2024大型互聯(lián)網(wǎng)平臺(tái)網(wǎng)絡(luò)安全評(píng)估指南

大型互聯(lián)網(wǎng)平臺(tái)網(wǎng)絡(luò)安全評(píng)估指南IVIV目錄范圍 1術(shù)語和定義 1評(píng)估工作組織 2評(píng)估內(nèi)容 4評(píng)估方法 9附錄A(資料性)大型互聯(lián)網(wǎng)平臺(tái)網(wǎng)絡(luò)安全評(píng)估總結(jié)報(bào)告 12PAGEPAGE10范圍本實(shí)踐指南從影響或者可能影響社會(huì)穩(wěn)定和公共利益的角本實(shí)踐指南為大型互聯(lián)網(wǎng)平臺(tái)開展網(wǎng)絡(luò)安全評(píng)估提供參考。術(shù)語和定義largeinternetplatform注1：較大規(guī)模是指在過去的一年期間，在我國(guó)累計(jì)活躍用戶總數(shù)不低于5000萬。注2：提供業(yè)務(wù)包括但不限即時(shí)通信、社交網(wǎng)絡(luò)、電子商務(wù)、直播、短視頻、信息資訊、應(yīng)用商店、網(wǎng)絡(luò)預(yù)約汽車、網(wǎng)絡(luò)支付等。criticalservice占平臺(tái)營(yíng)業(yè)收入、用戶規(guī)模、資源投入較大比例的業(yè)務(wù)。Importantfacilities支撐關(guān)鍵業(yè)務(wù)的網(wǎng)絡(luò)、系統(tǒng)、服務(wù)和其他資產(chǎn)。關(guān)鍵軟硬件criticalsoftwareorhardware儲(chǔ)importantpositionandpersonnel刪穩(wěn)環(huán)境停注：工作人員包括本單位人員以及承擔(dān)相關(guān)工作任務(wù)的外單位人員。resilience攻擊斷恢評(píng)估工作組織工作組的設(shè)立大型互聯(lián)網(wǎng)平臺(tái)開展網(wǎng)絡(luò)安全評(píng)估需要首先設(shè)立網(wǎng)絡(luò)安全評(píng)估工作組：注1：平臺(tái)主要負(fù)責(zé)人指平臺(tái)經(jīng)營(yíng)主體的主要負(fù)責(zé)人或?qū)嶋H控制人。工作組各項(xiàng)具體工作由平臺(tái)主要負(fù)責(zé)人指定的牽頭人組織推動(dòng)，牽頭人應(yīng)是平臺(tái)高級(jí)管理人員。注董工作組的職責(zé)穩(wěn)定、公共利工作組的能力保障工作組牽頭人需要識(shí)別與平臺(tái)網(wǎng)絡(luò)安全評(píng)估工作相關(guān)的主要部股主體、實(shí)際控制人、高級(jí)管理人員、重崗環(huán)境、物理環(huán)境相關(guān)安全風(fēng)險(xiǎn)，以及業(yè)務(wù)模式相關(guān)安談訴潛輸數(shù)據(jù)等場(chǎng)景因不同國(guó)家、地區(qū)環(huán)境、保護(hù)水平差異可能導(dǎo)致的網(wǎng)絡(luò)安評(píng)估內(nèi)容關(guān)鍵業(yè)務(wù)彈性評(píng)估內(nèi)容包括：癱瘓;去一年中，平臺(tái)的關(guān)鍵業(yè)務(wù)發(fā)生過長(zhǎng)時(shí)間業(yè)務(wù)癱瘓的去五年中，本平臺(tái)以及國(guó)內(nèi)外同等級(jí)平臺(tái)發(fā)生的導(dǎo)致斷、大面積癱瘓事件及情形，分析在本平臺(tái)發(fā)似硬件、軟件、組件等，一旦發(fā)生故障或功癱瘓容災(zāi)備份能力評(píng)估內(nèi)容包括：彈性災(zāi);災(zāi)災(zāi)難發(fā)生后，關(guān)鍵業(yè)務(wù)從停頓到恢復(fù)的時(shí)間，以及系統(tǒng)恢面演關(guān)鍵軟硬件產(chǎn)品供應(yīng)鏈安全性評(píng)估內(nèi)容包括：硬靠性；硬件產(chǎn)品是否可能因?yàn)檎?、外交、貿(mào)易等因素?cái)?硬件產(chǎn)品是否可能發(fā)生被惡意植入后門、不明功硬去一年中，關(guān)鍵業(yè)務(wù)是否發(fā)生過供應(yīng)鏈安全事件；并緩解、預(yù)防威抵御注：供應(yīng)鏈安全事件主要是指，因政治、外交、貿(mào)易、專利授權(quán)等非技術(shù)因素導(dǎo)致產(chǎn)品和服務(wù)供應(yīng)中斷、不及時(shí)、不足量的供應(yīng)，以及被惡意植入代碼或后門所引起的安全事件。對(duì)外提供數(shù)據(jù)的可控性濫用穩(wěn)健全的對(duì)外提供重要數(shù)據(jù)、個(gè)人信息的管理制度：看評(píng)估管理制度中對(duì)數(shù)據(jù)接收方數(shù)據(jù)保護(hù)義務(wù)和責(zé)任做出濫用的風(fēng)險(xiǎn)：濫累計(jì)100以上計(jì)10敏數(shù)據(jù)泄露事件發(fā)生后應(yīng)急處置旦穩(wěn)定、破解難度，以及所采用密碼算法是否阻溯能力;溯去一年中，平臺(tái)發(fā)生的大規(guī)模數(shù)據(jù)泄露事件以及事件阻斷泄露、追溯事件來平臺(tái)控制權(quán)評(píng)估當(dāng)前平臺(tái)對(duì)重要設(shè)施和數(shù)據(jù)的控制權(quán)情況，評(píng)估內(nèi)容包括：股崗位人員清單臺(tái)賬，核驗(yàn)是否賬實(shí)相符，是否完整觸崗位設(shè)置及相應(yīng)權(quán)限設(shè)置情況；評(píng)估是否具備重要崗崗位人員的外包供應(yīng)商背景情況，了解其控股籍、背景、歷史信用用戶權(quán)益保護(hù)去是否從用戶反饋、用戶投訴、消費(fèi)者權(quán)益保護(hù)組織、主管是否采用社會(huì)公示、向內(nèi)設(shè)個(gè)人信息保護(hù)監(jiān)管機(jī)構(gòu)通告或是否將公眾的反饋意見、采納情況及其理由在平臺(tái)界面的刪除權(quán)、更是否在平臺(tái)界面便利位置提供行使以上權(quán)利的訪問或操作說明平臺(tái)實(shí)際響應(yīng)用戶行權(quán)請(qǐng)求的落實(shí)情況，包括行權(quán)請(qǐng)求的總次數(shù)、請(qǐng)求內(nèi)容、響應(yīng)完成度、辦理時(shí)限，拒絕行用戶選擇轉(zhuǎn)移個(gè)人信息后，平臺(tái)是否仍保留、存儲(chǔ)、處理是否在顯著位置做出標(biāo)識(shí)，是否允許用戶拒絕接收定向推是否向用戶明示推送算法決策所依賴的用戶網(wǎng)絡(luò)歷史行為評(píng)估方法年度網(wǎng)絡(luò)安全評(píng)估工作組每年組織開展一次覆蓋第4章內(nèi)容的、完整的網(wǎng)絡(luò)安全評(píng)估：幫4判判撰A；重要事項(xiàng)網(wǎng)絡(luò)安全評(píng)估述?，F(xiàn)有關(guān)鍵業(yè)務(wù)，或關(guān)鍵業(yè)務(wù)的重要崗輿論屬性或者社會(huì)動(dòng)員能力的健康密切相關(guān)的率；100萬10萬敏累100萬10萬敏報(bào)告使用大型互聯(lián)網(wǎng)平臺(tái)網(wǎng)絡(luò)安全評(píng)估報(bào)告以及重要事項(xiàng)網(wǎng)絡(luò)安全安全易分裁剪附錄A（資料性）大型互聯(lián)網(wǎng)平臺(tái)年度網(wǎng)絡(luò)安全評(píng)估報(bào)告模板A.13、股權(quán)結(jié)構(gòu)/主要股東；4、經(jīng)營(yíng)情況；5、涉海外分支結(jié)構(gòu)情況；6、其他情況。A.2、網(wǎng)絡(luò)安全評(píng)估落實(shí)情況1、網(wǎng)絡(luò)安全評(píng)估工作組設(shè)立、運(yùn)行情況；2、平臺(tái)日常運(yùn)行相關(guān)安全情況；3、年度網(wǎng)絡(luò)安全評(píng)估工作開展基本情況；4、重要事項(xiàng)網(wǎng)絡(luò)安全評(píng)估情況。A.3、年度網(wǎng)絡(luò)安全評(píng)估結(jié)果（54）性（4.144.1b相關(guān)信息的填寫使用表A.14.1cA.2）表A.1業(yè)務(wù)癱瘓安全事件列表序號(hào)事件名稱事件起始時(shí)間主要內(nèi)容與經(jīng)過事件原因事后緩解措施與效果填表說明：過去一年中，平臺(tái)的關(guān)鍵業(yè)務(wù)發(fā)生過長(zhǎng)時(shí)間業(yè)務(wù)癱瘓列明安全事件的時(shí)間、主要內(nèi)容與經(jīng)過，分析事件原因，列明緩解措施；事后緩解措施：事件發(fā)生后，針對(duì)關(guān)鍵業(yè)務(wù)采取的整改、緩?fù){判斷平臺(tái)的應(yīng)對(duì)御效果和風(fēng)險(xiǎn)后果；表A.2極端情況下長(zhǎng)時(shí)間業(yè)務(wù)癱瘓風(fēng)險(xiǎn)列表序號(hào)過去發(fā)生的風(fēng)險(xiǎn)事臺(tái)）風(fēng)險(xiǎn)原因本平臺(tái)發(fā)生類似事件的可能性如可能性較小，請(qǐng)說明理由（已采取措施）填表說明：過去斷大面積癱瘓難恢（4.244.2d相關(guān)信息的填寫使用表A.3）A.3災(zāi)難恢復(fù)演練記錄列表序號(hào)災(zāi)難恢復(fù)演練時(shí)間演練形式演練內(nèi)容與過程演練結(jié)果與效果填表說明：逐一列舉過去一年中，開展關(guān)鍵業(yè)務(wù)災(zāi)難恢復(fù)演練的記錄；演練形式：桌面演練、模擬演練、實(shí)際切換演練或其他形式；演練結(jié)果與效果：開展實(shí)際切換演練的，容災(zāi)冗余系統(tǒng)是否具備獨(dú)立承RTORPO；其他經(jīng)演練證實(shí)的災(zāi)難恢硬（4.354.3b、cd4.3eA.5）

表A.4產(chǎn)品和服務(wù)供應(yīng)鏈風(fēng)險(xiǎn)列表存在供應(yīng)如前兩項(xiàng)存在風(fēng)險(xiǎn)較大的影響序關(guān)鍵軟硬鏈中斷的被惡意植入后門的號(hào)件名稱風(fēng)險(xiǎn)大小風(fēng)險(xiǎn)大小及理由及理由填表說明：逐一列舉關(guān)鍵軟硬件，評(píng)估其供應(yīng)鏈風(fēng)險(xiǎn)對(duì)平臺(tái)關(guān)鍵業(yè)務(wù)影響的程度；如前兩項(xiàng)存在風(fēng)險(xiǎn)較大情況，請(qǐng)說明對(duì)關(guān)鍵業(yè)務(wù)的影響：分析認(rèn)為關(guān)鍵恢表A.5供應(yīng)鏈安全事件列表序號(hào)事件名稱事件起始時(shí)間主要內(nèi)容與經(jīng)過事件原因事后緩解措施填表說明：過去事后緩解措施：如果導(dǎo)致安全事件的威脅響以及當(dāng)前平臺(tái)的應(yīng)對(duì)抵御效果；（按照本文件4.4內(nèi)容逐條進(jìn)行2項(xiàng)網(wǎng)絡(luò)安全評(píng)估，信息的填寫使用表A.6）

表A.6向第三方提供重要數(shù)據(jù)和個(gè)人信息的情況序號(hào)時(shí)間第三方單位主字段數(shù)據(jù)量審批人接收方是否能夠有效保障數(shù)據(jù)評(píng)估結(jié)果及理由體是否存在未經(jīng)本公司同意，又向其他方提供的情況。填表說明：1）填寫過去一年中，向第三方提供重要數(shù)據(jù)和個(gè)人信息的事例情況；（4.534.5a相關(guān)信息的填寫使用表4.5cA.8）表A.7重要數(shù)據(jù)保護(hù)情況重要數(shù)據(jù)數(shù)據(jù)內(nèi)容存儲(chǔ)載體和網(wǎng)絡(luò)位置是否加密及采取的加密算法被破解難度填表說明：存儲(chǔ)載體和網(wǎng)絡(luò)位置：包括但不限于，數(shù)據(jù)庫、通信線路、云存儲(chǔ)、終端、網(wǎng)絡(luò)緩存等；A.8序號(hào)事件名稱事件時(shí)間主要內(nèi)容與經(jīng)過數(shù)據(jù)保護(hù)機(jī)制有效性情況數(shù)據(jù)泄露的感知、阻斷、溯源情況填表說明：過去一年中，平臺(tái)發(fā)生大規(guī)模數(shù)據(jù)泄露的安全事件的，填寫表A.7；3.4的方法和內(nèi)容分析數(shù)據(jù)保護(hù)機(jī)制的有效性；阻斷溯