电信网和互联网数据合作安全管理指南

1YD/TxXX00x—xXXx电信网和互联网数据合作安全管理指南本文件明确了在数据合作过程中电信网和互联网组织机构宜遵循的安全管理原则和采取的安全管理措施，以及组织机构宜对外部机构提出的数据安全保障要求与监督管理办法。本文件适用于电信网和互联网组织机构与外部机构开展数据技术服务、数据建模服务、数据平台服务、数据开发服务、联合数据服务、数据代理、数据业务推广等合作过程中，外部机构可以接触到电信网和互联网组织机构所控数据的场景。本文件不适用于数据出境相关场景。注：外部机构是指与电信网和互联网组织机构间既不存在隶属关系，也不隶属同一母公司的组织2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件YD/T3802-2020电信网和互联网数据安全通用要求YD/TAAAA-202X电信网和互联网数据生命周期日志留存指南3术语和定义下列术语和定义适用于本文件。本单位在生产经营或服务提供过程中与合作方开展的涉及本单位所控数据的合作，具体合作形式包括数据技术服务、数据建模服务、数据平台服务、数据开发服务、联合数据服务、数据代理、数据业务推广等。数据合作过程中，合作方可以接触到本单位所控数据。注：本文件将电信网和互联网组织机构统称为“本单位”,将外部机构统称为“合作方”受托代理市场销售和提供业务合作、技术支撑、数据服务等可能接触到本单位数据的外部机构。敏感个人信息sensitivepersonalinfomati2YD/TxXX00x—xXXx一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。下列缩略语适用于本文件。国际信息系统审计师CertiiedInformationSystemsAudit注册信息安全员CertifiedInformationSecurit注册信息安全专业人员CertifiedInformationSecurityProfesi信息系统安全专业认证CertificationforInformationSystemSecurity隐私和数据保护基础PrivacyandDataProtectionFoundation隐私和数据保护从业者PrivacyandDataProtectionPractitioner5数据合作安全保护基本原则5.1合法合规原则按照法律法规规定开展数据合作，不得危害国家安全和发展利益，不得损害个人、组织的合法权5.2权责一政原则合作方对合作数据的安全保障措施符合法律法规的相应保护要求，不同数据难以分别采取保护措施的，应当按照其中级别最高的要求实施保护，并对合作数据处理活动造成的损害承担相应的责任。合作数据处理具有合法、正当、必要、明确的数据处理目的，只处理满足处理目的所需的最少数据的类型和数量。数据合作目的达成后，及时根据约定进行数据删除或返还。6数据合作场景6.1场景总述为开展数据合作，本单位需要围绕自身数据资源搭建基础数据平台，进行统一的数据资产的管理。在基础数据平台之上，本单位建设数据服务平台、数据开发平台开展数据应用、开发等合作。国绕本单位的数据系统的建设和数据的运营，常见的数据合作方式有数据技术服务合作、数据建模服务合作。同时，本单位通过数据服务平台可向合作方提供定制化的数据服务，合作方通过本单位提供的定制化的数据平台服务使用数据；本单位通过数据开发平台可向合作方提供通用的开发环境，包括开发工具、测试数据等在内的数据开发服务，合作方通过使用本单位提供的数据开发服务进行数据分析、计算等工作。s4数据平台服务合作多见于对政府机构、咨询公司、科技企业等外部单位的合作，本单位提供数据和开发、测试和运维，为合作方进行基于本单位自有数据的服务，作为外部数据源辅助政府、企业等合作方进行决策和行情预测。6.5数据开发服务合作数据开发服务合作指由本单位提供数据开发平台，为合作方提供本单位数据以及基于数据的开发、测试和运行环境，帮助合作方实现数据模型的训练和部署，最终在本单位的环境中向合作方提供模型服务的合作合作方在进行数据建模和运行过程中，需要接触到本单位数据，以便进行模型设计、训练和运行。合作方基于模型运行结果，获取模型的统计数据、评价指标、核验结果、趋势预测等信息。数据建模服务合作多见于咨询公司、科技企业、高校研究机构等有技术研究和开发能力的外部单位，有意愿使用本单位数据自行进行模型的设计、开发，并自行进行模型运行的监控和维护。联合数据服务合作指本单位与合作方之间，基于各方所有数据的种类、特征、标签、时间等特点，针对本单位或合作方的业务需求，共同进行数据和技术的合作，联合实现数据的如计算、分析、建模等活动，并提供一方或多方进行计算结果、分析结果、模型的使用。联合数据服务合作可分为数据集中式和数据分布式两种形态。数据集中式是将本单位和合作方所需的数据汇集在统一的平台上，进行统一的数据处理、加工、计算、建模等活动；数据分布式是通过采用分布式存储、分布式计算等技术，各自进行自有数据的处理、加工、计算、建模等活动，进行各方中间数据的交互后，汇集并计算出最终的数据结果。集中式的联合数据服务合作中合作方可能会接触到本单位数据，此时要采取法律、管理和技术等措施保证本单位数据的安全；分布式的联合数据服务合作中合作方除必要的中间数据外。一般无需接触本单位数据。联合数据服务合作多见于拥有数据的不同组织机构之间，如运营商、政府机构、科技企业等，希望进行联合的数据合作，以增加和增强自身数据服务范围和能力数据代理合作指由合作方作为销售代理，为本单位提供对外的技术合作、产品宣传、渠道推广、商务对接等活动。合作方在整个活动中可能接触或留存本单位的一些历史的、静态的数据。数据代理合作多见于一些具有特定资质并获批授权的代理公司，通过代理本单位数据，与如广告投放厂商等进行商业合作6.8数据业务推广合作数据业务推广合作指本单位与合作方联合开展数据和技术合作，共同进行相关的产品或相应的服务的分析、设计、开发，合作成果由本单位与合作方共享，共同对外进行产品和服务的推广，所获利益一般按约定分工比例进行结算。合作过程中，本单位与合作方需要进行深入的数据和技术融合，在进行共同产品和服务的设计、开发过程中，以及产品和服务等业务推广中，需要接触对方数据。数据业务推广合作多见于拥有数据的组织机构之间，以及拥有数据的组织机构和技术公司之间如运营商和科技公司联合开发对外的黑名单服务等。5YD/TxXX00x—xXXx7数据合作安全管理7.1.1管理机构与职责明确数据合作安全管理责任部门，牵头承担数据合作安全管理和监督工作，部门职责包括a)建立数据合作安全管理制度、机制和工作流程，明确合作数据的范围、类别、条件、程序等，组织落实合作数据保护责任要求；b)汇总管理数据合作台账，并定期核查、更新：c)制定数据安全事件应急响应预案，组织实施应急处置，并视情况向电信主管部门报告；d)建立数据合作信用名单并进行定期维护与动态管理；o)协调相关部门建立不同数据合作场景的安全管理及技术保障措施；8)组织开展数据合作安全教育培训，并对培训计划进行定期审核和更新；h)对合作方进行评估、审核及备案管理；i)组织对数据合作安全管理制度执行落实情况进行监督检查和考核问责明确数据合作安全管理的执行落实部门，例如，需求部门，业务/数据/网络/系统管理部门等，配合落实数据合作安全管理相关工作。7.1.2数据分类分级管理合作数据作为本单位数据的组成部分，其分类分级管理宜按照YD/T3802-2020第6章的要求，建立企业内部合作数据分类分级管理制度，明确合作数据分类分级策略，形成企业合作数据分级分类清单，对合作数据进行分类分级标识，结合数据类别级别设置不同的安全管理要求和技术保障措施，并对合作数据分类分级的策略标准制定、实施和变更情况进行记录。7.1.3台账管理台账是指本单位为了加强数据合作安全管理，详细了解掌握数据合作总体情况设置的一种辅助账簿。本单位相关部门按照“谁运营、谁负责”原则，建立数据合作台账管理机制，对所有数据合作项目进行梳理并形成台账，每个合作顶目至少包括合作企业名称、合作业务或系统、合作形式、合作数据范围、数据输出方式、输出数据类型、本单位负责人及相应信息、合作方名称、合作方联系人、合作期限等信息。建立数据合作台账更新维护机制，将清单更新环节加入数据合作变更流程中。建立数据合作台账定期核查机制，确保与数据合作的实际情况保持一致。数据合作项目台账参考格式详见附录A。7.1.4教育培训建立数据合作安全教育培训制度，针对数据合作相关部门及岗位制定相应培训计划，培训内容包括法律法规、数据安全制度、保密责任及义务、安全建设及运营规范、安全意识等，定期审核、更新定期开展数据合作安全管理培训，并对培训进行记录，评定培训效果。培训人员主要覆盖：a)数据合作安全管理责任部门全体人员：6YD/TxXX00x—xXXxb)数据合作安全管理的执行落实部门相关负责人员：c)有必要进行教育培训的其他人员建立培训结果反馈制度，对培训效果进行调查考核，并按照反馈结果动态调整培训计划。7.1.5合作模式变更合作模式发生变化时，依据数据合作安全管理制度、机制和工作流程，及时对数据合作台账等相关文档进行更新，通知数据合作安全管理责任部门和涉及该项目的数据合作安全管理执行落实部门重新评估当前数据合作安全保护措施是否适用于合作模式变化后的场景，如有需要及时进行调整涉及多个合作方时，保证每个合作方只获得其工作所需的合作数据资源，未经本单位同意，合作方之间不得进行数据传输、交换。通过合同等形式明确各合作方在该数据合作过程中的安全管理责任界面，确保出现数据安全问题时，能够及时进行分析溯源，追查相关环节和责任人7.1.7应急处置评估数据合作过程中的数据安全风险，识别可能发生的数据安全事件，针对数据泄露(丢失)、数据滥用、数据被算改、数据被损毁、数据违规使用等典型场景，建立应急处置工作机制，制定应急结合数据安全事件业务场景和等级，在应急响应预案中明确应急响应工作责任分工、实施环节、应急响应措施，并根据应急响应预案制定演练计划并定期进行应急演练，保存演练记录在发生数据合作安全事件时及时按照应急响应预案采取应急措施，做好记录，并视情况依法向主管部门报告。7.1.8信用名单制度本单位建立合作方的信用名单制度，根据相关单位数据合作信用情况建立数据合作信用名单并进行定期维护与动态管理信用名单由可信合作名单、限制合作名单和禁止合作名单组成。将在数据合作方面具备良好数据安全能力和信誉、无数据安全不当行为的单位列入可信合作名单；将发生较重数据安全不当行为或多次发生轻微数据不当行为的单位，冽入限制合作名单；将发生严重数据安全不当行为的单位，列入禁止合作名单。数据安全不当行为包括引发数据安全事件、违反数据安全法律法规及本单位数据安全管理要求等行为。在满足合作需求的前提下，优先与可信合作名单内的单位开展数据合作；原则上不与限制合作名单和禁止合作名单内单位开展数据合作。若因业务需要。确须与在限制合作名单和禁止合作名单的单位合作，本单位在合作前对该单位进行重点评估，评估内容包括业务风险分析、奥情分析、数据安全保障能力分析等，评估合格方可开展本次数据合作，并在合作过程中实施严格安全监督管理限制合作名单内单位两年内无数据安全不当行为，禁止合作名单内单位三年内无数据安全不当行为，经认定部门审核同意，可将该单位从限制名单和禁止合作名单中移除。限制合作名单内单位两年内再次出现同类失信行为的，列入禁止合作名单。单位获得数据安全保护能力认证的，经认定部门审核同意，可酌情将该单位从限制合作名单内移除。合作方提供的合作参与人员对三年内重大数据安全不当行为负主要责任的，本单位可以拒绝其参与数据合作数据合作信用名单参考格式及单位数据安全不当行为类型示例详见附录B。7YD/TxXX00x—xXXx7.2合作前审核评估7.2.1合作变更审核评估在新增合作方，与原合作方新增合作事项，或原有合作模式、内容等发生重大或实质性变更时，重点开展以下审核评估工作：a)与国家法律法规标准、行业标准及监管部门相关规章制度和政策要求等的符合性；b)数据使用权限、内容、范围及用途等是否符合最小化原则；c)合作数据中个人信息的处理是否经个人信息主体授权同意，是否超出合作约定目的和范围使用分析个人信息。因合作方原因无法确定个人信息处理符合此项审核评估要求的，不宜进行合作变更。7.2.2合作方安全资质审查与背景调查建立并落实合作方安全资质审查与背景调查制度，根据合作内容，对合作方运营资质、人员能力等进行资质审核，对合作方数据来源合法性、数据安全事件、违反数据安全法律法规及数据合作安全管理信誉等背景情况开展调查，合作方资质审核与背景调查项清单详见附录C。合作方人员担任本单位关键岗位的，对合作方人员进行背景调查。数据合作安全管理责任部门按照岗位对数据安全的影响程度、数据安全管理权限、对生产经营的影响等因素识别本单位关健岗位。7.2.3保障能力评估需求部门对合作方数据安全保护能力进行评估或要求合作方提供自评估报告或第三方出具的数据安全保护能力评估报告，评估报告包括对合作方的数据安全管理机构(含人员)、管理制度及基于数据合作场景下的技术措施等相关内容。数据合作安全管理责任部门组织相关需求部门对合作方提供的数据安全保障能力评估报告进行审核，确保合作方满足合作数据安全保护能力要求。7.2.4合作协议签署建立合作协议审核机制，签约前，需求部门与合作方就合作协议中双方基本信息、合作内容、合作模式、双方权限文务、保密责任及例外条款等进行审核，并明确说明对于合作过程中原始数据及衍生数据的超期处理方式、禁止数据留存沉淀和数据复用、转用的权责声明。合作协议(服务合同或安全保密协议)的内容应符合YD/T3802-2020第14.6条规定，合作协议具备的约束能力清单详见附录D。7.2.5权限授予审核建立合作方人员权限管理制度，覆盖合作方账号申请、授权、回收、有效期等各环节，加强对合作方人员权限管理：a)基于合作项目，指定需求部门承担合作方人员、数据，网络、平台、区域权限管理职责，包括权限申请、变更和注销等，确保落实到人：b)建立权限授予审批流程，审核内容包括权限的必要性、与合作范围的一致性等。审核部门至少包括本单位数据合作需求部门、相关业务/数据/网络/系统管理部门，审批完成后留存审批流程和结果记录；c)权限的授子必须在所有审核环节通过后，按需实施授予，并严格遵守最小授权的原则。合作方人员岗位变动，合作方及时通知本单位需求部门负责人员，及时提交变更或取消数据权限申请，经本单位审批后合作方人员方可转岗或离岗：d数据合作结束后回收合作方数据权限：8YD/TxXX00x—xXXxe)禁止为合作方人员开通数据平台系统管理员权限，禁止为合作方人员分配具备创建系统账号或者其他超出工作范围权限的高权限账号，禁止为合作方人员开通原始个人信息的访问权限。特殊情况下，合作方人员确需要获得系统管理员权限或涉敏权限，采取临时授权方式并进行严格监控，留存授权审批记录，工作完成后及时收回权限；f)定期对全量合作方账号进行严格审核，控制涉敏人员范围。7.3.1合作监督管理方法数据合作中监督管理方法，可采取以下一种或组合：a)合作方数据使用情况定期报备；b)定期开展数据安全保护能力动态评估：c)合作方数据访问和使用行为审计：d)数据核心安全区审批管理。7.3.2合作方数据使用情况定期报备按照数据合作合作模式，合作方需定期对合作数据实际使用情况进行报备，报备内容至少包括：a)数据使用范围c)数据使用方式：d)数据使用目的：需求部门对合作方数据使用情况报备内容进行审核，确保与法律法规和合同的符合性7.3.3数据安全保护能力动态评估定期对合作方的数据安全保障能力进行评估或核实(见7.2.3),对评估问题要求合作方在规定期限内整改。7.3.4数据访问和使用行为日志审计要求合作方对数据访问行为及数据传输进行日志留存，按照YD/TAAA-202X的要求，操作日志至少包括数据操作人员、操作数据类型、数据操作行为、数据操作时间等；接口日志至少包括发起者和数据接收者、接口名称、调用时间、调用目的、数据名称、数据量级等，日志留存确保满足审计和测源要求。建立合作方数据访问、使用和传输行为审计机制，对照操作权限、接口权限设置对异常数据访问、使用、传输等进行人工审计，并留存审计记录。7.3.5数据核心安全区审批管理合作方人员进入数据核心安全区采用严格访问控制策略和管控手段，合作方人员进入可能接触到本单位原始数据的生产或维护区域，经需求部门及相关业务/数据/网络/系统管理部门审批7.4合作后审计核查数据合作结束后，督促合作方依照合同等约定及时关闭数据接收接口，对原始数据及衍生数据进行返还或销毁，不得超期留存，数据销毁需由本单位内部工作人员进行有效监督并检验确认，验证在9YD/Txx00Xx—xx0Xx与合作方进行数据合作过程中可能产生的留存沉淀数据确实进行了销毁，切实履行了签署的合作协议中的相关义务。使用敏感个人信息、用户敏感数据及其他本单位敏感数据的，结合数据分类分级管理要求，按照数据脱敏处理管理规范和制度进行审批，按照数据脱敏规则、脱敏方法、数据脱敏处理流程进行数据脱敏。对敏感信息进行查询、展示、统计等操作时，按照最少够用原则，对敏感数据实施脱敏处理，降低敏感数据泄露风险。脱敏算法符合国际标准、国家标准和行业标准相关规定。7.5.2数据防泄漏合作方配置数据防泄露能力，对异常数据操作行为(如数据导入导出)进行预警拦截，防范数据7.5.3接入安全管控管理a)合作方终端接入本单位内部网络时，管理要求参考YD/T3802-2020第14.8条规定；b)对合作方接口可查询的时限和范围进行严格审核，严禁合作方自行确定查询范围。合作方系统退出服务时，及时关闭相应接口；c)面向合作方开放的数据接口具备接口认证鉴权与安全监控能力，能够限制违规设备接入，对接口调用进行必要的自动监控和处理，监控可能存在的数据获取、数据盗用等风险：d需求部门将系统接入情况提交数据安全管理责任部门备案。7.5.4漏洞检查合作平台、系统、接口等上线前，进行准入测试。合作平台、系统、接口等上线后，定期执行安全漏洞检查，及时发现处置最新漏洞建立数据安全凤险监测机制，实现数据访问行为和使用行为的监测、分析与异常预警，及时发现可能存在的数据合作安全风险，针对发现数据泄露事件，利用数字水印溯源等技术对疑似数据进行标识、检测和测源，有效查找泄漏源，并建立预警处置机制8场景化的数据合作安全管理8.1数据技术服务合作数据技术服务合作中合作方向本单位提供基础的开发资源和技术服务，涉及接触到本单位数据的情况，管理要求包括：a)建立合作方人员管理办法，细化明确本单位对合作方人员管理的职责分工，以及合作方人员对于网络、终端、数据等本单位资源使用的安全规范和操作要求；b)定期对合作单位进行资质复核；YD/TxXX00x—xXXxc)定期对合作方人员进行安全检查，包括保密协议签署情况、账号及权限使用情况、主机网络等资源使用情况、办公终端安全防护情况等：d)合作方对所开发服务中涉及的应用代码进行安全测试，配合本单位进行涉及访问关键敏感数据及数据输出等代码内容的安全审核；c)根据合作方的技术服务范围和内容，制定技术服务安全规范，明确对合作方人员技术支撑工作的基础安全要求：1定期审计合作方技术服务人员的行为和操作，具有常态化的异常行为监控和告警机制8.2数据建模服务合作数据建模服务合作中合作方由于业务情况接触到本单位数据，本单位需要对建模服务的全过程进行安全管理，管理要求包括a)建立建模数据使用的申请审批流程，审核合作方数据使用的合规性、必要性；b)建立数据建模开发安全管理机制，保证数据建模过程的安全性；c)建模数据提供前，对建模数据进行敏感数据检查，防止包含敏感信息的数据提供合作方使用；d)建立对合作方建模活动安全审计和监测机制，及时发现并处置建模过程中的账号异常、数据使用异常、数据异常导出等高风险行为：e)建立模型运行结果的常态化监测机制，对建模过程中中间结果或最终结果数据的输出进行安全检查与审计。8.3数据平台服务合作数据平台服务合作是由本单位通过数据服务平台对合作方提供标准的或定制化的数据服务，管理要求包括；a)制定数据服务平台的基本安全功能规范：b)建立数据服务平台的安全防护技术手段：c)定期对数据服务平台进行安全检查：d)数据服务平台具备留存合作方的操作行为日志功能，留存时间和内容满足审计和追溯的要求：e)定期开展对合作方的操作行为的安全审计，及时进行违规行为的处置和追责f)对提供给合作方的统计、分布、趋势预测等数据实施数据分类分级管理。8.4数据开发服务合作数据开发服务合作中本单位为合作方提供可访问使用的原始数据、开发环境等，合作方按约定进行资源使用并获取结果数据，管理要求包括：a)建立数据申请、使用的审批和安全管理流程，评估合作方数据使用的合规性、必要性：b)对提供开发活动的数据进行预先安全扫描检测，防止包含敏感信息的数据提供合作方使用；c)强化对合作方开发活动的安全审计和监测，防止开发过程中的账号异常登录、数据异常操作、信息导出泄露等安全事件发生；d建立模型、程序等上线审核和审批流程，加强对合作方模型的安全扫描，验证数据使用描述与实际情况的一致性，防止恶意代码：e)常态化模型运行结果的监测，以及结果数据的输出审核和审计。8.5联合数据服务合作YD/TxXX00x—xXXx联合数据服务合作中本单位与合作方共同提供数据和技术，管理要求包括a)定期开展对合作方的资质审核；b)建立业务合作的安全合规性评估；c)定期开展联合数据建模技术的安全性评估，确保技术实现的安全性，以及技术服务的可靠性；d严格审核联合模型运行过程中，本单位及合作方的输出数据，包括中间结果数据和最终结果数据，确保输出数据对于原始数据的不可还原：e)定期进行数据模型、程序的代码审计、安全测试，实时监测模型运行结果，防止敏感数据泄数据代理合作中合作方不能接触本单位的数据资源，主要承担作为代理角色对接本单位对外的数据合作职责，管理要求包括：a)建立对代理商的经营服务范围、商业资质、法律风险的审核和审批机制：b)加强对代理商工作人员的管理，定期开展代理业务安全、数据安全培训：c)建立代理商拓展客户的报备制度，并对客户及所开展的合作业务进行安全评估。8.7数据业务推广合作数据业务推广合作为本单位与合作方在共同的数据及技术合作基础上，共同进行对外的业务运营，管理要求包括：a)通过合作方资质审查机制对合作方可开展的业务范围进行确认；b)建立数据合作评估及审批机制，保证数据合作内容、方式