GB-T 42439-2023 信息安全技术 数据安全能力成熟度评估方法

GB/T42439-2023信息安全技术数据安全能力成熟度评估方法前言本标准由国家市场监督管理总局、中国国家标准化管理委员会于2023年正式联合发布，同步配套GB/T37988数据安全能力成熟度模型协同使用，是我国数据安全治理领域核心国家级评估专用标准，专门规范各类组织机构数据安全能力成熟度的专业化、标准化、规范化评估全流程工作。本标准归口管理于全国信息安全标准化技术委员会，由国内网络安全标准化权威科研机构、数据安全治理头部技术单位、重点行业数据运营管理机构联合牵头编制制定，紧密贴合《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规法定合规要求，适配数字经济时代各类组织数据全生命周期安全治理全新工作需求，针对性解决以往数据安全能力评估无统一方法、判定规则不统一、评估流程不规范、定级结果无对标依据等行业突出问题。本标准编制严格遵循依法合规、客观公正、科学量化、实操适配、持续迭代的核心编制原则，区别于数据安全能力成熟度模型框架类标准，本标准聚焦评估实操落地环节，重点明确数据安全成熟度评估的整体工作原则、核心评估模型、评估实施全流程、能力符合性判定依据、成熟度等级定级规则、评估报告编制规范及评估工作长效管理要求，不重复赘述基础能力模型定义，专注细化怎么做评估、怎么判定等级、怎么出具结果、怎么闭环管理等实操核心内容。本标准适用于全行业各类政企事业单位、社会组织及数据处理运营主体的常态化数据安全能力自评估，同时适配具备合法资质的第三方专业评估机构开展外部合规评估工作，是国内数据安全治理验收、行业数据安全监管核查、企业数据安全能力提质升级的法定实操技术依据，所有数据安全成熟度评估工作均需严格遵照本标准统一执行。引言随着我国数字经济高质量发展纵深推进，数据已成为核心生产要素，各类组织机构数据采集汇聚、共享流转、融合应用、对外交互规模持续扩大，数据泄露、数据篡改、数据滥用、数据损毁等安全风险日益凸显，数据安全治理工作从传统附属信息安全防护，转变为组织核心合规管理与风险管控重点工作。此前国内数据安全能力成熟度相关工作仅有模型框架标准支撑，缺乏统一标准化的评估实操方法，不同评估机构、不同行业区域采用的评估流程、判定尺度、定级标准差异较大，导致评估结果不具备可比性、整改提升不具备针对性、监管核查不具备统一依据，难以适配国家数据安全常态化监管及组织数据安全长效治理的实际工作刚需。为健全我国数据安全标准化治理体系，统一全国范围内数据安全能力成熟度评估工作的实施口径、操作流程、判定规则及定级标准，规范第三方评估机构执业评估行为，指导各类组织常态化开展数据安全自评估、短板自查、能力整改提升工作，实现数据安全能力可量化、可评估、可定级、可优化闭环管理，特制定本国家标准。本标准与数据安全能力成熟度模型标准形成模型定义加评估实操的配套闭环体系，模型标准明确数据安全能力建设框架与各级能力基线，本标准明确成熟度等级评估实操方法与定级判定规则，两者相辅相成、一体协同，共同支撑各类组织数据安全治理规划建设、合规评估、整改优化、长效提升全生命周期规范化管理，全面夯实国家整体数据安全防护与治理根基。1范围本标准系统规定了数据安全能力成熟度评估工作的基础术语定义、总体评估原则、核心评估架构、评估实施前期准备、现场评估核查流程、能力符合性判定方法、成熟度等级定级规则、评估结果处置要求、评估报告编制规范及评估工作归档与持续改进管理全维度核心内容。本标准评估覆盖数据安全四大核心能力建设维度，包含组织建设能力、制度流程能力、人员能力素养、技术工具防护，同步覆盖数据采集、数据存储、数据使用、数据共享、数据销毁全生命周期各数据安全过程域的专项成熟度评估实操要求，全面适配不同规模、不同行业、不同数据量级组织机构的数据安全能力评估工作。本标准适用主体分为两大类核心应用对象，第一类是各类数据处理组织机构自身，用于常态化开展内部数据安全能力自评估工作，对标核查自身数据安全治理短板、识别核心安全风险、制定能力提升整改规划、持续优化数据安全管理体系；第二类是具备法定合规资质的第三方数据安全专业评估机构，用于承接外部委托评估项目，严格按照统一规范流程开展现场评估、资料核查、实测核验、等级判定、报告出具等专业化评估执业工作。同时本标准也可供各级数据安全行业主管监管部门、网络安全监管机构，用于开展行业数据安全专项督导检查、评估工作合规性核查、区域数据安全治理整体考核等监管工作使用。本标准无行业及场景排他性要求，各类政务、金融、能源、医疗、互联网、工业等所有涉数据处理运营组织均可适用。2规范性引用文件下列规范性引用文件为本标准评估工作开展不可或缺的核心配套支撑依据，凡是标注具体发布日期的引用文件，仅对应标注版本内容适用于本标准；凡是未标注具体发布日期的引用文件，其最新有效修订版本及所有后续增补修改单内容均统一适配本标准评估工作执行要求。核心配套引用文件主要包含信息安全技术数据安全能力成熟度模型国家标准、网络安全等级保护系列基础标准、数据分类分级安全规范、个人信息处理安全防护规范、数据安全应急处置管理规范、第三方网络安全评估机构执业管理规范等国家及行业权威标准规范。所有参与数据安全能力成熟度评估实施、方案审核、等级判定、整改督导相关工作的机构及从业人员，必须同步严格遵循对应引用文件相关规定协同开展评估工作，确保全流程评估工作合规统一、判定尺度标准一致、评估结果精准有效、整改衔接顺畅有序。3术语和定义3.1数据安全能力成熟度：指组织机构围绕数据全生命周期安全治理工作，在组织架构搭建、管理制度流程建设、人员安全能力配备、技术防护工具部署四大核心维度，所具备的数据安全风险防范、合规管控、应急处置、持续优化的综合能力量化等级，成熟度等级越高，组织数据安全治理体系越完善、风险管控能力越强、合规落实程度越高。3.2数据安全过程域：指按照数据采集、存储、使用、共享、销毁全生命周期划分，结合数据安全管理专项工作拆解形成的各类独立数据安全管控专项工作领域，每个过程域对应专属的安全管控目标、工作实施要求及成熟度评估核查要点，是开展单项数据安全能力评估的基础最小单元。3.3能力维度评估项：指按照组织建设、制度流程、人员能力、技术工具四大核心维度，针对各数据安全过程域拆解细化的具体评估核查条目，是评估人员开展资料审核、现场核查、实测核验、符合性判定的直接实操依据，所有评估项均对应明确的达标判定基准要求。3.4自评估：指数据处理组织机构自行组建内部评估工作团队，依据本标准规范要求，自主开展本单位数据安全能力成熟度评估、短板问题梳理、风险自查自纠的内部常态化评估工作，评估工作以自我对标整改、能力提升为核心目标。3.5第三方评估：指具备合法合规执业资质的外部专业评估机构，受组织机构或监管部门委托，严格依据本标准及配套规范，独立、公正、客观开展全流程专业化数据安全能力成熟度评估工作，出具具备合规效力的正式评估报告及定级结论，作为合规备案及监管核查依据。3.6评估符合性判定：指评估人员对照本标准及配套模型基线要求，结合现场实测、资料核查、人员访谈结果，对单个评估项、单项过程域、整体能力维度的达标契合程度进行核验判断，分为完全符合、基本符合、不符合三类基础判定结果，是成熟度等级核算定级的核心基础数据。4评估总体总则4.1核心评估基本原则。数据安全能力成熟度评估工作必须严格遵循五大核心基本原则，保障评估工作规范有序、结果真实有效。一是客观公正原则，评估工作全程以实测实况、真实资料、实际落实情况为唯一判定依据，不受委托单位、外部机构及个人干预影响，如实记录评估问题、如实判定符合性、如实出具定级结论，严禁弄虚作假、篡改评估数据、隐瞒治理短板；二是科学量化原则，评估工作统一判定尺度、统一核算规则、统一定级标准，将定性核查与定量核验相结合，避免主观随意判定，确保评估结果可量化、可复现、可对比；三是全面覆盖原则，评估工作全覆盖四大能力维度、全数据生命周期过程域、所有核心评估核查项，无遗漏核心管控环节、无豁免关键评估条目；四是风险导向原则，评估工作兼顾合规对标核查与安全风险研判，重点聚焦高风险数据安全管控薄弱环节、核心合规缺失问题，优先核查高危害安全隐患落实情况；五是持续改进原则，评估工作不仅完成等级定级，更侧重梳理治理短板、明确提升方向，以评估促整改、以整改促提升，实现数据安全能力常态化持续优化。4.2评估分类适配要求。数据安全能力成熟度评估分为自评估和第三方评估两类模式，两类评估均需遵循本标准统一评估方法及判定规则，仅在评估流程精细度、资料审核严格度、现场核验深度、报告出具规范度上差异化适配。自评估简化流程管控，侧重内部自查整改，每年至少开展一次常态化评估工作，重点排查日常治理薄弱问题、完善基础管控措施；第三方评估严格执行全流程标准化实操流程，现场实测核查、资料严格审核、问题精准取证，按照监管及合规要求定期开展专项评估，评估结论具备对外合规备案效力，定级结果作为行业监管、数据安全合规验收的核心依据。4.3评估工作底线要求。所有开展评估工作的团队及人员，必须严格遵守保密工作纪律，对评估过程中接触的组织机构核心业务数据、敏感个人信息、数据安全架构资料、内部管理制度文件等涉密敏感信息严格保密，严禁泄露、篡改、违规传播及违规使用相关信息；评估人员需具备对应数据安全专业从业能力，熟悉本标准及配套模型规范要求，秉持专业履职操守，严禁违规评估、人情定级、虚假整改佐证；所有评估过程记录、核查资料、实测数据、判定依据必须完整归档留存，做到评估全程可追溯、可核验、可复盘。5数据安全成熟度等级划分及评估定级基准5.1成熟度等级层级设定。本标准对接配套数据安全能力成熟度模型，将组织机构数据安全能力从低到高划分为五个逐级递进的成熟度等级，等级数字越高，代表组织数据安全治理体系越完善、管控流程越规范、技术防护越完备、人员能力越专业、风险抵御能力越强，数据安全合规达标及风险管控水平越高。一级为非正式执行级，二级为计划跟踪级，三级为充分定义级，四级为量化控制级，五级为持续优化级，每个等级均对应专属的能力建设基线、评估符合性达标比例及核心管控特征，逐级提升管控标准及评估要求。5.2各等级核心能力基准要求。一级非正式执行级为基础初始等级，组织无系统化数据安全治理体系，数据安全相关工作以被动应对、随机处置、零散开展为主，无固定制度流程、无专属组织人员、无专项技术防护，仅能应对偶然发生的基础数据安全问题，无常态化管控能力；二级计划跟踪级为基础规范起步等级，组织已初步搭建基础数据安全管理架构，配备基础管理人员及简易制度流程，数据安全工作具备计划性和基础跟踪管控能力，能够常态化开展基础数据安全防护及简单风险处置；三级充分定义级为合规达标核心常规等级，组织建立系统化、标准化、全覆盖的数据安全治理制度体系，专属管理组织及专职人员配备齐全，技术防护工具部署到位，全生命周期数据安全管控流程规范落地，具备常态化合规管控及常规风险处置能力，满足法律法规及行业基础合规硬性要求；四级量化控制级为精细化管控提升等级，组织数据安全工作实现全流程量化管理，可通过数据监测、统计分析、量化研判精准把控数据安全风险，能够基于量化数据优化管控策略，实现风险精准预警及精细化治理；五级持续优化级为行业标杆卓越等级，组织数据安全治理体系具备动态迭代、持续优化、创新引领能力，可结合业务发展、技术迭代、风险变化持续优化安全策略，具备行业示范引领作用，数据安全治理能力达到行业先进标杆水平。5.3等级定级核心核算基准。成熟度等级定级以各数据安全过程域评估符合性判定结果为基础，按照四大能力维度权重配比、各过程域重要程度差异化核算综合达标得分，结合对应等级最低达标门槛要求综合判定最终成熟度等级。所有高风险核心评估项实行一票否决机制，若核心关键评估项判定为不符合，无论整体达标比例高低，均不得评定对应及更高成熟度等级；非核心一般评估项按照完全符合、基本符合、不符合三类结果折算核算达标权重，综合计算整体评估符合度，匹配对应成熟度等级达标区间，最终确定组织数据安全能力成熟度定级结果。6评估模型与核心评估维度要求6.1整体评估模型架构。本标准采用能力维度加过程域双向融合评估模型，横向覆盖组织建设、制度流程、人员能力、技术工具四大核心支撑能力维度，纵向覆盖数据全生命周期各类数据安全专项过程域，形成横向支撑保障、纵向业务管控的一体化综合评估架构。评估工作需双向同步核查，既要核验四大基础能力维度的建设落实完备性，也要核验各数据安全过程域专项管控工作的执行到位性，两大层面评估结果综合汇总后，方可开展最终成熟度等级定级，单一维度达标不得作为整体定级依据，确保数据安全治理软硬兼备、管控与支撑同步达标。6.2组织建设维度评估要求。组织建设维度评估重点核查组织机构数据安全治理顶层架构搭建及责任落实情况，核心评估是否设立专属数据安全管理工作机构，是否明确数据安全第一责任人、分管负责人、专职管理及运维岗位人员，是否逐级压实数据安全主体责任及岗位工作职责；评估组织内部数据安全工作统筹协调机制、跨部门协同管控机制、上下级工作联动机制是否健全，数据安全决策部署、工作推进、督导检查责任链条是否完整；评估外部合作单位、外包服务机构、第三方数据合作方的数据安全责任划分及协同管控机制是否落实，组织层面数据安全治理统筹管理及履职管控能力是否匹配对应成熟度等级要求。6.3制度流程维度评估要求。制度流程维度评估聚焦数据安全全生命周期管理制度体系建设及流程落地执行情况，评估组织是否编制适配自身业务实际的数据分类分级管理、数据采集管控、数据存储防护、数据使用管控、数据共享交换、数据对外提供、数据销毁处置、数据安全应急处置、漏洞隐患整改、安全审计考核等全系列规章制度及标准操作流程；评估制度流程是否贴合法律法规及监管最新要求定期修订更新，是否具备实操性和落地性，杜绝照搬套用流于形式；评估各项制度流程日常执行落实情况，是否留存制度宣贯、流程执行、审批管控、检查考核等完整工作记录，制度流程是否形成闭环管理执行体系。6.4人员能力维度评估要求。人员能力维度评估重点核查所有数据安全管理、运维操作、业务经办相关岗位人员专业能力及安全素养达标情况，评估专职数据安全管理人员是否具备对应专业从业资质及岗位履职能力，定期参加数据安全法律法规、专业技术技能常态化培训及考核；评估业务操作人员是否熟知本岗位数据安全管控要求及操作规范，具备基础数据安全风险识别及合规操作能力；评估人员离岗离职、岗位交接、保密承诺等人员安全管理措施落实情况，外包及外来人员数据安全管控培训及履职管理情况；评估组织常态化数据安全培训、应急演练、技能考核工作开展情况，整体人员数据安全意识及专业能力匹配对应成熟度等级建设需求。6.5技术工具维度评估要求。技术工具维度评估侧重数据安全防护技术设施部署、安全工具配置、技术管控措施落地实操情况，评估数据分类分级工具、数据加密防护工具、数据脱敏处理工具、数据访问审计工具、数据备份恢复工具、数据安全监测预警工具等专项安全技术防护设施是否按需配齐部署；评估各类技术工具常态化运行维护、策略配置、安全加固、版本更新工作落实情况，技术防护策略是否符合安全管控基线要求；评估技术工具日志留存、风险监测、异常告警、违规处置功能是否正常生效，技术防护手段是否能够有效防范数据泄露、篡改、滥用、损毁等安全风险，技术防护能力适配组织数据规模及业务应用实际需求。7评估实施全流程规范要求7.1评估前期准备阶段。评估工作正式启动前，需完成各项前期筹备基础性工作，确保评估工作平稳有序开展且不影响组织机构正常业务运营。首先明确评估工作范围、评估周期、评估团队人员分工，梳理核对被测组织基本情况、数据业务架构、数据资产规模、现有数据安全治理基础工作现状；收集整理被测组织数据安全管理制度文件、组织架构资料、人员岗位配置资料、技术防护设备部署台账、过往安全自查及整改记录等基础备查资料；评估团队结合被测组织行业特性及数据安全管控重点，定制专项评估实施方案，明确评估核查要点、现场核验方式、符合性判定标准及工作时间安排；同步做好评估工作保密部署、人员岗前培训、检测工具调试准备工作，提前排查评估实操潜在风险，避免评估工作干扰核心数据业务正常运行。7.2资料审核与现场访谈阶段。前期准备工作完成后，评估团队首先开展书面资料专项审核工作，对照本标准四大能力维度及各过程域评估要求，逐项核查管理制度、工作记录、培训档案、整改台账、运维资料等书面材料的完整性、真实性、合规性、有效性，核实各项数据安全管理工作是否纸面落实且有据可查；资料审核完成后，开展现场专项访谈工作，与数据安全管理人员、运维技术人员、业务经办人员分层面对面访谈，核实制度流程实际执行情况、岗位履职实际情况、安全工作落地实效，排查纸面资料与实际工作不符、制度流于形式等突出问题，详实记录访谈核实情况及发现的治理短板。7.3现场实测与核查核验阶段。资料审核及现场访谈完成后，评估团队开展现场技术实测及实地核查工作，针对技术工具防护、数据安全策略配置、数据管控实操落地等技术类评估项，采用专业检测工具、现场设备核查、策略配置核验、数据安全实操复测等方式，实测数据安全技术防护措施生效情况、安全策略配置合规情况、技术管控实际落地情况；逐项记录现场实测数据、核查发现的安全隐患、能力建设缺失问题，对所有不符合及基本符合评估项逐一取证留存佐证材料，确保评估问题有据可查、判定依据真实充分，严禁主观臆断判定问题等级。7.4问题汇总与符合性判定阶段。现场评估全部工作结束后，评估团队集中开展评估数据汇总梳理工作，对照所有评估核查项实测结果、资料审核结论、现场访谈记录、实测取证材料，逐项完成单个评估项符合性判定，区分完全符合、基本符合、不符合三类结果；按照四大能力维度及各数据安全过程域分类梳理数据安全治理短板、高风险安全隐患、能力建设缺失问题，区分问题危害等级、整改难易程度，明确各类问题整改优先级及核心整改方向；结合成熟度等级核算基准，统计整体评估符合度及核心关键项达标情况，初步核算被测组织数据安全能力成熟度拟定定级结论。7.5结果沟通与整改复核阶段。评估初步定级结论形成后，评估团队与被测组织沟通核对评估发现问题及初步定级结果，核实异议问题并开展复核确认工作，确保评估结论客观真实、问题认定准确无误；被测组织根据评估问题清单制定专项整改提升方案，明确整改责任人、整改时限、整改具体措施，逐项落实短板问题整改加固及能力提升工作；对于高风险核心问题整改完成后，评估团队按需开展整改复核复测工作，核查问题整改到位、安全隐患彻底消除，整改佐证资料完整归档，形成评估整改闭环管理，最终确认正式成熟度定级结论。8评估结果定级与处置管理要求8.1定级结果确认规则。数据安全能力成熟度最终定级结果严格依据核心关键项一票否决规则、整体评估符合度核算区间、问题整改复核完成情况综合确认，所有核心高风险评估项必须全部达到对应等级符合要求，整体评估符合度达到对应等级最低达标比例，整改复核工作全部闭环完成，方可正式评定对应成熟度等级；若核心关键项存在不符合情形，或整体符合度未达标，或重大问题未完成整改，一律降级评定成熟度等级，待整改达标后重新复核定级，严禁违规拔高定级结论。8.2不同定级结果处置要求。评定为一级、二级基础成熟度等级的组织，需限期完善基础数据安全治理架构及管理制度，补齐基础防护短板，加快推进数据安全合规基础建设，常态化开展自评估整改提升工作；评定为三级充分定义核心合规等级的组织，需持续巩固现有治理体系，常态化优化管控流程，定期开展风险自查自纠，维持