《数据安全技术 数据安全能力成熟度模型》

1下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文23b）利用技术工具对数据安全工作的自动化支持能力，对数据安全制度流程固化执行的实现能45特定的数据涉及的处理活动由实际的业务所决定，并非所有的数据都会完整地经历所有处理活6制度流程：根据临时需求或基于个人经验，在个别业务场景开展数据收集安全管理2）核心业务涉及个人信息收集的，按照适用要求履行告知、取得同意或者其他责任义务74）针对自动化收集数据活动实施统一的规则管理和必要的合规性、安全性检查1）采用技术工具对数据收集活动实施统一的流程管控，并对关键操作进行记录d）人员能力：负责该项工作的人员能够充分理解数据收集及产生的法律要求、安全和业务需2）参与国际、国家或行业相关标准制定。在业界分享最佳实践，成为行业标杆8组织建设：根据临时需求或基于个人经验，在个别业务场景对收集的数据源进行记录记录完整率、鉴别准确率、异常处置及时率等量化指标，定期评价实施效果1）面向制度流程的更新，持续改进工具在数据鉴别、记录和追溯等方面的服务能力2）参与国际、国家或行业相关标准制定。在业界分享最佳实践，成为行业标杆9b）制度流程：根据合规要求和业务性能的需求，明确加密传输的数据范围和采用的加密算法a）组织建设：组织设立负责数据加密管理、密钥管理的人员，负责整体的加密管理和技术工2）在数据分类分级的基础上，明确不同类型、不同级别的数据传输加密要求组织建设：根据临时需求或基于个人经验，在个别业务场景对网络备份或冗余建设进行规划c）技术工具：对关键的网络传输链路、网络（安全）设备节点实行备份或冗余建设分析，及时识别网络可用性风险，并支持告警、故障定位和恢复策略的动态调整技术工具：参与国际、国家或行业相关标准制定。在业界分享最佳实践，成为行业标杆a）组织建设：由业务团队相关人员根据实际业务需求负责执行存储媒体安全管理工作c）人员能力：业务团队中负责相关工作的人员，熟悉存储媒体安全管理的相关制度要求a）持续更新优化组织的存储媒体管理系统和净化工具，以保证存储媒体的安全使用组织建设：根据临时需求或基于个人经验，在个别业务场景考虑数据存储系统的安全管理权限管理、访问控制、日志管理、加密管理、版本升级、病毒防范等方面的要求3）建立统一的存储加密服务，根据数据级别、存储系统和业务场景配置适当的加密策略b）技术工具：参与国际、国家或行业相关标准制定。在业界分享最佳实践，成为行业标杆组织建设：根据临时需求或基于个人经验，在个别业务场景对部分数据开展备份和恢复性测试5）识别相关的法律法规、监管、合同和业务保存要求，形成备份、归档及保留策略功率、实际恢复时间等指标进行统计分析，并依据评价结果改进备份恢复策略b）技术工具：参与国际、国家或行业相关标准制定。在业界分享最佳实践，成为行业标杆a）组织建设：组织设立相关岗位或人员，负责对数据正当使用管理、评估和风险控制4）建立高风险数据使用行为审批机制，对相关操作的目的、范围和必要性进行重点审核1）依据合规要求建立相应强度或粒度的访问控制机制，限定用户可访问数据范围2）记录数据查询、分析、加工、导入导出等关键使用行为，使有关操作可记录、可追溯全控制，防止通过模型训练、参数反推、结果生成等方式泄露原始敏感数据记录数据清洗、转换、聚合、关联、统计分析、标签加工和结果导出等关键操作5）根据加工分析场景风险，评估是否采用减少原始数据暴露的处理方式，并明确参与主合、频繁查询、异常批量加工和违规结果输出等行为进行识别、告警和处置常监测情况，优化数据范围、分析方法、结果精度、输出策略和处置流程1）参与国际、国家或行业相关标准制定。在业界分享最佳实践，成为行业标杆组织建设：根据需求或基于个人经验，在数据委托处理场景中开展了数据安全风险控制b）技术工具：参与国际、国家或行业相关标准制定。在业界分享最佳实践，成为行业标杆组织建设：根据临时需求或基于个人经验，在具体数据共同处理场景采取必要的数据安全措施a）组织建设：业务团队中明确负责对数据共同处理场景进行安全风险评估和管控的角色务中的数据共同处理场景，并根据监管要求进行相应风险评估，从而提出可行的解决方案4）定期对数据共同处理活动开展审计，重点检查数据是否按照约定目的、范围和方式处b）技术工具：参与国际、国家或行业相关标准制定。在业界分享最佳实践，成为行业标杆数据提供者通过直接传输或提供查询、调取、下载、导出等方式，将数据传递给其他数据接收组织建设：根据临时需求或基于个人经验，在个别数据提供场景考虑数据安全需求4）明确数据对外提供的风险应对机制，明确数据泄露等安全事件的处置步骤2）在组织统一的数据流通原则基础上，针对主要的数据流通场景明确安全细则或审批流不直接暴露原始数据内容的情况下，实现跨主体数据安全协同、可信计算和开发利用b）技术工具：参与国际、国家或行业相关标准制定。在业界分享最佳实践，成为行业标杆组织建设：根据临时需求或基于个人经验，在个别数据公开场景考虑数据公开安全风险4）定期审查公开的数据中是否含有非公开信息，并采取相关措施满足数据公开的合规性1）建立数据公开系统，实现公开数据登记、用户注册等公开数据和公开组件的验证机制组织建设：根据临时需求或基于个人经验，在个别数据出境场景考虑数据出境安全风险b）制度流程：结合相关法律法规和标准要求明确业务层面数据出境的安全制度和审核流程a）组织建设：组织设立负责数据出境管理的岗位人员，负责组织数据出境的安全管理工作c）技术工具：采取必要的技术手段和控制措施实现数据出境安全保护，如API安全、访问控1）建立出境数据清单，结合数据类别、级别制定差异化数据出境细则和审批流程a）制度流程：跟踪数据出境相关法律法规、监管政策及行业实践更新，及时调整数据出境制b）技术工具：参与国际、国家或行业相关标准制定。在业界分享最佳实践，成为行业标杆组织建设：根据临时需求或基于个人经验，在个别数据删除场景考虑数据删除的流程和方法d）人员能力：负责数据删除的人员具备针对数据删除的需求制定对应的数据删除方案的能力1）建立支持删除请求受理的技术能力，及时响应数据主体行使删除权请求能力2）记录删除日志，包括删除请求、审批授权、删除范围、删除方法、执行时间等的需求，以及相关数据删除技术的发展现状，对数据删除的整体方案进行及时更新b）技术工具：参与国际、国家或行业相关标准制定。在业界分项最佳时间，成为行业标杆d）人员能力：负责该项工作的人员能够依据数据删除的整体需求明确存储媒体销毁工具1）明确存储媒体销毁效果评估机制，完成存储媒体销毁后对销毁效果进行抽样认定2）定期进行介质销毁记录的检查，以保证介质销毁工作的规范性以及有效性a）制度流程：根据组织机构的存储媒体销毁需求持续优化存储媒体销毁的流程以及方案2）参与国际、国家或行业相关标准制定。在业界分享最佳实践，成为行业标杆组织建设：未在任何业务中建立成熟稳定的数据安全制度规程，仅根据临时需求或基于个人经a）组织建设：组织设立专职的岗位和人员，负责组织数据安全制度流程和战略规划的建设发展动态及组织自身的业务发展方向，及时对数据安全策略规划进行调整和改进1）建立数据安全规划动态调整机制，通过信息化系统执行对数据安全规划的动态管理2）参与国际、国家或行业相关标准制定。在业界分享最佳实践，成为行业标杆c）人员能力：负责该工作的人员能够持续跟踪国内外数据安全政策、标准、产业趋势、新技2）核心业务对重要岗位候选者从法律法规、行业道德准则等层面执行背景调查3）核心业务明确数据安全职能部门或岗位的制度，明确数据安全相关岗位和职责4）明确核心岗位的数据安全培训计划，并按计划对相关人员开展数据安全培训3）建立组织内部的监督管理职能部门，负责对组织内部的数据安全监督管理工作1）明确数据安全追责机制，定期对责任部门和安全岗位组织安全检查，形成检查报告5）明确组织内部员工的数据安全培训计划，按计划定期对员工开展数据安全培训2）及时终止或变更离岗和转岗员工的数据操作权限，并及时将人员的变更通知相关方3）以公开信息且可查询的形式，面向组织全员公布数据安全职能部门的组织架构2）负责数据安全管理的人员能够对组织和人员管理流程中各环节的安全风险a）制度流程：能够持续优化组织和人员管理的相关流程，以保证符合业务发展的实际情况b）技术工具：参与国际、国家或行业相关标准制定。在业界分享最佳实践，成为行业标杆1）应对数据资产进行全面梳理，形成数据资产清单，明确行业领域并识别业务属性d）人员能力：负责该项过程的人员应具备对数据安全合规要求的解读和分析能力1）细化数据安全合规指标，覆盖各业务范围开展数据安全合规机制落实情况效果分析1）根据数据安全领域合规要求更新完善情况，建立动态合规差距分析与整改机制2）参与国际、国家或行业相关标准制定。在业界分享最佳实践，成为行业标杆组织建设：根据临时需求或个人经验，在部分数据合作案例开展时对合作方进行了安全管理2）合作结束后，要求合作方交付相关资料并清除所持有的组织数据和访问权限c）人员能力：负责该项过程的人员应具备对具体数据合作场景的基本风险评估能力2）制定合作方的数据安全能力评估规范，对数据合作方的数据安全能力进行评估2）对合作方的数据活动和数据安全管理能力进行评估，并记录和跟踪整改情况3）针对关键数据合作建立替代方案，具备一定的自主处置能力以防范合作中断风险2）建立合作方安全监测与预警机制，量化分析发现的安全缺陷、漏洞等风险b）技术工具：参与国际、国家或行业相关标准制定。在业界分享最佳实践，成为行业标杆组织建设：根据临时需求或基于个人经验在部分业务系统中关注数据处理环境安全保护2）制定研发、测试和运维阶段的数据处理环境安全控制措施，实现对安全风险的管理3）针对分布式数据处理环境，明确外部服务组件的注册备案、接入审核和使用管理要求d）人员能力：负责该项工作的人员了解数据处理环境的主要安全风险，并能够在数据处理系基于组织对终端设备层面的数据保护要求，针对组织内部的工作终端采取相应的技术和管理方）（），d）人员能力：负责该项工作的人员应充分了解终端设备的数据出入口以及相应的数据安全风组织建设：依据临时需求或个人经验对个别业务场景开展有限的安全监测及审计工作3）建立数据对外提供通道的日志记录要求，明确对外提供数据的监测规则和审计方法3）采用技术工具对数据流量开展安全监控与分析，留存接口调用事件记录，监测恶意获2）针对高风险或异常的数据访问行为，具备自动化异常行为识别和实时预警能力能够基于监测数据和审计结果识别潜在数据泄露风险，并协同开展风险评估与处置组织建设：根据临时需求或基于个人经验在个别系统中采用了身份鉴别与访问控制手段a）组织建设：由业务团队相关人员负责管理核心业务系统的用户身份及数据权限管理b）制度流程：核心业务明确重要系统和数据库的身份鉴别、访问控制和权限管理的安全要求3）核心业务系统提供并启用登录失败处理功能，多次登录失败后采取必要的保护措施2）按最少够用、职权分离等原则，授予不同账户为完成各自承担任务所需的最小权限2）建立组织统一的权限管理系统，对人员访问数据资源进行访问控制和权限管理4）采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴5）访问控制的粒度达到主体为用户级，客体为系统、文件、数据库表级或字段1）建立角色清单，明确数据安全角色的安全要求、分配策略、授权机制和权限范围2）在数据分类分级定义的基础上，明确不同类型、级别数据的访问控制策略a）组织建设：核心业务由业务团队人员根据业务需求和合规需求执行数据安全评估c）人员能力：核心业务负责该项工作人员了解数据安全评估的基本流程和操作要点1）组织机构设立数据安全评估管理岗位和人员，负责制定统一的数据安全评估管理制度1）参与国际、国家或行业相关标准制定。在业界分享最佳实践，成为行业标杆1）明确数据安全事件管理和应急响应工作指南，定义数据安全事件类型和级别b）技术工具：采用人工智能技术自动化监测、识别数据安全事件，并提出处置建议b）技术工具：参与国际、国家或行业相关标准制定。在业界分享最佳实践，成为行业标杆5）对数据脱敏处理过程相应的操作进行记录，以满足数据脱敏处理安全审计要求1）针对需要脱敏的敏感数据特征进行定义，识别出敏感数据在逻辑存储系统中的分布c）持续优化去标识化、匿名化技术方案，确保在数据共享、流通场景中的隐私保护效果d）人员能力：负责数据接口安全工作的人员具备基本的数据接口调用的安全意识和安全知识1）明确数据接口安全控制策略，明确规定使用数据接口的安全限制和安全控制措施1）具备对接口不安全输入参数进行限制或过滤能力，为接口提供异常处理能力2）具备数据接口访问的审计能力，并能为数据安全审计提供可配置的数据服务接口3）对跨安全域间的数据接口调用采用安全通道、加密传输、时间戳等安全措施组织建设：根据临时需求或基于个人经验，在发生数据泄露或纠纷事件后进行被动溯源调查2）制定公司内部数据安全红线，明确违规使用、篡改或泄露数据的处罚措施3）明确数据分级溯源制度，依据数据级别设定差异化的溯源深度与记录要求），1）采用的数字水印技术应符合国家标准，确保其具备隐藏性、安全性、鲁棒性等能力