DB23T 3696-2024 大数据安全服务人员能力评价

ICS03.080.01CCSA20

DB23黑 龙 江 省 地 方 标 准DB23/T3696—2024大数据安全服务人员能力评价2024-06-13发布 2024-07-12实施黑龙江省市场监督管理局 发布DB23/T3696-2024DB23/T3696-2024前 言本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。请注意本文件的某些内容可能涉及专利，本文件的发布机构不承担识别专利的责任。本文件由黑龙江省互联网信息办公室提出并归口。本文件起草单位：黑龙江省大数据产业协会、黑龙江亿林网络股份有限公司、哈尔滨财富通科技发（黑龙江有IDB23/T3696-2024DB23/T3696-2024PAGEPAGE10大数据安全服务人员能力评价范围本文件适用于大数据安全服务人员能力的评价。规范性引用文件（包括所有的修改单适用于本文件。GB/T35274信息安全技术大数据服务安全能力要求GB/T35295信息技术大数据术语GB/T37973信息安全技术大数据安全管理指南GB/T38667信息技术大数据数据分类指南GB/T42446信息安全技术网络安全从业人员能力基本要求GB/T43697数据安全技术数据分类分级规则术语和定义GB/T35274、GB/T35295、GB/T37973、GB/T38667、GB/T42446、GB/T43697界定的以及下列术语和定义适用于本文件。大数据安全服务人员能力评价对人员的知识和技能水平进行客观、公正、规范的评价活动。评价原则评价要求申报人员应具备以下要求：良好的职业道德和敬业精神，无不良信用记录；掌握大数据安全相关领域知识和技术，并具备至少一年的大数据安全服务工作经验；具备团队协作能力，能够跨部门协同和团队协作。大数据安全服务人员岗位分类大数据安全服务管理人员岗位能力评级数据采集管理人员岗位能力数据分级管理能力一级指标在他人的指导和协助下，能够完成对数据的分类和分级工作。二级指标包括但不限于：熟悉并掌握整体数据的安全分类与分级原则；具备划分数据类别与级别的能力；熟知业务需求及外部法规要求，对核心业务数据实施科学合理的分类与分级管理。三级指标包括但不限于：能够确立数据分类分级的指导原则、方法和实践指南；具备对数据进行精确分类和定级标记的管理能力；能够制定数据分类、分级变更的审批流程与机制。数据采集管理能力一级指标在他人指导和协助下，能够有效地完成数据采集的管理工作。二级指标包括但不限于：确保所有数据采集活动合理、合法、合规，深入了解核心业务数据采集的原则；能够确认外部数据源的合法性和安全性，了解数据采集的渠道和外部数据源。三级指标包括但不限于：熟知数据采集原则的制定，能够熟练掌握业务相关的数据采集流程和方法；能够合理规划自动化数据采集的范围；具备制定数据采集安全管理制度的能力，能够为团队提供清晰明确的指导；能够明确数据采集过程中个人信息源重要数据的知悉范围，并制定相应的管控措施。数据源鉴别及记录管理能力一级指标在他人的指导和协助下，能够有效的记录并管理收集的数据。二级指标包括但不限于：熟知数据源鉴别与数据采集业务，能够灵活运用并指导实际工作；具备制定数据源鉴别标准和数据采集流程的能力。三级指标包括但不限于：能够制定数据源管理制度，对组织采集的数据源进行鉴别和记录管理；具备制定数据源鉴别标准的能力；具备制定数据备份管理制度的能力。数据质量管理的管理能力一级指标在他人的指导和协助下，具备完成数据质量管理和监控任务的能力。二级指标包括但不限于：能够对数据质量进行管理和监控；熟知数据清洗、转换和加载操作相关的安全管理规范。三级指标包括但不限于：能够建立关于数据质量管理的各项要求；能够制定数据采集阶段的关键数据质量控制规范，并具备执行数据质量评估工作的能力；能够建立与数据清洗、转换和加载操作相关的安全管理规范。数据传输管理人员岗位能力数据加密传输管理能力一级指标在他人的指导和协助之下，能够有效地执行数据加密传输和密钥管理的任务。二级指标包括但不限于：熟悉数据传输安全的管理规定与要求；掌握核心业务中需加密传输的数据范畴及加密算法；具备制定传输通道两端主体身份鉴别与认证技术方案的能力。三级指标包括但不限于：能够制定数据传输安全的管理规范与要求；具备灵活应对数据传输安全策略变更的管理能力；熟知并掌握常用的安全通道方案、身份鉴别和认证技术，以及主管部门推荐的数据加密算法；能够对通道安全配置、密码算法配置、密钥管理进行全面审核及监控管理；能够根据具体的业务需求，合理选择并实施数据传输安全管理措施。网络可用性安全管理能力一级指标在他人的指导和协助下，能够有效地执行网络可用性的管理工作。二级指标包括但不限于：明确网络（安全）设备的可用性管理要求；具备有效管理网络可用性的能力，制定网络安全管理制度。三级指标包括但不限于：具备制定相关设备对网络可用性及数据安全风险规范的能力；能够确立网络可用性管理的关键指标，制定网络服务的配置计划和应急替代策略；能够针对不同业务需求，制定个性化的网络性能安全防护方案。数据存储管理人员岗位能力存储介质安全管理能力一级指标在他人指导和协助下，能够有效地实施对存储媒体的安全管理。二级指标包括但不限于：对存储媒体安全管理的相关制度有深入了解；具备有效实施存储媒体安全管理的能力。三级指标包括但不限于：深入了解不同存储媒体的访问和使用差异，确保安全管理制度的针对性和有效性；能够制定并实施存储媒体的安全管理规范，涵盖访问、使用、审批记录等多个方面；能够制定存储媒体安全管理制度，熟知不同存储媒体访问和使用的差异性；能够建立完善的存储媒体使用、购买和标记的安全制度，确保信息资产的安全性和可追溯性。逻辑存储安全管理能力一级指标在他人指导和协作下，能够完成对数据逻辑存储系统的安全管理。二级指标包括但不限于：具备数据逻辑存储系统的安全管理能力；熟知数据逻辑存储的隔离授权机制与操作流程；掌握逻辑存储系统的架构管理，并能够准确分析数据存储所面临的安全风险。三级指标包括但不限于：具备制定数据逻辑存储管理的安全准则与配置策略的能力；能够构建一套安全管理制度，为逻辑存储系统提供坚实的保障。数据备份和恢复管理能力一级指标在他人指导和协助下，成功执行数据备份与恢复任务的管理能力。二级指标包括但不限于：具备深入理解数据备份、恢复与归档流程及其安全准则的能力；具备制定关于归档数据压缩、加密标准以及安全管控措施的能力；熟知对过期存储数据及其备份数据进行彻底删除或匿名化的各种方法和机制。三级指标包括但不限于：具备建立数据备份恢复管理制度及部署安全措施的能力；熟知数据备份恢复的定期检查更新流程，数据副本的更新频率及保存期限；能够制定数据存储时效性管理规程、数据处理流程以及过期存储数据安全管理要求；能够制定数据生存周期各阶段的归档操作流程；数据处理管理人员岗位能力敏感数据脱敏管理能力一级指标在他人指导和协助下，具备独立完成数据字段脱敏处理任务的管理能力。二级指标包括但不限于：熟知数据脱敏标准流程，清晰掌握数据脱敏的原则、技术方法及应用约束；具备出色的数据脱敏分析能力，熟知脱敏的流程与操作。三级指标包括但不限于：掌握数据脱敏原则与方法的制定能力；能够根据不同数据类型制定脱敏方案，具备根据场景需求自定义脱敏规则的能力；熟知数据脱敏技术方案的制定与实施；具备对数据脱敏处理过程的操作管理能力，以及对脱敏处理安全性的审核能力；能够分析数据脱敏过程中存在的安全风险，提出相应对策。数据分析安全管理能力一级指标在他人指导和协助下，完成对数据分析的管理工作。二级指标包括但不限于：具备对数据安全风险控制的管理能力；了解数据分析安全审核流程；三级指标包括但不限于：能够制定数据分析安全制度；能够建立数据处理与分析安全规范；针对不同分析场景，能够建立有效的解决方案。数据正当使用管理能力一级指标在他人指导和协助下，具备建立数据合规评估机制的能力。二级指标包括但不限于：具备对数据正当使用的风险分析和跟进能力；具备对业务团队人员数据使用的合规性评估能力。三级指标包括但不限于：具备对数据正当使用管理、评估和风险控制的能力；能够制定数据使用正当性管理制度；能够制定数据使用评估制度。数据处理环境安全管理能力一级指标能够在他人指导和协助下完成对数据处理环境的安全管理。二级指标包括但不限于：了解数据处理环境、身份识别、访问控制和安全配置的核心业务；掌握数据管理系统存在的安全风险；能够制定并执行数据处理环境在系统设计、开发和运维阶段的安全控制措施。三级指标包括但不限于：具备制定数据处理环境的安全管理制度的能力；具备建立数据加解密处理规范和密钥管理制度的能力。数据交换管理人员岗位能力数据导入导出安全管理能力一级指标在他人指导和协助下，能够有效的对数据导入导出任务进行风险管理和控制。二级指标包括但不限于：了解核心业务数据导入导出安全制度或审批流程；熟知数据导入导出业务的流程、技术和安全要求等；能够针对具体场景提出有效的数据导入导出解决方案。三级指标包括但不限于：能够建立符合业务规则的数据导入导出安全策略；能够建立数据导入导出存储媒体的标识规范，并定期验证导入导出数据的完整性和可用性；能够根据数据导入导出的业务特点，制定相应的风险评估解决方案。数据共享安全管理能力一级指标在他人指导和协助下，具备对数据共享场景进行安全管控的能力。二级指标包括但不限于：能够对共享数据和整个数据共享过程实施有效的监控和审核。三级指标包括但不限于：能够建立共享数据格式规范，确保数据的一致性和互操作性；能够根据数据共享的业务执行相应的风险评估，并建立相应的解决方案；能够制定数据共享审计规程和审计日志管理制度。数据发布安全管理能力一级指标在他人指导和协助下，能够有效地执行数据发布的安全管理工作。二级指标包括但不限于：熟悉核心业务数据公开发布的安全制度和审核流程；三级指标包括但不限于：能够建立数据安全发布的制度和流程，并根据实际发布要求建立相应的应急方案；能够建立数据公开发布审核制度，并严格审核数据发布合规性；能够建立数据公开事件应急处理流程。数据接口安全管理能力一级指标在他人指导和协助下，能够有效地执行对数据接口的安全管理任务。二级指标包括但不限于：具备审核数据接口访问的能力；拥有对数据接口调用的身份识别和访问监控能力。三级指标包括但不限于：（具备制定数据接口合作协议的能力，能够清晰地界定数据的使用目的、供应方式、保密约定，以及数据安全责任。数据销毁管理人员岗位能力数据销毁安全管理能力一级指标在他人指导和协助下，能够有效的管理数据销毁处置的任务。二级指标包括但不限于：了解数据销毁的场景、销毁对象、销毁方式和销毁要求；能够设计符合企业数据治理要求的存储媒体销毁方案。三级指标包括但不限于：能够建立规范的数据销毁流程和审批流程，确保数据销毁工作的透明性和可追溯性；能够制定硬销毁和软销毁的数据销毁方案；能够建立数据分类分级销毁策略和管理制度；能够制定数据分布式存储的销毁策略与机制。大数据安全服务技术人员岗位能力评级数据采集技术人员岗位能力数据采集技术能力一级指标在他人指导和协助下，具备完成数据采集技术操作的能力。二级指标包括但不限于：了解数据采集的合法性、正当性要求，保证业务数据采集行为符合相关法律、法规的规定；明确个人信息采集的目的、方式和范围，并取得信息主体的明确同意；三级指标包括但不限于：熟知数据采集范围、数量和频度；熟知数据采集的渠道及外部数据源；熟知数据采集原则及流程；能够根据数据采集过程中个人信息源重要数据的知悉范围，执行有效的控制措施。数据源鉴别及记录技术能力一级指标在他人指导和协助下，能够有效鉴别并记录不同的数据源。二级指标包括但不限于：了解数据源鉴别标准和数据采集的业务；具备在核心业务系统的数据采集和外部第三方采集过程中，对数据源进行鉴别和记录的能力。三级指标包括但不限于：具备辨识和记录外部收集的数据及其来源的能力；能够实施追溯数据的备份工作，并运用技术手段确保追溯数据的安全性。数据质量管理的技术能力一级指标在他人指导和协助下，能够有效的执行数据质量管理的技术操作。二级指标包括但不限于：熟悉数据采集阶段影响数据质量的关键要素；三级指标包括但不限于：熟知数据采集阶段的关键数据质量控制要素；能够根据业务特性实施有效的数据质量监控；熟练运用技术工具进行数据清洗、转换和加载。数据传输技术人员岗位能力数据加密传输技术能力一级指标在他人指导和协助下，能够有效的实施对传输通道和传输节点的加密保护措施。二级指标包括但不限于：熟知数据传输安全要求；熟知业务中需要加密传输的数据范围和加密算法；具备对数据加密传输和密钥管理的技术能力；具备对传输通道两端进行主体身份鉴别和认证的技术能力。三级指标包括但不限于：熟知数据加密算法的细节，能够根据业务需求选择合适的加密技术；掌握身份鉴别和认证的技术，具备对常用安全通道方案的深入了解；具备对通道安全配置、密码算法配置、密钥管理进行管控的能力；能够检测传输数据的完整性，确保数据的准确性；拥有数据容错和恢复的技术手段，保障数据的安全性。网络可用性安全技术能力一级指标在他人指导和协助下，能够有效的完成网络冗余的技术构建工作。二级指标包括但不限于：熟悉网络安全中对可用性的核心需求；对于关键的网络传输链路及网络（安全）设备节点，具备实施冗余构建的专业技能。三级指标包括但不限于：熟练掌握网络可用性的关键管理指标；具备有效预防和应对网络可用性问题及数据泄漏风险的能力。数据存储技术人员岗位能力存储介质安全技术能力一级指标在他人指导和协助下，能够对存储介质的访问和使用行为进行记录。二级指标包括但不限于：熟知存储媒体安全管理的相关制度要求；了解存储媒体使用、购买、标记的安全制度；熟知存储媒体访问和使用的安全管理规范；能够对存储介质访问和使用行为进行记录。三级指标包括但不限于：熟知存储媒体安全管理的相关合规要求，了解不同存储媒体访问和使用的差异性；（能够针对各类存储媒体执行格式化操作，建立存储媒体资产标识。逻辑存储安全技术能力一级指标在他人指导和协助下，具备完成对数据逻辑存储环境进行运维工作的能力。二级指标包括但不限于：熟知逻辑存储运维的相关安全制度与规范；具备对数据逻辑存储系统及其存储设备进行高效运维的能力；熟练掌握配置扫描、身份鉴别以及访问控制等关键技术。三级指标包括但不限于：具备对个人信息、重要数据及敏感数据的加密存储技术；对数据存储系统架构有深入理解，能精准识别其中存在的安全风险。数据备份和恢复技术能力一级指标在他人指导和协助下，具备完成对数据备份恢复技术操作的能力。二级指标包括但不限于：了解数据存储时效性管理规程；了解数据备份和恢复的制度；了解数据备份媒体的性能和相关数据的业务特性；了解数据备份与恢复的定期检查和更新工作程序；具备数据备份与恢复的技术操作能力；能够定期采取技术措施查验备份和归档数据完整性和可用性。三级指标包括但不限于：熟知数据生存周期中归档操作的具体流程；熟知归档数据的安全管控措施；掌握按照监管部门要求记录并保存相关数据的能力；熟知过期数据的安全保护机制，并能够重新获取控制者的授权，以确保过期数据的安全处理；（掌握过期数据及其备份数据的彻底删除或匿名化方法，能验证数据删除情况并告知数据使用者；具备跨机柜或跨机房容错部署数据存储的技术能力。数据处理技术人员岗位能力敏感数据脱敏技术能力一级指标在他人指导和协助下，有能力完成对数据字段的脱敏处理任务。二级指标包括但不限于：熟知数据脱敏的原则和方法；具备使用敏感字段屏蔽工具的能力，确保在保护敏感信息的同时，不影响业务的正常运行。三级指标包括但不限于：熟知需要脱敏处理的应用场景和脱敏处理的流程；熟知常规的数据脱敏技术，能够分析数据脱敏过程中存在的安全风险。数据分析安全技术能力一级指标在他人指导和协助下，能够有效地识别和控制数据分析过程中的安全风险因素。二级指标包括但不限于：拥有在数据分析全过程中控制和防范数据安全风险的能力；熟知数据处理与分析过程的安全规范。三级指标包括但不限于：数据正当使用技术能力一级指标在他人指导和协助下，具备有效执行数据合规评估机制的能力。二级指标包括但不限于：能够完整记录数据使用过程；了解数据正当使用的制度。三级指标包括但不限于：熟知数据使用的评估制度；具备对数据正当使用和风险控制能力；具备对数据正当使用风险的分析能力。数据处理环境安全技术能力一级指标二级指标包括但不限于：了解数据处理环境的安全管理要求；拥有在关键业务数据处理环境中，落实身份鉴别、访问权限控制、安全配置的技术能力；能够在数据处理环境的规划、构建以及维护阶段，有效实施相应的安全控制手段。三级指标包括但不限于：熟知数据处理环境的安全要求，能审核外部服务组件的注册与使用，检测数据副本节点更新，并防止数据泄漏；熟练使用数据处理日志管理工具。数据交换技术人员岗位能力数据导入导出安全技术能力一级指标在他人指导和协助下，具备完成数据导入导出技术操作的能力。二级指标包括但不限于：掌握数据导入导出操作流程，具备对数据导入导出业务的理解能力；了解数据导入导出存储媒体的标识规范；能够记录数据导入导出的行为，确保数据导入导出行为可追溯。三级指标包括但不限于：能够记录并审计数据导入导出行为，确保未超出授权范围；具备对终端设备、用户或服务组件的访问控制操作能力；具备在导入导出完成后删除通道缓存数据的能力。数据共享安全技术能力一级指标在他人指导和协助下，具备完成数据共享的技术操作的能力。二级指标包括但不限于：了解数据共享原则和安全规范；具备数据共享业务理解能力，能结合合规性要求提供安全技术方案。三级指标包括但不限于：掌握数据共享的基本原则和技术能力；了解数据提供者和接收者在数据安全方面的责任和能力；熟悉数据共享审计的流程和日志管理要求，并能提供必要的技术协助；根据数据共享的业务需求，执行相应的风险管理和技术操作。数据发布安全技术能力一级指标在他人指导和协助下，能够独立完成数据发布的相关技术操作。二级指标包括但不限于：掌握数据公开的安全机制和操作流程；明确数据公开内容的范围及规范，理解数据发布者的权利与责任。三级指标包括但不限于：精通数据公开事件应急处理流程；熟练掌握数据安全发布的制度与操作规范。数据接口安全技术能力一级指标在他人指导和协助下，能够有效地执行对数据接口的调用操作。二级指标包括但不限于：具备技术工具操作能力，实现数据接口的身份鉴别和访问控制；具备数据接口的安全意识和操作能力；了解数据接口安全要求；熟知数据接口安全控制策略，按规定操作数据接口的安全限制和控制。三级指标包括但不限于：具备限制或过滤不安全输入参数的能力，提供接口异常处理操作；具备实现加密传输和时间戳安全操作的能力；数据销毁技术人员岗位能力数据销毁安全技术能力一级指标在他人指导和协助下，具备执行数据销毁处理任务的能力。二级指标包括但不限于：掌握利用技术