数据安全管理制度

数据安全管理制度第一章总则1.1制定目的与依据为规范公司全生命周期数据管理活动，防范数据泄露、篡改、损毁等安全风险，保障公司核心利益、用户合法权益，符合《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规及行业监管要求，结合公司实际业务场景制定本制度。1.2适用范围本制度适用于公司全体正式员工、试用期员工、外包人员、劳务派遣人员、合作方人员等所有接触、使用公司数据的主体，覆盖公司所有业务系统、办公系统、存储介质中产生、存储、传输、使用的全部数据资产。1.3基本原则最小权限原则：所有数据权限授予仅满足岗位工作的最低需求，不得超额授予访问、编辑、导出等非必要权限；全生命周期管控原则：覆盖数据从采集、传输、存储、使用、共享到销毁的全流程，不存在管控空白环节；权责一致原则：按照“谁生产谁负责、谁使用谁负责、谁管理谁负责”的标准明确责任主体，数据产生部门承担首要管理责任，数据使用人承担直接安全责任；动态调整原则：根据数据价值变化、业务场景更新、监管要求调整、技术迭代等情况，及时优化分类分级标准、管控措施与权限范围。第二章组织与职责2.1数据安全委员会公司设立数据安全委员会作为数据安全最高决策机构，由总经理任主任，各业务部门负责人、IT负责人、法务负责人为委员，主要职责包括：审批公司数据安全管理制度、应急预案、重大管控方案；每季度组织召开数据安全专项会议，评审数据安全风险状况，决策重大风险处置方案；审批核心数据对外共享、重大数据安全事件处置等特殊事项；统筹数据安全培训、应急演练、审计考核等全局性工作。2.2IT部门职责IT部门作为数据安全技术落地与日常管理的牵头部门，设置2名专职数据安全管理员，主要职责包括：制定、更新数据安全管理制度与操作规范，开展制度宣贯与培训；部署、维护数据安全技术防护体系，定期开展漏洞扫描、渗透测试、风险排查；负责数据权限的审批、开通、调整、回收，开展权限定期复核；审计数据操作日志，排查异常操作，处置数据安全风险隐患；牵头开展数据安全事件应急处置，配合监管部门调查。2.3业务部门职责各业务部门作为数据生产与使用的责任主体，每个部门设置1名兼职数据安全员，主要职责包括：落实本部门数据安全管理要求，开展本部门员工数据安全日常培训与检查；审核本部门人员的数据权限申请、数据共享申请，确保申请需求真实、合规；梳理本部门数据资产，配合IT部门完成数据分类分级标注、质量核查等工作；发现本部门数据安全风险隐患第一时间上报IT部门，配合开展事件处置。2.4员工通用职责所有接触公司数据的人员需严格遵守数据安全管理制度，妥善保管个人账号密码，不得转借、泄露账号权限，不得超范围使用数据，不得私自拷贝、传输、共享公司敏感数据，发现数据安全隐患第一时间向部门数据安全员或IT部门反馈。第三章数据分类分级管理公司所有数据按照价值、敏感程度、泄露后造成的影响分为三个级别，分类分级标准如下：数据级别级别名称核心定义典型数据范围基础管控要求L1核心数据涉及公司核心竞争力、用户核心隐私、重大经济利益，一旦泄露、篡改、损毁会对公司造成毁灭性打击，或触发严重监管处罚的数据1.用户敏感个人信息：身份证号、银行卡号、人脸特征、生物识别信息、健康信息、行踪轨迹；2.公司核心财务数据：未公开的年度财报、核心利润率、融资数据、重大投资项目明细；3.核心知识产权：未公开的专利技术方案、算法模型、核心代码、产品研发roadmap；4.核心运营数据：付费用户核心标签、全量用户行为数据、核心供应链合作底价1.存储阶段必须采用国密SM2/SM4算法加密，密钥由2名数据安全管理员分别保管半段，合并才可解密；2.访问必须执行双人审批机制，申请人提交申请后需经部门负责人、数据安全委员会主任双签后方可授权；3.仅允许在公司指定的加密办公终端访问，禁止下载、拷贝、截屏、录屏，所有操作全程留痕；4.禁止以任何形式对外提供，确因司法、监管要求需提供的，必须由法务部门审核后报数据安全委员会审批，全程由2名以上工作人员陪同导出、提交，事后留存完整记录；5.备份数据与生产数据执行同等管控要求，异地备份点必须符合等保三级防护标准L2重要数据涉及公司正常运营、普通用户信息、内部管理核心内容，一旦泄露、篡改、损毁会对公司造成较大经济损失或品牌负面影响的数据1.用户非敏感个人信息：手机号、收货地址、消费记录（不含支付敏感信息）；2.公司内部运营数据：月度经营报表、部门绩效考核数据、非核心供应商合作信息、内部未公开的人事任免文件；3.业务过程数据：未上线的产品运营方案、市场推广计划、客户合作意向书1.存储阶段采用AES256加密，访问权限仅开放给对应岗位的需求人员；2.访问需经部门负责人、数据安全管理员审批，授权期限最长不超过30天，到期自动收回；3.允许在公司办公终端访问，确需下载的需额外申请审批，下载后的文件需加水印，禁止通过公共社交工具传输；4.对外提供需签保密协议，经法务部门、数据安全管理员审核后方可提供，需明确对方的保密责任与数据销毁期限；5.操作日志留存12个月以上，定期审计L3一般数据仅涉及公司内部日常管理、无敏感内容，泄露后不会对公司造成明显损失的数据1.内部公开的管理制度、培训资料、部门日常工作通知；2.已对外公开的产品介绍、宣传资料、招聘信息；3.常规行政办公流程产生的非敏感审批记录1.存储无强制加密要求，访问权限开放给全体内部员工；2.无需额外审批即可正常访问，仅编辑、删除操作需经部门负责人审批；3.对外提供无需特殊审核，由业务部门自行判断即可数据分类分级每年更新一次，业务部门产生新的data资产需在7个工作日内报IT部门完成级别标注，不得私自将高敏感数据标注为低级别数据规避管控。第四章数据全生命周期管控4.1数据采集管控合法性要求：采集用户个人信息必须严格遵守《个人信息保护法》要求，在用户注册、授权页面明确告知用户采集目的、范围、使用方式、存储期限，取得用户明示同意后方可采集，不得超范围采集与业务无关的用户信息，不得强制用户授权非必要权限；准确性要求：采集数据必须设置格式校验、逻辑校验规则，对异常数据自动拦截，采集通道的数据错误率超过0.1%时必须立即关停整改，每季度开展一次全量数据质量核查，清理无效、重复、错误数据，数据准确率需保持在99.9%以上；安全性要求：数据采集工具、采集接口必须经过IT部门安全检测，不得内置后门、恶意代码，采集接口必须设置身份校验、访问频率限制、防爬规则，防止被恶意爬虫批量窃取数据。4.2数据传输管控加密要求：L1、L2级数据传输必须采用HTTPS、IPsecVPN等加密传输通道，禁止通过HTTP明文传输，跨区域传输核心数据需经过专线通道；渠道限制：L1级数据禁止通过微信、QQ、个人邮箱、公有云盘等公共服务渠道传输，L2级数据确需通过外部渠道传输的必须加密压缩后设置16位以上包含数字、字母、特殊字符的复杂度密码，密码通过单独的线下或加密渠道告知接收方，不得与加密文件同渠道传输；校验要求：L1级数据传输完成后必须进行完整性校验，比对哈希值确认数据未被篡改，传输记录包含发送人、接收人、传输时间、数据范围、校验结果，留存12个月以上。4.3数据存储管控存储介质要求：L1级数据必须存储在公司本地自建的符合等保三级标准的服务器中，禁止存储在公有云服务、个人终端、第三方存储设备中，L2级数据确需存储在公有云的必须选择符合等保二级以上标准的云服务商，签订数据安全协议；备份要求：L1、L2级数据必须执行“本地+异地”双备份机制，本地增量备份每天一次，全量备份每周一次，异地全量备份每月一次，备份数据每季度开展一次恢复测试，恢复成功率需达到100%，备份介质专人保管，不得私自调取；介质管理：存储过L1、L2级数据的硬盘、U盘、光盘等存储介质严禁带出公司，确因维修、送检需求带出的必须经数据安全委员会主任审批，全程登记使用轨迹，归还后立即进行全量数据擦除，严禁私自拆卸、处置存储介质。4.4数据使用管控脱敏要求：开发、测试、数据分析、外部合作等非生产场景使用L1、L2级数据必须进行脱敏处理，将身份证号、手机号、银行卡号等敏感字段替换为虚拟值，不得使用真实敏感数据用于非生产场景，脱敏规则由IT部门统一制定，不得私自调整脱敏规则；操作限制：L1级数据仅允许在线查看，操作界面强制添加包含操作人员姓名、工号、操作时间的动态水印，禁止下载、拷贝、截屏、录屏，L2级数据下载后需添加不可去除的文件水印，禁止转发给非授权人员；使用留痕：所有L1、L2级数据的访问、编辑、下载、导出、删除操作都必须记录操作人、操作时间、操作内容、IP地址、设备信息，操作日志不可删除、篡改，留存期限不低于12个月。4.5数据共享管控内部、外部数据共享需严格按照权限审批流程执行，具体审批要求如下：申请事项数据级别申请材料要求审批流程最长授权期限备注访问权限L3填写权限申请单，说明使用用途申请人提交→部门负责人审批→数据安全员开通权限1年到期前7天自动提醒续期访问/编辑权限L2填写权限申请单，说明使用用途、使用范围、需操作的字段申请人提交→部门负责人审批→数据安全管理员审批→开通权限30天到期自动收回，确需继续使用的需重新申请访问/下载/导出权限L1填写权限申请单，附详细的使用方案，明确数据使用的全流程管控措施申请人提交→部门负责人审批→数据安全管理员审核→数据安全委员会主任审批→开通权限7天仅开放在线查看权限，确需导出的需额外说明理由，导出的文件全程加密管控跨部门共享权限L2/L3填写数据共享申请单，说明共享范围、接收方、用途、使用期限申请人提交→数据所属部门负责人审批→数据安全管理员审批→开通权限30天仅开放给指定的接收人员，不得二次转发外部共享权限L2填写外部共享申请单，附保密协议、对方数据安全保障能力说明申请人提交→部门负责人审批→法务部门审核→数据安全委员会委员审批→允许共享6个月必须脱敏后提供，明确对方销毁期限合作方、外包人员的数据权限仅满足其项目工作需求，项目结束后3个工作日内IT部门立即收回所有权限，不得保留任何访问权限。4.6数据销毁管控逻辑销毁：线上存储的L1、L2级数据销毁必须采用符合国家规范的数据擦除工具进行至少3次覆写操作，不得仅执行删除、格式化操作，销毁后需进行数据恢复测试，确认无法恢复后方可认定销毁完成；物理销毁：存储过L1级数据的物理介质报废时必须采用消磁、物理粉碎的方式进行销毁，销毁过程需由2名以上工作人员监销，填写《数据销毁记录》，留存销毁照片、视频，不得随意丢弃、转售存储介质；销毁审核：L1、L2级数据销毁必须经数据所属部门负责人、数据安全管理员审批后方可执行，销毁记录留存3年以上。第五章技术防护体系建设5.1边界防护公司网络边界部署下一代防火墙、入侵检测系统、入侵防御系统，实时拦截恶意攻击、非法访问、病毒传播，每周更新一次防护规则，每月进行一次全系统漏洞扫描，每季度开展一次第三方渗透测试，发现的高危漏洞必须在72小时内完成整改，中危漏洞15天内整改，低危漏洞30天内整改，整改完成后进行复测，确保漏洞清零。5.2终端防护所有员工办公终端必须安装统一的终端安全管理系统，强制开启防火墙、防病毒功能，病毒库每天自动更新，禁止私自卸载终端安全软件，禁止私自外接U盘、移动硬盘等存储介质，确需外接的必须经部门负责人审批，使用公司统一配发的加密U盘，终端安全管理系统实时监控文件拷贝、传输行为，发现敏感数据异常传输立即拦截并告警。5.3加密体系建立统一的数据加密管理平台，对L1、L2级数据的存储、传输、使用全流程加密，加密密钥采用分级管理机制，根密钥由数据安全委员会主任离线保管，工作密钥由数据安全管理员保管，密钥每90天更换一次，更换记录留存3年以上，密钥丢失必须立即启动应急预案，更换所有加密密钥，排查数据泄露风险。5.4日志管理建立统一的日志审计平台，采集所有服务器、终端、应用系统的操作日志，日志内容包含操作人、操作时间、操作内容、IP地址、设备信息，日志存储期限不低于6个月，L1级数据的操作日志存储期限不低于12个月，禁止任何人删除、篡改日志，日志访问必须经数据安全委员会主任审批，全程留痕。第六章数据安全事件应急处置公司按照事件影响程度将数据安全事件分为三个级别，响应要求如下：事件级别事件定义响应主体响应时限处置流程一级事件（特别重大）1.L1级数据泄露、篡改、损毁，涉及用户敏感信息超过1000条，或造成直接经济损失超过100万元；2.触发监管部门调查、行政处罚，或引发大面积用户投诉、全国性品牌负面舆情数据安全委员会1小时内启动响应1.第一时间切断泄露源，隔离涉事设备、账号，防止数据进一步扩散；2.成立应急处置小组，24小时内完成事件调查，明确事件原因、影响范围、损失情况；3.4小时内上报属地网信、公安等监管部门，按照监管要求配合调查；4.如需告知用户的，在监管部门指导下72小时内完成用户告知，做好用户沟通与权益保障；5.制定整改方案，15天内完成整改，复盘事件原因，更新管理制度与防护措施二级事件（重大）1.L2级数据泄露、篡改、损毁，涉及用户信息超过1000条，或造成直接经济损失10-100万元；2.引发局部用户投诉、区域级品牌负面舆情IT部门、涉事业务部门2小时内启动响应1.第一时间切断风险源，管控涉事人员、设备；2.12小时内完成事件初步调查，明确影响范围；3.24小时内上报数据安全委员会，制定处置方案；4.涉及用户权益的，及时采取补救措施，防止损失扩大；5.7天内完成整改，提交事件调查报告与整改报告三级事件（一般）1.L3级数据泄露、篡改、损毁，或L2级数据泄露涉及用户信息不足100条，造成直接经济损失低于10万元；2.未造成实际损失的数据安全风险隐患涉事业务部门、数据安全管理员4小时内启动响应1.立即排查风险源，消除隐患；2.24小时内完成事件调查，上报IT部门；3.3天内完成整改，提交整改记录数据安全委员会每半年组织一次数据安全应急演练，演练内容包含数据泄露、数据篡改、勒索病毒攻击等常见场景，演练结束后3天内完成复盘，评估应急处置能力，更新应急预案，演练记录留存3年以上。第七章审计与追责7.1定期审计数据安全管理员每季度开展一次日常数据安全审计，重点审计L1、L2级数据的操作日志、权限使用情况，发现异常操作立即开展调查，每半年开展一次全面的数据安全审计，覆盖所有部门、所有数据类别，审计内容包含制度执行情况、技术防护措施有效性、风险隐患整改情况，审计报告上报数据安全委员会，发现的问题必须在15天内完成整改，整改情况纳入部门绩效考核。7.2追责机制情节轻微，未造成实际损失的：给予口头警告，扣除当月绩效的10%-20%，要