DB33T 2488-2022 公共數(shù)據(jù)安全體系評估規(guī)范

33I 2 2 2 5 本標(biāo)準(zhǔn)按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定本標(biāo)準(zhǔn)由浙江省大數(shù)據(jù)發(fā)展管理局提出、歸口并組局、臺州市大數(shù)據(jù)發(fā)展管理局、麗水市大數(shù)據(jù)發(fā)展管嬡、葉春雷、孔俊、朱通、王沁怡、張偉偉為保障一體化智能化公共數(shù)據(jù)平臺和公共數(shù)據(jù)安全,建立健全數(shù)據(jù)安全防護(hù)能力評估指標(biāo),規(guī)范和——公共數(shù)據(jù)安全體系建設(shè)指南（DB33/T2487——公共數(shù)據(jù)分類分級指南（DB33/T2351—21公共數(shù)據(jù)安全體系評估規(guī)范GB/T37973信息安全技術(shù)大數(shù)據(jù)安全管理GB/T37988信息安全技術(shù)數(shù)據(jù)安全能力成熟度模型GB/T39477信息安全技術(shù)政務(wù)信息共享數(shù)據(jù)安全技術(shù)DB33/T2350數(shù)字化改革術(shù)DB33/T2487公共數(shù)據(jù)安全體系建設(shè)被評估的組織機(jī)構(gòu)或部門，主要涉及相關(guān)配套制度文檔、設(shè)備設(shè)施及人24縮略語AIT：評估項（AssessmentItem）5.1科學(xué)性5.4代表性評估項應(yīng)能較為全面地反映公共數(shù)據(jù)安全體系建設(shè)的總體水5.5持續(xù)性應(yīng)充分應(yīng)用評估結(jié)果，促進(jìn)公共數(shù)據(jù)安全體系的持續(xù)3公共數(shù)據(jù)安全體系評估維度公共數(shù)據(jù)安全體系評估維度公共數(shù)據(jù)安全體系評估項制度規(guī)范技術(shù)防護(hù)站全面性圖1公共數(shù)據(jù)安全體系評估模型6.2評估項6.2.1制度規(guī)范子體系評估項制度規(guī)范子體系評估項可基于二級制度展開，主要包含的評估子項：a)分類分級管理制度；b)訪問權(quán)限管理制度；c)數(shù)據(jù)脫敏管理制度；d)數(shù)據(jù)共享和開放安全管理制度；e)數(shù)據(jù)安全銷毀管理制度；f)供應(yīng)方安全管理制度；g)安全監(jiān)督檢查制度；h)安全日志審計制度；i)安全事件管理與應(yīng)急響應(yīng)制度等。6.2.2技術(shù)防護(hù)子體系評估項技術(shù)防護(hù)子體系評估項主要包含的評估子項：a)數(shù)據(jù)源統(tǒng)一鑒別技術(shù)；b)敏感數(shù)據(jù)識別技術(shù)；c)數(shù)據(jù)分類分級標(biāo)識技術(shù)；4h)數(shù)據(jù)備份和恢復(fù)技術(shù)；m)數(shù)據(jù)共享和開放；1)全面性：評估相關(guān)制度文件內(nèi)容是否全面，是2)可執(zhí)行性：評估相關(guān)制度文件內(nèi)容是否具備可落地執(zhí)行性；3)動態(tài)更新性：評估相關(guān)制度文件內(nèi)容是否根據(jù)外部環(huán)境、政策變化、組織實際情況等進(jìn)2)適用性：評估相關(guān)技術(shù)產(chǎn)品的安全功能和性能是否有效實現(xiàn)公共數(shù)據(jù)安全防3)安全性：評估相關(guān)技術(shù)產(chǎn)品本身是否存在漏洞、配置錯誤（基線檢查）、業(yè)務(wù)邏輯錯誤2)專業(yè)性：評估相關(guān)人員是否有足夠能力勝任職責(zé)范圍內(nèi)的工作，評估相關(guān)人員是否定期52)符合性：評估該運(yùn)行管理機(jī)制是否已在該組織落地實3)有效性：評估該運(yùn)行管理機(jī)制在該組織落實后，是否有效的實現(xiàn)公共數(shù)據(jù)安全防護(hù)預(yù)期——全面性：查驗制度文件是否包括分類分級原則、要求、維度、方法、操作指南、工作流程以及類別和級別變更場景、變更申請審批流程及工作要求——可執(zhí)行性：充分考慮政策背景、行業(yè)技術(shù)發(fā)展情況、單位實際情況等，推演判斷文件規(guī)定內(nèi)——動態(tài)更新性：查驗是否持續(xù)跟蹤外部環(huán)境、政策變化、組織實際情況等，至少每年評估并修——全面性：查驗制度文件是否包括對公共數(shù)據(jù)載體和公共數(shù)據(jù)權(quán)限管理系統(tǒng)的賬號權(quán)限安全管理職責(zé)分工和工作要求，公共數(shù)據(jù)訪問賬號權(quán)限分配、開通、使用銷等的申請審批流程，對具備超級管理員權(quán)限或數(shù)據(jù)批量復(fù)制、處理、導(dǎo)出和刪除等高風(fēng)險——可執(zhí)行性：充分考慮政策背景、行業(yè)技術(shù)發(fā)展情況、單位實際情況等，推演判斷文件規(guī)定內(nèi)——動態(tài)更新性：查驗是否持續(xù)跟蹤外部環(huán)境、政策變化、組織實際情況等，至少每年評估并修——可執(zhí)行性：充分考慮政策背景、行業(yè)技術(shù)發(fā)展情況、單位實際情況等，推演判斷文件規(guī)定內(nèi)——動態(tài)更新性：查驗是否持續(xù)跟蹤外部環(huán)境、政策變化、組織實際情況等，至少每年評估并修公共數(shù)據(jù)共享和開放安全管理相關(guān)制度評估——全面性：查驗制度文件是否充分根據(jù)公共數(shù)據(jù)分類分級結(jié)果；查驗制度文件是否包括差異化6——可執(zhí)行性：充分考慮政策背景、行業(yè)技術(shù)發(fā)展情況、單位實際情況等，推演判斷文件規(guī)定內(nèi)——動態(tài)更新性：查驗是否持續(xù)跟蹤外部環(huán)境、政策變化、組織實際情況等，至少每年評估并修——全面性：查驗制度文件是否充分根據(jù)公共數(shù)據(jù)分類分級結(jié)果；查驗制度文件是否包括公共數(shù)據(jù)銷毀對象、銷毀場景、銷毀方式、銷毀流程、銷毀工作要——可執(zhí)行性：充分考慮政策背景、行業(yè)技術(shù)發(fā)展情況、單位實際情況等，推演判斷文件規(guī)定內(nèi)——動態(tài)更新性：查驗是否持續(xù)跟蹤外部環(huán)境、政策變化、組織實際情況等，至少每年評估并修——全面性：查驗制度文件是否包括供應(yīng)方及供應(yīng)方人員的安全管理要求，涉及終端安全、網(wǎng)絡(luò)安全、數(shù)據(jù)安全、保密管理等方面；查驗制度文件是否包括供應(yīng)方及供應(yīng)方人員的崗位職責(zé)、安全考核要求和處罰措施；核查服務(wù)安全保護(hù)及保密協(xié)議是否明確了對供應(yīng)方及方人員的數(shù)據(jù)保密范圍、保密責(zé)任與義務(wù)、?！蓤?zhí)行性：充分考慮政策背景、行業(yè)技術(shù)發(fā)展情況、單位實際情況等，推演判斷文件規(guī)定內(nèi)——動態(tài)更新性：查驗是否持續(xù)跟蹤外部環(huán)境、政策變化、組織實際情況等，至少每年評估并修——全面性：查驗制度文件是否包括對公共數(shù)據(jù)安全體系建設(shè)現(xiàn)狀的監(jiān)督檢查內(nèi)容、方式、工作——可執(zhí)行性：充分考慮政策背景、行業(yè)技術(shù)發(fā)展情況、單位實際情況等，推演判斷文件規(guī)定內(nèi)——動態(tài)更新性：查驗是否持續(xù)跟蹤外部環(huán)境、政策變化、組織實際情況等，至少每年評估并修——全面性：查驗制度文件是否包括安全審計日志的采集內(nèi)容、采集方式、標(biāo)準(zhǔn)化要求、日志存儲要求、審計策略和規(guī)則、異常預(yù)警及處置工作流——可執(zhí)行性：充分考慮政策背景、行業(yè)技術(shù)發(fā)展情況、單位實際情況等，推演判斷文件規(guī)定內(nèi)7——動態(tài)更新性：查驗是否持續(xù)跟蹤外部環(huán)境、政策變化、組織實際情況等，至少每年評估并修公共數(shù)據(jù)安全事件管理與應(yīng)急響應(yīng)相關(guān)制度評估——全面性：查驗制度文件是否包括數(shù)據(jù)安全事件分類分級方法；核查制度文件是否充分結(jié)合數(shù)據(jù)安全事件分類分級結(jié)果；核查制度文件是否包括公共數(shù)——可執(zhí)行性：充分考慮政策背景、行業(yè)技術(shù)發(fā)——動態(tài)更新性：查驗是否持續(xù)跟蹤外部環(huán)境、政策變化、組織實際情況等，至少每年評估并修——適用性：核查該技術(shù)產(chǎn)品是否有效防止非法數(shù)據(jù)源接入，實現(xiàn)防止虛假數(shù)據(jù)注入；核查該技——安全性：核查該技術(shù)產(chǎn)品本身是否存在安全漏洞、配置錯誤——功能性：檢查該技術(shù)產(chǎn)品是否具備敏感數(shù)據(jù)識別功能；——適用性：核查該技術(shù)產(chǎn)品是否可有效識別出敏感數(shù)據(jù)；核查該技術(shù)產(chǎn)品性能是否滿足該組織——安全性：核查該技術(shù)產(chǎn)品本身是否存在安全漏洞、配置錯誤——功能性：檢查該技術(shù)產(chǎn)品是否具備根據(jù)相關(guān)標(biāo)準(zhǔn)進(jìn)行智能化分類分級的功能；檢查該技術(shù)產(chǎn)——適用性：核查該技術(shù)產(chǎn)品是否可有效標(biāo)識數(shù)據(jù)類別和級別；核查該技術(shù)產(chǎn)品性能是否滿足該——安全性：核查該技術(shù)產(chǎn)品本身是否存在安全漏洞、配置錯誤8——功能性：檢查該技術(shù)產(chǎn)品是否可實現(xiàn)敏感數(shù)據(jù)脫敏功能；檢查該技術(shù)產(chǎn)品是否可實現(xiàn)數(shù)據(jù)存儲或使用脫敏功能（包含靜態(tài)和動態(tài)脫敏）；檢查該技術(shù)產(chǎn)品是否可根據(jù)不同——適用性：核查是否已有效對規(guī)定場景數(shù)據(jù)進(jìn)行靜態(tài)或動態(tài)脫敏保護(hù)；核查該技術(shù)產(chǎn)品性能是——安全性：核查該技術(shù)產(chǎn)品本身是否存在安全漏洞、配置錯誤——功能性：檢查該技術(shù)產(chǎn)品是否可實現(xiàn)敏感數(shù)據(jù)存儲和傳輸加密功能；——適用性：核查是否已有效對存儲和傳輸?shù)拿舾袛?shù)據(jù)實施加密保護(hù)；核查該技術(shù)產(chǎn)品性能是否——安全性：核查該技術(shù)產(chǎn)品本身是否存在安全漏洞、配置錯誤——功能性：檢查該技術(shù)產(chǎn)品是否可實現(xiàn)數(shù)據(jù)傳輸通道加密；——適用性：核查是否已有效對數(shù)據(jù)傳輸通道實施加密保護(hù)；核查該技術(shù)產(chǎn)品性能是否滿足該組——安全性：核查該技術(shù)產(chǎn)品本身是否存在安全漏洞、配置錯誤——功能性：檢查該技術(shù)產(chǎn)品是否具有追蹤記錄數(shù)據(jù)間的血緣關(guān)系的功能；檢查該技術(shù)產(chǎn)品是否——適用性：核查該技術(shù)產(chǎn)品是否可有效監(jiān)控數(shù)據(jù)流轉(zhuǎn)過程；核查該技術(shù)產(chǎn)品性能是否滿足該組——安全性：核查該技術(shù)產(chǎn)品本身是否存在安全漏洞、配置錯誤——功能性：檢查該技術(shù)產(chǎn)品是否具備自動化數(shù)據(jù)備份的功能；檢查該技術(shù)產(chǎn)品是否具備自動檢驗備份數(shù)據(jù)完整性的功能；檢查該技術(shù)產(chǎn)品是否具備數(shù)據(jù)恢復(fù)的功能——適用性：核查該技術(shù)產(chǎn)品在數(shù)據(jù)遭受破壞時，數(shù)據(jù)備份機(jī)制是否保存了恢復(fù)所需的數(shù)據(jù)復(fù)機(jī)制是否能夠根據(jù)備份數(shù)據(jù)有效恢復(fù)，保證業(yè)務(wù)受影響程度在可接受的范圍內(nèi)；核9——適用性：核查該技術(shù)產(chǎn)品是否有效實現(xiàn)了數(shù)據(jù)在終端、網(wǎng)絡(luò)和應(yīng)用等流轉(zhuǎn)過程的——安全性：核查該技術(shù)產(chǎn)品本身是否存在安全漏洞、配置錯誤——適用性：核查該技術(shù)產(chǎn)品是否可有效識別符合數(shù)據(jù)銷毀場景的數(shù)據(jù)；核查該技術(shù)產(chǎn)品性能是——安全性：核查該技術(shù)產(chǎn)品本身是否存在安全漏洞、配置錯誤——功能性：檢查該技術(shù)產(chǎn)品是否具備多種數(shù)據(jù)銷毀策略和技術(shù)手段等；——適用性：核查該技術(shù)產(chǎn)品的銷毀策略和手段是否可實現(xiàn)對數(shù)據(jù)的徹底銷毀；核查該技術(shù)產(chǎn)品——安全性：核查該技術(shù)產(chǎn)品本身是否存在安全漏洞、配置錯誤——功能性：檢查該技術(shù)產(chǎn)品是否具備公共數(shù)據(jù)訪問權(quán)限集中認(rèn)證、統(tǒng)一訪問入口等功能；檢查該技術(shù)產(chǎn)品是否具備庫、表、字段級別的訪問控制功能；檢查該技術(shù)產(chǎn)品是否與——適用性：核查該技術(shù)產(chǎn)品是否有效支撐該組織和角色職能需求，實現(xiàn)公共數(shù)據(jù)訪問權(quán)限的有效管控；核查該技術(shù)產(chǎn)品性能是否滿足該組織——安全性：核查該技術(shù)產(chǎn)品本身是否存在安全漏洞、配置錯誤——功能性：檢查該技術(shù)產(chǎn)品是否具備訪問控制功能；檢查該技術(shù)產(chǎn)品是否具備數(shù)據(jù)脫敏功能；核查該技術(shù)產(chǎn)品是否具備接口實時數(shù)據(jù)安全監(jiān)測與異常告警功能；檢查該技術(shù)產(chǎn)品是——適用性：核查該技術(shù)產(chǎn)品是否可有效支撐共享和開放數(shù)據(jù)的訪問控制功能；核查該技術(shù)產(chǎn)品的數(shù)據(jù)脫敏能力是否可有效對共享和開放的數(shù)據(jù)實施脫敏，包括脫敏算法的類型、核查該技術(shù)產(chǎn)品是否可有效發(fā)現(xiàn)接口安全風(fēng)險，并告警；核查該數(shù)據(jù)產(chǎn)品的溯源過——功能性：檢查該技術(shù)產(chǎn)品是否具備可配置化的量化指標(biāo)的功能；檢查該技術(shù)產(chǎn)品是否接入了全量重要系統(tǒng)的日志數(shù)據(jù)，并具備支撐威脅發(fā)現(xiàn)、識別、理解分析、風(fēng)險預(yù)警和提供處置建——安全性：核查該技術(shù)產(chǎn)品本身是否存在安全漏洞、配置錯誤9運(yùn)行管理子體系評估項9.1數(shù)據(jù)安全管理團(tuán)隊——完備性：檢查是否設(shè)置公共數(shù)據(jù)安全管理團(tuán)隊，包括公共數(shù)據(jù)安全決策方、公共數(shù)據(jù)安全管理方、公共數(shù)據(jù)安全執(zhí)行方、公共數(shù)據(jù)安全審計方等；檢查是否明確公共數(shù)據(jù)安全管的各方的職責(zé)分工；檢查是否設(shè)置機(jī)構(gòu)主要負(fù)責(zé)人為公共數(shù)據(jù)安全管理第一責(zé)任人；否設(shè)置專職的公共數(shù)據(jù)安全管理負(fù)責(zé)人；檢查是否明確公共數(shù)據(jù)安全管理第一責(zé)任人等安全專業(yè)證書；查驗公共數(shù)據(jù)安全管理負(fù)責(zé)人是否接受安全技能培訓(xùn)和考核；查驗否為公共數(shù)據(jù)安全管理負(fù)責(zé)人提供必備的人力支持和技術(shù)支持。查驗該團(tuán)隊成員專業(yè)——可靠性：查驗該團(tuán)隊安全管理負(fù)責(zé)人和成員9.2數(shù)據(jù)分類分級管理機(jī)制——完整性：查驗該工作機(jī)制是否與數(shù)據(jù)資源目錄機(jī)制協(xié)同；查驗該工作機(jī)制是否建立維護(hù)了數(shù)據(jù)資產(chǎn)全景視圖；查驗該工作機(jī)制是否實現(xiàn)分類分級工作實施、工作結(jié)果反饋、分類分級機(jī)——符合性：查驗分類分級工作實施、數(shù)據(jù)資源目錄同步、分級結(jié)果反饋、分類分級機(jī)制優(yōu)化等——有效性：檢查分類分級工作實施、數(shù)據(jù)資源目錄同步、分級結(jié)果反饋、分類分級機(jī)制優(yōu)化等9.3數(shù)據(jù)訪問權(quán)限管理機(jī)制——完整性：查驗該工作機(jī)制是否包括公共數(shù)據(jù)訪問權(quán)限的分配、開通、使用、變更、重銷等的申請審批、實施、以及定期核查等；查驗該工作機(jī)制是否建立維護(hù)了統(tǒng)一的公共數(shù)據(jù)9.4數(shù)據(jù)共享和開放安全管理機(jī)制——完整性：查驗該工作機(jī)制是否包括公共數(shù)據(jù)共享和開放的申請審批，接口上線前和上線后的——符合性：查驗公共數(shù)據(jù)共享和開放的申請審批，接口上線前和上線后的安全檢查、敏感數(shù)據(jù)——有效性：檢查公共數(shù)據(jù)共享和開放的申請審批，共享和開放接口安全檢查及整改、敏感數(shù)據(jù)9.5安全日志審計機(jī)制——符合性：查驗違規(guī)行為告警的核實、分析、處置和整改等工作過程文件和記錄；——有效性：檢查違規(guī)行為告警的核實、分析、處置和整9.6安全監(jiān)督檢查機(jī)制——完整性：查驗該工作機(jī)制是否包括安全監(jiān)督檢查工作實施、工作總結(jié)，問題整改、整改效果——符合性：查驗安全監(jiān)督檢查工作實施、工作總結(jié)，問題整改、整改效果驗證等工作過程文件——有效性：檢查安全監(jiān)督檢查工作實施、工作總結(jié)，問題整改、整改效果驗證等工作結(jié)果文件9.7安全事件應(yīng)急響應(yīng)機(jī)制——完整性：查驗該工作機(jī)制是否包括應(yīng)急演練規(guī)劃、實施、總結(jié)以及應(yīng)急演練報告編制、應(yīng)急——符合性：查驗應(yīng)急演練規(guī)劃、實施、總結(jié)以及應(yīng)急演練報告編制、應(yīng)急預(yù)案優(yōu)化等工作過程——有效性：檢查應(yīng)急演練規(guī)劃、實施、總結(jié)以及應(yīng)急演練報告編制、應(yīng)急預(yù)案優(yōu)化等工作結(jié)果文件和記錄；檢查安全事件發(fā)生時，應(yīng)急響應(yīng)工作記錄和——完整性：查驗該工作機(jī)制是否包括培訓(xùn)計劃制定、工作實施、效果考核、計劃優(yōu)化調(diào)整等環(huán)組建評估團(tuán)隊方案組建評估團(tuán)隊方案實施評估首先應(yīng)明確評估范圍，包括被評估方涉及評估的系統(tǒng)、應(yīng)用——公共數(shù)據(jù)相關(guān)基礎(chǔ)設(shè)施(政務(wù)云、網(wǎng)絡(luò)、終端等)運(yùn)維人員；——公共數(shù)據(jù)重點(diǎn)應(yīng)用部門相關(guān)人員等。對應(yīng)的評估項(含子項)和評估維度，制定評估指標(biāo)(取定評估權(quán)重和賦分規(guī)則可參考附錄B),通過g)評估方式(參見附錄B):根據(jù)評估指標(biāo)，確定主要評估方式。a)評估團(tuán)隊按照評估方案實施評估，收集并整理相關(guān)證明材料，初步研判各評估指標(biāo)符合情況b)評估團(tuán)隊根據(jù)評估過程記錄及證明材料，組織召開會議，與被評估單位確認(rèn)研判結(jié)果，形成評估結(jié)果以報告形式展現(xiàn)，評估報告內(nèi)容主要A.2根據(jù)評估子項在該組織數(shù)據(jù)安全體系中的重要性設(shè)置該評估子項的權(quán)重值，權(quán)重值一般為1-10A.3所有高風(fēng)險項應(yīng)全部滿足，出現(xiàn)一個及以上未滿足高風(fēng)險項且不進(jìn)行整改的，公共數(shù)據(jù)安全體系A(chǔ).4公共數(shù)據(jù)安全體系評估指標(biāo)定義示例見表A.1。162347567789758和處罰措施、明確了對供應(yīng)方及其人員的數(shù)578842-AS11)8882-AS14)52-AS15)62-AS16)362-AS18)72-AS18)72-AS19)6據(jù)銷毀場景的數(shù)據(jù)。（全部滿足得2分）2.核查2-AS20)6據(jù)銷毀場景的數(shù)據(jù)。（全部滿足得2分）2.核查2-AS21)877否全量接入重要系統(tǒng)日志，并具備支撐威脅核查該技術(shù)產(chǎn)品性能是否滿足該組織高峰期業(yè)務(wù)需求等。3-AS24)66873-AS28)73-AS29)783-AS31)5