DB3310T 90-2022 公共數(shù)據(jù)安全可信保障指南

ICS35.240.01CCSL67

3310浙 江 省 臺 州 市 地 方 標 準DB3310/T90—2022公共數(shù)據(jù)安全可信保障指南Guidanceforsupportingpublicdatasecurityandtrustworthiness2022-12-12發(fā)布 2022-12-16實施臺州市市場監(jiān)督管理局 發(fā)布DB3310/T90DB3310/T90—2022目??次前 言 II范圍 1規(guī)范性引用文件 1術(shù)語和定義 1基本原則 1制度保障 2技術(shù)保障 3運行保障 4I前??言本文件按照?GB/T1.1—2020《標準化工作導則 第1部分：標準化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。請注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機構(gòu)不承擔識別專利的責任。本文件由臺州市大數(shù)據(jù)發(fā)展管理局提出、歸口并組織實施。本文件起草單位：臺州市大數(shù)據(jù)發(fā)展管理局、中國人民大學。本文件主要起草人：張曉瑋、林賢杰、陳友增、林國、安小米、李真、居林歡、陳余超、王帥涵、劉桓鑫、白文琳、王麗麗、許濟滄、黃婕、鄺苗苗、齊宇、沈榮。II公共數(shù)據(jù)安全可信保障指南范圍本文件描述了公共數(shù)據(jù)安全可信保障的基本原則、制度保障、技術(shù)保障和運行保障等內(nèi)容。本文件適用于公共數(shù)據(jù)主管部門、公共管理和服務機構(gòu)的公共數(shù)據(jù)安全可信保障活動。規(guī)范性引用文件（包括所有的修改單適用于本文件。DB33/T2351—2021數(shù)字化改革公共數(shù)據(jù)分類分級指南DB33/T2359—2021公共數(shù)據(jù)交換技術(shù)規(guī)范DB3310/T91—2022公共數(shù)據(jù)歸集指南DB3310/T93—2022公共數(shù)據(jù)授權(quán)運營指南術(shù)語和定義下列術(shù)語和定義適用于本文件。公共數(shù)據(jù)publicdata[來源：DB33/T2351—2021，3.1]數(shù)據(jù)安全 datasecurity數(shù)據(jù)的機密性、完整性、可用性和可控性?？尚?trustworthiness以可驗證的方式滿足利益相關(guān)方期望的能力?；驹瓌t1圖1 公共數(shù)據(jù)安全可信保障示意圖制度保障總體要求數(shù)據(jù)收集編制形成數(shù)據(jù)收集清單。明確數(shù)據(jù)收集范圍和頻度，可共享獲取的數(shù)據(jù)，不宜重復收集。DB3310/T91—2022。數(shù)據(jù)歸集DB33/T2351—2021。制定數(shù)據(jù)溯源管理制度，包括數(shù)據(jù)溯源策略和溯源機制。數(shù)據(jù)存儲基于數(shù)據(jù)分類分級結(jié)果，制定數(shù)據(jù)存儲加密制度。2制定數(shù)據(jù)復制、備份與恢復操作過程及日志記錄規(guī)范。數(shù)據(jù)加工建立數(shù)據(jù)倉建設(shè)規(guī)范，包括數(shù)據(jù)類型、分區(qū)命名、表命名和表結(jié)構(gòu)等。建立主題庫、專題庫建設(shè)和發(fā)布標準。建立數(shù)據(jù)建模規(guī)范、數(shù)據(jù)產(chǎn)品發(fā)布標準。數(shù)據(jù)傳輸建立數(shù)據(jù)傳輸和交換技術(shù)規(guī)范，可參照DB33/T2359—2021。數(shù)據(jù)共享建立數(shù)據(jù)共享管理規(guī)范，明確共享數(shù)據(jù)申請、受理、審批、答復、使用和安全要求。建立數(shù)據(jù)共享接口安全審查和發(fā)布規(guī)范。建立數(shù)據(jù)共享接口安全監(jiān)測規(guī)范。建立敏感數(shù)據(jù)調(diào)用認證規(guī)范。建立批量共享數(shù)據(jù)導出審批規(guī)范。數(shù)據(jù)開放建立數(shù)據(jù)開放管理規(guī)范，明確開放數(shù)據(jù)申請、受理、審批、答復、使用和安全要求。建立數(shù)據(jù)開放域使用規(guī)范。DB3310/T93—2022。建立開放數(shù)據(jù)反哺回流規(guī)范。數(shù)據(jù)利用建立合作方及其人員管理規(guī)范。建立數(shù)據(jù)操作安全審計規(guī)范。建立數(shù)據(jù)脫敏、數(shù)據(jù)脫密、數(shù)據(jù)授權(quán)和數(shù)據(jù)訪問控制管理規(guī)范和制度。數(shù)據(jù)處置建立數(shù)據(jù)歸檔、封存和銷毀策略以及管理制度，明確歸檔、封存、銷毀對象和流程。建立數(shù)據(jù)歸檔、封存和銷毀安全審計制度。技術(shù)保障總體要求宜利用態(tài)勢感知、權(quán)限管控、數(shù)據(jù)脫敏、數(shù)據(jù)加密、數(shù)字簽名、高危操作阻斷、數(shù)據(jù)水印溯源、日志審計等安全技術(shù)手段，加強數(shù)據(jù)安全常態(tài)化監(jiān)測和智能風險預警，提升數(shù)據(jù)安全防護能力。數(shù)據(jù)收集和數(shù)據(jù)歸集具備數(shù)據(jù)源鑒別、敏感數(shù)據(jù)識別技術(shù)能力。具備數(shù)據(jù)分類分級操作、變更審核、結(jié)果發(fā)布和運用技術(shù)能力。3具備數(shù)據(jù)權(quán)限管理技術(shù)能力。數(shù)據(jù)存儲具備數(shù)據(jù)圖譜、數(shù)據(jù)血緣分析技術(shù)能力。具備數(shù)據(jù)存儲加密技術(shù)能力，對存儲的敏感數(shù)據(jù)進行保護。具備數(shù)據(jù)備份和恢復技術(shù)能力，保障數(shù)據(jù)可用性和完整性。數(shù)據(jù)加工具備權(quán)限管控技術(shù)能力，實現(xiàn)數(shù)據(jù)權(quán)限的精細配置和可控訪問。具備動態(tài)和靜態(tài)脫敏技術(shù)能力，保障敏感數(shù)據(jù)訪問安全。具備環(huán)境分離技術(shù)能力，實現(xiàn)開發(fā)環(huán)境和生產(chǎn)環(huán)境分離。數(shù)據(jù)傳輸具備傳輸加密和通道加密技術(shù)能力，保障數(shù)據(jù)傳輸和傳輸通道安全。具備離線、在線和實時數(shù)據(jù)傳輸技術(shù)能力，實現(xiàn)多樣化數(shù)據(jù)傳輸需求。數(shù)據(jù)共享和數(shù)據(jù)開放具備訪問控制、數(shù)據(jù)脫敏技術(shù)能力，保障敏感數(shù)據(jù)共享開放安全。具備數(shù)據(jù)接口安全防護技術(shù)能力，實現(xiàn)高危操作預警阻斷。具備數(shù)據(jù)溯源技術(shù)能力，實現(xiàn)數(shù)據(jù)泄漏后的追蹤溯源。具備多方安全計算技術(shù)能力，實現(xiàn)數(shù)據(jù)安全融合利用。數(shù)據(jù)利用具備數(shù)據(jù)防泄漏和防濫用能力，防范數(shù)據(jù)使用和流轉(zhuǎn)過程中的泄漏和濫用風險。數(shù)據(jù)處置具備歸檔、封存和銷毀數(shù)據(jù)識別能力，根據(jù)數(shù)據(jù)分類分級結(jié)果，識別符合歸檔、封存和銷毀要求的數(shù)據(jù)。具備安全數(shù)據(jù)歸檔、封存和銷毀技術(shù)，實現(xiàn)數(shù)據(jù)的有效歸檔、封存和銷毀。運行保障總體要求宜建立數(shù)據(jù)安全管理團隊、監(jiān)督檢查、安全事件應急和演練、安全培訓保障機制，加強事前審批、事中監(jiān)督、事后審計，提升數(shù)據(jù)安全運行保障能力。安全管理團隊監(jiān)督檢查建立實時公共數(shù)據(jù)安全日志審計機制。4建立周期性數(shù)據(jù)安全監(jiān)督檢查機制。建立問題糾