《企业数据安全管理办法实施细则要求.docx》由会员分享，可在线阅读，更多相关《企业数据安全管理办法实施细则要求.docx（27页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、企业数据安全管理方法实施细那么要求第1页共33页6 .业务合作留存安全风险合作营业厅、第三方服务渠道在使用业务系统过程中违规收集、留存敏感信 息，将提供的敏感数据用于提供服务之外的目的，出售或者非法向他人提供。7 .其它违规手段第三方在数据开放共享、代分析挖掘、系统代维、敏感数据试用及业务合 作留存时，利用数据加密脱敏不当的安全漏洞还原原始数据，或通过数据沉淀等 手段获取全量数据，导致敏感数据泄露。（三）内部管理安全风险大数据内部全生命周期管理各环节存在安全风险，包括机房及平台设备管理 的安全风险、部门间数据共享的安全风险、平台间数据共享的安全风险等.1 .机房及平台设备安全管理风险内部机房及
2、平台设备涉及工程工程实施与随工、人员及设备进出、设备配置 变更等方面管理，一旦安全监控、防范措施落实不到位，可能造成人员、设备及 数据的重大损失。如：私自携带设备进机房与现网设备互连获取敏感数据，DPI 设备直连非法向境外传输敏感数据等等。2 .部门间数据共享安全风险公司内部各单位、各专业公司间存在数据共享以及大数据业务协作的需求, 数据多方留存但缺乏必要的共享关联风险预判，任一方防护措施不善，均可能 引发数据泄密风险。3 .内部平台数据共享安全风险各单位内部业务系统通过接口调用等形式共享其他业务系统数据资源，任 一业务系统安全防护措施不当，均可能引发敏感数据泄漏，造成“一点突破、全 网皆失，
3、的严重后果。第10页共33页四、管控对象及基本原那么（一）管控对象大数据安全管控对象包括人员、业务、数据、平台等四个方面。X在人员方面，管控对象包括参与大数据平台系统建设、运行维护、数据 分析挖掘的内部员工，以及参与大数据平台系统代建代维、参与数据代 分析挖掘和存在业务合作的合作方人员。在业务方面，管控对象包括各单位内部开展的大数据业务（包含市场支 撑、精准营销、数据应用分析等），以及对外合作的各类数据价值运营 业务。派在数据方面，管控对象包括公司业务支撑域系统（B域）、网络支撑域系统（0域）、管理信息域系统（M域）、信令/DPI数据系统、业务管理平台 五大领域相关大数据资产及用户隐私。其中数
4、据来源及分类参加中国* 大数据安全保障体系框架。派在平台方面，管控对象包括各单位建设的大数据平台系统等。具体定义 参见中国*大数据安全保障总体策略。（二）基本原那么和要求大数据安全管理应严格遵循如下四项基本原那么，确保大数据可管可控。派 统一领导、分级管理：按照“谁主管，谁负责；谁维护，谁负责；谁使 用，谁负责；谁接入，谁负责”的原那么，明确责任分工，落实业务和平 台数据安全主体责任；开展差异化安全管控，实现数据分级管理；X部门领导、一岗双责：各业务管理部门一方面对本部门大数据安全管理 工作负责，另一方面对下级部门大数据安全管理工作负有指导责任；X安全三同步：按照工信部关于三同步及互联网新技术
5、新业务安全评估相 关要求，在大数据平台及相关业务系统的设计、建设和运行过程中，应 做到同步规划，同步建设，同步运行；派业务拓展到哪里，管理覆盖到哪里：随着大数据业务的拓展，参与数据 共享的业务和平台均需同步配套信息安全管理措施。第11页共33页大数据安全管理还应严格遵循以下原那么和要求。合法合规原那么：各单位须遵循全国人民代表大会常务委员会关于加强 网络信息保护的决定、电信和互联网用户个人信息保护规定等国 家法律法规及行业条例、客户信息安全保护管理规定等公司内部信 息安全管理规定。主体责任明确原那么：落实业务安全管理、平台安全管理的主体责任，以 及安全部门的监督责任，按照“谁主管谁负责、谁运营
6、谁负责”的原那么, 明确责任分工。目的明确原那么：收集、处理个人信息应具有具体、明确、合理的目的， 不扩大使用范围。用户知情同意原那么：收集个人信息前，应事先告知个人信息主体数据处 理的目的、方式和范围，以及个人信息主体查询、更正、删除个人信息 的机制，并明示征得个人信息主体的同意。开放透明原那么：对个人信息主体要尽到告知、说明和警示的义务。以 明确、易懂和合理的方式如实向个人信息主体告知收集个人信息的目 的、个人信息的收集和使用范围等信息。质量保证原那么：基于管理与技术手段，保障大数据资产的完整性、时效 性与可用性。脱敏开放原那么：数据开放涉及个人信息时，应获得个人信息主体同意,或进行脱敏处
7、理，确保脱敏处理后的信息不会被追溯到个人信息主体。服务最小化原那么：在向内部单位、平台、合作方共享开放信息时，仅提供业务开展明确需要的信息属性、标签属性及规模。敏感数据不出网原那么：除非获得用户明确授权，未经脱敏处理的用户个 人原始数据等敏感数据不可离开网络与计算环境。分类分级管控原那么：对信息进行分类分级，根据敏感程度不同，采取适 当的、与信息安全风险相适应的管理措施和技术手段，保障信息安全。 自我检查常态化：应定期开展内部安全检查稽核，发现问题及时整改， 确保管理制度及安全防护手段的有效落实。第12页共33页派应急处置流程化：应从应急预案、风险检测、实时预警、风险遏制、 问题根除、系统恢复
8、、跟踪总结各环节建立落实大数据安全事件应急 响应机制。X违法违规问责：明确敏感信息处理过程中的责任，采取相应的措施落 实相关责任，并对敏感信息处理过程进行记录以便于追溯。对敏感信 息处理过程中出现的问题按照有关规定进行问责。五、安全管理框架措施关注点场景数据开放共享数据分析挖 掘系统建设维 护渠道业务合 作事前安全防范通用组织责任管理、安全制度建设、大数据资产管理、分类分 级管理、签订保密协议与承诺书外部特定合作方调研审查事中安全管控通用人员及账号权限管理、个人信息保护内部特定数据共享管理数据分析挖 掘管理平台设备安 全管理外部特定业务合作方数 据安全管理数据代分析 挖掘管理系统建设代 维管理
9、数据留存管 理事后稽核审计通用安全审计管理、安全合规检查、安全预警和应急处置外部特定合作伙伴考核（一）事前安全防范大数据安全管理“事前防范”包括组织责任管理、安全制度流程建设、大数 据资产管理、分类分级管理和合作方调研审查。其中组织责任管理、安全制度流 程建设、大数据资产管理、分类分级管理属于事前通用安全管理要求，详见第六 章；合作方调研审查属于外部特定安全管理要求，详见第九章第一节。（二）事中安全管控大数据安全管理“事中管控”包括个人信息保护、人员及账号权限管理、平 台安全管理、数据共享管理、系统建设代维管理、数据代分析挖掘管理、业务合 作方数据安全管理。其中个人信息保护、人员及账号权限管理
10、属于事中通用安全第13页共33页管理要求，详见第七章；系统建设代维管理、数据代分析挖掘管理、业务合作方数据安全管理属于外部特定安全管理要求，详见第九章第二节；平台安全管 理、数据分析挖掘管理、数据共享管理属于内部特定安全管理要求，详见第十章。(三)事后稽核审计大数据安全管理“事后稽核”包括安全审计管理、安全合规检查、安全预警 管理和合作伙伴考核四个方面。其中安全审计管理、安全合规检查、安全预警 管理属于事后通用安全管理要求，详见第八章；合作伙伴考核属于外部特定安全 管理要求，详见第九章第三节。六、事前通用安全管理要求(一)组织责任管理1 .内部组织职责为加强大数据安全管控，大数据安全管理建议采
11、用归口管理的方式，对照 主体责任落实要求，各单位职责分工建议如下：(1)网络部的具体职责如下：X组织贯彻和落实国家及上级单位对于大数据安全管理工作的部署和要 求，组织制定本单位统一的大数据安全管理制度；X指导开展大数据新技术新业务信息安全风险评估，负责向上级管理部门 报备本单位大数据新技术新业务开展情况及风险评估结果；X定期组织大数据安全管理专项检查，并催促相关单位落实整改。(2)大数据业务管理部门，涉及大数据提取及使用相关部门，包括：财务 部、市场部、集团客户部、业务支持中心、网络管理中心、客户响应中心、各分 公司等单位，负责本单位大数据业务的安全管理，根据大数据安全工作整体部 署和要求严格
12、落实信息安全责任。具体职责如下：X规范单位内部大数据业务相关的工作流程和人员岗位职责；X按照本单位大数据安全管理制度、策略和实施细那么要求，建立落实本单 位大数据安全管理实施细那么；负责本单位大数据业务规划、开发和运营的安全管理和安全防护；第14页共33页派负责本单位大数据业务开展的信息安全风险评估和问题整改；X负责与本单位大数据业务开展相关的合作伙伴的安全管理；X负责本单位大数据业务的安全审计和合规管理；X负责本单位大数据业务安全事件监控预警、应急管理和安全事件上报；X负责本单位大数据业务的个人隐私保护，协助进行用户个人信息和内部 敏感信息泄密事件的查处。(3)大数据运营部门，包括：市场部、
13、集团客户部、业务支持中心、网络管理 中心等部门，负责大数据平台系统运行维护、开发测试和生产运行的安全管理， 根据大数据安全工作整体部署和要求严格落实信息安全责任。具体职责如下：X负责规范部门内部大数据平台系统运行维护、开发测试和生产运行的工 作流程和人员岗位职责；X按照本单位大数据安全管理制度、策略和实施细那么要求，建立落实本部 门大数据安全管理实施细那么；X负责大数据平台系统运行维护、开发测试和生产运行的安全管理、安全 防护、安全风险评估和问题整改；X负责大数据平台系统运行维护、开发测试和生产运行的合作伙伴安全管X负责大数据平台系统运行维护、开发测试和生产运行的安全审计和合规 管理，协助大数
14、据业务管理部门开展大数据业务操作审计；X负责大数据平台安全事件监控预警、应急管理和事件上报，协助大数据 业务管理部门开展大数据业务安全事件的监控、预警；X根据业务管理部门要求落实大数据业务和大数据平台系统个人隐私保 护，协助进行用户个人信息和内部敏感信息泄密事件的查处。(4)大数据平台建设部门，包括：市场部、集团客户部、业务支持中心，网 络管理中心等部门，负责大数据平台系统工程建设阶段如联调测试、系统运营等 环节涉及用户个人信息和内部敏感信息的保护，在系统验收阶段检查用户个人信第15页共33页息和内部敏感信息保护工作的落实情况，不到达要求的不予验收。具体职责如 下：X负责大数据平台系统工程建设
15、、联调测试、上线前的安全管理、风险评估、安全审计和安全防护；X根据业务管理部门要求落实大数据业务和大数据平台系统个人隐私保护，协助进行用户个人信息和内部敏感信息泄密事件的查处和问题整改。（5）其他相关部门职责如下：X办公室：负责用户个人信息安全的对外宣传。X人力资源部：组织员工签订保密承诺书，及时发布人员岗位变动、离职 的信息给大数据平台及相关业务系统的账号管理部门，参与对用户个人 信息泄密人员的查处。X业务支持中心：负责办公终端安全管理，建立办公网用户个人信息的监 控与防泄密机制。派财务部：负责开展经过公司审计委员会评定批准执行的审计相关工作。派党群工作部：负责五条禁令的监察、违规行为的调查
16、审核、违规人员的处分判决。2 .外部安全责任（1）建设运维合作方安全责任应与建设运维合作方签署安全保密协议，界定双方在大数据建设运维上的 安全责任，明确合作方的保密责任、保密内容、保密有效期及违约罚那么；另外要 求合作方与其员工签订保密协议，协议应明确员工的保密责任、违约罚那么。要求大数据平台系统建设运维合作方在系统设计、建设、运行、改造和维 护过程中，落实国家和我公司的信息安全要求，采取必要的安全防护措施，及 时排查和处置安全隐患，防范信息安全事件的发生。（2）业务合作方安全责任应与业务合作方签署安全保密协议，界定双方大数据开放共享、数据代分析挖掘、 数据试用管理上的安全责任，要求合作方建立
17、数据保护制度、具备应有的数据 保护手段，限制合作方数据使用范围和场景、限制数据转租转售行为，明确合 作方应承当的安全责任，并明确处分机制。第三方渠道安全责任第16页共33页针对合作营业厅、第三方服务渠道等，应与其签署安全保密协议，界定双 方在业务合作时的安全责任，在合同中加入数据保密的安全要求，明确第三方渠 道的安全责任及处分机制。要求严禁违规收集、留存敏感信息，将提供的敏感 信息用于提供服务之外的目的，以及出售或者非法向他人提供。对收集到的敏感 信息要定期归档、使用后作销毁处理。（二）安全制度流程建设.制定安全管理细那么各单位应根据本管理要求，制定大数据安全管理细那么，制定大数据平 台及组件
18、的安全技术规范，并推动落实，通过采取必要的管理措施和技术手段, 防范敏感数据泄露风险。1 .制定完善审批流程应将大数据业务纳入新技术新业务评估范围，制定完善的大数据安全 评估和审批流程，明确大数据应用涉及的数据内容、交接方式以及应用范围等。 对应用输出数据的必要性和安全性进行审核，并将评估结果报备本地电信管理机 构。未经正式审批，不得泄露、出售或者非法向他人或合作方提供各类敏感数据, 不得接受他人或合作方委托进行数据挖掘。（三）大数据资产管理各单位要做好大数据资产的元数据管理、权属性管理，同时还要加强 大数据资产的保密性、完整性、可用性和可追溯性管理，确保大数据资产可管理、 内部敏感信息和用户
19、个人隐私泄露风险可控。X在保密性管理方面，要确保大数据资产及用户隐私信息仅允许被授权人 员访问，根据信息的重要性和保密性，确定大数据资产的密级和保密时 效。X在完整性管理方面，要确保大数据资产及用户隐私信息及其处理的准确 和无损。第17页共33页X在可用性管理方面，要确保授权用户能够在需要时获取大数据相关网络 系统与信息资产。X在可追溯性管理方面，要确保大数据资产及用户隐私信息可根据标识信 息，对实体的历史、应用情况、所处场所、分发流程、泄漏途径具备追 溯的能力。在大数据资产运营方面，要做好内部数据共享和外部开放安全管理，具体要 求参见中国*大数据安全运营要求。（四）分类分级管理在内外部数据使
20、用、数据共享、对外业务合作时，应基于不同安全级别对敏 感数据进行差异化安全管控，具体参见中国*大数据安全管控分类分级实 施指南。（五）保密协议及承诺各单位要做好员工与合作方管理，组织签订保密协议和承诺书，确定员工及 合作方在大数据平台系统运行维护、大数据业务开发测试和生产运行过程中应该 承当的用户个人隐私保护、内部敏感信息保护的安全责任及违约惩戒措 施。七、事中通用安全管理要求（一）个人信息保护在用户个人信息收集与使用、平台系统建设、日常运营管理和对外业务合作 中要加强用户个人信息保护，严格遵循合法合规原那么。L个人信息收集与使用各单%制定的用户个人信息收集、使用规那么，必须在用户入网协议、经
21、营服 务场所、门户网站、手机营业厅等各类渠道上公布，明确告知用户个人信息第18页共33页的定义（群体信息、匿名信息、个人信息等），信息提供的目的、方式和范 围，信息使用的范围等。禁止采集用户个人的宗教信仰、基因、指纹、血型、疾病和病史信息以及法 律、行政法规规定禁止采集的其他个人信息；不得采集用户个人的收入、存款、 有价证券、商业保险、不动产的信息和纳税数额信息。但是，明确告知用户提供 该信息可能产生的不利后果，并取得其书面同意的除外。在收集与使用用户个人信息时，应遵循目的明确原那么，事先清晰、准确地确 定收集和处理个人信息的目的；确定收集和处理个人信息的对象、类别、规模、 存放地点、保存方式
22、和期限等处理规那么，以及相应的安全保护措施等。对收集和处理个人信息的目的、规那么和保护措施进行个人信息保护风险评 估，确保合规及对个人信息主体权益风险的有效管控。在收集和使用个人信息时，应遵循用户知情同意原那么，事先告知并提供选择，具 体要求如下：X未经用户同意，不得收集、使用用户个人信息；X在采集用户数据前，应当遵循开放透明原那么，以明确、易懂、合理的方式告知用户收集、使用信息的目的、方式和范围，留存信息的期限，查询、 更正信息的渠道以及拒绝提供信息的后果等事项，并明示征得用户同意；X采集多项用户个人信息的，应当在告知时，对采集、使用的每项数据的 目的、方式和范围进行单独列明；X 超出用户授
23、权范围采集、使用用户个人信息的，应当按照前款规定，在 采集、使用前告知用户并征得用户明示同意；X 同时提供多项需要使用用户数据的大数据服务，应当对各项服务所需的 数据进行单独告知，并向用户提供选择服务工程的方式；用户拒绝提供 其中某项服务必需的数抿，不得影响对甘他出冬的庙心X遵循质量保证原那么，不得收集提供服务所必需以外的用户个人信息或者 将信息使用于其提供服务之外的目的；不得以欺骗、误导或者强迫等方 式或者违反法律、行政法规以及双方的约定收集、使用信息；第19页共33页一、引言5二、总那么6（一）目的及依据6（二）适用范围6三、安全风险概述7（一）共性安全风险71 .缺乏敏感数据衡量标准7.
24、安全管理职责不明确72 .关键人员管理风险7.账号口令管理风险8（二）对外合作安全风险8.合作方引入不当安全风险81 ,系统代建代维安全风险9.代分析挖掘安全风险92 .数据对外开放安全风险9.数据对外试用安全风险93 .业务合作留存安全风险10.其它违规手段10（三）内部管理安全风险10机房及平台设备安全管理风险104 .部门间数据共享安全风险10.内部平台数据共享安全风险10四、管控对象及基本原那么11第2页共33页X在用户终止使用电信服务或者互联网信息服务后，应当停止对用户个人 信息的收集和使用，并为用户提供注销号码或者账号的服务。对提供服务过程中收集、使用的用户个人信息应当遵循确保安全
25、和脱敏开放 原那么，严格保密用户个人信息，不得泄露、篡改或者损毁，不得出售或者非法向 他人提供，对违法违规行为要进行问责。应当建立用户投诉机制，公布有效的联系方式，接收与用户个人信息保护有 关的投诉，并自接到投诉之日起十五日内答复投诉人。2 .平台系统建设在平台系统建设过程中，应采取必要的安全技术手段做好大数据平台及关联系统安全防护，防止用户个人信息泄露，具体要求参见中国大数据 安全防护通用技术要求.日常运营管理在日常运营管理方面，应加强大数据平台及关联系统开发、运维等环节中用 户个人信息数据的监管，严格控制相关岗位人员的访问权限，责任落实到人，采 取如下措施防止用户个人信息泄露、损毁、篡改或
26、者丧失。派确定各部门、岗位和分支机构的用户个人信息安全管理责任；派建立用户个人信息收集、使用及其相关活动的工作流程和安全管理制度;X规范人员访问大数据平台及关联系统权限管理，对批量导出、复制、销 毁个人信息要进行审查，并采取防泄密措施；X妥善保管记录用户个人信息的纸介质、光介质、电磁介质等载体，采取 相应的安全储存措施；X对储存用户个人信息的大数据平台系统实行接入审查，定期开展安全风 险评估；X要记录对用户个人信息进行操作的人员、时间、地点、事项等信息；派按照电信管理机构的规定采取*网络安全防护措施；X电信管理机构规定的其他必要措施。第20页共33页.对外业务合作在对外业务合作管理方面，应采取
27、如下措施保护个人信息安全。X委托他人代理市场销售和技术服务等直接面向用户的服务性工作，涉及 收集、使用用户个人信息的，应当对代理人的用户个人信息保护工作进 行监督和管理，不得委托不能满足用户个人信息保护要求的代理人代办 相关服务；X对外合作进行数据代分析挖掘、数据开放参照大数据安全管控分级分 类实施指南；X向征信机构提供用户个人不良信息应当事先告知用户本人，依照法律 行政法规规定公开的不良信息除外；X在数据承接时转移用户个人信息的，应当在方案中明确业务承接方不得 未经用户同意改变数据采集、使用的目的、方式和范围。（二）人员及账号权限管理大数据平台及承载的业务系统应纳入4A管控，通过4A系统实现
28、集中账号 授权管理和登录访问控制，关键系统高风险操作应纳入金库模式管控。权限分配应当遵循权限明确、职责别离、最小特权的原那么。原那么上一个账 号对应一个用户，而一个账号拥有的权限是由其被赋于的岗位角色所决定的，应 按照角色或用户组进行授权，而不是将单个权限直接赋予一个账号。应对使用大数据平台系统的岗位角色进行梳理，对权限相近的岗位角色进行 合并，并对岗位角色的权限进行规范。岗位角色应当根据企业、部门的组织结构 和职责分配而设定；同时，应当根据岗位角色的需要对相关人员进行授权，不能 根据人员需求或变更而设定岗位角色。不同的岗位角色拥有不同的权限。第21页共33页.业务账号管理大数据平台上承载的业
29、务系统的应用账号由该系统的业务管理部门管理，业 务管理部门必须制定岗位和角色的匹配规范，明确角色和权限的对应关系，确保 职责不相容。业务管理部门需指定专人（业务管理员）负责所管辖业务系统的账号权限管 理，明确所管辖业务系统的账号权限申请审批流程。业务管理员应将所管辖业务系统的岗位角色权限变更申请及应用层账号权 限变更申请提交部门领导审批，严格限制系统关键功能和超级账号的授权。业务管理员要定期组织开展业务系统账号使用情况审核，确认业务系统中用 户身份的有效性、账号创立的合法性、权限的合理性，对存在的问题提出整改要 求。1 .运维账号管理大数据平台系统运维支撑部门应指定专人（账号管理员）负责运维账
30、号和 权限的管理工作，制定岗位和角色的匹配规范，明确角色和权限的对应关系，确 保职责不相容。运维人员申请大数据平台账号权限应经过上级主管审批，账号管理员应按照 权限最小化原那么分配运维人员的账号权限。账号管理人员要定期对系统账号使用情况、权限、口令等进行审核，确认 账号、权限的有效性，确保运维人员职责变动时能及时清理或修改账号权限，并 对存在的问题进行整改。2 .合作方账号管理对于外部人员需使用大数据平台系统账号的情况，应和合作方签订相关的安 全保密协议，以保证合作方能够遵守安全管理要求。应对合作方访问大数据平台的账号申请、回收、授权、有效期等进行严格管 理，审批通过后方可生效。遵循账号专人专
31、用、权限最小化的原那么，并确保合作 方人员发生离职或岗位变动时能及时清理其账号。第22页共33页应禁止合作方人员掌握系统管理员权限，禁止合作方人员拥有创立系统账号 的权限和超出工作范围的高权限账号。特殊情况下，合作方人员假设需要获得系 统管理员权限，应临时授权，工作完成后及时收回权限。应参照运维人员账号管理要求，定期对合作方账号权限及口令进行严格审 核。合作方人员访问大数据平台及相关应用必须使用本人实名制4A账号，必须 采用强认证。其它的账号、权限和口令管理具体要求请参见账号口令管理方法。八、事后通用安全管理要求（一） 安全审计管理大数据安全审计主要包括日常审计和专项安全审计。大数据业务管理部
32、门负 责大数据业务安全审计管理；运维支撑部门负责大数据平台安全审计管理，并 协助业务管理部门开展日常审计工作的执行：大数据安全归口管理部门负责开 展专项安全审计和操作日志审计的抽查。在审计策略管理上，审计策略的制定需明确审计对象、审计频度、审计方法, 对于策略变更必须明确管理流程，详细记录变更起始、终止状态以及变更内容。应根据“职责不相容”原那么设置独立的安全审计员，安全审计员应定期开展大 数据安全审计，至少每月一次。安全审计员应对大数据平台和业务的安全管理和技术要求落实情况、大数据 平台系统和业务访问情况、大数据平台用户个人信息访问情况进行审计，及时发 现系统存在的安全隐患和安全威胁，并有针
33、对性的提出改进措施,跟踪整改情况, 对未在规定时限内完成整改的，应依据相关规定进行处分。安全审计员应对所有日志按关键命令、关键账号、关键参数，进行抽样审核, 及时发现异常时间登录、异常IP登录、异常的账号增加和权限变更、异常配置 变更、异常数据分发和敏感信息输出等操作。大数据安全归口管理部门负责大数据安全审计情况汇总，梳理存在问题，通 报审计结果；针对发现重大安全隐患或违规行为，应向管理层汇报。第23页共33页大数据安全归口管理部门针对安全审计过程中发现的突出问题，牵头协调大 数据业务管理部门和相关部门提出改进方案，并要求落实解决，对改进措施 落实情况进行跟踪审核。大数据安全审计的日志管理要求
34、如下：X应根据大数据平台自身特点，制定日志规范，统一日志格式、范围和存 取方式，将日志纳入4A管理。X大数据平台系统应全面记录账号与授权管理、系统访问、敏感信息访问 操作、数据等行为，确保日志信息的完整、准确。用于安全审核的原始日志记录内容应至少包括：操作账号、时间、登录 IP地址、详细操作内容和操作是否成功等。日志不应明文记录账号的口 令、内容等敏感信息。X大数据运维支撑部门应加强大数据平台系统原始日志访问管理，除日志 日常维护涉及数据迁移外，任何人不得对日志信息进行更改、删除。X用于安全审计的原始日志必须单独保存，大数据运维支撑部门要制定数 据存储藏份管理制度，定期对原始日志进行备份归档，
35、所有敏感信息 操作原始日志在线至少保存3个月，离线至少保存1年，国家法律、 行政法规等有特殊要求的保存时间依照其规定执行。X各使用部门应保存所有敏感信息操作的凭据，确保真实有效，凭据至少 保存1年。（二）安全合规检查大数据安全合规检查包括管理合规自查、他查及安全风险评估。大数据安全归口管理部门负责大数据管理合规性检查和安全风险评估的归 口管理。大数据业务管理部门和运维支撑部门在大数据安全归口管理部门指导下 开展安全合规性自查与安全风险自评估。大数据安全归口管理部门负责大数据安全合规检查情况汇总，梳理存在问 题，通报结果；针对发现的重大安全隐患或违规行为，应向管理层汇报。第24页共33页大数据安
36、全归口管理部门针对安全合规检查过程中发现的突出问题，牵头协 调大数据业务管理部门和相关部门提出改进方案，并要求落实解决，对改进措施 落实情况进行跟踪审核。1 .管理合规性检查大数据管理合规性检查是对用户个人信息保护、大数据业务开发与管理、大 数据平台开发与管理、供应商/合作伙伴开发与管理、大数据业务运营管理、大 数据平台运营管理及合作伙伴管理的合规性进行检查。大数据安全归口管理部门应明确安全合规检查要求，包括检查目的、检查范 围、检查内容、检查方法、检查任务、检查报告及相应流程，每年至少进行一次 合规性检查，合规检查要求参见大数据安全相关评测规范。各单位大数据业务管理部门、运维支撑部门和其他相
37、关部门应根据大数据 安全归口管理部门的检查要求，安排专人或委托合作方开展大数据安全合规性自 查，每半年至少进行一次，对自查结果进行归档，编写自查报告，发现问题及时 整改，确保管理制度及安全防护手段的有效落实。2 .安全风险评估大数据安全风险评估是对大数据平台系统和大数据业务面临的威胁、存在的 弱点、造成的影响，以及三者综合作用带来风险的可能性进行评估。应依据中国*互联网新技术新业务信息安全风险评估管理方法和大数据 安全相关评测规范的要求开展评估，并落实问题整改。大数据安全归口管理部门应加强与本地电信管理机构的沟通，按照相关要求 做好评估结果的报备工作。大数据安全归口管理部门依据相关部门报备的评
38、估报告，定期开展安全评估 情况抽查。（三）及应急管理应按照应急处置流程化原那么，从制度建立、技术实现、业务管理等方面建立 完善的安全预警和应急处置机制，为大数据平台制定应急响应计划，做好应急 预第25页共33页案、风险检测、实时预警、事态遏制、问题根除、系统恢复、跟踪总结等各项举 措，并定期演练，确保在紧急情况下重要信息资源的可用性。大数据安全实行信息安全事件预警通报制度。发生或者可能发生用户信息 泄露、毁损、丧失情况的，当事部门应及时向网络安全办公室报告事件情况，并 由网络安全办公室上报*公司网络安全领导小组及省公司网络安全办公室，并根 据预案实施应急措施。九、外部特定安全管理要求（一）合作
39、方安全审查1 .合作方背景调查对数据开放共享、代分析挖掘及代建代维的合作方开展合作方背景调查，重 点做好合作方股权关系、境内外合作关系、既往合作情况、运营历史背景等 的调查。因业务需要，确需向境外组织或者个人提供的，应当征得用户同意，并按 照国家相关规定进行安全评估。2 .安全资质审查应开展合作方安全资质审查，综合评估合作方的信息安全保障能力，设立黑 名单机制，确保其具备相应的保密及运营资质，确保合作方是合格授权者，能 切实保障敏感数据。应开展合作方安全管理制度调查，综合评估合作方是否具备完善的安全管理 制度及其落实情况，确保合作过程中的数据安全。应开展合作方技术防护手段调查，综合评估合作方是
40、否具备完善的技术防护 手段，对数据是否能够进行全面保护，防范因系统漏洞等造成的数据泄漏。第26页共33页(二)合作方安全管控1 .合作方系统建设代维管理应强化对外合作数据平台的安全运维管理，防范数据在内部的非授权获取。(1)系统开发管理应将大数据平台纳入4A管控，明确对大数据平台的所有访问禁止绕过4A, 包括应用系统重大故障处理或软件大版本上线、割接。应建立代码安全审计制度，做好大数据应用程序代码的安全管理，防止软件 后门植入。要求合作伙伴对所开发应用代码进行安全测试，重点审核应用代码 中访问关键敏感数据及数据输出等代码内容，并在上线前提交源代码及代码审 计报告，进行存档备案。每年应至少组织开
41、展一次大数据平台应用第三方代码审计工作，重点审核代 码中访问关键敏感数据及数据输出等代码内容。应加强应用代码版本管理，做好设计资料保密，保存历次上线代码，严禁 篡改历史代码；在大数据平台应用软件上线过程中，严禁修改应用代码，未经 确认合格的测试版本严禁发布到生产系统中。(2)系统维护管理应严格按照系统维护管理要求进行大数据平台及关联系统的维护，未经授 权，不得擅自变更程序和配置等。应定期对大数据平台系统中的程序与脚本进行梳理，针对梳理后的清单进行 逐一核实其用途、开发人员、发布人员、责任人员，针对无人认领的程序或脚本 进行清理。应对大数据平台系统的程序与脚本应进行统一的登记备案管理，应要求合作
42、 伙伴在完成上线后提供新增或变更的程序与脚本清单，其中涉及到使用程序账 号、访问敏感数据的应进行审批并留档备案。(3)数据维护管理第27页共33页应对合作伙伴可接触到的敏感数据进行严格监管，合作伙伴人员如需进行 敏感信息的数据维护（数据导入、导出、备份）必须填写操作申请，并经过对口 管理部门主管审批通过后方可进行，同时必须纳入金库管控。2 .合作方数据代分析挖掘管理合作方代分析根据提供数据的支撑方式不同可以划分为两种方式，共享资源 挖掘、专属资源挖掘。共享资源挖掘指的是由我方提供数据挖掘系统环境、挖掘工具。合作伙伴共 享我方提供的环境和数据资源，部署自有数据和挖掘算法。该场景下应在模型 训练、
43、数据服务接口、数据导出、操作审计等方面制定相应的安全管控措施，禁 止挖掘算法对原始数据进行增加、修改、删除等操作，保证代分析挖掘数据的 可用性和完整性。共享资源挖掘所有数据输出、下载必须审核通过后才能对外输 出。专属资源挖掘指的是由各单位提供网络环境，提供代分析挖掘数据，合作 伙伴提供数据挖掘系统软、硬件环境，部署自有数据、模型及应用程序，对数据 进行加工。在该场景下应做好专属资源设备的物理访问管理，要有专人在现场监 督操作；要做好专属资源设备出入机房管理，设备维修报废带出机房前必须对 数据进行销毁；专属资源的访问必须纳入4A管控，专属资源挖掘所有数据输出、 下载必须审核通过后才能对外输出，要
44、做好数据操作、输出的安全审计。3 .业务合作方数据安全管理应加强对外合作数据输出的安全管理，防范业务明确内容以外的数据输出。 必须采取合同、管理及技术等措施，确保合作方在共享我方数据时遵守不低于我 公司承当的网络数据保护责任。向合作方开放数据的，除遵循数据服务最小化原那么外，还要遵循用户知情同 意原那么，或进行脱敏处理，并确保脱敏之后的用户数据不会被复原且不能追溯到 用户。（1）数据输出管控要限制敏感数据直传，做好对外接口安全隔离或能力限制，禁止将敏感数据 通过系统接口传送至业务合作方平台，尤其是境外公司。要确保敏感数据不出网，除非获得用户明确授权，未经脱敏处理的用户个人 隐私数据等敏感数据不
45、可离开网络与计算环境，数据必须经数据输出审核（包 括技术和管理双重审核），审核通过后才能对外输出，输出数据不得损害国家安 全、公共利益和他人合法权益。第28页共33页要坚持数据服务最小化原那么，仅提供业务开展明确需要的用户属性、标签属 性等数据，数据规模应最小化，降低多余数据外泄风险。(1)数据脱敏管理应基于数据分类分级管控原那么开展大数据对外合作和数据共享，可参照大 数据安全管控分类分级实施指南、大数据安全脱敏实施指南等建立敏感数 据安全脱敏机制，确保敏感数据的安全开放和共享。应对脱敏数据的各种使用场景下的关联性进行分析，确认敏感数据脱敏后能 保证数据的可用性，且不能复原追溯到用户个人。(2
46、)数据责任追溯为防止数据被恶意删除、随意篡改、无约束的滥用，需要对数据进行签名， 具体可采用数据来源签名和挖掘结果签名等方法。(3)测试数据管理大数据业务管理部门要建立数据对外服务目录清单，制定试用数据脱敏规那么 和数据试用服务条款，并经过本单位大数据安全归口管理部门审核，确保试用 数据无法复原并追溯到用户。潜在业务合作方试用大数据平台的数据必须经过对口业务管理部门审批，签 订数据试用协议；业务管理部门和运维支撑部门必须按照数据脱敏规那么和数据试用协议提供相关试用数据，禁止超出范围提供试用数据，禁止提供未脱敏数 据。试用数据必须保存在测试系统，从生产系统导出试用数据到测试系统必须经 过大数据运
47、维支撑部门安全负责人审批，并按照要求脱敏，经过安全审计员审 核后方可提供给合作方访问。应设置独立的大数据平台开发测试环境，必须确保与生产环境完全别离， 与生产系统进行联调测试的测试系统应按照生产系统进行安全管理。合作方通过开发测试系统访问试用数据，必须严格记录访问日志，日志内 容至少应包括操作人员、操作时间、操作内容等信息。安全审计人员应定期对开 发测试系统进行数据导出行为审计，确认行为是否规范、数据是否模糊化处理。第29页共33页（-）管控对象11（二）基本原那么和要求,11五、安全管理框架13（一）事前安全防范13（二）事中安全管控13（三）事后稽核审计14六、事前通用安全管理要求14（一）组织责任管理141 .内部组织职责14.外部安全责任16（二）安全制度流程建设17L制定安全管理细那么172 .制定完善审批流程17（三）大数据资产管理17（四）分类分级管理18（五）保密协议及承诺18七、事中通用安全管理要求18（一）个人信息保护18L个人信息收集与使用 18.平台系统建设202 .日常运营管理20,对外业务合作21（二）人员及账号权限管理21L业务账号管理222 .