《数据基础设施 数据空间建设指南》征求意见稿

1T/XXXXXXX—XXXX数据基础设施数据空间建设指南本文件确立了数据空间构建的原则，提供了数据空间基础设施底座建设，数据空间安全的指导。本文件适用于数据生产流通利用基础设施的数据空间建设。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T32914信息安全技术网络安全服务能力要求GB/T37973信息安全技术大数据安全管理指南GB/T40645信息安全技术互联网信息服务安全通用要求GB/T42571信息安全技术区块链信息服务安全规范GB/Z42885信息安全技术网络安全信息共享指南YD/T4242电信网和互联网数据安全日志审计指南YD/T4247电信网和互联网数据库审计技术要求与测试方法3术语和定义下列术语和定义适用于本文件。3.1数据空间datamatrix数据提供者和数据使用者之间安全与信任地进行数据交换和使用的环境。4构建原则4.1安全可信按照GB/T37973和GB/Z42885，数据要素生产流通利用安全有保障。4.2高效合规具有措施确保数据的来源、使用、流通合规，公共数据价值的高效释放。4.3多源融合多源数据的统一标识确权以及数据产品开发过程的监管审计，融合有保障。4.4全链可溯数据要素生产流通的全生命周期过程都可追溯。4.5跨域流通突破数据流通壁垒，实现跨域数据流通和多方协同计算，具有互操作性。5数据空间基础设施底座5.1生产流通总控5.1.1宜支持向数商展示生产流通基座建设元成果，可申请算力情况，可申请数据，已生产数据产品，2T/XXXXXXX—XXXX已加工模型等。5.1.2宜支持数据要素参与方根据所在数据交易的环节中角色，完成数据要素生产流通基座入驻，方便资源的申请和数据的交易。5.1.3宜作为数据要素加工场，为入驻的数商提供空间资源和数据资源，支持用户在工场进行空间申请。用户也可在工场进行数据资源和模型的申请，满足计算需求。5.1.4宜支持中心打造数据要素市场，为入驻的数商，提供数据产品和数据资产凭证双流通场所，推动数据有偿或无偿使用，促进数据使用权交换和市场化流通，并且凭证赋权、授权、确权、行权、数据交易、数据调用等流通过程可追溯。5.1.5宜作为平台用户提供招募发布场所，可进行开发方、数据质量评价、数据资产评估、数据产品购买等需求的招募。5.2数据资源管理5.2.1宜覆盖全域数据资源目录，扩充数据覆盖渠道，按需对接政务数据、公共数据、企业数据，实现数据要素资源一本账管理。5.2.2宜支持对接入生产流通基座的数据资源，由数据提供方进行自主产权登记，并在平台上完成确权认证。5.2.3宜支持数据开发利用方，通过平台提出数据场景化授权使用申请，经审核认定后，成为数据生产加工方，开展获得授权数据的开发利用、产品封装，并对接数据交易所进行产品上架交易流通。5.2.4宜支持运营支撑方在数商运营管理系统进行产品发布审批，审批通过后数据产品可在总控工场数据目录进行展示。5.2.5宜在数据目录上线完毕后，支持对上线的数据产品目录信息进行维护，在修改相关信息之后可重新提交进行审核。5.2.6跨隐私计算平台场景下，参与方可创建数据目录，并指定其他参与方，通过跨域隐私数据分布式共识算法，创建后指定的参与方都可在该目录下发布资源。宜支持任何一方数据资源发生变化时，数据目录状态可同步至其他节点。5.3数商运营管理5.3.1宜支持对数据提供方、生产加工方等各类资源方申请入驻平台进行准入资格管理审核。5.3.2宜提供多租户管理，依托信创云平台，提供各租户可信数据空间的存储、计算资源的划配、监控与管理。5.3.3宜提供数据要素产品的注册管理、基本信息、流通信息维护、启停控制等管理；提供数据要素凭证的分类管理，有效期监控，赋权制证、授权印证、确权发证、行权用证等审核与监控管理。5.3.4宜提供各类运营工单的生成、派发、跟踪管理能力。5.4数据产品生产5.4.1宜建设融合“共享开发利用模式+隐私计算利用模式”的双模式数据产品生产系统，推动数据开发者依法依规对原始数据进行开发利用。5.4.2共享开发利用模式可围绕脱敏样本数据融合开发、生产模型下沉运行、数据沙箱隔离开发、工具集组件支撑。5.4.3隐私计算开发利用模式宜基于隐私计算技术，通过计算节点下沉部署至数据提供方生产环境，实现数据不出门、可用不可见。可通过定义统一的通信、互联、应用协议，实现数据产品生产加工过程中的跨域多方协同计算，充分利用已有隐私计算节点进行数据产品生产加工，实现数据隐私安全、计算互联互通。5.4.4可通过在互联网接入区提供抗拒绝服务系统进行数据采集流入时的恶意流量清洗。5.4.5宜提供数据上报功能，通过接口的方式上传结果数据到集中管理平台进行清洗、存储、上报到集团数据采集平台。5.4.6宜对数据加工后的结果数据进行产品化申请，提供库表转接口和接口转接口能力。5.4.7宜维护通过开发利用模式加工的数据产品的管控，以更新维护成果上架到指定服务区。5.4.8宜支持节点间数据加工，在公共数据授权运营域与生产流通基座之间进行数据加工操作。3T/XXXXXXX—XXXX5.5底座管理平台宜建设进行统一计数规则、资源核算、结算规则、协约管理的运营支撑系统，实现对数据产品业务运营的精细化管理和高效经营，辅助全面精细化数据运营。6数据空间安全保障体系6.1云网安全6.1.1宜建设光纤综合布线，将光纤延伸到用户终端电脑，使用户终端全程通过光纤实现网络接入。6.1.2宜布置无线系统，实现走廊、展厅、办公区、会议室等网络信号覆盖。6.1.3宜利用云资源以独立划分云区的形式，实现数据要素云区和政务云区业务隔离。6.1.4宜按照分区组网、专网联通，划分区域和互联网、政务外网两个出口，区域间通过新建联通专线实现跨区域安全互联互通。6.1.5宜按照区域划分、使用场景、支撑业务系统三大维度，配套防火墙、数据安全态势感知系统等安全防护产品，提供网络、数据安全技术能力支撑，实现一区域一策略精准安全管控。6.1.6各租户宜相互隔离。6.2数据安全6.2.1多源协同链6.2.1.1宜通过区块链技术为数据要素生产管理基座提供可信能力保障，满足多源数据的统一标识确权以及数据产品开发过程的监管审计，实现多源协同。6.2.1.2多源协同链宜提供数据要素凭证管理、数据要素生产加工存证、统一运维管理等功能。6.2.1.3宜利用分布式数字身份技术实现多源协同，可采用分布式数字身份技术开展去中心化身份验证，保证用户身份可信，通过链上共享数据目录、链下存储敏感信息，构建链上链下协同共享模式。6.2.1.4宜采用多跨隐私计算融合技术，形成隐私计算与区块链结合的模式，通过身份相互认证、共用标准算法、任务统一调度，构建跨域多方可信协同计算平台，破除跨隐私计算节点通信壁垒。6.2.1.5宜利用算法协议标准化技术实现任务互联，可通过开放互联协议方式，利用加密原语以自下而上的方式，逐层构建隐私计算标准化算法，增强异构平台算法透明度，提升跨平台互操作性，实现平台间的数据共享与任务协作。6.2.1.6宜具有企业自有数据接入记录的链上存证，为多源数据融合过程当中的数据权属提供证明；宜支持数据资源申请与审批记录的链上存证，为监管方管控数据资源供给过程提供保障；宜支持数据服务调用上链存证，使应用系统名称、接口提供方、接口名称、调用时间、调用状态均上链留痕。6.2.2数据审计6.2.2.1宜在网络核心交换设备处部署网络安全审计系统，对整个网络的流量进行审计分析，以及对用户的行为进行审计。6.2.2.2宜具备数据审计功能，对业务网络中的各种数据库进行全方位的安全审计。6.2.2.3可构建数据库审计能力，对数据要素生产流通基座的数据库实现综合管理，对数据库访问行为进行全面记录，实现策略设置、可信访问、用户行为轨迹分析等能力，对风险进行预警，建立事后追查机制。6.2.3数据访问安全策略6.2.3.1宜设置数据访问策略，使数据不落地、不出域，实现开发行为规范化、访问权限最小化、操作行为可审计。6.2.3.2宜根据数据访问权限与人员工作职能，明确管理对象，对关键人员实施监管措施。6.3开发环境安全6.3.1云桌面4T/XXXXXXX—XXXX6.3.1.1宜建设云桌面系统，提供高度安全的数据存储和传输环境，降低硬件维护成本和管理成本，提高整体的IT资源利用率和管理效率。6.3.1.2宜定制云桌面访问权限，按照使用对象、应用场景等，定制云桌面内置应用并设置访问策略，实现开发行为规范化、访问权限最小化、操作行为可审计。6.3.2区域监控6.3.2.1宜建设门禁监控系统，对进出人员的身份与时间进行认证，对进出人员做管控。6.3.2.2宜建设视频监控系统，对重点区域出入人员进行监控管理。录像存储时间不宜小于3个月。6.3.2.3宜通过合理分区，实现区域门禁分类分级管控。6.3.2.4宜配置监控强化智能管理，按区域级别合理布设监控点位，可利用视频监控智能分析能力，推送研判信息，实现智能预警和证据留存。6.3.3流程控制6.3.3.1宜对公共数据产品开发流程进行控制，可通过指定工位完成公共数据开发利用，产品经合规审核后出域上架。6.3.3.2宜对行业数据产品开发流程进行控制，可按照数据敏感程度分类实现数据单向导入，敏感数据专人审核专区分发、非敏感数据经备案审核后云上流转，采用按需申请、最小授权、专区加工的形式，实现行业数据可用不可见。6.3.3.3宜对融合数据产品开发流程进行控制，可通过数据要素流通平台的跨隐私计算融合能力，按照数据接入、任务接入和节点接入，实现异构隐私计算节点间的互联互通，完成多源数据融合加工。6.3.3.4平台宜提供用户名、密码、验证码等多重校验方式，用户可通过上传资质及其他相关证明，并设定数据提供方、数据加工方、数据产品使用方账号，特定流程中手机短信验证码等方式核实身份。6.3.3.5宜设立一户一档案与专属主页呼应，入驻申请提交后，该申请将流转到后台运营人员处进行审批和权限开通，并由运营人员以短信或邮件的形式通知申请用户。6.3.3.6宜支持开发数据要素凭证核验合约，授权方