DB54T 0422-2024 公共數(shù)據(jù) 數(shù)據(jù)安全管理規(guī)范

ICS35.24054CCSL7854西 藏 自 治 區(qū) 地 方 標 準DB54/T0422—2024公共數(shù)據(jù) 數(shù)據(jù)安全管理規(guī)范2024-11-18發(fā)布 2024-12-18實施西藏自治區(qū)市場監(jiān)督管理局??發(fā)布DB54/T0422—2024DB54/T0422—2024PAGE\*ROMANPAGE\*ROMANII目 次前言 II范圍 1規(guī)范性引用文件 1術(shù)語和定義 1數(shù)據(jù)安全管理原則 2數(shù)據(jù)安全管理框架 3數(shù)據(jù)安全職責 3數(shù)據(jù)安全策略 4數(shù)據(jù)安全分級 4分級要素 4分級規(guī)則 5分級要求 5數(shù)據(jù)權(quán)限管理 5數(shù)據(jù)操作 5數(shù)據(jù)安全監(jiān)測與審計 6數(shù)據(jù)安全風險評估 6數(shù)據(jù)安全應急 6數(shù)據(jù)生存周期安全管控 6數(shù)據(jù)采集安全 6數(shù)據(jù)存儲安全 6數(shù)據(jù)使用與加工安全 7數(shù)據(jù)傳輸安全 7數(shù)據(jù)共享和開放安全 7數(shù)據(jù)銷毀安全 7附錄A（資料性）4類影響對象的不同影響程度描述 8參考文獻 9前 言本文件按照GB/T1.1—2020《標準化工作導則第1草。請注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機構(gòu)不承擔識別專利的責任。本文件由西藏自治區(qū)經(jīng)濟和信息化廳（自治區(qū)數(shù)據(jù)管理局）提出并歸口。（自治區(qū)數(shù)據(jù)管理局責任公司、國家工業(yè)信息安全發(fā)展研究中心。青、賀赟、杜洪濤、李云志、欒燕、陶煒、蔡長亮。DB54/T0422DB54/T0422—2024PAGEPAGE10公共數(shù)據(jù)數(shù)據(jù)安全管理規(guī)范范圍管理框架、安全策略以及數(shù)據(jù)生存周期安全管控等。本文件適用于西藏自治區(qū)各級機構(gòu)的公共數(shù)據(jù)安全管理。規(guī)范性引用文件（包括所有的修改單）適用于本文件。GB/T22239 信息安全技術(shù)網(wǎng)絡安全等級保護基本要GB/T37988 信息安全技術(shù)數(shù)據(jù)安全能力成熟度模型GB/T43697 數(shù)據(jù)安全技術(shù)數(shù)據(jù)分類分級規(guī)則術(shù)語和定義GB/T37988界定的以及下列術(shù)語和定義適用于本文件。3.1數(shù)據(jù)安全datasecurity通過管理和技術(shù)措施，確保數(shù)據(jù)有效保護和合規(guī)使用的狀態(tài)。[來源：GB/T37988-2019，3.1]3.2合規(guī)compliance對數(shù)據(jù)安全所適用的法律法規(guī)的符合程度。[來源：GB/T37988-2019，3.16]3.3核心數(shù)據(jù)coredata即國家核心數(shù)據(jù)，是指關(guān)系國家安全、國民經(jīng)濟命脈、重要民生、重大公共利益等的數(shù)據(jù)。3.4重要數(shù)據(jù)importantdata一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，可能危害國家安全、公共利益的數(shù)據(jù)。注1：重要數(shù)據(jù)不包括國家秘密。注2：重要數(shù)據(jù)一般不包括個人信息和企業(yè)內(nèi)部管理信息，但達到一定規(guī)模的個人信息或者基于海量個人信息加工形成的衍生數(shù)據(jù)，如其一旦遭到篡改、破壞、泄露或者非法獲取、非法利用可能危害國家安全、公共利益，也應滿足重要數(shù)據(jù)保護要求。3.5一般數(shù)據(jù)normaldata會危害國家安全、公共利益的數(shù)據(jù)。3.6保密性confidentiality使信息不泄露給未授權(quán)的個人、實體、進程，或不被其利用的特性。[來源：GB/T25069-2010，2.1.1]3.7完整性integrity準確和完備的特性。[來源：GB/T29246-2017，2.40]3.8可用性usability已授權(quán)實體一旦需要就可訪問和使用的數(shù)據(jù)和資源的特性。[來源：GB/T25069-2010，2.1.20]3.9數(shù)據(jù)脫敏datamasking通過一系列數(shù)據(jù)處理方法對原始數(shù)據(jù)進行處理以屏蔽敏感數(shù)據(jù)的一種數(shù)據(jù)保護方法。[來源：GB/T37988-2019，3.12]3.10數(shù)據(jù)生存周期datalifecycle將原始數(shù)據(jù)轉(zhuǎn)化為可用于行動的知識的一組過程。[來源：GB/T36073-2018，3.14]數(shù)據(jù)安全管理原則實施公共數(shù)據(jù)安全管理應遵循以下原則：職責明確共數(shù)據(jù)安全責任；分級管理按照公共數(shù)據(jù)安全分級實施不同級別的數(shù)據(jù)安全措施；風險防控強化公共數(shù)據(jù)安全管理，防控數(shù)據(jù)安全風險。數(shù)據(jù)安全管理框架數(shù)據(jù)安全管理框架由數(shù)據(jù)安全職責、數(shù)據(jù)安全策略、數(shù)據(jù)生存周期安全管控三部分組成（1，具體組成如下：數(shù)據(jù)安全職責包括數(shù)據(jù)的安全決策方、安全管理方、安全執(zhí)行方和安全監(jiān)審方四方職責組成。數(shù)據(jù)安全策略據(jù)安全應急等安全域組成。數(shù)據(jù)生存周期共享與開放安全、數(shù)據(jù)銷毀安全，實現(xiàn)數(shù)據(jù)全生存周期的安全受控。圖1 數(shù)據(jù)安全管理框架示意圖數(shù)據(jù)安全職責區(qū)內(nèi)各級機構(gòu)（含政府部門、企事業(yè)單位、社會團體等，應按照數(shù)據(jù)安全管理角色要求，完善本機構(gòu)數(shù)據(jù)安全組織架構(gòu)并明確相應職責。2。圖2 數(shù)據(jù)安全角色示意圖數(shù)據(jù)安全決策方數(shù)據(jù)安全決策方是指的管理層。數(shù)據(jù)安全決策方職責包括但不限于本單位數(shù)據(jù)安全工作的監(jiān)管、協(xié)調(diào)與重大事項決策。數(shù)據(jù)安全管理方數(shù)據(jù)安全管理方職責包括但不限于：據(jù)安全組織架構(gòu)；——制定公共數(shù)據(jù)安全管理制度與流程規(guī)范；——開展公共數(shù)據(jù)安全教育培訓；——監(jiān)督檢查業(yè)務部門執(zhí)行和落實公共數(shù)據(jù)安全相關(guān)工作；——處置公共數(shù)據(jù)安全事件。數(shù)據(jù)安全執(zhí)行方數(shù)據(jù)安全執(zhí)行方職責包括但不限于：——執(zhí)行本單位數(shù)據(jù)安全制度要求；——實施數(shù)據(jù)安全建設及運營的保障工作；——配合完成各類數(shù)據(jù)安全檢查，落實數(shù)據(jù)安全整改措施：——協(xié)同處理數(shù)據(jù)安全風險事件。數(shù)據(jù)安全監(jiān)審方數(shù)據(jù)安全監(jiān)審方職責包括但不限于：——對公共數(shù)據(jù)的數(shù)據(jù)安全保障工作進行監(jiān)督和審計；——對數(shù)據(jù)安全管理制度和標準提出完善和優(yōu)化建議，并督促安全隱患整改。數(shù)據(jù)安全策略權(quán)限管理、數(shù)據(jù)操作管理、數(shù)據(jù)安全監(jiān)測與審計、數(shù)據(jù)安全風險評估、數(shù)據(jù)安全應急管理等方面。分級要素成危害的影響對象和影響程度，進行分級：影響對象，包括國家安全、公共利益、個人合法權(quán)益、組織合法權(quán)益，4類影響對象的不同影A。影響程度，包括危害程度從低到高可分為輕微危害、一般危害、嚴重危害。分級規(guī)則級別，詳見表1。表1 數(shù)據(jù)安全基本分級規(guī)則數(shù)據(jù)級別影響對象國家安全公共利益?zhèn)€人合法權(quán)益組織合法權(quán)益核心數(shù)據(jù)一般危害、嚴重危害嚴重危害重要數(shù)據(jù)輕微危害輕微危害、一般危害一般數(shù)據(jù)無危害無無危害、輕微危害、一般危害、嚴重危害無危害、輕微危害、一般危害、嚴重危害分級要求公共數(shù)據(jù)安全分級應依據(jù)《中華人民共和國數(shù)據(jù)安全法》，并參考GB/T43697-2024《數(shù)據(jù)安全技術(shù)數(shù)據(jù)分類分級規(guī)則》，由各行業(yè)、地方主管部門開展數(shù)據(jù)安全自主分級：錄或單獨報西藏自治區(qū)經(jīng)濟和信息化廳（自治區(qū)數(shù)據(jù)管理局）備案；分級變更結(jié)果同步至西藏自治區(qū)經(jīng)濟和信息化廳（自治區(qū)數(shù)據(jù)管理局。數(shù)據(jù)權(quán)限管理數(shù)據(jù)平臺管理方應按照業(yè)務需求和安全策略為用戶配置合理的數(shù)據(jù)權(quán)限：考慮最小授權(quán)和角色權(quán)限制約等要求，建立數(shù)據(jù)權(quán)限分配表；嚴格執(zhí)行數(shù)據(jù)權(quán)限審批流程，登記記錄，使用完成后，及時回收權(quán)限；定期對數(shù)據(jù)權(quán)限進行清查，人員崗位變動后及時變更權(quán)限；核心數(shù)據(jù)宜通過權(quán)限管理系統(tǒng)，統(tǒng)一管理權(quán)限審批、記錄等事項。數(shù)據(jù)操作數(shù)據(jù)操作的安全要求包括但不限于：（批記錄以及數(shù)據(jù)操作記錄；對數(shù)據(jù)重要操作實施安全監(jiān)測與審計；核心數(shù)據(jù)應通過數(shù)據(jù)操作審批系統(tǒng)，統(tǒng)一管理重要操作的審批、執(zhí)行和記錄等事項。數(shù)據(jù)安全監(jiān)測與審計數(shù)據(jù)安全監(jiān)測與審計的要求包括但不限于：數(shù)據(jù)平臺管理方應對系統(tǒng)日志進行分析，及時發(fā)現(xiàn)高風險和違規(guī)操作；針對發(fā)現(xiàn)的高風險和違規(guī)操作，及時核實和處理；進行報警。數(shù)據(jù)安全風險評估數(shù)據(jù)安全風險評估的要求包括但不限于：務的安全風險、人員操作風險、數(shù)據(jù)使用風險等方面；對評估發(fā)現(xiàn)的問題，應及時整改并實現(xiàn)閉環(huán)管理；核心數(shù)據(jù)應委托具有風險評估資質(zhì)的安全服務商開展數(shù)據(jù)安全風險評估工作。數(shù)據(jù)安全應急數(shù)據(jù)安全應急的要求包括但不限于：（如發(fā)生數(shù)據(jù)泄露事件流程和處置方法等；向相關(guān)人員培訓數(shù)據(jù)安全應急預案，并定期開展演練；根據(jù)演練的結(jié)果或單位組織架構(gòu)、業(yè)務等的變化情況，及時更新應急預案；核心數(shù)據(jù)應制定與個人敏感信息相關(guān)的數(shù)據(jù)安全事件的上報以及對外發(fā)布信息的渠道、流程。數(shù)據(jù)生存周期安全管控保護。一般數(shù)據(jù)安全管理參照GB/T22239-2019規(guī)定的數(shù)據(jù)安全要求管理，重要和核心數(shù)據(jù)在GB/T22239-2019規(guī)定基礎上，應按本文件規(guī)定執(zhí)行。數(shù)據(jù)采集安全數(shù)據(jù)采集的要求包括但不限于：集的合法性、必要性、正當性；確保采集數(shù)據(jù)的機密性、完整性和真實性；采用技術(shù)措施保護數(shù)據(jù)采集可能涉及的加載、清洗和轉(zhuǎn)換等過程中的數(shù)據(jù)安全；核心數(shù)據(jù)應記錄并保存數(shù)據(jù)采集、記載、清洗和轉(zhuǎn)換等處理過程。數(shù)據(jù)存儲安全數(shù)據(jù)存儲的要求包括但不限于：根據(jù)需要采取脫敏、加密、校驗等措施，保障公共數(shù)據(jù)的存儲安全；針對重要數(shù)據(jù)和核心數(shù)據(jù)，應當建立數(shù)據(jù)容災備份及恢復機制；體訪問和操作行為的安全審計能力；建立數(shù)據(jù)邏輯存儲隔離授權(quán)機制，具備多租戶存儲的安全隔離能力；對核心數(shù)據(jù)進行加密存儲。數(shù)據(jù)使用與加工安全數(shù)據(jù)使用與加工的要求包括但不限于：采取管控措施確保數(shù)據(jù)使用與加工合規(guī)，過程安全可控、可溯源；秘密等信息的泄露；錄；配備數(shù)據(jù)脫敏支持工具或服務組件，根據(jù)需要將數(shù)據(jù)脫敏后使用；具備數(shù)據(jù)加工過程的風險監(jiān)測和處理能力，對違規(guī)操作行為進行有效識別監(jiān)控和預警；對核心數(shù)據(jù)加工操作，應雙人執(zhí)行并進行記錄。數(shù)據(jù)傳輸安全數(shù)據(jù)傳輸?shù)囊蟀ǖ幌抻冢翰捎脻M足數(shù)據(jù)傳輸安全策略的安全控制措施，如安全通道、可信通道、數(shù)據(jù)加密等；具備在構(gòu)建傳輸通道前對兩端主體身份進行鑒別和認證的能力；對于核心數(shù)據(jù)，應建立數(shù)據(jù)傳輸鏈路冗余機制，保證數(shù)據(jù)傳輸可靠性和網(wǎng)絡傳輸服務可用性。數(shù)據(jù)共享和開放安全的開放范圍、開放渠道、開放流程、開放內(nèi)容和開放時效等合法、正確、有效，包括但不限于：對請求共享的終端、用戶或服務組件進行身份鑒別，驗證身份的真實性；對數(shù)據(jù)共享過程記錄日志，及時清除共享過程中緩存的數(shù)據(jù)；對數(shù)據(jù)共享過程進行監(jiān)控，確保共享數(shù)據(jù)安全合規(guī)，未超出授權(quán)范圍；對于核心數(shù)據(jù)的共享開放，還應：采用數(shù)據(jù)加密、安全通道等安全措施保護數(shù)據(jù)共享過程中的數(shù)據(jù)；采取多因素鑒別技術(shù)對執(zhí)行數(shù)據(jù)共享操作員進行身份鑒別；具備異?；蚋唢L險數(shù)據(jù)訪問行為進行智能化識別和預警能力，對違規(guī)行為及時阻斷。數(shù)據(jù)銷毀安全數(shù)據(jù)銷毀的要求包括但不限于：對存儲介質(zhì)設備進行物理銷毀。附錄 A（資料性）4類影響對象的不同影響程度描述表A.1規(guī)定了4類影響對象的不同影響程度描述。表A.1 4類影響對象的不同影響程度描述影響對象影響程度參考說明國家安全嚴重危害對政治、國土、軍事、經(jīng)濟、文化、社會、科技、網(wǎng)絡、生態(tài)、資源、核安全等構(gòu)成嚴重威脅，嚴重影響海外利益、生物、太空、極地、深海、人工智能等重點領域安全對本地區(qū)、本部門以及相關(guān)行業(yè)、領域的重要骨干企業(yè)、關(guān)鍵信息基礎設施、重要資源等造成嚴重影響導致對本地區(qū)、本部門以及相關(guān)行業(yè)、領域大范圍停工停產(chǎn)、大面積網(wǎng)絡與服務癱瘓、大量業(yè)務處理能力喪失一般危害對政治、國土、軍事、經(jīng)濟、文化、社會、科技、網(wǎng)絡、生態(tài)、資源、核安全等構(gòu)成威脅，影響海外利益、生物、太空、極地、深海、人工智能等重點領域安全對本地區(qū)、本部門以及相關(guān)行業(yè)、領域生產(chǎn)、運行和經(jīng)濟利益等造成影響對行業(yè)發(fā)展、技術(shù)進步和產(chǎn)業(yè)生態(tài)等造成嚴重影響輕微危害對本地區(qū)、本部門以及相關(guān)行業(yè)、領域生產(chǎn)、運行和經(jīng)濟利益等造成輕微影響影響持續(xù)時間短，對行業(yè)發(fā)展、技術(shù)進步和產(chǎn)業(yè)生態(tài)等造成一般影響無危害對國家安全不造成影響公共利益嚴重危害波及到一個或多個省市的大部分地區(qū)，引起社會動蕩，對經(jīng)濟建設有極其惡劣的負面影響一般危害波及到一個或多個地市的大部分地區(qū)引起社會恐慌，對經(jīng)濟建設有重大的負面影響輕微危害波及到一個地市或地市以下的部分地區(qū)，擾亂社會秩序，對經(jīng)濟建設有一定的負面影響無危害對公共利益不造成影響個人合法權(quán)益嚴重危害個人信息主體可能會遭受重大的、不可消除的、可能無法克服的影響，容易導致自然人的人格尊嚴受到侵害或者人身、財產(chǎn)安全受到危害。如遭受無法承擔的債務、失去工作能力、導致長期的心理或生理疾病、導致死亡等一般危害個人信息主體可能遭受較大影響，個人信息主體克服難度高，消除影響代價較大。如遭受詐騙、資金被盜用、被銀行列入黑名單、信用評分受損、名譽受損造成歧視、被解雇、被法院傳喚、健康狀況惡化等輕微危害個人信息主體可能會遭受困擾，但尚可以克服。如付出額外成本、無法使用應提供的服務、造成誤解、產(chǎn)生害怕和緊張的情緒、導致較小的生理疾病等無危害對個人信息合法權(quán)益不造成影響，或僅造成微弱影響但可忽略不計組織合法權(quán)益嚴重危害/關(guān)鍵業(yè)務無法正常開展的情況，造成重大經(jīng)濟或技術(shù)損失，嚴重破壞機構(gòu)聲譽，企業(yè)面臨破產(chǎn)一般危害可能導致組織遭到監(jiān)管部門處罰(包括一段時間內(nèi)暫停經(jīng)營資格或業(yè)務等).或者影響部分業(yè)務無法正常開展的情況，造成較大經(jīng)濟或技術(shù)損失，破壞機構(gòu)聲譽輕微危害可能導致個別訴訟事件，或在某一時間造成部分業(yè)務中斷，使組織的經(jīng)濟利益、聲譽、技術(shù)等輕微受損無危害對組織合法權(quán)益不造成影響，或僅造成微弱影響但不會影響國家安全、公共利益、市場秩序或各項業(yè)務的正常開展參 考 文 獻JR/T0223-2021金融數(shù)據(jù)安全數(shù)據(jù)生命周期安全規(guī)范DB3301/T0322.1-2020數(shù)據(jù)資源