《信息安全基础》（余棉水）课件 6.1 合规性概述

第1节合规性概述第6章目

录01信息安全合规性概念02信息安全责任与义务03信息安全标准04信息安全法律法规、政策01信息安全合规性概念什么是信息安全合规性？信息安全合规性是指政府、企业、机构等实体，在实施信息安全相关活动或者信息安全建设时，要与国家信息安全法律法规、政策标准、行业规则和公司章程准则保持一致。概述信息安全合规性应用范畴在我国，各行业、各领域(如政府、银行、电商、金融、媒体等)在实施信息安全建设时，必须满足合规性的相关要求。信息安全合规保护进入强监管时代合规性应用领域02信息安全责任与义务什么是信息安全责任与义务？具体的信息安全责任与义务要求，包括但不限于如下法律法规、政策所给出的相关规定：网络安全法、数据安全法、个人信息保护法、关键基础设施保护条例、刑法与治安管理处罚条例相关规定、信息安全等级保护相关规定、计算机信息系统安全保护条例要求、其它行业与主管部门的相关规定等。信息安全责任与义务根据《网络安全法》要求：公民、法人、社会团体等在各自领域开展信息安全建设，从事信息安全相关工作，实施信息安全相关服务与活动的过程中，必须遵守法律、行政法规，尊重社会公德，遵守商业道德，诚实信用，履行网络安全保护义务，接受政府和社会的监督，承担信息安全相关责任与义务。履行信息安全责任与义务具有强制性信息安全责任与义务具有相关法律依据，不能以个人意志予以变更和排除，行为主体必须按行为指示作为或不作为，没有自行选择的余地。责任与义务具有强制性《中华人民共和国网络安全法》

第六章

法律责任《中华人民共和国网络安全法》第二十一条《中华人民共和国数据安全法》

第四章

数据安全保护义务《中华人民共和国数据安全法》

第六章

法律责任《中华人民共和国个人信息保护法》

第七章

法律责任法律法规节选：落实信息安全责任与义务是实际需求落实信息安全建设，不仅是责任与义务的要求，也是保障信息安全的实际需求。信息安全建设能够防止信息资产被故意或者偶然的非授权导致泄露、更改、破坏，确保信息的完整性、可用性、机密性。责任与义务是实际需求电商行业信息安全建设需求维持平台稳定性、保障平台账号安全、降低商品交易风险金融行业信息安全建设需求提升风控系统监测能力、防范恶意贷款、降低业务风险游戏行业信息安全建设需求保障服务持续不间断、维护网络环境稳定、检测开挂帐号03信息安全标准国家标准简介我国的国家标准分别有GB强制性国家标准、GB/T推荐性国家标准和GB/Z国家标准化指导性技术文件。GB、GB/T、GB/Z概念1强制性标准强制性标准具有法律属性，一经颁布必须贯彻执行。23推荐性标准推荐性标准是自愿采用标准，单一经法律或法规引用，那就具有法律上的约束。国家标准化指导性技术文件由于技术发展过程中或其他理由，将来可能达成一致意见指导性技术文件。信息安全基础标准六类基础标准（一）安全术语类测评基础类本标准主要适用于信息和数据安全保护方面的有关标准及国内外交流

。例如：GB/T5271.8——2001《信息技术

词汇

第8部分：安全》标准适用于计算机信息系统安全保护技术能力等级的划分。例如：GB/T17859——1999《计算机信息系统安全保护等级划分准则》管理基础类标准规定了在组织环境下建立、实现、维护和持续改进信息安全管理体系的要求。例如：GB/T22080——2016《信息技术

安全技术

信息安全管理体系

要求》ABC信息安全基础标准六类基础标准（二）物理安全类标准规定了计算站场地的安全要求。例如：GB/T9361——2011《计算机场地安全要求》安全模型类标准定义一个体系结构模型，以此为基础开发开放系统互联高层独立于应用的安全服务和协议。例如：GB/T17965——2000《信息技术

开放系统互连高层安全模型》安全体系架构类描述了安全服务、特定的普遍性的安全机制，以及安全服务与安全机制之间的关系。例如：GB/T9387.2——1995《信息处理系统开放系统互连基本参考模型

第2部分：安全体系结构》DEF04信息安全法律法规、政策信息安全法律法规2017/6/12021/11/12021/9/12020/1/1《网络安全法》：规定网络安全治理道路《数据安全法》：提升国家数据安全保障能力《密码法》：提出数据保护技术手段《个人信息保护法》：加速个人信息法制化进程我国信息安全法律法规信息安全合规性政策国外安全法规概况美国的三大战略《网络空间安全国家战略》《网络空间国际战略》《网络空间行动战略》近年来，美国通过了50余部与网络空间有关的联邦法律英国的ISO27001信息安全管理体系标准ISO27001的前身为英国的BS7799标准。信息安全管理体系标准（ISO27001)可有效保护信息资源，保护信息化进程健康、有序、可持续发展根据《中华人民共和国网络安全法》相关规定，等级保护作为我国信息安全保障的基本制度。国家实行网络安全等级保护制度，对网络实施分等级保护、分等级监管。安全政策--等保2.0信息安全合规性政策一览图1月《“十四五”数字经济发展规划》、《关于推动平台经济规范健康持续发展的若干意见》、《要素市场化配置综合改革试点总体方案》、《“十四五”市场监管现代化规划》2月《网络安全审查办法》、《互联网信息服务深度合成管理规定(征求意见稿)》、《关于进一步规范移动智能终端应用软件预置行为的通告(征求意见稿)》、《关于加快推进电子证照扩大应用领域和全国互通互认的意见》3月《2022年政府工作报告》、《2022年提升全民数字素养与技能工作要点》、《互联网信息服务算法推荐管理规定》4月《关于加快建设全国统一大市场的意见》、《中央全面深化改革委员会第十五次会议》、《移动互联网应用程序个人信息保护管理暂行规定(征求意见稿)》5月《关于推进实施国家文化数字化战略的意见》6月《数据安全管理认证实施规则》、《“中国+中亚五国”数据安全合作倡议》、《移动互联网应用程序信息服务管理规定》、《反电信网络诈骗法（草案二次审议稿）》、《关于构建数据基础制度更好发挥数据要素作用的意见》、《关于加强数字政府建设的指导意见》、《互联网用户账号信息管理规定》2022年上半年信息安全合规性政策（部分）举例信息安全合规性政策介绍信息安全合规性概念介绍信息安全责任与义务要求。讲解什么是信息安全责任与义务，安全责任与义务具有强制性以及落实信息安全责任与义务是实际需求介绍GB、