山西省政務(wù)數(shù)據(jù)安全管理辦法

山西省人民政府辦公廳關(guān)于印發(fā)山西省政務(wù)數(shù)據(jù)安全管理辦法的通知?山西省政務(wù)數(shù)據(jù)安全管理辦法?已經(jīng)省人民政府同意,現(xiàn)印發(fā)給你們,請認(rèn)真貫徹執(zhí)行.山西省人民政府辦公廳(此件公開發(fā)布)山西省政務(wù)數(shù)據(jù)安全管理辦法第一章總則第一條為加強全省政務(wù)數(shù)據(jù)安全管理,規(guī)范政務(wù)數(shù)據(jù)處理活動,維護(hù)國家安全、社會秩序和公共利益,根據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國數(shù)據(jù)安全法》《中華人民共和國個人信息保護(hù)法》等法律法規(guī),結(jié)合我省實際,制定本辦法.第二條本辦法所稱政務(wù)數(shù)據(jù),是指各級人民政府、縣級以上人民政府所屬部門、列入黨群工作機構(gòu)序列但依法承擔(dān)行政職能的部門以及法律、法規(guī)授權(quán)的具有公共管理和服務(wù)職能的組織(以下簡稱政務(wù)部門)在依法履職過程中收集和產(chǎn)生的各類數(shù)據(jù).所稱政務(wù)數(shù)據(jù)安全,是指通過采取必要措施,確保政務(wù)數(shù)據(jù)處于有效保護(hù)和合法使用的狀態(tài),具備保障政務(wù)數(shù)據(jù)的完整性、保密性、可用性的能力.第三條本省行政區(qū)域內(nèi)對政務(wù)數(shù)據(jù)進(jìn)行收集、存儲、使用、和監(jiān)督管理的工作,適用本辦法.涉及國家秘密、商業(yè)秘密、個人信息的政務(wù)數(shù)據(jù)處理活動,按照有關(guān)法律、法規(guī)規(guī)定執(zhí)行.御、綜合防范的方針,堅持保障政務(wù)數(shù)據(jù)安全與促進(jìn)信息化發(fā)展相協(xié)調(diào)、管理與技術(shù)統(tǒng)籌兼顧的原則.第五條縣級以上網(wǎng)信部門統(tǒng)籌協(xié)調(diào)本行政區(qū)域內(nèi)政務(wù)網(wǎng)絡(luò)數(shù)據(jù)安全和相關(guān)監(jiān)管工作.縣級以上人民政府公安機關(guān)在職責(zé)范圍內(nèi)負(fù)責(zé)本行政區(qū)域內(nèi).縣級以上人民政府確定的政務(wù)信息管理部門負(fù)責(zé)組織協(xié)調(diào)有關(guān)單位開展政務(wù)數(shù)據(jù)安全保障工作.好政務(wù)數(shù)據(jù)安全管理相關(guān)工作.第六條各地區(qū)、各部門對本地區(qū)、本部門工作中收集和產(chǎn)生的數(shù)據(jù)及數(shù)據(jù)安全負(fù)責(zé).政務(wù)信息系統(tǒng)的建設(shè)模式、部署方式、運維形式發(fā)生調(diào)整變化后,政務(wù)部門的數(shù)據(jù)安全主體責(zé)任不變,管理標(biāo)準(zhǔn)不變.第二章安全制度供、誰負(fù)責(zé),誰流轉(zhuǎn)、誰負(fù)責(zé),誰使用、誰負(fù)責(zé)”的原則.政務(wù)部門應(yīng)當(dāng)將安全管理貫穿于數(shù)據(jù)處理活動中.第八條政務(wù)部門應(yīng)當(dāng)明確本部門負(fù)責(zé)政務(wù)數(shù)據(jù)安全管理的機構(gòu),建立健全政務(wù)數(shù)據(jù)安全管理制度,落實安全保護(hù)責(zé)任,定期開展數(shù)據(jù)安全意識教育和專項技能培訓(xùn).第九條政務(wù)信息管理部門應(yīng)當(dāng)指導(dǎo)督促本級政務(wù)部門對政務(wù)數(shù)據(jù)進(jìn)行分類分級管理.政務(wù)部門按照政務(wù)數(shù)據(jù)分類分級規(guī)則和標(biāo)準(zhǔn)確定數(shù)據(jù)類別和安全保護(hù)級別,對重要數(shù)據(jù)進(jìn)行重點保護(hù),對核心數(shù)據(jù)在重要數(shù)據(jù)保護(hù)基礎(chǔ)上實施更嚴(yán)格的管理和保護(hù),在政務(wù)數(shù)據(jù)全生命周期采取差異化管理措施.第十條政務(wù)部門應(yīng)當(dāng)和參與本部門數(shù)據(jù)處理活動的人員簽訂安全保密協(xié)議,必要時對其進(jìn)行安全背景審查.第十一條政務(wù)部門委托政務(wù)信息系統(tǒng)建設(shè)、運維運營等單位開展政務(wù)數(shù)據(jù)處理活動,應(yīng)當(dāng)與其簽訂合同和保密協(xié)議等,明確數(shù)據(jù)安全保護(hù)義務(wù),并監(jiān)督其履行到位.受托方處理政務(wù)數(shù)據(jù)后,政務(wù)部門的數(shù)據(jù)安全主體責(zé)任不變.受托方應(yīng)當(dāng)依照法律、法規(guī)規(guī)定及合同約定履行政務(wù)數(shù)據(jù)安全保護(hù)義務(wù),承擔(dān)基礎(chǔ)運行環(huán)境及技術(shù)保障服務(wù)安全管理責(zé)任,保第十二條涉及政務(wù)數(shù)據(jù)出境的,應(yīng)當(dāng)遵守《數(shù)據(jù)出境安全評估辦法》等有關(guān)法律法規(guī)規(guī)定.第三章安全管理第十三條開展政務(wù)數(shù)據(jù)收集活動時,應(yīng)當(dāng)遵循“一數(shù)一源”正當(dāng)性和必要性,對數(shù)據(jù)收集的環(huán)境、設(shè)施和技術(shù)采取必要的安全管理措施.政務(wù)部門可以通過共享方式獲取的政務(wù)數(shù)據(jù)資源,不再重復(fù)收集.第十四條開展政務(wù)數(shù)據(jù)存儲活動時,應(yīng)當(dāng)選擇與政務(wù)數(shù)據(jù)分級保護(hù)要求相匹配的存儲載體,依照相關(guān)規(guī)定對數(shù)據(jù)進(jìn)行加密存儲,對移動存儲介質(zhì)進(jìn)行嚴(yán)格管理.有容災(zāi)備份要求的,應(yīng)當(dāng)按照有關(guān)規(guī)定建立數(shù)據(jù)容災(zāi)備份機制.第十五條在法定職責(zé)范圍內(nèi)開展政務(wù)數(shù)據(jù)使用活動時,應(yīng)當(dāng)依照法律、法規(guī)等有關(guān)規(guī)定采取管控措施,確保數(shù)據(jù)使用過程合過政務(wù)數(shù)據(jù)共享交換平臺進(jìn)行.第十六條開展政務(wù)數(shù)據(jù)加工活動時,應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則,采取必要的安全管理和技術(shù)措施,防止數(shù)據(jù)泄露,確保衍生數(shù)據(jù)不超過原始數(shù)據(jù)的授權(quán)范圍和安全使用要求.第十七條開展政務(wù)數(shù)據(jù)傳輸活動時,應(yīng)當(dāng)根據(jù)傳輸?shù)恼?wù)數(shù)據(jù)安全級別和應(yīng)用場景,制定數(shù)據(jù)傳輸安全策略,采用安全可信通道或數(shù)據(jù)加密等安全管理措施,確保政務(wù)數(shù)據(jù)傳輸過程安全可第十八條開展政務(wù)數(shù)據(jù)提供活動時,應(yīng)當(dāng)按照分類分級要求,對政務(wù)數(shù)據(jù)進(jìn)行內(nèi)部審查,明確數(shù)據(jù)提供方式、使用范圍、應(yīng)用場景以及安全保護(hù)措施、責(zé)任義務(wù)等,必要時可與使用單位簽訂數(shù)據(jù)安全協(xié)議.第十九條政務(wù)部門應(yīng)當(dāng)遵循公正、公平、便民的原則,在確保國家安全、商業(yè)秘密和個人合法權(quán)益不受損害的前提下,編制可格式轉(zhuǎn)換等處理.依法不予公開的除外.開展政務(wù)數(shù)據(jù)公開活動時,應(yīng)當(dāng)按照有關(guān)規(guī)定進(jìn)行安全風(fēng)險措施、可能的風(fēng)險與影響范圍以及更新頻率等,并進(jìn)行動態(tài)調(diào)整.第二十條開展政務(wù)數(shù)據(jù)銷毀活動時,應(yīng)當(dāng)建立政務(wù)數(shù)據(jù)銷毀制度,嚴(yán)格履行審批程序,采取必要措施予以銷毀.第二十一條利用互聯(lián)網(wǎng)等信息網(wǎng)絡(luò)開展政務(wù)數(shù)據(jù)處理活動的,應(yīng)當(dāng)在網(wǎng)絡(luò)安全等級保護(hù)制度的基礎(chǔ)上,履行上述數(shù)據(jù)安全保護(hù)措施,統(tǒng)籌協(xié)調(diào)網(wǎng)絡(luò)與數(shù)據(jù)安全保護(hù)工作.備案級別在第三級以上的網(wǎng)絡(luò)系統(tǒng)要定期開展等級測評,并向?qū)俚毓矙C關(guān)報送等級測評報告.第四章安全保障第二十二條重要數(shù)據(jù)的處理者應(yīng)當(dāng)按照規(guī)定對其數(shù)據(jù)處理活動定期開展風(fēng)險評估,并向有關(guān)主管部門報送風(fēng)險評估報告.第二十三條政務(wù)部門和政務(wù)信息系統(tǒng)建設(shè)、運維運營等單位應(yīng)當(dāng)加強政務(wù)數(shù)據(jù)安全風(fēng)險監(jiān)測,發(fā)現(xiàn)政務(wù)數(shù)據(jù)安全缺陷、漏洞等風(fēng)險時,應(yīng)當(dāng)立即采取補救措施.第二十四條政務(wù)部門及政務(wù)信息系統(tǒng)建設(shè)、運維運營等單位應(yīng)當(dāng)制定政務(wù)數(shù)據(jù)安全事件應(yīng)急預(yù)案,組織協(xié)調(diào)重要數(shù)據(jù)和核心數(shù)據(jù)安全事件應(yīng)急處置工作,定期開展應(yīng)急演練.發(fā)生政務(wù)數(shù)據(jù)安全事件時,應(yīng)當(dāng)立即依法啟動應(yīng)急預(yù)案,采取應(yīng)急處置措施,按照規(guī)定及時告知用戶并向網(wǎng)信、公安、政務(wù)信息管理等有關(guān)部門報告.第二十五條政務(wù)部門及政務(wù)信息系統(tǒng)建設(shè)、運維運營等單位從事政務(wù)數(shù)據(jù)處理活動時,應(yīng)當(dāng)建立日志記錄規(guī)范,并對異常操作行為進(jìn)行監(jiān)控和告警,保障重要操作行為可追蹤溯源.日志留存時間不少于6個月,并定期進(jìn)行安全審計,形成審計報告.政務(wù)部門及政務(wù)信息系統(tǒng)建設(shè)、運維運營等單位應(yīng)當(dāng)配合有關(guān)主管部門組織的數(shù)據(jù)安全審計活動.第五章安全責(zé)任第二十六條政務(wù)信息管理部門應(yīng)當(dāng)建立政務(wù)數(shù)據(jù)監(jiān)督檢查制度,確定政務(wù)數(shù)據(jù)安全監(jiān)督檢查的對象、內(nèi)容和流程等,并建立信息通報機制.第二十七條政務(wù)部門在履行本部門、本行業(yè)政務(wù)數(shù)據(jù)安全監(jiān)管職責(zé)中,發(fā)現(xiàn)數(shù)據(jù)處理活動存在較大安全風(fēng)險的,可以按照規(guī)定的權(quán)限和程序?qū)τ嘘P(guān)組織、個人進(jìn)行約談,并要求有關(guān)組織、個人采取措施進(jìn)行整改,消除隱患.第二十八條政務(wù)部門不履行本辦法規(guī)定的政務(wù)數(shù)據(jù)安全保護(hù)義務(wù)的,由有關(guān)主管部門責(zé)令限期改正;造成政務(wù)數(shù)據(jù)安全隱患或?qū)е掳踩录l(fā)生的,對責(zé)任單位進(jìn)行書面通報,并對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員依法給予處分;構(gòu)成犯罪的,依法追究刑事責(zé)任。第二十九條履行政務(wù)數(shù)據(jù)安全監(jiān)管職責(zé)的工作人員濫用職權(quán)、玩忽職守、徇私舞弊的,由有關(guān)主管部門根據(jù)情節(jié)輕重依法給