DB5206T 175-2024 公共数据全生命周期安全管理规范

ICS 03.080.99CCS M19DB5206铜 仁 市 地 方 标 准DB5206/T175-2024公共数据全生命周期安全管理规范Publicdatalifecyclesecuritymanagementspecification2024-06-28发布 2024-09-28实施铜仁市市场监督管理局 发布DB5206/T175DB5206/T175—2024PAGE\*ROMANIIPAGE\*ROMANII、目 次前言 Ⅱ范围 1规范性引用文件 1术语和定义 1原则和要求 2通用安全要求 2数据采集安全 3数据传输安全 3数据存储安全 4数据使用安全 4数据销毁安全 5前  言本文件按照GB/T1本文件由铜仁市大数据发展管理局提出并归口。本文件起草单位：铜仁市大数据发展管理局、贵州梵云大数据集团有限公司、中国电信股份有限公司铜仁分公司、铜仁学院大数据学院。本文件主要起草人：赵 将、李宗亮、余 柔、陈 丹、陈进军、李正隆、田 波、鲁泓颍万嘉华、李蔹育、杨胜明、杨 芬、万 勇、李 涛、邓明易。DB5206/T175DB5206/T175—2024PAGEPAGE1公共数据全生命周期安全管理规范范围本文件规定了公共数据安全管理规范的术语和定义、原则和要求、通用安全要求、数据采集安全、数据传输安全、数据存储安全、数据使用安全、数据销毁安全。本文件适用于铜仁市公共管理和服务机构对公共数据全生命周期的安全管理，其他数据的安全管理也可参照执行。规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用（包括所有的修改单）适用于本文件。GB/T22239信息安全技术网络安全等级保护基本要求GB/T25069信息安全技术术语GB/T35273信息安全技术个人信息安全规范GB/T39786信息安全技术信息系统密码应用基本要求术语和定义GB/T25069、GB/T35273界定的以及下列术语和定义适用于本文件。公共数据publicdata公共管理和服务机构在依法履职或提供公共服务过程中生产的，以一定形式记录或保存的文件、资料、图表、数据等各类数据资源，包括公共管理和服务机构直接或通过第三方依法采集的、依法授权管理的和因履行职责需要依托政务信息系统形成的数据资源。数据安全datasecurity通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。数据合作方datacoperator与公共管理和服务机构进行业务合作、提供技术支撑和数据服务等，并可能接触到公共数据的外部单位。公共管理和服务机构publicmanagementandserviceorganization铜仁市各级行政机关以及履行公共管理和服务职能的企事业单位和社会组织。生命周期lifecycle数据从采集到销毁的整个过程，指数据的采集、存储、传输、使用、销毁五个阶段。原则和要求安全原则明示同意原则：数据相关主体拥有对其个人信息的处理目的、方式、范围等规则的知情权，在进行数据处理活动前应向数据相关主体明示，并获得授权同意，法律、行政法规另有规定的从其规定；最小必要原则：数据处理活动仅处理可满足特定公共服务为目的所需的最少数据类型和数量；安全要求承载公共数据的信息系统应按GB/T22239规定执行，数据处理过程涉及的密码技术应按GB/T39786描述的密码应用基本要求执行。通用安全要求机构管理要求明确组织内部的数据安全管理和监督部门，负责对组织内部的数据进行安全管理和监督；建立数据安全追责问责机制，建立数据安全投诉、举报受理、处置制度。人员管理要求应加强人员管理，签订保密协议和竞业协议，明确数据访问范围、操作权限、违约责任等；在选用重要岗位人员前应对其进行背景调查，符合相关的法律、法规要求；明确重要岗位人员的数据安全培训计划，并在重要岗位变动环节对相关人员开展培训。数据采集安全数据采集的基本要求依据统一的数据采集流程建设数据采集相关的工具，保证相关系统具备详细的日志记录功能，确保数据采集授权过程的完整记录。数据采集的质量要求利用技术工具实现对关键数据进行数据质量管理和监控，对异常数据及时告警或更正；对关键溯源数据进行备份，并采取技术手段对溯源数据进行安全保护；数据传输安全数据传输基本安全要求明确数据传输相关安全管控措施，如传输通道加密、数据内容加密等；对数据传输两端进行身份鉴别，确保数据传输双方可信任；采用校验技术保证数据在传输过程中的完整性。网络安全性管理对关键的网络传输链路、网络设备节点实行冗余建设；数据存储安全数据存储基本安全要求提供数据备份与恢复功能，同时考虑数据存储的保密性、完整性和多副本一致性；归档数据建立安全保护机制；建立数据逻辑存储隔离授权机制，具备多租户存储的安全隔离能力；存储介质要求明确存储媒介访问和使用的安全管理规范，建立存储媒介使用的审批和记录流程；建立存储媒介资产标识，明确存储媒介存储的数据；数据备份和恢复明确数据备份与恢复的管理制度，以满足数据的可靠性、可用性；建立数据备份与恢复的统一技术工具，保证相关工作的自动执行；数据使用安全数据使用原则明确数据使用的场景、目的和范围，建立数据使用过程的安全机制；根据不同数据使用场景采用安全处理措施，降低数据敏感度及暴露风险；记录；数据使用过程中，具备风险监测和处理能力，对违规操作行为进行有效的识别。数据共享安全签署相关协议，明确数据使用目的、供应方式、共享范围、安全保护要求等内容；采用国家相关标准规定的密码技术，保障数据共享过程的保密性和完整性；对请求共享的终端、用户或服务组件进行身份鉴别，验证身份的真实性；对数据共享过程进行监控，确保共享数据安全合规，未超出授权范围；采用数据加密、安全通道等安全措施保护共享过程中的数据。数据开放安全明确数据开放的审核制度，严格审核数据开放合规要求；明确数据公开内容、适用范围及规范，明确发布者与使用者权利和义务；定期审查开放的数据中是否含有非公开信息，并采取相关措施满足数据开放的合规性；采取必要措施建立数据开放安全事件的应急响应和处置流程；建立数据开放平台，实现公开数据登记、用户注册等验证互认机制。数据销毁安全数据资源的销毁建立数据销毁与删除规程，明确数据销毁与删除场景、方式及审批制度，记录数据销毁与删除操作过程；如因业务终止或组织解散，无数据承接方的，应及时有效销毁其控制的数据，法律、法规另有规定的除外；委托数据合作方完成数据处理后，应要求数据合作方及时销毁委托的相关数据，法律、法规另有规定的除外；使用规范的工具或产品，采用可靠技术手