政务信息共享安全事件档案手册

政务信息共享安全事件档案手册一、总则统一的安全事件档案管理规则，是政务信息共享链路风险可追溯、责任可认定、问题可整改的核心支撑，也是落实《中华人民共和国数据安全法》《中华人民共和国档案法》《政务信息资源共享管理暂行办法》法定要求的必备环节。1.适用范围：本手册适用于省、市、县三级政务部门在跨部门、跨层级、跨区域政务信息共享（含接口调用、数据批量交换、数据查询核验三类共享场景）过程中，发生的数据泄露、篡改、损毁、越权访问、违规调用、接口滥用等各类安全事件的档案归集、存储、使用、销毁全流程管理。2.责任主体：本级大数据行政管理部门是政务信息共享安全事件档案的归口管理责任单位，需指定2名专职档案管理员（需通过涉密人员资格审查）负责日常管理；各涉事政务部门需指定1名专职安全联络员，在事件处置全流程同步配合档案归集工作，对本单位提交材料的真实性、完整性负责。3.基本原则：◦真实完整原则：所有档案材料必须是事件处置过程中直接形成的原始材料，严禁事后补造、篡改、删减，证据链必须覆盖从事件发生到整改完成的全时间周期，无逻辑断点；◦最小权限原则：档案访问权限严格按照工作需要最小范围授予，严禁超权限查阅、复制档案；◦安全可控原则：档案存储全环节加密管控，严防档案内容发生二次泄露。二、事件分级与档案归集范围不同等级安全事件的危害程度、影响范围差异极大，对应档案的归集深度、密级要求、管理权限必须分级匹配，既避免关键证据漏存导致溯源失败，也防止过度归集增加不必要的管理成本与泄密风险。事件等级判定标准（满足任意1项即定级）归集材料要求档案密级特别重大（Ⅰ级）1.共享链路泄露涉及100万人以上个人敏感信息；2.泄露绝密级/机密级国家秘密信息；3.涉及民生的核心政务数据（如户籍、医保、不动产）被篡改，导致全市域及以上范围业务中断超过4小时；4.共享接口被境外敌对势力非法调用全链路所有原始材料，含首报记录、原始日志及哈希校验值、所有处置操作记录、会商纪要、排查报告、技术鉴定报告、问询笔录、责任认定文件、司法文书、整改方案、验收报告、复盘评估全案材料机密重大（Ⅱ级）1.共享链路泄露10万-100万人个人敏感信息；2.泄露秘密级国家秘密信息；3.核心政务数据被篡改，导致跨3个及以上部门业务中断超过2小时；4.共享接口被非法调用时长超过72小时全链路核心材料，与Ⅰ级要求一致，可不含非核心的内部沟通草稿秘密较大（Ⅲ级）1.共享链路泄露1万-10万人个人敏感信息；2.一般政务业务数据被损毁，导致单部门业务中断超过1小时；3.共享接口被违规调用时长24-72小时归集核心证据、处置记录、责任认定材料、整改及验收材料内部一般（Ⅳ级）1.共享链路泄露1万人以下非敏感个人信息；2.共享接口被违规调用时长不足24小时，未造成实际数据流出；3.业务影响时长不足1小时归集事件登记表、处置记录、简要整改说明内部三、全流程档案归集操作规范档案归集必须与事件处置同节奏开展，所有材料必须在对应动作完成后24小时内归档，严禁事件处置结束后集中补记、拼凑材料，确保证据时间戳连续、逻辑自洽、具备司法举证效力。3.1事件初报阶段（事件发现后2小时内）本阶段核心目标是第一时间固定初始证据，避免证据被覆盖或篡改。1.首报记录归集：归档内容包括发现人（姓名、岗位、所属单位）、发现时间（精确到分钟）、发现渠道（系统日志告警、群众投诉、上级单位通报、协作单位告知、安全厂商监测）、事件初步描述、首报接收人、初判事件等级；首报记录若为电话上报，需留存通话录音（保存为WAV格式，做哈希校验）；若为系统告警，需留存告警页面原始截图；若为书面报告，留存原件。2.原始证据固定：发现事件后15分钟内，由2名以上运维人员共同对涉事共享接口的全量访问日志、数据流转记录、异常账号操作痕迹、服务器运行状态做只读备份，严禁直接在原始生产服务器上做导出、修改操作——直接操作生产服务器会改变文件的最后修改时间属性，导致日志失去司法举证效力。备份完成后立即计算SHA-256哈希值，由2名操作人员共同签字确认哈希值，备份文件与哈希值分开存储。严禁删除、修改任何原始日志记录，哪怕记录显示存在内部人员操作失误，也必须完整留存；违反者按故意销毁证据追究责任。3.2应急处置阶段（从初报到应急响应终止）本阶段需完整留存所有处置动作的决策与执行痕迹，不得选择性记录“正确操作”。1.决策记录归集：每次应急会商的会议纪要需在会后24小时内归档，明确记录参会人员、会商时间、形成的处置决议、决议执行人、完成时限，纪要必须由所有参会人员签字确认；所有关停接口、封禁IP、回滚数据等处置操作的审批单必须原件归档，明确审批人、审批时间、操作范围。2.执行记录归集：每个处置操作需记录操作人、操作时间（精确到分钟）、操作内容、操作前后的系统状态截图，操作日志同步导出备份；影响范围排查记录需明确排查的时间区间、数据范围、涉及信息主体数量、是否存在数据流出政务外网的证据，由排查负责人签字确认。3.报送记录归集：事件处置过程中向上级单位报送的续报、终报等正式行文，需留存加盖公章的原件及电子版本。3.3调查定责阶段本阶段需留存所有调查过程与结论材料，形成完整责任认定证据链。1.技术调查材料：委托第三方安全机构开展技术鉴定的，需留存鉴定机构的CMA资质证明、正式鉴定报告（盖机构公章），鉴定过程中的原始检测数据同步归档；内部排查形成的根因分析报告，由排查人员共同签字确认。2.人员问询材料：所有涉事人员、运维人员、管理人员的问询笔录，需记录问询时间、问询人、被问询人陈述内容，由被问询人逐页签字按手印确认。3.责任认定材料：本级政府或联席会议出具的责任认定结论、对相关责任人的处理决定、涉及违法犯罪的公安机关立案通知书、协查函等司法文书，全部原件归档。3.4整改复盘阶段本阶段需验证整改措施的有效性，形成闭环管理记录。1.整改材料：涉事单位提交的整改方案，明确整改措施、责任人和完成时限；整改完成后提交的整改完成报告，附整改前后的系统配置对比截图、安全测评报告。2.验收材料：由大数据管理部门组织的整改验收记录，明确验收结论、验收人员签字、验收时间；验收不通过的，留存整改通知书、二次整改及验收记录。3.复盘材料：事件复盘评估报告，分析事件根本原因、处置过程中的短板、后续共享链路的优化措施；针对本次事件开展的全员安全培训记录，含培训签到表、培训课件、考核成绩表。四、档案存储与管控要求政务信息共享安全事件档案包含大量敏感个人信息、国家秘密与政务工作秘密，一旦发生二次泄露，其危害程度往往超过原始事件本身，必须执行比普通政务档案更严格的存储与访问管控标准。4.1存储介质与环境要求1.分级存储规则：◦Ⅰ级、Ⅱ级事件档案必须存储在一次写光盘、硬件加密固态硬盘两类不可擦写的离线介质上，一式3份，分别存放于本级大数据局专用涉密档案库房、本级国家综合档案馆涉密库房、本级网信办专用库房，3份备份的SHA-256哈希值必须完全一致，每半年校验一次哈希值，若出现数据损坏立即从其余备份复制恢复。◦Ⅲ级、Ⅳ级事件档案存储于政务内网的加密档案管理系统，数据加密存储，做跨区域异地备份，禁止存储在互联网可访问的服务器、云盘上。2.环境要求：纸质档案存放于专用档案柜，库房温湿度稳定控制在14℃-24℃、相对湿度45%-60%，配备防火、防盗、防潮、防磁设备；离线存储介质存放于防磁柜，远离强磁场、强辐射源。3.格式要求：所有电子文档必须转换为OFD、PDF/A等不可编辑的版式格式归档；原始日志、音视频材料保留原始格式，附哈希校验值；纸质材料全部扫描为300DPI以上的高清电子版本归档，原件按档案管理规范装订存放。4.2访问权限管控严格执行权限分离原则，档案管理员、审批人、访问人三类角色不得兼任，所有访问操作全程留痕：1.Ⅰ级事件档案查阅必须经本级政府分管数据安全的副市长签字审批，仅允许在档案库房的专用离线查阅终端上查看，严禁拷贝、拍照、打印、截屏，查阅时由2名档案管理员全程陪同。2.Ⅱ级事件档案查阅必须经本级大数据局主要负责人签字审批，原则上不允许复制，确因司法举证需要复制的，需加盖档案专用章，标注使用用途与时效，复制件使用后立即收回销毁。3.Ⅲ级、Ⅳ级事件档案查阅必须经本级大数据局分管安全的负责人签字审批，可在政务内网授权终端上查看，严禁将内容传输至互联网。4.所有访问操作必须记录访问人姓名、单位、访问时间、访问事由、查阅的档案内容范围，访问记录永久保存，不得篡改、删除。4.3销毁管理•保存期限：Ⅰ级、Ⅱ级事件档案永久保存；Ⅲ级事件档案保存期限为30年；Ⅳ级事件档案保存期限为10年。•销毁流程：保存期满需销毁的档案，由档案管理员提出销毁申请，列明销毁档案清单，经本级大数据局主要负责人审核、报本级政府分管领导审批后方可销毁；销毁时由2名以上监销人员全程在场，光盘、硬盘等存储介质必须物理粉碎至颗粒直径小于1mm，纸质档案采用碎纸机粉碎至条宽小于1mm，严禁将存储介质当作废品售卖、随意丢弃；销毁完成后由监销人共同签字确认销毁记录，销毁记录永久保存。五、档案使用场景与规范流程安全事件档案的核心价值是支撑责任认定、复盘优化、合规审计与司法举证，所有使用行为必须严格限定在法定范围内，禁止以任何名义将档案内容用于无关场景。1.公务办案使用：纪检监察、公安、审计、保密等部门因办案、审计需要查阅档案的，需出具单位正式介绍信、2名以上经办人员的工作证件，按对应密级完成审批流程后，在专人陪同下查阅；需复制档案材料的，必须经审批人签字同意，复制件加盖档案专用章，标注“仅用于XX事项，有效期X天”字样，严禁带离指定查阅场所，使用完毕后由档案管理员核对收回。2.内部复盘使用：政务部门开展安全培训、应急演练需要使用档案案例的，优先使用脱敏后的案例材料；若确需引用原始内容，必须按权限审批，且对所有敏感信息做不可逆脱敏（个人姓名、身份证号、手机号、精确住址替换为占位符，具体接口参数、系统漏洞细节做模糊处理）；严禁直接使用未脱敏的原始档案作为培训材料，防止敏感信息扩散。3.合规检查使用：网信、公安等部门依法开展网络安全、数据安全检查需要调取档案的，按照法定程序配合提供，提供的材料清单由双方经办人签字盖章后留存归档。严禁任何个人私自复制、留存、拍摄、传播事件档案内容，违反者按照《中华人民共和国公职人员政务处分法》《中华人民共和国保守国家秘密法》给予政务处分，构成犯罪的依法移送司法机关追究刑事责任。六、档案管理异常处置与责任追究档案管理过程中出现的材料缺失、篡改、违规访问等问题，本质是对事件证据链的破坏，本身属于严重的安全违规行为，必须第一时间处置、严肃追责，不受岗位调整、退休等因素影响。6.1异常分级与处置流程异常等级判定标准处置流程处置时限一级异常1.档案被篡改、伪造；2.涉密档案被违规拷贝至互联网环境；3.档案整体丢失、损毁；4.违规泄露档案内容造成重大社会影响发现人10分钟内上报本级大数据局主要负责人、网信部门、保密部门，立即启动溯源排查，冻结所有相关人员的档案访问权限，24小时内形成初步调查报告10分钟内上报，72小时内完成全量排查二级异常1.关键证据材料缺失、归集不及时；2.访问记录不全、违规审批访问申请；3.非涉密档案违规拷贝至内网非授权终端发现后24小时内下达书面整改通知书，责任单位3个工作日内补全材料、完成整改，对相关责任人开展约谈3个工作日内完成整改三级异常1.非核心材料缺失；2.存储环境温湿度不达标、防磁防火设备失效；3.档案格式不符合规范要求发现后3个工作日内完成整改，对档案管理员开展业务培训3个工作日内完成整改6.2定期核查机制本级大数据局每半年组织一次已归档安全事件档案的全面核查，每次核查比例不低于归档总量的30%，重点核查档案完整性、哈希值一致性、访问记录合规性；每年年底将本年度档案管理情况报送本级档案管理部门、网信部门。附件附件1：政务信息共享安全事件档案登记表字段内容事件唯一编号（按“行政区划代码-年份-事件序号”规则编制，例：330100-2024-001）事件等级□Ⅰ级□Ⅱ级□Ⅲ级□Ⅳ级发现时间YYYY年MM月DD日HH:MM发现人/单位事件简述归集责任人归集材料清单（逐项列明材料名称、页数/文件大小、哈希值）归档时间YYYY年MM月DD日存储位置（库房编号/档案系统目录编号）档案密级□机密□秘密□内部保存期限□永久□30年□10年备注附件2：档案查阅审批单字段内容申请单位申请人姓名/证件号申请时间YYYY年MM月DD日查阅事由查阅档案编号/范围查阅方式□现场查阅□申请复制（复制份数：）部门负责人意见签字：日期：审批人意见（按权限对应）签字：日期：陪同查阅人查阅开始/结束时间YYYY年MM月DD日HH:MM至HH:MM复制材料交还记录（复制材料共份，已全部收回/销毁）签字：日期：备注附件3：档案归集合规性检查清单事件等级检查项检查结果（是/否）备注所有等级是否填写完整的档案登记表所有等级原始证据是否做SHA-256哈希校验、有2名以上操作人员签字