DB23-T 3509-2023 政务数据开放共享服务安全管理规范

70

23 DB

23/T

3509—2023政务数据开放共享服务安全管理规范 黑龙江省市场监督管理局  发

布DB

23/T

35092023

II

DB

23/T

35092023本文件按照GB/T

1.1—2020《标准化工作导则

第1部分：标准化文件的结构和起草规则》的规定IIDB

23/T

35092023

GB/T

25069—2022

GB/T

GB/T

GB/T

DB

23/T

3510—2023

DB

23/T

3508—2023

GB/T

[来源：GB/T

38664.1—2020，3.1][来源：GB/T

38664.1—2020，3.2][来源：GB/T

DB

23/T

35092023[来源：GB/T

[来源：GB/T

DB

23/T

35092023

应制定满足业务需求的数据安全策略，建立数据安全制度规程，明确安全方针、安全目标和安

应根据政务数据开放共享的安全需求和安全目标，制定政务数据开放共享流通安全管理制度，

应制定相应的应急恢复办法和操作规程。

应建立和执行安全责任制度，实行领导责任制，明确各岗位应承担的责任和义务。

应建立和执行安全工作制度，包括人员、物理设施与环境、运行与开发、数据安全和个人信息

应为政务数据开放共享流通管理人员或操作人员执行的管理或业务操作建立操作规程。

应定期对政务数据开放共享服务安全管理制度和规程进行评审，并及时进行更新。

DB

23/T

35092023

应建立政务数据流通安全管理组织、政务数据提供者、政务数据使用者、政务数据流通服务机

政务数据流通安全管理组织与政务数据提供者、政务数据使用者、政务数据流通服务机构签署

政务数据流通安全管理组织应委托独立的运行监管方，对政务数据提供者、政务数据使用者和

应根据日志记录规范和监管要求，对政务数据采集、传输、存储、处理、使用、交换、销毁等

应建立统一的数据访问和操作的日志记录和分析技术工具，该技术工具可对各类数据访问和操

应对政务数据流通服务机构实施的安全控制措施、变更管理、应急响应等进行持续监管，通过

应建立针对敏感数据的动态可持续的数据风险监管体系，周期性的对敏感数据的脆弱性、面临

DB

23/T

35092023

6.1.1.1

6.1.1.2

应确保通过合同或其他诸如强制的内部策略等明确界定数据接收方接收的数据范围和要求，6.1.1.3

6.1.1.4

6.1.1.5

6.1.2.1

DB

23/T

3510—2023

6.1.2.2

6.1.2.3

6.1.2.4

6.1.3.1

DB

23/T

中规定的敏感信息脱敏规范，明确需要脱敏处理的应用场景和处6.1.3.2

6.1.3.3

6.1.3.4

6.1.4.1

6.1.4.2

6.3.1.1

应建立各类数据存储系统的安全配置规则，采取技术手段和工具，支撑数据存储系统的安全6.3.1.2

6.3.1.3

6.3.1.4

6.3.1.5

DB

23/T

350920236.3.2.1

6.3.2.2

应建立用于数据备份、恢复的技术手段，并将具体的备份策略固化到工具中，保证相关工作6.3.2.3

应建立数据复制、数据备份与恢复的定期检查和更新工作流程，包括数据副本更新频率、保

6.3.3.1

应根据政务数据提供方数据开放的需求和目标，结合政务数据接收方的实际需求，按照最小6.3.3.2

应根据政务数据提供方数据开放的需求和目标、政务数据接收方的需求、政务数据流通服务6.3.3.3

6.3.3.4

应建立用户口令长度、口令生存周期、口令复杂度等管理策略，保证基于口令的身份鉴别安6.3.3.5

6.3.3.6

6.4.2.1

政务数据开放应实行分级管理，按照开放属性分为无条件开放和依申请开放，对有条件开放6.4.2.2

6.4.2.3

依申请开放类数据，宜将数据服务封装成接口，供审批通过的数据申请方调用，应记录调用6.4.2.4

6.4.3.1

6.4.3.2

6.4.3.3

6.4.3.4

应制定数据服务接口安全控制策略，提供对数据服务接口的安全限制和安全控制措施，如身6.4.3.5

应统一收集数据服务接口调用的相关记录日志，并建立相应针对数据接口调用的审计工具，DB

23/T

35092023

6.5.1.1

应对数据分析结果进行二次风险评估，确保衍生数据不超过原始数据的授权范围和安全使用6.5.1.2

应对利用多源数据进行大数据分析的过程进行日志记录，以备对分析结果质量、真实性和合6.5.1.3

应对利用数据分析算法输出的结果进行风险评估，避免分析结果输出中包含可恢复的个人信

6.5.2.1

6.5.2.2

应定义并执行统一的身份及访问管理流程，遵循规范的身份及访问管理流程对用户访问数据6.5.2.3

应建立数据使用正当性的监督审核机制，保证在数据使用声明的目的和范围内对受保护的个

政务数据流通服务机构应制定数据销毁规范，提出各类数据销毁场景应采用的数据软销毁和硬

政务数据流通服务机构应建立数据销毁的审批和记录流程，并设置数据销毁监督角色，监督数

政务数据流通服务机构在按照数据开放共享服务规则完成数据开放共享后，应按照制定的制定

安全审计应与数据安全、访问控制等安全功能的设计紧密结合，针对数据流通过程中的可审计

应建立对审计记录的大数据分析与事件挖掘策略，定期对审计记录进行审查或分析，调查可疑DB

23/T

35092023

政务数据开放共享的质量管理分为数据提供质量的管理，数据管理及维护质量的管理，数据发