政务数据安全管理指南(DB3201-T 1040—2021).pdf

《政务数据安全管理指南(DB3201-T 1040—2021).pdf》由会员分享，可在线阅读，更多相关《政务数据安全管理指南(DB3201-T 1040—2021).pdf（12页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、 ICS 35.040 CCS L80 3201 南京市地方标准 DB3201/T 10402021 政务数据安全管理指南 Government data security management guidance 2021-05-20 发布 2021-05-25 实施 南京市市场监督管理局 发 布 DB3201/T 10402021 I 目次 前言.II 1 范围.1 2 规范性引用文件.1 3 术语和定义.1 4 管理原则.1 5 管理角色及职责.1 6 政务数据分级.2 7 政务数据安全管理要求.4 参考文献.9 DB3201/T 10402021 II 前言 本文件按照GB/T 1.12

2、020标准化工作导则 第1部分：标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由南京市大数据管理局提出并归口。本文件起草单位：南京市大数据管理局、南京市互联网信息办公室、联通大数据有限公司、中国科学院信息工程研究所（信息安全国家重点实验室）。本文件主要起草人：唐建荣、陶为波、周黎丽、杨栋、丁进明、关泰璐、陈驰、任许辉、田涛、马红霞、范东媛。DB3201/T 10402021 1 政务数据安全管理指南 1 范围 本文件确立了政务数据安全管理的角色和职责，提供了数据安全分级的原则、要素、标准、流程方面的建议，给出了按照级别进行

3、政务数据安全管理需要考虑要点的相关信息。本文件适用于政务部门不涉及国家秘密的政务数据的安全管理。2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 22239 信息安全技术 网络安全等级保护基本要求 GB/T 25069-2010 信息安全技术 术语 GB/T 35273-2020 信息安全技术 个人信息安全规范 GB/T 35295-2017 信息技术 大数据 术语 GB/T 38664.1-2020 信息技术大数据政务数据开放共享

4、第1部分总则 3 术语和定义 GB/T 35925-2017、GB/T 25069-2010、GB/T 35273-2020、GB/T 38664.1-2020界定的术语和定义适用于本文件。4 管理原则 4.1 职责明确 政务数据安全管理遵循“谁主管谁负责、谁运营谁负责、谁使用谁负责”的原则，明确各参与方政务数据安全责任。4.2 分级管理 按照政务数据安全分级实施不同级别的数据安全措施。4.3 风险防控 强化政务数据安全管理，防控数据安全风险。5 管理角色及职责 5.1 概述 DB3201/T 10402021 2 政务部门承担本部门政务数据安全管理工作，保障政务数据安全。政务部门宜按照数据安

5、全管理角色完善本部门数据安全组织架构并明确相应职责。数据安全管理角色主要包括政务数据安全决策方、政务数据安全管理方、政务数据安全执行方和政务数据安全监审方。政务数据安全管理角色示意图，见图1。图1 政务数据安全管理角色图 5.2 数据安全决策方 数据安全决策方是指政务部门的管理层。数据安全决策方主要负责本单位数据安全工作的监管、协调与重大事项决策。5.3 数据安全管理方 数据安全管理方是指政务部门内设负责数据安全管理的部门。数据安全管理方主要负责根据国家、省、市政务数据安全法律法规的有关规定，在本单位范围内，组织建立政务数据安全组织架构，制定政务数据安全管理制度与流程规范，开展政务数据安全教育

6、培训，监督检查业务部门执行和落实政务数据安全相关工作，处置政务数据安全事件。5.4 数据安全执行方 数据安全执行方是指在履职中采集、汇聚、使用政务数据的部门。数据安全执行方主要负责执行本单位数据安全制度要求，实施数据安全建设及运营的保障工作；配合完成各类数据安全检查，落实数据安全整改措施；协同处理数据安全风险事件。5.5 数据安全监审方 数据安全监审方是指对政务数据安全开展监督审计的内设部门或外部机构。数据安全监审方主要负责对政务大数据的数据安全保障工作进行监督和审计，对数据安全管理制度和标准提出完善和优化建议，并督促安全隐患整改。6 政务数据分级 6.1 分级原则 政务数据分级宜采用自主定级

7、原则，由政务部门对本部门管辖的政务数据进行分级。6.2 分级要素 数据安全决策方 数据安全管理方 数据安全执行方 数据安全监审方 DB3201/T 10402021 3 6.2.1 要素概述 政务数据的分级宜考虑以下要素综合判定，分级要素包括：发生数据安全事件后的影响对象；发生数据安全事件后的影响程度；发生数据安全事件后的影响范围。6.2.2 影响对象 影响对象包括党政机关、企事业单位和社会组织、自然人。6.2.3 影响程度 影响程度包括轻微影响、一般影响和严重影响。轻微影响是指对党政机关、企事业单位和社会组织及自然人的工作运作、资产、安全会造成轻微的损害，造成的结果可以补救。一般影响是指对党

8、政机关、企事业单位和社会组织及自然人的工作运作、资产、安全会造成损害，造成的结果不可逆，但是可以采取措施降低损失。严重影响是指对党政机关、企事业单位和社会组织及自然人的工作运作、资产、安全会造成严重损害，造成的结果不可逆。6.2.4 影响范围 影响范围可分为较大影响范围和较小影响范围。较小影响范围是指影响党政机关数量不宜超过 1 个，企事业单位和社会组织数量不宜超过 3个，自然人数量不宜超过 50 人。较小影响范围之外的为较大影响范围。6.3 分级标准 对政务数据分级时充分考虑政务数据的敏感性，数据是否涉及国家重要数据、用户个人信息，根据政务数据在发生数据泄露、非授权使用等安全事件后对党政机关

9、、企事业单位和社会组织、自然人的合法权益的危害程度来确定政务数据的级别。第一级（不敏感）：发生数据泄露、非授权使用等安全事件后对党政机关、企事业单位和社会组织或自然人的工作运作、资产权益、人身安全无影响；或产生较小影响范围的轻微影响。包括但不限于涉及公众利益调整、需要公众广泛知晓或者需要公众参与决策的政务数据等，南京市政务数据归集、共享、开放实施细则规定的无条件开放的政务数据建议属于本级数据。第二级（低敏感）：发生数据泄露、非授权使用等安全事件后对党政机关、企事业单位和社会组织或自然人的工作运作、资产权益、人身安全产生一般影响或较大影响范围的轻微影响。包括但不限于用户个人信息。南京市政务数据归

10、集、共享、开放实施细则规定的有条件共享和有条件开放的政务数据建议属于本级数据。第三级（高敏感）：发生数据泄露、非授权使用等安全事件后对党政机关、企事业单位和社会组织或自然人的工作运作、资产权益、人身安全产生严重影响。包括但不限于用户个人敏感信息，南京市政务数据归集、共享、开放实施细则规定的不共享和不开放的政务数据建议属于本级数据。分级要素与数据级别的对应关系，见表1。DB3201/T 10402021 4 表1 数据分级矩阵表 影响程度 影响范围 较小影响范围 较大影响范围 轻微影响 第一级 第二级 一般影响 第二级 第二级 严重影响 第三级 第三级 6.4 分级流程 政务数据安全分级是对政务

11、数据进行分级管控的前提，依据自主定级原则，各政务部门在数据分级中宜考虑以下环节。a)梳理数据资产：政务数据安全执行方全面梳理管辖政务数据资产，并形成数据资产目录。b)初步确定分级结果：政务数据安全执行方参照“分级标准”，结合现有和可预期的数据应用场景、部门业务内容，初步确定数据级别。c)定级评审：政务数据安全执行方宜组织数据安全管理方和监审方对数据初步分级结果进行评审。d)决策方审批：将数据分级结果报本单位数据安全决策方审批。e)备案：将数据分级结果报本级政务大数据管理局备案。f)数据分级变更：当数据应用场景，数据分级要素等发生较大变化时，宜考虑重新对数据进行分级。7 政务数据安全管理要求 7

12、.1 概述 根据政务数据安全级别，数据安全实施分级管理。第一级数据安全管理宜参照GB/T 22239规定的数据安全要求。对第二级和第三级数据在参照GB/T 22239规定的数据安全要求的基础上，宜参考本文件7.2、7.3、7.4、7.5章节，从数据安全岗位人员、数据安全制度流程、数据安全技术措施和数据安全运营管控等四个方面，对数据各环节进行安全保护。个人信息相关的数据安全管理宜参照GB/T35273的要求。7.2 数据安全岗位人员 政务部门宜设置数据安全岗位，配备必要的人员，具备相应的能力承担数据安全工作。加强人员（含为政务部门承担系统建设和运维的服务厂商人员）安全管理，防范可能由人员引发的数

13、据安全风险。数据安全岗位人员管理要求见表2。表2 数据安全岗位人员管理要求 管理领域 管理要求 第二级 第三级 岗位人员配备 宜配备数据安全岗位人员，明确各岗位工作职责，细化日常工作内容，承担项目建设及系统运营后的数据安全工作 宜明确单位各部门人员的安全责任，建立数据安全考核惩戒措施 宜配备专职数据安全岗位人员，承担项目建设及系统运营后的数据安全工作 DB3201/T 10402021 5 表2 数据安全岗位人员管理要求（续）管理领域 管理要求 第二级 第三级 培训教育 宜定期针对数据安全岗位人员开展数据安全培训，培训内容宜考虑数据安全管理、数据安全技术、数据安全运营、数据安全合规等方面 宜定

14、期针对所有岗位人员（含为政务部门承担系统建设和运维的服务厂商人员）开展数据安全培训，培训内容宜考虑数据安全相关管理制度、规范、标准、流程等方面 宜对培训结果实施考核，确保培训的效果 人员安全管理 宜对数据相关岗位人员选用进行人员背景、资质审查、技能考核，确保人员具有胜任岗位工作的数据安全能力 在人员（含为政务部门承担系统建设和运维的服务厂商人员）岗位变动时，宜与其明确数据安全保密责任与要求 数据相关岗位人员宜实施轮岗、权限分离、多人共管等管理措施 7.3 数据安全制度流程 政务部门宜通过建立完善数据安全制度和管理流程，规范数据采集、传输、存储、加工、共享、开放、销毁各环节的工作，管控可能存在的

15、数据安全风险。数据安全制度流程管理要求见表3。表3 数据安全制度流程管理要求 管理领域 管理要求 第二级 第三级 管理制度 宜明确政务数据安全管理范围，制定符合业务战略的，满足本级数据安全要求的安全目标、管理策略、方针和原则 宜依据国家关于数据安全的要求，制定数据安全管理制度，考虑数据采集、传输、存储、加工、共享、开放、销毁各环节相关的安全保护 管理制度的内容宜考虑编制目的、管理范围、管理职责、数据安全要求等方面 开展合规管理，宜持续识别法律法规并转化为数据安全制度要求，规避法律合规风险 管理流程 宜制定数据安全的管理流程，考虑数据分级、数据共享、数据开放、数据导入、数据导出、数据销毁等方面

16、宜建立数据安全投诉渠道及处理流程 制度流程的管理 宜将制定的数据安全制度、流程正式发布，并开展培训和宣贯，确保全员其知晓并理解 宜定期审核和更新数据安全制度和流程 在部门组织架构、技术架构或者业务服务发生重大变化时，宜及时评估数据安全制度流程的适用性，并修订 7.4 数据安全技术措施 政务部门在数据采集、传输、存储、加工、共享、开放、销毁各环节中，宜考虑部署相应的数据加密、数据脱敏、数据溯源、数据操作权限管理、数据操作记录、数据备份与恢复、数据安全审计等技术措施，防止数据泄露、滥用、篡改以及损毁等风险。数据安全技术措施管理要求见表4。DB3201/T 10402021 6 表4 数据安全技术措

17、施管理要求 管理领域 管理要求 第二级 第三级 数据采集 宜明确数据采集原则、采集目的与用途、采集范围与方式、采集周期和频率和保存期限，确保数据采集的合法性、必要性、正当性 宜对数据源、数据采集的环境、设施、技术采取必要的安全机制和管控措施，对产生数据的数据源进行鉴别和记录，确保采集数据的机密性、完整性和真实性 宜采用技术措施保护数据采集可能涉及的加载、清洗和转换等过程中数据的安全性 宜记录并保存数据采集、记载、清洗和转换等处理过程 数据传输 宜采用满足数据传输安全策略的安全控制措施，如安全通道、可信通道、数据加密等 宜具备在构建传输通道前对两端主体身份进行鉴别和认证的能力 宜建立数据传输链路

18、冗余机制，保证数据传输可靠性和网络传输服务可用性 数据存储 宜提供数据备份与恢复功能，同时考虑数据存储的保密性、完整性和多副本一致性 宜对归档数据建立安全保护机制 宜建立数据逻辑存储隔离授权机制，具备多租户存储的安全隔离能力 宜实施数据用户身份标识与鉴别、数据访问控制等安全控制措施 宜具备对数据存储媒体访问和操作行为的安全审计能力 宜对数据进行加密存储 数据加工 宜建立数据加工过程的安全机制，防止数据泄漏 宜依据数据使用目的建立访问控制机制，限定用户可访问数据范围，具备完整的数据使用操作记录 宜具备数据脱敏支持工具或服务组件，根据需要将数据脱敏后使用 宜具备数据加工过程的风险监测和处理能力，对

19、违规操作行为进行有效的识别、监控和预警 宜对数据加工操作双人执行并进行记录 数据共享 宜对请求共享的终端、用户或服务组件进行身份鉴别，验证身份的真实性 宜对数据共享过程记录日志，及时清除共享过程中缓存的数据 宜对数据共享过程进行监控，确保共享数据安全合规，未超出授权范围 宜采用数据加密、安全通道等安全措施保护数据共享过程中的数据 宜采取多因素鉴别技术对执行数据共享操作员进行身份鉴别 数据开放 涉及个人信息的数据开放内容，宜根据业务对个人信息进行必要的加密处理 宜具备检测开放数据资源是否含有非公开信息能力，确保公开数据合规 宜具备异常或高风险数据访问行为进行智能化识别和预警能力，对违规行为及时阻

20、断 数据销毁 宜使用规范的工具或产品，采用可靠技术手段及时销毁符合销毁条件的数据，确保数据不可还原 对于数据存储介质的销毁，宜使用国家权威机构认证的设备或国家认定资质的销毁服务提供商对存储介质设备进行物理销毁 DB3201/T 10402021 7 7.5 数据安全运营管控 对数据业务、服务的日常安全管控称为数据安全运营。政务部门宜通过规范数据安全运营管控工作，控制日常数据安全风险。数据安全运营管控宜考虑数据资产管理、数据分级、数据权限管理、数据操作管理、数据安全监测与审计、数据安全风险评估、数据安全监审、数据安全事件与应急管理，政务数据共享开放安全管理方面。数据安全运营管控管理要求见表5。表

21、5 数据安全运营管控要求 管理领域 管理要求 第二级 第三级 数据资产管理 宜定期梳理数据资产情况，形成数据资产清单 宜明确数据资产梳理周期，定期更新数据资产清单 宜通过资产管理平台，对数据资产进行统一管理 数据分级 宜对存量或新采集的数据进行分级，将数据的分级结果形成清单 宜定期评审及更新数据分级结果 宜通过数据分级工具，对数据资产进行分级 数据权限管理 宜按照业务需求和安全策略为用户配置合理的数据权限，考虑最小授权和角色权限制约等要求,建立数据权限分配表 宜严格执行数据权限审批流程，登记记录，使用完成后，及时回收权限 宜定期对数据权限进行清查，人员岗位变动后及时变更权限 宜通过权限管理系统

22、，统一管理权限审批、记录等事项 数据操作管理 宜严格执行数据重要操作（如批量修改、拷贝、下载等）的审批流程，保留审批记录以及数据操作记录 宜对数据重要操作实施安全监测与审计 宜通过数据操作审批系统，统一管理重要操作的审批、执行和记录等事项 数据安全监测与审计 宜对系统日志进行分析，及时发现高风险和违规操作 宜针对发现的高风险和违规操作，及时核实和处理 宜对数据重要操作进行安全监测，发现问题及时核实和处理 宜对系统日志进行统一收集与关联分析，实时监测数据安全风险，发现风险和问题进行报警 数据安全风险评估 宜定期开展数据安全风险评估，评估的内容考虑数据平台的安全风险、数据业务的安全风险、人员操作风

23、险、数据使用风险等方面 对评估发现的问题，宜整改并实现闭环管理 宜委托具有风险评估资质的安全服务商开展数据安全风险评估工作 数据安全监审 宜建立数据安全监审机制，对数据安全相关的制度、规范、标准的落实情况进行监督和管理，监督发现的问题的整改工作 宜由独立的第三方承担数据安全监审工作 数据安全事件与应急管理 宜制定数据安全应急预案，明确数据安全事件（如发生数据泄漏事件）的上报流程和处置方法等 宜向相关人员培训数据安全应急预案，并定期开展演练 宜根据演练的结果或单位组织架构、业务等的变化情况，及时更新应急预案 DB3201/T 10402021 8 表5 数据安全运营管控要求（续）管理领域 管理要

24、求 第二级 第三级 宜制定与个人敏感信息相关的数据安全事件的上报以及对外发布信息的渠道、流程 数据共享开放安全管理 在数据共享开放前，宜对数据进行风险评估，确保数据共享开放后的风险可承受 宜签订数据安全协议，明确数据共享开放的内容、范围和流程以及各方数据保护责任 宜定期审核开放的政务数据中是否有非公开信息，并采取相关的措施，确保开放数据的合规性 宜严格限制对个人生物识别信息、基因信息等个人敏感信息的共享开放 DB3201/T 10402021 9 参考文献 1 GBT20984 信息安全技术信息安全风险评估规范 2 GBT37973-2019 信息安全技术大数据安全管理指南 3 GBT35274-2017 信息安全技术大数据服务安全能力要求 4 GBT37988-2019 信息安全技术数据安全能力成熟度模型 5 GB/T31167-2014 信息安全技术云计算服务安全指南 6 GB/T28453-2012 信息安全技术 信息系统安全管理评估要求 7 GB/T 38667-2020信息技术 大数据 数据分类指南 8 中华人民共和国政府信息公开条例 9 南京市政务数据归集、共享、开放实施细则（宁数管202024号）