2024工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全合規(guī)指引

工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全合規(guī)建設(shè)概 數(shù)據(jù)安全合規(guī)建設(shè)目 數(shù)據(jù)安全合規(guī)建設(shè)依 適用范 術(shù)語(yǔ)和定 數(shù)據(jù)分類(lèi)分 數(shù)據(jù)調(diào) 數(shù)據(jù)梳 數(shù)據(jù)分 數(shù)據(jù)分 目錄報(bào) 目錄動(dòng)態(tài)更 數(shù)據(jù)安全管理體 數(shù)據(jù)安全組織架 數(shù)據(jù)安全管理制 權(quán)限管 內(nèi)部審批、登 系統(tǒng)與設(shè)備安全管 容災(zāi)備 合作方管 日志管 監(jiān)督檢 配合監(jiān) 數(shù)據(jù)全生命周期保 數(shù)據(jù)收 數(shù)據(jù)存 數(shù)據(jù)使用加 數(shù)據(jù)傳 數(shù)據(jù)提 數(shù)據(jù)公 數(shù)據(jù)銷(xiāo) 數(shù)據(jù)委托處 數(shù)據(jù)轉(zhuǎn) 其他事 數(shù)據(jù)安全風(fēng)險(xiǎn)監(jiān)測(cè)預(yù)警、報(bào)告、處 數(shù)據(jù)安全風(fēng)險(xiǎn)監(jiān)測(cè)預(yù) 數(shù)據(jù)安全風(fēng)險(xiǎn)信息報(bào) 數(shù)據(jù)安全風(fēng)險(xiǎn)處 數(shù)據(jù)安全事件應(yīng)急處 制定應(yīng)急預(yù) 開(kāi)展應(yīng)急演 數(shù)據(jù)安全事件報(bào) 應(yīng)急響 先行處 總結(jié)上 數(shù)據(jù)安全事件告 數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng) 組建評(píng)估團(tuán) 確定評(píng)估范 制定評(píng)估方 實(shí)施風(fēng)險(xiǎn)評(píng) 形成評(píng)估報(bào) 評(píng)估時(shí)間及上報(bào)行業(yè)監(jiān)管部 風(fēng)險(xiǎn)評(píng)估特殊場(chǎng) 數(shù)據(jù)出境安全管 數(shù)據(jù)出境安全評(píng) 訂立個(gè)人信息出境標(biāo)準(zhǔn)合 通過(guò)個(gè)人信息保護(hù)認(rèn) 個(gè)人信息出境的注意事 數(shù)據(jù)出境的豁免情 遵守出口管制要求的合規(guī)義 境外執(zhí)法或司法機(jī)構(gòu)調(diào)取數(shù)據(jù)時(shí)合規(guī)義 數(shù)據(jù)交 第第PAGE10《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法（試行）《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估實(shí)施細(xì)則（試行）《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全事件應(yīng)急預(yù)案（試行）工業(yè)和信息化領(lǐng)域數(shù)據(jù)處理者可參照本指引開(kāi)展數(shù)據(jù)處理活動(dòng)全生命周期網(wǎng)企業(yè)，以及無(wú)線(xiàn)電頻率、臺(tái)（站）使用單位等工業(yè)和信息化領(lǐng)域各類(lèi)主體。830（條目數(shù)量或者存儲(chǔ)總量變化30%將處理重要數(shù)據(jù)和核心數(shù)據(jù)的操作人員，關(guān)鍵業(yè)務(wù)系統(tǒng)、平臺(tái)管理人員（如負(fù)責(zé)審批重要數(shù)據(jù)和核心數(shù)據(jù)對(duì)外等設(shè)定為關(guān)鍵崗位，明確崗位職責(zé)?？稍跐M(mǎn)足3.1.1要求的基礎(chǔ)上，對(duì)培訓(xùn)內(nèi)容、頻率、時(shí)長(zhǎng)、考核要求等進(jìn)行健全覆蓋數(shù)據(jù)全生命周期的差異化數(shù)據(jù)安全管理制度，涵蓋本單位數(shù)據(jù)安全管息保護(hù)管理、合作方管理等有關(guān)要求。3.3.1配備賬號(hào)管理保障功能，如限制非正常登錄次數(shù)、登錄連接超時(shí)自動(dòng)針對(duì)重要數(shù)據(jù)和核心數(shù)據(jù)對(duì)外提供、委托處理、轉(zhuǎn)移、銷(xiāo)毀、公開(kāi)、明確重要數(shù)據(jù)和核心數(shù)據(jù)訪(fǎng)問(wèn)處理單次授權(quán)、多人審批和行為審計(jì)等要求和登HTTPFTPTelnet、RDP3.5.1數(shù)據(jù)安全管理責(zé)任部門(mén)組織數(shù)據(jù)所屬部門(mén)明確重要數(shù)據(jù)和核心數(shù)據(jù)的（（數(shù)據(jù)保護(hù)、風(fēng)險(xiǎn)監(jiān)測(cè)等技術(shù)手段能力說(shuō)明、建設(shè)規(guī)范、應(yīng)用截圖）8通過(guò)簽訂合同協(xié)議等方式明確不同類(lèi)型數(shù)據(jù)提供的安全保護(hù)方式以及雙方數(shù)據(jù)安全責(zé)任和義務(wù)。數(shù)據(jù)安全協(xié)議可參考下述內(nèi)容：根據(jù)數(shù)據(jù)安全協(xié)議或數(shù)據(jù)轉(zhuǎn)移方案在相關(guān)服務(wù)履約過(guò)程中履行數(shù)據(jù)安全保護(hù)責(zé)任，按照數(shù)據(jù)級(jí)別落實(shí)防護(hù)要求。63.8.13數(shù)據(jù)合作情況，如是否明確數(shù)據(jù)共享涉及機(jī)構(gòu)或部門(mén)的相關(guān)職責(zé)和權(quán)數(shù)據(jù)收集過(guò)程中，可結(jié)合具體管理、業(yè)務(wù)場(chǎng)景，制定數(shù)據(jù)收集規(guī)則，避免收集不明來(lái)源的數(shù)據(jù)。4.1.1采取技術(shù)監(jiān)測(cè)、簽署安全協(xié)議、賬號(hào)權(quán)限管控、監(jiān)督檢查、安全審計(jì)時(shí)間、類(lèi)型、數(shù)量、頻度、流向等進(jìn)行記錄。在發(fā)生產(chǎn)品或服務(wù)停止運(yùn)營(yíng)、用戶(hù)終止服務(wù)等情況時(shí)，立即停止對(duì)相4.2.1障措施等要求。涉及容災(zāi)備份的，可參考“3.6容災(zāi)備份”相關(guān)要求。對(duì)重要數(shù)據(jù)和核心數(shù)據(jù)存儲(chǔ)載體進(jìn)行安全管理，確保存放在安全環(huán)境標(biāo)記和銷(xiāo)毀等情況和相應(yīng)審批記錄，并定期盤(pán)點(diǎn)。數(shù)據(jù)使用加工應(yīng)遵循合理必要原則，制定數(shù)據(jù)使用加工管理要求、安.1對(duì)傳輸接口管理和技術(shù)管控措施部署情況進(jìn)行梳理，形成接口梳理情..1轉(zhuǎn)移數(shù)據(jù)涉及個(gè)人信息的，事先向用戶(hù)告知接收方的名稱(chēng)或者姓名和經(jīng)過(guò)處理無(wú)法識(shí)別特定個(gè)人且不能復(fù)原的除外。.1建設(shè)數(shù)據(jù)風(fēng)險(xiǎn)監(jiān)測(cè)預(yù)警能力，確保相關(guān)能力覆蓋涉及操作處理重要數(shù)授權(quán)、超權(quán)限操作、批量操作、陌生IP地址訪(fǎng)問(wèn)、數(shù)據(jù)庫(kù)異常連接（如在設(shè)定時(shí)間內(nèi)，某IP地址與實(shí)時(shí)數(shù)據(jù)庫(kù)無(wú)任何數(shù)據(jù)交互或異常交互）等。當(dāng)收到紅色預(yù)警（特別重大事件）時(shí)，應(yīng)啟動(dòng)I級(jí)響應(yīng)。立即進(jìn)入緊當(dāng)收到橙色預(yù)警（重大事件）時(shí)，應(yīng)啟動(dòng)II級(jí)響應(yīng)。立即啟動(dòng)相應(yīng)數(shù)當(dāng)收到黃色預(yù)警（較大事件）III當(dāng)收到藍(lán)色預(yù)警（一般事件）IV5個(gè)工作日內(nèi)形成總結(jié)報(bào)告，報(bào)地方行業(yè)監(jiān)管部門(mén)。數(shù)據(jù)安全事件對(duì)個(gè)人、組織造成實(shí)質(zhì)性危害的，及時(shí)以電話(huà)、短信、5144指定本單位至少1名數(shù)據(jù)安全專(zhuān)業(yè)人員為評(píng)估工作對(duì)接人，負(fù)責(zé)協(xié)調(diào)本評(píng)估團(tuán)隊(duì)首先進(jìn)行數(shù)據(jù)處理活動(dòng)分析，明確評(píng)估范圍內(nèi)數(shù)據(jù)處理活動(dòng)涉及的接收方及數(shù)據(jù)載體情況等。開(kāi)展合規(guī)性評(píng)估，包括正當(dāng)必要性評(píng)估、基礎(chǔ)性安全評(píng)估和數(shù)據(jù)全生業(yè)和信息化數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估資質(zhì)的第三方評(píng)估機(jī)構(gòu)開(kāi)展至少一次數(shù)據(jù)安全風(fēng)評(píng)估。重要數(shù)據(jù)和核心數(shù)據(jù)發(fā)生重大變更時(shí)，及時(shí)開(kāi)展數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估。12111001個(gè)人信息（不含敏感個(gè)人信息）111按照本指引“2數(shù)據(jù)分類(lèi)分級(jí)”相關(guān)要求，識(shí)別、申報(bào)重要數(shù)據(jù)，準(zhǔn)確界定需13未發(fā)生需要重新申報(bào)數(shù)據(jù)出境安全評(píng)估情形的，在有效期屆滿(mǎn)前60個(gè)工作日內(nèi)31110100（不含敏感個(gè)人信息）111在標(biāo)準(zhǔn)合同生效之日起10個(gè)工作日內(nèi)，通過(guò)數(shù)據(jù)出境申報(bào)系統(tǒng)開(kāi)展個(gè)人信收到省級(jí)網(wǎng)信辦發(fā)放的備案編號(hào)后，根據(jù)需要在10個(gè)工作日內(nèi)提交補(bǔ)充完1110100（不含敏感個(gè)人信息）111響評(píng)估報(bào)告和處理情況記錄至少保存3年。11境外提供不滿(mǎn)210萬(wàn)人個(gè)人信息（不含敏感個(gè)人信息）的。予申報(bào)數(shù)據(jù)出境安全評(píng)估、訂立個(gè)人信息出境標(biāo)準(zhǔn)合同或