GB-T 37988-2019信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型

信息安全技術(shù)數(shù)據(jù)安全能力成熟度模型Informationsecuritytechnology—Datasecuritycapability國(guó)家市場(chǎng)監(jiān)督管理總局中國(guó)國(guó)家標(biāo)準(zhǔn)化管理委員會(huì) 12規(guī)范性引用文件 13術(shù)語和定義 14縮略語 3 35.1成熟度模型架構(gòu) 35.2安全能力維度 45.3能力成熟度等級(jí)維度 45.4數(shù)據(jù)安全過程維度 66數(shù)據(jù)采集安全 76.1PA01數(shù)據(jù)分類分級(jí) 76.2PA?2數(shù)據(jù)采集安全管理 86.3PA03數(shù)據(jù)源鑒別及記錄 96.4PA04數(shù)據(jù)質(zhì)量管理 7數(shù)據(jù)傳輸安全 7.1PA05數(shù)據(jù)傳輸加密 7.2PA06網(wǎng)絡(luò)可用性管理 8數(shù)據(jù)存儲(chǔ)安全 8.1PA07存儲(chǔ)媒體安全 8.2PA08邏輯存儲(chǔ)安全 8.3PA09數(shù)據(jù)備份和恢復(fù) 9數(shù)據(jù)處理安全 9.1PA10數(shù)據(jù)脫敏 9.2PA11數(shù)據(jù)分析安全 209.3PA12數(shù)據(jù)正當(dāng)使用 229.4PA13數(shù)據(jù)處理環(huán)境安全 9.5PA14數(shù)據(jù)導(dǎo)入導(dǎo)出安全 2410數(shù)據(jù)交換安全 2610.1PA15數(shù)據(jù)共享安全 2610.2PA16數(shù)據(jù)發(fā)布安全 2710.3PA17數(shù)據(jù)接口安全 2811數(shù)據(jù)銷毀安全 2911.1PA18數(shù)據(jù)銷毀處置 11.2PA19存儲(chǔ)媒體銷毀處置 31Ⅱ12通用安全 3212.1PA20數(shù)據(jù)安全策略規(guī)劃 3212.2PA21組織和人員管理 3412.3PA22合規(guī)管理 3612.4PA23數(shù)據(jù)資產(chǎn)管理 3812.5PA24數(shù)據(jù)供應(yīng)鏈安全 3912.6PA25元數(shù)據(jù)管理 4112.7PA26終端數(shù)據(jù)安全 4212.8PA27監(jiān)控與審計(jì) 4312.9PA28鑒別與訪問控制 4412.10PA29需求分析 4612.11PA30安全事件應(yīng)急 附錄A(資料性附錄)能力成熟度等級(jí)描述與GP 49 49A.2能力成熟度等級(jí)1——非正式執(zhí)行 A.3能力成熟度等級(jí)2——計(jì)劃跟蹤 A.4能力成熟度等級(jí)3——充分定義 A.5能力成熟度等級(jí)4——量化控制 A.6能力成熟度等級(jí)5——持續(xù)優(yōu)化 附錄B(資料性附錄)能力成熟度等級(jí)評(píng)估參考方法 54附錄C(資料性附錄)能力成熟度等級(jí)評(píng)估流程和模型使用方法 55C.1能力成熟度等級(jí)評(píng)估流程 C.2能力成熟度模型使用方法 參考文獻(xiàn) Ⅲ本標(biāo)準(zhǔn)按照GB/T1.1—2009給出的規(guī)則起草。本標(biāo)準(zhǔn)由全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)(SAC/TC260)提信息安全技術(shù)數(shù)據(jù)安全能力成熟度模型下列文件對(duì)于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文GB/T29246—2017信息技術(shù)安全技術(shù)信息安全管理體系概述GB/T25069—2010和GB/T29246—2017界定的以及下列術(shù)語和定義適用于本文對(duì)一個(gè)組織有條理的持續(xù)改進(jìn)能力以及實(shí)現(xiàn)特定過程的連續(xù)性、可持續(xù)性、有效性和可信度的2對(duì)一個(gè)組織的能力成熟度進(jìn)行度量的模型，包括一系列代表能力和進(jìn)展的特征、屬性、指示或者通過一系列數(shù)據(jù)處理方法對(duì)原始數(shù)據(jù)進(jìn)行處理以屏蔽敏感數(shù)據(jù)的注1:數(shù)據(jù)處理包括開發(fā)數(shù)據(jù)產(chǎn)品或數(shù)據(jù)分析等。34縮略語下列縮略語適用于本文件。BP:基本實(shí)踐(BasePractice)DSMM:數(shù)據(jù)安全能力成熟度模型(DataSecurityCapabilityMaturityModel)GP:通用實(shí)踐(GenericPractice)SSL:安全套接層(SecureSocketsLayer)TLS:傳輸層安全(TransportLayerSecurity)5DSMM架構(gòu)5.1成熟度模型架構(gòu)DSMM架構(gòu)如圖1所示。傅是語置全數(shù)據(jù)冷疾安全數(shù)據(jù)不富安全數(shù)器作要安4數(shù)部浮筑安全DSMM的架構(gòu)由以下三個(gè)維度構(gòu)成：a)安全能力維度安全能力維度明確了組織在數(shù)據(jù)安全領(lǐng)域應(yīng)具備的能力，包括組織建設(shè)、制度流程、技術(shù)工具和人員能力。b)能力成熟度等級(jí)維度數(shù)據(jù)安全能力成熟度等級(jí)劃分為五級(jí)，具體包括：1級(jí)是非正式執(zhí)行級(jí)，2級(jí)是計(jì)劃跟蹤級(jí)，3級(jí)是充分定義級(jí)，4級(jí)是量化控制級(jí)，5級(jí)是持續(xù)優(yōu)化級(jí)。4c)數(shù)據(jù)安全過程維度安全能力分為以下4個(gè)方面：a)數(shù)據(jù)安全組織架構(gòu)對(duì)組織業(yè)務(wù)的適用性；a)數(shù)據(jù)生存周期關(guān)鍵控制節(jié)點(diǎn)授權(quán)審批流程的明確性；從組織用于開展數(shù)據(jù)安全工作的安全技術(shù)、應(yīng)用系統(tǒng)和工具出發(fā)，根據(jù)以下方面進(jìn)行能力等級(jí)a)數(shù)據(jù)安全人員所具備的數(shù)據(jù)安全技能是否能夠滿足實(shí)現(xiàn)安全目標(biāo)的能力要求(對(duì)數(shù)據(jù)相關(guān)業(yè)務(wù)的理解程度以及數(shù)據(jù)安全專業(yè)能力);b)數(shù)據(jù)安全人員的數(shù)據(jù)安全意識(shí)以及對(duì)關(guān)鍵數(shù)據(jù)安全崗位員工數(shù)據(jù)安全能力的培養(yǎng)。組織的數(shù)據(jù)安全能力成熟度等級(jí)共分為5級(jí)，見表1。5說明等級(jí)1:執(zhí)行BP:組織在數(shù)據(jù)安全過程中不能有效地執(zhí)行務(wù)執(zhí)行過程中根據(jù)臨時(shí)的需求執(zhí)行了相關(guān)工作，未形成成熟的機(jī)制保證相關(guān)工作的持續(xù)有效進(jìn)行，執(zhí)行相關(guān)工作的人員未達(dá)到相應(yīng)能力。所執(zhí)行的過程稱為“非正式過程”隨機(jī)、無序、被動(dòng)地執(zhí)人經(jīng)驗(yàn)，無法復(fù)制等級(jí)2:b)規(guī)范執(zhí)行：對(duì)安全過程進(jìn)行控制，使用執(zhí)行計(jì)劃c)驗(yàn)證執(zhí)行：確認(rèn)過程按預(yù)定的方式執(zhí)行，驗(yàn)證d)跟蹤執(zhí)行：控制數(shù)據(jù)安全過程執(zhí)行的進(jìn)展，通地實(shí)現(xiàn)了安全過程的等級(jí)3:a)定義標(biāo)準(zhǔn)過程：組織對(duì)標(biāo)準(zhǔn)過程進(jìn)行制度化，為組織定義標(biāo)準(zhǔn)化的執(zhí)行的結(jié)果數(shù)據(jù)，對(duì)有缺陷的過程結(jié)果和安全實(shí)協(xié)調(diào)機(jī)制等級(jí)4:b)客觀地管理執(zhí)行：確定過程能力的等級(jí)5:a)改進(jìn)組織能力：在整個(gè)組織范圍內(nèi)對(duì)規(guī)b)改進(jìn)過程有效性：制定處于持續(xù)改a)將組織在每個(gè)數(shù)據(jù)安全PA的能力成熟度劃分為五級(jí)，針對(duì)每個(gè)等級(jí)下組織應(yīng)具備的能力要b)3級(jí)要求應(yīng)包含全部4個(gè)安全能力，其他等級(jí)要求可不包含完整的4個(gè)數(shù)據(jù)安全關(guān)鍵能力，并非每個(gè)安全PA的能力成熟度等級(jí)都包含完整的4個(gè)數(shù)據(jù)安全關(guān)鍵能力。示例：某些PA的2級(jí)要求具備組織建設(shè)和制度流程兩個(gè)關(guān)鍵能力，而4級(jí)和5級(jí)的能力要求僅涉及部分關(guān)鍵能力c)對(duì)于每個(gè)數(shù)據(jù)安全PA,高等級(jí)的能力要求應(yīng)包括所有低等級(jí)能力要求。針對(duì)某一具體數(shù)據(jù)安全PA,如果5級(jí)的能力要求中未涉及某一關(guān)鍵能力的內(nèi)容，則默認(rèn)應(yīng)達(dá)到在4級(jí)的能力要求中的該關(guān)鍵能力的內(nèi)容；如果4級(jí)的能力要求中依舊未涉及該關(guān)鍵能力，則默認(rèn)應(yīng)達(dá)到在6能力成熟度等級(jí)評(píng)估流程和模型使用方法，參見附錄C。5.4數(shù)據(jù)安全過程維度數(shù)據(jù)生存周期分為以下6個(gè)階段：a)數(shù)據(jù)采集：組織內(nèi)部系統(tǒng)中新產(chǎn)生數(shù)據(jù)，以及從外部系統(tǒng)收集數(shù)據(jù)的階段；b)數(shù)據(jù)傳輸：數(shù)據(jù)從一個(gè)實(shí)體傳輸?shù)搅硪粋€(gè)實(shí)體的階段；c)數(shù)據(jù)存儲(chǔ)：數(shù)據(jù)以任何數(shù)字格式進(jìn)行存儲(chǔ)的階段；d)數(shù)據(jù)處理：組織在內(nèi)部對(duì)數(shù)據(jù)進(jìn)行計(jì)算、分析、可視化等操作的階段；e)數(shù)據(jù)交換：組織與組織或個(gè)人進(jìn)行數(shù)據(jù)交換的階段；f)數(shù)據(jù)銷毀：對(duì)數(shù)據(jù)及數(shù)據(jù)存儲(chǔ)媒體通過相應(yīng)的操作手段，使數(shù)據(jù)徹底刪除且無法通過任何手段恢復(fù)的過程。特定的數(shù)據(jù)所經(jīng)歷的生存周期由實(shí)際的業(yè)務(wù)所決定，可為完整的6個(gè)階段或是其中的幾個(gè)階段。PA體系分為數(shù)據(jù)生存周期安全過程和通用安全過程兩部分，共包含30個(gè)PA,如圖2所示。數(shù)制分類分版重教采集安全管烈數(shù)制源基別及記錄數(shù)制頑量管理數(shù)據(jù)生存周期安全過程域包括以下6個(gè)過程：a)數(shù)據(jù)采集安全的PA(PA?1～PA04)包括：數(shù)據(jù)分類分級(jí)、數(shù)據(jù)采集安全管理、數(shù)據(jù)源鑒別及記錄、數(shù)據(jù)質(zhì)量管理4個(gè)PA;b)數(shù)據(jù)傳輸安全的PA(PA05～PA06)包括：數(shù)據(jù)傳輸加密、網(wǎng)絡(luò)可用性管理2個(gè)PA;c)數(shù)據(jù)存儲(chǔ)安全的PA(PA07～PA?9)包括：存儲(chǔ)媒體安全、邏輯存儲(chǔ)安全、數(shù)據(jù)備份和恢復(fù)3個(gè)d)數(shù)據(jù)處理安全的PA(PA10～PA14)包括：數(shù)據(jù)脫敏、數(shù)據(jù)分析安全、數(shù)據(jù)正當(dāng)使用、數(shù)據(jù)處理環(huán)境安全、數(shù)據(jù)導(dǎo)入導(dǎo)出安全5個(gè)安全PA;e)數(shù)據(jù)交換安全的PA(PA15～PA17)包括：數(shù)據(jù)共享安全、數(shù)據(jù)發(fā)布安全、數(shù)據(jù)接口安全3個(gè)安f)數(shù)據(jù)銷毀安全的PA(PA18～PA19)包括：數(shù)據(jù)銷毀處置、存儲(chǔ)媒體銷毀處置2個(gè)安全PA。通用安全過程域(PA20～PA30)包括：數(shù)據(jù)安全策略規(guī)劃、組織和人員管理、合規(guī)管理、數(shù)據(jù)資產(chǎn)管7急11個(gè)PA。數(shù)據(jù)安全PA編碼規(guī)則如下：基于法律法規(guī)以及業(yè)務(wù)需求確定組織內(nèi)部的數(shù)據(jù)分類分級(jí)方法，對(duì)生成或收集的數(shù)據(jù)進(jìn)行分類分b)制度流程：應(yīng)根據(jù)業(yè)務(wù)特性和外部合規(guī)要求，對(duì)核心業(yè)務(wù)的關(guān)鍵數(shù)據(jù)進(jìn)行分類分級(jí)管理2)應(yīng)對(duì)組織的數(shù)據(jù)進(jìn)行分類分級(jí)標(biāo)識(shí)和管理(BP.01.06);84)應(yīng)明確數(shù)據(jù)分類分級(jí)變更審批流程和機(jī)制，通過該流程保證對(duì)數(shù)據(jù)分類分級(jí)的變更操作a)應(yīng)記錄自動(dòng)分類分級(jí)結(jié)果與人工審核后的分類分級(jí)結(jié)果之間的差異，定期分析改進(jìn)分類分級(jí)a)制度流程：應(yīng)定期評(píng)審數(shù)據(jù)分類分級(jí)的規(guī)范和細(xì)93)應(yīng)明確數(shù)據(jù)采集范圍、數(shù)量和頻度，確保不收集與提供服務(wù)無關(guān)的個(gè)人信息和重要數(shù)據(jù)類型進(jìn)行風(fēng)險(xiǎn)評(píng)估(BP.02.09);5)應(yīng)明確數(shù)據(jù)采集過程中個(gè)人信息和重要數(shù)據(jù)的知悉范圍和需要采取的控制措施，確保采集過程中的個(gè)人信息和重要數(shù)據(jù)不被泄漏(BP.02.10);6)應(yīng)明確自動(dòng)化采集數(shù)據(jù)的范圍(BP.02.11)。1)應(yīng)依據(jù)統(tǒng)一的數(shù)據(jù)采集流程建設(shè)數(shù)據(jù)采集相關(guān)的工具，以保證組織數(shù)據(jù)采集流程實(shí)現(xiàn)的一致性，同時(shí)相關(guān)系統(tǒng)應(yīng)具備詳細(xì)的日志記錄功能，確保數(shù)據(jù)采集授權(quán)過程的完整記錄2)應(yīng)采取技術(shù)手段保證數(shù)據(jù)采集過程中個(gè)人信息和重要數(shù)據(jù)不被泄漏(BP.02.13)。夠根據(jù)組織的業(yè)務(wù)提出針對(duì)性的解決方案(BP.02.14)。a)制度流程：應(yīng)明確數(shù)據(jù)采集安全管理1)應(yīng)采取必要的技術(shù)手段對(duì)采集的數(shù)據(jù)進(jìn)行校驗(yàn)(BP.02.16);1)組織應(yīng)采取技術(shù)手段對(duì)外部收集的數(shù)據(jù)和數(shù)據(jù)源進(jìn)行識(shí)別和記錄(BP.03.07);1)組織應(yīng)定義了數(shù)據(jù)追溯策略要求、追溯數(shù)據(jù)格式、追溯數(shù)據(jù)安全存儲(chǔ)與使用的管理制度2)應(yīng)明確基于追溯數(shù)據(jù)的數(shù)據(jù)業(yè)務(wù)與法律法規(guī)合規(guī)性審核的機(jī)制，并依據(jù)審核結(jié)果增強(qiáng)或改進(jìn)與數(shù)據(jù)服務(wù)相關(guān)的訪問控制與合規(guī)性保障機(jī)制和策略(BP.03.11)?？梼?nèi)部各類數(shù)據(jù)源的統(tǒng)計(jì)和分析(BP.03.12)。數(shù)據(jù)質(zhì)量進(jìn)行管理和監(jiān)控的責(zé)任部門或人員(BP.04.04)。1)應(yīng)有對(duì)傳輸通道兩端進(jìn)行主體身份鑒別和認(rèn)證的技術(shù)方案和工具(BP.05.04);用TLS/SSL方式),及對(duì)傳輸數(shù)據(jù)內(nèi)容進(jìn)行加密(BP.05.05)。各業(yè)務(wù)的技術(shù)團(tuán)隊(duì)負(fù)責(zé)實(shí)現(xiàn)具體場(chǎng)景下的數(shù)據(jù)傳輸加密(BP.05.06)。2)應(yīng)明確對(duì)數(shù)據(jù)傳輸安全策略的變更進(jìn)行審核的技術(shù)方案(BP.05.08)。具體的業(yè)務(wù)選擇合適的數(shù)據(jù)傳輸安全管理方式(BP.05.11);2)負(fù)責(zé)該項(xiàng)工作的人員應(yīng)熟悉數(shù)據(jù)加密的算法，并能夠基于具體的業(yè)務(wù)選擇合適的加密技1)每個(gè)傳輸鏈路上的節(jié)點(diǎn)都應(yīng)部署了獨(dú)立密鑰對(duì)和數(shù)字證書，以保證各節(jié)點(diǎn)有效的身份鑒2)應(yīng)綜合量化敏感數(shù)據(jù)加密和數(shù)據(jù)傳輸通道加密的實(shí)現(xiàn)效果和成本，定期審核并調(diào)整數(shù)據(jù)3)組織應(yīng)提供統(tǒng)一的數(shù)據(jù)加密模塊供開發(fā)傳輸功能的人員調(diào)用，根據(jù)不同數(shù)據(jù)類型和級(jí)別b)制度流程：應(yīng)在網(wǎng)絡(luò)安全管理的制度中明確關(guān)鍵網(wǎng)絡(luò)鏈路、網(wǎng)絡(luò)(安全)設(shè)備的可用性管理要a)應(yīng)實(shí)現(xiàn)網(wǎng)絡(luò)安全設(shè)備的健康狀態(tài)檢查及自動(dòng)化切換(BP.06.10);c)人員能力：業(yè)務(wù)團(tuán)隊(duì)中負(fù)責(zé)相關(guān)工作的人員，應(yīng)熟悉存儲(chǔ)媒體安全管理的相關(guān)制度要求1)應(yīng)明確存儲(chǔ)媒體訪問和使用的安全管理規(guī)范，建立存儲(chǔ)媒體使用的審批和記錄流程存儲(chǔ)媒體建立格式化規(guī)程(BP.07.07);4)應(yīng)對(duì)存儲(chǔ)媒體進(jìn)行常規(guī)和隨機(jī)檢查，確保存儲(chǔ)媒體的使用符合機(jī)構(gòu)公布的關(guān)于存儲(chǔ)媒體2)應(yīng)對(duì)存儲(chǔ)媒體訪問和使用行為進(jìn)行記錄和審計(jì)(BP.07.11)?；诮M織內(nèi)部的業(yè)務(wù)特性和數(shù)據(jù)存儲(chǔ)安全要求，建立針對(duì)數(shù)據(jù)邏輯存儲(chǔ)、存儲(chǔ)容器等的有效安全1)組織應(yīng)設(shè)立統(tǒng)一負(fù)責(zé)數(shù)據(jù)邏輯存儲(chǔ)安全管理的崗位和人員，負(fù)責(zé)明確整體的數(shù)據(jù)邏輯存2)內(nèi)部的數(shù)據(jù)存儲(chǔ)系統(tǒng)應(yīng)在上線前遵循統(tǒng)一的配置要求進(jìn)行有效的安全配置，對(duì)使用的外部數(shù)據(jù)存儲(chǔ)系統(tǒng)也應(yīng)進(jìn)行有效的安全配置(3)應(yīng)明確數(shù)據(jù)邏輯存儲(chǔ)隔離授權(quán)與操作要求，確保具備多用戶數(shù)據(jù)存儲(chǔ)安全隔離能力2)應(yīng)利用技術(shù)工具監(jiān)測(cè)邏輯存儲(chǔ)系統(tǒng)的數(shù)據(jù)使用規(guī)范性，確保數(shù)據(jù)存儲(chǔ)符合組織的相關(guān)安1)應(yīng)明確分層的邏輯存儲(chǔ)授權(quán)管理規(guī)則和授權(quán)操作要求，具備對(duì)數(shù)據(jù)邏輯存儲(chǔ)結(jié)構(gòu)的分層2)應(yīng)明確數(shù)據(jù)分片和分布式存儲(chǔ)安全規(guī)則，如數(shù)據(jù)存儲(chǔ)完整性規(guī)則、多副本一致性管理規(guī)1)應(yīng)建立管理數(shù)據(jù)存儲(chǔ)系統(tǒng)安全配置的技術(shù)工具，實(shí)現(xiàn)對(duì)安全配置情況的統(tǒng)一管理和控制限包的內(nèi)容(BP.08.20)。b)技術(shù)工具：應(yīng)參與國(guó)際、國(guó)家或行業(yè)相關(guān)標(biāo)準(zhǔn)制定。在業(yè)界分享最佳實(shí)踐，成為行業(yè)標(biāo)桿部分?jǐn)?shù)據(jù)執(zhí)行了臨時(shí)的數(shù)據(jù)備份和恢復(fù)性測(cè)試(5)應(yīng)明確歸檔數(shù)據(jù)的壓縮或加密要求(BP.09.10);9)應(yīng)明確過期存儲(chǔ)數(shù)據(jù)的安全保護(hù)機(jī)制，對(duì)超出有效期的存儲(chǔ)數(shù)據(jù)應(yīng)具備再次獲取數(shù)據(jù)控3)應(yīng)定期采取必要的技術(shù)措施查驗(yàn)備份和歸檔數(shù)據(jù)完整性和可用性(BP.09.17);4)應(yīng)建立過期存儲(chǔ)數(shù)據(jù)及其備份數(shù)據(jù)徹底刪除或匿名化的方法和機(jī)制，能夠驗(yàn)證數(shù)據(jù)已被5)應(yīng)通過風(fēng)險(xiǎn)提示和技術(shù)手段避免非過期數(shù)據(jù)的誤刪除，確保在一定的時(shí)間窗口內(nèi)的誤刪6)應(yīng)確保存儲(chǔ)架構(gòu)具備數(shù)據(jù)存儲(chǔ)跨機(jī)柜或跨機(jī)房容錯(cuò)部署能力(BP1)負(fù)責(zé)該項(xiàng)工作的人員應(yīng)了解數(shù)據(jù)備份媒體的性能和相關(guān)數(shù)據(jù)的業(yè)務(wù)特性，能夠確定有效2)負(fù)責(zé)該項(xiàng)工作的人員應(yīng)了解數(shù)據(jù)存儲(chǔ)時(shí)效性相關(guān)的合規(guī)性要求，并具備基于業(yè)務(wù)對(duì)合規(guī)2)應(yīng)為不同時(shí)效性的數(shù)據(jù)建立分層的數(shù)據(jù)存儲(chǔ)方法，具備按時(shí)效性自動(dòng)遷移數(shù)據(jù)分層存儲(chǔ)3)應(yīng)具備數(shù)據(jù)副本或數(shù)據(jù)備份存儲(chǔ)的多種壓縮策略和實(shí)現(xiàn)技術(shù)，確保壓縮數(shù)據(jù)副本或數(shù)據(jù)4)存儲(chǔ)系統(tǒng)應(yīng)具備數(shù)據(jù)存儲(chǔ)跨地域的容災(zāi)能力(BP.09.28);5)應(yīng)通過工具對(duì)需要符合數(shù)據(jù)存儲(chǔ)合規(guī)要求的數(shù)據(jù)進(jìn)行標(biāo)識(shí)(BP.09.29);b)技術(shù)工具：應(yīng)參與國(guó)際、國(guó)家或行業(yè)相關(guān)標(biāo)準(zhǔn)制定。在業(yè)界分享最佳實(shí)踐，成為行業(yè)標(biāo)桿過程中對(duì)某些數(shù)據(jù)字段執(zhí)行了脫敏處理(BP.10.01)。保證業(yè)務(wù)和安全之間的需求平衡(BP.10.03)。d)技術(shù)工具：應(yīng)通過一定的技術(shù)工具(如敏感字段屏蔽等方式),實(shí)現(xiàn)對(duì)核心業(yè)務(wù)的數(shù)據(jù)脫敏用的數(shù)據(jù)脫敏規(guī)則及方法(BP.10.07)。具體場(chǎng)景保證業(yè)務(wù)和安全之間的需求平衡(BP.10.14);2)應(yīng)具備對(duì)數(shù)據(jù)脫敏的技術(shù)方案定制化的能力，能夠基于組織內(nèi)部各級(jí)別的數(shù)據(jù)建立有效1)應(yīng)配置脫敏數(shù)據(jù)識(shí)別和脫敏效果驗(yàn)證服務(wù)組件或技術(shù)手段，確保數(shù)據(jù)脫敏的有效性和合2)核心業(yè)務(wù)團(tuán)隊(duì)?wèi)?yīng)對(duì)涉及個(gè)人信息的數(shù)據(jù)分析需求進(jìn)行了人工審核，針對(duì)具體的數(shù)據(jù)分析整體保證數(shù)據(jù)分析的預(yù)期不會(huì)超過相關(guān)分析團(tuán)隊(duì)對(duì)數(shù)據(jù)的權(quán)限范圍(BP.11.08);1)在針對(duì)個(gè)人信息的數(shù)據(jù)分析中，組織應(yīng)采用多種技術(shù)手段以降低數(shù)據(jù)分析過程中的隱私2)應(yīng)記錄并保存數(shù)據(jù)處理與分析過程中對(duì)個(gè)人信息、重要數(shù)據(jù)等敏感數(shù)據(jù)的操作行為3)應(yīng)提供組織統(tǒng)一的數(shù)據(jù)處理與分析系統(tǒng)，并能夠呈現(xiàn)數(shù)據(jù)處理前后數(shù)據(jù)間的映射關(guān)系b)應(yīng)采取必要的技術(shù)手段(如對(duì)分析結(jié)果數(shù)據(jù)進(jìn)行掃描并采取必要的控制措施)和管理措施，避c)應(yīng)建立數(shù)據(jù)分析過程的安全風(fēng)險(xiǎn)監(jiān)控系統(tǒng)，對(duì)數(shù)據(jù)分析可能涉及的安全風(fēng)險(xiǎn)進(jìn)行批量的分析d)應(yīng)具備基于機(jī)器學(xué)習(xí)的敏感數(shù)據(jù)自動(dòng)識(shí)別、數(shù)據(jù)分析算法安全設(shè)計(jì)等數(shù)據(jù)分析安全能力析安全管理效果(如改進(jìn)數(shù)據(jù)分析的個(gè)人隱私保護(hù)方案)(BP.11.19)。c)技術(shù)工具：應(yīng)參與國(guó)際、國(guó)家或行業(yè)相關(guān)標(biāo)準(zhǔn)制定。在業(yè)界分享最佳實(shí)踐，成為行業(yè)標(biāo)桿b)制度流程：核心業(yè)務(wù)應(yīng)明確數(shù)據(jù)使用正當(dāng)性的制度，保證數(shù)據(jù)使用在聲明的目的和范圍內(nèi)a)應(yīng)研究并利用新的技術(shù)提升對(duì)用戶的身份及訪問管理能力，并通過風(fēng)險(xiǎn)監(jiān)控與審計(jì)實(shí)現(xiàn)對(duì)數(shù)據(jù)使用的安全風(fēng)險(xiǎn)進(jìn)行自動(dòng)化分析和處理(BP.12.13);2)應(yīng)明確數(shù)據(jù)處理環(huán)境的安全管理要求(BP.13.06);4)組織應(yīng)明確適合數(shù)據(jù)處理環(huán)境的數(shù)據(jù)加解密處理要求和密鑰管理要求(BP.13.08)。1)數(shù)據(jù)處理系統(tǒng)與數(shù)據(jù)權(quán)限管理系統(tǒng)應(yīng)實(shí)現(xiàn)了聯(lián)動(dòng)，用戶在使用數(shù)據(jù)系統(tǒng)前已獲得了授權(quán)2)基于數(shù)據(jù)處理系統(tǒng)的多租戶的特性，應(yīng)對(duì)不同的租戶保證其在該系統(tǒng)中的數(shù)據(jù)、系統(tǒng)功2)應(yīng)建立分布式處理節(jié)點(diǎn)和用戶安全屬性的周期性確認(rèn)機(jī)制(BP.13.15);戶節(jié)點(diǎn)確認(rèn)和自動(dòng)修復(fù)的技術(shù)機(jī)制(BP.13.16);4)應(yīng)建立分布式處理外部服務(wù)組件注冊(cè)與使用審核機(jī)制(BP.13.17);b)技術(shù)工具：應(yīng)參與國(guó)際、國(guó)家或行業(yè)相關(guān)標(biāo)準(zhǔn)制定。在業(yè)界分享最佳實(shí)踐，成為行業(yè)標(biāo)桿通過對(duì)數(shù)據(jù)導(dǎo)入導(dǎo)出過程中對(duì)數(shù)據(jù)的安全性進(jìn)行管理，防止數(shù)據(jù)導(dǎo)入導(dǎo)出過程中可能對(duì)數(shù)據(jù)自身經(jīng)驗(yàn)考慮了個(gè)別系統(tǒng)的數(shù)據(jù)導(dǎo)入導(dǎo)出安全需求(BP.14.01)。據(jù)導(dǎo)出進(jìn)行授權(quán)審批(BP.14.08);4)應(yīng)制定導(dǎo)入導(dǎo)出審計(jì)策略和日志管理規(guī)程，并保存導(dǎo)入導(dǎo)出過程中的出錯(cuò)數(shù)據(jù)處理記錄3)在導(dǎo)入導(dǎo)出完成后應(yīng)對(duì)數(shù)據(jù)導(dǎo)入導(dǎo)出通道緩存的數(shù)據(jù)進(jìn)行刪除，以保證導(dǎo)入導(dǎo)出過程中a)應(yīng)采取多因素鑒別技術(shù)對(duì)數(shù)據(jù)導(dǎo)入導(dǎo)出操作人員進(jìn)行身份鑒別(BP.14.15);b)應(yīng)為數(shù)據(jù)導(dǎo)入導(dǎo)出通道提供冗余備份能力(BP.14.16);c)應(yīng)對(duì)數(shù)據(jù)導(dǎo)入導(dǎo)出接口進(jìn)行流量過載監(jiān)控(BP.14.17);d)應(yīng)建立組織統(tǒng)一的數(shù)據(jù)導(dǎo)入導(dǎo)出管理系統(tǒng)，提示數(shù)據(jù)導(dǎo)入導(dǎo)出的安全風(fēng)險(xiǎn)并進(jìn)行在線審核出服務(wù)組件和導(dǎo)入導(dǎo)出通道的安全性，對(duì)數(shù)據(jù)導(dǎo)入導(dǎo)出的風(fēng)險(xiǎn)控制方案進(jìn)行持續(xù)的優(yōu)化調(diào)整(BP.14.20).b)技術(shù)工具：應(yīng)參與國(guó)際、國(guó)家或行業(yè)相關(guān)標(biāo)準(zhǔn)制定。在業(yè)界分享最佳實(shí)踐，成為行業(yè)標(biāo)桿據(jù)共享涉及機(jī)構(gòu)或部門相關(guān)用戶職責(zé)和權(quán)限(BP.15.06);2)應(yīng)明確數(shù)據(jù)提供者與共享數(shù)據(jù)使用者的數(shù)據(jù)安全責(zé)任和安全防護(hù)能力(BP.15.07);4)使用外部的軟件開發(fā)包/組件/源碼前應(yīng)進(jìn)行安全評(píng)估，獲取的數(shù)據(jù)應(yīng)符合組織的數(shù)據(jù)安2)應(yīng)對(duì)共享數(shù)據(jù)及數(shù)據(jù)共享過程進(jìn)行監(jiān)控審計(jì)，共享的數(shù)據(jù)應(yīng)屬于共享業(yè)務(wù)需求且沒有超1)應(yīng)建立組織統(tǒng)一的數(shù)據(jù)共享交換系統(tǒng)，提示數(shù)據(jù)共享交換的安全風(fēng)險(xiǎn)并進(jìn)行在線審核機(jī)制、服務(wù)組件和共享通道的安全性，對(duì)數(shù)據(jù)共享的風(fēng)險(xiǎn)控制方案進(jìn)行持續(xù)的優(yōu)化調(diào)整b)技術(shù)工具：應(yīng)參與國(guó)際、國(guó)家或行業(yè)相關(guān)標(biāo)準(zhǔn)制定。在業(yè)界分享最佳實(shí)踐，成為行業(yè)標(biāo)桿該等級(jí)的數(shù)據(jù)安全能力要求描述如下：a)組織建設(shè)：組織應(yīng)設(shè)立相關(guān)崗位人員，負(fù)責(zé)組織的數(shù)據(jù)公開發(fā)布信息，并且對(duì)數(shù)據(jù)發(fā)布人員進(jìn)行安全培訓(xùn)(BP.16.05)。b)制度流程：1)應(yīng)明確數(shù)據(jù)公開發(fā)布的審核制度，嚴(yán)格審核數(shù)據(jù)發(fā)布合規(guī)要求(BP.16.06);2)應(yīng)明確數(shù)據(jù)公開內(nèi)容、適用范圍及規(guī)范，發(fā)布者與使用者權(quán)利和義務(wù)(BP.16.07);3)應(yīng)定期審查公開發(fā)布的數(shù)據(jù)中是否含有非公開信息，并采取相關(guān)措施滿足數(shù)據(jù)發(fā)布的合規(guī)性(BP.16.08);4)應(yīng)采取必要措施建立數(shù)據(jù)公開事件應(yīng)急處理流程(BP.16.09)。c)技術(shù)工具：應(yīng)建立數(shù)據(jù)發(fā)布系統(tǒng)，實(shí)現(xiàn)公開數(shù)據(jù)登記、用戶注冊(cè)等發(fā)布數(shù)據(jù)和發(fā)布組件的驗(yàn)證機(jī)制(BP.16.10)。d)人員能力：負(fù)責(zé)數(shù)據(jù)發(fā)布安全管理工作的人員應(yīng)充分理解數(shù)據(jù)安全發(fā)布的制度和流程，通過了崗位能力評(píng)估，并能夠根據(jù)實(shí)際發(fā)布要求建立相應(yīng)的應(yīng)急方案(BP.16.11)。該等級(jí)的數(shù)據(jù)安全能力要求描述如下：a)制度流程：1)組織應(yīng)針對(duì)關(guān)鍵的數(shù)據(jù)資源發(fā)布明確了安全發(fā)布細(xì)則和審核流程(BP.16.12);2)組織應(yīng)細(xì)化明確各類數(shù)據(jù)發(fā)布場(chǎng)景的審核流程，從審核的有效性和審核的效率層面充分考慮流程節(jié)點(diǎn)的制定(BP.16.13)。該等級(jí)的數(shù)據(jù)安全能力要求描述如下：技術(shù)工具：a)應(yīng)對(duì)發(fā)布的數(shù)據(jù)，建立持續(xù)的追蹤能力，優(yōu)化數(shù)據(jù)發(fā)布規(guī)程(BP.16.15);b)應(yīng)參與國(guó)際、國(guó)家或行業(yè)相關(guān)標(biāo)準(zhǔn)制定。在業(yè)界分享最佳實(shí)踐，成為行業(yè)標(biāo)桿(BP.16.16)。通過建立組織的對(duì)外數(shù)據(jù)接口的安全管理機(jī)制，防范組織數(shù)據(jù)在接口調(diào)用過程中的安全風(fēng)險(xiǎn)。該等級(jí)的數(shù)據(jù)安全能力描述如下：組織建設(shè)：未在任何業(yè)務(wù)或系統(tǒng)中建立成熟穩(wěn)定的數(shù)據(jù)接口安全管理，僅根據(jù)臨時(shí)需求或基于個(gè)人經(jīng)驗(yàn)在個(gè)別業(yè)務(wù)中關(guān)注了數(shù)據(jù)接口安全(BP.17.01)。該等級(jí)的數(shù)據(jù)安全能力要求描述如下：d)人員能力：負(fù)責(zé)數(shù)據(jù)接口安全工作的人員應(yīng)具備基本的數(shù)據(jù)接口調(diào)用的安全意識(shí)和安全知識(shí)2)應(yīng)具備數(shù)據(jù)接口訪問的審計(jì)能力，并能為數(shù)據(jù)安全審計(jì)提供可配置的數(shù)據(jù)服務(wù)接口行安全管理和工程過程的持續(xù)改進(jìn)工作(BP.17.15);d)人員能力：負(fù)責(zé)數(shù)據(jù)銷毀處置的人員應(yīng)具備針對(duì)數(shù)據(jù)銷毀的需求制定對(duì)應(yīng)的數(shù)據(jù)銷毀方案的推動(dòng)相關(guān)要求在業(yè)務(wù)部門落地實(shí)施(BP.18.06)。于分布式雜湊算法等網(wǎng)絡(luò)數(shù)據(jù)分布式存儲(chǔ)的銷毀策略與機(jī)制(BP.18.10);2)應(yīng)配置必要的數(shù)據(jù)銷毀技術(shù)手段與管控措施，確保以不可逆方式銷毀敏感數(shù)據(jù)及其副本2)應(yīng)明確已共享或者已被其他用戶使用的1)組織的數(shù)據(jù)資產(chǎn)管理系統(tǒng)應(yīng)能夠?qū)?shù)據(jù)的銷毀需求進(jìn)行明確的標(biāo)識(shí)，并可通過該系統(tǒng)提醒數(shù)據(jù)管理者及時(shí)發(fā)起對(duì)數(shù)據(jù)的銷毀(BP.18.15);2)應(yīng)通過技術(shù)手段避免對(duì)數(shù)據(jù)的誤銷毀(BP.18.16)。b)技術(shù)工具：應(yīng)參與國(guó)際、國(guó)家或行業(yè)相關(guān)標(biāo)準(zhǔn)制定。在業(yè)界分享最佳實(shí)踐，成為行業(yè)標(biāo)桿d)人員能力：負(fù)責(zé)該項(xiàng)工作的人員應(yīng)能夠依據(jù)數(shù)據(jù)銷毀的整體需求明確應(yīng)使用的媒體銷毀工具2)應(yīng)定期進(jìn)行存儲(chǔ)媒體銷毀記錄的檢查(BP.19.14)。建立適用于組織數(shù)據(jù)安全風(fēng)險(xiǎn)狀況的組織整體的數(shù)據(jù)安全策略規(guī)劃，數(shù)據(jù)安全策略規(guī)劃的內(nèi)容應(yīng)a)組織建設(shè)：組織應(yīng)設(shè)立專職的崗位和人員，負(fù)責(zé)組織數(shù)據(jù)安全制度流程和戰(zhàn)略規(guī)劃的建設(shè)1)負(fù)責(zé)制定數(shù)據(jù)安全總體策略和戰(zhàn)略規(guī)劃的人員應(yīng)了解組織的業(yè)務(wù)發(fā)展目標(biāo)，能夠?qū)?shù)據(jù)安全工作的目標(biāo)和業(yè)務(wù)發(fā)展的目標(biāo)進(jìn)行有機(jī)結(jié)合(2)負(fù)責(zé)制定數(shù)據(jù)安全制度和規(guī)程的人員應(yīng)具備信息安全管理體系建設(shè)的知識(shí)，并具備良好3)負(fù)責(zé)推廣數(shù)據(jù)安全策略規(guī)劃的人員應(yīng)能夠以員工和相關(guān)方易理解的方式，通過培訓(xùn)等宣1)在組織架構(gòu)發(fā)生重大調(diào)整或數(shù)據(jù)服務(wù)業(yè)務(wù)發(fā)生重大變化時(shí)，應(yīng)及時(shí)評(píng)估數(shù)據(jù)安全制度與1)應(yīng)建立數(shù)據(jù)安全規(guī)劃動(dòng)態(tài)調(diào)整機(jī)制，通過信息化系統(tǒng)執(zhí)行對(duì)數(shù)據(jù)安全規(guī)劃的動(dòng)態(tài)管理通過建立組織內(nèi)部負(fù)責(zé)數(shù)據(jù)安全工作的職能部門及崗位，以及對(duì)人力資源管理過程中各環(huán)節(jié)進(jìn)行臨時(shí)承擔(dān)了業(yè)務(wù)的數(shù)據(jù)安全工作(BP.21.01);b)未在任何業(yè)務(wù)建立成熟穩(wěn)定的人力資源安全管理，僅根據(jù)臨時(shí)需求或基于個(gè)人經(jīng)驗(yàn)考慮過內(nèi)部人員或第三方人員的數(shù)據(jù)安全管理(BP.21.02)。1)應(yīng)由業(yè)務(wù)團(tuán)隊(duì)相關(guān)人員負(fù)責(zé)人力資源管理中安全要求(BP.21.03);2)核心業(yè)務(wù)應(yīng)具有數(shù)據(jù)安全職能部門或崗位，以實(shí)現(xiàn)對(duì)關(guān)鍵業(yè)務(wù)環(huán)節(jié)數(shù)據(jù)安全風(fēng)險(xiǎn)的有效1)核心業(yè)務(wù)應(yīng)明確針對(duì)數(shù)據(jù)安全違規(guī)的紀(jì)律處理制度(BP.21.05);5)應(yīng)與所有涉及數(shù)據(jù)服務(wù)的人員簽訂安全責(zé)任協(xié)議和保密協(xié)議(BP.21.09)。1)人力資源部門與數(shù)據(jù)安全部門的人員應(yīng)能夠進(jìn)行有效配合(BP.21.11);2)組織應(yīng)建立組織層面專職的數(shù)據(jù)安全職能部門和崗位并在職能崗位設(shè)計(jì)時(shí)考慮了職責(zé)分4)應(yīng)建立組織內(nèi)部的監(jiān)督管理職能部門，負(fù)責(zé)對(duì)組織內(nèi)部的數(shù)據(jù)操作行為進(jìn)行安全監(jiān)督6)組織應(yīng)明確在組織層面人力資源管理中承擔(dān)數(shù)據(jù)安全要求制定和執(zhí)行的人員或崗位，并7)應(yīng)明確組織層面承擔(dān)人員數(shù)據(jù)安全培訓(xùn)管理職責(zé)的崗位和人員，負(fù)責(zé)對(duì)數(shù)據(jù)安全培訓(xùn)需求的分析及落地方案的制定和推進(jìn)(BP.21.17)。2)應(yīng)明確數(shù)據(jù)安全追責(zé)機(jī)制，定期對(duì)責(zé)任部門和安全崗位組織安全檢查，形成檢查報(bào)3)應(yīng)明確數(shù)據(jù)服務(wù)人力資源安全策略，明確不同崗位人員在數(shù)據(jù)生存周期各階段相關(guān)的工9)應(yīng)明確組織內(nèi)部員工的數(shù)據(jù)安全培訓(xùn)計(jì)劃，按計(jì)劃定期對(duì)員工開展數(shù)據(jù)安全培訓(xùn)1)應(yīng)通過技術(shù)工具自動(dòng)化實(shí)現(xiàn)了數(shù)據(jù)安全相關(guān)的人力資源管理流程(BP.21.28);2)應(yīng)及時(shí)終止或變更離崗和轉(zhuǎn)崗員工的數(shù)據(jù)操作權(quán)限，并及時(shí)將人員的變更通知到相關(guān)方3)員工入職時(shí)應(yīng)按最少夠用原則分配初始權(quán)限(BP.21.30);1)負(fù)責(zé)組織和人員管理的人員應(yīng)充分理解人力資源管理流程中可對(duì)安全風(fēng)險(xiǎn)進(jìn)行把控的環(huán)3)負(fù)責(zé)設(shè)置數(shù)據(jù)安全職能的人員應(yīng)能夠明確組織的數(shù)據(jù)安全工作目標(biāo)(BP.21.34)。2)應(yīng)建立覆蓋各業(yè)務(wù)部門的體系化的數(shù)據(jù)安全管理部門，且配備必要的管理人員和技術(shù)人3)應(yīng)對(duì)數(shù)據(jù)安全職能的運(yùn)行效果以量化指標(biāo)的形式進(jìn)行定期衡量，并根據(jù)量化結(jié)果優(yōu)化調(diào)4)應(yīng)定期評(píng)估在當(dāng)前組織職能架構(gòu)下，數(shù)據(jù)安全職能崗位與業(yè)務(wù)職能崗位之間的關(guān)系是否2)應(yīng)定期對(duì)數(shù)據(jù)安全培訓(xùn)計(jì)劃審核更新(BP.21.40)。量化管理人力資源安全中存在的風(fēng)險(xiǎn)點(diǎn)和改進(jìn)點(diǎn)(BP.21.41)。b)制度流程：應(yīng)能夠持續(xù)優(yōu)化組織和人員管理的相關(guān)流程，以保證符合業(yè)務(wù)發(fā)展的實(shí)際情況c)技術(shù)工具：應(yīng)參與國(guó)際、國(guó)家或行業(yè)相關(guān)標(biāo)準(zhǔn)制定。在業(yè)界分享最佳實(shí)踐，成為行業(yè)標(biāo)桿數(shù)據(jù)安全合規(guī)管理(BP.22.02)。1)應(yīng)明確組織所有的外部合規(guī)要求并形成清單，能夠定期通過跟進(jìn)監(jiān)管機(jī)構(gòu)合規(guī)要求的動(dòng)建立符合國(guó)家法律法規(guī)和相關(guān)標(biāo)準(zhǔn)的個(gè)人信息保護(hù)能力(3)應(yīng)依據(jù)相關(guān)法律法規(guī)及相關(guān)標(biāo)準(zhǔn)中對(duì)重要數(shù)據(jù)的保護(hù)要求，建立組織統(tǒng)一的重要數(shù)據(jù)全4)應(yīng)依據(jù)相關(guān)法律法規(guī)和相關(guān)標(biāo)準(zhǔn)中對(duì)數(shù)據(jù)跨境傳輸?shù)陌踩螅鞔_組織統(tǒng)一的數(shù)據(jù)跨5)應(yīng)針對(duì)組織內(nèi)部因業(yè)務(wù)架構(gòu)、組織職能變更而引發(fā)的重要數(shù)據(jù)流向變化建立了有效的變2)應(yīng)采取必要的技術(shù)手段和控制措施實(shí)現(xiàn)個(gè)人信息安全保護(hù)，例如在個(gè)人信息處理過程中輸方面的制度流程進(jìn)行審核和檢驗(yàn)，并將所記錄的審核檢驗(yàn)結(jié)果提交組織最高的數(shù)據(jù)安免因人員崗位調(diào)整或機(jī)構(gòu)業(yè)務(wù)重組與兼并等原因而規(guī)避個(gè)人信息保護(hù)要求(BP.22.18)。3)應(yīng)建立針對(duì)多源數(shù)據(jù)集匯聚和關(guān)聯(lián)后個(gè)人信息利用的安全風(fēng)險(xiǎn)分析和保護(hù)控制措施輸?shù)恼w解決方案(BP.22.24);1)核心業(yè)務(wù)應(yīng)制定數(shù)據(jù)資產(chǎn)登記制度，建立數(shù)據(jù)資產(chǎn)清單，明確數(shù)據(jù)資產(chǎn)管理的相關(guān)方資產(chǎn)管理規(guī)范的制定和落地推動(dòng)(BP.23.06)。據(jù)資產(chǎn)標(biāo)識(shí)和數(shù)據(jù)資產(chǎn)相關(guān)管理方的屬性標(biāo)識(shí)(BP.23.15);2)應(yīng)通過數(shù)據(jù)資產(chǎn)管理系統(tǒng)量化組織內(nèi)部數(shù)據(jù)資產(chǎn)的整體情況，包括但不限于數(shù)據(jù)資產(chǎn)的3)應(yīng)能夠量化評(píng)估組織內(nèi)部數(shù)據(jù)資產(chǎn)相關(guān)管理者在相關(guān)數(shù)據(jù)安全流程中的參與情況，并能夠根據(jù)評(píng)估結(jié)果調(diào)整管理者的職責(zé)(BP.23.17)。a)制度流程：數(shù)據(jù)資產(chǎn)管理的相關(guān)制度流程和安全機(jī)制應(yīng)能夠根據(jù)國(guó)內(nèi)外對(duì)于數(shù)據(jù)資產(chǎn)管理的b)技術(shù)工具：應(yīng)參與國(guó)際、國(guó)家或行業(yè)相關(guān)標(biāo)準(zhǔn)制定。在業(yè)界分享最佳實(shí)踐，成為行業(yè)標(biāo)桿a)組織建設(shè)：應(yīng)由實(shí)際存在數(shù)據(jù)上下游供應(yīng)的業(yè)務(wù)團(tuán)隊(duì)相關(guān)人員負(fù)責(zé)數(shù)據(jù)供應(yīng)鏈的管理工作b)制度流程：在核心業(yè)務(wù)中，應(yīng)與數(shù)據(jù)上下游的供應(yīng)方針對(duì)具體的數(shù)據(jù)供應(yīng)場(chǎng)景簽署了合作協(xié)3)應(yīng)明確針對(duì)數(shù)據(jù)供應(yīng)商的數(shù)據(jù)安全能力評(píng)估規(guī)范，根據(jù)該規(guī)范對(duì)數(shù)據(jù)供應(yīng)商的數(shù)據(jù)安全能力進(jìn)行評(píng)估，并將評(píng)估結(jié)果應(yīng)用于供應(yīng)商選擇、供應(yīng)商審核等供應(yīng)商管理過程中c)技術(shù)工具：應(yīng)建立組織整體的數(shù)據(jù)供應(yīng)鏈庫，用于管理數(shù)據(jù)供應(yīng)鏈目錄和相關(guān)數(shù)據(jù)源數(shù)據(jù)字a)制度流程：應(yīng)定期對(duì)數(shù)據(jù)供應(yīng)鏈上下游數(shù)據(jù)活動(dòng)的安全風(fēng)險(xiǎn)和數(shù)據(jù)供應(yīng)方的數(shù)據(jù)安全管理能2)應(yīng)對(duì)數(shù)據(jù)供應(yīng)鏈上下游的數(shù)據(jù)服務(wù)提供者和數(shù)據(jù)使用者的行為進(jìn)行合規(guī)性審核和分析3)應(yīng)基于數(shù)據(jù)供應(yīng)鏈的相關(guān)記錄，利用技術(shù)工具對(duì)數(shù)據(jù)供應(yīng)鏈上下游的相關(guān)方開展安全審a)制度流程：組織整體的數(shù)據(jù)供應(yīng)鏈管理方案應(yīng)能夠根據(jù)國(guó)內(nèi)外數(shù)據(jù)供應(yīng)鏈管理領(lǐng)域的監(jiān)管動(dòng)b)技術(shù)工具：應(yīng)參與國(guó)際、國(guó)家或行業(yè)相關(guān)標(biāo)準(zhǔn)制定。在業(yè)界分享最佳實(shí)踐，成為行業(yè)標(biāo)桿b)技術(shù)工具：據(jù)通過集中的系統(tǒng)面向組織內(nèi)部提供(BP.25.11);2)應(yīng)基于元數(shù)據(jù)管理建立可視化的功能，在元數(shù)據(jù)管理系統(tǒng)上以數(shù)據(jù)標(biāo)簽形式實(shí)現(xiàn)對(duì)數(shù)據(jù)用效率(BP.25.14);1)應(yīng)為進(jìn)入內(nèi)部網(wǎng)絡(luò)環(huán)境的終端設(shè)備分配了終端識(shí)別號(hào)，并實(shí)現(xiàn)計(jì)算機(jī)終端設(shè)備與用戶賬2)核心業(yè)務(wù)員工的終端設(shè)備均應(yīng)實(shí)現(xiàn)員工和終端設(shè)備的綁定，并為終端設(shè)備安裝了統(tǒng)一的用終端數(shù)據(jù)的注意事項(xiàng)和數(shù)據(jù)防泄漏管理要求等(BP.26.06)。檢測(cè)等軟件，并定期進(jìn)行軟件的更新，并將終端設(shè)備納入組織整體的訪問控制體系中3)組織應(yīng)部署終端數(shù)據(jù)防泄漏方案，通過技術(shù)工具對(duì)終端設(shè)備上數(shù)據(jù)以及數(shù)據(jù)的操作進(jìn)行為后續(xù)終端數(shù)據(jù)安全管控能力提升提供技術(shù)支持(BP.26.13)。針對(duì)數(shù)據(jù)生存周期各階段開展安全監(jiān)控和審計(jì)，以保證對(duì)數(shù)據(jù)的訪問和操作均得到有效的監(jiān)控和a)組織建設(shè)：組織應(yīng)設(shè)立負(fù)責(zé)對(duì)數(shù)據(jù)生存周期各階段的數(shù)據(jù)訪問和操作的安全風(fēng)險(xiǎn)進(jìn)行監(jiān)控和1)應(yīng)明確對(duì)組織內(nèi)部各類數(shù)據(jù)訪問和操作的日志記錄要求、安全監(jiān)控要求和審計(jì)要求3)應(yīng)定期對(duì)組織內(nèi)部員工數(shù)據(jù)操作行為進(jìn)行人工審計(jì)(BP.27.07)。1)應(yīng)采用自動(dòng)和人工審計(jì)相結(jié)合的方法或手段對(duì)數(shù)據(jù)的高風(fēng)險(xiǎn)操作進(jìn)行監(jiān)控(BP.27.08);高敏感數(shù)據(jù)以及特權(quán)賬戶對(duì)數(shù)據(jù)的訪問和操作都納入重點(diǎn)的監(jiān)控范圍(BP.27.09);4)應(yīng)采用技術(shù)工具對(duì)數(shù)據(jù)交換服務(wù)流量數(shù)據(jù)進(jìn)行安全監(jiān)控和分析(BP.27.11)。1)應(yīng)建立統(tǒng)一的數(shù)據(jù)訪問和操作的日志監(jiān)控技術(shù)工具，該技術(shù)工具可對(duì)各類數(shù)據(jù)訪問和操2)應(yīng)記錄數(shù)據(jù)交換服務(wù)接口調(diào)用事件信息，監(jiān)控是否存在惡意數(shù)據(jù)獲取、數(shù)據(jù)盜用等風(fēng)險(xiǎn)3)應(yīng)具備對(duì)數(shù)據(jù)的異?；蚋唢L(fēng)險(xiǎn)操作進(jìn)行自動(dòng)識(shí)別和實(shí)時(shí)預(yù)警的能力(BP.27.15)。a)應(yīng)利用數(shù)據(jù)分析的技術(shù)改進(jìn)日志監(jiān)控技術(shù)工具，提升對(duì)安全風(fēng)險(xiǎn)事件發(fā)現(xiàn)的精確度和效率通過基于組織的數(shù)據(jù)安全需求和合規(guī)性要求建立身份鑒別和數(shù)據(jù)訪問控制機(jī)制，防止對(duì)數(shù)據(jù)的未經(jīng)驗(yàn)在個(gè)別系統(tǒng)中采用了身份鑒別與訪問控制手段(BP.28.01)。b)制度流程：核心業(yè)務(wù)應(yīng)明確重要系統(tǒng)和數(shù)據(jù)庫的身份鑒別、訪問控制和權(quán)限管理的安全要求3)核心業(yè)務(wù)系統(tǒng)應(yīng)提供并啟用登錄失敗處理功能，多次登錄失敗后應(yīng)采取必要的保護(hù)措施5)應(yīng)對(duì)外包人員和實(shí)習(xí)生的數(shù)據(jù)訪問權(quán)限進(jìn)行嚴(yán)格控制(BP.28.12)。3)應(yīng)采用技術(shù)手段實(shí)現(xiàn)身份鑒別和權(quán)限管理的聯(lián)動(dòng)控制(BP.28.15);4)應(yīng)采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對(duì)用戶進(jìn)行身份鑒安全管理制度對(duì)數(shù)據(jù)權(quán)限進(jìn)行審批管理(BP.28.18)。3)應(yīng)采用技術(shù)手段對(duì)系統(tǒng)或應(yīng)用訪問敏感數(shù)據(jù)進(jìn)行訪問控制(BP.28.22)。a)應(yīng)建立針對(duì)數(shù)據(jù)生存周期各階段的數(shù)據(jù)安全主動(dòng)防御機(jī)制或措施，如基于用戶行為或設(shè)備行分的理解，并通過培訓(xùn)實(shí)現(xiàn)各業(yè)務(wù)的需求分析人員對(duì)數(shù)據(jù)安全需求分析標(biāo)準(zhǔn)的一致性理解a)制度流程：應(yīng)持續(xù)優(yōu)化數(shù)據(jù)安全需求分析，以保證符合組織發(fā)展戰(zhàn)略和業(yè)務(wù)發(fā)展的實(shí)際需要c)技術(shù)工具：應(yīng)參與國(guó)際、國(guó)家或行業(yè)相關(guān)標(biāo)準(zhǔn)制定。在業(yè)界分享最佳實(shí)踐，成為行業(yè)標(biāo)桿經(jīng)驗(yàn)對(duì)個(gè)別數(shù)據(jù)安全事件進(jìn)行過應(yīng)急處理(BP.30.01)。d)人員能力：負(fù)責(zé)該項(xiàng)工作的人員應(yīng)具備安全事件的判斷能力，熟悉安全事件應(yīng)急響應(yīng)措施對(duì)組織員工開展流程培訓(xùn)和宣貫(BP.30.11)。b)技術(shù)工具：應(yīng)參與國(guó)際、國(guó)家或行業(yè)相關(guān)標(biāo)準(zhǔn)制定。在業(yè)界分享最佳實(shí)踐，成為行業(yè)標(biāo)桿(資料性附錄)能力成熟度等級(jí)描述與GPA.1概述本附錄的能力成熟度等級(jí)描述與GP給出了每一個(gè)級(jí)別的數(shù)據(jù)安全PA和BP應(yīng)達(dá)到的程度，GP通用實(shí)踐使用GP來進(jìn)行編號(hào)，第一位數(shù)字表示等級(jí)，第二位數(shù)字表示GP的序號(hào)。A.2能力成熟度等級(jí)1——非正式執(zhí)行A.2.1能力成熟度等級(jí)描述在這一等級(jí)上，組織的數(shù)據(jù)安全PA可被標(biāo)識(shí)，相關(guān)BP通常在需要時(shí)被執(zhí)行，但主要基于個(gè)人的知識(shí)水平和經(jīng)驗(yàn)判定，未經(jīng)過嚴(yán)格的計(jì)劃和跟蹤。在這一等級(jí)里，只是保證PA的BP以某種方式執(zhí)行，僅在部分業(yè)務(wù)中根據(jù)臨時(shí)的需求執(zhí)行了相關(guān)BP,未形成成熟穩(wěn)定的機(jī)制保證實(shí)踐的持續(xù)有效進(jìn)行，數(shù)據(jù)安全保障的一致性、有效性及質(zhì)量可能波動(dòng)A.2.2GP1.1組織建設(shè)僅在部分業(yè)務(wù)場(chǎng)景中根據(jù)臨時(shí)的需求建立數(shù)據(jù)安全的崗位和人員，未形成成熟和穩(wěn)定的專職/兼職的數(shù)據(jù)安全的崗位和人員。數(shù)據(jù)安全的組織建設(shè)未經(jīng)嚴(yán)格的計(jì)劃和跟蹤。A.2.3GP1.2制度流程僅在部分業(yè)務(wù)場(chǎng)景中根據(jù)臨時(shí)的需求建立數(shù)據(jù)安全的制度流程，未形成成熟和穩(wěn)定的數(shù)據(jù)安全制度流程，多為對(duì)特定業(yè)務(wù)需求的響應(yīng)而觸發(fā)。數(shù)據(jù)安全的制度流程未經(jīng)嚴(yán)格的計(jì)劃和跟蹤。僅在部分業(yè)務(wù)場(chǎng)景中根據(jù)臨時(shí)的需求部署數(shù)據(jù)安全的技術(shù)工具，未形成成熟和穩(wěn)定的技術(shù)工具來支撐數(shù)據(jù)安全工作，執(zhí)行效果未經(jīng)規(guī)范化的測(cè)量或驗(yàn)證。從事數(shù)據(jù)安全工作的人員具備數(shù)據(jù)安全意識(shí)，但僅能支撐部分業(yè)務(wù)場(chǎng)景工作，人員能力未得到有效A.3能力成熟度等級(jí)2——計(jì)劃跟蹤A.3.1能力成熟度等級(jí)描述在這一等級(jí)上，組織機(jī)構(gòu)的數(shù)據(jù)安全PA管理符合標(biāo)準(zhǔn)的規(guī)定，相關(guān)BP的執(zhí)行是有計(jì)劃和有跟蹤建立以數(shù)據(jù)為中心的數(shù)據(jù)安全制度流程，將數(shù)據(jù)安全制度流程形成標(biāo)為執(zhí)行數(shù)據(jù)安全PA提供合適的技術(shù)工具，并基于版本控制和配置管理確保數(shù)據(jù)安全過程的自動(dòng)缺陷過程進(jìn)行規(guī)避。c)協(xié)調(diào)安全實(shí)踐：對(duì)不同業(yè)務(wù)系統(tǒng)和組織活動(dòng)間的數(shù)據(jù)安全過程建立協(xié)調(diào)機(jī)制，包括業(yè)務(wù)系統(tǒng)內(nèi)、組織機(jī)構(gòu)的各業(yè)務(wù)系統(tǒng)之間、組織機(jī)構(gòu)外部的協(xié)調(diào)機(jī)制。組織機(jī)構(gòu)設(shè)立了明確的崗位和人員，實(shí)現(xiàn)對(duì)數(shù)據(jù)安全人員的角色及其職責(zé)分配，并建立完備有效的工作考核機(jī)制。數(shù)據(jù)安全人員主要負(fù)責(zé)建立有效的數(shù)據(jù)安全保護(hù)機(jī)制，包括但不限于建立組織機(jī)構(gòu)統(tǒng)一的安全管理策略、制度和流程，并提供面向組織機(jī)構(gòu)整體的技術(shù)標(biāo)準(zhǔn)解決方案。該崗位的數(shù)據(jù)安全人員與具體數(shù)據(jù)安全過程相關(guān)的部門(如業(yè)務(wù)部門、法律部門等),以及與組織機(jī)構(gòu)外部共同合作，建立有效的溝通和推進(jìn)機(jī)制，保證數(shù)據(jù)安全組織建設(shè)相關(guān)標(biāo)準(zhǔn)的統(tǒng)一執(zhí)行。A.4.3GP3.2制度流程參考相關(guān)的安全管理體系，建立了適用于組織機(jī)構(gòu)自身的與數(shù)據(jù)安全過程相關(guān)的制度流程。包括但不限于：與組織機(jī)構(gòu)結(jié)構(gòu)和數(shù)據(jù)業(yè)務(wù)相一致的安全策略、具有明確管控要求的制度、用于相關(guān)管控要求流程、指導(dǎo)整體工作執(zhí)行的實(shí)施指南等。同時(shí)，組織機(jī)構(gòu)針對(duì)數(shù)據(jù)安全相關(guān)制度流程建立標(biāo)準(zhǔn)的培訓(xùn)和宣傳方案，保證與具體數(shù)據(jù)安全過程相關(guān)的人員在對(duì)制度流程的理解上的一致性，并針對(duì)制度流程進(jìn)行專門的缺陷復(fù)查和規(guī)避。數(shù)據(jù)安全的制度流程能夠協(xié)調(diào)業(yè)務(wù)系統(tǒng)內(nèi)、組織機(jī)構(gòu)的不同業(yè)務(wù)系統(tǒng)之間，以及與組織機(jī)構(gòu)外部之間以統(tǒng)一的標(biāo)準(zhǔn)來進(jìn)行數(shù)據(jù)安全保障。建立數(shù)據(jù)安全過程相關(guān)的在線化技術(shù)工具，固化并記錄相關(guān)的流程。在組織機(jī)構(gòu)內(nèi)部建設(shè)、部署數(shù)據(jù)安全技術(shù)產(chǎn)品，強(qiáng)化安全控制，并基于具體的業(yè)務(wù)場(chǎng)景實(shí)現(xiàn)了對(duì)數(shù)據(jù)安全技術(shù)產(chǎn)品的有效運(yùn)營(yíng)，以保證產(chǎn)品功能對(duì)組織機(jī)構(gòu)的業(yè)務(wù)場(chǎng)景的適用性。數(shù)據(jù)安全的技術(shù)工具應(yīng)能夠協(xié)調(diào)業(yè)務(wù)系統(tǒng)內(nèi)、組織機(jī)構(gòu)的不同業(yè)務(wù)系統(tǒng)之間，以及與組織機(jī)構(gòu)外部之間以統(tǒng)一的標(biāo)準(zhǔn)來實(shí)現(xiàn)數(shù)據(jù)安全保障。數(shù)據(jù)安全人員應(yīng)具備數(shù)據(jù)安全資質(zhì)和工程實(shí)踐經(jīng)驗(yàn)，充分理解組織機(jī)構(gòu)在具體數(shù)據(jù)安全過程中面臨的安全風(fēng)險(xiǎn)，具備風(fēng)險(xiǎn)控制和改進(jìn)方案的能力，能夠有效執(zhí)行已定義的數(shù)據(jù)安全過程，并通過考核、復(fù)查和培訓(xùn)等方式，對(duì)能力上的不足進(jìn)行補(bǔ)齊。數(shù)據(jù)安全人員能夠協(xié)調(diào)業(yè)務(wù)系統(tǒng)內(nèi)、組織機(jī)構(gòu)的不同業(yè)務(wù)系統(tǒng)之間，以及與組織機(jī)構(gòu)外部之間以統(tǒng)一的標(biāo)準(zhǔn)來實(shí)現(xiàn)數(shù)據(jù)安全保障。A.5能力成熟度等級(jí)4——量化控制A.5.1能力成熟度等級(jí)描述在這一等級(jí)上，組織機(jī)構(gòu)通過對(duì)BP執(zhí)行情況的收集、分析和評(píng)估，獲得過程執(zhí)行能力的量化表示。這個(gè)等級(jí)的數(shù)據(jù)安全管理和質(zhì)量控制過程是客觀，與等級(jí)3“充分定義”的主要區(qū)別在于執(zhí)行過程的量化表示和控制。在這一等級(jí)上，PA和BP的執(zhí)行按如下的共性特征來執(zhí)行：a)建立可評(píng)估的安全目標(biāo)：建立可評(píng)估目標(biāo)，為客觀地管理執(zhí)行提供了必要的基礎(chǔ)；b)客觀地管理執(zhí)行：使用量化的方式來客觀地