数据访问控制制度

数据访问控制制度一、数据访问控制目标与适用范围本制度以“最小化风险、精准化管控、全流程覆盖”为核心目标，通过规范数据访问行为、明确权限边界、强化动态监控，实现对企业数据资产（包括但不限于用户信息、业务数据、研发成果、运营记录等）的全生命周期安全防护，防范数据泄露、滥用、非授权访问等风险，保障数据主体合法权益及企业核心竞争力。本制度适用于企业全体员工（含正式员工、实习生、外包人员）、第三方合作方（含供应商、服务商、客户）及其他通过企业信息系统访问数据的主体（以下简称“访问主体”），覆盖企业所有存储于本地服务器、云平台、移动终端及第三方托管环境的结构化与非结构化数据（以下简称“企业数据”）。二、数据访问控制责任体系企业数据访问控制实行“分级负责、协同联动”的责任机制，明确数据所有者、管理者、使用者及技术支撑部门的权责边界，确保管控措施可落地、可追溯。（一）数据所有者各业务部门负责人为所管辖业务条线数据的第一责任人（以下简称“数据所有者”），需履行以下职责：1.牵头完成本部门数据的分类分级标注（详见第三章），明确数据敏感等级与访问基线要求；2.审批本部门数据的常规访问权限申请（低敏感数据）及临时访问权限申请（中高敏感数据），对审批结果的合规性负责；3.定期（每季度）核查本部门数据访问权限的合理性，清理冗余权限；4.当发生数据泄露或非授权访问事件时，配合安全团队开展溯源调查，并提出整改建议。（二）数据管理者企业信息安全部为数据访问控制的统筹管理部门（以下简称“数据管理者”），需履行以下职责：1.制定并维护数据分类分级标准、访问控制策略（如最小权限原则、动态调整规则）及技术实现方案；2.部署与维护身份认证（IAM）、权限管理（PAM）、日志审计（SIEM）等技术工具，确保访问控制措施的技术落地；3.对跨部门数据访问申请进行合规性审查（重点核查是否符合最小权限原则、是否存在越权风险）；4.每月生成数据访问审计报告，向管理层汇报高敏感数据访问异常情况；5.组织数据访问控制相关培训，提升全员安全意识。（三）数据使用者所有访问企业数据的人员（包括员工、第三方合作方）为数据使用者，需履行以下义务：1.严格遵守“仅访问必要数据”原则，禁止访问与岗位职责、当前任务无关的数据；2.妥善保管个人账号及认证凭证（如密码、动态令牌、生物特征信息），禁止共享或转借；3.发现数据访问异常（如账号被盗用、权限异常变更）时，立即向信息安全部报告；4.配合数据所有者或管理者开展权限核查与审计工作。（四）技术支撑部门企业IT运维部门负责提供数据存储与访问的技术基础设施（如数据库、文件服务器、云平台），需履行以下职责：1.确保数据存储环境符合访问控制技术要求（如加密存储、权限隔离）；2.配合信息安全部实现权限的自动化分配与回收（如基于岗位变更触发权限调整）；3.定期对技术系统进行漏洞扫描与安全加固，防止因系统缺陷导致的非授权访问。三、数据分类分级与访问基线数据访问控制的核心是基于数据敏感程度实施差异化管控。企业数据按敏感程度分为三级：核心数据、重要数据、一般数据，各级数据的定义及访问基线要求如下：（一）核心数据指一旦泄露、篡改或丢失，可能对数据主体权益（如用户隐私）、企业核心利益（如商业秘密）或社会公共利益造成重大损害的数据。包括但不限于：用户个人生物信息（指纹、人脸）、金融账户信息（银行卡号、支付密码）；企业未公开的核心技术文档（如专利申请材料、研发代码）；年度财务报表、未披露的重大经营决策数据；国家法律法规明确规定的“重要数据”（如《数据安全法》界定的关键信息基础设施数据）。访问基线要求：仅允许“必要岗位+必要任务”双条件匹配的人员访问，需经数据所有者、信息安全部负责人双重审批；访问需采用多因素认证（MFA），认证方式至少包含“知识因素（密码）+持有因素（硬件令牌/手机验证码）+生物因素（指纹/人脸）”中的两种；访问过程全程加密（传输层TLS1.3+，存储层AES-256），操作日志需记录终端IP、操作时间、具体行为（如查询、导出、修改）及结果；禁止通过公共网络（如互联网）直接访问，需通过企业专用VPN或安全网关接入；权限有效期最长不超过30日，到期自动回收，如需延续需重新审批。（二）重要数据指一旦泄露、篡改或丢失，可能对数据主体权益或企业利益造成较大损害，但未达到核心数据程度的数据。包括但不限于：用户基础信息（姓名、手机号、地址）、交易记录（非金融类）；企业常规技术文档（如非核心工艺说明）、部门级业务报表；合作伙伴未公开的商务合同（非关键条款）。访问基线要求：允许“岗位相关性”人员访问，需经数据所有者审批（跨部门访问需信息安全部备案）；访问需采用双因素认证（如密码+手机验证码）；传输层需加密（TLS1.2+），存储层建议加密（AES-128）；操作日志需记录终端IP、操作时间、操作类型（如查询、导出）；权限有效期最长不超过60日，到期前7日系统自动提醒审批人确认是否延续。（三）一般数据指公开或低敏感的数据，泄露后对数据主体权益或企业利益影响较小。包括但不限于：已公开的企业宣传资料（如官网介绍、产品手册）；公共统计信息（如行业报告摘要）；内部通知、会议纪要（非涉密内容）。访问基线要求：允许企业全体员工访问（需通过账号密码认证），第三方合作方经业务部门登记备案后可访问；传输层建议加密（TLS1.2+），存储层无需强制加密；操作日志仅记录访问时间、用户账号，不强制记录具体行为；权限长期有效（随岗位变更自动调整），无需定期审批。四、访问权限全流程管理企业数据访问权限管理遵循“申请-审批-授权-监控-回收”的闭环流程，确保权限全生命周期可管可控。（一）权限申请访问主体需通过企业统一权限管理平台（以下简称“平台”）提交申请，申请内容需包含：申请人信息（姓名、岗位、所属部门）；数据标识（数据名称、存储路径、敏感等级）；访问目的（需具体说明与岗位职责或当前任务的关联）；访问方式（查询、导出、修改等）；申请有效期（需明确起始与结束时间）。第三方合作方申请访问时，除上述信息外，还需提供合作协议（需包含数据安全责任条款）、联系人信息及访问场景说明（如系统对接、数据清洗）。（二）权限审批审批流程根据数据敏感等级分级实施：一般数据：由数据使用者直属上级审批，平台自动同步至权限系统；重要数据：由数据所有者审批（跨部门访问需信息安全部备案），审批人需核查访问目的与岗位职责的匹配性；核心数据：由数据所有者、信息安全部负责人双重审批，审批人需重点核查：①访问目的是否符合“最小必要”原则（如能否通过脱敏数据替代原始数据）；②申请人是否已完成核心数据安全培训并考核合格；③历史访问记录是否存在异常（如高频访问、跨权限操作）。审批人需在3个工作日内完成审批（核心数据需在5个工作日内），逾期未处理则系统自动驳回申请并通知申请人。（三）权限授权与生效权限审批通过后，平台自动生成授权记录（包含审批人、授权时间、权限范围、有效期），并同步至IAM系统完成权限配置。授权生效前，系统需向申请人发送确认通知（包含权限详情、安全提示）。第三方合作方权限生效前，需签署《数据访问安全承诺书》（明确数据使用范围、保密义务及违约责任），否则不予授权。（四）权限监控与调整1.动态监控：信息安全部通过SIEM系统实时监控数据访问行为，重点关注：高频访问（如单日访问次数超过历史均值3倍）；跨权限操作（如仅有权查询但尝试修改）；异常终端登录（如非企业注册设备、海外IP访问核心数据）；非工作时间访问（如凌晨0点至6点访问重要数据）。发现异常后，系统自动触发预警，安全团队需在1小时内核查，确认风险后立即阻断访问并通知数据所有者。2.权限调整：当出现以下情形时，权限需自动或人工调整：申请人岗位变更（如离职、调岗）：IAM系统同步触发权限回收，敏感数据权限优先回收；数据敏感等级变更（如一般数据升级为重要数据）：原权限自动降级为“只读”，需重新申请高权限；访问任务结束：权限到期后系统自动回收，未结任务需重新提交申请。（五）权限回收与归档权限到期或因异常触发回收后，系统自动清除申请人在对应数据上的操作权限（包括本地缓存、临时文件），并生成《权限回收记录》。回收记录需与访问日志、审批记录一同归档保存，保存期限为数据敏感等级对应的最长责任追溯期（核心数据10年，重要数据5年，一般数据3年）。五、第三方数据访问特别规定第三方合作方访问企业数据时，除遵守本制度通用要求外，需额外满足以下规定：（一）合作前审核业务部门需对第三方合作方进行安全资质审核，审核内容包括：数据安全管理体系认证（如ISO27001、国内数据安全能力认证）；历史数据安全事件记录（近3年是否发生过重大数据泄露）；技术防护能力（如是否具备加密存储、访问日志审计功能）。未通过审核的合作方不得申请数据访问权限。（二）访问范围限制第三方仅能访问合作协议中明确约定的“必要数据”，禁止访问关联数据（如通过用户ID关联其他未授权信息）。业务部门需在权限申请中明确标注“禁止关联查询”规则，技术团队通过数据库视图、API接口等方式限制访问范围。（三）行为监管第三方访问过程需通过企业安全网关进行流量镜像，信息安全部可实时监控其访问行为（仅限合规性检查，不获取具体数据内容）。第三方导出数据时，需使用企业提供的加密工具（如文件加密盒），导出文件需标注“企业数据-受限使用”水印，禁止二次传播。（四）终止合作管理合作终止后，业务部门需在5个工作日内发起权限回收申请，技术团队需验证第三方是否已删除或归还所有企业数据（需提供数据清除证明或存储介质归还记录）。未完成数据清除的合作方，企业有权追究其法律责任。六、培训与考核企业通过常态化培训与考核，确保访问主体理解数据访问控制要求，提升安全合规意识。（一）新员工培训新员工入职7日内需完成《数据安全与访问控制》必修课（线上+线下结合），内容包括：数据分类分级标准及对应访问规则；权限申请与使用的操作流程；常见风险场景（如账号共享、非授权导出）及应对措施；违规行为的后果（如内部处分、法律责任）。培训结束后需通过线上测试（满分100分，80分合格），未合格者需重新学习直至通过。（二）在岗人员复训全体员工每年需参加至少8学时的复训，重点培训新发布的数据安全法规（如《个人信息保护法》修订内容）、企业数据策略调整（如新增核心数据类型）及典型案例分析（如行业内数据泄露事件）。（三）第三方培训第三方合作方在首次访问企业数据前，需参加由信息安全部组织的专项培训（线上），内容包括企业数据访问规则、安全承诺书要点及违规处理流程。培训记录需留存备查。（四）考