GB-T 37988-2019 信息安全技术 数据安全能力成熟度模型

GB/T37988-2019信息安全技术数据安全能力成熟度模型国家标准编号：GB/T37988-2019标准中文名称：信息安全技术数据安全能力成熟度模型标准英文名称：Informationsecuritytechnology—Datasecuritycapabilitymaturitymodel发布机构：国家市场监督管理总局、国家标准化管理委员会发布日期：2019年08月30日实施日期：2020年03月01日归口单位：全国网络安全标准化技术委员会（SAC/TC260）适用性质：国家推荐性国家标准替代及废止说明：本标准为首次专项制定发布，无替代旧版标准，自正式实施之日起，作为国内各类企事业单位、政务机构、互联网运营主体构建数据安全体系、开展数据安全能力建设、实施成熟度等级自评、第三方机构专业测评、监管部门数据安全合规督导检查的核心基础性国标依据。本标准聚焦数据全生命周期安全管控核心能力建设，衔接网络安全、数据安全、个人信息保护相关法律法规及配套系列安全标准，是企业常态化数据安全治理、数字化转型安全保障、数据合规长效运营的纲领性规范文件。前言本文件严格按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》规定的编制准则起草制定，整体篇章架构、条款编排逻辑、国标行文表述、专业术语释义均遵循国家标准化文件统一编撰管理要求，确保标准文本严谨规范、行业通用适配、落地实操可行。随着数字经济高速发展，全社会数据采集汇聚、流转共享、加工利用规模持续扩大，数据已成为核心生产要素，数据安全直接关系国家安全、产业发展、企业经营和个人合法权益。当前各类组织普遍存在数据安全管理体系碎片化、安全能力建设无统一标准、数据全生命周期管控不均衡、安全防护重技术轻管理、制度流程落地执行不到位、人员岗位权责不清晰、风险处置闭环不完善等突出问题，不同行业、不同规模机构数据安全建设水平参差不齐，缺乏统一量化、分级递进的能力建设标尺和合规评估依据，难以适配数据安全常态化治理及合规监管新形势新要求。为统一各类社会组织数据安全能力建设的标准化架构、分级成熟度等级划分规则、全生命周期过程域管控要求、基础实践落地规范及能力综合评估方法，明确数据安全能力从基础合规到持续优化的递进建设路径，引导各类组织循序渐进、分级分类补齐数据安全能力短板，系统化构建适配自身业务发展的数据安全治理体系，压实数据处理活动全流程安全主体责任，提升整体数据安全防护、风险防控、应急处置及长效治理综合能力，保障数据依法依规合规处理、安全有序流转、健康高效利用，特制定本国家推荐性标准。本文件以数据全生命周期安全管控为核心主线，构建科学分级的数据安全能力成熟度核心架构，明确五级成熟度等级递进要求，划分数据生命周期专项安全过程域与通用安全管理过程域，细化各等级各过程域对应的基础实践落地要求和通用实施准则，不设置复杂强制量化技术阈值，坚持分级适配、循序渐进、实操落地、长效提升的核心原则。各类党政机关、企事业单位、行业经营主体可结合自身业务规模、数据重要程度、行业监管要求、数字化发展阶段，对照本模型开展现状自评、差距分析、整改建设、等级提升工作，第三方专业测评机构可依据本标准开展数据安全能力成熟度专项测评认证工作，行业监管部门可依托本标准开展行业数据安全整体态势研判、合规整治及政策优化工作。1范围本文件规定了信息安全技术领域数据安全能力成熟度模型的整体架构设计、成熟度等级分级划分规则、数据安全核心过程域分类界定、各成熟度等级通用实施准则、数据全生命周期各阶段安全过程域具体能力要求、通用安全管理过程域能力建设规范及数据安全能力综合评估实施基本方法。本文件适用于各类党政机关、企事业单位、社会团体及其他从事数据收集、采集、传输、存储、处理、交换、销毁全生命周期数据处理活动的社会组织，用于指导组织常态化开展数据安全能力现状自查评估、短板差距分析、分级建设整改、成熟度等级持续提升及数据安全治理体系系统化建设工作。本文件同时适用于第三方安全测评机构、合规认证机构受托开展数据安全能力成熟度专项测评、等级认定及合规咨询服务工作，可供网信、工信、公安等行业监管部门开展行业数据安全风险研判、专项合规检查、数据安全治理督导及行业数据安全政策制定工作作为核心判定依据。本文件不适用于国家涉密核心数据、军工涉密专项数据、绝密级政务涉密数据的安全能力成熟度评估建设工作，此类涉密特殊数据安全管控及能力评估工作，须结合国家涉密信息安全专项管理规定及涉密数据专属安全标准，在本模型基础上另行制定涉密数据安全能力成熟度专项实施细则。2规范性引用文件下列文件对于本文件的应用必不可少。凡是注日期的引用文件，仅对应注日期版本适用于本文件；凡是不注日期的引用文件，其最新有效修订版本及所有修改单内容，均适用于本文件数据安全能力建设、成熟度评估及等级认定各项工作实施。GB/T22239信息安全技术网络安全等级保护基本要求GB/T25069信息安全技术术语GB/T35273信息安全技术个人信息安全规范GB/T39335信息安全技术个人信息安全影响评估指南GB/T39336-2020信息安全技术移动互联网应用程序（App）个人信息安全影响评估指南《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》国家数据安全治理、数据分类分级保护相关配套监管政策及专项治理文件。3术语和定义3.1数据安全能力：社会组织为保障数据全生命周期处理活动安全合规，防范数据泄露、篡改、丢失、滥用、非法流转、违规销毁等安全风险，所具备的组织管理、制度建设、人员运维、技术防护、流程管控、应急处置、持续改进等综合安全保障能力的统称，是数据安全治理工作落地见效的核心基础支撑。3.2数据安全能力成熟度：衡量社会组织数据安全管理规范化、流程标准化、防护体系化、运营常态化、治理长效化发展程度的分级评价标尺，体现组织数据安全能力从被动应急处置到主动风险防控、从制度纸面建设到实操落地执行、从零散单点防护到体系化综合治理的递进提升水平。3.3过程域：数据安全能力建设与管控工作中，围绕同类数据安全目标、同类管控职责、同类业务场景归集形成的一组关联安全实践活动集合，分为数据全生命周期专项安全过程域和通用安全管理过程域两大类别，是成熟度模型的核心基础组成单元。3.4基本实践：各数据安全过程域下，为达成对应成熟度等级要求所需落实的基础性、必要性、可落地、可核查的具体安全操作行为、管理举措和技术防护动作，是数据安全能力建设和成熟度等级评估核查的最小执行单元。3.5通用实践：适用于所有数据安全过程域，用于统一评定各类过程域及基本实践实施落地能力水平的通用评定准则和管理规范，是保障成熟度等级评价客观统一、标准一致的核心依据。3.6数据脱敏：通过数据替换、屏蔽、扰动、匿名化等专业数据处理技术方法，对原始敏感数据进行改造处理，屏蔽核心可识别敏感信息，在保障数据可用的前提下严防敏感数据泄露，实现数据安全使用和流转的专项数据保护技术手段。3.7数据处理：社会组织对各类原始数据开展采集抽取、转换加工、整理分析、建模计算、画像统计、深度挖掘等各类操作活动的统称，是数据价值挖掘利用的核心中间环节，需配套对应等级安全管控措施。3.8数据销毁：数据存储使用及流转周期结束、业务服务终止、用户申请删除注销后，对各类介质中存储的原始数据、备份数据、缓存数据进行不可逆彻底清除销毁处置，杜绝数据残留、违规复用、二次泄露的专项收尾安全处置行为。4数据安全能力成熟度模型总体架构4.1架构核心构成。数据安全能力成熟度模型整体由成熟度等级划分、数据安全过程域体系、通用实践评价准则、基本实践落地要求、能力评估判定规则五大核心部分有机组成，整体架构遵循分级递进、过程管控、实践落地、持续提升的核心设计思路，兼顾管理体系建设和技术防护落地，覆盖数据安全治理全维度工作内容。4.2过程域体系分类。模型过程域整体划分为两大核心板块，第一板块为数据全生命周期专项安全过程域，严格按照数据采集、数据传输、数据存储、数据处理、数据交换、数据销毁六大核心生命周期环节逐一对应设置专属过程域，覆盖数据从产生采集到最终销毁的全流程安全管控；第二板块为数据通用安全管理过程域，涵盖数据安全组织建设、制度流程管理、人员安全管控、合规风险管理、安全应急处置、持续改进优化等全流程通用管理工作，适配所有生命周期环节的基础安全管理支撑需求。4.3等级与过程域关联逻辑。每一个数据安全过程域均对应五级成熟度递进建设要求，各级成熟度等级逐级提升、逐级覆盖，高等级能力建设必须完全满足低等级全部基础要求，组织可结合自身实际按等级分步建设、循序渐进提升，不强制一步到位，适配不同规模、不同基础、不同行业组织的数据安全建设差异化需求。4.4能力评估核心逻辑。成熟度等级评估以各过程域基本实践落地执行情况为核心核查依据，以通用实践实施成效为辅助评价标准，综合核查组织制度建设、人员履职、技术防护、流程执行、台账留痕、整改改进全维度落实情况，客观判定组织整体数据安全能力成熟度等级水平。5数据安全能力成熟度等级分级规范5.1一级成熟度：初始基础级。本等级为数据安全能力最低基础等级，组织无系统化数据安全管理制度和专项管理体系，数据安全相关工作无固定岗位职责、无标准化操作流程、无常态化管控机制，数据安全处置工作以被动应急补救为主，仅在发生数据安全事件或监管检查整改要求时，临时开展零散应急处置和问题整改，数据安全防护措施碎片化、工作开展随机性强、能力建设无规划、管控落实无长效，仅满足最基础底线合规生存需求。5.2二级成熟度：被动合规级。本等级组织已建立基础的数据安全专项管理制度和简易管理流程，明确初步数据安全岗位职责分工，针对数据安全突出风险点和监管硬性要求开展针对性合规整改，数据安全工作可按照既定制度流程常态化规范开展，同类安全问题重复发生概率有效降低，数据安全管控以满足外部合规监管硬性要求为核心目标，具备基础被动合规防护能力，但未形成主动风险预判和体系化治理能力。5.3三级成熟度：主动管控级。本等级组织已构建完善系统化的数据安全治理体系和全流程标准化管控流程，全面落实数据分类分级核心基础工作，针对数据全生命周期各环节风险建立主动风险识别、隐患排查、安全防护常态化机制，数据安全管理工作融入业务研发运营全流程，人员安全培训、日常自查整改、风险预警防控常态化开展，具备主动发现风险、提前防范隐患、常态化规范管控的核心能力，数据安全治理整体规范化、体系化运转。5.4四级成熟度：量化管控级。本等级组织在三级主动管控基础上，建立数据安全能力量化管理和风险量化评价机制，通过技术监测平台、数据安全审计系统、风险统计分析工具，对数据安全处理活动、风险隐患情况、防护落实成效进行量化监测、精准统计、动态分析，可精准定位数据安全薄弱环节、量化风险危害程度、精准施策优化防护措施，依托数据化手段实现数据安全精细化、精准化、动态化管控。5.5五级成熟度：持续优化级。本等级为数据安全能力最高最优等级，组织在四级量化管控基础上，建立数据安全治理长效持续优化闭环机制，结合行业安全态势、技术发展迭代、合规政策更新、自身业务变化，持续动态优化数据安全管理制度、技术防护体系、流程管控规则、风险处置策略，不断迭代提升数据安全防护效能和治理水平，形成自适应、自优化、自提升的数据安全良性治理生态，数据安全能力始终适配数字化发展和合规监管最高标准要求。6数据全生命周期专项安全过程域能力要求6.1数据采集安全过程域。组织须规范各类内部业务采集、外部对接采集、用户主动提交采集等所有数据采集行为，明确数据采集合法合规基本原则，划定数据采集合法来源边界，核验外部数据源合规资质，严格遵循最小必要采集原则，严禁超范围、超权限、违规批量采集各类数据，尤其强化敏感数据、个人信息、未成年人数据采集专项合规管控。各成熟度等级逐级完善采集流程规范、采集授权管理、采集合规审核、采集行为审计、采集风险排查相关实践要求，从基础零散采集管控逐步升级为全流程合规审核、全程日志留痕、常态化采集合规自查的体系化管控模式，确保数据采集源头合法、范围合规、流程规范、风险可控。6.2数据传输安全过程域。组织须针对数据内部跨系统传输、外部跨机构传输、终端与云端双向传输等各类传输场景，建立全链路传输安全防护机制，落实传输加密、安全认证、访问校验、传输审计基础防护措施，严防数据传输过程中被窃取、劫持、篡改、中断、非法拦截等安全风险。各成熟度等级从基础简单传输防护，逐步升级为传输链路全加密、传输行为全审计、异常传输全告警、跨境传输专项合规审批的精细化管控模式，严格规范数据境内外传输审批流程，落实跨境数据传输安全评估、合规备案法定要求，保障数据传输全程安全可控、全程可追溯。6.3数据存储安全过程域。组织须按照数据分类分级结果实行差异化存储安全管控，普通数据常规安全防护，敏感数据、核心业务数据、个人敏感信息实行专项加密存储、隔离存储、重点防护，落实存储介质安全防护、数据加密保管、常态化安全备份、备份恢复测试、存储权限管控基础工作。各成熟度等级从基础简单存储防护，逐步升级为分类分级隔离存储、加密全程覆盖、权限最小化分配、备份常态化运维、存储漏洞定期排查、退役介质安全销毁的全维度存储安全管控模式，严防数据存储明文泄露、介质损坏丢失、内部越权访问等存储安全风险。6.4数据处理安全过程域。组织须规范数据加工、统计分析、建模挖掘、用户画像、自动化决策等各类数据处理活动，严格遵循数据处理目的限定原则，严禁超范围、超用途违规加工滥用数据，内部测试和数据分析必须落实数据脱敏、去标识化处理要求，严控原始完整敏感数据内部流转使用。各成熟度等级从基础简单处理管控，逐步升级为处理行为全程审计、画像合规管控、算法公平审核、自动化决策用户权益保障、处理风险定期评估的规范化管控模式，杜绝算法歧视、违规画像、数据滥用等侵害用户权益和数据安全的行为。6.5数据交换安全过程域。组织须规范数据对内共享、对外提供、第三方合作交换、数据交易流转等各类数据交换行为，建立数据交换前置合规审核、第三方资质核验、专项安全协议签订、交换全程管控审计机制，严控数据二次流转、违规共享、非法交换风险。各成熟度等级从基础简单交换管控，逐步升级为交换前置风险评估、第三方常态化监管、交换数据全程脱敏、交换行为全程留痕、违规交换即时叫停的闭环管控模式，确保数据交换合法合规、流转可控、责任可溯。6.6数据销毁安全过程域。组织须规范业务终止、账号注销、数据到期、系统退役等各类场景下的数据销毁处置工作，建立数据彻底销毁不可逆处置流程，覆盖云端存储数据、本地缓存数据、备份留存数据、物理存储介质数据全维度销毁处置，杜绝数据残留、违规复用、二次泄露风险。各成熟度等级从基础简单删除操作，逐步升级为销毁专项审批、销毁全程留痕、销毁效果核验、介质彻底销毁、销毁台账长期归档的规范化闭环处置模式，确保数据销毁彻底合规、全程可查。7数据通用安全管理过程域能力要求7.1数据安全组织管理过程域。组织须设立专项数据安全管理岗位及专职管理人员，明确数据安全决策、管理、执行、监督各层级岗位职责分工，建立数据安全跨部门协同工作机制，压实各部门、各岗位数据安全管理责任，落实数据安全失职追责问责机制。各成熟度等级从临时兼职管理，逐步升级为专职岗位配齐、权责清晰划分、跨部门协同顺畅、追责问责落实到位的专业化组织管理模式，筑牢数据安全组织责任根基。7.2数据安全制度流程管理过程域。组织须结合自身业务实际和合规监管要求，建立覆盖数据全生命周期的系统化数据安全管理制度体系和标准化操作流程，涵盖采集、传输、存储、处理、交换、销毁全环节管控制度及应急、自查、整改、培训专项管理制度。各成熟度等级从简易零散制度，逐步升级为制度体系完备、流程贴合实操、制度定期修订、流程严格执行、台账全程留痕的规范化制度管理模式，保障数据安全各项工作有章可循、有据可依。7.3数据安全人员管理过程域。组织须严格落实数据安全从业人员录用审核、岗前培训、在岗教育、保密协议签订、权限动态管理、离岗离职权限回收全流程人员管控要求，定期开展数据安全合规培训、风险警示教育、技能实操培训，提升全员数据安全防护意识和实操能力。各成熟度等级从基础简单人员管理，逐步升级为人员分级管控、培训常态化开展、保密责任压实、离职权限即时回收、人员行为定期审计的精细化人员管控模式，严防内部人员违规操作泄密风险。7.4数据安全风险管理过程域。组织须建立数据安全风险常态化识别、隐患排查、风险分析、等级评定、整改处置闭环管理机制，定期开展数据安全风险评估和隐患自查工作，建立风险隐患台账，限期整改销项管理。各成熟度等级从事后风险处置，逐步升级为事前风险预判、事中动态监测、事后复盘整改、风险持续管控的全周期风险管理模式，提前化解各类数据安全潜在风险隐患。7.5数据安全应急处置管理过程域。组织须编制数据安全突发事件专项应急预案，明确应急响应分级标准、应急处置流程、责任分工、止损措施、用户告知及监管上报要求，定期开展应急演练，提升安全事件快速处置能力。各成熟度等级从临时应急补救，逐步升级为预案完善适配、演练常态化开展、事件快速响应、瞒报漏报严格禁止、事后复盘长效整改的闭环应急管理模式，严防安全事件扩大升级造成重大损失。7.6数据安全持续改进管理过程域。组织须结合合规政策更新、业务迭代发展、安全事件复盘、测评自查结果，持续动态优化数据安全管理制度、技术防护措施、流程管控规则、人员管理机制，常态化开展成熟度等级差距分析和能力提升建设工作。各成熟度等级从无规律整改优化，逐步升级为常态化复盘评估、动态迭代优化、能力持续提升、治理长效运转的持续改进管理模式，保障数据安全能力长效适配发展需求。8数据安全能力成熟度评估实施通用规则8.1评估实施基本原则。数据安全能力成熟度评估工作须严格遵循客观公正、