地理信息数据安全管理规定

地理信息数据安全管理规定一、第一章总则明确制度底线与适用范围是地理信息数据资产化运作的先决条件。本章旨在界定本规定的管理对象、适用主体及基本原则，为后续各项技术操作与管理动作提供唯一法理依据。1.1目的与依据为规范本单位地理信息数据的采集、处理、存储、传输与应用全生命周期安全管理，防范数据泄露、篡改与损毁，根据《中华人民共和国数据安全法》《中华人民共和国测绘法》《中华人民共和国保守国家秘密法》及《测绘地理信息管理工作国家秘密范围的规定》等相关法律法规，制定本规定。1.2适用范围本规定适用于本单位所有涉及地理信息数据的业务系统、终端设备、存储介质，以及从事地理信息数据生产、加工、传输、维护、销毁的全部在岗人员与外包服务人员。1.3术语定义•涉密地理信息数据：指空间位置精度、属性内容符合国家保密事项范围规定，泄露后可能危及国家安全、社会公共利益的测绘地理信息数据。•重要数据：指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的数据（如未脱敏的高频轨迹数据、大规模城市三维模型底座数据）。•一般数据：指不含国家秘密且不符合重要数据认定标准，可按常规内部信息管理的基础地理信息数据。1.4管理原则遵循“分类分级、最小可用、权责一致、全程可控”原则。数据使用申请必须明确具体项目与用量，严禁超范围申请；数据流转必须留痕，确保发生事件时可在24小时内完成全链路溯源。二、第二章组织架构与职责划分数据安全管理的成败取决于责任是否落实到具备对应权限的具体岗位。本章以“决策-执行-监督”三权分立为基线，明确各层级的具体动作与问责机制。2.1数据安全管理委员会•组成：由分管业务副总任主任，测绘业务部门负责人、IT部门负责人、法务合规专员为核心成员。•职责：每月第一周召开1次例会，审批数据定级清单，听取安全审计报告，对重大数据安全事件启动定级问责。委员会决议须在会后24小时内形成纪要并下发至全员。2.2数据所有者（业务部门）•职责：负责本部门生产数据的初始定级申报，建立数据资产目录。在数据提供前，必须对数据进行脱密审查，确保向外提供的数据不含有超出约定密级的信息。•验收标准：每季度末月25日前向IT部门提交更新后的数据资产台账，台账准确率必须达到100%。2.3数据处理者（IT及测绘操作人员）•职责：严格按照申请审批单限定的IP范围、时间窗口、数据量执行读写操作。每天17:00前检查当日数据处理日志，确认无异常进程驻留。•权限回收：员工离职或转岗时，HR部门须在离职生效前4小时书面通知IT部门，IT部门必须在收到通知后2小时内完成所有地理信息数据访问权限的物理回收。2.4审计与监督员•职责：独立于业务部门，每周抽取5%的数据流转工单进行合规性复核，核查审批流与实际操作流是否一致。发现违规须在1小时内冻结涉事账号并向委员会直接报告。三、第三章数据分级与分类管理不同密级和重要程度的数据必须采取物理与逻辑上相互隔离的存储与传输策略。本章设定量化的分级标准与保护基线。3.1数据分级标准依据数据泄露后的危害对象与危害程度，划分为三级：等级判定标准（满足其一即认定）典型数据示例核心涉密数据空间位置精度优于10米；含军事禁区、要害部门精确坐标无人机航测控制点成果、高精度DEM重要数据涉及超10万人群体位置轨迹；城市核心区地下管网精确埋深智能网联车高频轨迹集、地下管线三维数据一般数据优于公开地图精度但未达涉密标准；已做脱敏处理的群体数据1:10000数字线划图（局部）、区域人口热力图3.2分级保护基线•核心涉密数据：必须存储于物理隔离的涉密机房内网服务器，严禁任何形式的无线网络接入。数据传输必须使用国家保密局认证的机密文件传输通道。•重要数据：应当存储于本单位专网云环境，采用国密SM4算法进行透明加密存储。业务终端通过双因素认证（账号密码+动态令牌）访问。•一般数据：可存储于办公网段，使用账号密码认证访问。3.3数据动态调整机制业务部门在发现数据属性发生变更（如公开地图精度被国家提高、轨迹数据累计达到重要数据阈值）时，必须在24小时内提交数据密级变更申请。IT部门在收到申请后48小时内完成数据迁移与权限重配。严禁原密级数据停留在新密级网络环境中过夜。四、第四章数据生命周期安全管理从采集到销毁的全流程控制是阻断数据泄露风险演化路径的唯一手段。本章按数据流动方向逐一定义操作机理、禁忌动作与风险阻断点。4.1数据采集与汇聚•操作要求：野外测绘采集终端（如RTK设备）在每天外业结束后，必须在2小时内将原始数据通过专用数据线导入涉密中间机。中间机查杀病毒后，使用单向导入设备将数据摆渡至内网处理平台。•动作机理厚度：单向导入设备通过硬件级光单向闸，利用光纤单向发送特性（无接收光路），在物理层面阻断内网向外网的反弹攻击。若使用普通U盘在内外网交叉拷贝，U盘若在外网感染木马，接入内网时木马会利用系统的自动播放机制（Autorun.inf）释放后门，导致内网数据被窃取。•禁忌与替代：严禁在外业采集终端直接连接公共Wi-Fi传输数据（公共网络存在中间人劫持风险，原始坐标数据可被实时截获）。替代方案为必须使用离线硬盘物理回传。4.2数据存储与处理•切片处理规范：对涉密空间数据进行切片处理时，必须在涉密计算机本地进行计算。切片完成后，通过单向导出设备将非涉密切片导出至外网发布服务器。•动作机理厚度：切片过程涉及原始高精度坐标解析与影像重采样，大量中间文件会临时驻留内存与交换分区。若在外网环境计算，一旦遭受网络入侵，攻击者可通过Dump内存文件还原出原始坐标集。•禁忌与替代：严禁在外网服务器直接调用涉密数据库进行实时瓦片渲染。替代方案为在涉密网完成预处理生成静态缓存文件（如紧凑型切片包.bundle），经脱密审查后导出发布。4.3数据传输与提供•对外提供审批：向外部单位提供地理信息数据，必须填写《数据对外提供审批单》，经数据所有者部门负责人初审、保密专员复审、分管副总终审后方可执行。审批单须留存备查，保存期限不得少于10年。•方案分层表达：◦优先：使用专线加密通道传输，端到端使用国密SM2证书进行身份鉴别。◦若不具备专线条件则：将数据刻录至加密光盘，交由机要通信专人押送，接收方须在24小时内回传签收回执。◦严禁：使用公共网盘、即时通讯软件（如微信、钉钉）或个人邮箱发送任何包含地理坐标属性的数据文件。后果：公共网盘缺乏审计机制，链接一旦扩散将导致数据彻底失控。4.4数据销毁与归档•电子数据销毁：对存储涉密地理信息的机械硬盘，必须使用符合国家保密标准的消磁机进行消磁，消磁机磁场强度需>8500Oe，随后进行物理粉碎，粉碎后残渣颗粒长宽尺寸须•动作机理厚度：消磁利用高强度磁场瞬间破坏磁盘磁畴的排列方向，使数据永久不可恢复。固态硬盘基于闪存芯片，数据存储于浮栅晶体管中，软件擦除仅删除映射表，底层电荷仍可被专业设备读取。若仅作软件格式化（如format命令），数据完全可通过底层恢复工具还原，造成涉密数据流失。•销毁监督：销毁过程应当由两人共同执行，一人操作、一人复核，并全程录像。录像文件须在监控系统中保存至少3年。五、第五章网络环境与系统设施安全物理与网络边界防护是抵御外部渗透和内部越权的第一道物理屏障。本章规范网络隔离标准及软硬件设施的部署要求。5.1网络隔离与边界防护•物理隔离：涉密网、内部办公网、互联网必须实现物理隔离。涉密网络严禁接入任何具备无线通信功能的设备（含手机热点、蓝牙适配器）。•逻辑隔离：内部办公网与互联网之间部署下一代防火墙（NGFW），配置白名单策略，仅允许业务必需的端口与域名通过。防火墙策略变更须提交流程审批，IT运维人员不得擅自开放ANY协议。•违规判定：发现私搭网桥、双网卡终端（如一台电脑同时连接内网网线与外网Wi-Fi），视为一级违规事件，必须立即切断网络并封存主机。5.2终端及移动介质管理•终端管控：所有涉密终端必须安装终端行为管理系统，封闭USB接口存储写入功能，禁用光驱、蓝牙。确需使用的涉密专用U盘必须由IT部门统一采购、编号、加密并登记台账。•交叉使用风险：涉密U盘严禁在非涉密计算机上插拔。风险演化路径：非涉密机感染摆渡木马→涉密U盘接入时木马被植入→U盘插回涉密机释放后门→木马自动收集涉密图层文件打包隐藏→U盘再次接入外网时将数据回传至攻击者服务器。5.3云计算环境特殊要求如使用第三方云平台处理重要数据，应当优先选用通过国家安全审查的政务云或私有云。数据上传前必须使用本单位掌握的密钥进行客户端加密，严禁将明文数据直接托管于云端对象存储。云平台服务商的运维人员不得拥有解密数据的权限。六、第六章应急响应与事故处置完备的应急响应机制旨在将数据泄露事件的次生灾害降至最低。本章设定分级标准及PDCA闭环处置流程。6.1风险演化与阻断点典型泄露演化路径：内网员工私自将涉密测绘图打包上传至个人云盘（起因）→云盘服务商服务器被入侵或云盘链接被分享（传播途径）→不可控第三方下载并解析出坐标数据（触发条件）→导致国家测绘秘密泄露，可能危及重点目标安全（最终后果）。阻断点应设计在终端DLP（数据防泄漏）拦截异常大文件外传，或云盘审计系统识别敏感关键字处。6.2应急响应分级与启动级别判定标准启动权限处置原则一级（特大）核心涉密数据发生泄露或被外部窃取数据安全管理委员会主任30分钟内切断外联，保留现场，1小时内向公安/网信部门报案二级（重大）重要数据发生大面积泄露，或涉密网发现恶意木马业务部门负责人+IT负责人1小时内隔离受感染网段，全面溯源查杀三级（一般）一般数据越权访问，或终端违规插拔未造成实际泄露审计与监督员2小时内封禁涉事账号，调查访问日志，下发整改通知6.3处置闭环流程（PDCA）1.计划与准备：IT部门每半年组织1次数据安全应急演练，测试备份恢复与网络阻断有效性。2.执行与隔离：事件发生后，按6.2条款启动响应，首要动作是拔掉网线物理断网，严禁关机（关机会导致内存证据丢失）。3.检查与取证：安全专员使用取证工具对内存镜像、系统日志、操作记录进行固定，分析入侵路径或泄露源头。4.改进与复盘：事件平息后3个工作日内，必须出具《数据安全事件复盘报告》，明确系统漏洞与管理缺陷，委员会据此修订本规定的相关条款。七、第七章监督检查与违规处罚无追溯与惩戒机制的制度等同于一纸空文。本章设定日常检查动作及量化的违规处罚标准。7.1日常检查机制•日志审计：系统管理员每日9:00前导出前一日所有数据访问日志、系统操作日志并存档。审计员每周五下午从日志库中随机抽取500条记录，比对业务审批单，并在次周一提交合规周报。•漏洞扫描：IT部门每月对地理信息系统（GIS）服务器执行1次漏洞扫描，发现高危漏洞必须在48小时内完成补丁修复或部署虚拟补丁。修复前须在网络边界封堵相关端口。7.2违规行为界定与处罚•一级违规（如：擅自将涉密数据带出工作区域、私搭网桥连接双网）：对当事人立即解除劳动合同，扣除当月全部绩效，并依法移送公安机关追究刑事责任；直接主管降级处理，扣除当季绩效。•二级违规（如：违规使用非标涉密U盘、离职账号未及时回收超24小时）：对当事人通报批评，扣除当月50%绩效，暂停数据访问权限1个月并强制接受复训；直接主管扣除当月20%绩效。•三级违规（如：终端未锁屏离开、密码贴在显示器上）：对当事人口头警告，扣除当月10%绩效，记录在案。7.3申诉与纠错当事人对违规认定存在异议，可在收到处罚通知单后3个工作日内向数据安全管理委员会提交书面申诉。委员会须在5个工作日内召开复核会议并给出最终裁决。若认定处罚有误，须撤销处罚并恢复当事人绩效与名誉。八、第八章附则•解释权：本规定由本单位数据安全管理委员会负责解释与修订。业务执行中遇有未尽事宜，由委员会出具临时决议补充，临时决议效力等同于本规定正文。•生效时间：本规定自发布之日起执行，原《地理信息数据管理办法（试行）》同时废止。各部门须在生效日后5个工作日内完成全员宣贯并签署保密承诺书。附件1：地理信息数据密级界定与审批表字段名称填写内容申请人/部门数据名称及格式数据来源申请密级▫核心涉密▫重要▫一般判定依据说明（需注明精度指标、属性内容涉及面等量化参数）拟存储位置拟使用范围/项目数据所有者初审签字：日期：保密专员复审签字：日期：分管副总终审签字：日期：附件2：涉密地理信息数据销毁操作SOP•[]步骤一：填写《数据/介质销毁申请单》，明确销毁对象与销毁原因，提交审批。•[]步骤二：核对待销毁介质编号与审批单是否一致，确保无错杀。•[]步骤三：机械硬盘接入消磁机，设置磁场强度>8500•[]步骤四：将消磁后硬盘放入粉碎机进料口，执行物理粉碎。•[]步骤五：抽取部分残渣测量，确认长宽尺寸≤5•[]步骤六：双人签字确认销毁结果，将残渣交由保密