DB54T 0422-2024 公共数据 数据安全管理规范

ICS35.24054CCSL7854西 藏 自 治 区 地 方 标 准DB54/T0422—2024公共数据 数据安全管理规范2024-11-18发布 2024-12-18实施西藏自治区市场监督管理局  发布DB54/T0422—2024DB54/T0422—2024PAGE\*ROMANPAGE\*ROMANII目 次前言 II范围 1规范性引用文件 1术语和定义 1数据安全管理原则 2数据安全管理框架 3数据安全职责 3数据安全策略 4数据安全分级 4分级要素 4分级规则 5分级要求 5数据权限管理 5数据操作 5数据安全监测与审计 6数据安全风险评估 6数据安全应急 6数据生存周期安全管控 6数据采集安全 6数据存储安全 6数据使用与加工安全 7数据传输安全 7数据共享和开放安全 7数据销毁安全 7附录A（资料性）4类影响对象的不同影响程度描述 8参考文献 9前 言本文件按照GB/T1.1—2020《标准化工作导则第1草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由西藏自治区经济和信息化厅（自治区数据管理局）提出并归口。（自治区数据管理局责任公司、国家工业信息安全发展研究中心。青、贺赟、杜洪涛、李云志、栾燕、陶炜、蔡长亮。DB54/T0422DB54/T0422—2024PAGEPAGE10公共数据数据安全管理规范范围管理框架、安全策略以及数据生存周期安全管控等。本文件适用于西藏自治区各级机构的公共数据安全管理。规范性引用文件（包括所有的修改单）适用于本文件。GB/T22239 信息安全技术网络安全等级保护基本要GB/T37988 信息安全技术数据安全能力成熟度模型GB/T43697 数据安全技术数据分类分级规则术语和定义GB/T37988界定的以及下列术语和定义适用于本文件。3.1数据安全datasecurity通过管理和技术措施，确保数据有效保护和合规使用的状态。[来源：GB/T37988-2019，3.1]3.2合规compliance对数据安全所适用的法律法规的符合程度。[来源：GB/T37988-2019，3.16]3.3核心数据coredata即国家核心数据，是指关系国家安全、国民经济命脉、重要民生、重大公共利益等的数据。3.4重要数据importantdata一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的数据。注1：重要数据不包括国家秘密。注2：重要数据一般不包括个人信息和企业内部管理信息，但达到一定规模的个人信息或者基于海量个人信息加工形成的衍生数据，如其一旦遭到篡改、破坏、泄露或者非法获取、非法利用可能危害国家安全、公共利益，也应满足重要数据保护要求。3.5一般数据normaldata会危害国家安全、公共利益的数据。3.6保密性confidentiality使信息不泄露给未授权的个人、实体、进程，或不被其利用的特性。[来源：GB/T25069-2010，2.1.1]3.7完整性integrity准确和完备的特性。[来源：GB/T29246-2017，2.40]3.8可用性usability已授权实体一旦需要就可访问和使用的数据和资源的特性。[来源：GB/T25069-2010，2.1.20]3.9数据脱敏datamasking通过一系列数据处理方法对原始数据进行处理以屏蔽敏感数据的一种数据保护方法。[来源：GB/T37988-2019，3.12]3.10数据生存周期datalifecycle将原始数据转化为可用于行动的知识的一组过程。[来源：GB/T36073-2018，3.14]数据安全管理原则实施公共数据安全管理应遵循以下原则：职责明确共数据安全责任；分级管理按照公共数据安全分级实施不同级别的数据安全措施；风险防控强化公共数据安全管理，防控数据安全风险。数据安全管理框架数据安全管理框架由数据安全职责、数据安全策略、数据生存周期安全管控三部分组成（1，具体组成如下：数据安全职责包括数据的安全决策方、安全管理方、安全执行方和安全监审方四方职责组成。数据安全策略据安全应急等安全域组成。数据生存周期共享与开放安全、数据销毁安全，实现数据全生存周期的安全受控。图1 数据安全管理框架示意图数据安全职责区内各级机构（含政府部门、企事业单位、社会团体等，应按照数据安全管理角色要求，完善本机构数据安全组织架构并明确相应职责。2。图2 数据安全角色示意图数据安全决策方数据安全决策方是指的管理层。数据安全决策方职责包括但不限于本单位数据安全工作的监管、协调与重大事项决策。数据安全管理方数据安全管理方职责包括但不限于：据安全组织架构；——制定公共数据安全管理制度与流程规范；——开展公共数据安全教育培训；——监督检查业务部门执行和落实公共数据安全相关工作；——处置公共数据安全事件。数据安全执行方数据安全执行方职责包括但不限于：——执行本单位数据安全制度要求；——实施数据安全建设及运营的保障工作；——配合完成各类数据安全检查，落实数据安全整改措施：——协同处理数据安全风险事件。数据安全监审方数据安全监审方职责包括但不限于：——对公共数据的数据安全保障工作进行监督和审计；——对数据安全管理制度和标准提出完善和优化建议，并督促安全隐患整改。数据安全策略权限管理、数据操作管理、数据安全监测与审计、数据安全风险评估、数据安全应急管理等方面。分级要素成危害的影响对象和影响程度，进行分级：影响对象，包括国家安全、公共利益、个人合法权益、组织合法权益，4类影响对象的不同影A。影响程度，包括危害程度从低到高可分为轻微危害、一般危害、严重危害。分级规则级别，详见表1。表1 数据安全基本分级规则数据级别影响对象国家安全公共利益个人合法权益组织合法权益核心数据一般危害、严重危害严重危害重要数据轻微危害轻微危害、一般危害一般数据无危害无无危害、轻微危害、一般危害、严重危害无危害、轻微危害、一般危害、严重危害分级要求公共数据安全分级应依据《中华人民共和国数据安全法》，并参考GB/T43697-2024《数据安全技术数据分类分级规则》，由各行业、地方主管部门开展数据安全自主分级：录或单独报西藏自治区经济和信息化厅（自治区数据管理局）备案；分级变更结果同步至西藏自治区经济和信息化厅（自治区数据管理局。数据权限管理数据平台管理方应按照业务需求和安全策略为用户配置合理的数据权限：考虑最小授权和角色权限制约等要求，建立数据权限分配表；严格执行数据权限审批流程，登记记录，使用完成后，及时回收权限；定期对数据权限进行清查，人员岗位变动后及时变更权限；核心数据宜通过权限管理系统，统一管理权限审批、记录等事项。数据操作数据操作的安全要求包括但不限于：（批记录以及数据操作记录；对数据重要操作实施安全监测与审计；核心数据应通过数据操作审批系统，统一管理重要操作的审批、执行和记录等事项。数据安全监测与审计数据安全监测与审计的要求包括但不限于：数据平台管理方应对系统日志进行分析，及时发现高风险和违规操作；针对发现的高风险和违规操作，及时核实和处理；进行报警。数据安全风险评估数据安全风险评估的要求包括但不限于：务的安全风险、人员操作风险、数据使用风险等方面；对评估发现的问题，应及时整改并实现闭环管理；核心数据应委托具有风险评估资质的安全服务商开展数据安全风险评估工作。数据安全应急数据安全应急的要求包括但不限于：（如发生数据泄露事件流程和处置方法等；向相关人员培训数据安全应急预案，并定期开展演练；根据演练的结果或单位组织架构、业务等的变化情况，及时更新应急预案；核心数据应制定与个人敏感信息相关的数据安全事件的上报以及对外发布信息的渠道、流程。数据生存周期安全管控保护。一般数据安全管理参照GB/T22239-2019规定的数据安全要求管理，重要和核心数据在GB/T22239-2019规定基础上，应按本文件规定执行。数据采集安全数据采集的要求包括但不限于：集的合法性、必要性、正当性；确保采集数据的机密性、完整性和真实性；采用技术措施保护数据采集可能涉及的加载、清洗和转换等过程中的数据安全；核心数据应记录并保存数据采集、记载、清洗和转换等处理过程。数据存储安全数据存储的要求包括但不限于：根据需要采取脱敏、加密、校验等措施，保障公共数据的存储安全；针对重要数据和核心数据，应当建立数据容灾备份及恢复机制；体访问和操作行为的安全审计能力；建立数据逻辑存储隔离授权机制，具备多租户存储的安全隔离能力；对核心数据进行加密存储。数据使用与加工安全数据使用与加工的要求包括但不限于：采取管控措施确保数据使用与加工合规，过程安全可控、可溯源；秘密等信息的泄露；录；配备数据脱敏支持工具或服务组件，根据需要将数据脱敏后使用；具备数据加工过程的风险监测和处理能力，对违规操作行为进行有效识别监控和预警；对核心数据加工操作，应双人执行并进行记录。数据传输安全数据传输的要求包括但不限于：采用满足数据传输安全策略的安全控制措施，如安全通道、可信通道、数据加密等；具备在构建传输通道前对两端主体身份进行鉴别和认证的能力；对于核心数据，应建立数据传输链路冗余机制，保证数据传输可靠性和网络传输服务可用性。数据共享和开放安全的开放范围、开放渠道、开放流程、开放内容和开放时效等合法、正确、有效，包括但不限于：对请求共享的终端、用户或服务组件进行身份鉴别，验证身份的真实性；对数据共享过程记录日志，及时清除共享过程中缓存的数据；对数据共享过程进行监控，确保共享数据安全合规，未超出授权范围；对于核心数据的共享开放，还应：采用数据加密、安全通道等安全措施保护数据共享过程中的数据；采取多因素鉴别技术对执行数据共享操作员进行身份鉴别；具备异常或高风险数据访问行为进行智能化识别和预警能力，对违规行为及时阻断。数据销毁安全数据销毁的要求包括但不限于：对存储介质设备进行物理销毁。附录 A（资料性）4类影响对象的不同影响程度描述表A.1规定了4类影响对象的不同影响程度描述。表A.1 4类影响对象的不同影响程度描述影响对象影响程度参考说明国家安全严重危害对政治、国土、军事、经济、文化、社会、科技、网络、生态、资源、核安全等构成严重威胁，严重影响海外利益、生物、太空、极地、深海、人工智能等重点领域安全对本地区、本部门以及相关行业、领域的重要骨干企业、关键信息基础设施、重要资源等造成严重影响导致对本地区、本部门以及相关行业、领域大范围停工停产、大面积网络与服务瘫痪、大量业务处理能力丧失一般危害对政治、国土、军事、经济、文化、社会、科技、网络、生态、资源、核安全等构成威胁，影响海外利益、生物、太空、极地、深海、人工智能等重点领域安全对本地区、本部门以及相关行业、领域生产、运行和经济利益等造成影响对行业发展、技术进步和产业生态等造成严重影响轻微危害对本地区、本部门以及相关行业、领域生产、运行和经济利益等造成轻微影响影响持续时间短，对行业发展、技术进步和产业生态等造成一般影响无危害对国家安全不造成影响公共利益严重危害波及到一个或多个省市的大部分地区，引起社会动荡，对经济建设有极其恶劣的负面影响一般危害波及到一个或多个地市的大部分地区引起社会恐慌，对经济建设有重大的负面影响轻微危害波及到一个地市或地市以下的部分地区，扰乱社会秩序，对经济建设有一定的负面影响无危害对公共利益不造成影响个人合法权益严重危害个人信息主体可能会遭受重大的、不可消除的、可能无法克服的影响，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害。如遭受无法承担的债务、失去工作能力、导致长期的心理或生理疾病、导致死亡等一般危害个人信息主体可能遭受较大影响，个人信息主体克服难度高，消除影响代价较大。如遭受诈骗、资金被盗用、被银行列入黑名单、信用评分受损、名誉受损造成歧视、被解雇、被法院传唤、健康状况恶化等轻微危害个人信息主体可能会遭受困扰，但尚可以克服。如付出额外成本、无法使用应提供的服务、造成误解、产生害怕和紧张的情绪、导致较小的生理疾病等无危害对个人信息合法权益不造成影响，或仅造成微弱影响但可忽略不计组织合法权益严重危害/关键业务无法正常开展的情况，造成重大经济或技术损失，严重破坏机构声誉，企业面临破产一般危害可能导致组织遭到监管部门处罚(包括一段时间内暂停经营资格或业务等).或者影响部分业务无法正常开展的情况，造成较大经济或技术损失，破坏机构声誉轻微危害可能导致个别诉讼事件，或在某一时间造成部分业务中断，使组织的经济利益、声誉、技术等轻微受损无危害对组织合法权益不造成影响，或仅造成微弱影响但不会影响国家安全、公共利益、市场秩序或各项业务的正常开展参 考 文 献JR/T0223-2021金融数据安全数据生命周期安全规范DB3301/T0322.1-2020数据资源