信息安全法律规范

信息安全法律规范一、法律框架体系（一）立法原则。国家实行网络安全等级保护制度，遵循保障安全、促进发展、分级负责、分类指导原则。各单位必须严格遵守《网络安全法》《数据安全法》《个人信息保护法》等法律法规，建立健全信息安全管理体系。违反法律规定的，依法承担民事责任、行政责任，构成犯罪的，依法追究刑事责任。（二）监管机制。国家网信部门负责统筹协调网络安全工作，负责网络安全审查、数据安全监管、个人信息保护等职责。公安部门负责网络安全犯罪侦查、网络安全事件处置。工信部门负责网络安全标准制定、网络安全技术支撑体系建设。各行业主管部门按照职责分工，负责本领域网络安全监管。（三）合规要求。关键信息基础设施运营者必须履行安全保护义务，制定网络安全事件应急预案，定期开展安全评估。数据处理者必须采取必要技术措施，保障数据安全。个人信息处理者必须遵循合法、正当、必要原则，明确处理目的、方式、种类，并取得个人同意。（四）责任划分。网络运营者对网络安全负有主体责任，必须建立网络安全管理制度，落实安全保护责任。使用网络的个人和组织，应当采取必要措施，保障网络安全，防止网络违法犯罪活动。第三方服务机构提供网络安全产品、服务的，应当保证其产品、服务符合相关标准，并承担相应安全责任。（五）国际规则。国家参与网络空间国际治理，推动网络空间命运共同体建设。涉外数据处理活动必须遵守国家法律法规，并符合国际条约、协议规定。境外企业从事数据处理活动的，应当指定境内代理人，并接受国家网信部门监管。（六）标准体系。国家制定网络安全等级保护、数据安全、个人信息保护等标准体系，各单位必须遵守相关标准，并根据实际情况制定内部标准。标准包括技术标准、管理标准、操作标准，覆盖网络安全全生命周期。二、数据安全保护（一）数据分类分级。各单位必须对数据处理活动进行分类分级，明确数据类型、敏感程度、处理方式。重要数据包括个人信息、关键数据、政务数据等，必须采取特殊保护措施。数据分类分级结果应当定期评估，并根据实际情况调整。（二）数据收集规范。收集个人信息必须取得个人同意，并明确告知收集目的、方式、种类、存储期限等。不得收集与业务无关的个人信息，不得过度收集。个人有权要求查询、更正、删除其个人信息，单位应当及时响应。（三）数据传输管理。传输重要数据必须采用加密传输方式，并建立传输日志。跨境传输数据的，必须符合国家相关规定，并取得个人同意。传输过程中必须采取必要措施，防止数据泄露、篡改、丢失。（四）数据存储安全。存储数据的，必须采取加密存储、访问控制等措施，防止数据泄露。重要数据应当异地备份，并定期进行恢复测试。存储期限届满的，应当及时删除或者进行匿名化处理。（五）数据销毁规范。销毁数据的，必须采用物理销毁或者加密销毁方式，并做好销毁记录。不得将数据转移给无资质的机构处理。销毁过程必须全程监控，防止数据恢复或者泄露。（六）数据安全审计。每年至少开展一次数据安全审计，评估数据处理活动的合规性。审计内容包括数据收集、存储、使用、传输、删除等环节，以及安全措施落实情况。审计结果应当及时整改，并纳入年度考核。三、网络安全防护（一）边界防护要求。网络边界必须部署防火墙、入侵检测系统等安全设备，并定期进行安全评估。禁止非法外联，禁止使用未经授权的网络设备。发现安全事件的，应当立即处置，并向上级报告。（二）终端安全管理。所有终端设备必须安装杀毒软件、补丁管理系统等安全软件，并定期进行病毒查杀、补丁更新。禁止使用未经授权的软件，禁止私自修改系统设置。终端设备丢失或者被盗的，应当立即远程锁屏、擦除数据。（三）访问控制管理。访问网络系统的，必须使用实名认证方式，并采取多因素认证措施。禁止使用默认密码、弱密码，禁止密码共享。访问权限必须按照最小权限原则配置，并定期进行审查。（四）漏洞管理规范。每年至少开展一次漏洞扫描，发现漏洞的，应当及时修复。无法及时修复的，应当采取临时性控制措施，并制定修复计划。漏洞信息应当及时通报，并避免恶意利用。（五）安全监测预警。建立网络安全监测预警系统，实时监测网络流量、系统日志等安全信息。发现异常情况的，应当立即分析研判，并采取相应措施。安全事件处置完毕的，应当进行总结评估，并完善安全措施。（六）应急响应机制。制定网络安全事件应急预案，明确应急组织、响应流程、处置措施等。每年至少开展一次应急演练，检验预案的有效性。应急响应过程必须做好记录，并纳入年度考核。四、个人信息保护（一）知情同意管理。收集个人信息的，必须以显著方式告知个人信息处理规则，并取得个人明确同意。个人有权撤回同意，单位应当及时停止处理。同意方式必须符合最小化原则，不得采用捆绑同意方式。（二）目的限制原则。处理个人信息的，必须具有明确、合理的目的，并不得超出约定范围。不得将个人信息用于约定目的之外的其他用途。目的变更的，必须重新取得个人同意。（三）最小必要原则。处理个人信息的，必须限于实现约定目的所必需的最少范围。不得收集与业务无关的个人信息，不得过度收集。个人信息处理结果应当及时删除，或者进行匿名化处理。（四）安全保障措施。处理个人信息的，必须采取加密存储、访问控制、安全审计等措施，防止个人信息泄露、篡改、丢失。重要个人信息的处理，必须采取更高级别的安全保护措施。（五）跨境传输管理。跨境传输个人信息的，必须符合国家相关规定，并取得个人同意。传输目的地的，必须具备相应的数据保护能力。跨境传输过程必须采取加密传输、安全审计等措施。（六）主体权利保障。个人有权查询、更正、删除其个人信息，单位应当及时响应。个人有权撤回同意，单位应当停止处理。个人有权投诉举报，单位应当及时处理并反馈结果。五、安全管理制度（一）组织架构建设。设立网络安全领导小组，由单位主要负责人担任组长，负责统筹协调网络安全工作。设立网络安全工作部门，负责具体落实网络安全管理制度。各部门应当指定专人负责网络安全工作。（二）制度体系建设。制定网络安全管理制度，包括安全策略、安全规范、操作规程等。制度体系应当覆盖网络安全全生命周期，并定期进行评估修订。制度执行情况应当纳入年度考核。（三）人员安全培训。每年至少开展一次网络安全培训，培训内容包括法律法规、安全意识、操作技能等。新员工上岗前必须接受网络安全培训，考核合格后方可上岗。培训效果应当纳入年度考核。（四）安全检查评估。每年至少开展一次安全检查，评估网络安全管理制度落实情况。检查内容包括安全措施、操作流程、应急响应等。检查结果应当及时整改，并纳入年度考核。（五）责任追究机制。建立网络安全责任追究制度，对违反网络安全规定的，应当依法依规追究责任。责任追究包括行政处分、经济处罚、移送司法机关等。责任追究结果应当公开通报。（六）持续改进机制。建立网络安全持续改进机制，定期评估网络安全工作，发现问题及时整改。持续改进内容包括制度完善、技术升级、人员培训等。改进效果应当纳入年度考核。六、附则说明各单位必须严格遵守本规范，并根据实际情况制定内部管理制度。本规范由单位网络安全领导小组负责解释，并定期进行修订。本规范自发布之日起施行，原有规定与本规范不一致的