(yīng)納入黑名單管理。注：如某網(wǎng)站采用已經(jīng)實(shí)名認(rèn)證的第三方帳戶登錄，可認(rèn)為該網(wǎng)站的用戶已進(jìn)行有效核驗(yàn)。9.2.3當(dāng)用戶利用互聯(lián)網(wǎng)從事的服務(wù)需要行政許可時(shí)，應(yīng)查驗(yàn)其合法資質(zhì)，查驗(yàn)可以通過以下方法進(jìn)行：a） 核對(duì)行政許可文件；b） 通過行政許可主管部門的公開信息；c） 通過行政許可主管部門的驗(yàn)證電話、驗(yàn)證平臺(tái)。9.3違法有害信息防范和處置9.3.1應(yīng)采取管理與技術(shù)措施，及時(shí)發(fā)現(xiàn)和停止違法有害信息發(fā)布。9.3.2應(yīng)采用人工或自動(dòng)化方式，對(duì)發(fā)布的信息逐條審核。9.3.3應(yīng)采取技術(shù)措施過濾違法有害信息，包括且不限于：a） 基于關(guān)鍵詞的文字信息屏蔽過濾；b） 基于樣本數(shù)據(jù)特征值的文件屏蔽過濾；c） 基于URL的屏蔽過濾。9.3.4應(yīng)采取技術(shù)措施對(duì)違法有害信息的來(lái)源實(shí)施控制，防止繼續(xù)傳播。注：違法有害信息來(lái)源控制技術(shù)措施包括但不限于：封禁特定帳號(hào)、禁止新建帳號(hào)、禁止分享、禁止留言及回復(fù)、控制特定發(fā)布來(lái)源、控制特定地區(qū)或指定IP帳號(hào)登陸、禁止客戶端推送、切斷與第三方應(yīng)用的互聯(lián)互通等。9.3.5應(yīng)建立7×24h信息巡查制度，及時(shí)發(fā)現(xiàn)并處置違法有害信息。9.3.6應(yīng)建立涉嫌違法犯罪線索、異常情況報(bào)告、安全提示和案件調(diào)查配合制度，包括：a） 對(duì)發(fā)現(xiàn)的違法有害信息，立即停止發(fā)布傳輸，保留相關(guān)證據(jù)（包括用戶注冊(cè)信息、用戶登錄信息、用戶發(fā)布信息等記錄），并向?qū)俚毓矙C(jī)關(guān)報(bào)告；b） 對(duì)于煽動(dòng)非法聚集、策劃恐怖活動(dòng)、揚(yáng)言實(shí)施個(gè)人極端暴力行為等重要情況或重大緊急事件立即向?qū)俚毓矙C(jī)關(guān)報(bào)告，同時(shí)配合公安機(jī)關(guān)做好調(diào)查取證工作；c） 相關(guān)電子數(shù)據(jù)及時(shí)傳送給屬地公安機(jī)關(guān)。9.3.7應(yīng)與公安機(jī)關(guān)建立7×24h違法有害信息快速處置工作機(jī)制，有明確URL的單條違法有害信息和特定文本、圖片、視頻、鏈接等信息的源頭以及分享中的任一環(huán)節(jié)應(yīng)能在5min之內(nèi)刪除，相關(guān)的屏蔽過濾措施應(yīng)在10min內(nèi)生效。9.4破壞性程序防范9.4.1應(yīng)實(shí)施破壞性程序的發(fā)現(xiàn)和停止發(fā)布措施，并保留發(fā)現(xiàn)的破壞性程序的相關(guān)證據(jù)。9.4.2對(duì)軟件下載服務(wù)提供者（包括應(yīng)用軟件商店），應(yīng)檢查用戶發(fā)布的軟件是否是計(jì)算機(jī)病毒等惡意代碼。10個(gè)人電子信息保護(hù)10.1處理規(guī)則10.1.1應(yīng)制訂明確、清楚的個(gè)人電子信息處理規(guī)則，并在顯著位置予以公示。在用戶注冊(cè)時(shí)，應(yīng)在與用戶簽訂服務(wù)協(xié)議中明示收集與使用個(gè)人電子信息的目的、范圍與方式。10.1.2網(wǎng)絡(luò)交互式服務(wù)提供者僅收集為實(shí)現(xiàn)正當(dāng)商業(yè)目的和提供網(wǎng)絡(luò)服務(wù)所必需的個(gè)人信息；收集個(gè)人電子信息時(shí)，應(yīng)取得用戶明確授權(quán)同意；將個(gè)人電子信息交給第三方處理時(shí)，處理方應(yīng)符合本標(biāo)準(zhǔn)要求，并取得用戶明確授權(quán)同意；法律、行政法規(guī)另有規(guī)定的，從其規(guī)定。10.1.3修改個(gè)人電子信息處理規(guī)則時(shí)，應(yīng)告知用戶，并取得其同意。10.2技術(shù)措施應(yīng)建立覆蓋個(gè)人電子信息處理的各個(gè)環(huán)節(jié)的安全保護(hù)制度和技術(shù)措施，防止個(gè)人電子信息泄露、損毀、丟失，包括：a） 采用加密方式保存用戶密碼等重要信息；b） 審計(jì)內(nèi)部員工對(duì)涉及個(gè)人電子信息的所有操作，并對(duì)審計(jì)結(jié)果進(jìn)行分析，預(yù)防內(nèi)部員工故意泄露；c） 審計(jì)個(gè)人電子信息上載、存儲(chǔ)或傳輸，作為信息泄露、毀損、丟失的查詢依據(jù)；d） 建立程序來(lái)控制對(duì)涉及個(gè)人電子信息的系統(tǒng)和服務(wù)的訪問權(quán)的分配。這些程序涵蓋用戶訪問生存周期內(nèi)的各個(gè)階段，從新用戶初始注冊(cè)到不再需要訪問信息系統(tǒng)和服務(wù)的用戶的最終撤銷；e） 系統(tǒng)的安全保障技術(shù)措施覆蓋個(gè)人電子信息處理的各個(gè)環(huán)節(jié)，防止網(wǎng)絡(luò)違法犯罪活動(dòng)竊取信息，降低個(gè)人電子信息泄露的風(fēng)險(xiǎn)。10.3個(gè)人信息泄露事件的處理當(dāng)發(fā)現(xiàn)個(gè)人電子信息泄露事件后，應(yīng)：a） 立即采取補(bǔ)救措施，防止信息繼續(xù)泄露；b） 24h內(nèi)告知用戶，根據(jù)用戶初始注冊(cè)信息重新激活賬戶，避免造成更大的損失；c） 立即報(bào)告屬地公安機(jī)關(guān)。11投訴11.1投訴制度應(yīng)建立用戶投訴舉報(bào)接收處理制度，明確用戶投訴舉報(bào)渠道、處理流程、方式、時(shí)限，鼓勵(lì)用戶舉報(bào)違法有害信息。11.2處理原則應(yīng)當(dāng)遵循合法、合理、公平、公正、及時(shí)準(zhǔn)確的基本原則，積極維護(hù)國(guó)家利益、公共利益和行業(yè)利益，尊重用戶的合法權(quán)益。11.3投訴渠道應(yīng)根據(jù)業(yè)務(wù)類型、投訴數(shù)量和投訴內(nèi)容等建立適當(dāng)?shù)耐对V渠道，包括線上投訴、上門投訴、電話、傳真電話、郵件和快遞投訴等。應(yīng)以明顯可見的方式向社會(huì)公開投訴渠道。11.4記錄留存應(yīng)保存投訴處理的全部記錄，以保證