GB-T 42436-2023 信息安全技术 数据安全治理指南

GB/T42436-2023信息安全技术数据安全治理指南前言本标准由国家市场监督管理总局、中国国家标准化管理委员会于2023年联合正式发布，作为我国数据安全治理领域基础性、纲领性国家级指导标准，与GB/T42437数据安全风险评估方法、GB/T42438数据安全事件应急响应指南、GB/T42439数据安全能力成熟度评估方法形成完整配套的数据安全国家标准治理体系，互为支撑、协同落地，共同构建数据安全治理建设、风险评估、应急处置、能力定级全闭环标准化管控格局。本标准归口管理于全国信息安全标准化技术委员会，由国家数据安全与网络安全主管机构、权威科研标准化院所、重点行业龙头数据处理单位及专业数据安全治理服务机构联合牵头编制制定，深度对标《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《网络数据安全管理条例》等法律法规法定治理要求，彻底解决以往各类组织机构数据安全治理无统一建设框架、治理边界模糊、重技术轻管理、重防护轻运营、建设碎片化不成体系的行业共性难题。本标准编制严格遵循依法合规统筹、安全发展并重、体系化全覆盖、实战化可落地、动态化持续优化的核心编制原则，区别于单一技术防护或单一管理制度类专项标准，本标准立足顶层治理视角，不再局限于单点安全设备部署或单项制度编撰，聚焦组织机构数据安全治理顶层设计、组织架构搭建、制度体系完善、全生命周期管控、技术防护配套、常态化安全运营、治理评估迭代全链条建设工作，明确数据安全治理建设什么、怎么建设、怎么运营、怎么优化的全流程实操指南。本标准既是各级政务机关、企事业单位、社会组织规划搭建数据安全治理整体体系的法定顶层依据，也是行业监管部门督导核查数据安全治理建设落地成效、第三方机构开展治理咨询规划服务的统一合规准绳，适配全行业不同规模、不同数据量级、不同业务场景的数据处理运营主体常态化数据安全治理建设工作。引言随着我国数字经济高质量发展迈入深度转型阶段，数据已然成为驱动产业升级、业务创新、社会治理的核心生产要素，各类组织机构数据采集汇聚、跨域共享、融合应用、对外合作、跨境流转场景持续增多，数据资产规模呈指数级增长，数据安全风险隐患随之高发频发。长期以来，多数单位数据安全工作存在明显短板，普遍存在重信息化业务发展、轻数据安全治理建设，重网络设备硬件防护、轻数据本身全流程管控，重事后应急处置、轻事前常态化治理运营的片面建设思维，数据安全治理工作碎片化、零散化、被动化特征突出，缺乏顶层统筹规划、专职治理组织、系统化制度流程、全周期管控机制和常态化运营能力，导致数据分类分级流于形式、数据权限管控混乱、违规数据流转频发、安全隐患长期积累，极易引发数据泄露、篡改、滥用等安全事件，不仅影响单位正常业务运营，还会侵害公众合法权益、触碰合规监管红线、危害区域数据安全稳定。为统一全国各类组织机构数据安全治理顶层建设口径、标准化治理总体架构、规范化治理建设内容、常态化治理运营机制及持续迭代改进要求，指导数据处理者构建以数据资产为核心、以合规管控为底线、以风险防控为导向、以持续运营为支撑的一体化全维度数据安全治理体系，推动数据安全治理从零散防护向体系化治理、从被动应对向主动防控、从静态建设向动态优化转型，实现数据安全与业务发展统筹协同、良性互促，特制定本国家标准。本标准兼顾治理合规性与实操落地性，兼顾顶层战略设计与基层业务执行，兼顾短期体系搭建与长期长效运营，适配政务、金融、能源、医疗、交通、互联网、工业等全行业数据安全治理建设实际需求，全面夯实我国整体数据安全治理根基，护航数字经济健康安全有序发展。1范围本标准系统规定了数据安全治理工作的基础术语定义、规范性引用依据、治理总体核心原则、数据安全治理总体架构体系、组织治理架构建设要求、制度规范体系搭建细则、数据全生命周期安全治理管控要求、安全技术防护体系建设规范、数据安全常态化运营管理机制、治理成效评估检查方法、治理体系持续优化改进管理等全维度全链条核心指南内容。本标准聚焦组织机构数据安全顶层综合治理工作，不局限于单一技术防护设备配置或单项管理制度制定，重点规范数据安全治理整体规划、体系搭建、落地执行、运营管控、评估迭代全流程工作，不替代网络安全等级保护、数据风险评估、应急响应等专项标准工作，专门提供数据安全治理整体统筹建设顶层指导规范。本标准适用主体覆盖全国所有行业领域、所有类型的数据处理组织机构，核心适用工作包含三大核心板块，一是各类政务党政机关、事业单位、国企央企、民营企业、社会组织等各类数据处理者，统筹规划、搭建落地、运营优化本单位整体数据安全治理体系；二是具备专业资质的第三方数据安全治理咨询规划机构，为各类单位提供标准化、规范化数据安全治理顶层设计和建设落地支撑服务；三是各级网信、数据安全、网络安全及行业主管监管部门，督导检查辖区及行业内各单位数据安全治理体系建设落地、合规履职及长效运营情况。本标准无行业及业务排他性要求，涉密数据治理工作可在本标准基础上叠加涉密信息安全专项治理规范协同实施，适配各类常规及特殊数据处理场景治理建设需求。2规范性引用文件下列规范性引用文件是本标准数据安全治理体系建设、运营、评估及优化工作开展不可或缺的核心配套支撑依据，凡是标注具体发布日期的引用文件，仅对应标注版本内容适用于本标准；凡是未标注具体发布日期的引用文件，其最新有效修订版本及所有后续增补修改单内容均统一适配本标准各项数据安全治理建设与运营工作执行要求。核心配套引用文件主要包含数据分类分级国家标准、数据安全能力成熟度评估国标、数据安全风险评估方法国标、数据安全事件应急响应指南国标、个人信息保护处理规范、网络安全等级保护系列基础标准、重要数据识别备案管理规范、网络安全运营管理相关标准等国家及行业权威规范。所有参与数据安全治理规划设计、体系建设、运营管理、评估检查、优化整改相关工作的机构及从业人员，必须同步严格遵循对应引用文件协同开展治理工作，确保全流程数据安全治理建设合规统一、标准一致、衔接顺畅、闭环可控。3术语和定义3.1数据安全治理：指组织机构以保障数据全生命周期安全合规、防范数据安全风险、促进数据安全合规利用与业务健康发展为核心目标，通过顶层战略规划、组织架构搭建、制度流程完善、技术防护配套、全周期管控落实、常态化运营监测、定期评估优化等一系列系统化、体系化、常态化统筹管理建设活动，构建权责清晰、流程规范、防护到位、运营持续、动态优化的数据安全长效管控体系的全过程综合管理工作。3.2数据安全治理主体：指依法承担数据安全主体责任，统筹开展本单位数据安全治理规划建设、落地执行、运营管控及整改优化工作的各类数据处理组织机构，是数据安全治理工作的第一责任主体，全面负责本单位所有数据处理活动及数据安全治理各项工作落地见效。3.3数据安全治理架构：指组织机构为推进数据安全治理各项工作有序落地，搭建的包含战略决策层、统筹管理层、执行操作层、业务配合层在内的多级联动治理组织体系，配套明确各层级岗位职责、工作分工、协同机制及责任追究机制，是数据安全治理工作落地实施的组织基础保障。3.4数据安全常态化运营：指组织机构数据安全治理体系建成后，依托日常监测、风险巡检、权限管控、日志审计、隐患整改、培训宣贯、应急联动、复盘优化等常态化日常工作，持续维持数据安全治理体系有效运转，动态化解新增安全风险，保障数据全生命周期持续安全合规的日常运维管控工作。3.5数据安全治理评估优化：指组织机构定期对数据安全治理组织建设、制度落实、技术防护、运营管控、风险防控等各方面工作成效开展综合检查评估，梳理治理短板薄弱环节，针对性优化治理架构、完善制度流程、强化技术防护、升级运营机制，实现数据安全治理体系动态迭代、持续提升的闭环管理工作。4数据安全治理总体工作原则4.1依法合规，底线坚守原则。数据安全治理各项工作必须严格遵循国家数据安全、个人信息保护、网络安全相关法律法规及国家标准规范要求，将合规管控作为数据安全治理不可突破的核心底线，所有数据处理活动、治理建设工作、运营管控措施均需对标法定要求落地实施，坚决杜绝违规采集、违规共享、违规传输、违规销毁各类数据处理行为，确保数据安全治理全程合法合规、履职到位、不触监管红线。4.2安全并重，发展协同原则。坚持数据安全防护与数据要素价值释放统筹兼顾、同步推进，既不片面追求业务发展忽视数据安全治理，也不盲目过度防护制约数据正常合规流通利用，平衡数据安全管控与业务创新发展双向需求，以安全保发展、以发展促安全，实现数据安全治理与数字化业务发展良性互动、协同共进。4.3统筹规划，体系建设原则。数据安全治理摒弃零散建设、单点整改的传统模式，坚持顶层统筹规划、整体体系搭建、全域同步推进，统一治理目标、统一管理制度、统一技术标准、统一运营机制，打通各部门、各业务系统、各数据流转环节治理壁垒，构建全域覆盖、上下联动、左右协同的一体化数据安全治理整体体系。4.4风险导向，实战落地原则。以数据安全风险防控为核心导向，聚焦数据泄露、篡改、丢失、滥用、违规流转等高风险核心环节，针对性配置治理措施、强化管控力度，杜绝治理工作纸面化、形式化、走过场，所有治理制度、技术防护、运营流程均贴合业务实际、适配实操场景、能够落地执行，切实解决真实数据安全治理痛点难点问题。4.5动态迭代，持续优化原则。数据安全治理并非一次性静态建设工作，需适配法律法规更新、业务模式调整、技术架构升级、安全态势变化常态化动态优化，定期开展治理成效评估、短板问题复盘、管控措施迭代，持续完善治理体系、提升治理能力，适配数据安全治理长期长效管控需求。5数据安全治理总体架构体系5.1架构整体建设逻辑。本标准明确的数据安全治理总体架构采用顶层决策统筹、中层管理执行、基层业务落地、长效评估优化的四层一体化建设逻辑，以数据资产全生命周期管控为主线，以组织治理、制度治理、技术治理、运营治理四大核心支撑为根基，以合规管控、风险防控、能力提升三大目标为导向，全方位覆盖数据安全治理规划、建设、运营、评估、优化全生命周期工作，确保治理工作有组织管事、有制度依规、有技术防护、有运营落地、有评估改进。5.2四大核心治理支撑板块。整体治理架构包含组织治理体系、制度规范体系、技术防护体系、常态化运营体系四大核心支撑板块，四大板块互为支撑、缺一不可。组织治理体系解决谁来管、谁来做、谁负责的核心问题，压实各级数据安全治理责任；制度规范体系解决怎么管、按什么流程管、按什么标准管的核心问题，明确治理工作合规依据和操作规范；技术防护体系解决怎么防、怎么控、怎么监测预警的核心问题，以技术手段筑牢数据安全防护屏障；常态化运营体系解决怎么持续管、怎么动态整改、怎么日常运维的核心问题，保障治理体系长期有效运转。5.3全周期治理管控闭环。治理架构贯穿数据采集、存储、使用、加工、传输、共享、提供、公开、销毁全生命周期所有数据处理环节，同步衔接风险评估、应急响应、能力测评、合规检查各项配套工作，形成规划建设、落地执行、日常运营、风险处置、评估复盘、优化迭代的全闭环数据安全治理管控格局，实现数据安全治理全流程无死角、全环节无短板。6数据安全组织治理体系建设要求6.1高层战略决策组织搭建。组织机构需设立数据安全治理工作领导小组作为最高决策机构，由单位主要负责人担任组长，全面统筹本单位数据安全治理顶层规划、战略决策、资源调配、责任压实工作，审定数据安全治理总体方案、重大治理决策、重大风险处置措施及年度治理工作规划，对本单位数据安全治理工作负总责，切实落实数据安全第一责任人法定职责。6.2专职统筹管理机构设置。在领导小组下设专职数据安全管理工作部门，配备专职数据安全治理管理人员，负责数据安全治理日常统筹协调、制度编制、工作推进、督导检查、部门联动等常态化管理工作，承接领导小组各项决策部署，对接行业监管部门及第三方服务机构，统筹推进数据安全治理各项建设及整改工作，确保治理工作有人抓、有人管、有专职人员落实。6.3基层业务执行岗位配置。各业务部门设立兼职数据安全联络员及数据安全岗位人员，明确本部门数据处理业务对应的安全管理职责，负责本部门数据资产梳理、日常安全管控、异常风险上报、治理工作落地配合、人员安全宣贯等基层执行工作，打通数据安全治理从顶层决策到基层业务落地的最后一公里，实现治理责任层层传导、逐级落实。6.4岗位权责分离与协同机制。严格落实数据安全岗位权责分离、相互制约、相互监督管理要求，明确管理岗位、运维岗位、业务岗位、审计岗位不同岗位职责，严禁一人多岗权责混同、账号权限共享混用；建立跨部门数据安全治理常态化协同工作机制，定期开展治理工作联席会议、工作督导调度、问题协同处置，形成上下联动、左右协同的组织治理工作格局。6.5人员管理与考核追责要求。建立数据安全治理人员常态化培训、技能考核、警示教育管理机制，定期开展法律法规、治理规范、操作技能专项培训；将数据安全治理工作纳入部门及人员年度绩效考核体系，建立数据安全违规违纪责任追究机制，对治理工作落实不到位、违规操作引发数据安全风险及事件的人员依规追责问责，以考核倒逼治理责任落地。7数据安全制度规范体系建设要求7.1顶层基础管理制度编制。组织机构需编制数据安全总体管理办法作为制度体系总纲，明确数据安全治理总体目标、工作原则、组织职责、治理架构、总体管控要求及合规底线，统领所有数据安全专项制度及操作流程，确保所有数据处理及治理工作均有顶层制度依据，杜绝制度建设无纲领、治理工作无总规的问题。7.2分类分级专项管理制度。配套编制数据分类分级管理办法、数据资产台账管理规范、重要数据及核心数据专项保护制度、个人信息保护管理细则，明确数据资产摸排梳理、分类分级识别、台账动态更新、敏感数据专项管控、个人信息合规处理各项具体要求，夯实数据安全治理精细化管控基础。7.3全生命周期流程管理制度。围绕数据全生命周期各处理环节，编制数据采集、存储、使用、加工、传输、共享、对外提供、公开披露、销毁处置专项安全管理流程，明确各环节操作规范、审批流程、权限管控、合规要求、风险防控措施，确保数据从产生到销毁全流程操作有制度约束、有流程规范、有审批留痕。7.4安全运营及应急配套制度。编制数据安全权限管理、访问审计、风险巡检、漏洞整改、应急处置、事件上报、复盘优化常态化运营配套制度，明确日常运维管控、风险隐患排查、安全事件处置、整改闭环管理各项工作要求，保障数据安全治理日常运营工作依规开展、有序推进。7.5制度修订与落地执行管理。建立数据安全制度常态化修订更新机制，根据法律法规更新、业务调整、技术迭代、监管要求变化及时修订完善制度内容；强化制度宣贯培训及落地执行监督检查，杜绝制度照搬套用、纸面留存、流于形式，确保各项制度贴合业务实操、全员熟知执行、落地管控有效。8数据全生命周期安全治理管控要求8.1数据采集环节治理管控。数据采集严格遵循合法、正当、必要、最小化核心原则，严禁超范围、超刚需、违规批量采集数据；采集前明确采集合法性依据、采集范围、采集用途、存储期限，个人信息采集严格落实告知同意法定要求；规范采集源头管控，做好采集终端及采集链路安全防护，从源头杜绝违规采集、非法采集及数据源头泄露风险。8.2数据存储环节治理管控。按照数据分类分级结果实行差异化存储防护策略，核心及重要数据采用加密存储防护，个人信息及敏感数据落实脱敏存储管控；规范数据存储区域隔离、存储设备加固、账号权限管控工作，建立数据常态化本地及异地备份恢复机制，定期开展备份恢复测试，严防数据存储阶段丢失、损毁、篡改及非法访问风险。8.3数据使用与加工环节治理管控。数据日常使用及加工处理严格遵循最小权限、最小访问原则，精细化分配数据访问及操作权限，严格管控数据查询、导出、复制、编辑操作；敏感数据使用全程脱敏处理，核心操作增设二次审批及全程审计留痕；规范数据加工处理流程，严禁违规加工、篡改、伪造数据，保障数据使用加工环节安全合规、全程可追溯。8.4数据传输与共享环节治理管控。数据跨系统、跨部门、跨单位传输全程采用加密防护措施，杜绝数据明文传输；数据对外共享及向第三方提供严格履行合规审批、安全评估、合同保密约定流程，严格审核共享必要性及接收方安全防护能力；规范数据共享流转台账管理，全程记录共享数据范围、接收主体、流转去向、使用用途，严防数据违规共享、无序流转及对外泄露风险。8.5数据公开与销毁环节治理管控。数据对外公开前严格开展安全合规审核及脱敏处理，严禁公开核心敏感数据及个人隐私信息；数据生命周期届满不再使用时，按照规范流程开展数据安全销毁及存储介质销毁工作，确保数据彻底清除、不可恢复，全程做好销毁记录留存，杜绝数据违规留存、非法恢复、残留泄露隐患。9数据安全技术防护体系建设规范9.1基础安全技术加固防护。全面做好承载数据业务的服务器、终端、网络设备、应用系统基础安全加固工作，关闭默认账号弱口令、高危端口及无用服务，定期修复系统漏洞及安全隐患，强化边界访问控制及网络安全防护，筑牢数据安全技术防护基础底座。9.2数据专属安全防护技术部署。按需部署数据分类分级工具、数据加密防护工具、数据脱敏处理工具、数据访问审计系统、数据防泄露监测系统、数据备份恢复系统等数据专属安全技术防护设施，精准适配数据全生命周期专项防护需求，实现数据可视、可管、可控、可审、可防。9.3数据安全监测与预警能力建设。搭建数据安全常态化监测预警体系，对数据异常访问、批量导出、违规外传、越权操作等风险行为实时监测、及时告警、快速处置，实现数据安全风险早发现、早预警、早干预、早止损，提升主动风险防控技术能力。9.4技术策略运维与升级优化。建立安全技术防护策略常态化运维、定期优化、设备巡检、版本更新机制，定期核查技术防护策略有效性，及时优化适配业务变化及安全态势更新，杜绝技术设备长期不运维、策略失效、防护形同虚设的问题。10数据安全常态化运营管理机制10.1日常安全值守与巡检管理。建立数据安全常态化值守及定期安全巡检工作机制，定期排查数据安全管理短板、技术防护漏洞、违规操作风险点，形成巡检台账及问题清单，做到隐患早排查、早发现、早整改。10.2权限动态管控与审计留痕。实行数据访问权限动态调整、定期清理、到期回收管理，常态化开展数据操作日志审计、行为核查、违规追溯工作，所有数据操作全程留痕、可查可溯，及时发现处置越权访问、违规操作行为。10.3常态化培训与应急演练。定期开展数据安全治理宣贯培训、岗位技能培训及警示教育工作，常态化组织数据安全应急演练及桌面推演，提升全员数据安全治理意识及应急处置实战能力。10.4隐患整改与闭环管控。对巡检排查、监测告警、评估检查发现的数据安全隐患问题，实行台账化管理、限期整改、复核验收、闭环销号管理，确保所有治理短板及安全隐患