社会保险数据安全管理办法(试行)

社会保险数据安全管理办法(试行)第一章总则第一条为规范社会保险（以下简称社保）数据全生命周期安全管理，保障社保数据的完整性、保密性、可用性，保护参保单位、参保个人合法权益，维护社保基金运行安全和社会公共利益，根据《中华人民共和国数据安全法》《中华人民共和国社会保险法》《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《关键信息基础设施安全保护条例》等法律法规，结合社保工作实际，制定本办法。第二条本办法适用于各级人力资源社会保障行政部门、社保经办机构，以及受委托提供社保信息化建设、运维、数据加工、经办服务等业务的第三方机构，开展社保数据采集、存储、加工、传输、使用、共享、公开、销毁等全流程活动的安全管理。本办法所称社保数据，指各级社保部门在履行法定职责过程中产生、采集、存储、加工的各类结构化、非结构化数据，包括参保单位信息、参保个人信息、业务经办信息、基金运行信息、公共服务信息、内部管理信息等。第三条社保数据安全管理遵循以下原则：（一）权责统一，谁主管谁负责、谁运营谁负责、谁使用谁负责，明确各环节安全责任主体；（二）全生命周期管控，覆盖数据从产生到销毁的所有环节，实现全程可追溯；（三）分类分级保护，根据数据敏感程度和危害程度实施差异化防护；（四）最小必要，限定数据采集范围、访问权限，减少不必要的数据接触和流动；（五）开放与安全并重，在保障安全的前提下依法依规推进数据共享开放。第四条人力资源社会保障部负责全国社保数据安全的统筹规划、监督指导，省级社保行政部门负责本行政区域内社保数据安全管理的统筹协调，各级社保经办机构具体落实本级社保数据安全管理各项要求，承担主体责任。第二章数据分类分级第五条各级社保经办机构应当按照国家政务数据分类分级标准，结合社保业务特点，对本机构管理的所有社保数据开展分类分级梳理，落实差异化保护要求。第六条社保数据按照业务属性分为六类：（一）参保个人信息类，指可直接或者间接识别特定参保个人的所有信息，包括身份信息、联系方式、参保缴费信息、待遇享受信息、医疗健康信息、工伤职业病信息、生物识别信息、金融账户信息、行踪轨迹信息等；（二）参保单位信息类，指参保单位的主体身份信息、缴费信息、参保人员结构信息、用工备案信息、信用信息等；（三）基金运行信息类，指社保基金收支、结余、预算、决算、投资运营、待遇核发、稽核审计等相关数据；（四）业务经办信息类，指社保业务办理过程中产生的转移接续、待遇核定、资格认证、权益记录等各类业务过程数据；（五）公共服务信息类，指面向社会公开的社保政策、办事指南、服务网点、咨询渠道等信息；（六）内部管理信息类，指社保经办机构内部行政管理、人事、财务、信息化建设、监督考核等内部信息。第七条社保数据根据敏感程度、一旦发生篡改、泄露、丢失、损毁后对国家安全、公共利益、个人合法权益的危害程度，分为核心数据、重要数据、一般数据三个等级：（一）核心数据，指会造成严重危害的社保数据，具体包括：1.涉及国家秘密的社保宏观统计数据、全国性社保基金预决算数据、关键运行指标数据；2.百万级以上规模的参保个人全量敏感信息集合；3.社保核心业务系统的核心权限配置、核心算法、网络安全防护核心配置数据；4.其他经人力资源社会保障部认定的核心数据。核心数据遭泄露、篡改，会直接危害国家安全，造成重大公共利益损失，或者导致大规模参保个人权益受到侵害。（二）重要数据，指会造成较大危害的社保数据，具体包括：1.省级及以下统筹区全量参保单位、参保人员基础信息集合；2.十万级以上百万级以下的参保个人敏感信息集合；3.特定群体参保信息，包括工伤职工伤情及职业病信息、特殊慢性病参保人员诊疗信息、享受特殊社保待遇人员信息等批量敏感数据；4.省级及以下统筹区社保基金月度、季度运行数据、收支结余数据；5.社保核心业务系统、关键信息基础设施的网络架构、访问日志、安全配置等非核心数据；6.其他经省级社保行政部门认定的重要数据。（三）一般数据，指除核心数据、重要数据以外，泄露后不会危害国家安全、公共利益和个人合法权益的社保数据，包括公开的办事指南、服务网点信息、政策文件公开稿等。第八条社保数据分类分级实行动态管理，各级社保经办机构应当每年开展一次全量数据梳理，根据数据内容、用途变化及时调整分类分级结果，分类分级结果报同级网信部门和上级社保经办机构备案。核心数据、重要数据调整应当报省级以上社保行政部门核准。第三章全生命周期数据安全管理第九条数据采集环节安全管理：（一）遵循最小必要原则，仅采集履行法定职责必需的数据，不得超范围采集与社保业务无关的个人信息，法律行政法规另有规定的除外。（二）采集参保个人敏感信息前，应当明确告知信息采集的目的、用途、存储期限、保护措施，法律法规规定不需要告知的除外。（三）严格核验采集数据的真实性、完整性，建立采集数据质量核验机制，不得伪造、篡改、拼接原始采集数据。（四）通过线上渠道采集敏感个人信息的，应当采用符合国家标准的SSL加密传输，严格核验采集对象身份；通过线下合作渠道、第三方服务采集数据的，应当与合作方签订数据安全协议，明确要求第三方不得私自留存、截留、篡改原始采集数据，采集完成后10个工作日内完整移交所有原始数据至社保经办机构。第十条数据存储环节安全管理：（一）核心数据必须存储在境内符合网络安全等级保护三级以上要求的政务云或者社保部门自建关键信息基础设施中，不得以任何方式存储在境外服务器，不得委托境外机构存储管理。（二）重要数据原则上存储在境内，确需向境外提供或者存储在境外的，应当按照《数据出境安全评估办法》等规定申报数据出境安全评估，经批准后方可实施。（三）核心数据、重要数据采用端到端加密存储，敏感个人信息应当进行去标识化、脱敏处理，仅保留业务必需的最低限度信息，原始敏感信息应当隔离存储，严格控制访问权限。（四）建立分级数据备份制度，核心数据应当采用异地多活备份，重要数据采用异地离线备份，所有数据至少保留2份可用备份，每季度开展一次备份数据恢复验证，确保备份数据完整可用，备份验证记录归档留存。（五）存储介质实行分类管理，存储涉密社保数据的介质应当符合国家涉密载体管理规定，不得与非涉密介质交叉使用，淘汰报废的存储介质应当由社保经办机构统一回收处置，核心数据存储介质应当进行物理粉碎或者不可逆消磁，不得流入二手市场或者第三方机构。第十一条数据加工环节安全管理：（一）加工社保数据应当符合法定目的，不得加工生成危害国家安全、侵犯个人隐私的数据分析产品，不得利用加工数据开展侵害参保人员合法权益的差异化歧视性应用。（二）对去标识化处理后的个人信息，应当采取加密存储、访问控制等必要技术措施防止通过重新加工识别到特定个人，未经省级社保行政部门批准，不得擅自开展去标识化数据的重识别加工。（三）加工产生的新数据集应当按照本办法规定重新进行分类分级，开展安全风险评估，落实对应的安全防护要求。（四）委托第三方开展数据加工的，不得向第三方提供原始敏感个人信息，确需提供的应当进行不可逆脱敏处理，签订安全协议明确加工用途和安全责任，加工完成后15个工作日内监督第三方销毁所有中间数据和原始数据，索要销毁确认书。第十二条数据传输环节安全管理：（一）传输核心数据、重要数据应当采用加密专用通道，或者使用国家认可的商用密码算法加密传输，不得通过互联网明文传输，不得通过微信、QQ、个人电子邮箱、私人云存储等非授权渠道传输核心数据、重要数据和敏感个人信息。（二）跨统筹区、跨部门传输核心数据的，应当经省级以上社保行政部门主要负责人审批；传输重要数据的，应当经本级社保经办机构主要负责人审批。所有跨机构传输行为应当留存完整传输日志，记录传输双方、传输内容、传输时间、审批人员信息，日志留存期限不少于3年。第十三条数据使用环节安全管理：（一）内部使用社保数据严格落实岗位权限管理，工作人员只能访问履行岗位职责必需的数据，超权限访问应当按程序申请审批，留存完整访问日志。（二）对外使用社保数据，除法定无需授权情形外，涉及个人信息的应当取得个人明确同意，批量提供核心数据、重要数据的应当开展数据安全风险评估，签订安全保密协议，明确使用方不得超约定用途使用，不得二次传播，不得转授权给第三方使用。（三）公开披露社保数据，应当对涉及的个人信息、单位敏感信息进行脱密脱敏处理，身份证号保留前6位后4位，隐去完整住址、完整联系电话、完整银行账号等可识别特定主体的信息，确保无法识别到特定个人和单位，公开前应当经过数据安全管理部门审核签字。（四）开展社保大数据分析应用的，不得利用分析结果侵害参保个人合法权益，不得向任何单位和个人提供可识别特定个人的分析结果。第十四条数据共享环节安全管理：（一）跨部门、跨区域数据共享遵循“按需共享、合法合规、安全可控”原则，共享需求应当有明确的法律法规或者政策依据，无合法依据的共享申请一律不予批准。（二）共享核心数据应当报人力资源社会保障部审批，共享重要数据应当报省级社保行政部门审批，共享后建立共享台账，全程记录共享对象、共享内容、共享用途、审批信息，实现共享行为全追溯。（三）数据共享方应当严格按照约定用途使用共享数据，不得超出范围使用，不得用于约定以外的任何商业或者非法定用途，社保经办机构应当每年对共享数据使用情况进行核查，发现违规使用及时终止共享，追究相关责任。第十五条数据销毁环节安全管理：（一）对超过法定存储期限、不再需要留存的社保数据，应当由业务部门提出销毁申请，经数据安全管理部门审核、主要负责人批准后进行销毁，不得私自留存。（二）销毁核心数据、重要数据应当由两名以上工作人员监销，记录销毁时间、销毁方式、销毁数据清单、监销人员信息，相关记录归档长期留存。（三）电子数据销毁应当采用不可逆删除、消磁、物理销毁等方式，确保数据无法恢复，不得仅通过普通删除、格式化方式销毁。第四章安全保障体系建设第十六条落实网络安全等级保护和密码应用要求，社保核心业务系统应当达到网络安全等级保护三级以上保护要求，每年至少开展一次等级测评，测评不合格的限期3个月内完成整改，整改不到位的暂停核心业务运行。社保数据安全涉及的加密、身份认证等应用应当采用国家认可的商用密码产品，每两年开展一次密码应用安全性评估，落实密码安全管理要求。第十七条落实身份认证和权限管理，建立基于岗位的最小权限访问控制机制，落实系统管理员、安全管理员、审计管理员三权分立制度，三类权限不得交叉兼任。访问核心数据应当采用多因素身份认证，定期更换访问密码，每半年开展一次权限梳理，及时清理冗余权限、离职人员账号，权限变更严格履行审批手续，留存变更记录。第十八条落实操作日志安全管理，所有数据访问、下载、修改、传输、删除操作都应当留存完整日志，日志应当加密存储，不得篡改删除，操作日志存储期限不少于6个月，核心数据操作日志存储期限不少于3年。定期开展日志审计，每月至少开展一次全面审计，发现异常操作及时核查处置，审计记录留存归档。第十九条强化第三方服务机构管理，委托第三方开展信息化建设、运维、数据加工、经办服务的，应当对第三方开展数据安全背景审查，选择具备相应资质、近3年无重大数据安全违法违规记录的机构。签订服务合同时应当单独约定数据安全责任条款、保密义务、违约责任，明确要求第三方：（一）不得私自留存、复制、泄露、出售社保数据；（二）不得将社保数据用于服务合同约定以外的任何用途；（三）未经社保经办机构书面批准不得转委托涉及社保数据的相关业务；（四）所有接触社保数据的第三方工作人员应当签订个人保密承诺书。服务结束后，应当监督第三方销毁所有留存的社保数据，索要销毁证明，注销所有系统访问权限。每年至少对第三方机构开展一次数据安全审计，发现违规行为立即终止服务，纳入社保服务失信名单，3年内不得承接任何社保相关服务，涉嫌犯罪的移送司法机关追究刑事责任。第二十条加强人员安全管理，所有接触社保数据的工作人员上岗前应当接受不少于8学时的数据安全培训，签订保密承诺书，每年至少参加一次不少于4学时的数据安全培训和考核，考核不合格不得接触核心数据和重要数据，调整至非涉密岗位。工作人员离岗离职时，应当及时收回所有系统权限、存储介质、工作证件，签订离岗保密承诺书，明确离岗后仍然对接触过的社保数据承担保密义务，保密义务不受离职期限限制。核心数据接触人员每年开展一次背景核查，发现不符合安全要求的及时调整岗位。第五章风险监测预警与应急处置第二十一条建立数据安全监测预警机制，各级社保经办机构应当建立覆盖数据全生命周期的安全监测系统，对异常登录、越权访问、批量下载、异常传输、异地访问、未知IP访问等风险行为进行实时监测，核心数据、重要数据设置专属风险监测规则，敏感度高于一般数据。建立分级预警机制，红色预警对应核心数据安全风险，橙色预警对应重要数据安全风险，黄色预警对应一般数据安全风险，红色预警应当在2小时内启动处置，橙色预警在4小时内启动处置，黄色预警在24小时内启动处置，处置结果应当全程记录归档。第二十二条定期开展数据安全风险评估，各级社保经办机构每年至少开展一次全面的数据安全风险评估，发生核心业务系统升级改造、大规模数据迁移、发生疑似数据泄露事件、承接新的重大服务项目等重大变更后，15个工作日内开展专项风险评估，评估结果报同级网信部门和上级社保经办机构，针对评估发现的风险隐患制定整改方案，明确整改责任人和整改期限，按期完成整改。第二十三条建立应急响应机制，各级社保经办机构应当制定社保数据安全事件应急预案，明确应急响应流程、责任分工、处置要求，每半年至少开展一次应急演练，提升应急处置能力，演练结果评估后对应急预案进行修订完善。根据数据安全事件危害程度划分响应等级：发生核心数据安全事件、10万以上参保个人信息泄露事件启动一级响应，发生重要数据安全事件、1万以上10万以下参保个人信息泄露事件启动二级响应，发生一般数据安全事件、1万以下参保个人信息泄露事件启动三级响应。第二十四条数据安全事件处置应当遵循以下要求：（一）发生数据安全事件后，第一时间采取技术措施切断攻击路径，封存相关日志、设备证据，控制事件影响范围，防止危害扩大；（二）按照规定及时上报，一级响应事件应当在1小时内上报省级社保行政部门和同级网信部门，重大事件应当在2小时内上报人力资源社会保障部，不得迟报、瞒报、漏报；（三）涉及参保个人信息泄露的，应当在3个工作日内告知受影响的参保个人泄露内容、可能存在的风险、防范措施，按照规定向社会公布事件处置进展；（四）事件处置完成后，1个月内开展复盘分析，排查安全漏洞，完善管理制度和技术防护措施，形成处置报告上报上级部门。第六章监督管理与