GB-T 37973-2019 信息安全技术 大数据服务安全能力要求

GB/T37973-2019信息安全技术大数据服务安全能力要求前言本标准由国家市场监督管理总局、中国国家标准化管理委员会于2019年8月30日联合正式发布，自2020年3月1日起全面正式实施，是我国大数据服务领域首部专门规范大数据服务供给方安全建设、服务运营安全、综合服务保障的国家级专项安全能力标准。本标准归口管理于全国信息安全标准化技术委员会，由国家网络安全主管机构、大数据产业权威科研院所、头部大数据平台运营企业、专业信息安全测评机构及大数据服务外包标杆单位联合牵头编制制定，深度贴合国家大数据发展战略及网络安全管控相关法律法规要求，精准适配大数据采集汇聚、融合分析、共享服务、对外赋能、运维托管等各类大数据专业化服务场景安全管控刚需，彻底解决以往大数据服务行业安全能力建设无统一标准、能力层级划分模糊、重业务服务轻安全防护、重平台建设轻运营管控、服务安全责任边界不清的行业突出短板。本标准编制严格遵循安全合规统筹、能力分级适配、服务全程管控、技术管理并重、实战落地可用、持续迭代提升的核心编制原则，区别于通用大数据安全管理及数据防护类基础标准，本标准专门聚焦**大数据服务提供主体**专属安全能力建设维度，不以数据处理终端用户防护为核心，侧重规范大数据平台运营服务商、大数据分析服务商、大数据运维托管服务商、大数据共享交换服务商等各类服务供给侧机构的综合安全建设能力。本标准明确大数据服务安全能力总体架构、能力分级判定规则、基础管理安全能力、核心技术安全能力、大数据服务全生命周期运营安全能力、能力测评核查及持续改进全维度规范要求，既是各类大数据服务机构常态化开展安全能力自建自查、合规达标建设的法定实操依据，也是行业监管部门开展大数据服务安全督导核查、第三方测评机构开展安全能力等级核验的统一合规准绳，所有从事商业化、政务化、行业化大数据专业服务运营的机构均需参照本标准落地安全能力体系常态化建设工作。引言随着我国大数据产业规模化高速发展，大数据已成为政务治理、产业升级、民生服务、商业运营的核心基础支撑，各类专业化大数据服务机构快速崛起，承接政务大数据归集治理、行业大数据融合分析、企业大数据运维托管、跨区域大数据共享交换等各类专业化服务业务。大数据服务过程中涉及海量多源异构数据汇聚、多主体数据对接、大规模数据运算分析、常态化数据对外服务输出、第三方协同运维操作等复杂场景，数据量级庞大、数据类型繁杂、流转链路多元、访问主体众多，极易引发大数据批量泄露、核心数据篡改、运算数据损毁、违规数据对外输出、平台被入侵控制等重大安全风险。长期以来，多数大数据服务机构片面追求服务业务拓展与平台算力提升，忽视自身安全能力体系建设，安全管理架构缺失、技术防护措施薄弱、服务全程安全管控缺位、人员安全履职不严，导致大数据服务安全事件频发，不仅影响大数据服务正常稳定供给，还会危害数据主体合法权益、扰乱大数据产业安全秩序、触碰网络安全合规监管红线。为统一全国各类大数据服务机构安全能力建设统一口径、标准化安全能力分级层级、规范化管理与技术核心能力要求、常态化服务全流程安全管控规则及能力持续优化迭代机制，指导大数据服务供给方按需分级搭建安全能力体系，补齐安全建设短板，压实大数据服务全过程安全主体责任，提升大数据平台运行安全、数据处理安全、服务输出安全及协同运维安全综合保障水平，实现大数据服务业务合规运营与安全稳定协同发展，特制定本国家标准。本标准兼顾安全能力合规性与服务运营实操性，兼顾基础安全保底建设与高阶安全强化提升，兼顾静态能力达标建设与动态服务全程管控，适配政务大数据、行业大数据、商业大数据等各类不同层级、不同规模、不同服务模式的大数据服务机构安全能力建设实际需求，全面筑牢我国大数据服务产业安全运营根基。1范围本标准系统规定了大数据服务安全能力建设的基础术语定义、规范性引用依据、安全能力总体建设原则、大数据服务安全能力总体架构、安全能力分级划分标准、基础安全管理能力建设要求、核心安全技术能力配置规范、大数据服务全生命周期运营安全管控能力、服务外包及第三方协同安全能力、安全能力测评核查方法、安全能力持续改进提升管理等全维度全链条核心能力要求内容。本标准聚焦大数据服务供给侧机构专属安全能力建设工作，不针对大数据使用终端单位内部数据安全防护工作，专门规范大数据平台搭建、数据运维托管、大数据分析服务、数据共享交换、大数据技术支撑等各类专业化大数据服务全过程安全能力建设标准，不替代通用网络安全等级保护、数据安全治理、数据风险评估等基础性安全标准，专门提供大数据服务专项安全能力定级建设顶层指导规范。本标准适用主体覆盖全国所有从事各类大数据专业化服务运营的组织机构，核心适用工作包含三大核心板块，一是各类政务大数据运营中心、行业大数据平台服务商、商业大数据科技企业等大数据服务供给机构，分级规划、搭建落地、运维优化自身大数据服务安全能力体系；二是具备专业资质的第三方安全测评与咨询机构，受委托开展大数据服务机构安全能力等级核验、合规测评、建设咨询支撑服务；三是各级网信、网络安全、大数据行业主管监管部门，督导核查辖区及行业内大数据服务机构安全能力建设达标、安全服务合规运营及长效能力迭代情况。本标准无行业及服务类型排他性要求，涉密大数据专项服务安全能力建设可在本标准基础上叠加涉密信息系统安全专项管控规范协同实施，适配常规及特殊涉密大数据服务运营场景安全能力建设需求。2规范性引用文件下列规范性引用文件是本标准大数据服务安全能力建设、等级划分、运营管控、测评核查及持续改进工作开展不可或缺的核心配套支撑依据，凡是标注具体发布日期的引用文件，仅对应标注版本内容适用于本标准；凡是未标注具体发布日期的引用文件，其最新有效修订版本及所有后续增补修改单内容均统一适配本标准各项大数据服务安全能力建设与运营工作执行要求。核心配套引用文件主要包含网络安全基础通用国家标准、数据分类分级安全规范、网络安全等级保护系列标准、数据安全事件应急响应规范、信息安全运维管理标准、个人信息安全保护处理规范、大数据基础技术通用标准等国家及行业权威规范。所有参与大数据服务安全能力规划建设、运维管理、测评核查、整改优化相关工作的机构及从业人员，必须同步严格遵循对应引用文件协同开展安全能力建设工作，确保全流程大数据服务安全能力建设合规统一、标准一致、衔接顺畅、闭环可控。3术语和定义3.1大数据服务：指大数据服务机构依托自建或运维管理的大数据汇聚平台、运算分析平台、存储管理平台，为政务机关、企事业单位、社会组织等需求方提供的大数据归集治理、存储托管、融合分析、建模运算、共享交换、数据输出、技术运维、专项支撑等各类专业化大数据技术与数据相关服务的统称，涵盖大数据全流程专业化运营服务所有业务形态。3.2大数据服务安全能力：指大数据服务机构为保障大数据平台设施安全、汇聚数据安全、运算处理安全、服务输出安全、运维操作安全及服务对接安全，配套建设的安全管理体系、技术防护设施、人员履职能力、运营管控机制、应急处置保障等各类综合安全保障能力的总和，是大数据服务合规稳定运营的核心基础条件。3.3大数据服务安全能力分级：指依据大数据服务机构服务规模大小、汇聚数据敏感等级、服务覆盖范围、安全风险高低及合规管控要求，对大数据服务安全建设水平划分的不同能力层级，层级越高代表安全防护管控能力越强，适配高等级、高风险大数据专项服务运营需求。3.4大数据服务全生命周期安全：指大数据服务从服务需求对接、服务方案编制、平台部署搭建、数据归集接入、运算分析处理、服务成果输出、运维持续保障到服务终止收尾全流程各环节的一体化安全管控工作，覆盖大数据服务业务开展的全部运营周期。3.5第三方大数据协同服务：指大数据服务机构委托外部外包运维、技术支撑、安全测评等第三方机构参与大数据平台运维、数据处理、服务支撑等相关辅助工作的合作服务模式，此类协同服务需同步落实对等安全能力管控要求。4大数据服务安全能力总体建设原则4.1依法合规，底线管控原则。大数据服务安全能力建设各项工作必须严格遵循国家网络安全、数据安全、个人信息保护相关法律法规及国家标准规范要求，将合规达标作为大数据服务运营不可突破的安全底线，所有大数据服务业务开展、安全能力建设、运维管控操作均需对标法定要求落地实施，坚决杜绝违规数据归集、违规服务输出、违规运维操作等行为，确保大数据服务全程合法合规、安全履职到位。4.2分级适配，按需建设原则。依据大数据服务规模、数据敏感级别、服务影响范围、安全风险等级实行安全能力分级差异化建设，低风险、小规模基础大数据服务适配基础级安全能力建设要求，高敏感、大规模、广覆盖核心大数据服务强化高阶安全能力配置，杜绝一刀切建设、过度建设或建设不足问题，实现安全能力与服务业务风险精准匹配。4.3管技并重，协同防护原则。坚持安全管理体系建设与安全技术防护配置同步推进、并重落实，既完善组织架构、制度流程、人员管控等管理类安全能力，也配齐平台防护、数据防护、运维防护等技术类安全能力，管理固本、技术强防，形成管理与技术协同联动、互为支撑的一体化安全防护格局。4.4全程管控，动态防护原则。将安全管控贯穿大数据服务全生命周期各个环节，不局限于平台静态安全建设，强化服务运营全过程动态监测、风险预警、实时处置、动态调整，针对大数据服务运营过程中的新增风险、动态隐患及时优化安全防护措施，实现静态建设与动态管控有机结合。4.5持续迭代，长效提升原则。大数据服务安全能力建设并非一次性静态达标工作，需适配大数据技术迭代、服务业务拓展、法律法规更新、安全态势变化常态化优化升级，定期开展能力测评、短板整改、体系优化，持续提升大数据服务综合安全保障能力，适配长期长效安全运营需求。5大数据服务安全能力总体架构与分级标准5.1安全能力总体架构逻辑。本标准明确的大数据服务安全能力总体架构采用基础保底建设、核心强化建设、高阶优化建设三级递进逻辑，以大数据平台设施安全、汇聚数据安全、服务运营安全三大防护目标为核心，以基础安全管理能力、核心安全技术能力、服务全流程运营安全能力、第三方协同安全能力四大核心板块为支撑，全方位覆盖大数据服务安全规划、建设、运营、测评、优化全周期工作，确保大数据服务安全工作有人管、有制度依、有技术防、全程可控、持续提升。5.2安全能力四级分级划分。按照大数据服务机构业务体量、汇聚数据重要程度、服务覆盖行业范围、安全风险危害等级，将大数据服务安全能力由低到高划分为一级基础安全能力、二级基本合规安全能力、三级强化防护安全能力、四级高阶纵深安全能力四个层级。一级能力满足小型基础大数据服务最低安全保底要求，保障基础服务不发生一般性安全事件；二级能力满足常规行业大数据服务合规运营基本要求，适配多数商业化大数据常规服务场景；三级能力满足政务及重点行业核心大数据服务强化防护要求，管控高危安全风险；四级能力满足国家级、跨区域重大核心大数据服务纵深安全防护要求，全方位防范重大及特别重大安全风险。5.3分级能力适配应用规则。大数据服务机构需根据自身服务属性及数据级别对标对应能力等级开展建设，不得低等级能力承接高风险大数据服务业务；高等级安全能力可向下兼容适配低风险服务场景，低等级能力严禁越级承接高敏感、高风险大数据服务工作；能力等级实行动态复核管理，服务业务升级、数据敏感度提升后需同步升级对应安全防护能力。6大数据服务基础安全管理能力建设要求6.1安全组织管理体系建设。大数据服务机构需设立专属大数据安全管理工作组织，明确机构主要负责人为大数据服务安全第一责任人，配备专职安全管理岗位人员，落实岗位AB角备份机制，明确安全管理、业务运营、技术运维、审计监督各岗位安全职责，严格实行岗位职责分离、相互制约、相互监督管理机制，杜绝一人多岗权责混同、岗位权限混用问题，确保大数据服务安全工作专人分管、专人落实、责任到人。6.2安全管理制度流程编制。配套编制大数据服务安全总体管理总则、平台安全运维管理办法、数据归集处理安全制度、服务输出安全管控流程、人员安全管理规范、安全事件应急处置制度、第三方协同安全管理制度等全系列专项管理文件，明确大数据服务各环节安全操作规范、审批流程、管控标准、追责要求，杜绝制度缺失、流程空白、管理无据问题，确保所有大数据服务运营操作均有制度依规、有流程约束。6.3人员安全管控能力要求。建立大数据服务从业人员入职安全审查、在岗安全培训、定期安全考核、离岗安全注销全流程人员管控机制，定期开展大数据安全法律法规、服务安全操作规范、风险应急处置技能专项培训，强化人员安全警示教育；严格管控人员平台操作权限、数据访问权限、服务运维权限，人员离岗及时回收所有操作权限，严防内部人员违规操作、越权访问、数据泄密风险。6.4安全值守与应急管理能力。建立大数据服务常态化安全值守、日常风险巡检、安全监测值守工作机制，全天候监控大数据平台运行及服务安全状态；配套编制大数据服务安全专项应急预案，定期开展应急演练及桌面推演，健全安全事件上报、应急处置、复盘整改闭环机制，确保发生大数据安全突发事件后能够快速响应、及时处置、止损减损。6.5安全考核与责任追究管理。将大数据服务安全能力建设及安全运营工作纳入机构年度绩效考核核心体系，定期开展安全工作督导检查；建立大数据服务安全违规责任追究机制，对安全建设落实不到位、违规运维操作、引发安全事件的岗位及人员依规追责问责，以考核倒逼安全管理责任落地见效。7大数据服务核心安全技术能力配置规范7.1大数据平台基础设施安全防护。全面做好大数据服务器集群、存储设备、网络设备、算力调度设备、大数据基础软件平台等基础设施安全加固工作，关闭高危端口、默认账号及无用服务，及时修复系统漏洞及软件安全隐患，强化平台边界访问控制、网络安全隔离、设备安全运维加固，筑牢大数据服务底层硬件及基础软件安全防护底座。7.2大数据数据全量安全防护技术部署。按需配置大数据数据分类分级、数据加密存储、数据动态脱敏、数据访问审计、数据防泄露监测、数据备份恢复等专属数据安全防护技术设施，针对大数据多源汇聚、批量运算、集中存储特性，强化海量数据汇聚阶段敏感信息防护、运算阶段数据安全隔离、存储阶段加密防护，实现大数据可视、可管、可防、可溯、可恢复。7.3大数据运算与建模安全防护。强化大数据建模运算、数据挖掘分析、算法调度处理环节安全技术管控，防范算法恶意篡改、运算数据污染、建模逻辑违规等安全风险；规范大数据运算任务权限管控、运算操作全程审计、运算数据隔离防护，严防运算过程中核心敏感数据泄露、数据篡改及运算结果违规输出问题。7.4大数据服务访问与接口安全防护。严格管控大数据服务对外访问接口、数据共享接口、服务调用端口安全，强化接口身份鉴别、访问权限控制、接口调用审计、异常接口访问告警防护；规范外部单位服务调用审批流程，严控接口数据输出范围，防范非法接口调用、批量数据违规导出及接口入侵攻击风险。7.5大数据安全监测预警与溯源能力建设。搭建大数据服务专属安全监测预警体系，对平台异常访问、数据批量导出、违规接口调用、越权运维操作等风险行为实时监测、及时告警、快速阻断；建立安全事件溯源取证技术能力，确保安全风险及事件发生后可快速溯源定位、固定证据、精准处置。8大数据服务全生命周期运营安全管控能力要求8.1服务对接与方案筹备阶段安全管控。大数据服务业务合作对接初期，严格核查服务需求方合规资质及安全防护能力，明确双方安全责任划分边界；编制大数据服务专项安全实施方案，明确数据归集范围、服务运营边界、安全管控措施、数据使用限制，严禁超范围归集数据、超权限提供大数据服务，从服务源头筑牢安全管控防线。8.2大数据归集接入与平台部署阶段安全管控。多源大数据归集接入平台过程中，严格落实数据接入安全审核、数据安全检测、敏感数据筛查脱敏要求，严防外部带毒数据、违规数据接入大数据平台；平台部署及系统升级改造全程做好安全测试、漏洞核查、配置加固工作，部署完成后开展安全验收测评，达标后方可投入服务运营使用。8.3大数据运算分析与日常运维阶段安全管控。大数据日常运算分析、建模挖掘、业务运维过程中，严格落实最小权限操作原则，细化运维人员操作权限管控，全程留存运维操作日志及数据处理记录；常态化开展安全巡检、漏洞排查、策略优化工作，及时整改运维过程中发现的安全隐患，保障大数据平台稳定运行及数据处理安全。8.4大数据服务成果输出与共享交付阶段安全管控。大数据分析成果、数据报表、共享数据对外输出交付前，严格开展安全合规审核及敏感信息脱敏处理，严控数据输出量级及范围；全程记录数据输出去向、使用用途、接收主体信息，建立服务输出台账动态管理，严防核心敏感大数据违规对外交付、无序流转及泄露外泄风险。8.5服务终止收尾与数据销毁阶段安全管控。大数据服务合作周期届满终止后，按照双方约定及合规要求，依规开展服务数据返还、数据销毁、平台数据清理、运维权限回收工作；彻底清除平台留存的合作数据及备份数据，做好数据销毁及清理记录留存，杜绝数据违规留存、非法恢复及残留泄露安全隐患。9第三方大数据协同服务安全管控能力要求9.1第三方机构安全资质审核。大数据服务机构委托外部第三方开展运维支撑、技术服务、安全测评等协同工作前，严格核查第三方机构安全资质、安全能力水平、过往安全服务履历，严禁委托无资质、安全能力不达标、存在安全不良记录的机构参与大数据核心服务协同工作。9.2第三方安全合作协议约束。与第三方协同服务机构签订专项安全保密合作协议，明确双方安全责任划分、数据保密要求、操作权限限制、安全违规追责、数据安全保障义务，以合同法律形式压实第三方协同服务安全责任，杜绝安全责任推诿扯皮。9.3第三方操作权限全程管控。严格限制第三方机构运维操作及数据访问权限，实行最小必要权限分配原则，按需赋权、定期复核、到期回收；第三方所有运维操作全程审计留痕，实时监测第三方异常操作行为，及时阻断违规操作，严防第三方人员引发数据泄露、平台失控等安全风险。9.4第三方服务事后安全核查。第三方协同服务工作完成后，及时开展安全专项核查工作，回收所有操作权限、清理临时操作账号、核查服务操作安全记录，排查协同服务期间遗留安全隐患，确保第三方协同服务全程安全可控、无后续安全遗留风险。10大数据服务安全能力测评与核查管理10.1常态化内部自我测评。大数据服务机构每年度至少开展一次大数据服务安全能力内部自我测评工作，对照本标准分级能力建设要求，逐项核查管理能力、技术能力、运营管控能力落实情况，全面梳理安全能力建设短板及薄弱环节，形成内部测评自查报告。10.2第三方外部专业测评。承接三级、四级高阶