工業(yè)企業(yè)數(shù)據(jù)安全防護要求

1工業(yè)企業(yè)數(shù)據(jù)安全防護要求本文件規(guī)定了工業(yè)企業(yè)數(shù)據(jù)安全防護的總體要求、基礎性數(shù)據(jù)安全防護要求、數(shù)據(jù)全生命周期安全防護要求。本文件適用于指導工業(yè)企業(yè)開展數(shù)據(jù)安全防護工作。也可為開展數(shù)據(jù)安全風險評估工作提供參考。2規(guī)范性引用文件下列文件中的內容通過文中的規(guī)范性引用而構成本文件必不可少的條款.其中，注日期的引用文件。僅該日期對應的版本適用于本文件：不注日期的引用文件，其最新版本(包括所有的修改單)適用于本文件。GB/T22239-2019信息安全技術網(wǎng)絡安全等級保護基本要求GB/T35273-2020信息安全技術個人信息安全規(guī)范GB/T41479-2022信息安全技術網(wǎng)絡數(shù)據(jù)處理安全要求YD/TXXXX-xxXX工業(yè)領域重要數(shù)據(jù)識別指南3術語和定義GB/T25069-2022、YD/TXXXX-XXXX界定的以及下列術語和定義適用于本文件工業(yè)企業(yè)industrialenterprise直接從事工業(yè)性生產(chǎn)經(jīng)營活動(或勞務)的組織。工業(yè)企業(yè)數(shù)據(jù)industrialenterprisedata工業(yè)企業(yè)各行業(yè)各領域在研發(fā)設計、生產(chǎn)制造、經(jīng)營管理、運行維護、平臺運營等過程中產(chǎn)生和收集的數(shù)據(jù)。關系國家安全、國民經(jīng)濟命脈、重要民生、重大公共利益的工業(yè)數(shù)據(jù)(包括原始數(shù)據(jù)和匯聚、整合。分析等處理中以及處理后的衍生數(shù)據(jù))。與工業(yè)生產(chǎn)經(jīng)營密切相關，一旦遭到篡改、損毀、泄露或者非法獲取、非法利用，可能直接危害國家安全、公共利益、個人、組織合法權益的工業(yè)數(shù)據(jù)(包括原始數(shù)據(jù)和匯聚、整合、分析等處理中2以及處理后的衍生數(shù)據(jù))。一般數(shù)據(jù)generaldata其他未納入重要數(shù)據(jù)、核心數(shù)據(jù)目錄的工業(yè)數(shù)據(jù)。采取必要措施使數(shù)據(jù)處于有效保護和合法利用的狀態(tài)，以及具備保障持續(xù)安全狀態(tài)的能力。4縮略語HTTP:超文本傳輸協(xié)議(HypertextTransferProtocol)PLC:可編程邏輯控制器(ProgrammableLogicController)RDP:遠程桌面協(xié)議(RemoteDesktopProtocol)Telnet:遠程登錄系統(tǒng)(TelecommunicationsNetwork)5總體要求工業(yè)企業(yè)開展工業(yè)領域數(shù)據(jù)處理活動時應滿足以下數(shù)據(jù)安全防護要求：a)基礎性數(shù)據(jù)安全保護要求：工業(yè)企業(yè)應建立健全數(shù)據(jù)安全管理機制，配備數(shù)據(jù)安全技術能力遵循第6章安全管理制度、組織機構、人員保障、數(shù)據(jù)分類分級、權限管理、系統(tǒng)與設備安全管理、供應鏈數(shù)據(jù)安全管理、安全風險評估、日志留存、安全審計，監(jiān)測預警、信息共享與應急處置等基礎性數(shù)據(jù)安全保護要求：b)分級防護要求：根據(jù)數(shù)據(jù)處理活動涉及的數(shù)據(jù)級別(一般數(shù)據(jù)、重要數(shù)據(jù)、核心數(shù)據(jù)),數(shù)據(jù)1)一般數(shù)據(jù)處理活動應按照對一般數(shù)據(jù)的防護要求開展數(shù)據(jù)安全防護工作：2)重要數(shù)據(jù)處理活動應在符合對一般數(shù)據(jù)的防護要求的基礎上，按照要求開展重要數(shù)據(jù)安全防護3)核心數(shù)據(jù)處理活動應在符合對重要數(shù)據(jù)的防護要求的基礎上，按照要求開展核心數(shù)據(jù)安全防護c)數(shù)據(jù)全生命周期安全防護要求工業(yè)企業(yè)應規(guī)范數(shù)據(jù)生命周期各階段的數(shù)據(jù)處理活動，實施有效的數(shù)據(jù)安全防護措施，遵循第7章數(shù)據(jù)收集、數(shù)據(jù)存儲、數(shù)據(jù)使用加工，數(shù)據(jù)傳輸、數(shù)據(jù)提供、數(shù)據(jù)出境、數(shù)據(jù)公開和數(shù)據(jù)銷毀等數(shù)據(jù)全生命周期安全防護要求；d)其它防護要求：工業(yè)企業(yè)開展涉及個人信息的數(shù)據(jù)處理活動，應當符合GB/T35273-2020及GB/T41479-2022相關要求。6基礎性數(shù)據(jù)安全防護要求本項要求包括：a)應合理確定數(shù)據(jù)處理活動的操作權限，嚴格實施人員權限管理；b)應按照最小授權原則分配賬號權限。6.4.2重要數(shù)據(jù)和核心數(shù)據(jù)在6.4.1的基礎上滿足以下要求：a)應建立內部登記、審批機制，明確數(shù)據(jù)安全授權審批事項、審批部門和審批人等：b)應定期對權限分配情況進行復核，嚴禁未授權訪問數(shù)據(jù)：e)應在人員變更、調離或終止勞動合同時，及時變更或終止其數(shù)據(jù)處理權限6.5系統(tǒng)與設備安全管理本項要求包括：a)應對數(shù)據(jù)庫、研發(fā)終端、生產(chǎn)設備、開發(fā)代碼庫等數(shù)據(jù)載體及數(shù)據(jù)采集系統(tǒng)進行安全配置，建立安全配置清單，定期進行配置審計；b)應密切關注數(shù)據(jù)載體的重大安全漏洞及其補丁發(fā)布，及時采取升級措施，短期內無法升級的，應開展針對性安全加固；c)應強化數(shù)據(jù)載體的登錄賬戶及口令管理，避免使用默認口令或弱口令，定期更新口令；d)在服務器、工程師站等主機上部署防病毒軟件或采用應用軟件自名單技術，防范勒索病毒等造成的數(shù)據(jù)破壞攻擊行為；e)原則上禁止工業(yè)控制系統(tǒng)面向互聯(lián)網(wǎng)開通HTTP、FTP、Telnet、RDP等高風險通用網(wǎng)絡服務，對必要開通的網(wǎng)絡服務采取安全接入代理等技術進行用戶身份認證和應用鑒權。6.5.2重要數(shù)據(jù)和核心數(shù)據(jù)在6.5.1的基礎上滿足以下要求：a)應對涉及重要數(shù)據(jù)和核心數(shù)據(jù)處理活動的數(shù)據(jù)載體的訪問行為進行雙因子身份鑒別；b)應通過工業(yè)防火墻、網(wǎng)閘等防護設備對工業(yè)控制網(wǎng)絡安全區(qū)域邊界進行邏輯隔離安全防護；c)應對工業(yè)控制系統(tǒng)、工業(yè)互聯(lián)網(wǎng)平臺等的開發(fā)、測試和牛產(chǎn)環(huán)境進行邏輯或物理隔離：d)應對處理重要數(shù)據(jù)和核心數(shù)據(jù)的系統(tǒng)提供不低于GB/T22239-2019第三級要求的防護；e)處理重要數(shù)據(jù)和核心數(shù)據(jù)的系統(tǒng)與設備應符合國家密碼應用的有關要求。6.6供應鏈數(shù)據(jù)安全管理本項要求包括：a)宜明確供應鏈數(shù)據(jù)安全風險控制措施，以合同、協(xié)議等方式明確供應商、生產(chǎn)商、服務商等供應鏈主體的數(shù)據(jù)安全防護要求和責任落實要求：b)對供應鏈管理系統(tǒng)的接入接口做好授權認證等保護措施。6.6.2重要數(shù)據(jù)和核心數(shù)據(jù)應滿足6.6.1的要求。5YD/TXXXX-202X本項要求包括：應定期梳理本企業(yè)數(shù)據(jù)，形成數(shù)據(jù)資產(chǎn)清單并定期更新。6.7.2重要數(shù)據(jù)和核心數(shù)據(jù)在6.7.1的基礎上滿足以下要求：a)應按照有關要求和YD/TXxXX-xxXX等標準規(guī)范識別重要數(shù)據(jù)和核心數(shù)據(jù)并形成本單位的具體目錄，并進行重要數(shù)據(jù)和核心數(shù)據(jù)目錄備案：b)備案內容發(fā)生重大變化的，應當在發(fā)生變化的三個月內履行備案變更手續(xù)。重大變化是指某類重要數(shù)據(jù)和核心數(shù)據(jù)規(guī)模(數(shù)據(jù)條目數(shù)量或者存儲總量等)變化30%以上，或者其它備案內容發(fā)生變化。本項要求包括：宜自行或委托第三方評估機構開展數(shù)據(jù)安全風險評估。6.8.2重要數(shù)據(jù)和核心數(shù)據(jù)在6.8.1的基礎上滿足以下要求：a)應自行或委托第三方評估機構，每年至少開展一次安全風險評估，及時整改風險問題，并向本地區(qū)行業(yè)監(jiān)管部門報送風險評估報告；b)應在跨主體提供、轉移、委托處理核心數(shù)據(jù)時開展安全風險評估。本項要求包括：a)應對數(shù)據(jù)處理日志、權限管理日志、人員操作日志等進行記錄；b)日志的留存時間應滿足國家相關法律法規(guī)要求，不低于六個月。6.9.2重要數(shù)據(jù)和核心數(shù)據(jù)在6.9.1的基礎上滿足以下要求a)應加強日志訪問和處理管理b)應對高風險操作(如批量復制、批量傳輸、批量銷毀等操作)日志進行備份。6.10安全審計本項要求包括：宜對數(shù)據(jù)處理活動進行定期審計6.10.2重要數(shù)據(jù)和核心數(shù)據(jù)在6.10.1的基礎上滿足以下要求：應配備日志審計技術能力，將重要數(shù)據(jù)和核心數(shù)據(jù)處理活動全量納入審計范圍6.11監(jiān)測預警、信息共享與應急處置66.11.1一般數(shù)據(jù)a)應開展數(shù)據(jù)安全風險監(jiān)測，及時排查安全隱患，采取必要的措施防范數(shù)據(jù)安全風險，接到數(shù)據(jù)安全風險通報信息后，應及時處置風險并按要求反饋處置情況；b)應及時將可能造成較大及以上安全事件的風險向本地區(qū)行業(yè)監(jiān)管部門報告；c)宜制定數(shù)據(jù)安全事件應急預案，根據(jù)事件等級明確應急響應責任并與行業(yè)主管部門數(shù)據(jù)安全事件應急預案進行銜接，組織開展應急演練并保存演練記錄：d)應在數(shù)據(jù)安全事件發(fā)生后，按照應急預案及時開展應急處置；e)對損害用戶合法權益的數(shù)據(jù)安全風險或事件，應及時告知用戶，并提供減輕危害的措施：f)事件處置完成后，應形成總結報告，每年向本地區(qū)行業(yè)監(jiān)管部門報告數(shù)據(jù)安全事件處置情況總結報告內容包括事件原因、事件后果、影響范圍、事件責任、處置過程和g)宜建立用戶投訴處理機制6.11.2重要數(shù)據(jù)和核心數(shù)據(jù)a)宜采用技術手段進行數(shù)據(jù)安全風險監(jiān)測；b)涉及重要數(shù)據(jù)和核心數(shù)據(jù)的安全風險，應向本地區(qū)行業(yè)監(jiān)管部門報告；7數(shù)據(jù)全生命周期安全防護要求7.1數(shù)據(jù)收集安全7.1.1一般數(shù)據(jù)a)應遵循合法、正當?shù)脑瓌t收集數(shù)據(jù)，不得竊取或者以其他非法方式收集數(shù)據(jù)：b)在開展數(shù)據(jù)收集時，宜采用人工核查或技術措施對外部數(shù)據(jù)的真實性、有效性、安全性進行鑒7.1.2重要數(shù)據(jù)在7.1.1的基礎上滿足以下要求a)應加強數(shù)據(jù)收集人員、設備的管理，對數(shù)據(jù)收集的來源、時間、類型、數(shù)量、頻度、流向等信息進行記錄和審計，避免出現(xiàn)超范圍數(shù)據(jù)收集活動：b)涉及工業(yè)通信協(xié)議的數(shù)據(jù)，應對數(shù)據(jù)收集所涉及的軟硬件工具、設備、系統(tǒng)、平臺、接口以及收集技術等，采取必要的測試、認證、鑒權等安全防護措施，并進行內部審批：c)應具備對數(shù)據(jù)收集行為進行監(jiān)測的技術能力，確保數(shù)姻收集的合規(guī)性和執(zhí)行上的一致性，并能夠在發(fā)現(xiàn)異常時進行告警：d)應采用與數(shù)據(jù)提供方簽署相關協(xié)議、數(shù)據(jù)源合法性書面承諾等方式，明確通過間接途徑獲取數(shù)7.1.3核心數(shù)據(jù)應具備數(shù)據(jù)收集行為實時監(jiān)控能力，在發(fā)現(xiàn)異常時及時終止數(shù)據(jù)收集行為，并采用技術7.2數(shù)據(jù)存儲安全d)應對測試過程中產(chǎn)生的過程性數(shù)據(jù)進行防護。在7.3.2的基礎上滿足以下要求應具備數(shù)據(jù)使用加工行為實時監(jiān)控能力，在發(fā)現(xiàn)異常時及時終止數(shù)據(jù)使用加工行為，并采用技術手段實現(xiàn)所有數(shù)據(jù)挖掘、使用、加工、分析行為可溯源。本項要求包括：a)應根據(jù)工業(yè)應用場景、數(shù)據(jù)類型、數(shù)據(jù)級別和安全域等因素，制定數(shù)據(jù)傳輸安全策略；b)工業(yè)設備間通信、設備與平臺通信時，應對通信端身份、安全策略、安全狀態(tài)進行雙向鑒別并建立數(shù)據(jù)安全傳輸信道，保證工業(yè)網(wǎng)絡通信的安全性。在7.4.1的基礎上滿足以下要求：a)應采用數(shù)據(jù)加密、數(shù)據(jù)校驗、安全傳輸通道、安全傳輸協(xié)議等措施保證數(shù)據(jù)傳輸安全，必要時可采用單向隔離傳輸?shù)燃夹g手段：b)針對受條件限制無法通過網(wǎng)絡傳輸?shù)墓I(yè)現(xiàn)場數(shù)據(jù)，應采用受控加密的移動存儲介質實現(xiàn)數(shù)據(jù)安全傳輸；c)應具備數(shù)據(jù)傳輸異常檢測技術能力，對陌生IP地址、數(shù)據(jù)庫異常連接(如在設定時間內，某IP地址與實時數(shù)據(jù)庫無任何數(shù)據(jù)交互或異常交互)等進行實時告警，在檢測到數(shù)據(jù)遭破壞時及時采取恢復措施；d)涉及跨組織機構或者使用公共信息網(wǎng)絡進行數(shù)據(jù)傳輸?shù)?，應進行內部登記、審批；e)應采取流量限速、阻斷、違規(guī)外聯(lián)監(jiān)測等必要措施，對工控協(xié)議數(shù)據(jù)包進行深度解析。僅允許符合安全策略的數(shù)據(jù)通過安全域邊界。在7.4.2的基礎上滿足以下要求：a)應具備數(shù)據(jù)傳輸實時監(jiān)測處置能力，保證能夠及時告警并阻斷違規(guī)傳輸：b)應具備數(shù)據(jù)溯源能力，使得所有數(shù)據(jù)傳輸路徑可恢復，數(shù)據(jù)傳輸行為可溯源：c)應采用技術手段實現(xiàn)數(shù)據(jù)傳輸?shù)恼鎸嵭?、不可抵賴性和可控?.5數(shù)據(jù)提供安全本項要求包括：應明確數(shù)據(jù)提供的范圍、數(shù)量、條件、程序、時間等，建立跨網(wǎng)、跨安全域的數(shù)據(jù)提供安全操作規(guī)范，保障數(shù)據(jù)提供安全在7.5.1的基礎上滿足以下要求：a)應與數(shù)據(jù)獲取方簽訂數(shù)據(jù)安全協(xié)議，并對數(shù)據(jù)獲取方的數(shù)據(jù)安全保護能力進行核驗，如核實歷史數(shù)據(jù)安全事件發(fā)生情況；b)應在數(shù)據(jù)提供過程中采取必要防護措施，包括數(shù)據(jù)加密、數(shù)據(jù)標注、數(shù)據(jù)水印、數(shù)據(jù)脫敏等；9YD/TXXXX-202Xc)應對數(shù)據(jù)提供行為進行監(jiān)控，確保數(shù)據(jù)合理規(guī)范提供，未超出授權范圍；d)應在數(shù)據(jù)接入互聯(lián)網(wǎng)等活動中，開展數(shù)據(jù)安全風險監(jiān)測，對安全風險高的網(wǎng)絡出口和資產(chǎn)，加強網(wǎng)絡邊界的身份認證和訪問控制；e)應采用數(shù)據(jù)標注、水印等溯源技術，對數(shù)據(jù)流經(jīng)節(jié)點及流轉過程中的篡改、泄露、濫用等行為進行溯源。在7.5.2的基礎上滿足以下要求：跨不同法人主體提供核心數(shù)據(jù)的，應當評估安全風險，采取必要的安全防護措施，并事先向本地區(qū)行業(yè)監(jiān)管部門提出審批申請。7.6數(shù)據(jù)公開安全本項要求包括：a)應結合數(shù)據(jù)公開場景，明確數(shù)據(jù)公開范圍、類別、條件、流程等數(shù)據(jù)公開安全策略。b)應在數(shù)據(jù)公開前，分析研判可能對國家安全、公共利益產(chǎn)生的影響，存在重大影響的不得公開。在7.6.1的基礎上滿足以下要求：宜采取數(shù)據(jù)脫敏、數(shù)據(jù)水印等必要措施，保證數(shù)據(jù)公開安全。在7.6.2的基礎上滿足以下要求：核心數(shù)據(jù)原則上不允許公開。本項要求包括a)應建立數(shù)據(jù)銷毀制度，明確銷毀數(shù)據(jù)對象、規(guī)則、流程、技術等要求；b)應對數(shù)據(jù)銷毀活動進行記錄和留存，記錄數(shù)據(jù)銷毀的審批、實施過程，以及被銷毀數(shù)據(jù)的情況在7.7.1的基礎上滿足以下要求：a)不得對銷