TGZBD-可信数据空间 数据脱敏处理技术规范

XXX可信数据空间数据脱敏处理技术规范范围本文件规定了可信数据空间中数据脱敏处理的术语和定义、缩略语、脱敏概述、脱敏总体原则、脱敏总体架构、敏感数据识别与分类分级、脱敏方法、脱敏策略与规则管理、脱敏处理流程、脱敏效果评估、脱敏数据安全要求、脱敏系统技术要求、脱敏运维与保障、脱敏能力评估与改进等。本文件适用于可信数据空间的规划、建设、运营、运维及管理全过程。面向可信数据空间运营主体、数据提供方、数据使用方、技术服务方、监管机构等多方主体，可用于指导可信数据空间中数据脱敏处理系统的设计、开发、部署、运维和迭代升级，以及脱敏处理效果的评估与监管。规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T43697-2024数据安全技术数据分类分级规则术语和定义下列术语和定义适用于本文件。

可信数据空间trusteddataspace基于共识规则，联接多方主体，实现数据资源共享共用的一种数据流通利用基础设施，是数据要素价值共创的应用生态，是支撑构建全国一体化数据市场的重要载体。

数据脱敏datamasking通过对敏感信息采用脱敏方式进行匿名化，利用变换、修改等技术措施实现对数据去隐私化或数据变形，防止敏感数据泄露。

敏感数据sensitivedata一旦泄露、非法提供或滥用，可能危害国家安全、公共利益或个人、组织合法权益的数据，包括重要数据、核心数据、敏感个人信息等。

脱敏处理datadesensitizationprocessing对原始数据中的敏感信息进行识别，并应用脱敏方法将其转换为非敏感数据的过程。

脱敏策略desensitizationpolicy为实现特定脱敏目标而制定的一组规则和配置，包括脱敏对象、脱敏方法、脱敏参数、脱敏时机等。

重识别re-identification通过分析脱敏后数据与其他可用信息的关联，重新识别出数据所对应主体的过程。概述脱敏目标可信数据空间中数据脱敏处理的目标包括：在数据共享、流通、使用等场景中，有效保护敏感数据不被泄露或滥用；在保障数据隐私和安全的前提下，最大限度地保留数据的可用性和价值；满足法律法规和监管要求对敏感数据保护的合规性要求；支持可信数据空间中不同安全等级数据的差异化脱敏处理。脱敏原则可信数据空间中数据脱敏处理应遵循以下原则：分级保护原则：应根据数据分类分级结果，对不同安全等级的数据采取不同强度的脱敏措施；最小够用原则：脱敏处理应在满足业务需求的前提下，最小化数据中的敏感信息暴露；不可逆原则：对于匿名化处理，应确保无法通过技术手段还原原始敏感信息；可用性保持原则：脱敏处理应在保护敏感信息的同时，尽可能保持数据的可用性和效用；可评估原则：脱敏效果应可量化、可评估、可验证。脱敏场景可信数据空间中数据脱敏的主要应用场景包括：数据共享场景：数据提供方向数据使用方提供数据时，对敏感信息进行脱敏处理；数据发布场景：数据产品发布或数据目录公开时，对展示的样例数据进行脱敏处理；数据使用场景：数据使用方在分析、计算、加工数据时，按权限对敏感数据进行动态脱敏；数据跨境场景：数据跨可信数据空间域流通时，按目标域合规要求进行脱敏处理；测试开发场景：在非生产环境中使用数据时，对数据进行脱敏处理以防止测试数据泄露；数据留存场景：数据存储和归档时，对需长期保存的敏感数据进行脱敏或匿名化处理。总体架构架构设计可信数据空间数据脱敏系统应采用分层、模块化的架构设计，支持集中部署与分布式部署两种模式，满足不同规模和场景下的脱敏处理需求。脱敏系统应与可信数据空间服务平台、接入连接器等组件进行集成，实现脱敏策略的统一管理和脱敏任务的协同执行。功能架构可信数据空间数据脱敏系统的功能架构应由以下层级构成：数据源接入层：负责对接可信数据空间内各类数据源，包括数据库、文件系统、数据API、流数据等，实现待脱敏数据的读取和接入；敏感数据识别层：负责对待处理数据进行敏感数据的自动识别和分类分级，包括结构化数据和非结构化数据的敏感字段发现；脱敏处理层：负责根据脱敏策略和规则，对识别出的敏感数据应用相应的脱敏方法进行处理；策略管理层：负责脱敏策略和规则的创建、配置、审核、发布、版本管理和生命周期管理；效果评估层：负责对脱敏处理后的数据进行脱敏强度评估、重识别风险评估和数据可用性评估；监控审计层：负责对脱敏处理全过程进行监控、日志记录和审计追踪。组件交互关系可信数据空间数据脱敏系统与外部系统的交互关系包括：与可信数据空间服务平台的交互：接收数据脱敏任务指令，上报脱敏处理状态和结果；与数据存储系统的交互：读取待脱敏的原始数据，写入脱敏后的数据；与数据使用方系统的交互：按需提供脱敏后的数据；与数据分类分级系统的交互：获取数据的分类分级信息作为脱敏策略依据；与审计监管系统的交互：提供脱敏处理日志和效果评估报告。敏感数据识别与分类分级敏感数据识别敏感数据识别应符合以下要求：应建立敏感数据识别规则库，覆盖法律法规规定的各类敏感数据类型；应支持基于规则匹配、正则表达式、机器学习等多种识别技术；应支持结构化数据（数据库表、Excel等）和非结构化数据（文本、图像等）的敏感数据识别；应支持对识别结果的审核确认和人工修正；应定期更新敏感数据识别规则库，以适应新的数据格式和合规要求。数据分类分级敏感数据分类分级示例，见附录A。数据分类分级应符合以下要求：可信数据空间中的数据应按照GB/T43697-2024的要求进行分类分级；数据分类应根据数据的内容属性、来源属性、用途属性等进行划分；数据分级应根据数据的重要性、敏感程度、安全影响等因素划分为不同安全等级；不同安全等级的数据应匹配相应的脱敏策略和脱敏强度；数据分类分级结果应作为脱敏策略配置的核心依据；数据分类分级应支持动态调整和定期复审。脱敏方法方法分类可信数据空间中常用的脱敏方法包括以下类型：替换用虚构的但符合格式规则的数据替换真实的敏感数据，保持数据的格式和逻辑一致性。泛化将精确的数据值替换为更一般的、范围更广的值，如将具体年龄替换为年龄段。有损通过删除部分数据或降低数据精度来实现脱敏，如截断、取整等。混洗在数据集内部对敏感字段的值进行随机重排，破坏数据与主体之间的关联关系。掩码对敏感数据的部分字符进行遮盖处理，如用“*”替代身份证号的部分数字。加密使用密码算法对敏感数据进行加密处理，确保数据在存储和传输过程中的保密性。假名化将数据中的直接标识符替换为假名或别名，使数据无法直接关联到特定主体。数据扰动向数据中添加随机噪声或对数据进行微小的随机调整，在不显著影响数据统计特性的前提下保护隐私。差分隐私通过向查询结果中添加校准噪声，确保任何单个数据记录的存在与否不会显著影响输出结果，从而提供可量化的隐私保护保证。脱敏方法选择脱敏方法的选择应符合以下要求：应根据数据的分类分级结果、使用场景和业务需求选择合适的脱敏方法；应综合考虑脱敏方法的隐私保护强度、数据可用性影响和计算开销；对于同一数据集中的不同敏感字段，可采用不同的脱敏方法；脱敏方法的选择应支持可配置和可变更；应记录脱敏方法选择的依据和决策过程。多模态数据脱敏多模态数据脱敏应符合以下要求：对于结构化数据，应支持对数据库表字段级别的脱敏处理；对于文本数据，应支持对文本中的敏感实体（如姓名、身份证号、地址等）进行识别和脱敏；对于图像数据，应支持对人脸、车牌等敏感区域的检测和模糊化处理；对于音频数据，应支持对语音中的敏感内容进行识别和脱敏处理；多模态数据脱敏应保持不同模态数据之间的一致性和关联性。脱敏处理流程脱敏前准备脱敏前准备阶段应包括以下工作：明确脱敏处理的业务需求和目标；确定待脱敏的数据范围和数据源；获取数据提供方的脱敏授权和批准；评估脱敏处理对业务的影响和风险；制定脱敏处理计划和应急预案。敏感字段识别敏感字段识别阶段应包括以下工作：对待脱敏数据进行全面的敏感数据扫描和识别；依据数据分类分级结果确认敏感字段的安全等级；对识别出的敏感字段进行人工审核和确认；形成敏感字段清单，记录敏感字段的名称、类型、位置和安全等级；敏感字段清单应经数据提供方或数据拥有者确认。脱敏操作实施脱敏操作实施阶段应包括以下工作：根据敏感字段清单和脱敏策略，为各敏感字段配置相应的脱敏方法和参数；在测试环境中对脱敏配置进行验证，确认脱敏效果符合预期；在生产环境中执行脱敏操作；记录脱敏操作的详细信息，包括操作时间、操作人员、脱敏参数等；对脱敏过程进行实时监控，及时发现和处理异常情况。数据验证与批准数据验证与批准阶段应包括以下工作：对脱敏后的数据进行完整性验证，确保数据未发生意外丢失或损坏；对脱敏后的数据进行脱敏效果验证，确认敏感信息已被有效保护；对脱敏后的数据进行可用性验证，确认数据满足业务使用需求；形成脱敏处理报告，提交数据提供方或相关负责人审批；经批准后方可将脱敏数据交付使用。过程监督审查过程监督审查应符合以下要求：脱敏处理全过程应接受独立的监督和审查；应建立脱敏处理的审批和授权机制，关键操作应经过多重审批；脱敏处理的所有操作应记录完整的审计日志；应定期对脱敏处理流程进行合规性审查；发现违规操作或安全事件时，应立即启动应急响应程序。脱敏效果评估评估原则脱敏效果评估应遵循以下原则：客观性原则：评估应基于可量化的指标和方法，避免主观判断；全面性原则：评估应覆盖脱敏强度、重识别风险和数据可用性三个维度；可重复性原则：评估方法和结果应可重复验证；场景适配原则：评估应根据数据的使用场景和风险等级确定评估的深度和频率。评估流程脱敏效果评估流程应包括以下阶段：评估准备：确定评估范围、评估目标和评估方法；脱敏强度评估：评估脱敏处理对敏感信息的保护程度；重识别风险评估：评估脱敏后数据被重新识别的风险；数据可用性评估：评估脱敏后数据对业务需求的满足程度；评估分级：根据评估结果确定脱敏效果等级；评估报告：形成评估报告并提出改进建议。评估准备评估准备阶段应包括以下工作：明确评估的对象、范围和目标；确定评估指标体系和评估方法；收集脱敏处理的相关信息，包括脱敏方法、参数、数据规模等；组建评估团队，明确人员分工和职责；制定评估工作计划和时间安排。脱敏强度评估脱敏强度评估应符合以下要求：应评估脱敏处理对敏感信息的去除或变形程度；应评估脱敏后的数据是否仍包含可识别敏感信息的内容；应采用多种攻击模型验证脱敏的鲁棒性；应对不同脱敏方法的强度进行分级评价；脱敏强度评估结果应作为数据是否可发布或共享的依据之一。重识别风险评估重识别风险评估应符合以下要求：应评估脱敏后数据与外部数据关联后被重新识别的风险；应采用k-匿名、l-多样性等模型评估重识别风险；重识别风险阈值建议设定为0.05；应对准标识符的组合进行重识别风险分析；重识别风险评估应随数据环境的变化定期更新。数据可用性评估数据可用性评估应符合以下要求：应评估脱敏后数据在统计分析、机器学习等场景中的效用损失；应评估脱敏后数据的信息损失程度；应将脱敏后数据的可用性与业务需求进行匹配分析；应在隐私保护和数据可用性之间寻求合理平衡；数据可用性评估结果应作为脱敏方法优化的重要依据。评估分级脱敏效果评估报告模板，见附录B。脱敏效果评估分级应符合以下要求：应根据脱敏强度、重识别风险和数据可用性三个维度的综合评估结果进行分级；评估分级应作为数据是否可以对外提供、共享或发布的决策依据；不同评估等级的数据应匹配不同的使用权限和管控措施；评估分级结果应随数据环境和威胁模型的变化动态调整。数据安全脱敏数据的安全管理应符合以下要求：原始敏感数据在脱敏处理过程中应得到充分保护，防止在脱敏过程中发生泄露；脱敏处理后的数据应根据其剩余敏感程度实施相应的安全保护措施；脱敏处理过程中产生的中间数据和临时文件应及时安全销毁；脱敏数据的访问应实施严格的权限控制，遵循最小权限原则；脱敏数据的传输应使用加密通道；脱敏数据的存储应根据其安全等级采取相应的加密和访问控制措施；可恢复的脱敏数据（如加密脱敏）的密钥管理应符合密码管理相关要求；不可恢复的脱敏数据（如匿名化）应确保无法通过任何技术手段还原。脱敏系统技术要求脱敏系统应符合以下技术要求：功能要求：应支持敏感数据自动识别、多种脱敏方法、脱敏策略管理、脱敏任务调度、脱敏效果评估等核心功能；性能要求：脱敏处理不应显著影响可信数据空间的正常运行，大规模数据脱敏应支持分布式处理和并行计算；兼容性要求：应支持可信数据空间中主流数据源类型和数据格式；可扩展性要求：应支持新增脱敏方法、识别规则和脱敏策略的灵活扩展；可靠性要求：应具备高可用架构，支持故障恢复和任务断点续传；安全要求：系统自身应具备完善的身份认证、访问控制和安全审计机制；可审计要求：应记录完整的脱敏操作日志，支持事后审计和追溯。脱敏运维与保障脱敏系统的运维与保障应符合以下要求：运维管理制度：应建立完善的脱敏系统运维管理制度和操作规程；日常监控：应对脱敏系统的运行状态、任务执行情况、异常事件等进行实时监控；变更管理：脱敏策略、脱敏方法的变更应经过审批流程，并记录变更历史；应急响应：应建立脱敏相关的安全事件应急响应机制；人员管理：脱敏系统的操作和维护人员应经过专业培训和安全审查；定期审查：应定期对脱敏系统的运行效果、合规性进行审查和评估。脱敏能力评估与改进脱敏能力评估与改进应符合以下要求：可信数据空间运营主体应定期对数据脱敏处理能力进行评估；评估内容应包括脱敏系统的功能完备性、脱敏效果的有效性、流程的规范性等；应根据评估结果识别脱敏能力的不足和改进方向；应建立持续改进机制，不断优化脱敏方