TTAF 238.5-2024 未成年人个人信息网络保护要求 第5部分：应急响应保障

电信终端产业协会发布I II III 1 1 1 2 2 2 3 3 4 4 6本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定本文件是T/TAF238《未成年人个人信息网络保护要求》的第5部分。T/TAF里科技有限公司、郑州信大捷安信息技术股份有限公司洁、潘万鹏、郭建领、任资政、刘俊、曹昉赫、刘T/TAF《未成年人个人信息网络保护要求》系列标准旨在落实法律法规要求，指导行业——第2部分：最小必要。目的在于规范网络产品和服务提供者处理未成年人网络活动时的原则要——第3部分：个人权利响应。目的在于规范个人信息处理者响应用户个人权利的要求，包括用户——第4部分：合规审计。目的在于规范未成年人个人信息网络保护合规审计规范，主要包括审计——第6部分：分发平台。目的在于规范移动互联网应用程序分发服务平台在未成年人个人信息网1未成年人个人信息网络保护要求第5部分：应急响应保障丢失，或涉及私密信息的安全事件时应当采取的应急响应GB/T20985.1-2017信息技术安全技术信息安全事件管理第1部分：事件管理GB/T29086-2023信息安全技术网络安全事件分类GB/T24362-2009信息安全技术信息安全应急响应2对无民事行为能力人和限制民事行为能力人的人身、财产和其他一切合法权益负有监护职责4缩略语根据GB/T20985.1-2017，信息安全事件管理由以下五个不同阶段组成：在组织已经建立了信息安全事件管理基础上，应当致的且相适的。组织处理未成年人个人信息的，则应当在信息安全事件管理策略中明确规定：a）将保护未成年人个人信息安全作为信息安全事件策略中个人信息保护b）将涉未成年人个人信息明确纳入信息安全c）将涉未成年人个人信息作为评估信息安全将涉未成年人作为信息安全事件分类定级判断的重要因素；3a)接受过未成年人个人信息网络保护的相关培训，充分了解未成年年人或其监护人沟通等，降低信息安全事件对未成年人e）IRT应正确地记录所有活动、结果和相关决策上述活动收集和记录的信息，宜存储在由组织IRT管理的事件管理数据库中，以支持后续的事件管信息安全事态被发现和报告后，IRT应当组织相关方进行评估是否判断为信息安全事件、信息安全年龄，可能对未成年人造成的伤害，私密信息中可能涉及侵c）若构成了信息安全事件，IRT对信息安全事件进行分类定级，事件分类定级遵照GB/T注2：若涉及未成年人的信息安全事件，则在事件影响程度上可以至少界定为一般，在社会危害的严重程度上至少4上述活动收集和记录的信息，宜存储在由组织IRT管理的事件管理数据库中，以支持后续的事件管在评估和决策阶段已经决定了响应策略和行动后，IRT应当协同相关部门采取响应行动。响应行动a)根据信息安全事件的分级和场景化采取应急措施，避免损失扩大。针改或丢失，应当立即采取措施避免造成因篡改或丢失而对未成年人造成的其他损d)信息安全事件响应过程中，若发现无法控制事件后果或发现收集信息不准确，IRT有权组织相上述活动收集和记录的信息，宜存储在由组织IRT