DB11T 2049-2022 政務大數(shù)據(jù)安全技術框架

DB11北京市市場監(jiān)督管理局發(fā)布 本文件按照GB/T1.1—2020《標準化工作本文件起草單位：北京市大數(shù)據(jù)中心、中電長城網際系統(tǒng)應用有限公司、北京信息安全測評中心、聯(lián)通數(shù)字科技有限公司、北京數(shù)字認證股份有限公司、北京天融信網絡安全技術有限公司、廈門市美亞柏科信息股份有限公司、數(shù)據(jù)堂（北京）科技股份有限公司、北京云集至科技有限公司、北京啟明星辰信息安全技術有限公司、京信數(shù)據(jù)政務大數(shù)據(jù)安全技術框架本文件提出了政務大數(shù)據(jù)安全技術框架，規(guī)定了政務大數(shù)據(jù)域安全要求、政務大數(shù)據(jù)域間協(xié)同本文件適用于指導政務部門以及參與政務大數(shù)據(jù)處理活動的相關組織開展政務大數(shù)據(jù)安全技術下列文件中的內容通過文中的規(guī)范性引用而構成本文件必不可少的條款。其中，注日期的引用具有體量巨大、來源多樣、生成極快且多變等特征并且難以用傳統(tǒng)數(shù)據(jù)體系結構有效處理的包2政務大數(shù)據(jù)基礎設施infrastructureforgovermmentbigdata4政務大數(shù)據(jù)安全技術框架的構成4.1技術框架參與方。政務大數(shù)據(jù)處理中，其資源和資產按照所遵循安全策略的不同工域、數(shù)據(jù)共享域、數(shù)據(jù)開放域、數(shù)據(jù)運營域等政務大數(shù)據(jù)域；政務大數(shù)據(jù)域的數(shù)據(jù)處理活動提供了基礎的、統(tǒng)一的資源服務和安全服務政務大數(shù)據(jù)參與方政務大數(shù)據(jù)域圖1政務大數(shù)據(jù)安全技術框架4.2政務大數(shù)據(jù)域34.2.1政務大數(shù)據(jù)域類型表1政務大數(shù)據(jù)域主要功能對政務大數(shù)據(jù)進行收集、生產和使用4.2.2政務大數(shù)據(jù)域間協(xié)同關系4.2.21政務大數(shù)據(jù)在同一政務部門內的政務大數(shù)據(jù)域之間流動的情況，如圖2所示。②④①@圖2政務大數(shù)據(jù)域間流動圖3—經數(shù)據(jù)加工域加工后的數(shù)據(jù)，進入數(shù)據(jù)共享域進行共享；4—數(shù)據(jù)共享域中的數(shù)據(jù)，進入數(shù)據(jù)加工域進行加工；4磁據(jù)語洗數(shù)數(shù)數(shù)閥青許做試K被數(shù)2示簽蚊據(jù)分有跨組織交換做層//////////注：“●”代表域間需要直接協(xié)同，“/”代表域間不需要直接協(xié)身份認證、密碼服務、數(shù)據(jù)監(jiān)測溯源等基礎安全保障，如圖4所示。5身份認證空碼服務數(shù)據(jù)原算力資源存儲資源網絡資源圖4政務大數(shù)據(jù)基礎設施圖4.4政務大數(shù)據(jù)參與方4.4.1政務大數(shù)據(jù)處理維度的參與方根據(jù)參與方在政務大數(shù)據(jù)處理過程中的角色類型，政務大數(shù)據(jù)參與方可分為數(shù)據(jù)控制者、數(shù)據(jù)生產者、數(shù)據(jù)加工者、數(shù)據(jù)運營者、數(shù)據(jù)使用者和平臺運營者六類，各參與方的定義見表3,各參與方與政務大數(shù)據(jù)域、政務大數(shù)據(jù)基礎設施的關系見表4,各參與方示例見附錄A。表3政務大數(shù)據(jù)處理維度的參與方定義收集、生產數(shù)據(jù)的組織、個人處理政務數(shù)據(jù)的信息系統(tǒng)或政務大數(shù)據(jù)基礎設施的所表4政務大數(shù)據(jù)處理維度的參與方與政務大數(shù)據(jù)域及基礎設施的關系平臺////////基礎資源平臺///基礎安全平臺///注：“●”代表存在參與關系，“1”代表不存在參與關系。根據(jù)政務大數(shù)據(jù)在數(shù)據(jù)流轉過程中的角色類型，政務大數(shù)據(jù)參與方可分為數(shù)據(jù)提供者一個組織或個人可以承擔多個維度的多個參與方角色，同一維度的一個參與方c）政務大數(shù)據(jù)域的參與方應按照GB/T37988對自身數(shù)d）具備對政務數(shù)據(jù)生產過程的安全審計能力，定期對數(shù)據(jù)生產者的數(shù)a）遵守政務數(shù)據(jù)生產規(guī)程，在控制者授權范b）在數(shù)據(jù)使用過程中，采取相應的安全措施，b）對數(shù)據(jù)加工者進行授權，明確授權目的d）根據(jù)業(yè)務需要采用泛化、抑制、干擾等技術b）對數(shù)據(jù)接收者進行授權，明確授權目的f）具備對政務數(shù)據(jù)共享過程安全審計能力，定期對數(shù)b）對數(shù)據(jù)使用者進行授權，明確授權目的e）具備對政務數(shù)據(jù)開放過程的安全審計能力，定a）獲得數(shù)據(jù)控制者的授權，并基于授權和數(shù)據(jù)運營規(guī)范b）對數(shù)據(jù)使用者進行授權，明確授權目的和范圍，不得超出數(shù)據(jù)控制者的授權d）支持基于區(qū)塊鏈和數(shù)字水印技術實現(xiàn)對b）保證數(shù)據(jù)使用環(huán)境和使用過程的安全性，以防數(shù)據(jù)的泄露b）數(shù)據(jù)提供者應對數(shù)據(jù)接收者進行授權，明確數(shù)據(jù)權責是否全部或部分轉移給接收c）數(shù)據(jù)接收者應采取必要的技術手段和管控g）平臺運營者應制定域間安全訪問策略，并a）明確數(shù)據(jù)加工限制和約束條件，確保數(shù)據(jù)加工不能損害相關c）將加工過程中發(fā)現(xiàn)異常數(shù)據(jù)及時告知對方，涉及敏感數(shù)據(jù)的在b）驗證接收數(shù)據(jù)的完整性及與數(shù)據(jù)加工需求的c）將加工過程中發(fā)現(xiàn)異常數(shù)據(jù)及時告知對方，涉及敏感數(shù)據(jù)的在b）及時準確、完整的接收需要加工的數(shù)據(jù)，并提供給數(shù)據(jù)加a）明確用于共享的數(shù)據(jù)的共享方式、范圍、時效、授權條數(shù)據(jù)開放域應及時發(fā)現(xiàn)禁止開放的敏感數(shù)據(jù)和個人信息，并告知數(shù)a）嚴格按照數(shù)據(jù)提供者的授權，遵照數(shù)據(jù)開放目錄和開放計劃，向數(shù)據(jù)開d）定期向共享域報告數(shù)據(jù)安全運營情況，并提供相應的b）審核運營域的數(shù)據(jù)運營場景和行為，確保數(shù)據(jù)運營服務沒有超出授b）數(shù)據(jù)提供者應建立敏感數(shù)據(jù)的脫敏安全策略，并按照安全要求進行d）數(shù)據(jù)接收者應建立檢查機制，保障共享數(shù)據(jù)安