数据安全管理规范实施细则

数据安全管理规范实施细则一、总则（一）目的与适用范围。为规范数据安全管理行为，明确数据安全保护责任，防范数据安全风险，保障数据安全，本细则适用于本单位所有部门及人员，涵盖数据全生命周期的安全管理要求。数据安全管理工作必须遵循合法合规、最小必要、分级分类、动态调整的原则，确保数据安全保护措施与数据安全风险相匹配。本细则所称数据，是指以电子或者其他方式记录的，与本单位业务活动相关，能够直接或者间接识别公民个人、法人或者其他组织的各种信息，包括但不限于经营数据、管理数据、科研数据、个人信息等。本细则所称数据安全，是指通过采取技术、管理、法律等手段，保障数据在采集、传输、存储、使用、共享、销毁等环节的保密性、完整性、可用性，防止数据泄露、篡改、丢失或者被非法利用。本细则所称数据安全管理，是指为保障数据安全而采取的管理措施，包括数据安全制度建设、数据安全风险评估、数据安全事件处置、数据安全教育培训等。本细则所称数据安全责任，是指本单位各部门及人员依法应当履行的数据安全保护义务，包括但不限于遵守数据安全法律法规、执行数据安全管理制度、履行数据安全岗位职责等。（二）基本原则。数据安全管理必须坚持合法合规原则，严格遵守国家有关数据安全的法律法规和政策要求，确保数据安全管理工作符合法律法规的规定。数据安全管理必须坚持最小必要原则，即只收集、存储、使用、共享、销毁与业务活动相关的必要数据，避免过度收集、过度存储、过度使用、过度共享、过度销毁数据。数据安全管理必须坚持分级分类原则，根据数据的敏感程度和重要程度，对数据进行分类分级，并采取相应的安全保护措施。数据安全管理必须坚持动态调整原则，根据数据安全风险的变化情况，及时调整数据安全保护措施，确保数据安全保护措施与数据安全风险相匹配。数据安全管理必须坚持全员参与原则，所有部门及人员都应当积极参与数据安全管理工作，共同维护数据安全。二、组织架构与职责（一）领导小组。成立数据安全工作领导小组，负责统筹协调本单位数据安全管理工作，研究制定数据安全管理制度，审批数据安全风险处置方案，监督数据安全管理工作落实情况。领导小组由单位主要负责人担任组长，分管领导担任副组长，相关部门负责人为成员。领导小组下设办公室，负责日常工作，办公室设在信息技术部门。领导小组每年至少召开2次会议，研究部署数据安全管理工作，每季度至少召开1次会议，听取数据安全管理工作汇报，协调解决数据安全管理工作中的重大问题。（二）部门职责。信息技术部门负责数据安全技术的管理，包括数据安全技术研发、数据安全设备维护、数据安全事件技术处置等。负责制定数据安全技术标准，组织数据安全技术培训，开展数据安全风险评估，制定数据安全事件应急预案，组织数据安全事件处置。负责数据安全设备的选型、采购、安装、调试、维护和更新，确保数据安全设备正常运行。负责数据安全系统的建设、运行和维护，确保数据安全系统安全可靠。负责数据安全数据的备份和恢复，确保数据安全数据不丢失、不损坏。负责数据安全事件的监测、预警、报告和处置，确保数据安全事件得到及时有效处置。负责数据安全技术的研发和应用，提升数据安全技术防护能力。负责数据安全设备的运行维护和更新，确保数据安全设备正常运行。负责数据安全系统的运行维护和更新，确保数据安全系统安全可靠。负责数据安全数据的备份和恢复，确保数据安全数据不丢失、不损坏。负责数据安全事件的监测、预警、报告和处置，确保数据安全事件得到及时有效处置。（三）岗位职责。各部门主要负责人对本部门数据安全负总责，负责组织本部门数据安全管理工作，落实数据安全管理制度，监督本部门数据安全责任履行情况。各部门数据安全员负责本部门数据安全的具体管理工作，包括数据安全制度宣传、数据安全教育培训、数据安全事件报告、数据安全事件处置等。数据安全员应当具备必要的数据安全知识和技能，能够识别数据安全风险，采取数据安全保护措施，处置数据安全事件。数据安全员应当定期参加数据安全培训，不断提升数据安全知识和技能。数据安全员应当及时向信息技术部门报告本部门数据安全事件，并协助信息技术部门处置数据安全事件。数据安全员应当对本部门数据进行分类分级，并采取相应的安全保护措施。数据安全员应当对本部门数据安全情况进行定期检查，及时发现并消除数据安全风险。三、数据分类分级（一）分类分级标准。根据数据的敏感程度和重要程度，将数据分为核心数据、重要数据、一般数据三个等级。核心数据是指一旦泄露、篡改、丢失或者被非法利用，会对本单位造成特别严重损害的数据，包括但不限于经营数据、管理数据、科研数据等。重要数据是指一旦泄露、篡改、丢失或者被非法利用，会对本单位造成严重损害的数据，包括但不限于客户数据、员工数据、财务数据等。一般数据是指一旦泄露、篡改、丢失或者被非法利用，会对本单位造成损害但损害程度较轻的数据，包括但不限于公开数据、非敏感数据等。数据分类分级应当遵循最小必要原则，即只对与业务活动相关的必要数据进行分类分级，避免过度分类分级。数据分类分级应当遵循动态调整原则，根据数据安全风险的变化情况，及时调整数据分类分级。（二）分类分级流程。各部门负责本部门数据的分类分级工作，信息技术部门负责指导各部门进行数据分类分级，并对数据分类分级结果进行审核。数据分类分级流程包括数据识别、数据评估、数据分类、数据分级、数据登记等步骤。数据识别是指识别出需要分类分级的数据，包括但不限于经营数据、管理数据、科研数据、客户数据、员工数据、财务数据、公开数据、非敏感数据等。数据评估是指对识别出的数据进行评估，评估内容包括数据的敏感程度、重要程度、风险程度等。数据分类是指根据数据评估结果，将数据分为核心数据、重要数据、一般数据三个等级。数据分级是指对分类后的数据，根据其敏感程度和重要程度，进一步细分为不同的级别，例如核心数据可以分为核心一级、核心二级等。数据登记是指将数据分类分级结果进行登记，建立数据分类分级清单，并定期更新。（三）分类分级结果应用。数据分类分级结果应用于数据安全保护措施的设计和实施，根据数据分类分级结果，采取不同的安全保护措施。核心数据应当采取最高级别的安全保护措施，重要数据应当采取较高的安全保护措施，一般数据应当采取相应的安全保护措施。数据分类分级结果应用于数据安全事件的处置，根据数据分类分级结果，确定数据安全事件的处置优先级，核心数据安全事件应当优先处置，重要数据安全事件应当及时处置，一般数据安全事件应当按规定处置。数据分类分级结果应用于数据安全责任追究，根据数据分类分级结果，确定数据安全责任追究的范围和力度，核心数据安全事件的责任追究范围更广，责任追究力度更大，重要数据安全事件的责任追究范围较广，责任追究力度较大，一般数据安全事件的责任追究范围较窄，责任追究力度较小。四、数据安全保护措施（一）数据采集安全。数据采集应当遵循合法合规原则，严格遵守国家有关数据安全的法律法规和政策要求，确保数据采集行为符合法律法规的规定。数据采集应当遵循最小必要原则，即只采集与业务活动相关的必要数据，避免过度采集数据。数据采集应当采用安全可靠的采集方式，防止数据在采集过程中被泄露、篡改、丢失或者被非法利用。数据采集应当对采集的数据进行脱敏处理，防止采集的数据泄露个人信息。数据采集应当对采集的数据进行加密存储，防止采集的数据被非法读取。数据采集应当对采集的数据进行访问控制，防止采集的数据被非法访问。数据采集应当对采集的数据进行审计，记录数据采集操作，便于追溯数据采集行为。（二）数据传输安全。数据传输应当遵循合法合规原则，严格遵守国家有关数据安全的法律法规和政策要求，确保数据传输行为符合法律法规的规定。数据传输应当遵循最小必要原则，即只传输与业务活动相关的必要数据，避免过度传输数据。数据传输应当采用安全可靠的传输方式，防止数据在传输过程中被泄露、篡改、丢失或者被非法利用。数据传输应当对传输的数据进行加密处理，防止传输的数据被非法读取。数据传输应当对传输的数据进行访问控制，防止传输的数据被非法访问。数据传输应当对传输的数据进行审计，记录数据传输操作，便于追溯数据传输行为。数据传输应当对传输的数据进行完整性校验，防止传输的数据被篡改。（三）数据存储安全。数据存储应当遵循合法合规原则，严格遵守国家有关数据安全的法律法规和政策要求，确保数据存储行为符合法律法规的规定。数据存储应当遵循最小必要原则，即只存储与业务活动相关的必要数据，避免过度存储数据。数据存储应当采用安全可靠的存储方式，防止数据在存储过程中被泄露、篡改、丢失或者被非法利用。数据存储应当对存储的数据进行加密存储，防止存储的数据被非法读取。数据存储应当对存储的数据进行访问控制，防止存储的数据被非法访问。数据存储应当对存储的数据进行备份和恢复，确保存储的数据不丢失、不损坏。数据存储应当对存储的数据进行审计，记录数据存储操作，便于追溯数据存储行为。数据存储应当对存储的数据进行定期清理，防止存储的数据过时、无用。（四）数据使用安全。数据使用应当遵循合法合规原则，严格遵守国家有关数据安全的法律法规和政策要求，确保数据使用行为符合法律法规的规定。数据使用应当遵循最小必要原则，即只使用与业务活动相关的必要数据，避免过度使用数据。数据使用应当采用安全可靠的使用方式，防止数据在使用过程中被泄露、篡改、丢失或者被非法利用。数据使用应当对使用的数据进行脱敏处理，防止使用的数据泄露个人信息。数据使用应当对使用的数据进行访问控制，防止使用的数据被非法访问。数据使用应当对使用的数据进行审计，记录数据使用操作，便于追溯数据使用行为。数据使用应当对使用的数据进行风险评估，及时发现并消除数据使用过程中的数据安全风险。（五）数据共享安全。数据共享应当遵循合法合规原则，严格遵守国家有关数据安全的法律法规和政策要求，确保数据共享行为符合法律法规的规定。数据共享应当遵循最小必要原则，即只共享与业务活动相关的必要数据，避免过度共享数据。数据共享应当采用安全可靠的方式共享数据，防止数据在共享过程中被泄露、篡改、丢失或者被非法利用。数据共享应当对共享的数据进行脱敏处理，防止共享的数据泄露个人信息。数据共享应当对共享的数据进行加密传输，防止共享的数据被非法读取。数据共享应当对共享的数据进行访问控制，防止共享的数据被非法访问。数据共享应当对共享的数据进行审计，记录数据共享操作，便于追溯数据共享行为。数据共享应当对共享的数据进行风险评估，及时发现并消除数据共享过程中的数据安全风险。（六）数据销毁安全。数据销毁应当遵循合法合规原则，严格遵守国家有关数据安全的法律法规和政策要求，确保数据销毁行为符合法律法规的规定。数据销毁应当遵循最小必要原则，即只销毁不再需要的或者过时的数据，避免过度销毁数据。数据销毁应当采用安全可靠的方式销毁数据，防止数据在销毁过程中被恢复或者泄露。数据销毁应当对销毁的数据进行彻底销毁，防止数据被非法恢复。数据销毁应当对销毁的数据进行审计，记录数据销毁操作，便于追溯数据销毁行为。数据销毁应当对销毁的数据进行风险评估，及时发现并消除数据销毁过程中的数据安全风险。五、数据安全事件处置（一）事件报告。发生数据安全事件，应当立即向数据安全工作领导小组报告，并按照规定向有关部门报告。数据安全事件报告应当包括事件发生时间、事件发生地点、事件发生原因、事件造成的影响、事件处置措施等内容。数据安全事件报告应当及时、准确、完整，不得迟报、漏报、瞒报、谎报。数据安全事件报告应当采用书面形式，并按照规定报送有关部门。（二）事件处置。数据安全事件发生后，应当立即启动应急预案，采取必要的措施，防止事件扩大，减少事件损失。数据安全事件处置应当遵循先控制、后处置、再恢复的原则，先控制事件发展，防止事件扩大，然后处置事件，消除事件隐患，最后恢复数据，确保数据安全。数据安全事件处置应当采取以下措施：隔离受影响的系统，防止事件扩散；评估事件影响，确定事件处置优先级；采取必要的措施，防止事件扩大；消除事件隐患，防止事件再次发生；恢复数据，确保数据安全；对事件处置过程进行记录，便于追溯事件处置过程。（三）事件调查。数据安全事件处置完毕后，应当对事件进行调查，查明事件原因，确定事件责任人，并采取相应的措施，防止事件再次发生。事件调查应当由数据安全工作领导小组组织，相关部门参与。事件调查应当查明事件发生的时间、地点、原因、过程、影响等，并形成事件调查报告。事件调查报告应当包括事件发生时间、事件发生地点、事件发生原因、事件造成的影响、事件处置措施、事件责任人、事件防范措施等内容。（四）事件总结。数据安全事件调查完毕后，应当对事件进行总结，总结经验教训，改进数据安全管理工作。事件总结应当由数据安全工作领导小组组织，相关部门参与。事件总结应当分析事件发生的原因，总结经验教训，提出改进措施，并形成事件总结报告。事件总结报告应当包括事件发生原因、经验教训、改进措施等内容。六、数据安全监督管理（一）监督检查。数据安全工作领导小组应当定期对数据安全管理工作进行监督检查，及时发现并纠正数据安全管理工作中的问题。数据安全监督检查应当包括对数据安全制度执行情况、数据安全责任履行情况、数据安全保护措施落实情况、数据安全事件处置情况等的监督检查。数据安全监督检查应当采用定期检查、不定期检查、专项检查等多种方式，确保数据安全监督检查的全面性和有效性。数据安全监督检查应当形成检查报告，对检查中发现的问题，应当及时督促整改。（二）考核评价。数据安全工作领导小组应当定期对数据安全管理工作进行考核评价，考核评价结果应当作为部门绩效考核和人员奖惩的重要依据。数据安全考核评价应当包括对数据安全制度执行情况、数据安全责任履行情况、数据安全保护措施落实情况、数据安全事件处置情况等的考核评价。数据安全考核评价应当采用定性与定量相结合的方式，确保数据安全考核评价的科学性和客观性。数据安全考核评价应当形成考核评价报告，对考核评价中发现的问题，应当及时督促整改。（三）责任追究。对违反数据安全管理制度，造成数据安全事件的责任人，应当依法依规追究责任。数据安全责任追究应当遵循公平公正、依法依规的原则，对责任人应当根据其责任大小，分别给予警告、罚款、降级、撤职、开除等处分。数据安全责任追究应当形成责任追