GB-T 41574-2022 信息技術(shù) 安全技術(shù) 公有云中個(gè)人信息保護(hù)實(shí)踐指南

信息技術(shù)安全技術(shù)公有云中個(gè)人信息保護(hù)實(shí)踐指南Informationtechnology—Securitytechniques—Codeofpprotectionofpersonalinformationinpublicclo(ISO/IEC27018:2019,Informationtechnology—SecurCodeofpracticeforprotectionofp國家市場監(jiān)督管理總局國家市場監(jiān)督管理總局國家標(biāo)準(zhǔn)化管理委員會(huì)I前言 V引言 12規(guī)范性引用文件 13術(shù)語和定義 14概述 24.1本文件的結(jié)構(gòu) 24.2控制類別 35信息安全策略 35.1信息安全管理指導(dǎo) 35.1.1信息安全策略 35.1.2信息安全策略的評(píng)審 46信息安全組織 46.1內(nèi)部組織 46.1.1信息安全的角色和責(zé)任 46.1.2職責(zé)分離 46.1.3與職能機(jī)構(gòu)的聯(lián)系 46.1.4與特定相關(guān)方的聯(lián)系 46.1.5項(xiàng)目管理中的信息安全 46.2移動(dòng)設(shè)備和遠(yuǎn)程工作 47人力資源安全 47.1任用前 47.2任用中 57.2.1管理責(zé)任 57.2.2信息安全意識(shí)、教育和培訓(xùn) 57.2.3違規(guī)處理過程 57.3任用的終止和變更 58資產(chǎn)管理 59訪問控制 59.1訪問控制的業(yè)務(wù)要求 59.2用戶訪問管理 59.2.1用戶注冊(cè)和注銷 69.2.2用戶訪問供給 69.2.3特許訪問權(quán)管理 69.2.4用戶的秘密鑒別信息管理 69.2.5用戶訪問權(quán)的評(píng)審 6Ⅱ9.2.6訪問權(quán)的移除或調(diào)整 69.3用戶責(zé)任 69.3.1秘密鑒別信息的使用 69.4系統(tǒng)和應(yīng)用訪問控制 69.4.1信息訪問限制 69.4.2安全登錄規(guī)程 69.4.3口令管理系統(tǒng) 69.4.4特權(quán)實(shí)用程序的使用 79.4.5程序源代碼的訪問控制 7 710.1密碼控制 710.1.1密碼控制的使用策略 7 711物理和環(huán)境安全 711.1安全區(qū)域 7 711.2.1設(shè)備安置和保護(hù) 711.2.2支持性設(shè)施 7 711.2.4設(shè)備維護(hù) 811.2.5資產(chǎn)的移動(dòng) 811.2.6組織場所外的設(shè)備與資產(chǎn)安全 811.2.7設(shè)備的安全處置或再利用 811.2.8無人值守的用戶設(shè)備 811.2.9清理桌面和屏幕策略 812運(yùn)行安全 812.1運(yùn)行規(guī)程和責(zé)任 812.1.1文件化的操作規(guī)程 812.1.2變更管理 8 812.1.4開發(fā)、測試和運(yùn)行環(huán)境的分離 812.2惡意軟件防范 9 912.3.1信息備份 912.4日志和監(jiān)視 912.4.1事態(tài)日志 912.4.2日志信息的保護(hù) 912.4.3管理員和操作員日志 12.4.4時(shí)鐘同步 12.5運(yùn)行軟件控制 12.6技術(shù)方面的脆弱性管理 12.7信息系統(tǒng)審計(jì)的考慮 ⅢGB/T41574—202213通信安全 13.1網(wǎng)絡(luò)安全管理 13.2信息傳輸 13.2.1信息傳輸策略和規(guī)程 13.2.2信息傳輸協(xié)議 13.2.3電子消息發(fā)送 13.2.4保密或不披露協(xié)議 15供應(yīng)商關(guān)系 16信息安全事件管理 16.1信息安全事件的管理和改進(jìn) 16.1.1責(zé)任和規(guī)程 16.1.2報(bào)告信息安全事態(tài) 16.1.3報(bào)告信息安全弱點(diǎn) 16.1.4信息安全事態(tài)的評(píng)估和決策 16.1.5信息安全事件的響應(yīng) 16.1.6從信息安全事件中學(xué)習(xí) 16.1.7證據(jù)的收集 17業(yè)務(wù)連續(xù)性管理的信息安全方面 18符合性 18.1符合法律和合同要求 18.2信息安全評(píng)審 18.2.1信息安全獨(dú)立評(píng)審 18.2.2符合安全策略和標(biāo)準(zhǔn) 18.2.3技術(shù)符合性評(píng)審 附錄A(資料性)本文件與ISO/IEC27018:2019結(jié)構(gòu)編號(hào)對(duì)照情況 附錄B(規(guī)范性)公有云個(gè)人信息處理者保護(hù)個(gè)人信息的擴(kuò)展控制措施集 附錄C(資料性)云服務(wù)提供者、云服務(wù)客戶和云服務(wù)用戶的關(guān)系 參考文獻(xiàn) V本文件修改采用ISO/IEC27018:2019《信息技術(shù)安全技術(shù)個(gè)人可識(shí)別信息(PII)處理者在公本文件與ISO/IEC27018:2019相比，在結(jié)構(gòu)上有較多調(diào)整。兩個(gè)文件之間的結(jié)構(gòu)編號(hào)變化對(duì)照術(shù)語和定義保持一致(見3.1,ISO/IEC27018:2019的3.2); 和定義保持一致(見3.2,ISO/IEC27018:2019的3.3);——將表題中的ISO/IEC27002更改為GB/T2208——增加處理者向境外提供個(gè)人信息的建議，以適應(yīng)我國的技術(shù)條件，便于本文件的應(yīng)用(見安全技術(shù)公有云中個(gè)人信息保護(hù)實(shí)——更改附錄B中新增控制措施的分類原則，與我國的個(gè)人信息保護(hù)原則保持一致(見B.1,27018:2019的10.1.1注；27018:2019的12.3.1注1和注2;請(qǐng)注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)近年，越來越多的云服務(wù)客戶使用云服務(wù)提供者的服務(wù)，委托其進(jìn)行個(gè)人信息處理。GB/T35273—2020中規(guī)定了對(duì)接受委托處理一方(GB/T35273—2020中9.1稱為“受委托者”,本文公有云服務(wù)提供者通常需要依據(jù)與云服務(wù)客戶簽訂的合同，規(guī)相關(guān)要求的前提下開展服務(wù)。對(duì)于個(gè)人信息保護(hù)的這些要求，云服務(wù)提供者與云服務(wù)客戶是依據(jù)法當(dāng)公有云服務(wù)提供者按照云服務(wù)客戶的要求處理個(gè)人信息時(shí)，公有云服務(wù)提供者充當(dāng)“個(gè)人信息者要求的個(gè)人信息處理操作和為實(shí)現(xiàn)個(gè)人信息控制者目標(biāo)而進(jìn)行的必要操作。同時(shí)，云服務(wù)客戶也可授權(quán)一個(gè)或多個(gè)云服務(wù)用戶使用其服務(wù)，但這些服務(wù)僅限于云服務(wù)客戶與公有云本文件旨在創(chuàng)建一組通用的控制類別和控制措施，與GB/T22081中的信息安全控制目標(biāo)和控制——幫助公有云個(gè)人信息處理者履行相應(yīng)義務(wù)，這些義務(wù)包括法律法規(guī)規(guī)定的直接義務(wù)及合同約——使公有云個(gè)人信息處理者在相關(guān)事務(wù)上保持透明，便于云服務(wù)客戶選擇管理良好的基于云的個(gè)人信息處理服務(wù)——協(xié)助云服務(wù)客戶和公有云個(gè)人信息處理者——在單個(gè)云服務(wù)客戶無法對(duì)托管在多方或虛擬化服務(wù)器(云)中的數(shù)據(jù)進(jìn)行審計(jì)，或者此類審計(jì)可能增加現(xiàn)有物理和邏輯網(wǎng)絡(luò)安全控制風(fēng)險(xiǎn)的情況下，為云服務(wù)客戶行使審計(jì)權(quán)力和承擔(dān)符在基于GB/T22080實(shí)施云計(jì)算信息安全管理體系的過程中，公有云個(gè)人信息處理者可參考本文件選擇個(gè)人信息保護(hù)控制措施。本文件也可作為公有云個(gè)人信息處理者實(shí)施通用的個(gè)人信息保護(hù)控制WV與公有云個(gè)人信息處理者之間的合同要求，本文件增強(qiáng)了GB/T22081中的控制措施。本文件通過以下2種方式增強(qiáng)了GB/T22081: 組織確定其對(duì)個(gè)人信息的保護(hù)要求。這些要求有以下3個(gè)主要來源。合同可能強(qiáng)制要求個(gè)人信息處理者選擇特定的控制措施，也可能要求其制定具體的準(zhǔn)則來實(shí)c)組織政策：盡管組織政策涵蓋了來自法律和社會(huì)文化的諸多義務(wù)，但組織仍可自愿選擇超出a)的要求。組織可能從本文件中選擇控制措施(包括引用的GB/T22081中的控制措施，以及面向具體應(yīng)用創(chuàng)織與其有合同關(guān)系的客戶、供應(yīng)商的一般風(fēng)險(xiǎn)管理方法作出的?？刂拼胧┑倪x擇還受國內(nèi)外法律法規(guī)此外，控制措施的選擇和實(shí)現(xiàn)還取決于組織在整個(gè)云計(jì)算參考架構(gòu)中的實(shí)際角色(見些情況下，所選控制措施對(duì)于云計(jì)算參考架構(gòu)中的特定服務(wù)類別來說可能是唯一的。而在其他情況下，實(shí)現(xiàn)安全控制措施可能共享角色。合同協(xié)議需要規(guī)定提供或使用云服務(wù)的所有組織承擔(dān)的個(gè)人信本文件中的控制措施可視為一種指導(dǎo)原則，適用于大多數(shù)組織。下文將給出這些控制措施的詳細(xì)說明和實(shí)現(xiàn)指南。若公有云個(gè)人信息處理者在設(shè)計(jì)信息系統(tǒng)、服務(wù)和操作的過程中預(yù)先考慮了保護(hù)個(gè)人信息的要求，那么這些控制措施的實(shí)現(xiàn)將會(huì)更加簡單。這是“隱私設(shè)計(jì)”(參見參考文獻(xiàn)[9])的一本文件可看作開發(fā)個(gè)人信息保護(hù)指南的起點(diǎn)。對(duì)于保護(hù)個(gè)人信息而言，本文件中的控制措施和實(shí)現(xiàn)指南可能并非都是適用的，并且可能還需要本文件未包含的額外控制措施和實(shí)現(xiàn)指南。在開發(fā)包含X額外控制措施或指南的文件時(shí)，交叉引用本文件中的適用條款可有助于審計(jì)人1信息技術(shù)安全技術(shù)公有云中個(gè)人信息保護(hù)實(shí)踐指南本文件給出了在公有云中實(shí)施個(gè)人信息保護(hù)的控制目標(biāo)和控制措施，在GB/T22081基礎(chǔ)上給出本文件也可能適用于作為個(gè)人信息控制者的組織。但是，個(gè)人信息控制者可能還受額外的個(gè)人信息保護(hù)法律法規(guī)和義務(wù)的約束，而這些法律法規(guī)和義務(wù)不適用于個(gè)人信息處理者。本文件不涵蓋此類下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文GB/T22081—2016信息技術(shù)安全技術(shù)信息安全控制實(shí)踐指南(ISO/IEC27002:2013,IDT)GB/T29246信息技術(shù)安全技術(shù)信息安全管理體系概述和詞匯(GB/T29246—2017,GB/T35273—2020信息安全技術(shù)個(gè)人信息安全規(guī)范以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識(shí)別特定自然人身份或者反映特定自然2個(gè)人信息處理者personalinformationprocessor措施適用于本文件時(shí)，本文件僅給出對(duì)GB/T22081相應(yīng)條款的引用。附錄B給出了適用于公有云個(gè)人信息處理者保護(hù)個(gè)人信息的額外控制措施和相關(guān)實(shí)現(xiàn)指南?！肮性苽€(gè)人信息保護(hù)實(shí)現(xiàn)指南”標(biāo)題下給出了適用于公有云服務(wù)提供者保護(hù)個(gè)人信息的額外指如表1所示，面向特定應(yīng)用的指南和其他信息包含在GB/T22081定義的控制類別中。本文件的本文件應(yīng)與GB/T22080結(jié)合使用，并將附錄B給出的額外控制措施作為實(shí)施基于GB/T220805提供了特定應(yīng)用的實(shí)現(xiàn)指南和其他信息67提供了特定應(yīng)用的實(shí)現(xiàn)指南和其他信息38資產(chǎn)管理沒有提供額外的特定應(yīng)用實(shí)現(xiàn)指南或其他信息9訪問控制提供了特定應(yīng)用的實(shí)現(xiàn)指南，同時(shí)交叉引用了提供了特定應(yīng)用的實(shí)現(xiàn)指南，同時(shí)交叉引用了提供了特定應(yīng)用的實(shí)現(xiàn)指南，同時(shí)交叉引用了系統(tǒng)獲取、開發(fā)和維護(hù)沒有提供額外的特定應(yīng)用實(shí)現(xiàn)指南或其他信息供應(yīng)商關(guān)系沒有提供額外的特定應(yīng)用實(shí)現(xiàn)指南或其他信息沒有提供額外的特定應(yīng)用實(shí)現(xiàn)指南或其他信息提供了特定應(yīng)用的實(shí)現(xiàn)指南，同時(shí)交叉引用了為支持該控制措施的實(shí)現(xiàn)并滿足控制目標(biāo)，提供更詳細(xì)的信息。該指GB/T22081—2016中5.1規(guī)定的目標(biāo)適用。GB/T22081-2016中5.1.1規(guī)定的控制措施、實(shí)現(xiàn)指南和其他信息適用。以下特定應(yīng)用指南也宜通過發(fā)表聲明增強(qiáng)信息安全策略。該聲明應(yīng)承諾遵守適用的個(gè)4分包商接受個(gè)人信息處理者的再次委托處理個(gè)人信息時(shí)，個(gè)人信息處制者的授權(quán)(見GB/T35273—2020中9.1)。云服務(wù)客戶和公有云個(gè)人信息處理者之間的合同提供了一種確保公有云個(gè)人信息處理者支持和管理符合性的機(jī)制。通過實(shí)施本文件和GB/T22081中的相關(guān)控制措施，公有云個(gè)人信息處理者可能在GB/T22081—2016中6.1.1規(guī)定的控制措施、實(shí)現(xiàn)指南和其他信息適用。以下特定應(yīng)用指南也GB/T22081—2016中6.2規(guī)定的目標(biāo)和內(nèi)容適用。GB/T22081—2016中7.1規(guī)定的目標(biāo)和內(nèi)容適用。5GB/T22081-2016中7.2規(guī)定的目標(biāo)適用。GB/T22081-2016中7.2.2規(guī)定的控制措施、實(shí)現(xiàn)指南和其他信息適用。以下特定應(yīng)用指南也公有云個(gè)人信息處理者和云服務(wù)客戶依據(jù)本文件簽訂合同，宜有助于為違反安全規(guī)則的制裁奠定GB/T22081—2016中7.3規(guī)定的目標(biāo)和內(nèi)容適用。GB/T22081—2016中第8章規(guī)定的目標(biāo)和內(nèi)容適用。GB/T22081—2016中9.1規(guī)定的目標(biāo)和內(nèi)容適用。GB/T22081-2016中9.2規(guī)定的目標(biāo)適用。以下特定應(yīng)用指南也適用于本條中所有控制措施的對(duì)于云計(jì)算參考架構(gòu)中定義的不同服務(wù)類別，云服務(wù)客戶可能對(duì)其控制的云服務(wù)用戶具有不同的訪問管理權(quán)限。在適當(dāng)?shù)那闆r下，公有云個(gè)人信息處理者宜使云服務(wù)客戶能夠管理其控制的云服務(wù)用6GB/T22081—2016中9.2.1規(guī)定的控制措施、實(shí)現(xiàn)指南和其他信息適用。以下特定應(yīng)用指南也GB/T22081-2016中9.3規(guī)定的目標(biāo)適用。GB/T22081—2016中9.4規(guī)定的目標(biāo)適用。GB/T22081—2016中9.4.1規(guī)定的控制措施GB/T22081—2016中9.4.2規(guī)定的控制措施、實(shí)現(xiàn)指南和其他信息適用。以下特定應(yīng)用指南也需要時(shí)，公有云個(gè)人信息處理者宜向云服務(wù)客戶控制下的云服務(wù)用戶請(qǐng)求的任何賬戶提供安全登7GB/T22081—2016中10.1規(guī)定的目標(biāo)適用。GB/T22081-2016中10.1.1規(guī)定的控制措施、實(shí)現(xiàn)指南和其他信息適用。以下特定應(yīng)用指南也公有云個(gè)人信息處理者宜將其使用密碼保護(hù)所處理個(gè)人信息云個(gè)人信息處理者還宜向云服務(wù)客戶提供功能信息，這些功能可能GB/T22081—2016中11.1規(guī)定的目標(biāo)和內(nèi)容適用。GB/T22081—2016中11.2規(guī)定的目標(biāo)適用。GB/T22081—2016中11.2.1規(guī)定的控制措施和實(shí)現(xiàn)指南適用。GB/T22081—2016中11.2.3規(guī)定的控制措施和實(shí)現(xiàn)指南適用。8GB/T22081—2016中11.2.4規(guī)定的控制措施和實(shí)現(xiàn)指南適用。GB/T22081—2016中11.2.7規(guī)定的控制措施、實(shí)現(xiàn)指南和其他信息適用。以下特定應(yīng)用指南也GB/T22081—2016中12.1規(guī)定的目標(biāo)適用。GB/T22081—2016中12.1.4規(guī)定的控制措施、實(shí)現(xiàn)指南和其他信息適用。以下特定應(yīng)用指南也出于測試目的使用個(gè)人信息時(shí)，宜進(jìn)行風(fēng)險(xiǎn)評(píng)估，且宜實(shí)施技術(shù)措施和組織措施降低已識(shí)別的9GB/T22081—2016中12.2規(guī)定的目標(biāo)和內(nèi)容適用。GB/T22081-2016中12.3規(guī)定的目標(biāo)適用。GB/T22081—2016中12.3.1規(guī)定的控制措施、實(shí)現(xiàn)指南和其他信息適用。以下特定應(yīng)用指南也處理操作的連續(xù)性以及提供在發(fā)生破壞性事態(tài)后恢復(fù)數(shù)據(jù)處理操作的能力。為了備份和(或)恢復(fù)，宜在不同的物理和(或)邏輯位置上(可以在自身信息處理系統(tǒng)內(nèi))創(chuàng)建或維護(hù)多個(gè)數(shù)據(jù)副本。云服務(wù)客戶可能承擔(dān)備份和(或)恢復(fù)責(zé)任，但當(dāng)公有云個(gè)人信息處理者明確向云服務(wù)客戶提供備本文件中適用于分包處理個(gè)人信息的控制措施涵蓋了使用分包商存儲(chǔ)所副本的情況。本文件中的控制措施也涵蓋了使用物理介質(zhì)傳輸個(gè)人公有云個(gè)人信息處理者宜制定策略，以滿足信息備份及擦除備份信息中包含的個(gè)人信息的其他要GB/T22081—2016中12.4規(guī)定的目標(biāo)適用。GB/T22081—2016中12.4.1規(guī)定的控制措施、實(shí)現(xiàn)指南和其他信息適用。以下特定應(yīng)用指南也更正。若多個(gè)云服務(wù)提供者提供云計(jì)算參考架構(gòu)中定義的不同類別的服務(wù)，則在實(shí)現(xiàn)本文件時(shí)可能會(huì)公有云個(gè)人信息處理者宜制定關(guān)于是否、何時(shí)，以及如何向云服務(wù)客戶提供日志信息的規(guī)則。同若允許云服務(wù)客戶訪問由公有云個(gè)人信息處理者控制的日志記錄，則公有云個(gè)人信息處理者宜確因安全監(jiān)控和運(yùn)行診斷等目的而記錄的日志信息可能包含個(gè)人信息。宜采取諸如控制訪問(見GB/T22081—2016中12.5規(guī)定的目標(biāo)和內(nèi)容適用。GB/T22081—2016中12.6規(guī)定的目標(biāo)和內(nèi)容適用。GB/T22081—2016中12.7規(guī)定的目標(biāo)和內(nèi)容適用。GB/T22081—2016中13.1規(guī)定的目標(biāo)和內(nèi)容適用。GB/T22081-2016中13.2規(guī)定的目標(biāo)適用。使用物理介質(zhì)傳輸信息時(shí)，宜建立一個(gè)系統(tǒng)記錄傳入傳出物理介質(zhì)的相GB/T22081—2016中第14章規(guī)定的目標(biāo)和內(nèi)容適用。GB/T22081—2016中第15章規(guī)定的目標(biāo)和內(nèi)容適用。云計(jì)算參考架構(gòu)下，信息安全事件的管理和改進(jìn)活動(dòng)中可能存GB/T22081—2016中16.1.1規(guī)定的控制措施、實(shí)現(xiàn)指南和其他信息適用。以下特定應(yīng)用指南也GB/T22081—2016中16.GB/T22081—2016中16.GB/T22081—2016中16.GB/T22081—2016中16.GB/T22081—2016中第17章規(guī)定的目標(biāo)和內(nèi)容適用。GB/T22081—2016中18.1規(guī)定的目標(biāo)和內(nèi)容適用。注：符合法律和合同要求的額外控制措施和相關(guān)指南見B,2。GB/T22081—2016中18.2規(guī)定的目標(biāo)適用。若單個(gè)云服務(wù)客戶的審計(jì)不切實(shí)際或可能增加安全風(fēng)險(xiǎn)(見0.1),則公有訂合同前和合同期內(nèi)向潛在的云服務(wù)客戶提供獨(dú)立證據(jù)，證明信息安全符合公有云個(gè)人信息處理者的策略和規(guī)程。通常情況下，公有云個(gè)人信息處理者選擇的獨(dú)立審計(jì)是一種可接受的方式。在保證足夠(資料性)本文件與ISO/IEC27018:2019結(jié)構(gòu)編號(hào)對(duì)照情況表A.1給出了本文件與ISO/IEC27018:2019結(jié)構(gòu)編號(hào)對(duì)照一覽表。表A.1本文件與ISO/IEC27018:2019結(jié)構(gòu)編號(hào)對(duì)照情況ISO/IEC27018:2019結(jié)構(gòu)編號(hào)112233445566778899附錄B表A.1本文件與ISO/IEC27018:2019結(jié)ISO/IEC27018:2019結(jié)構(gòu)編號(hào) 附錄C (規(guī)范性)公有云個(gè)人信息處理者保護(hù)個(gè)人信息的擴(kuò)展控制措施集B.1總則本附錄給出了新的控制措施和實(shí)現(xiàn)指南并構(gòu)成擴(kuò)展控制措施集，與文件正文中的增強(qiáng)控制措施和指南結(jié)合使用，以滿足個(gè)人信息處理者保護(hù)個(gè)人信息的要求。這些新的控制措施按照GB/T35273—2020中的個(gè)人信息保護(hù)原則進(jìn)行分類。在多數(shù)情況下，控制措施可能歸入多個(gè)原則，但應(yīng)將這些控制措施歸人其中最相關(guān)的原則。B.2權(quán)責(zé)一致B.2.1包含個(gè)人信息的數(shù)據(jù)失陷告知控制措施若未經(jīng)授權(quán)訪問個(gè)人信息或處理個(gè)人信息的設(shè)備設(shè)施導(dǎo)致個(gè)人信息丟失、泄露或變更，則公有云個(gè)人信息處理者宜立即告知相關(guān)云服務(wù)客戶。公有云個(gè)人信息保護(hù)實(shí)現(xiàn)指南公有云個(gè)人信息處理者與云服務(wù)客戶之間的合同宜包含涉及個(gè)人信息的數(shù)據(jù)失陷告知條款。合同宜規(guī)定公有云個(gè)人信息處理者應(yīng)如何向云服務(wù)客戶提供必要的信息，以便云服務(wù)客戶履行向監(jiān)管機(jī)構(gòu)告知的義務(wù)。此告知義務(wù)不適用于因云服務(wù)客戶、個(gè)人信息主體或其負(fù)責(zé)的系統(tǒng)組件引起的數(shù)據(jù)失陷。合同還宜規(guī)定涉及個(gè)人信息的數(shù)據(jù)失陷告知的最遲時(shí)間。若發(fā)生涉及個(gè)人信息的數(shù)據(jù)失陷事件，則宜記錄事件描述、發(fā)生時(shí)間、事件后果、報(bào)告者姓名、向誰報(bào)告了事件，處理事件所采取的步驟(包括負(fù)責(zé)人和恢復(fù)的數(shù)據(jù))以及事件造成的損失、泄露或變更個(gè)人信息的事實(shí)。若發(fā)生涉及個(gè)人信息的數(shù)據(jù)失陷事件，則還宜記錄違規(guī)數(shù)據(jù)的描述(若已知);若已通知個(gè)人信息控制者，則宜將采取的步驟告知云服務(wù)客戶和(或)監(jiān)管機(jī)構(gòu)。B.2.2行政安全策略和指南的保留期控制措施安全策略和操作規(guī)程副本宜在規(guī)定的替換(包括更新)周期內(nèi)保留。公有云個(gè)人信息保護(hù)實(shí)現(xiàn)指南客戶爭議處理和配合個(gè)人信息保護(hù)機(jī)構(gòu)調(diào)查時(shí)，可能需要評(píng)審當(dāng)前和以往的策略和規(guī)程。若法律或合同無明確要求，則安全策略和規(guī)程的最短保留期宜為五年。B.2.3個(gè)人信息返回、轉(zhuǎn)讓和處置控制措施公有云個(gè)人信息處理者宜制定個(gè)人信息返回、轉(zhuǎn)讓和(或)處置的策略，并對(duì)云服務(wù)客戶有效。公有云個(gè)人信息保護(hù)實(shí)現(xiàn)指南在某個(gè)時(shí)間點(diǎn)，公有云個(gè)人信息處理者可能需要以某種形式處理個(gè)人信息。這些處理包括將個(gè)人信息返回給云服務(wù)客戶，將個(gè)人信息轉(zhuǎn)讓給其他個(gè)人信息處理者或個(gè)人信息控制者(例如，合并),將個(gè)人信息安全地刪除或以其他方式銷毀、匿名化或歸檔。公有云個(gè)人信息處理者轉(zhuǎn)讓個(gè)人信息時(shí)，宜向云服務(wù)客戶告知并征得同意。若云服務(wù)客戶不再需要個(gè)人信息，包括出于備份和業(yè)務(wù)連續(xù)性目的保存的數(shù)據(jù)，則公有云個(gè)人信息處理者宜提供必要的信息，以使云服務(wù)客戶能夠確保擦除(由公有云個(gè)人信息處理者及其分包商擦除)保存于任何位置的個(gè)人信息。合同中宜約定具體的個(gè)人信息處置方式(例如，脫鏈、覆蓋、消磁、銷毀或其他形式的擦除)和(或)適用的商業(yè)標(biāo)準(zhǔn)。公有云個(gè)人信息處理者宜制定并實(shí)施處置個(gè)人信息的策略，并對(duì)云服務(wù)客戶有效。該策略宜涵蓋合同終止到個(gè)人信息銷毀的保留期，以保護(hù)云服務(wù)客戶不會(huì)因合同意外失效而丟失個(gè)人信息。B.3目的明確B.3.1公有云個(gè)人信息處理者的目的控制措施不宜獨(dú)立于云服務(wù)客戶指示的任何其他目的處理合同約定的個(gè)人信息。公有云個(gè)人信息保護(hù)實(shí)現(xiàn)指南這些指示可能包含在公有云個(gè)人信息處理者和云服務(wù)客戶的合同中，例如，服務(wù)要實(shí)現(xiàn)的目標(biāo)和完為達(dá)到云服務(wù)客戶的目的，公有云個(gè)人信息處理者可能從技術(shù)角度決定處理云服務(wù)客戶個(gè)人信息的方式。這些決定符合云服務(wù)客戶的通用指示，但沒有云服務(wù)客戶的專用指示。例如，為有效利用網(wǎng)絡(luò)能力或處理能力，可能有必要根據(jù)個(gè)人信息主體的某些特性來分配處理資源。公有云個(gè)人信息處理者確定的個(gè)人信息處理方法涉及個(gè)人信息的收集和使用時(shí)，公有云個(gè)人信息處理者宜遵循GB/T35273—2020中規(guī)定的個(gè)人信息保護(hù)原則。公有云個(gè)人信息處理者宜及時(shí)向云服務(wù)客戶提供所有相關(guān)信息，以便云服務(wù)客戶確保公有云個(gè)人信息處理者的操作遵循目的規(guī)范和限制原則，同時(shí)確保公有云個(gè)人信息處理者或者其分包商沒有獨(dú)立于公有云客戶指示處理個(gè)人信息。B.3.2公有云個(gè)人信息處理者的商業(yè)使用控制措施未經(jīng)明確同意，公有云個(gè)人信息處理者不宜將合同約定處理的個(gè)人信息用于營銷和廣告。此類同意不宜成為使用其服務(wù)的條件。B.4.1個(gè)人信息分包處理的披露控制措施公有云個(gè)人信息處理者使用分包商處理個(gè)人信息前，宜向相關(guān)云服務(wù)客戶披露。公有云個(gè)人信息保護(hù)實(shí)現(xiàn)指南宜在公有云個(gè)人信息處理者和云服務(wù)客戶的合同中約定使用分包商處理個(gè)人信息的條款。合同宜規(guī)定，只有在服務(wù)開始即取得云服務(wù)客戶同意的前提下，才可委托分包商處理個(gè)人信息。公有云個(gè)人信息處披露的信息宜包括使用分包的事實(shí)和分包商名稱，但不包括具體業(yè)務(wù)細(xì)節(jié)。披露的信息還宜包括分包商可能在哪些國家處理數(shù)據(jù)(見B.7.14),以及分包商通過哪些方式達(dá)到或超出公有云個(gè)人信息處理者義務(wù)的要求(見B.7.12)。若評(píng)估認(rèn)為公開披露分包商的信息增加了安全風(fēng)險(xiǎn)并超出了可接受的范圍，則宜根據(jù)不披露協(xié)議和(或)云服務(wù)客戶的要求進(jìn)行披露。宜讓云服務(wù)客戶意識(shí)到該信息是有用的。B.5最小必要B.5.1安全擦除臨時(shí)文件控制措施宜在規(guī)定的時(shí)間周期內(nèi)擦除或銷毀臨時(shí)文件和記錄。公有云個(gè)人信息保護(hù)實(shí)現(xiàn)指南個(gè)人信息擦除的實(shí)現(xiàn)指南見B.2.3。信息系統(tǒng)運(yùn)行中可能產(chǎn)生臨時(shí)文件。此類文件與具體系統(tǒng)或應(yīng)用有關(guān)，但可能包括文件系統(tǒng)回滾日志，以及與數(shù)據(jù)庫更新和其他應(yīng)用程序操作相關(guān)的臨時(shí)文件。信息處理任務(wù)完成后，無需留存臨時(shí)文件，但也有不能刪除這些文件的情形。這些文件的留存時(shí)間是不確定的，宜使用“垃圾收集”程序識(shí)別這些文件并計(jì)算自上次使用以來的時(shí)間間隔。個(gè)人信息處理系統(tǒng)宜執(zhí)行周期性檢查，確保刪除超出規(guī)定期限的未使用的臨時(shí)文件。B.6公開透明B.6.1個(gè)人信息披露告知控制措施公有云個(gè)人信息處理者與云服務(wù)客戶之間的合同宜要求公有云個(gè)人信息處理者按照約定的程序和時(shí)間，將法律規(guī)定的個(gè)人信息披露請(qǐng)求告知云服務(wù)客戶。禁止披露的情形除外。公有云個(gè)人信息保護(hù)實(shí)現(xiàn)指南公有云個(gè)人信息處理者宜在合同中承諾：——拒絕任何不具有法律約束力的個(gè)人信息披露請(qǐng)求；——披露任何個(gè)人信息前，在法律允許的情況下征求云服務(wù)客戶意見；——接受任何合同約定并經(jīng)相應(yīng)云服務(wù)客戶授權(quán)同意的個(gè)人信息披露請(qǐng)求。B.6.2個(gè)人信息披露記錄控制措施宜記錄向第三方披露個(gè)人信息的情況，包括披露的內(nèi)容、向誰披露及披露時(shí)間。公有云個(gè)人信息保護(hù)實(shí)現(xiàn)指南B.7確保安全B.7.1保密或不披露協(xié)議控制措施公有云個(gè)人信息處理者控制的個(gè)體訪問個(gè)人信息時(shí)，宜履行保密義務(wù)。代理商接受個(gè)人信息處理者的再次委托處理個(gè)人信息時(shí)，個(gè)人信息處理者宜若多個(gè)服務(wù)提供者提供云計(jì)算參考架構(gòu)中定義的不同類別的服務(wù)，則在實(shí)現(xiàn)本文件時(shí)可能出現(xiàn)角B.7.8用戶ID的唯一使用公有云個(gè)人信息處理宜維護(hù)所有授權(quán)訪問用戶的資料。用戶資料是用戶的數(shù)據(jù)集合，包括用戶ID。這些資料對(duì)于通過技術(shù)手段控制信息系統(tǒng)的授云服務(wù)客戶與公有云個(gè)人信息處理者之間的合同宜規(guī)定最低限度的技術(shù)措施和組織措施，以確保合同約定的安全措施落實(shí)到位，并且不會(huì)出現(xiàn)未經(jīng)個(gè)人信息控制者授權(quán)而處理數(shù)據(jù)的情況。公有云個(gè)公有云個(gè)人信息處理者的信息安全要求和個(gè)人信息保護(hù)義務(wù)可能直接源自適用的法律。若沒有適本文件和GB/T22081中的控制措施旨在提供一種措施的參考目錄，以幫助云服務(wù)客戶與公有云個(gè)人信息處理者簽訂個(gè)人信息的處理合同。簽訂合同之前，公有云個(gè)人信息處理者宜將其個(gè)人信息保個(gè)人信息處理者實(shí)施措施是否滿足保護(hù)要求承公有云個(gè)人信息處理者與分包商簽訂的個(gè)人信息處理合同宜規(guī)定最低限度的技術(shù)措施和組織措施，以滿足公有云個(gè)人信息處理者的信息安全要求和個(gè)人信息保護(hù)義務(wù)。分包商不宜單方面削弱這些本控制措施涵蓋了使用分包商存儲(chǔ)備份副本的情況(見B.4.1)。公有云個(gè)人信息處理者宜確保云服務(wù)客戶不會(huì)看到駐留在該存儲(chǔ)空間上的任何往期數(shù)據(jù)。公有云個(gè)人信息保護(hù)實(shí)現(xiàn)指南出于性能的考慮，云服務(wù)用戶刪除信息系統(tǒng)中保存的數(shù)據(jù)時(shí)，可能無法顯示地擦除這些數(shù)據(jù)。這可能導(dǎo)致其他用戶讀取這些數(shù)據(jù)。宜通過具體的技術(shù)措施避免這種風(fēng)險(xiǎn)。沒有具體指南適用于實(shí)現(xiàn)該控制措施的所有情況。但是，可參照以下示例處理：若云服務(wù)用戶讀取尚未被其自身數(shù)據(jù)覆蓋的存儲(chǔ)空間，則云基礎(chǔ)設(shè)施、平臺(tái)或應(yīng)用程序?qū)⒎祷亓?。B.7.14個(gè)人信息的地理位置控制措施公有云個(gè)人信息處理者宜指定和記錄可能存儲(chǔ)個(gè)人信息的國家。公有云個(gè)人信息保護(hù)實(shí)現(xiàn)指南宜向云服務(wù)客戶提供可能存儲(chǔ)個(gè)人信息的國家身份，還宜包括因使用分包處理個(gè)人信息而產(chǎn)生的國家身份。若具體的合同協(xié)議適用于國際間的數(shù)據(jù)轉(zhuǎn)讓，例如，示范合同條款、約束性公司規(guī)則、跨境隱私規(guī)則，則也宜識(shí)別這些協(xié)議及適用這些協(xié)議的國家或情況。公有云個(gè)人信息處理者宜將這方面的任何可能變更及時(shí)告知云服務(wù)客戶，以便云服務(wù)客戶能夠選擇拒絕此類變更或終止合同。B.7.15個(gè)人信息傳輸目的地控制措施使用數(shù)據(jù)傳輸網(wǎng)絡(luò)傳輸個(gè)人信息宜受適當(dāng)控制，以確保數(shù)據(jù)到達(dá)指定的目的地。B.8主體參與B.8.1配合個(gè)人信息主體行使權(quán)利的義務(wù)控制措施公有云個(gè)人信息處理者宜向云服務(wù)客戶提供使其履行義務(wù)的手段，以便個(gè)人信息主體能夠行使訪問、糾正和(或)擦除與其有關(guān)的個(gè)人信息的權(quán)利。公有云個(gè)人信息保護(hù)實(shí)現(xiàn)指南云服務(wù)客戶在這方面的義務(wù)可能由法律、法規(guī)或合同約定。這些義務(wù)可能通過使用公有云個(gè)人信息處理者提供服務(wù)的方式來履行，例如，由公有云個(gè)人信息處理者及時(shí)糾正或刪除個(gè)人信息。云服務(wù)客戶使用公有云個(gè)人信息處理者提供的信息或技術(shù)措施，幫助個(gè)人信息主體行使權(quán)利時(shí)，宜在合同中明確規(guī)定這些信息或技術(shù)措施。(資料性)云服務(wù)提供者、云服務(wù)客戶和云服務(wù)用戶的關(guān)系云服務(wù)提供者(見GB/T32400—2015中3.2.15