DB3415T 90-2024公共數(shù)據(jù)安全管理規(guī)范

3415Publicdatasecuritymanagementstandards本文件按照GB/T1.1—2020《標準化工作導(dǎo)則第1部分：標準化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定公共數(shù)據(jù)安全管理規(guī)范4.1合法合規(guī)原則4.4最小必要原則數(shù)據(jù)處理活動僅處理可滿足特定公共服務(wù)為目的所需的最少數(shù)據(jù)類型4.5全程可控原則5.1組織機構(gòu)管理5.1.2應(yīng)明確組織內(nèi)負責(zé)數(shù)據(jù)安全管理的部門，5.1.3應(yīng)建立數(shù)據(jù)安全管理制度，依照相關(guān)要求定期論證、按需修訂。5.1.5應(yīng)建立數(shù)據(jù)安全追責(zé)問責(zé)機制，同時設(shè)立5.2人員管理6.1.1.1遵循“最小必要”和“一數(shù)一源、一源多用”原則開展數(shù)據(jù)采集工作。僅采集達成特定合法6.1.1.2應(yīng)建立健全數(shù)據(jù)采集流程體系，依據(jù)統(tǒng)一標準構(gòu)建數(shù)據(jù)采集相關(guān)工具。確保相關(guān)系統(tǒng)配備詳盡的日志記錄功能，完整記錄數(shù)據(jù)采集授權(quán)過程，以便追溯6.1.1.3明確數(shù)據(jù)采集過程中重要數(shù)據(jù)的知悉范圍，運用加密、訪問限制等技術(shù)手段保障重要數(shù)據(jù)在素，對公共數(shù)據(jù)進行科學(xué)分類分級，為后續(xù)差異化的數(shù)據(jù)管理與安全防護策略制定提6.1.3.1精準確定數(shù)據(jù)采集的渠道和外部數(shù)據(jù)源，對外部數(shù)據(jù)源的合法性進行嚴格審查與確認，包括6.1.3.2規(guī)范數(shù)據(jù)采集的渠道、格式與方式，確保數(shù)據(jù)采集的合規(guī)性、完整性、實時性和一致性。運6.1.3.3建立疑義、錯誤信息快速校核機制。公共數(shù)據(jù)使用部門若對獲取的共享數(shù)據(jù)資源存疑或發(fā)現(xiàn)6.2.1.2對數(shù)據(jù)傳輸兩端進行嚴格的身份6.2.2.1制定網(wǎng)絡(luò)安全性管理指標，涵蓋安全性的故障時間、故障率等內(nèi)容，并據(jù)此建立網(wǎng)絡(luò)服務(wù)配置方案。對關(guān)鍵的網(wǎng)絡(luò)傳輸鏈路、網(wǎng)絡(luò)設(shè)備節(jié)點實行冗余建設(shè)，確保網(wǎng)絡(luò)傳輸?shù)目煽啃耘c穩(wěn)定性。6.2.2.2部署負載均衡、防入侵攻擊、數(shù)據(jù)防泄漏檢測等設(shè)備與技術(shù)，有效防范網(wǎng)絡(luò)安全性及數(shù)據(jù)泄6.3.1.2數(shù)據(jù)存儲應(yīng)采取脫敏、加密、訪問控制等多重安全措施，依托政務(wù)云平臺或?qū)I(yè)信息系統(tǒng)開展容災(zāi)備份，建立數(shù)據(jù)恢復(fù)機制并定期開展數(shù)據(jù)恢復(fù)演練，確保數(shù)據(jù)的保密性、完整性和可6.3.1.3建立數(shù)據(jù)邏輯存儲隔離授權(quán)機制，具備多租戶存儲的安全隔離能力，防止不同用戶數(shù)據(jù)之間6.3.2.1制定完善的數(shù)據(jù)備份與恢復(fù)管理制度，明確數(shù)據(jù)備份與恢復(fù)的操作規(guī)程。詳細定義數(shù)據(jù)備份和恢復(fù)的范圍、過程、日志記錄等內(nèi)容，確保6.3.2.3通過風(fēng)險提示和技術(shù)手段避免非過期數(shù)據(jù)的誤刪除，確保在一定的時間窗口內(nèi)的誤刪除數(shù)據(jù)6.4.1.1明確數(shù)據(jù)使用的場景、目的和范圍，建立完善的數(shù)據(jù)使用過程安全機制。根據(jù)不同數(shù)據(jù)使用場景采用針對性的安全處理措施，有效降低數(shù)據(jù)敏感度及暴露風(fēng)6.4.1.2依據(jù)數(shù)據(jù)使用目的建立嚴格的訪問控制機制，限定用戶可訪問數(shù)據(jù)范圍，詳細記錄數(shù)據(jù)使用操作過程，具備數(shù)據(jù)使用風(fēng)險監(jiān)測和處理能力，對違規(guī)操作行為進行及時有效的識別與處置。6.4.2.1在進行數(shù)據(jù)共享前，應(yīng)明確數(shù)據(jù)共享內(nèi)容范圍、管控措施以及數(shù)據(jù)共享涉及單位或部門相關(guān)6.4.2.2采用國家相關(guān)標準規(guī)定的先進密碼技術(shù)，保障數(shù)據(jù)共享過程的保密性和完整性。對請求共享6.4.2.3應(yīng)對共享數(shù)據(jù)及數(shù)據(jù)共享過程進行定期監(jiān)控審計，共享的數(shù)據(jù)應(yīng)嚴格屬于共享業(yè)務(wù)需求且沒6.4.3.1建立嚴格的數(shù)據(jù)開放審核制度，對擬開放的數(shù)據(jù)進行全面、細致的審核，確保數(shù)據(jù)開放符合6.4.3.2定期審查開放的數(shù)據(jù)中是否含有非公開信息，如敏感個人信息、商業(yè)機密等，并采取相應(yīng)措6.4.3.3建立數(shù)據(jù)開放平臺，實現(xiàn)公開數(shù)據(jù)登記、用戶注冊等驗證互認機制，提高數(shù)據(jù)開放的管理效6.5.1建立數(shù)據(jù)銷毀與刪除規(guī)范，明確數(shù)據(jù)銷毀與刪除的場景、方式及審批制度，詳細記錄數(shù)據(jù)銷毀與刪除操作過程，確保數(shù)據(jù)銷毀工作的可追6.5.2如