数据销毁管理实施细则

数据销毁管理实施细则一、第一章总则1.1制定目的数据销毁是数据生命周期的最后一道防线，也是最容易因"看不见"而被低估的泄密环节。仅执行删除、格式化或丢弃介质，数据仍可通过专业工具恢复，可能造成个人信息泄露、商业秘密失控、合规义务无法闭环。本细则旨在明确"谁申请、谁审批、谁执行、谁监督、留什么凭证"，确保该销毁的数据不可恢复、不该销毁的数据可追溯。1.2适用范围本细则适用于公司及各分子公司、外包驻场人员在办公、生产、研发、运维和云服务活动中产生、存储或承载公司数据的下列对象：•磁介质：机械硬盘（HDD）、移动硬盘、磁带、软盘；•半导体介质：固态硬盘（SSD）、NVMe盘、U盘、SD/CF卡、嵌入式存储芯片、手机与终端存储；•光介质：CD、DVD、蓝光光盘；•纸质及缩微载体：打印文件、手写记录、热敏纸、缩微胶片；•虚拟化与云资源：云盘、对象存储、虚拟机镜像、快照、数据库实例、备份集、缓存、消息队列、KMS密钥；•含有存储功能的设备：打印机、复印机、扫描仪、多功能一体机、考勤机、摄像头、网络设备配置、POS终端、IoT设备。1.3依据与基本原则制定依据包括《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《中华人民共和国保守国家秘密法》，以及ISO/IEC27001信息安全管理要求和NISTSP800-88《GuidelinesforMediaSanitization》中关于介质清除（Clear）、净化（Purge）、销毁（Destroy）的分级思想。销毁活动必须遵循以下原则：1.分级处置：按数据敏感级别选择销毁强度，禁止"高密低销"，也不应对普通介质一律过度销毁造成浪费；2.双人制衡：申请人与执行人不得为同一人，高敏感数据销毁必须设置独立监销人；3.先核后销：数据备份、资产归属、法律保全、在办审计事项未核实清楚前，不得销毁；4.全程留痕：申请、审批、执行、监销、运输、证书六个环节均须形成可追溯记录；5.物理与逻辑并重：实体介质和云端数据分别采用相适应的验证方法，不得以"删除文件"代替销毁。1.4数据分级与销毁等级对照数据级别典型示例介质再利用场景介质不利用场景公开级官网公开资料、对外宣传册Clear：单遍覆写或恢复出厂可回收再利用内部级内部通知、一般行政资料Purge：多遍覆写、加密擦除、安全擦除指令粉碎或消磁后回收敏感级客户清单、合同、人事档案、源代码、财务数据原则上不再跨部门利用；确需利用的须Purge并验证Destroy：消磁加物理破坏，或颗粒度达标粉碎核心级核心算法、密钥、大规模个人信息、并购信息、涉密信息严禁再利用Destroy：物理销毁，芯片级介质须粉碎或研磨涉及个人信息的介质，不论数量多少，销毁强度不得低于敏感级；涉及敏感个人信息（生物识别、宗教信仰、医疗健康、金融账户、行踪轨迹以及不满十四周岁未成年人信息）的，按核心级处置。二、第二章组织与职责2.1角色设置数据销毁实行"数据所有者负责、专业部门执行、安全合规监督"的三权分立机制。同一笔销毁业务中，审批人、执行人、监销人不得相互兼任。角色承担部门/岗位主要职责数据所有者业务部门负责人判定数据是否可销毁、确认无保留与诉讼保全需要、提交申请销毁协调人各部门资产管理员或保密员核对实物、汇总清册、预约销毁、跟踪单据归档审批人部门负责人、IT负责人、安全合规负责人按权限审批销毁申请，对介质去向和销毁方式负责执行人IT运维人员、行政文控人员或持证服务商按批准方式实施销毁，填写执行记录监销人安全合规部或审计部指派人员现场监督、核对编号、抽查结果、签字确认资产与档案管理员资产管理部、综合档案室办理资产销账、保管销毁档案和证明文件2.2审批权限审批权限按介质数量和数据级别分级设置，不得事后补签或口头授权：•内部级及以下，单次数量不超过10件：由部门负责人审批，IT部门备案；•敏感级，或单次数量11至50件：由部门负责人和IT负责人共同审批，安全合规部备案；•核心级，或单次数量超过50件，或涉及个人信息的存储介质：由安全合规负责人审核、分管副总经理审批；•涉密介质：按国家保密规定和公司保密制度执行，不得混入普通销毁流程；•云资源销毁：由资源Owner申请、云平台管理员复核、安全合规部确认密钥与快照策略后执行。审批人因出差等原因无法在线审批的，应当在OA系统中委托同等级别或更高级别人员审批，委托期限不得超过10个工作日；严禁通过即时通讯截图代替审批。三、第三章销毁方式选择与技术要求3.1选择逻辑销毁方式不是越极端越好，而应根据介质类型、是否再利用、数据级别和现场设备能力综合确定。选择顺序为：优先采用与介质技术原理匹配的净化方式；不具备净化条件时采用物理销毁；严禁对SSD采用只对磁层有效的消磁手段后直接认定为销毁完成。3.2磁介质（HDD、磁带）3.2.1覆写覆写的原理是用新的比特模式逐扇区覆盖原有磁畴排列，使旧信号电平被新信号替代。适用于外观完好、准备继续使用的HDD。•公开级、内部级：执行全盘单遍覆写，可采用全零模式；覆写完成后随机抽取不少于5%的扇区校验；•敏感级：执行三遍覆写，依次写入0x00、0xFF、随机数，并对HPA隐藏区域、DCO区域、重映射扇区进行处理；•必须使用独立工具或硬盘厂商提供的安全擦除工具，输出含序列号、起止时间、校验结果的日志；•已出现坏道、异响、无法识别的硬盘，不得采用覆写，必须消磁并物理破坏。文件删除、分区格式化、快速格式化不会清除用户数据区，严禁作为敏感级数据销毁手段。3.2.2消磁消磁通过强磁场打乱磁介质表面磁畴方向，使伺服磁道与数据磁道同时被破坏。消磁后HDD通常无法再被主板识别，属于Purge或Destroy级处置；磁带对消磁高度敏感。•消磁设备额定磁场强度必须高于被消介质矫顽力，设备应具备年度计量或厂商校准证明；•每盘介质单独消磁，不得堆叠放入；消磁循环不少于设备说明书规定的最短周期，通常不少于30秒；•执行人与监销人共同核对硬盘序列号并登记；•消磁后对HDD加电抽验不少于10%，核心级介质100%抽验，确认容量不可识别或盘片数据不可读；•消磁仅对磁性介质有效。严禁对SSD、U盘、光盘消磁后即视为销毁，因为闪存和光学凹坑不受磁场影响。3.2.3物理破坏物理破坏通过形变、剪切、粉碎使盘片或磁层无法被常规设备读取。•优先采用专业硬盘粉碎机，将盘片粉碎为粒径不大于8毫米的碎片；敏感级、核心级数据粒径不大于2毫米；•不具备粉碎机时，可在无尘或受控环境拆开硬盘，将盘片取出后进行剪切、弯折并打磨磁层，每面至少形成4道贯穿性划痕；严禁仅在外壳钻孔，因为盘片大部分磁层仍完整；•磁带应当从带盒中拉出，剪成长度不超过5厘米的段段，或使用磁带粉碎机处理；•物理破坏现场必须清理碎屑，碎屑作为涉密废弃物交由有资质单位回收，不得混入普通生活垃圾。3.3半导体介质（SSD、NVMe、U盘、闪存卡）SSD存在磨损均衡、预留空间（OP）、FTL映射和坏块替换，主机发出的覆写命令无法保证覆盖所有物理页，因此传统三覆写对SSD不充分。1.优先加密擦除：若盘体启用了全盘加密且密钥由独立机制管理，可执行CryptographicErase，安全销毁原密钥，使密文在计算上不可还原；执行后必须验证盘体处于锁定或待初始化状态。2.其次安全擦除指令：对SATASSD执行ATASecurityErase，对NVMeSSD执行FormatNVM并选择适当的安全擦除设置；操作前确认主板和硬盘未处于冻结状态，操作后核对容量、序列号和固件版本。3.不再利用或无法确认指令效果时，必须物理销毁：拆除外壳，露出PCB和闪存芯片，使用芯片级粉碎机将芯片粉碎至粒径不大于2毫米；核心级介质可采用研磨方式，使芯片Die不可辨认。4.U盘、SD卡等单片闪存介质，应当剪碎控制芯片和存储芯片，或直接芯片级粉碎；仅剪断USB接口不能销毁板载闪存数据。5.手机、平板等终端应退出账号、解除设备激活锁、执行系统级抹除，再通过专用下载工具验证用户分区不可读；无法开机或无法解锁的设备，必须拆机取出存储芯片物理销毁。3.4光介质光盘数据以反射层凹坑形式存在，消磁无效。普通掰裂仍可能保留足够完整的轨道用于恢复。•内部级及以下：使用光盘粉碎机，碎片面积不大于100平方毫米；•敏感级、核心级：采用颗粒度不大于2毫米的粉碎，或将反射层完全打磨、烧毁后按废弃物处置；•烧毁必须在符合消防和环保要求的专用焚烧场所进行，严禁在办公区域点燃光盘，避免聚碳酸酯燃烧产生有毒烟气。3.5纸质与缩微载体纸质销毁应防止"碎而不销"，如条状碎纸可被拼接复原。•一般内部资料：使用DIN66399P-3或同等以上粒级碎纸机，条状宽度不大于2毫米；•敏感资料：不低于P-4，颗粒尺寸约4毫米×40毫米；•核心资料、合同正本、含批量个人信息的纸质件：不低于P-5，颗粒尺寸约2毫米×15毫米；涉密载体按更高保密标准执行；•热敏纸、复写纸、不干胶标签不得投入普通碎纸机连续大量处理，应集中收集后交由保密销毁服务商处置；•碎纸袋必须使用不透明一次性封口袋，袋面标注编号、重量、产生部门，由双人签字封袋；•缩微胶片应剪成不超过5毫米的碎片或化学破坏乳剂层后处置。3.6云端与虚拟化数据云端"删除"通常只是解除索引或释放计费资源，底层物理介质可能仍在保留期内，必须通过管理控制面和密钥两条线同时处置。1.申请人先确认数据无法律保全、审计取证、业务回退需求，并已完成必要备份；2.删除对象、文件、卷、虚拟机和数据库实例后，必须同步删除所有手动快照、自动快照策略、镜像备份、跨区域副本和异地备份；3.对启用KMS加密的数据，先计划密钥删除并经过不少于7天的等待期，等待期内设置不可绕过的吊销告警，到期后确认密钥不可恢复；4.云硬盘释放时，应选择平台提供的"安全擦除"或"随盘释放并清零"选项；云厂商物理盘退役时，应索取包含磁盘序列号、销毁方式和日期的销毁证明；5.SaaS应用中的租户数据，应在合同终止条款约定的期限内完成删除，并要求服务商出具删除确认；超过约定期限仍能登录访问的，由采购部门和法务部门联合追责；6.容器与大数据平台还应清理缓存盘、临时目录、消息队列死信队列和搜索引擎索引，防止副本残留。3.7办公设备与网络设备打印机、复印机、多功能一体机通常内置硬盘或闪存，会缓存复印、打印、扫描任务。•退租、维修、报废前，由IT人员进入管理模式执行地址簿、作业日志和存储盘初始化；•支持拆卸硬盘的设备，拆下硬盘按第3.2或3.3节处理；•路由器、交换机、防火墙应清空配置、删除本地账户和密钥、恢复出厂设置，并导出清空后的配置截图存档；•摄像头、NVR、门禁和考勤机应清除录像、人脸模板、刷卡记录；无法清除存储芯片的，必须拆机销毁。四、第四章销毁业务流程4.1流程总览数据销毁必须按"申请—评估—审批—备份与封存确认—执行—验证—监销—销账与归档"顺序流转，任何环节未通过都不得进入下一环节。1.申请：数据所有者在OA系统填写《数据销毁申请审批表》，生成唯一销毁单号；2.评估：IT和安全合规人员在2个工作日内判定销毁等级、方式、是否需要第三方；3.审批：按第2.2节权限完成审批，审批意见必须写明"同意销毁"或退回理由；4.执行：执行人在约定时间集中处理，不得将介质带离批准地点；5.验证：使用技术工具或外观标准验证销毁效果；6.监销：监销人现场核对并签字；7.销账：资产管理员在3个工作日内更新资产台账和CMDB；8.归档：销毁档案至少保存3年，涉及个人信息和诉讼有关的销毁记录延长至相关事项结束后3年。4.2申请信息要求申请表不得只写"废旧电脑一批"，必须做到一物一记录或按序号可对应。清册字段包括：•销毁单号、申请部门、申请人、联系方式；•资产编号、介质品牌、型号、容量、序列号；•数据内容描述、数据级别、是否含个人信息；•当前存放位置、介质状态（正常/损坏/无法识别）；•拟销毁方式、是否再利用、计划执行时间；•备份位置及保留期限、法律保全或审计限制说明；•审批、执行、监销、证书编号。介质无序列号或序列号磨损的，应当粘贴公司资产标签，拍照记录外观、接口和损伤特征，并在清册中标注"无原始序列号，以标签XX标识"。4.3交接与临时保管•待销介质必须存入带锁的专用柜，柜门标注"待销介质，禁止取用"，由部门资产管理员和安全员双人管理钥匙；•交接时逐件扫码或核对标签，双方在《待销介质交接清单》上签字；交接清单一式两份；•待销介质在柜内存放时间原则上不超过10个工作日；超过20个工作日的，必须说明原因并重新评估数据风险；•严禁将待销硬盘、U盘作为临时办公盘、测试盘或带回家继续使用；•外部送修设备可能接触数据的，必须先取下存储介质；无法取下的，应当面执行可验证的擦除或签订保密协议并明确维修期间不得导出数据。4.4现场执行要求•销毁现场限定执行人、监销人和必要的设备操作员进入，全程禁止拍照用于非存档用途；•核心级介质销毁必须全程录像，画面能看清介质标签、设备运行状态和销毁结果，录像文件加密保存不少于6个月；•每批次开始前，执行人应空机试运转，确认粉碎机、消磁机供电和刀具正常；•执行过程中发生设备卡料、异响、自动停机的，应立即停止，取出未达标介质并单独标识，待设备恢复后重新销毁；•消磁、覆写、物理粉碎结果必须当场抽检；抽检不合格的，该批次全部返工，不得只处理被抽中的样品；•销毁完成后，工作台上不得残留可识别标签、盘片或纸张；标签应撕毁并使序列号不可辨认，但销账前必须已经留存序列号记录。4.5销毁证明每批次销毁完成后2个工作日内形成《数据销毁证书》，证书至少包含：•销毁单号和对应清册总页数；•委托部门、执行部门或服务商名称；•销毁方式、设备名称及编号、执行地点；•销毁开始与结束时间；•介质类型、数量、容量合计；•数据级别和验证方法；•执行人、监销人、服务商负责人签字或电子签名；•附件：清册、设备日志、覆写校验报告、现场照片或录像索引。内部执行可使用电子证书并通过OA归档；第三方服务商出具的证书必须加盖其公章，并附服务商资质文件复印件。五、第五章第三方服务商管理5.1选用条件委托外部机构销毁的，采购、安全合规和法务部门必须在签约前完成尽职调查。服务商应具备与业务相适应的保密管理能力、固定销毁场所、可核验的设备和视频监控条件。不得将含公司数据的介质交由个人回收商、废品站或无资质商家处理。5.2合同与保密约定服务合同或订单中必须明确：•销毁标准、颗粒度、消磁或粉碎要求、运输方式；•介质在途和现场保管责任，未销毁前所有权不转移；•禁止服务商读取、复制、恢复、转售任何介质或数据；•必须在公司指定地点现场销毁，或使用全程密封、定位追踪的运输方案；•发现数据泄露、介质遗失、被调包时，1小时内电话报告、4小时内书面报告；•销毁证书出具时限和违约责任；•公司有权进行事先不通知的现场抽查，每年不少于1次。5.3现场监销与禁运情形•敏感级及以上介质外运销毁时，公司必须派至少2名押运人员全程随车，不得交由物流普通货运；•运输箱使用一次性编号封条，封条号在发车前、到达后分别核对；封条破损的，整箱退回并启动调查；•介质运抵后必须在监销人视线内完成开箱、核对、上料、粉碎全流程；•服务商场地不具备现场销毁条件、拒绝监销或拒绝提供证书的，立即终止合作，介质原车运回。六、第六章验证、审计与持续改进6.1销毁效果验证验证方法应与销毁方式匹配，并保留客观证据：•覆写：工具自动生成校验报告，比对前后哈希值或读取抽样扇区内容；•ATA/NVMe安全擦除：重新挂载后确认提示未初始化，容量与标称一致，且无法找到原分区；•消磁：加电检测硬盘无法识别或容量异常，并结合消磁机日志；•物理粉碎：测量碎片粒径或检查芯片破坏程度，拍照附入证书；•纸质：使用标准量规或碎纸机说明书确认粒级，检查碎片中无连续可读文字；•云端：控制台截图、API查询结果、快照列表为空和密钥状态为待删除/已删除的记录。抽验比例执行下表：数据级别逻辑销毁验证比例物理销毁外观验证比例公开级不低于10%不低于10%内部级不低于20%不低于20%敏感级100%工具验证，抽10%人工复核100%核对编号，碎片抽检不低于30%核心级100%双人验证100%双人核对并全程录像6.2内部审计与抽查安全合规部每半年至少组织1次数据销毁专项检查，审计部每年至少抽查1次销毁档案。检查内容包括：•资产报废记录与销毁证书数量、序列号是否一致；•是否存在未审批先销毁、以"赠送""维修""报废登记"代替销毁的情形；•待销柜台账、钥匙管理和存放时限；•云资源删除后快照、密钥、备份是否仍可访问；•第三方服务商证书、合同、监销记录是否完整；•覆写工具日志是否可篡改，时间是否与审批时间吻合。检查发现问题的，应在5个工作日内出具整改通知单，责任部门在10个工作日内提交纠正措施和预防措施，安全合规部复核闭环。6.3指标管理以下指标每季度统计一次，并在信息安全管理例会上通报：•销毁申请按时审批率，目标不低于95%；•销毁证书按时归档率，目标达到100%；•销毁后资产销账超期率，目标低于3%；•介质丢失和数据泄露事件数，目标为0；•第三方现场监销覆盖率，敏感级及以上必须达到100%；•员工培训覆盖率，接触介质岗位必须达到100%。七、第七章异常与应急处置7.1事件分级级别判定标准启动权限处置原则三级（一般异常）单据填写错误、设备卡料、单盘标签不清但介质受控IT运维主管现场更正、重新销毁、补齐记录，24小时内闭环二级（严重事件）待销介质遗失、封条破损、误销毁未批准数据、云端副本未删且被访问安全合规负责人1小时内隔离，4小时内成立调查组，评估数据可恢复性和影响范围一级（重大泄露）核心或大规模个人信息介质失控、去向不明、被外部人员获取，或已发现数据外泄分管副总经理/总经理立即启动应急响应，按法律法规要求向有关主管部门报告，并通知受影响个人7.2典型场景处置7.2.1误销毁发现误销毁后，执行人必须立即停止同批次操作，保护现场和销毁日志，不得尝试隐瞒或补做申请。由数据所有者确认数据是否存在备份：•备份可用的，按变更流程恢复数据，并记录恢复范围、责任人和验证结果；•备份不可用且影响业务连续性的，按业务连续性预案处理；•误销毁涉及会计凭证、合同、诉讼证据的，必须同步报告法务和档案管理部门。7.2.2介质遗失或被盗•发现人30分钟内报告安全合规部，说明最后见到时间、位置、责任人；•调取门禁、监控和资产定位记录，划定责任区间；•对启用全盘加密且密钥未泄露的设备，仍应评估加密强度；对未加密设备按数据泄露处理；•远程对可联网终端执行锁定、擦除或账号吊销；•涉及个人信息的，由法务部门判断是否需要履行通知和报告义务。7.2.3服务商调包或违规处置•立即暂停该服务商所有业务，封存交接单、封条号、照片和录像；•赴现场核对库存与销毁记录，必要时报公安机关处理；•对同服务商历史6个月内销毁记录重新审计；•未完成调查前，不得支付剩余服务费用，合同有违约条款的按条款追偿。7.2.4云端删除后仍可访问•立即撤销访问密钥、临时令牌和公共链接，冻结相关账号；•检查是否存在缓存、CDN边缘节点、下载到本地的副本；•要求云服务商在24小时内说明原因并完成删除；•若数据属于个人信息，保留控制台证据和沟通记录，用于合规追责。八、第八章培训、考核与责任追究8.1培训要求岗位培训内容频次考核要求全体员工数据分级、删除不等于销毁、纸质资料处理每年1次线上测试不低于80分数据所有者和部门资产管理员申请填写、备份确认、待销介质保管每年2次案例分析与实操演练IT运维人员覆写、安全擦除、消磁、云资源删除每年2次实操考核合格监销人员监督要点、异常判定、证据固定每年2次现场模拟监销新入职、新转岗人员岗位相关销毁要求上岗前未通过不得接触待销介质8.2责任追究有下列行为之一的，根据情节给予通报批评、绩效扣减、岗位调整；造成数据泄露或经济损失的，按公司奖惩和保密制度追究责任；涉嫌违法的，移送有关机关：•未经审批擅自销毁介质或云端数据；•将待销硬盘、U盘、文件带离办公区域、私自留存或赠予他人；•对SSD仅消磁、对硬盘仅格式化即冒充完成销毁；•伪造销毁证书、监销签字、设备日志或照片；•发现介质丢失、服务商异常后瞒报、迟报超过1小时；•将敏感纸质文件投入普通垃圾桶、可回收纸箱；•在非授权设备上处理公司数据并以报废方式逃避追踪。主动报告异常并采取措施减小损失的，可酌情从轻处理；对隐瞒不报导致损害扩大的，从重处理。九、第九章附则9.1本细则由安全合规部负责解释和修订。当法律法规、监管要求、云平台能力或介质技术发生重大变化时，应当及时修订，评审周期最长不超过2年。9.2各分子公司可根据当地法律和业务实际制定补充规定，但销毁等级、审批制衡、证书留存和第三方监销要求不得低于本细则。9.3本细则相关表单由安全合规部统一发布电子模板，旧版表单自新版生效之日起停止使用；已使用旧版表单发起但未归档的业务，应在30日内补齐新版关键字段。附件一数据销毁申请审批表字段填写内容销毁单号格式：XH-年份-顺序号，如XH-2025-0001申请部门申请人/联系方式姓名/分机或邮箱数据所有者数据级别□公开□内部□敏感□核心；□含个人信息介质类型与数量总容量估算介质状态□正常□损坏□无法识别□加密数据内容说明写明业务系统、时间范围、主要内容备份情况□无备份□已备份至：__；保留至：__法律保全/审计限制□无□有，说明：____拟销毁方式□覆写□安全擦除□消磁□粉碎□研磨□云端删除与密钥销毁□其他是否再利用□否□是，接收部门：____计划执行时间年月日时申请人签字/日期部门负责人意见IT负责人意见安全合规意见分管领导意见核心级或超权限时填写附件二介质销毁清册序号资产编号介质类型品牌型号容量序列号/标签号数据级别介质状态销毁方式验证结果备注123每页小计：__件，容量合计：；清册共页，本页为第__页。附件三数据销毁证书项目内容证书编号对应销毁单号委托部门执行单位□内部IT/行政部门