数据安全管理制度

数据安全管理制度第一章总则第一条目的依据为规范公司全生命周期数据处理活动，保护国家秘密、商业秘密、个人信息及重要业务数据的安全性、完整性、可用性，防范数据泄露、篡改、毁损、滥用等风险，保障公司业务持续稳定运营，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《网络数据安全管理条例》等法律法规及行业监管要求，结合公司实际运营场景，制定本制度。第二条适用范围本制度适用于公司及所属分公司、子公司、控股公司所有涉及数据收集、存储、使用、加工、传输、提供、公开、销毁等全流程处理活动的部门、员工、外包人员、合作方人员，以及公司自主运营、委托第三方运营的所有业务系统、数据库、数据平台、终端设备、存储介质。第三条基本原则公司数据安全管理遵循以下核心原则：1.权责统一原则：谁主管谁负责、谁运营谁负责、谁使用谁负责，数据处理各环节责任主体对其处理范围内的数据安全承担直接责任，部门负责人承担管理责任。2.分类分级保护原则：根据数据的重要程度、影响范围、敏感属性实施差异化保护，高敏感数据采取最高等级防护措施，确保防护强度与数据风险等级匹配。3.最小授权原则：数据访问权限严格遵循业务必需的最小范围、最低权限、最短时限要求，禁止超权限、超范围访问数据。4.全生命周期管控原则：覆盖数据从产生到销毁的所有环节，明确各环节安全要求，实现全流程可追溯、可审计。5.合规与效率平衡原则：在满足法律法规及监管要求的前提下，优化数据流转流程，支撑业务创新与数据价值合法合规挖掘。第二章组织与职责第四条数据安全管理决策层公司设立数据安全工作领导小组，由公司总经理任组长，分管技术、业务、合规的副总经理任副组长，各部门负责人为成员，履行以下职责：1.审批公司数据安全战略、管理制度、年度工作计划及重大资源投入方案；2.统筹协调公司数据安全重大事项决策，指挥数据安全突发事件应急处置；3.定期听取数据安全工作汇报，评估公司数据安全整体风险水平，部署年度重点工作任务；4.审定数据安全责任考核与奖惩方案，决定重大责任事项的处理意见。第五条数据安全管理执行层数据安全工作领导小组下设办公室，挂靠公司信息技术部，作为数据安全日常管理执行机构，配备专职数据安全管理员，履行以下职责：1.起草、修订公司、操作规范、技术防护标准，组织开展制度宣贯与培训；2.组织开展数据资产梳理、分类分级标注、风险评估、安全审计等日常管理工作；3.统筹数据安全技术防护体系建设，部署、运维数据加密、访问控制、数据脱敏、泄漏防护等安全工具；4.受理数据访问、传输、提供等申请的安全审核，跟踪数据处理活动的合规性；5.监测、预警数据安全风险事件，牵头开展事件调查、处置与溯源工作；6.定期向数据安全工作领导小组汇报数据安全工作情况，提交年度工作总结与下年度工作规划。第六条业务部门责任各业务部门为本部门业务范围内的数据安全责任主体，履行以下职责：1.指定本部门兼职数据安全联络员，配合信息技术部开展数据安全管理工作；2.梳理本部门产生、使用的全量数据资产，配合完成数据分类分级标注；3.严格执行数据安全管理制度，规范本部门员工的数据处理行为，对本部门发起的数据处理活动的合规性负责；4.定期开展本部门员工数据安全培训与意识教育，及时上报本部门发现的数据安全风险或事件；5.配合信息技术部开展数据安全检查、风险评估与事件处置工作。第七条合规审计部门责任公司合规管理部门、内部审计部门履行以下数据安全相关职责：1.审核数据处理活动的合规性，对数据相关合作协议中的安全条款进行合规审查；2.定期开展数据安全管理制度执行情况审计，排查制度执行漏洞与管理盲区；3.监督数据安全责任落实情况，对违规数据处理行为提出整改与问责建议；4.配合外部监管部门的数据安全检查工作，牵头落实监管整改要求。第三章数据分类分级管理第八条分类分级规则公司数据按照业务属性分为基础数据、业务经营数据、用户数据、管理运营数据四大类，在此基础上根据数据泄露、毁损、篡改可能造成的影响程度，从高到低划分为四个敏感级别：1.核心敏感数据（L4级）：指泄露后会对国家安全、公共利益、公司核心利益、用户重大合法权益造成严重损害的数据，包括但不限于国家秘密、公司核心技术源代码、未公开的重大战略规划与并购重组信息、用户生物识别信息、金融账户信息、支付密码、核心经营财务数据、涉密项目相关数据。2.重要敏感数据（L3级）：指泄露后会对公司经营管理、用户合法权益造成较大损害的数据，包括但不限于公司未公开的经营数据、客户完整身份信息、交易记录、用户通讯内容、核心业务系统配置信息、商业秘密级的合作协议、员工薪酬数据。3.一般敏感数据（L2级）：指泄露后会对公司或用户造成一定影响的数据，包括但不限于内部管理制度、普通员工基本信息、非核心业务运营数据、已脱敏的用户统计数据、对外公开前的普通业务文档。4.公开数据（L1级）：指可对外公开披露的数据，包括但不限于公司官方发布的公告、宣传资料、公开的产品信息、已脱敏的行业分析报告。第九条分类分级实施流程1.资产梳理：各部门每季度开展一次数据资产全面梳理，形成本部门数据资产清单，明确数据名称、产生来源、存储位置、数据格式、更新频率、责任人员等信息，报送至信息技术部。2.分级标注：各部门对照分类分级规则初步判定数据级别，由信息技术部联合合规部门进行审核确认，对审核通过的数据通过元数据标签、数据库字段标识等方式进行电子标注，核心敏感数据需单独标记并建立专属资产台账。3.动态调整：数据级别根据业务变化、公开状态等因素动态调整，当数据应用场景、敏感属性发生变化时，数据所属部门需在3个工作日内提交级别调整申请，经信息技术部审核后更新标注信息。4.定期复核：信息技术部每年组织一次全公司数据分类分级复核工作，对分类不准确、级别不合理的数据进行修正，确保分类分级结果与实际情况一致。第四章数据全生命周期安全管理第一节数据收集第十条数据收集应当遵循合法、正当、必要原则，不得过度收集，具体要求如下：1.收集个人信息前，应当明确告知用户收集目的、处理方式、存储期限、使用范围等信息，获得用户明示同意，法律法规另有规定的除外；2.收集的数据范围严格限定为业务必需的最小范围，不得收集与业务场景无关的数据，不得强制要求用户同意收集非必需的个人信息；3.核心敏感数据、重要敏感数据的收集方案需经合规部门、信息技术部联合审核通过后方可实施，收集过程需全程留痕；4.不得通过窃取、欺诈、诱骗、非法购买等违法违规方式获取数据，不得从非法渠道采购外部数据。第十一条数据收集质量管控数据收集部门应当对数据的真实性、准确性、完整性负责，建立数据质量校验规则，对收集到的数据进行格式校验、逻辑校验、重复项清理，及时更正错误、缺失的数据，保障数据质量符合业务使用要求。第二节数据存储第十二条数据存储应当遵循分类存储、加密防护、冗余备份原则，具体要求如下：1.不同敏感级别的数据实行物理或逻辑隔离存储，核心敏感数据必须存储在公司内部专用加密存储区域，禁止存储在公共云服务器、外部第三方存储平台及员工个人终端；2.核心敏感数据、重要敏感数据存储必须采用国家认可的加密算法进行加密存储，加密密钥由信息技术部指定专人保管，密钥使用需履行审批流程，严禁私自泄露密钥；3.数据存储期限严格遵守法律法规要求及业务实际需要，无正当理由不得超期限存储数据，个人信息存储期限不得超出实现收集目的所必需的最短时间；4.建立数据备份机制，核心敏感数据实行“异地多活”备份，重要敏感数据每日增量备份、每周全量备份，备份数据与生产数据执行同等安全防护标准，备份介质存储在符合防火、防盗、防潮要求的专用场地，定期开展备份恢复测试，确保备份数据可用。第三节数据使用第十三条数据访问实行权限审批制，具体要求如下：1.员工访问数据必须提交书面申请，明确访问数据的范围、用途、使用期限，经部门负责人审批、信息技术部安全审核通过后方可开通权限；2.权限配置严格遵循最小授权原则，核心敏感数据访问权限仅开放给业务必需的极少数岗位人员，重要敏感数据访问权限不得超出相关业务岗位范围，审批人员对权限开放的合理性负责；3.数据访问权限实行有效期管理，临时访问权限有效期最长不超过7个工作日，到期自动回收；长期访问权限每季度复核一次，不符合使用需求的及时回收，人员调岗、离职时，所在部门需在1个工作日内通知信息技术部回收其所有数据访问权限。第十四条数据加工使用安全要求1.开展数据统计、分析、建模等加工活动时，不得超出授权使用范围，不得擅自留存、复制、导出加工过程中接触的敏感数据；2.对外输出数据成果前，需对内容进行敏感信息排查，涉及个人信息的应当采取去标识化或脱敏处理，确保无法单独或者与其他信息结合识别到特定自然人；3.核心敏感数据原则上不得用于非原始收集目的的加工使用，确需使用的需经数据安全工作领导小组专项审批。第四节数据传输第十五条数据传输应当符合以下安全要求：1.核心敏感数据、重要敏感数据传输必须采用加密通道，使用HTTPS、VPN等安全传输协议，禁止通过明文HTTP、普通邮件、未加密的即时通讯工具传输敏感数据；2.跨部门、跨系统传输敏感数据前，需由发起部门提交数据传输申请，明确传输数据内容、接收方、传输方式、使用用途，经双方部门负责人审批、信息技术部审核通过后方可传输；3.数据传输过程中需进行完整性校验，接收方收到数据后应当核对数据完整性，发现数据缺失、篡改的立即停止使用并上报信息技术部；4.禁止在无防护措施的公共网络环境下传输公司敏感数据，员工外出办公需传输敏感数据的，必须使用公司指定的VPN安全接入通道。第五节数据提供与公开第十六条向公司外部第三方提供数据（含合作方、供应商、监管部门等），应当严格履行审批与管控流程：1.数据提供部门应当对第三方的数据安全保障能力进行评估，确认其具备符合要求的安全防护能力与管理制度，评估不通过的不得向其提供数据；2.与第三方签订的数据合作协议中必须明确数据安全责任条款，包括数据使用范围、安全防护要求、数据销毁义务、违约责任、应急处置责任等内容，涉及个人信息的还需明确个人信息保护相关责任，协议需经合规部门审核通过；3.向第三方提供数据前需提交申请，明确提供数据的类型、级别、数量、用途，经部门负责人、信息技术部、合规部门审批，核心敏感数据对外提供需经数据安全工作领导小组总经理审批；4.数据提供时应当根据实际需求采取脱敏、去标识化等处理措施，原则上不向第三方提供原始敏感数据，确需提供的需在协议中明确严格的约束条款，并定期对第三方的数据使用情况进行安全审计。第十七条数据公开应当符合以下要求：1.公司所有对外公开的数据需经业务所属部门、合规部门、品牌管理部门联合审核，确认不包含敏感数据、符合信息披露要求后方可公开；2.公开数据涉及个人信息的，必须经过匿名化处理，确保无法识别到特定自然人；3.禁止私自对外公开公司任何未披露的经营数据、用户数据及内部管理数据。第六节数据销毁第十八条数据达到存储期限或无继续保存必要时，应当及时销毁，具体要求如下：1.数据销毁前由数据所属部门提出销毁申请，明确销毁数据的范围、原因、销毁方式，经部门负责人审批、信息技术部审核通过后方可实施；2.核心敏感数据、重要敏感数据销毁应当采用符合国家规范的不可逆销毁方式，电子数据采用消磁、物理粉碎存储介质、专业数据擦除工具多次覆写等方式销毁，纸质数据采用碎纸机粉碎或焚烧方式销毁，禁止仅通过删除文件、格式化磁盘等方式销毁敏感数据；3.数据销毁过程需由两名以上工作人员共同监督，填写销毁记录，留存销毁过程照片或视频，销毁记录至少保存3年；4.淘汰、报废存储过敏感数据的硬件设备时，必须先完成数据销毁工作，经信息技术部检测确认数据无法恢复后，方可进行设备处置。第五章数据安全技术防护第十九条技术防护体系建设信息技术部统筹建设覆盖数据全生命周期的技术防护体系，配置以下必要的安全技术工具：1.数据访问控制工具：部署身份认证系统、权限管理平台，实现对数据访问的统一身份认证、细粒度权限管控、操作行为日志记录，核心敏感数据访问采用多因素身份认证方式；2.数据加密工具：部署数据库透明加密、文件加密系统，实现敏感数据存储、传输过程的全加密，建立密钥全生命周期管理体系，保障密钥安全；3.数据脱敏工具：配置专业数据脱敏系统，针对开发测试、数据分析、对外提供等场景，自动对敏感字段进行掩码、替换、扰乱等脱敏处理，保障敏感信息不泄露；4.数据泄漏防护（DLP）工具：在终端、网络、邮件系统、即时通讯系统部署DLP策略，监控敏感数据的流转行为，阻断违规导出、传输、下载敏感数据的操作；5.数据库审计工具：对所有数据库的操作行为进行全量日志记录，实时监控异常查询、批量导出、高危操作等行为，日志至少保存6个月，满足审计溯源要求。第二十条系统开发与运维安全1.业务系统开发过程中需同步设计数据安全功能，将分类分级、权限控制、加密存储、操作审计等安全要求嵌入系统开发流程，系统上线前需经过信息技术部安全测试，安全检测不通过的不得上线运行；2.运维人员访问生产数据库、业务系统必须通过运维堡垒机，实行操作全程录像、命令审计，禁止私自直连生产数据库修改、导出数据，运维操作需提前提交申请，经审批通过后方可实施；3.开发测试环境不得使用真实的核心敏感数据、重要敏感数据，确需使用业务数据的必须经过脱敏处理，确保测试环境数据不会泄露用户真实信息。第六章合作方数据安全管理第二十一条合作方准入管理公司与涉及数据处理活动的合作方（含技术服务商、数据供应商、外包服务商等）签订合作协议前，必须开展数据安全能力评估，评估内容包括合作方的数据安全管理制度、技术防护能力、人员安全意识、历史数据安全事件情况等，评估不合格的不得纳入合作范围。第二十二条合作过程管控1.合作方人员访问公司数据必须遵守公司数据安全管理制度，参照内部员工管理流程履行权限审批手续，权限仅开放给合作必需的人员，合作结束后立即回收所有权限；2.合作过程中，公司业务对接部门每季度对合作方的数据安全保护情况进行检查，信息技术部配合开展技术检测，发现合作方存在数据安全风险的，立即要求其限期整改，整改不到位的暂停合作；3.合作方不得超出协议约定范围使用公司提供的数据，不得擅自复制、存储、转让、公开公司数据，不得利用公司数据开展协议以外的任何业务。第二十三条合作终止管理合作终止后，业务对接部门应当要求合作方立即删除所有从公司获取的数据，提交数据销毁证明，信息技术部配合对数据销毁情况进行核验，确保合作方不再留存任何公司数据。第七章数据安全监测、预警与应急处置第二十四条风险监测与评估1.信息技术部建立7×24小时数据安全监测机制，通过安全工具实时监测数据异常访问、批量导出、异常传输等风险行为，发现异常立即预警并核查处置；2.公司每半年开展一次全面数据安全风险评估，对数据全流程处理活动、技术防护措施、管理制度执行情况进行排查，形成风险评估报告，针对发现的风险隐患制定整改方案，明确整改责任部门与完成时限。第二十五条应急响应机制公司制定《数据安全突发事件应急预案》，明确数据泄露、篡改、毁损等突发事件的分级标准、处置流程、责任分工、上报要求，每年至少组织一次应急演练，检验应急处置能力。第二十六条事件处置流程1.发现数据安全事件后，发现人员应当第一时间向信息技术部报告，不得隐瞒、迟报、谎报；2.信息技术部接到报告后立即启动应急预案，采取技术措施阻断风险扩散，排查事件影响范围与受损情况，联合合规部门开展事件溯源调查；3.事件涉及个人信息泄露的，应当按照法律法规要求及时告知受影响的用户，并向属地网信、公安等监管部门报告；4.事件处置完成后，信息技术部牵头形成事件调查报告，总结事件原因，完善安全防护措施，对相关责任人员提出处理意见。第八章数据安全培训与审计第二十七条培训管理1.新员工入职培训必须包含数据安全相关内容，考核通过后方可上岗；2.全体员工每年至少接受一次数据安全专项培训，核心岗位人员、接触敏感数据的岗位人员每年至少接受两次专项培训，培训内容包括法律法规、公司制度、操作规范、风险案例等；3.外包人员、合作方人员进入现场工作前，必须接受数据安全培训并签署数据安全保密协议，明确其安全责任与义务。第二十八条安全审计内部审计部门每年至少开展一次数据安全专项审计，审计内容包括：1