信息安全技術 大數(shù)據(jù)服務安全能力要求-編制說明

前言 IV引言 V1范圍 12規(guī)范性引用文件 13術語、定義和縮略語 13.1術語和定義 13.2縮略語 34大數(shù)據(jù)服務安全 34.1大數(shù)據(jù)服務安全目標 34.1.1概念安全目標 34.1.2業(yè)務安全目標 44.2大數(shù)據(jù)服務安全能力 54.3本標準結構 65基礎安全要求 65.1策略與規(guī)程 65.2資產(chǎn)安全 75.2.1數(shù)據(jù)資產(chǎn) 75.2.2系統(tǒng)資產(chǎn) 75.3組織和人員 75.3.1組織結構 75.3.2人員管理 85.3.3角色管理 85.3.4人員培訓 95.4制度和流程 95.5數(shù)據(jù)供應鏈 95.6元數(shù)據(jù)管理 95.7合規(guī)性管理 105.7.1數(shù)據(jù)跨境傳輸 105.7.2個人信息保護 105.7.3重要數(shù)據(jù)保護 115.7.4密碼支持 116數(shù)據(jù)生命周期安全要求 126.1數(shù)據(jù)收集 126.1.1收集原則 126.1.2數(shù)據(jù)分類 126.1.3數(shù)據(jù)采集 126.1.4數(shù)據(jù)清洗與轉換 136.1.5數(shù)據(jù)加載 136.1.6質(zhì)量監(jiān)控 136.2數(shù)據(jù)傳輸 146.3數(shù)據(jù)存儲 146.3.1數(shù)據(jù)存儲架構安全 146.3.2數(shù)據(jù)邏輯存儲安全 146.3.3數(shù)據(jù)存儲訪問控制 156.3.4數(shù)據(jù)副本安全管理 156.3.5數(shù)據(jù)時效性管理 166.4數(shù)據(jù)處理 166.4.1分布處理安全 166.4.2數(shù)據(jù)分析安全 166.4.3數(shù)據(jù)正當使用 176.4.4數(shù)據(jù)加密處理 176.4.5數(shù)據(jù)處理溯源 176.4.6數(shù)據(jù)歸檔處理 186.4.7終端數(shù)據(jù)安全 186.4.8安全處理監(jiān)控 186.5數(shù)據(jù)共享 196.5.1數(shù)據(jù)脫敏 196.5.2數(shù)據(jù)導入安全 196.5.3數(shù)據(jù)導出安全 206.5.4數(shù)據(jù)共享安全 206.5.5數(shù)據(jù)遷移安全 216.5.6數(shù)據(jù)披露安全 216.5.7隱私與合規(guī)要求 226.5.8操作監(jiān)控 226.6數(shù)據(jù)銷毀 226.6.1數(shù)據(jù)銷毀處置 226.6.2介質(zhì)銷毀處置 237平臺與應用安全要求 237.1安全規(guī)劃 237.1.1戰(zhàn)略規(guī)劃 227.1.2需求分析 247.1.3方案評估 247.2開發(fā)部署 247.2.1安全架構 247.2.2功能規(guī)范 257.2.3開發(fā)與交付 257.2.4安全部署 267.2.5邊界防護 267.2.6服務接口 267.2.7文檔管理 277.3應用安全 277.3.1應用程序管理 277.3.2缺省配置安全 287.3.3身份憑證存儲 287.3.4身份標識與鑒別 297.3.5平臺資源獲取 297.3.6授權與訪問控制 307.3.7多租戶數(shù)據(jù)安全 307.3.8敏感數(shù)據(jù)處理 317.3.9數(shù)據(jù)導入導出 317.3.10用戶隱私保護 327.3.11應用行為監(jiān)測 327.4安全運維 337.4.1系統(tǒng)配置管理 337.4.2系統(tǒng)補丁管理 337.4.3IT供應鏈安全 347.4.4外部組件使用 347.4.5安全事件管理 347.4.6安全風險評估 357.4.7系統(tǒng)備份與容災 357.4.8系統(tǒng)應急響應 367.4.9業(yè)務連續(xù)性計劃 367.4.10密鑰管理與服務 377.4.11服務水平協(xié)議 377.4.12介質(zhì)訪問和使用 387.5安全審計 387.5.1審計策略管理 387.5.2審計數(shù)據(jù)產(chǎn)生 397.5.3審計數(shù)據(jù)保護 397.5.4審計分析報告 39附錄A（資料性附錄）大數(shù)據(jù)服務模式與角色 41參考文獻 45六、與相關法律法規(guī)及國家有關規(guī)定、國內(nèi)相關標準的關系本標準規(guī)范了大數(shù)據(jù)服務提供商在基礎安全能力、數(shù)據(jù)生命周期安全管理能力和應用與平臺服務安全能力方面的要求。本標準為評估大數(shù)據(jù)服務提供商的安全能力提供了依據(jù)，對于提升我國大數(shù)據(jù)服務提供商的數(shù)據(jù)安全和系統(tǒng)保護能力具有十分重要的參考意義。本標準與正在制定的《信息安全技術大數(shù)據(jù)安全管理指南》以及已經(jīng)發(fā)布的GB/T31168《信息安全技術云計算服務安全能力要求》一起，旨在推動大數(shù)據(jù)服務安全保障體系的建立。重大分歧意見的處理經(jīng)過和依據(jù)詳見標準意見匯總處理表。國家標準作為強制性國家標準或推薦性國家標準的建議建議本標準作為推薦性國家標準發(fā)布實施。貫徹國家標準的要求和措施建議（包括組織措施、技術措施、過渡辦法等內(nèi)容）本標準主要用于對大數(shù)據(jù)服務提供商的安全能力進行規(guī)范，有助于提升我國大數(shù)據(jù)服務提供商的數(shù)據(jù)安全管理和系統(tǒng)安全運維能力，同時也有利于為我國大數(shù)據(jù)安全審查提供支撐。其他事項說明本標準不涉及專利。國家標準《信息安全技術大數(shù)據(jù)服務安全能