《国有企业数据安全与信息保护管理办法》

《国有企业数据安全与信息保护管理办法》第一章总则第一条为规范国有企业数据安全与信息保护管理工作，保障企业核心数据资产安全，防范数据泄露、篡改、损毁与滥用风险，全面落实国家《网络安全法》《数据安全法》《个人信息保护法》及相关法律法规要求，结合企业战略发展目标与实际运营情况，特制定本办法。第二条本办法适用于企业及其所属各级全资、控股子公司，以及具有实际控制权的参股企业（以下统称“各级单位”）在开展数据采集、传输、存储、处理、交换、销毁等全生命周期活动中的安全管理与信息保护工作。第三条企业数据安全与信息保护工作遵循“依法合规、分类分级、最小可用、权责一致、预防为主、动态调整”的原则。统筹发展与安全，在保障数据安全的前提下，促进数据资源的合规共享与价值释放。第四条本办法所称数据，是指企业在生产经营、管理决策、技术研发、客户服务等过程中产生的，以电子或其他形式记录的各类信息资源。本办法所称个人信息，是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。第二章组织机构与职责分工第五条企业设立数据安全与信息保护工作领导小组（以下简称“领导小组”），作为数据安全管理的最高决策机构。组长由企业主要负责人担任，副组长由分管信息化、法务及内控的领导担任。主要职责包括：（一）贯彻落实国家数据安全法律法规及行业监管部门要求；（二）审定企业数据安全与信息保护总体战略、规章制度及中长期规划；（三）协调解决跨部门、跨层级的数据安全重大事项与突发安全事件；（四）审批重要数据、核心数据的处理活动及对外共享方案。第六条企业数字化或信息技术部门作为数据安全归口管理部门，负责日常监督与执行。主要职责包括：（一）制定并推广数据安全标准规范、技术指南；（二）统筹建设数据安全管理技术平台，落实访问控制、加密脱敏、审计追溯等技防措施；（三）组织开展数据分类分级识别、风险评估及安全审查工作；（四）负责网络基础设施、基础软硬件平台及数据库底层的安全运维与监控。第七条各业务部门为本业务领域数据安全的“第一责任部门”，负责本部门数据资产的全生命周期安全管理。主要职责包括：（一）准确识别并申报本部门产生的数据资产及分类分级属性；（二）提出数据访问权限申请并进行定期复核；（三）在数据采集、加工、使用环节落实脱敏、审批等管控要求；（四）及时发现并上报数据安全异常事件。第八条法务合规部门负责数据安全合规审查，评估数据处理行为的法律风险，起草和完善数据安全保密协议，处理因数据泄露引发的法律纠纷与维权事务。第九条人力资源部门负责将数据安全考核指标纳入员工绩效评价体系，组织全员数据安全宣贯与培训，对违反数据安全规定的员工依规进行人事纪律处分。第十条审计部门负责将数据安全制度执行情况纳入常规审计与专项审计范围，独立评估数据安全内部控制体系的有效性，并督促整改落实。角色/部门核心安全职责关键履职要求领导小组战略决策与顶层统筹审批重大数据安全策略，协调跨部门重大事项数字化部门技术管控与归口管理建设安全平台，制定技术规范，执行日常监控与审计业务部门数据所有者与直接管理精准分类分级，权限申请与复核，业务场景安全管控法务合规部法律审查与合规把控合规性评估，保密协议管理，法律风险防范与处置人力资源部人员管理与绩效考核培训宣贯，绩效考核挂钩，违规人员人事处理审计部独立监督与内控评价定期开展数据安全专项审计，监督整改闭环第三章数据分类分级管理第十一条企业实行数据分类分级管理制度。数字化部门牵头，联合各业务部门，依据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者企业合法权益造成的危害程度，对数据进行定级。第十二条数据分类应结合企业业务特点，按照业务领域、数据来源、数据用途等维度进行划分。常见分类包括但不限于：宏观经济数据、研发设计数据、生产运营数据、企业管理数据、客户与员工个人信息等。第十三条数据分级从低到高分为公开数据、内部数据、敏感数据、重要数据和核心数据五个级别：（一）公开数据：指已对外公开发布或公开披露，不受访问限制的数据。（二）内部数据：指仅限企业内部流转，泄露后对企业日常运营造成轻微影响的数据。（三）敏感数据：指涉及企业商业秘密、核心技术、财务核心数据，或涉及员工、客户个人敏感信息，泄露后可能对企业声誉、经济利益造成较大损害的数据。（四）重要数据：指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益或严重影响企业生存发展的数据。（五）核心数据：关系国家安全、国民经济命脉、重要民生和重大公共利益等的数据。第十四条各业务部门需建立数据资产目录，明确数据名称、数据格式、数据量级、分类分级标签、数据来源及存储位置等信息，并随业务变化实行动态更新。新增系统或业务上线前，必须同步完成数据资产编目与分级审定。第十五条数据安全级别并非一成不变。当数据内容发生重大变更、数据用途发生改变，或国家法律法规更新导致定级标准变化时，业务部门需在5个工作日内向数字化部门申请级别调整，并同步更新数据资产目录及相应的安全防护策略。第四章数据全生命周期安全管理第十六条数据采集与生成安全（一）业务部门在采集外部数据时，应遵循“合法、正当、必要”的原则，明确采集目的、方式和范围。涉及采集个人信息的，必须取得个人信息主体的明示同意；采集重要数据的，应评估数据来源的合法性与安全性。（二）在系统设计开发阶段，应同步规划数据采集接口的安全防护，采用身份认证、流量控制等技术手段，防止接口被恶意调用导致批量数据被抓取。（三）内部系统生成数据时，应确保数据输入的准确性、完整性和一致性，建立数据源头防篡改机制，关键业务数据生成时需同步留存操作日志与系统时间戳。第十七条数据传输与网络流转安全（一）数据在不同系统、不同部门或不同地理位置间传输时，必须采取加密保护措施。对于敏感数据及以上级别的数据传输，必须采用符合国家密码管理要求的国密算法（如SM2、SM3、SM4）进行端到端加密。（二）跨网络边界传输数据，应通过企业统一建设的可信安全数据交换通道进行，严禁使用非授权的个人网盘、外部即时通讯工具传输敏感及以上级别数据。（三）涉及向境外传输重要数据及大规模个人信息的，必须依法向国家网信部门申报数据出境安全评估，未通过评估前严禁出境。第十八条数据存储与备份安全（一）根据数据分类分级结果实施分区隔离存储。重要数据和核心数据必须存储在最高安全等级的网络区域（如核心机房专网段），并采取物理与逻辑双重访问控制。（二）敏感及以上级别数据必须采用加密存储技术，数据库中的关键字段（如密码、身份证号、银行账号等）应采用散列算法或强加密算法处理后存储，严禁明文落盘。（三）建立健全数据备份与灾难恢复机制。核心数据实行“3-2-1”备份策略，即保留3份数据副本，存储在2种不同的介质上，其中1份存放在异地。每季度至少开展一次数据恢复演练，确保在系统故障或数据损毁时能快速恢复业务。第十九条数据处理与加工使用安全（一）遵循“最小权限”原则分配数据访问权限。系统管理员、数据管理员和业务操作人员的权限必须相互分离、相互制约。特权账号应实施集中托管与动态授权，并实施全程录像或操作命令审计。（二）开发、测试环境原则上不得使用真实生产数据。确需使用的，必须经过严格的数据脱敏处理，确保无法逆向还原。禁止将生产环境数据导出至未经安全评估的个人终端或办公电脑。（三）针对前端业务展示、数据分析报表等场景，涉及个人敏感信息或核心业务指标时，必须采用动态脱敏技术（如部分字段掩码、数据泛化等）进行处理。（四）建立数据访问日志中心，全面记录数据查询、修改、删除、导出等行为。日志留存期限不得少于六个月，且日志自身需具备防篡改、防删除能力。第二十条数据提供与共享交换安全（一）企业内部跨部门数据共享，由需求部门发起申请，经数据所有者业务部门审批同意后，通过企业数据中台或统一API接口获取，严禁直接打通底层数据库进行跨业务线读写。（二）向企业外部提供、共享敏感数据及以上级别数据，必须开展事前安全评估，重点审查接收方的数据保护能力、使用目的及合规性，并签订具有法律约束力的数据安全保密协议。协议中必须明确数据再转移的限制条件及违约责任。（三）对外提供数据原则上采用API接口调用方式，限制调用频次与返回数据量。确需提供数据文件的，应添加数字水印，以便在发生泄露时能够溯源定位责任节点。第二十一条数据销毁与归档安全（一）对于超出保存期限或业务目的已实现的数据，业务部门应发起数据销毁流程。销毁前需经数字化部门与法务部门联合确认，确保销毁行为符合法律法规及审计要求。（二）数据销毁应采用不可恢复的技术手段。电子数据销毁应执行多次覆写、消磁或物理粉碎存储介质；云端数据销毁需确保云服务商彻底释放并擦除对应存储块。销毁过程必须有双人复核并留存视频或日志记录。（三）业务系统下线时，需同步制定数据处置方案。对需长期保留的数据进行归档迁移，对无需保留的数据实施彻底销毁，并出具系统下线数据处置报告。数据阶段核心安全风险关键控制措施与技术要求采集与生成非法爬取、源头数据污染、越权采集身份认证、同意机制、输入校验、源头时间戳传输与流转中间人攻击、链路窃听、违规外发TLS/SSL加密、国密算法、统一交换通道、DLP防泄露存储与备份数据库拖库、存储介质丢失、勒索破坏加密存储、分区隔离、最小权限、异地灾备演练处理与加工越权访问、过度收集、开发测试泄露动态脱敏、特权账号托管、开发测试环境洗数、日志审计提供与共享外部滥用、二次扩散、无痕泄露审批评估机制、API网关管控、数据水印溯源、保密协议销毁与归档恢复出厂未净尽、介质废弃泄露物理粉碎、多次覆写、双人复核销毁、下线数据处置报告第五章信息系统与网络基础设施安全第二十二条信息系统建设应遵循“同步规划、同步建设、同步使用”的安全三同步原则。在项目立项及需求分析阶段，必须明确数据安全需求及防护预算；在系统上线验收前，必须通过安全漏洞扫描、渗透测试及代码审计，确保无高危漏洞及严重数据泄露隐患。第二十三条强化网络边界安全防护，根据业务数据敏感性划分不同的网络安全域。通过部署防火墙、Web应用防火墙（WAF）、入侵防御系统（IPS）等设备，实现区域间的严格访问控制。对于核心数据库区，实行网络隔离与专机专网访问策略。第二十四条全面加强终端数据安全防护。所有办公终端必须统一安装企业级防病毒软件及终端安全管理系统（EDR），强制开启全盘加密（如BitLocker）。通过部署网络准入控制（NAC），防止非授权终端接入企业内网。第二十五条推广零信任安全架构理念。对访问核心业务系统及数据平台的用户及设备实施持续身份验证，不再单纯依赖内网信任。所有访问请求必须经过动态策略评估，实现基于身份、设备状态、网络环境的细粒度权限控制。第二十六条加强应用接口（API）安全管理。建立企业级API网关，对接口调用实施身份认证、权限校验、频次限制及内容审查。禁止通过接口返回非必要的敏感信息字段，防范接口逻辑漏洞导致的大规模数据遍历泄露。第六章数据共享、开放与跨境传输第二十七条企业在保障数据安全及商业秘密的前提下，依法依规参与政府公共数据共享平台建设。对外提供公共数据或共享数据时，应建立“负面清单”制度，负面清单内的受限数据严禁共享，直至完成脱敏或取得合法授权后方可开放。第二十八条严禁未经审批私自向外部机构或个人提供企业核心数据、重要数据及未公开的财务、战略规划等信息。与外部合作方开展联合研发、数据分析等业务时，应建立数据沙箱环境，实现“数据可用不可见，数据不动模型动”，确保原始数据不出企业控制范围。第二十九条规范数据跨境传输行为。确需向境外母公司、分支机构或合作方提供数据的，必须按照国家相关规定开展数据出境安全评估、个人信息出境标准合同备案或个人信息保护认证。跨境传输的数据必须采取高强度加密，并建立传输台账，详细记录接收方、传输时间、数据量及用途。第三十条建立数据共享申诉与纠错机制。如发现合作方未按约定目的使用数据，或发生数据泄露风险，企业有权立即切断数据共享通道，终止合作，并要求对方承担违约责任及赔偿损失。第七章供应商与第三方合作管理第三十一条企业应建立严格的供应商数据安全准入机制。在采购涉及数据处理的软件、硬件或云服务时，应将数据安全要求纳入采购招标文件及合同条款。供应商必须具备相应的安全资质（如等级保护测评、ISO27001认证等），并承诺遵守本办法及国家相关法律法规。第三十二条签订服务合同时，必须同步签订《数据安全保密协议》。协议应明确供应商在数据处理过程中的责任边界，要求其采取必要的技术与管理措施保障数据安全，禁止擅自留存、复制、篡改或向第三方披露企业数据。第三十三条针对驻场外包人员及第三方运维人员，人力资源部门与数字化部门应联合实施管理。外包人员必须签订保密承诺书，申请专属低权限账号，严禁与内部员工共用账号。其在岗期间的所有操作行为需纳入企业统一审计平台监控。第三十四条合同终止或人员离场时，供应商必须彻底交接并销毁其持有的企业数据及衍生数据。企业相关部门应组织人员对其离场前的操作日志进行专项审查，并回收所有系统访问权限及物理出入证件。供应商退出后若发生数据泄露且经溯源证实由该供应商引起，企业保留追究其法律责任的权利。第八章应急响应与事件处置第三十五条企业建立数据安全事件分级分类制度。根据事件对企业业务影响程度、数据泄露规模及社会危害性，将数据安全事件分为特别重大（一级）、重大（二级）、较大（三级）和一般（四级）四个等级。第三十六条数字化部门负责制定总体数据安全应急预案，各业务部门针对各自核心数据制定专项应急响应流程。预案应包含事件发现、报告、隔离、分析、处置、恢复及事后总结等环节，并明确各环节的责任人及响应时限。每年至少组织一次全要素的数据安全应急演练。第三十七条一旦发生或疑似发生数据泄露、损毁事件，发现人员必须在第一时间（原则上不超过30分钟）报告所在部门负责人及数字化部门。数字化部门接报后，应立即启动应急响应，采取断开网络连接、冻结相关账号、隔离受感染系统等紧急遏制措施，防止影响范围扩大。第三十八条发生重大及以上数据安全事件时，领导小组必须立即介入，并在规定时限内（通常为事件确认后24小时内）向上级主管单位及国家相关监管部门（如网信办、公安机关）报告。报告内容应包含事件发生时间、原因分析、涉及数据类型与量级、已采取的处置措施及初步影响评估。第三十九条事件处置结束后，数字化部门应牵头组织联合调查组，开展事件溯源分析。查明事件根本原因，评估系统漏洞与管理缺陷，形成数据安全事件调查报告。针对暴露出的问题，责令相关单位限期整改，并对相关责任人进行严肃问责。事件级别定义与影响范围响应时限要求报告层级要求一级（特别重大）核心数据或海量重要数据泄露，严重危害国家安全或企业存亡30分钟内启动响应，2小时内控制领导小组、国资委、网信办、公安部二级（重大）重要数据或大量敏感数据泄露，严重影响企业运营及声誉1小时内启动响应，4小时内控制领导小组、上级监管单位、公安机关三级（较大）敏感数据或大量内部数据泄露，造成一定经济损失2小时内启动响应，12小时内控制数字化部门负责人、业务分管领导四级（一般）内部数据少量泄露，未造成明显经济或声誉损失4小时内启动响应，24小时内控制数字化部门、数据所有者业务部门第九章监督检查与考核问责第四十条数字化部门联合法务、审计部门每年至少开展一次全面的数据安全合规检查。检查内容包括但不限于：数据分类分级落实情况、权限审批与定期复核情况、日志审计完整性、数据脱敏与加密措施有效性等。检查可采用技术扫描、配置核查、人员访谈及模拟渗透测试等多种方式。第四十一条各级单位对检