數(shù)據(jù)安全自查表

附件4數(shù)據(jù)安全自查表單位名稱:填報(bào)人員:聯(lián)系方式:填寫說明一、范疇《數(shù)據(jù)安全自查表》是根據(jù)國家法律法規(guī)、技術(shù)原則和地辦法規(guī)文獻(xiàn)規(guī)定制訂。本表針對(duì)數(shù)據(jù)安全和個(gè)人信息保護(hù)進(jìn)行自查，分為管理類與技術(shù)類兩類累計(jì)23個(gè)自查項(xiàng)，其中管理類自查10項(xiàng)，技術(shù)類自查13項(xiàng)。從單位基本狀況、管理制度貫徹狀況、技術(shù)防護(hù)能力保障狀況等方面進(jìn)行綜合評(píng)定，確保數(shù)據(jù)在全生命周期安全可靠。二、規(guī)范性引用文獻(xiàn)本自查表內(nèi)容參考下列文獻(xiàn)有關(guān)規(guī)定制訂。下述文獻(xiàn)中，標(biāo)注年份、日期的文獻(xiàn)，僅所注年份、日期的版本合用于本文獻(xiàn)；未標(biāo)注年份、日期的文獻(xiàn)，其最新版本合用于本文獻(xiàn)?！吨腥A人民共和國網(wǎng)絡(luò)安全法》《小朋友個(gè)人信息網(wǎng)絡(luò)保護(hù)規(guī)定》《App違法違規(guī)收集使用個(gè)人信息行為認(rèn)定辦法》《天津市增進(jìn)大數(shù)據(jù)發(fā)展應(yīng)用條例》《天津市數(shù)據(jù)安全管理方法（暫行）》《GB/T37988-數(shù)據(jù)安全成熟度模型》《GB/T35273-個(gè)人信息安全規(guī)范》三、工作規(guī)定各有關(guān)單位應(yīng)按照下列規(guī)定開展數(shù)據(jù)安全和個(gè)人信息保護(hù)自查工作：一是客觀。針對(duì)本單位數(shù)據(jù)安全和個(gè)人信息保護(hù)面臨的威脅、存在的安全風(fēng)險(xiǎn)等客觀公正地進(jìn)行分析評(píng)價(jià)。二是真實(shí)。各單位需認(rèn)真、負(fù)責(zé)地開展數(shù)據(jù)安全和個(gè)人信息保護(hù)自查評(píng)定工作，不得弄虛作假、隱瞞問題，自查表中填報(bào)的信息及上傳的佐證材料應(yīng)確保真實(shí)、可信。三是全方面。各單位需對(duì)所屬應(yīng)用系統(tǒng)的數(shù)據(jù)資產(chǎn)、數(shù)據(jù)管理、數(shù)據(jù)服務(wù)、個(gè)人隱私保護(hù)、數(shù)據(jù)出境等狀況進(jìn)行全方面自查，不得瞞報(bào)、漏報(bào)。四是突出重點(diǎn)。針對(duì)各單位的重點(diǎn)業(yè)務(wù)，從數(shù)據(jù)生命周期、系統(tǒng)平臺(tái)安全、數(shù)據(jù)安全管理等方面進(jìn)行進(jìn)一步自查。四、自查規(guī)定黨政機(jī)關(guān)、事業(yè)單位和國有公司對(duì)照管理類自查項(xiàng)和技術(shù)類自查項(xiàng)進(jìn)行自查，其它單位對(duì)照技術(shù)類自查項(xiàng)進(jìn)行自查。各有關(guān)單位應(yīng)將數(shù)據(jù)安全和個(gè)人信息保護(hù)自查信息進(jìn)行提交并準(zhǔn)備有關(guān)佐證材料備查。

管理類自查項(xiàng)序號(hào)自查項(xiàng)自查點(diǎn)自查成果1核查網(wǎng)絡(luò)安全工作責(zé)任制貫徹狀況訪談?dòng)嘘P(guān)負(fù)責(zé)人,查閱佐證材料符合狀況，其中最少應(yīng)包含：1.本單位網(wǎng)絡(luò)安全責(zé)任分工文獻(xiàn)，明確網(wǎng)絡(luò)安全第一負(fù)責(zé)人與直接負(fù)責(zé)人；2.網(wǎng)絡(luò)安全責(zé)任制建立貫徹狀況，涉及但不限于明確工作機(jī)構(gòu)、對(duì)網(wǎng)絡(luò)安全工作在人、財(cái)、物方面的支持、組織領(lǐng)導(dǎo)網(wǎng)絡(luò)安全保護(hù)和重大事件處置工作狀況、組織開展網(wǎng)絡(luò)安全宣傳教育等；3.主管監(jiān)管部門對(duì)本行業(yè)、本地區(qū)依法開展網(wǎng)絡(luò)安全檢查、通報(bào)、處置網(wǎng)絡(luò)安全事件狀況；4.網(wǎng)絡(luò)安全責(zé)任制檢查考核狀況，涉及但不限于考核內(nèi)容、辦法、程序?！醴稀醪糠址稀醪环稀醪缓嫌?核查與否建立并貫徹網(wǎng)絡(luò)安全、數(shù)據(jù)安全等有關(guān)管理制度，框架與否合理，與否符合現(xiàn)有業(yè)務(wù)需求。訪談?dòng)嘘P(guān)負(fù)責(zé)人,查閱佐證材料符合狀況，其中最少應(yīng)包含：1.網(wǎng)絡(luò)安全、數(shù)據(jù)安全管理制度建設(shè)狀況；2.工作布署貫徹狀況，崗位分工、組織建設(shè)與否合理明晰，有關(guān)統(tǒng)計(jì)與否完善；3.與否將網(wǎng)絡(luò)及數(shù)據(jù)安全工作納入年度考核等?！醴稀醪糠址稀醪环稀醪缓嫌?核查信息化資金投入狀況及網(wǎng)絡(luò)安全、數(shù)據(jù)安全保障資金投入占比狀況。訪談?dòng)嘘P(guān)負(fù)責(zé)人,查閱佐證材料符合狀況，其中最少應(yīng)包含：1.本單位上一年度信息化資金投入總體狀況和用于網(wǎng)絡(luò)安全、數(shù)據(jù)安全的建設(shè)、加固、整治的資金總額及占比；2.本單位本年度信息化資金預(yù)算和用于網(wǎng)絡(luò)安全、數(shù)據(jù)安全的建設(shè)、加固、整治的資金預(yù)算及占比；3.應(yīng)提供有關(guān)的合同、合同、預(yù)算批復(fù)材料作為佐證；□符合□部分符合□不符合□不合用4核查網(wǎng)絡(luò)安全等級(jí)保護(hù)工作貫徹狀況。訪談?dòng)嘘P(guān)負(fù)責(zé)人,查閱佐證材料符合狀況，其中應(yīng)包含：1.等級(jí)保護(hù)備案證明、測(cè)評(píng)報(bào)告；2.針對(duì)等級(jí)保護(hù)測(cè)評(píng)報(bào)告提出的整治建議的實(shí)際整治貫徹狀況。□符合□部分符合□不符合□不合用5核查與否建立并貫徹密碼安全管理制度。訪談?dòng)嘘P(guān)負(fù)責(zé)人,查閱佐證材料符合狀況，其中應(yīng)包含：1.有關(guān)系統(tǒng)應(yīng)用以及所采用的產(chǎn)品與否符合國家密碼管理局認(rèn)證核準(zhǔn)的密碼技術(shù)和產(chǎn)品；2.定時(shí)開展密碼測(cè)評(píng)工作。□符合□部分符合□不符合□不合用6核查與否建立并貫徹網(wǎng)絡(luò)安全、數(shù)據(jù)安全應(yīng)急預(yù)案。訪談?dòng)嘘P(guān)負(fù)責(zé)人,查閱佐證材料符合狀況，其中最少應(yīng)包含：1.應(yīng)急預(yù)案要點(diǎn)、預(yù)案手冊(cè)及有關(guān)文檔；2.應(yīng)急保障支撐隊(duì)伍及人員聯(lián)系方式；3.應(yīng)急演習(xí)文檔統(tǒng)計(jì)等?！醴稀醪糠址稀醪环稀醪缓嫌?核查與否建立貫徹個(gè)人信息保護(hù)制度。訪談?dòng)嘘P(guān)負(fù)責(zé)人,查閱佐證材料符合狀況，其中最少應(yīng)包含：1.個(gè)人信息保護(hù)制度應(yīng)涉及但不限于開展收集、保存、使用、共享、轉(zhuǎn)讓、公開披露等個(gè)人信息解決活動(dòng)的有關(guān)制度規(guī)范?！醴稀醪糠址稀醪环稀醪缓嫌?核查與否開展網(wǎng)絡(luò)及數(shù)據(jù)安全、個(gè)人信息安全的教育和培訓(xùn)工作。訪談?dòng)嘘P(guān)負(fù)責(zé)人,查閱佐證材料符合狀況，其中最少應(yīng)包含：1.安全教育培訓(xùn)大綱；2.培訓(xùn)統(tǒng)計(jì)（學(xué)員簽到表）；3.培訓(xùn)課件等?！醴稀醪糠址稀醪环稀醪缓嫌?核查電子郵件安全管理狀況。訪談?dòng)嘘P(guān)負(fù)責(zé)人,查閱佐證材料符合狀況，其中最少應(yīng)包含：1.本單位清理、停用傳輸工作郵件的互聯(lián)網(wǎng)郵箱狀況；2.本單位電子郵件安全管理制度；3.本單位政務(wù)安全郵箱的使用狀況?！醴稀醪糠址稀醪环稀醪缓嫌?0核查疫情防控有關(guān)系統(tǒng)或應(yīng)用的安全保護(hù)狀況。訪談?dòng)嘘P(guān)負(fù)責(zé)人,查閱佐證材料符合狀況，其中最少應(yīng)包含：1.有關(guān)系統(tǒng)收集使用個(gè)人信息獲得有關(guān)部門的授權(quán)或批復(fù)文獻(xiàn)；2.有關(guān)數(shù)據(jù)與否與第三方進(jìn)行共享交換；3.有關(guān)數(shù)據(jù)與否用于商業(yè)用途；4.有關(guān)系統(tǒng)與否針對(duì)數(shù)據(jù)安全、個(gè)人信息保護(hù)制訂有關(guān)防護(hù)方法和預(yù)案。□符合□部分符合□不符合□不合用技術(shù)類自查項(xiàng)序號(hào)評(píng)定項(xiàng)評(píng)定點(diǎn)自查成果1核查與否建立并貫徹?cái)?shù)據(jù)備份恢復(fù)方法。采用人工或技術(shù)工具的方式核驗(yàn):1.核查評(píng)定與否含有數(shù)據(jù)備份恢復(fù)功效；2.核查數(shù)據(jù)備份方式?！醴稀醪糠址稀醪环稀醪缓嫌?核查與否按規(guī)定留存日志。采用人工或技術(shù)工具的方式核驗(yàn):1.核查評(píng)定網(wǎng)絡(luò)運(yùn)行狀態(tài)、操作系統(tǒng)日志、數(shù)據(jù)庫日志、網(wǎng)絡(luò)安全設(shè)備日志以及有關(guān)應(yīng)用的日志留存狀況；2.有關(guān)日志與否滿足留存不少于六個(gè)月規(guī)定?！醴稀醪糠址稀醪环稀醪缓嫌?核查與否建立并貫徹?cái)?shù)據(jù)安全防護(hù)技術(shù)方法采用人工或技術(shù)工具的方式核驗(yàn):1.核查與否針對(duì)數(shù)據(jù)全生命周期采用對(duì)應(yīng)防護(hù)方法或技術(shù)手段，（如數(shù)據(jù)庫審計(jì)、數(shù)據(jù)防泄漏、數(shù)據(jù)脫敏等設(shè)備類型、型號(hào)、布署位置、有關(guān)功效作用）；2.核查與否含有數(shù)據(jù)安全訪問控制的方略（控制粒度級(jí)別，庫、實(shí)例、表、行、列、字段、文獻(xiàn)等）；3.核查日常安全設(shè)備巡檢統(tǒng)計(jì)狀況?！醴稀醪糠址稀醪环稀醪缓嫌?核查與否制訂并貫徹?cái)?shù)據(jù)分類分級(jí)規(guī)范。采用人工或技術(shù)工具的方式核驗(yàn):核查數(shù)據(jù)分類分級(jí)規(guī)范及實(shí)施狀況；□符合□部分符合□不符合□不合用5核查數(shù)據(jù)采集安全。采用人工或技術(shù)工具的方式核驗(yàn):1.核查有關(guān)數(shù)據(jù)采集的條數(shù)、數(shù)據(jù)類型、總?cè)萘康龋?.與否建立數(shù)據(jù)分類分級(jí)打標(biāo)或數(shù)據(jù)資產(chǎn)管理工具，實(shí)現(xiàn)對(duì)數(shù)據(jù)的分類分級(jí)自動(dòng)標(biāo)記、標(biāo)記成果公布、審核等功效；3.與否含有有關(guān)數(shù)據(jù)采集工具，工具根據(jù)統(tǒng)一的數(shù)據(jù)采集流程建設(shè)，且工具能夠確保組織數(shù)據(jù)采集流程一致性；4.與否采用技術(shù)手段確保數(shù)據(jù)在采集過程中個(gè)人信息和重要數(shù)據(jù)不被泄露；5.數(shù)據(jù)管理系統(tǒng)與否提供標(biāo)記數(shù)據(jù)的數(shù)據(jù)源類型功效，實(shí)現(xiàn)對(duì)各類數(shù)據(jù)源的統(tǒng)計(jì)和分析；6.與否運(yùn)用技術(shù)工具對(duì)核心數(shù)據(jù)進(jìn)行數(shù)據(jù)質(zhì)量管理和監(jiān)控；□符合□部分符合□不符合□不合用6核查數(shù)據(jù)傳輸安全采用人工或技術(shù)工具的方式核驗(yàn):與否運(yùn)用技術(shù)工具對(duì)傳輸通道兩端進(jìn)行主體身份鑒別和認(rèn)證，與否對(duì)數(shù)據(jù)傳輸通道進(jìn)行加密；與否對(duì)核心的網(wǎng)絡(luò)傳輸鏈路、網(wǎng)絡(luò)設(shè)備節(jié)點(diǎn)實(shí)施冗余建設(shè)；與否布署有關(guān)設(shè)備對(duì)網(wǎng)絡(luò)可用性及數(shù)據(jù)泄露風(fēng)險(xiǎn)進(jìn)行防備；?！醴稀醪糠址稀醪环稀醪缓嫌?核查數(shù)據(jù)存儲(chǔ)安全采用人工或技術(shù)工具的方式核驗(yàn):1.核查與否對(duì)存儲(chǔ)媒體性能進(jìn)行監(jiān)控，涉及使用歷史、性能指標(biāo)、安全閾值告警等；2.核查與否采用技術(shù)工具對(duì)邏輯存儲(chǔ)系統(tǒng)進(jìn)行配備掃描、身份鑒別、訪問控制等安全管理工作；□符合□部分符合□不符合□不合用8核查數(shù)據(jù)解決安全采用人工或技術(shù)工具的方式核驗(yàn):1.與否實(shí)現(xiàn)對(duì)核心業(yè)務(wù)的數(shù)據(jù)進(jìn)行敏感字段屏蔽或脫敏解決；2．?dāng)?shù)據(jù)在使用過程中與否建立數(shù)據(jù)訪問控制機(jī)制，實(shí)現(xiàn)身份鑒別、安全配備等，限定顧客可訪問數(shù)據(jù)范疇；3.與否完整統(tǒng)計(jì)數(shù)據(jù)使用過程的操作日志；4．與否統(tǒng)計(jì)數(shù)據(jù)導(dǎo)入導(dǎo)出行為，確保數(shù)據(jù)導(dǎo)入導(dǎo)出行為可追溯；□符合□部分符合□不符合□不合用9核查數(shù)據(jù)交換安全采用人工或技術(shù)工具的方式核驗(yàn):與否針對(duì)共享數(shù)據(jù)及數(shù)據(jù)共享過程進(jìn)行監(jiān)控審計(jì)，與否明確共享數(shù)據(jù)格式規(guī)范；與否建立數(shù)據(jù)公布系統(tǒng)，實(shí)現(xiàn)公開數(shù)據(jù)登記、顧客注冊(cè)等公布數(shù)據(jù)和公布組件的驗(yàn)證；與否采用技術(shù)工具實(shí)現(xiàn)對(duì)數(shù)據(jù)接口調(diào)用的身份鑒別和訪問控制；□符合□部分符合□不符合□不合用10核查數(shù)據(jù)銷毀安全采用人工或技術(shù)工具的方式核驗(yàn):與否采用技術(shù)工具對(duì)核心業(yè)務(wù)存儲(chǔ)媒體的數(shù)據(jù)內(nèi)容進(jìn)行擦除銷毀；與否針對(duì)網(wǎng)絡(luò)存儲(chǔ)數(shù)據(jù)，建立硬銷毀和軟銷毀的數(shù)據(jù)銷毀辦法和技術(shù)；與否配備必要的數(shù)據(jù)銷毀技術(shù)手段與管控方法，確保以不可逆方式銷毀敏感數(shù)據(jù)及其副本內(nèi)容；4.核查與否建立并執(zhí)行數(shù)據(jù)銷毀制度、流程、規(guī)范，與否在第三方監(jiān)督的狀況下開展數(shù)據(jù)銷毀工作，并做好銷毀統(tǒng)計(jì)；□符合□部分符合□不符合□不合用11核查數(shù)據(jù)出境安全采用人工或技術(shù)工具的方式核驗(yàn):1.核查數(shù)據(jù)存儲(chǔ)位置，數(shù)據(jù)使用范疇與否存在數(shù)據(jù)跨境傳輸?shù)臓顩r；2.核查數(shù)據(jù)出境的必要性和正當(dāng)性，如必要的應(yīng)明確數(shù)據(jù)出境的數(shù)量、范疇、類型、敏感程度及授權(quán)等，對(duì)重要數(shù)據(jù)等敏感字段出境與否采用脫敏等方式進(jìn)行解決?！醴稀醪糠址稀醪环稀醪缓嫌?2個(gè)人信息安全保護(hù)采用人工或技術(shù)工具的方式核驗(yàn):1.核查與否存在未經(jīng)授權(quán)或同意收集使用個(gè)人信息；2.核查與否公開收集使用規(guī)則；3.核查與否明示收集使用個(gè)人信息目的的、方式和范疇；4.核查與否違反必要原則，收集與其提供的服務(wù)無關(guān)的個(gè)人信息5.核查與否未經(jīng)同意向別人提供個(gè)人信息；6.核查與否未按法律規(guī)定提供刪除或改正個(gè)人信息功效、或未公布投訴、舉報(bào)方式等信息；7.核查與否未按照法律法規(guī)的規(guī)定采用