個人信息保護體系建設(shè)方案1

騙受到經(jīng)濟損失甚至失去生命。為此我國在2003年啟動了《個人信息保護》的個人信息保護法(草案)》等法律、法規(guī)和標準相繼推出，個人信息安全保護的《個人信息出境安全評估辦法(征求意見稿)》信息安全技術(shù)個人信息安全規(guī)范》信息安全技術(shù)個人信息安全影響評估指南》信息安全技術(shù)網(wǎng)絡(luò)安全等級保護基本要求》信息安全技術(shù)數(shù)據(jù)安全能力成熟度模型》信息安全技術(shù)個人信息去標識化指南》信息安全技術(shù)信息安全風(fēng)險評估規(guī)范》《網(wǎng)絡(luò)安全標準實踐指南—移動互聯(lián)網(wǎng)應(yīng)用程序(App)中的第三方軟件開《網(wǎng)絡(luò)安全標準實踐指南一移動互聯(lián)網(wǎng)應(yīng)用程序(App)《網(wǎng)絡(luò)安全標準實踐指南一移動互聯(lián)網(wǎng)應(yīng)用程序)APP)個人信息保護常見《網(wǎng)絡(luò)安全標準實踐指南—移動互聯(lián)網(wǎng)應(yīng)用《ISO/IEC27001-2013信息技術(shù)安全技術(shù)信息安全管理體系要求》《ISO/IEC27002-2013信息技術(shù)安全技術(shù)信息安全控制實用規(guī)則》《ISO/IECE29100-2011信息技術(shù)安全技術(shù)隱私框架》《ISO/IECE29151-2017信息技術(shù)安全技術(shù)保護可辨識個人資料的工作>個人信息個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)>個人敏感信息>去標識化我國境內(nèi)的個人信息處理者及處理我國個人信息的境外個人信息處理者應(yīng)網(wǎng)絡(luò)運營者應(yīng)當(dāng)采取技術(shù)措施和其他必要措施，確保其收集的個人信息安全，防止信息泄露、毀損、丟失。在發(fā)生或者可能發(fā)生個人信息泄露、毀損、丟失的情況時，應(yīng)當(dāng)立即采取補救措施，按照規(guī)定及時告知用戶并向有關(guān)主管部門報告。>《GB/T35273-2020信息安全技術(shù)個人信息安全規(guī)范》公開透明、確保安全、主體參與”的原則。在個信息的生命周期中，通過明確個人信息管理要求和技術(shù)要求，為提供個人信息保護。出于審慎經(jīng)營、聲譽維護、品牌建立的目的，組織需要站在比合規(guī)要求更高的角度開展個人信息處理活動，通過風(fēng)險管理，盡可能的降低由于處理個人信息給組織帶來的不利影響。3.個人信息安全保護體系設(shè)計個人信息合規(guī)合法使用個人信息安全保護個人信息安全保護體權(quán)利響應(yīng)個人信息保護可分為個人信息合規(guī)合法使用、個人權(quán)利響應(yīng)、個人信息安全保護要求三個部分。個人權(quán)利響應(yīng)主要指個人信息處理者應(yīng)當(dāng)提供一定的渠道響應(yīng)個人信息處ISO/IEC27701引用了ISOb)將個人信息保護體系與已的安全管理體系有機融4.個人信息安全保護體系建設(shè)護法護法>涉及個人信息的業(yè)務(wù)的所在區(qū)域的行>涉及個人信息的業(yè)務(wù)的所在區(qū)域的治政環(huán)境、社會環(huán)境、文化習(xí)慣等對>《個人信息出境安全評估辦法(征求意見稿)》>《GB/T35273-2020信息安全技術(shù)個人信息安全規(guī)范》>《GB/T39335-2020信息安全技術(shù)個人信息安全影響評估指南》>《GB/T34978-2017信息安全技術(shù)移動智能終端個人信護技術(shù)要求》>《GB/T22239-2019信息>《GB/T37988-2019信息安全技術(shù)數(shù)據(jù)安全能力成熟度模型》>《GB/T37964-2019信息安全技術(shù)個人信息去標識化指南》>《GB/T20984-2007信息安全技術(shù)信息安全風(fēng)險評估規(guī)范》>《網(wǎng)絡(luò)安全標準實踐指南一移動互聯(lián)網(wǎng)應(yīng)用程序(App)中的>《信息安全技術(shù)人臉識別數(shù)據(jù)安全要求(征求意見稿)》>《信息安全技術(shù)移動互聯(lián)網(wǎng)應(yīng)用程度(APP)個人信息安全測評規(guī)范(征求意見稿)》>《信息安全技術(shù)移動互聯(lián)網(wǎng)應(yīng)用程序(APP)SDK安全指南(征求意見>《信息安全技術(shù)個人信息去標識化效果分級評估規(guī)范(征求意見稿)》>《信息安全技術(shù)個人信息告知同意指南(征求意見稿)》4.3.個人信息安全影響評估息類型的合法事由享ABC據(jù)處理活動(數(shù)據(jù)處理流程)為主線，梳理個人信息生命周期活動的安全管理情刪除/匿名是否準確識別個人敏感信息收集個人信息的目的是否正當(dāng)、合法獲取個人信息是否得到正式授權(quán)(包括從第三方處獲得)是否所有對個人信息的處理活動均征得用戶同意告知用戶的方式和內(nèi)容是否友好可達是否超范圍收集個人信息是否強迫或誘導(dǎo)提供個人信息變更個人信息使用目的是否取得個人同意是否提供有效的個人參與機制，如查詢、更正、撤回同意等是否無根據(jù)的限制個人控制其個人信息的行為接收數(shù)據(jù)的第三方是否會變更個人信息使用的目的是否為個性化展示提供用戶可控制、退出的或關(guān)閉的機制匿名化、去標識化機制是否有效是否對匿名化、去標識化的數(shù)據(jù)進行關(guān)聯(lián)分析，以重新識別個人信息是否過多的追蹤或監(jiān)視個人行為是否建立了個人信息安全事件的處置機制是否提供有效的投訴和維權(quán)渠道向第三方共享、轉(zhuǎn)讓個人信息是否取得個人同意是否發(fā)布或散播不準確的或不完整的數(shù)據(jù)存儲或處理個人信息的網(wǎng)絡(luò)環(huán)境或信息系統(tǒng)是處理個人信息的信息系統(tǒng)與其它系統(tǒng)交互過程中是否可以保障數(shù)據(jù)0是否采取了嚴格的身份鑒別、訪問控制措施是否采取了邊界防護措施，防止數(shù)據(jù)泄露是否監(jiān)測和記錄網(wǎng)絡(luò)運行狀態(tài)，是否標記、分析個人信息在內(nèi)部或與是否采取加密技術(shù)保護傳輸、存儲過程的數(shù)據(jù)是否對個人信息收集、存儲、傳輸、使用、共享等各階段的活動進行審計，并對異常操作行為報警是否對數(shù)據(jù)存儲介質(zhì)加強安全管理是否具備數(shù)據(jù)備份和恢復(fù)的能力是否對應(yīng)用系統(tǒng)中使用SDK的安全性進行評估，不使用安全性較低的SDK或?qū)DK升級后再使用其它必要的網(wǎng)絡(luò)安全技術(shù)保障措施，如防病毒、配置管理、漏洞管理、是否建立個人信息保護機構(gòu)(或任命個人),相關(guān)人員是否由具有相關(guān)管理工作經(jīng)歷和個人信息保護專業(yè)知識的人員擔(dān)任是否依據(jù)業(yè)務(wù)安全需求，制定并執(zhí)行個人信息安全管理的方針和策略是否制定個人信息處理各環(huán)節(jié)的安全管理制度是否與從事個人信息處理崗位的相關(guān)人員簽署保密協(xié)議，對有條件大量接觸個人敏感信息的人員進行背景審查是否明確涉及個人信息處理的崗位的安全職責(zé)是否對個人信息處理崗位上的人員進行專業(yè)培訓(xùn)和考核，保證其了解網(wǎng)絡(luò)安全要求、隱私政策是否對可能訪問個人信息的外部服務(wù)人員進行管理，包括簽定協(xié)議、是否與第三方簽署有約束力的合同文件，約束第三方保護個人信息是否定期對第三方處理個人信息的行為進行檢查、審計其它管理要求業(yè)務(wù)處理或可能處理個人信息的數(shù)量、頻率、用是否曾發(fā)生過個人信息安全事件個人信息保護相關(guān)執(zhí)法監(jiān)管動態(tài)近期收到過公開發(fā)布的安全相關(guān)的警示信息信息安全技術(shù)個人信息安全影響評估指南》中建議，可使用下表判定準則判斷高中低身份證號在內(nèi)的信息。如不填寫不能正常掛號看清理)高個人權(quán)益影響分析是分析特定個人信息處理活動是否對個人合法權(quán)益產(chǎn)生高中低采用紙質(zhì)文檔采集患者信息，且未對相關(guān)紙質(zhì)愿為外界所知的信息，如病情(如有傳染性中據(jù)訪問控制要求對紙質(zhì)個人信息的存填寫患者聯(lián)系人的包括，姓名、聯(lián)系方式、身信息。如不填寫不能正常掛號看病。收集患者聯(lián)證號超出了收集信息的目的，違反個人信息收集患者為保護聯(lián)系人的個人信息，不能正常掛號進行診療，中施評估及撰寫報告人員信息，參考的依據(jù)、個人信息影響評估對象(明確涉及根據(jù)《GB/T35273-2020信息安全技術(shù)個人信息安全規(guī)范》要求，組織作為個人信息處理者應(yīng)當(dāng)明確其法定代表人或主要負責(zé)人對個人信息安全負全面領(lǐng)導(dǎo)責(zé)任。法人代表/主要負責(zé)人1)主要業(yè)務(wù)涉及個人信息處理，且從業(yè)人員規(guī)模大于200人；2)處理超過100萬人的個人信息，或預(yù)計在12個月內(nèi)處理超過100萬人3)處理超過10萬人的個人敏感信息的。1)全面統(tǒng)籌實施組織內(nèi)部的個人信息安全工作，對個人信息安全負直接責(zé)2)組織制定個人信息保護工作計劃并督促落實；3)制定、簽發(fā)、實施、定期更新個人信息保護政策和相關(guān)規(guī)程；4)建立、維護和更新組織所持有的個人信息清單(包括5)開展個人信息安全影響評估，提出個人信息保護的對策建議，督促整改6)組織開展個人信息安全培訓(xùn)；7)在產(chǎn)品或服務(wù)上線發(fā)布前進行檢測，避免未知的個人信息收集、使用、8)公布投訴、舉報方式等信息并及時受理投訴舉報；4.4.2.個人信息保護管理策略合法性最小必要存儲時間最小化去標識化生物信息加密傳輸訪問控制目的限制影響評估告知匿名化授權(quán)同意限制使用合同個人生物識別信息(面部特征、指紋、聲紋等)在收集時應(yīng)當(dāng)確保個人明示收集不滿14周歲的未成年人的個人信息應(yīng)取得其監(jiān)護人的明示同意。將可用于恢復(fù)識別個人的信息與去標識化后的信息分開存儲并加強訪問和用的《個人信息出境安全評估辦法(征求意見稿)》要求進行管理。人信息處理者應(yīng)當(dāng)在每年12月31日將本年度個人信息出境情況、合同履行情況報告所在地省級網(wǎng)信部門，并保存5年內(nèi)的個人信息出境記錄。如提供產(chǎn)品和服務(wù)過程中引入具備收集個人信息功能的第三方產(chǎn)品或服務(wù)>刪除或匿名化個人信息處理者在設(shè)計應(yīng)用系統(tǒng)功能和流程時應(yīng)將法律法規(guī)賦予個人的權(quán)結(jié)合ISO/IEC27001的管理體系，個人信息安全管理體系在網(wǎng)絡(luò)安全管理策個人信息安全管理體系調(diào)整內(nèi)容式方法，組織應(yīng)當(dāng)聲明其遵守法律法規(guī)和合同條款。與合作伙伴或第三方之間應(yīng)明確職責(zé)分配。信息安全組織人力資源安全應(yīng)采取有效措施對組織個人進行個人信息安全意識教育和培訓(xùn)。資產(chǎn)管理個人信息應(yīng)當(dāng)作為組織控制或管理的信息資產(chǎn)的一部分進行管理。并在分級管理過程中考慮個人信息的敏感程度，對個人信息采取有效措施進行保護。訪問控制2、涉及個人信息的信息系統(tǒng)的特權(quán)賬戶應(yīng)嚴格管加密個人信息在存儲、傳輸過程中應(yīng)當(dāng)加密。設(shè)備安全涉及個人信息的設(shè)備如需要重新分配存儲空物理環(huán)境安全竊取。運行安全1、個人信息應(yīng)定期進行備份，并對備份信息進行處于備份狀態(tài)中的個人信息應(yīng)當(dāng)加密。2、關(guān)于個人信息的任何操作都應(yīng)當(dāng)被記錄，如有可相應(yīng)技術(shù)條件應(yīng)建立一個流程使用自動化工具涉及個人信息的日志都應(yīng)當(dāng)?shù)玫酵咨票４?、當(dāng)涉及第三方人員時，應(yīng)當(dāng)通過保密協(xié)議等方信息系統(tǒng)開發(fā)、維護2、應(yīng)用系統(tǒng)在開發(fā)階段應(yīng)識別與個人信息保護有關(guān)的安全需求，包括業(yè)務(wù)需求和系統(tǒng)需求，以保障信息系統(tǒng)自身的全規(guī)性；設(shè)計階段應(yīng)對流程和系3、不得使用真實的個人信息進行測試。1、當(dāng)涉及與第三方共享、傳輸或委托等情況時，2、與第三方簽署合同，明確雙方安全職責(zé)。3、定期對第三方進行審計。1、應(yīng)建立個人信息安全事件管理流程，明確事件的定期、處置、上報告、告知個人等方面的內(nèi)容。2、應(yīng)建立個人信息安全事件應(yīng)急方案，定期演合規(guī)性要求5.個人信息保護技術(shù)體系個人信息安全保護技術(shù)是實現(xiàn)個人信息保護目標的必備工具。涉及個人安全的主要技加密技術(shù)是一項古老而常新的數(shù)據(jù)安全保護技術(shù)。使用算法將數(shù)據(jù)原文變成無法直接當(dāng)個人敏感信息(如生物識別信息等)需要存儲時，應(yīng)加密存儲。如個人信息存儲在數(shù)據(jù)庫可使數(shù)據(jù)庫自帶的加密功能；如數(shù)據(jù)以大數(shù)據(jù)形式存儲可在大數(shù)據(jù)平臺的建設(shè)階段使數(shù)據(jù)庫加密系統(tǒng)支持Oracle,DB2,SQLServer,My啟明星辰統(tǒng)一安全平臺(4A),可實現(xiàn)企業(yè)IT資源的集中管理連接用戶表1.11oysql)-表-TavicatFresi表p***dvenustechcon,cn陶*明印*酵斜*山薊*如□□中策略票止工單敬的(角色)禁止查看審計日志(角色)票止訪間用戶數(shù)據(jù)(角色)◎啟用□十a(chǎn)dd,liou,test1,admin1,test,ar2,4a1[未配蜀pengmelrong,admin,test2,testi,dd□123123,asdfasdf1,ecc,qqtv123