自然资源数据安全管理实施细则

自然资源数据安全管理实施细则依据文件：自然资源部《自然资源领域数据安全管理办法》（自然资发〔2024〕57号）施行时间：2024年3月22日适用范围：全国自然资源、海洋、林草领域各类数据处理单位、运维单位、合作外包单位，覆盖调查监测、国土空间规划、确权登记、地质矿产、生态修复、测绘地理信息等全业务数据。第一章总则第一条制定目的为规范自然资源领域数据处理活动，压实数据安全主体责任，健全分类分级、全生命周期安全防护体系，防范数据泄露、篡改、滥用、非法出境等安全风险，保障自然资源数据安全、公共利益与国家安全，依据《数据安全法》《网络安全法》及自然资源部行业管理规定，制定本实施细则。第二条适用对象本细则适用于境内开展、或境外履职过程中开展的自然资源领域非涉密数据收集、存储、加工、使用、传输、共享、公开、销毁、转移、委托处理等全部活动。涉密数据严格执行保密管理规定。第三条基本原则1.坚持谁管业务、谁管数据、谁管安全，落实一岗双责；2.坚持分类分级、精准防护、最小权限、全程可控；3.坚持安全与发展并重，在安全可控前提下依法共享、开放、创新利用；4.坚持全程监管、风险预警、应急处置、追责问责闭环管理。第四条职责分工1.自然资源部：统筹全国自然资源领域数据安全监管、标准制定、目录管理、风险评估与重大事件处置；2.国家林草局：负责森林、草原、湿地、荒漠等林草数据安全监管；3.地方自然资源、海洋主管部门：负责本辖区数据安全监管、目录审核、日常检查、风险处置；4.各数据处理单位：承担数据安全主体责任，单位主要负责人为第一责任人，分管负责人为直接责任人。第二章数据分类分级管理第五条数据分类自然资源领域数据统一分为四大业务类别：1.地理信息数据；2.自然资源调查监测数据；3.国土空间规划数据；4.自然资源行政审批、监管执法、权属登记等管理数据。第六条数据分级标准（三级）依据数据精度、覆盖范围、敏感程度、风险影响范围，统一划分为：一般数据、重要数据、核心数据。1.一般数据：除重要、核心数据以外，泄露、篡改、损毁不会对国家安全、公共利益、民生运行造成显著影响的数据。2.重要数据（满足两项及以上）：（1）支撑自然资源“两统一”核心职责、具有行业唯一性、不可替代性的数据；（2）支撑国民经济、重大民生、其他行业基础应用的数据；（3）覆盖跨省、全国范围、高精度、高敏感资源空间数据；（4）支撑国家关键信息基础设施稳定运行的数据；（5）一旦泄露滥用易引发公共安全风险、社会恐慌、损害公众权益的数据。3.核心数据：符合重要数据特征，且直接关系国家经济命脉、重大公共利益、政治安全、国土安全的关键性自然资源数据。第七条目录备案与动态更新1.各单位每年梳理编制本单位重要数据、核心数据目录，逐级报备审核；2.地方行业主管部门20个工作日内完成初审，自然资源部20个工作日内完成认定，核心数据报国家数据安全工作协调机制认定；3.数据规模变动超30%、级别发生变化的，3个月内完成变更报备；4.目录实行动态管理、年度复核、重大变更即时更新。第三章数据全生命周期安全管理数据处理单位对数据收集、存储、加工、使用、传输、共享、公开、销毁、转移、委托处理全流程落实分级防护，多级别数据共存时按最高级别防护。第八条数据收集安全1.遵循合法、正当、必要原则，严禁非法采集、爬取、窃取数据；2.全程记录来源、时间、范围、精度、频次、流向；3.间接获取重要、核心数据的，必须签订数据安全协议与承诺书，明确权责边界。第九条数据存储安全1.落实等保、密码应用、备份容灾、访问审计、权限管控；2.重要数据系统不低于三级等保；3.核心数据系统落实四级等保或关键信息基础设施保护要求；4.重要、核心数据境内存储，严禁随意境外落地。第十条数据加工与使用安全1.严格最小授权、岗位专属权限，严控越权查询、批量导出、批量下载；2.重要、核心数据加工必须脱敏、鉴权、日志审计、全程溯源；3.自动化决策需保证透明、公平、可解释；4.严禁私自关联挖掘、私自复刻、私自留存敏感数据。第十一条数据传输安全1.重要、核心数据传输必须采用加密通道、校验机制、安全协议；2.禁止通过私人微信、邮箱、网盘、个人终端传输敏感数据；3.跨部门、跨区域传输实行审批登记。第十二条数据共享与对外提供1.坚持最小必要原则，按需共享、限量共享；2.对外提供重要数据必须签订数据安全协议，明确保护责任、使用边界、禁止二次扩散；3.年度累计共享核心数据达总量30%及以上的，须经自然资源部报国家数据安全工作协调机制开展风险评估；4.常态化监测共享调用行为，设置风险隔离、认证鉴权、异常告警机制。第十三条数据公开管理1.公开前开展安全风险研判，研判存在国家安全、公共利益风险的禁止公开；2.公开数据严格去敏、去标识、去涉密、去敏感精度；3.落实公开审核、分级审批、全程留痕。第十四条数据销毁管理1.建立标准化销毁流程，明确销毁对象、流程、技术方式、责任人；2.重要、核心数据销毁前须报备监管部门，提交销毁方案；3.彻底销毁、不可恢复、全程留痕，严禁私自留存、备份、外传；4.销毁记录长期归档备查。第十五条数据转移与委托处理1.单位重组、系统迁移导致数据转移的，必须制定专项安全方案、事前报备、全程监护；2.外包运维、第三方加工、技术服务必须开展服务商资质与安全能力评估；3.严禁外包转包、分包敏感数据业务；4.受托方不得私自留存、复用、扩散数据，服务结束后清零或按约定处置；5.数据安全主体责任不随委托、外包转移。第十六条日志留存时限（硬性标准）1.一般数据操作日志：≥6个月；2.重要数据事件、溯源、委托共享日志：≥3年；3.核心数据全量审计、事件处置日志：≥3年；4.日志全程加密、防篡改、可溯源。第四章人员与岗位安全管理第十七条岗位责任体系1.建立数据安全负责人、专职管理员、业务岗位、运维岗位四级责任体系；2.关键岗位全员签订数据安全责任书；3.核心数据岗位人员开展国家安全背景审查。第十八条权限管理1.严格最小权限、按需赋权、一人一户、权限分离；2.人员入职、调岗、离职即时清零权限、回收账号、清理终端数据；3.禁止超权限、超范围、超期限操作数据。第十九条教育培训常态化开展数据安全法规、制度、风险案例、操作规范培训，年度全覆盖，留存培训记录。第五章风险监测、评估与应急管理第二十条监测预警体系1.建立数据安全风险监测、溯源、预警、处置闭环机制；2.对批量下载、异常访问、异地登录、越权操作、高频导出实时告警；3.逐级报送重大风险隐患。第二十一条常态化风险评估1.重要数据每年至少1次风险评估，形成评估报告并报送监管部门；2.核心数据优先委托第三方专业机构评估；3.评估报告留存不少于3年，发现问题立行立改、闭环整改。第二十二条事件应急处置1.制定数据安全事件应急预案，定期演练；2.发生数据泄露、篡改、丢失、滥用等事件，立即止损、溯源、封存证据；3.重要、核心数据安全事件第一时间上报行业监管部门与公安部门；4.处置完成7日内形成专项总结报告，年度汇总上报。第六章监督检查与责任追究第二十三条监督检查行业主管部门常态化开展抽查、专项检查、穿透式检查，重点核查分类分级、目录管理、权限管控、日志留存、外包安全、应急处置等落实情况。第二十四条约谈整改存在较大安全风险、制度缺失、整改不力的单位，实施约谈、挂牌督办、限期整改。第二十五条保密与纪律要求履职人员对工作中知悉的商业秘密、个人信息、敏感数据严格保密，严禁外泄。第二十六条法律责任违反本细则规定，存在数据非法收集、泄露、篡改、滥用、非法出境、未落实防护要求等行为的，依据《数据安全法》《网络安全法》等法律法规实施行政处罚；情节严重构成犯罪的，依法追究刑事责