《GB-T 37988-2019 信息安全技术 数据安全能力成熟度模型.pdf》由会员分享，可在线阅读，更多相关《GB-T 37988-2019 信息安全技术 数据安全能力成熟度模型.pdf（62页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、I C S3 5.0 4 0L8 0中 华 人 民 共 和 国 国 家 标 准G B/T3 7 9 8 82 0 1 9信息安全技术 数据安全能力成熟度模型I n f o r m a t i o ns e c u r i t y t e c h n o l o g yD a t as e c u r i t yc a p a b i l i t ym a t u r i t ym o d e l2 0 1 9-0 8-3 0发布2 0 2 0-0 3-0 1实施国 家 市 场 监 督 管 理 总 局中国国家标准化管理委员会发 布目 次前言1 范围12 规范性引用文件13 术语和定义14 缩略语
2、35 D S MM架构3 5.1 成熟度模型架构3 5.2 安全能力维度4 5.3 能力成熟度等级维度4 5.4 数据安全过程维度66 数据采集安全7 6.1 P A 0 1数据分类分级7 6.2 P A 0 2数据采集安全管理8 6.3 P A 0 3数据源鉴别及记录9 6.4 P A 0 4数据质量管理1 17 数据传输安全1 2 7.1 P A 0 5数据传输加密1 2 7.2 P A 0 6网络可用性管理1 38 数据存储安全1 4 8.1 P A 0 7存储媒体安全1 4 8.2 P A 0 8逻辑存储安全1 5 8.3 P A 0 9数据备份和恢复1 79 数据处理安全1 9 9.
3、1 P A 1 0数据脱敏1 9 9.2 P A 1 1数据分析安全2 0 9.3 P A 1 2数据正当使用2 2 9.4 P A 1 3数据处理环境安全2 3 9.5 P A 1 4数据导入导出安全2 41 0 数据交换安全2 6 1 0.1 P A 1 5数据共享安全2 6 1 0.2 P A 1 6数据发布安全2 7 1 0.3 P A 1 7数据接口安全2 81 1 数据销毁安全2 9 1 1.1 P A 1 8数据销毁处置2 9 1 1.2 P A 1 9存储媒体销毁处置3 1G B/T3 7 9 8 82 0 1 91 2 通用安全3 2 1 2.1 P A 2 0数据安全策略规
4、划3 2 1 2.2 P A 2 1组织和人员管理3 4 1 2.3 P A 2 2合规管理3 6 1 2.4 P A 2 3数据资产管理3 8 1 2.5 P A 2 4数据供应链安全3 9 1 2.6 P A 2 5元数据管理4 1 1 2.7 P A 2 6终端数据安全4 2 1 2.8 P A 2 7监控与审计4 3 1 2.9 P A 2 8鉴别与访问控制4 4 1 2.1 0 P A 2 9需求分析4 6 1 2.1 1 P A 3 0安全事件应急4 7附录A(资料性附录)能力成熟度等级描述与G P4 9 A.1 概述4 9 A.2 能力成熟度等级1 非正式执行4 9 A.3 能力
5、成熟度等级2 计划跟踪4 9 A.4 能力成熟度等级3 充分定义5 0 A.5 能力成熟度等级4 量化控制5 1 A.6 能力成熟度等级5 持续优化5 2附录B(资料性附录)能力成熟度等级评估参考方法5 4附录C(资料性附录)能力成熟度等级评估流程和模型使用方法5 5 C.1 能力成熟度等级评估流程5 5 C.2 能力成熟度模型使用方法5 6参考文献5 7G B/T3 7 9 8 82 0 1 9前 言 本标准按照G B/T1.12 0 0 9给出的规则起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由全国信息安全标准化技术委员会(S A C/T C2
6、 6 0)提出并归口。本标准起草单位:阿里巴巴(北京)软件服务有限公司、中国电子技术标准化研究院、中国信息安全测评中心、北京奇安信科技有限公司、联想(北京)有限公司、公安部第三研究所、清华大学、中国网络安全审查技术与认证中心、中国科学院软件研究所、中国移动通信集团公司、阿里云计算有限公司、北京天融信科技股份有限公司、中国科学院信息工程研究所、陕西省信息化工程研究院、西北大学、浪潮电子信息产业股份有限公司、北京易华录信息技术股份有限公司、新华三技术有限公司、勤智数码科技股份有限公司、北京数字认证股份有限公司、启明星辰信息技术集团股份有限公司、海信集团有限公司、银川市大数据产业发展服务中心、南京中
7、新赛克科技有限责任公司、北京微步在线科技有限公司、上海观安信息技术有限公司、华为技术有限公司、三六零科技股份有限公司、中电长城网际系统应用有限公司。本标准主要起草人:朱红儒、刘贤刚、胡影、贾雪飞、白晓媛、叶晓俊、李克鹏、潘亮、薛勇、谢安明、梅婧婷、金涛、叶润国、孙明亮、张宇光、徐羽佳、杜跃进、陈彩芳、柯妍、张玉东、徐雨晴、张世长、宋玲娓、闵京华、郑新华、苗光胜、刘玉岭、潘正泰、张锐卿、任卫红、任兰芳、蔡晓丹、常玲、赵蓓、张大江、唐海龙、孙晓军、李正、孙骞、赵江、马红霞、鲁晋、王川、杜青峰、薛坤、尤其、王伟、张屹、何军、张兴。G B/T3 7 9 8 82 0 1 9信息安全技术 数据安全能力成
8、熟度模型1 范围本标准给出了组织数据安全能力的成熟度模型架构,规定了数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全、通用安全的成熟度等级要求。本标准适用于对组织数据安全能力进行评估,也可作为组织开展数据安全能力建设时的依据。2 规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。G B/T2 5 0 6 92 0 1 0 信息安全技术 术语G B/T2 9 2 4 62 0 1 7 信息技术 安全技术信息安全管理体系 概述和词汇3 术语和定义
9、G B/T2 5 0 6 92 0 1 0和G B/T2 9 2 4 62 0 1 7界定的以及下列术语和定义适用于本文件。3.1数据安全 d a t as e c u r i t y通过管理和技术措施,确保数据有效保护和合规使用的状态。3.2保密性 c o n f i d e n t i a l i t y使信息不泄漏给未授权的个人、实体、进程,或不被其利用的特性。G B/T2 5 0 6 92 0 1 0,定义2.1.13.3完整性 i n t e g r i t y准确和完备的特性。G B/T2 9 2 4 62 0 1 7,定义2.4 03.4可用性 a v a i l a b i l
10、 i t y已授权实体一旦需要就可访问和使用的数据和资源的特性。G B/T2 5 0 6 92 0 1 0,定义2.1.2 03.5数据安全能力 d a t as e c u r i t yc a p a b i l i t y组织在组织建设、制度流程、技术工具以及人员能力等方面对数据的安全保障。3.6能力成熟度 c a p a b i l i t ym a t u r i t y对一个组织有条理的持续改进能力以及实现特定过程的连续性、可持续性、有效性和可信度的1G B/T3 7 9 8 82 0 1 9水平。3.7能力成熟度模型 c a p a b i l i t ym a t u r i
11、t ym o d e l对一个组织的能力成熟度进行度量的模型,包括一系列代表能力和进展的特征、属性、指示或者模式。注:能力成熟度模型为组织衡量其当前的实践、流程、方法的能力水平提供参考基准,并设置明确的提升目标。3.8安全过程 s e c u r i t yp r o c e s s用于实现某一安全目标的完整过程,该过程包含输入和输出。示例:“安全审计”这一安全过程,输入是系统日志,输出是审计报告。3.9过程域 p r o c e s sa r e a实现同一安全目标的相关数据安全基本实践的集合。注:一个过程域中包含一个或多个基本实践。示例:“元数据管理”这一过程域,包含建立元数据管理规范、建
12、立元数据访问控制策略、建立元数据技术工具等基本实践。3.1 0基本实践 b a s ep r a c t i c e实现某一安全目标的数据安全相关活动。示例:建立数据资产清单,对数据资产进行分类分级管理等。3.1 1通用实践 g e n e r i cp r a c t i c e在评估中用于确定任何安全过程域或基本实践的实施能力的评定准则。3.1 2数据脱敏 d a t ad e s e n s i t i z a t i o n通过一系列数据处理方法对原始数据进行处理以屏蔽敏感数据的一种数据保护方法。3.1 3数据处理 d a t ap r o c e s s i n g对原始数据进行抽取
13、、转换、加载的过程。注1:数据处理包括开发数据产品或数据分析等。注2:数据产品包括但不限于能访问原始数据,提供数据计算、数据存储、数据交换、数据分析、数据挖掘、数据展示等应用的软硬件产品。3.1 4数据供应链 d a t as u p p l yc h a i n为满足数据供应关系,通过资源和过程将需方、供方相互关联的结构。3.1 5规程 p r o c e d u r e对执行一个给定任务所采取动作历程的书面描述。G B/T2 5 0 6 92 0 1 0,定义2.1.73.1 6合规 c o m p l i a n c e对数据安全所适用的法律法规的符合程度。2G B/T3 7 9 8 8
14、2 0 1 94 缩略语下列缩略语适用于本文件。B P:基本实践(B a s eP r a c t i c e)D S MM:数据安全能力成熟度模型(D a t aS e c u r i t yC a p a b i l i t yM a t u r i t yM o d e l)G P:通用实践(G e n e r i cP r a c t i c e)P A:过程域(P r o c e s sA r e a)S S L:安全套接层(S e c u r e S o c k e t sL a y e r)T L S:传输层安全(T r a n s p o r tL a y e rS e c u
15、 r i t y)5 D S MM架构5.1 成熟度模型架构D S MM架构如图1所示。图1 D S MM架构图 D S MM的架构由以下三个维度构成:a)安全能力维度安全能力维度明确了组织在数据安全领域应具备的能力,包括组织建设、制度流程、技术工具和人员能力。b)能力成熟度等级维度数据安全能力成熟度等级划分为五级,具体包括:1级是非正式执行级,2级是计划跟踪级,3级是充分定义级,4级是量化控制级,5级是持续优化级。3G B/T3 7 9 8 82 0 1 9c)数据安全过程维度1)数据安全过程包括数据生存周期安全过程和通用安全过程;2)数据生存周期安全过程具体包括:数据采集安全、数据传输安全
16、、数据存储安全、数据处理安全、数据交换安全、数据销毁安全6个阶段。5.2 安全能力维度5.2.1 能力构成通过对组织各数据安全过程应具备安全能力的量化,进而评估每项安全过程的实现能力。安全能力分为以下4个方面:a)组织建设:数据安全组织的设立、职责分配和沟通协作;b)制度流程:组织数据安全领域的制度和流程执行;c)技术工具:通过技术手段和产品工具落实安全要求或自动化实现安全工作;d)人员能力:执行数据安全工作的人员的安全意识及相关专业能力。5.2.2 组织建设从承担数据安全工作的组织应具备的组织建设能力角度,根据以下方面进行能力等级区分:a)数据安全组织架构对组织业务的适用性;b)数据安全组织
17、承担的工作职责的明确性;c)数据安全组织运作、沟通协调的有效性。5.2.3 制度流程从组织在数据安全制度流程的建设以及执行情况角度,根据以下方面进行能力等级区分:a)数据生存周期关键控制节点授权审批流程的明确性;b)相关流程制度的制定、发布、修订的规范性;c)制度流程实施的一致性和有效性。5.2.4 技术工具从组织用于开展数据安全工作的安全技术、应用系统和工具出发,根据以下方面进行能力等级区分:a)数据安全技术在数据全生存周期过程中的利用情况,应对数据全生存周期安全风险的能力;b)利用技术工具对数据安全工作的自动化支持能力,对数据安全制度流程固化执行的实现能力。5.2.5 人员能力从组织承担数
18、据安全工作的人员应具备的能力出发,根据以下方面进行能力等级区分:a)数据安全人员所具备的数据安全技能是否能够满足实现安全目标的能力要求(对数据相关业务的理解程度以及数据安全专业能力);b)数据安全人员的数据安全意识以及对关键数据安全岗位员工数据安全能力的培养。5.3 能力成熟度等级维度组织的数据安全能力成熟度等级共分为5级,见表1。4G B/T3 7 9 8 82 0 1 9表1 数据安全能力成熟度等级共性特征数据安全能力成熟度等级共性特征说明等级1:非正式执行执行B P:组织在数据安全过程中不能有效地执行相关工作,仅在部分业务执行过程中根据临时的需求执行了相关工作,未形成成熟的机制保证相关工
19、作的持续有效进行,执行相关工作的人员未达到相应能力。所执行的过程称为“非正式过程”随机、无 序、被 动 地 执行安全过程,依赖于个人经验,无法复制等级2:计划跟踪a)规划执行:对安全过程进行规划,提前分配资源和责任。b)规范执行:对安全过程进行控制,使用执行计划、执行基于标准和程序的过程,对数据安全过程实施配置管理。c)验证执行:确认过程按预定的方式执行,验证过程的执行与计划是一致的。d)跟踪执行:控制数据安全过程执行的进展,通过可测量的计划跟踪过程的执行,当过程实践与计划产生重大偏离时采取修正行动在业 务 系 统 级 别 主 动地实 现 了 安 全 过 程 的计划与执行,但没有形成体系化等级
20、3:充分定义a)定义标准过程:组织对标准过程进行制度化,为组织定义标准化的过程文档,为满足特定用途对标准过程进行裁剪。b)执行已定义的过程:充分定义的过程是可重复执行的,并使用过程执行的结果数据,对有缺陷的过程结果和安全实践进行核查。c)协调安全实践:确定业务系统内、各业务系统之间、组织外部活动的协调机制在组 织 级 别 实 现 了 安全过程的规范执行等级4:量化控制a)建立可测的安全目标:为组织的数据安全建立可测量目标。b)客观地管理执行:确定过程能力的量化测量,使用量化测量管理安全过程,并以量化测量作为修正行动的基础建立了量化目标,安全过程可度量等级5:持续优化a)改进组织能力:在整个组织
21、范围内对规程的使用进行比较,寻找改进规程的机会,并进行改进。b)改进过程有效性:制定处于持续改进状态下的规程,对规程的缺陷进行消除,并对规程进行持续改进根据组织的整体目标,不断 改 进 和 优 化 安 全过程 能力成熟度等级与P A、B P、安全能力的关系如下:a)将组织在每个数据安全P A的能力成熟度划分为五级,针对每个等级下组织应具备的能力要求,从4个安全能力(组织建设、制度流程、技术工具及人员能力)提出具体的B P。b)3级要求应包含全部4个安全能力,其他等级要求可不包含完整的4个数据安全关键能力,并非每个安全P A的能力成熟度等级都包含完整的4个数据安全关键能力。示例:某些P A的2级
22、要求具备组织建设和制度流程两个关键能力,而4级和5级的能力要求仅涉及部分关键能力如组织建设、技术工具的提升。c)对于每个数据安全P A,高等级的能力要求应包括所有低等级能力要求。针对某一具体数据安全P A,如果5级的能力要求中未涉及某一关键能力的内容,则默认应达到在4级的能力要求中的该关键能力的内容;如果4级的能力要求中依旧未涉及该关键能力,则默认应达到在3级的能力要求中该关键能力的内容,依此类推。能力成熟度等级的描述与G P参见附录A。能力成熟度等级评估参考方法,参见附录B。5G B/T3 7 9 8 82 0 1 9能力成熟度等级评估流程和模型使用方法,参见附录C。5.4 数据安全过程维度
23、5.4.1 数据生存周期数据生存周期分为以下6个阶段:a)数据采集:组织内部系统中新产生数据,以及从外部系统收集数据的阶段;b)数据传输:数据从一个实体传输到另一个实体的阶段;c)数据存储:数据以任何数字格式进行存储的阶段;d)数据处理:组织在内部对数据进行计算、分析、可视化等操作的阶段;e)数据交换:组织与组织或个人进行数据交换的阶段;f)数据销毁:对数据及数据存储媒体通过相应的操作手段,使数据彻底删除且无法通过任何手段恢复的过程。特定的数据所经历的生存周期由实际的业务所决定,可为完整的6个阶段或是其中的几个阶段。5.4.2 数据安全P A体系5.4.2.1 P A体系P A体系分为数据生存
24、周期安全过程和通用安全过程两部分,共包含3 0个P A,如图2所示。图2 数据安全P A体系 数据生存周期安全过程域包括以下6个过程:a)数据采集安全的P A(P A 0 1P A 0 4)包括:数据分类分级、数据采集安全管理、数据源鉴别及记录、数据质量管理4个P A;b)数据传输安全的P A(P A 0 5P A 0 6)包括:数据传输加密、网络可用性管理2个P A;c)数据存储安全的P A(P A 0 7P A 0 9)包括:存储媒体安全、逻辑存储安全、数据备份和恢复3个安全P A;d)数据处理安全的P A(P A 1 0P A 1 4)包括:数据脱敏、数据分析安全、数据正当使用、数据处理
25、环境安全、数据导入导出安全5个安全P A;e)数据交换安全的P A(P A 1 5P A 1 7)包括:数据共享安全、数据发布安全、数据接口安全3个安全P A;f)数据销毁安全的P A(P A 1 8P A 1 9)包括:数据销毁处置、存储媒体销毁处置2个安全P A。通用安全过程域(P A 2 0P A 3 0)包括:数据安全策略规划、组织和人员管理、合规管理、数据资产管6G B/T3 7 9 8 82 0 1 9理、数据供应链安全、元数据管理、终端数据安全、监控与审计、鉴别与访问控制、需求分析、安全事件应急1 1个P A。5.4.2.2 编码规则数据安全P A编码规则如下:a)每个P A有对
26、应的编号,分别采用递增的数值0 1、0 2,.,表示。示例1:P A 0 1,代表P A“数据分类分级”。b)每个P A由一些B P组成。B P用B P.来进行编号,第一组编码表示所在P A的序号,第二组编码表示具体B P的序号,具体B P的序号采用递增的数值0 1、0 2,.,表示。示例2:B P.0 1.0 1表示,过程域P A 0 1“数据分类分级”中的第一个B P。c)对于每个P A的每个级别,需要同时满足本级别和所有低于该级别的B P的要求,才能达到本级别的能力水平,依此类推。6 数据采集安全6.1 P A 0 1数据分类分级6.1.1 P A描述基于法律法规以及业务需求确定组织内部
27、的数据分类分级方法,对生成或收集的数据进行分类分级标识。6.1.2 等级描述6.1.2.1 等级1:非正式执行该等级的数据安全能力描述如下:制度流程:组织未在任何业务建立成熟稳定的数据分类分级,仅根据临时需求或基于个人经验,对部分数据进行了分类或分级(B P.0 1.0 1)。6.1.2.2 等级2:计划跟踪该等级的数据安全能力要求描述如下:a)组织建设:应由业务团队相关人员负责相关业务的数据分类分级(B P.0 1.0 2);b)制度流程:应根据业务特性和外部合规要求,对核心业务的关键数据进行分类分级管理(B P.0 1.0 3)。6.1.2.3 等级3:充分定义该等级的数据安全能力要求描述
28、如下:a)组织建设:组织应设立负责数据安全分类分级工作的管理岗位和人员,主要负责定义组织整体的数据分类分级的安全原则(B P.0 1.0 4)。b)制度流程:1)应明确数据分类分级原则、方法和操作指南(B P.0 1.0 5);2)应对组织的数据进行分类分级标识和管理(B P.0 1.0 6);3)应对不同类别和级别的数据建立相应的访问控制、数据加解密、数据脱敏等安全管理和控制措施(B P.0 1.0 7);7G B/T3 7 9 8 82 0 1 94)应明确数据分类分级变更审批流程和机制,通过该流程保证对数据分类分级的变更操作及其结果符合组织的要求(B P.0 1.0 8)。c)技术工具:
29、应建立数据分类分级打标或数据资产管理工具,实现对数据的分类分级自动标识、标识结果发布、审核等功能(B P.0 1.0 9)。d)人员能力:负责该项工作的人员应了解数据分类分级的合规要求,能够识别哪些数据属于敏感数据(B P.0 1.1 0)。6.1.2.4 等级4:量化控制该等级的数据安全能力要求描述如下:技术工具:a)应记录自动分类分级结果与人工审核后的分类分级结果之间的差异,定期分析改进分类分级标识工具,提升工具处理的准确度(B P.0 1.1 1);b)应对数据分类分级的操作、变更过程进行日志记录和分析,定期通过日志分析等技术手段进行变更操作审计,数据分类分级可追溯(B P.0 1.1
30、2)。6.1.2.5 等级5:持续优化该等级的数据安全能力要求描述如下:a)制度流程:应定期评审数据分类分级的规范和细则,考虑其内容是否完全覆盖了当前的业务,并执行持续的改进优化工作(B P.0 1.1 3);b)技术工具:1)应跟踪数据分类分级标识效果,持续改进数据分类分级的技术工具(B P.0 1.1 4);2)应参与国际、国家或行业相关标准制定。在业界分享最佳实践,成为行业标杆(B P.0 1.1 5)。6.2 P A 0 2数据采集安全管理6.2.1 P A描述在采集外部客户、合作伙伴等相关方数据的过程中,组织应明确采集数据的目的和用途,确保满足数据源的真实性、有效性和最少够用等原则要
31、求,并明确数据采集渠道、规范数据格式以及相关的流程和方式,从而保证数据采集的合规性、正当性、一致性。6.2.2 等级描述6.2.2.1 等级1:非正式执行该等级的数据安全能力描述如下:制度流程:未在任何业务建立成熟稳定的数据采集安全管理,仅根据临时需求或基于个人经验对个别数据采集进行安全管理(B P.0 2.0 1)。6.2.2.2 等级2:计划跟踪该等级的数据安全能力要求描述如下:a)组织建设:应由业务团队相关人员负责数据采集安全管理(B P.0 2.0 2)。b)制度流程:1)应明确核心业务数据采集原则,保证该业务数据采集的合法、正当(B P.0 2.0 3);2)核心业务应明示个人信息采
32、集的目的、方式和范围,并经被收集者同意(B P.0 2.0 4)。8G B/T3 7 9 8 82 0 1 96.2.2.3 等级3:充分定义该等级的数据安全能力要求描述如下:a)组织建设:组织应设立数据采集安全管理的岗位和人员,负责制定相关的数据采集安全管理的制度,推动相关要求、流程的落地,并对具体业务或项目的风险评估提供咨询和支持(B P.0 2.0 5)。b)制度流程:1)应明确组织的数据采集原则,定义业务的数据采集流程和方法(B P.0 2.0 6);2)应明确数据采集的渠道及外部数据源,并对外部数据源的合法性进行确认(B P.0 2.0 7);3)应明确数据采集范围、数量和频度,确保
33、不收集与提供服务无关的个人信息和重要数据(B P.0 2.0 8);4)应明确组织数据采集的风险评估流程,针对采集的数据源、频度、渠道、方式、数据范围和类型进行风险评估(B P.0 2.0 9);5)应明确数据采集过程中个人信息和重要数据的知悉范围和需要采取的控制措施,确保采集过程中的个人信息和重要数据不被泄漏(B P.0 2.1 0);6)应明确自动化采集数据的范围(B P.0 2.1 1)。c)技术工具:1)应依据统一的数据采集流程建设数据采集相关的工具,以保证组织数据采集流程实现的一致性,同时相关系统应具备详细的日志记录功能,确保数据采集授权过程的完整记录(B P.0 2.1 2);2)
34、应采取技术手段保证数据采集过程中个人信息和重要数据不被泄漏(B P.0 2.1 3)。d)人员能力:负责该项工作的人员应能够充分理解数据采集的法律要求、安全和业务需求,并能够根据组织的业务提出针对性的解决方案(B P.0 2.1 4)。6.2.2.4 等级4:量化控制该等级的数据安全能力要求描述如下:a)制度流程:应明确数据采集安全管理效果的评估方式,如数据采集安全管理在业务的覆盖率、制度流程执行效果、数据采集授权率等(B P.0 2.1 5)。b)技术工具:1)应采取必要的技术手段对采集的数据进行校验(B P.0 2.1 6);2)应跟踪和记录数据采集和获取过程,支持对数据采集和获取操作过程
35、的可追溯(B P.0 2.1 7)。6.2.2.5 等级5:持续优化该等级的数据安全能力要求描述如下:a)制度流程:数据采集安全管理应持续优化,持续跟踪数据采集安全管理执行效果、新业务产生的需求、行业新技术和最佳实践、合规新要求新变化等(B P.0 2.1 8)。b)技术工具:1)应根据制度流程的更新,不断升级优化数据采集工具(B P.0 2.1 9);2)应参与国际、国家或行业相关标准制定。在业界分享最佳实践,成为行业标杆(B P.0 2.2 0)。6.3 P A 0 3数据源鉴别及记录6.3.1 P A描述对产生数据的数据源进行身份鉴别和记录,防止数据仿冒和数据伪造。9G B/T3 7 9
36、 8 82 0 1 96.3.2 等级描述6.3.2.1 等级1:非正式执行该等级的数据安全能力描述如下:组织建设:未对任何业务的采集数据源进行有效管理,仅根据临时需求或基于个人经验对采集的数据源进行临时记录(B P.0 3.0 1)。6.3.2.2 等级2:计划跟踪该等级的数据安全能力要求描述如下:a)组织建设:应由业务团队相关人员负责数据源鉴别和记录(B P.0 3.0 2);b)制度流程:核心业务系统的在线数据采集和外部第三方采集,均应建立了相应机制执行数据源的鉴别和记录(B P.0 3.0 3);c)技术工具:核心业务应具有技术工具支持对数据源的鉴别和记录(B P.0 3.0 4)。6
37、.3.2.3 等级3:充分定义该等级的数据安全能力要求描述如下:a)组织建设:应由业务团队相关人员负责对数据源进行鉴别和记录(B P.0 3.0 5)。b)制度流程:应明确数据源管理的制度,对组织采集的数据源进行鉴别和记录(B P.0 3.0 6)。c)技术工具:1)组织应采取技术手段对外部收集的数据和数据源进行识别和记录(B P.0 3.0 7);2)应对关键追溯数据进行备份,并采取技术手段对追溯数据进行安全保护(B P.0 3.0 8)。d)人员能力:负责该项工作的人员应理解数据源鉴别标准和组织内部数据采集的业务,能够结合实际情况执行(B P.0 3.0 9)。6.3.2.4 等级4:量化
38、控制该等级的数据安全能力要求描述如下:a)制度流程:1)组织应定义了数据追溯策略要求、追溯数据格式、追溯数据安全存储与使用的管理制度等。根据组织内的业务梳理数据源的类型,并明确在关键的数据管理系统(如数据库管理系统、元数据管理系统)上对数据源类型标记的要求(B P.0 3.1 0);2)应明确基于追溯数据的数据业务与法律法规合规性审核的机制,并依据审核结果增强或改进与数据服务相关的访问控制与合规性保障机制和策略(B P.0 3.1 1)。b)技术工具:组织关键的数据管理系统中应提供了标记数据的数据源类型的功能,从而实现对组织内部各类数据源的统计和分析(B P.0 3.1 2)。6.3.2.5
39、等级5:持续优化该等级的数据安全能力要求描述如下:a)制度流程:应对数据源鉴别方式和分类方法进行持续的改进,基于业务的发展变化以及行业最佳实践,提升数据源管理的成效(B P.0 3.1 3)。b)技术工具:1)应面向制度流程的更新,持续改进工具在数据鉴别、记录和追溯等方面的服务能力(B P.0 3.1 4);2)应参与国际、国家或行业相关标准制定。在业界分享最佳实践,成为行业标杆(B P.0 3.1 5)。01G B/T3 7 9 8 82 0 1 96.4 P A 0 4数据质量管理6.4.1 P A描述建立组织的数据质量管理体系,保证对数据采集过程中收集/产生的数据的准确性、一致性和完整性
40、。6.4.2 等级描述6.4.2.1 等级1:非正式执行该等级的数据安全能力描述如下:组织建设:未在任何业务建立成熟稳定的数据质量管理或监控,仅根据临时需求或基于个人经验考虑数据质量管理(B P.0 4.0 1)。6.4.2.2 等级2:计划跟踪该等级的数据安全能力要求描述如下:a)组织建设:应由业务团队相关人员根据业务需求进行数据质量管理(B P.0 4.0 2)。b)制度流程:在核心业务中应将数据质量管理或监控作为必要的环节(B P.0 4.0 3)。6.4.2.3 等级3:充分定义该等级的数据安全能力要求描述如下:a)组织建设:组织应设立数据质量管理岗位和人员,负责制定统一的数据质量管理
41、要求,明确对数据质量进行管理和监控的责任部门或人员(B P.0 4.0 4)。b)制度流程:1)应明确数据质量管理相关的要求,包含数据格式要求、数据完整性要求、数据源质量评价标准等(B P.0 4.0 5);2)应明确数据采集过程中质量监控规则,明确数据质量监控范围及监控方式(B P.0 4.0 6);3)应明确组织的数据清洗、转换和加载操作相关的安全管理规范,明确执行的规则和方法、相关人员权限、完整性和一致性要求等(B P.0 4.0 7)。c)技术工具:应利用技术工具实现对关键数据进行数据质量管理和监控,实现异常数据及时告警或更正(B P.0 4.0 8)。d)人员能力:负责该项工作的人员
42、应了解数据采集阶段的数据质量控制要素,能够基于组织的业务特点开展数据质量评估工作(B P.0 4.0 9)。6.4.2.4 等级4:量化控制该等级的数据安全能力要求描述如下:制度流程:a)应明确数据质量分级标准,明确不同级别和类型的数据采集、清洗、转换等数据采集处理流程质量要求(B P.0 4.1 0);b)应定期对数据质量进行分析、预判和盘点,明确数据质量问题定位和修复时间要求(B P.0 4.1 1)。6.4.2.5 等级5:持续优化该等级的数据安全能力要求描述如下:a)组织建设:应在组织层面实现数据质量管理的可持续优化,建立数据质量管理过程的有效性和11G B/T3 7 9 8 82 0
43、 1 9效率目标,建立数据质量管理岗位人员与各业务团队的数据管理人员之间的有效沟通、反馈机制,能够持续、及时地针对数据质量管理工作进行改进(B P.0 4.1 2)。b)技术工具:1)应建立数据质量的技术指标,并通过相关管理系统评估数据质量管理的水平(B P.0 4.1 3);2)应参与国际、国家或行业相关标准制定。在业界分享最佳实践,成为行业标杆(B P.0 4.1 4)。7 数据传输安全7.1 P A 0 5数据传输加密7.1.1 P A描述根据组织内部和外部的数据传输要求,采用适当的加密保护措施,保证传输通道、传输节点和传输数据的安全,防止传输过程中的数据泄漏。7.1.2 等级描述7.1
44、.2.1 等级1:非正式执行该等级的数据安全能力描述如下:组织建设:未在任何业务中建立成熟稳定的数据传输安全和密钥管理机制,仅根据个别业务需求、合规要求,对传输通道、传输节点或数据采用了临时的加密保护措施(B P.0 5.0 1)。7.1.2.2 等级2:计划跟踪该等级的数据安全能力要求描述如下:a)组织建设:应由业务团队相关人员负责对传输通道进行加密处理(B P.0 5.0 2)。b)制度流程:应根据合规要求和业务性能的需求,核心业务明确业务中需要加密传输的数据范围和加密算法(B P.0 5.0 3)。c)技术工具:1)应有对传输通道两端进行主体身份鉴别和认证的技术方案和工具(B P.0 5
45、.0 4);2)应有对传输数据加密的技术方案和工具,包括针对关键的数据传输通道的加密方案(如采用T L S/S S L方式),及对传输数据内容进行加密(B P.0 5.0 5)。7.1.2.3 等级3:充分定义该等级的数据安全能力要求描述如下:a)组织建设:组织应设立了管理数据加密、密钥管理的人员,负责整体的加密原则和技术工作,由各业务的技术团队负责实现具体场景下的数据传输加密(B P.0 5.0 6)。b)制度流程:1)应明确数据传输安全管理规范,明确数据传输安全要求(如传输通道加密、数据内容加密、签名验签、身份鉴别、数据传输接口安全等),确定需要对数据传输加密的场景(B P.0 5.0 7
46、);2)应明确对数据传输安全策略的变更进行审核的技术方案(B P.0 5.0 8)。c)技术工具:1)应有对传输数据的完整性进行检测,并具备数据容错或恢复的技术手段(B P.0 5.0 9);2)应部署对通道安全配置、密码算法配置、密钥管理等保护措施进行审核及监控的技术工具(B P.0 5.1 0)。d)人员能力:21G B/T3 7 9 8 82 0 1 91)应了解常用的安全通道方案、身份鉴别和认证技术、主管部门推荐的数据加密算法,基于具体的业务选择合适的数据传输安全管理方式(B P.0 5.1 1);2)负责该项工作的人员应熟悉数据加密的算法,并能够基于具体的业务选择合适的加密技术(B
47、P.0 5.1 2)。7.1.2.4 等级4:量化控制该等级的数据安全能力要求描述如下:a)制度流程:应在数据分类分级定义的基础上,明确提出对不同类型、级别的数据的加密传输要求,包含对数据加密算法的要求和密钥的管理要求(B P.0 5.1 3)。b)技术工具:1)每个传输链路上的节点都应部署了独立密钥对和数字证书,以保证各节点有效的身份鉴别(B P.0 5.1 4);2)应综合量化敏感数据加密和数据传输通道加密的实现效果和成本,定期审核并调整数据加密的实现方案(B P.0 5.1 5);3)组织应提供统一的数据加密模块供开发传输功能的人员调用,根据不同数据类型和级别进行数据加密处理,保证组织内
48、数据加密功能的统一性(B P.0 5.1 6)。7.1.2.5 等级5:持续优化该等级的数据安全能力要求描述如下:技术工具:a)应跟进传输通道加密保护的技术发展,评估新技术对安全方案的影响,适当引入新技术以应对最新的安全风险(B P.0 5.1 7);b)应参与国际、国家或行业相关标准制定。在业界分享最佳实践,成为行业标杆(B P.0 5.1 8)。7.2 P A 0 6网络可用性管理7.2.1 P A描述通过网络基础设施及网络层数据防泄漏设备的备份建设,实现网络的高可用性,从而保证数据传输过程的稳定性。7.2.2 等级描述7.2.2.1 等级1:非正式执行该等级的数据安全能力描述如下:组织建
49、设:未在任何业务建立网络可用性管理,仅根据临时需求或基于个人经验对网络冗余建设进行规划(B P.0 6.0 1)。7.2.2.2 等级2:计划跟踪该等级的数据安全能力要求描述如下:a)组织建设:应有负责网络的可用性管理的人员(B P.0 6.0 2);b)制度流程:应在网络安全管理的制度中明确关键网络链路、网络(安全)设备的可用性管理要求,关键业务的网络架构应考虑网络的可用性建设需求(B P.0 6.0 3)。31G B/T3 7 9 8 82 0 1 97.2.2.3 等级3:充分定义该等级的数据安全能力要求描述如下:a)组织建设:组织应设立负责网络可用性管理的人员或团队(B P.0 6.0
50、 4)。b)制度流程:应制定组织的网络可用性管理指标,包括可用性的概率数值、故障时间/频率/统计业务单元等;基于可用性管理指标,建立网络服务配置方案和宕机替代方案等(B P.0 6.0 5)。c)技术工具:1)应对关键的网络传输链路、网络设备节点实行冗余建设(B P.0 6.0 6);2)应部署相关设备对网络可用性及数据泄漏风险进行防范,如负载均衡、防入侵攻击、数据防泄漏检测与防护等设备(B P.0 6.0 7)。d)人员能力:负责该项工作的人员应具有网络安全管理的能力,了解网络安全中对可用性的安全需求,能够根据不同业务对网络性能需求制定有效的可用性安全防护方案(B P.0 6.0 8)。7.