GB-T 35274-2017 信息安全技术 大数据服务安全能力要求

GB/T35274-2017信息安全技术大数据服务安全能力要求国家标准编号：GB/T35274-2017标准中文名称：信息安全技术大数据服务安全能力要求标准英文名称：Informationsecuritytechnology—Securitycapabilityrequirementsforbigdataservices发布机构：国家质量监督检验检疫总局、国家标准化管理委员会发布日期：2017年12月29日实施日期：2018年07月01日废止日期：2024年03月01日归口单位：全国网络安全标准化技术委员会（SAC/TC260）适用性质：国家推荐性国家标准替代及废止说明：本标准已被GB/T35274-2023新版标准替代，自2024年03月01日起正式废止。本标准废止前，长期作为国内各类大数据服务机构搭建大数据安全防护体系、规范大数据全流程服务行为、建设大数据专项安全能力、开展安全合规自评自查及第三方安全能力评估的核心基础性国标依据。标准聚焦大数据服务独有海量异构、高速流转、多源汇聚、融合加工、共享复用的业务特性，针对性明确大数据服务提供者必备安全能力底线要求，衔接网络安全、数据安全相关基础法律法规及配套信息安全国家标准，是早期大数据行业安全治理规范化、能力建设标准化的核心纲领性文件，现阶段仍可作为存量大数据系统历史合规整改、老旧平台安全运维回溯参考使用。前言本文件严格按照GB/T1.1-2009《标准化工作导则第1部分：标准的结构和编写》规定的编制规范起草制定，整体篇章架构、条款编排逻辑、国标行文表述、专业术语释义均遵循国家标准化文件统一编撰管理要求，确保标准文本严谨规范、行业通用适配、落地实操可行，契合大数据产业发展初期安全管控刚需。随着大数据技术快速普及与行业深度应用，政务、金融、互联网、民生服务等各类领域海量结构化、半结构化、非结构化数据加速汇聚融合，大数据采集存储、深度加工、价值挖掘、共享服务已成为数字化业务运营核心支撑。大数据服务具备数据体量巨大、数据类型繁杂、处理流转快速、多源跨界汇聚、多方共享复用的显著特征，相较于传统信息化系统，面临数据批量泄露、违规超限加工、越权访问调用、恶意数据篡改、非法数据流转、平台架构高危攻击等新型专属安全风险。在本标准制定实施前期，国内大数据行业缺乏统一的服务安全能力建设标准，大数据服务提供者安全建设无统一对标依据，普遍存在重大数据业务应用发展、轻安全体系能力建设，重平台技术功能搭建、轻全流程数据安全管控，重事后安全事件处置、轻事前风险预防管控等突出问题，不同机构大数据安全防护水平参差不齐，安全能力建设碎片化、管控措施流于形式、岗位职责划分模糊、风险应急处置薄弱，严重制约大数据产业安全健康可持续发展。为统一全国各类大数据服务提供者安全能力建设标准化要求，明确大数据服务基础组织管理安全、大数据平台技术安全、数据全生命周期服务安全、安全风险管理全维度能力建设边界，分级分类划定大数据安全能力达标底线，引导大数据服务机构循序渐进补齐安全能力短板，系统化构建适配大数据业务特性的安全防护治理体系，压实大数据服务运营主体安全责任，防范化解大数据各类新型安全风险，保障大数据服务安全合规运行、数据资源安全有序利用，特制定本国家推荐性标准。本文件以大数据服务全业务运营流程为整体脉络，以大数据安全能力分级管控为核心思路，划分基础通用安全能力、大数据平台专项安全能力、数据全生命周期服务安全能力、安全风险管理长效能力四大核心板块，设置差异化安全能力等级要求，适配不同规模、不同业务类型、不同数据敏感等级的大数据服务机构差异化建设需求。各类政务大数据运营单位、企业大数据服务平台运营主体、第三方大数据服务提供商可对照本标准开展安全能力现状自查、差距分析、整改建设及等级达标提升工作，第三方安全测评机构可依据本标准开展大数据服务安全能力专项评估审查工作，监管部门可依托本标准开展大数据行业安全态势研判及专项安全整治工作。1范围本文件规定了信息安全技术领域大数据服务提供者所需具备的安全能力分级划分规则、基础通用安全能力要求、大数据平台专项安全技术能力要求、大数据全生命周期服务安全管控能力要求、大数据安全风险管理与持续改进能力规范等全部核心内容，明确大数据服务从组织管理、制度建设、人员管控到平台防护、数据处理、风险处置的全维度安全能力建设底线标准。本文件适用于各级党政机关、事业单位、各类企事业单位内部自建自用大数据平台及对外提供商业化、公益性大数据服务的运营机构，用于指导大数据服务常态化开展安全能力规划建设、现状对标自查、安全整改优化、长效安全治理工作。本文件同时适用于第三方信息安全测评机构、合规评估机构受托开展大数据服务提供者安全能力合规审查、等级测评、安全评估及合规咨询服务工作，可供网信、工信、公安等行业监管部门开展大数据行业安全专项检查、风险研判、安全治理督导工作作为核心判定参考依据。本文件不适用于国家涉密专用大数据系统、军工涉密大数据平台、绝密级政务涉密大数据服务的安全能力建设与评估工作，此类涉密特殊大数据场景安全管控工作，需结合国家涉密信息安全专项管理规定及涉密大数据专属安全标准，另行制定专项涉密安全能力实施细则。2规范性引用文件下列文件对于本文件的应用必不可少。凡是注日期的引用文件，仅对应注日期版本适用于本文件；凡是不注日期的引用文件，其最新有效修订版本及所有修改单内容，均适用于本文件大数据服务安全能力建设、等级评估及合规管控各项工作实施。GB/T22239信息安全技术网络安全等级保护基本要求GB/T25069信息安全技术术语GB/T35273信息安全技术个人信息安全规范GB/T35289信息安全技术大数据安全管理指南《中华人民共和国网络安全法》国家大数据发展及网络安全管理相关配套法律法规与专项监管政策文件。3术语和定义3.1大数据服务：依托大数据软硬件技术平台支撑，围绕海量异构、高速增长、多源汇聚的各类数据资源，为机构或个人提供数据采集归集、数据存储管理、数据加工处理、数据分析挖掘、数据价值输出、数据共享开放等数据全生命周期配套系统服务与专项数据应用服务的统称，覆盖大数据技术支撑服务与业务应用服务两大核心范畴。3.2大数据服务提供者：搭建运维大数据软硬件基础平台、研发大数据相关应用系统、对外承接或自主运营各类大数据服务业务，全程负责大数据处理全流程安全管控、服务运营管理及安全风险处置的法人机构或专职运营管理组织，是大数据服务安全能力建设及安全风险防控的第一责任主体。3.3大数据平台：具备海量数据分布式存储、并行计算处理、多类型数据统一管理、大数据应用调度支撑等核心功能，为各类大数据服务提供底层技术支撑、算力支撑和数据资源承载的软硬件一体化技术基础设施，是大数据服务运行的核心基础载体。3.4大数据安全能力：大数据服务提供者为防范大数据平台运行、数据全生命周期处理、对外大数据服务运营过程中各类安全风险，保障大数据平台稳定运行、数据资源安全可控、服务业务合规有序开展，所具备的组织管理、制度规程、人员运维、技术防护、风险管控、应急处置、持续优化的综合安全保障能力总和。3.5大数据安全能力等级：根据大数据服务规模大小、数据资源敏感程度、服务影响覆盖范围、安全风险危害等级划分的安全能力达标层级，等级越高代表大数据服务安全防护体系越完善、管控措施越精细、风险抵御能力越强、治理水平越成熟。3.6大数据全生命周期：大数据从外部源头采集汇聚、平台集中存储、深度加工处理、分析挖掘使用、对内对外共享交换直至最终数据销毁清除的完整闭环运行周期，是大数据安全管控的核心覆盖范围。4大数据服务安全能力总体总则与分级要求4.1总体安全基本原则。大数据服务安全能力建设严格遵循安全同步规划、同步建设、同步运行的三同步核心原则，坚持安全与业务并重、管理与技术并重、预防与处置并重、合规与发展并重的核心管控思路，所有大数据服务业务规划立项、平台建设部署、服务上线运营、版本迭代升级全流程同步配套安全能力建设措施，杜绝重业务轻安全、重建设轻运维、重使用轻防护的片面建设模式，确保大数据业务发展与安全防护同步协同推进。4.2安全能力分级核心规则。本标准将大数据服务安全能力划分为基础级、增强级、高级三个递进达标等级，各等级能力逐级提升、逐级全覆盖，高等级大数据服务机构必须完全满足低等级全部安全能力建设要求。基础级适配小型简易大数据服务、非敏感数据处理、内部小规模自用大数据场景，仅需满足最低合规底线安全要求；增强级适配中型常规大数据服务、一般业务数据处理、行业通用对外大数据服务场景，需构建系统化安全管理体系和常态化技术防护能力；高级适配大型核心大数据服务、重要数据及敏感个人信息集中处理、跨区域跨行业公共大数据服务场景，需构建精细化量化管控、主动风险防控、全方位深度防护的高阶安全治理能力。4.3能力建设适配适配要求。大数据服务提供者需结合自身大数据服务业务规模、汇聚数据敏感等级、服务对外辐射范围、安全风险影响程度，自主匹配对应安全能力等级开展建设工作，不强制所有机构统一建设最高等级能力，鼓励机构循序渐进、按需升级、分步达标，适配自身业务实际安全管控刚需。4.4能力评估通用准则。大数据服务安全能力评估工作坚持客观公正、实事求是、据实核查、闭环整改的核心要求，严格对标各等级各项安全能力条款实操落地情况，不以纸面制度代替实际执行、不以口头承诺代替台账留痕，确保安全能力建设真实落地、防护措施有效管用、风险管控闭环可控。5大数据服务基础安全能力要求5.1安全策略与规程管理能力。大数据服务提供者须结合自身大数据业务运营实际及合规监管要求，制定适配对应安全等级的大数据整体安全战略规划、专项安全管理策略及全流程标准化操作规程，覆盖大数据平台运维、数据处理、服务运营、人员操作、应急处置全维度工作内容。所有安全管理制度及操作规程需贴合大数据业务实操场景，避免制度空转、流程虚化，定期根据业务迭代、政策更新、风险变化动态修订完善，明确制度执行责任主体和落地考核标准，确保各项安全管理要求有据可依、有章可循、严格执行、长效落实。5.2数据与系统资产管理能力。大数据服务提供者须全面梳理摸排大数据平台软硬件资产、数据资源资产、应用服务资产明细台账，完成所有大数据相关资产统一登记、分类标识、分级管控管理工作。针对核心大数据算力设备、存储集群、核心业务数据、敏感数据资源实行重点专项资产管理，明确资产归属部门、管理责任人、安全防护标准，定期开展资产盘点核查，及时清理废弃闲置资产、退役老旧设备，严防资产失控、数据流失、设备违规处置引发安全风险，实现大数据全资产可视化、台账化、可控化管理。5.4组织和人员安全管理能力。大数据服务提供者须设立专职大数据安全管理岗位，明确安全决策、管理执行、安全监督各层级岗位职责分工，建立跨业务、跨技术、跨运维部门大数据安全协同工作机制，逐级压实安全管理责任。严格落实从业人员录用背景审核、岗前安全培训、在岗常态化安全教育、专项保密协议签订、操作权限分级分配管理要求，针对核心大数据运维人员、数据管理人员实行重点管控，人员岗位变动、离职离岗时立即回收所有系统访问权限、操作密钥及数据访问权限，定期开展人员安全行为审计和警示教育，严防内部人员越权操作、违规访问、数据泄露等内部安全风险。5.5服务规划与运营管理能力。大数据服务立项规划、平台建设、服务上线前须同步开展安全规划设计，将安全防护要求融入大数据服务全生命周期运营管理流程，明确大数据服务安全运营日常工作机制、巡检频次、核查标准。常态化开展大数据服务安全日常运维、设备巡检、漏洞排查、配置优化工作，规范大数据服务对外合作、服务接口开放、用户访问管控运营行为，严禁未经安全审核随意新增大数据服务功能、开放数据接口、对接第三方合作平台，保障大数据服务运营全程安全合规、稳定有序。6大数据平台专项安全技术能力要求6.1平台架构安全防护能力。大数据服务提供者须针对大数据分布式集群架构、多节点协同运行、多模块联动调度的专属技术特性，搭建大数据平台架构专项安全防护体系，强化平台集群节点安全隔离、访问边界防护、架构漏洞加固工作。合理划分大数据平台生产区、测试区、运维区、办公区安全边界，落实区域之间安全访问控制策略，严禁跨区域越权访问、无序连通，防范大数据平台架构层面网络攻击、集群入侵、节点被控等底层安全风险，保障大数据底层算力及存储集群稳定安全运行。6.2平台访问与权限安全管控能力。建立大数据平台统一身份认证、集中权限管理、分级访问控制机制，针对平台运维人员、数据管理人员、业务使用人员、外部合作人员分配最小必要访问操作权限，实行一人一号、实名登录、权限按需分配、动态调整回收管理模式。对所有平台登录访问、操作运维、数据调用行为全程日志记录、安全审计留存，定期开展权限审计和异常访问排查，及时清理冗余账号、过期权限、无效登录账户，严防非法登录、越权操作、违规调用大数据平台资源等安全问题。6.3平台运维与漏洞安全加固能力。建立大数据平台常态化安全运维和漏洞隐患加固机制，定期开展大数据平台软硬件漏洞扫描、安全渗透测试、配置基线核查、病毒木马防护工作，及时修复高危安全漏洞、优化安全配置、更新安全补丁。规范大数据平台日常运维操作、远程运维管理、第三方运维接入管控流程，远程运维需落实加密传输、访问审计、操作留痕要求，严禁无防护远程运维、违规操作运维，运维操作全程可追溯、可核查，及时处置平台运维过程各类安全隐患。6.4平台数据备份与恢复安全能力。针对大数据海量存储、集群运行的特点，制定适配大数据平台的常态化数据安全备份机制，落实全量备份、增量备份相结合的备份策略，核心敏感大数据实行异地多活备份存储，备份数据同步落实同等安全加密防护标准。定期开展大数据备份恢复测试工作，验证备份数据完整性和恢复可用性，明确数据丢失、平台故障后的快速恢复处置流程，保障大数据平台遭遇故障、攻击、损坏时可快速恢复数据及服务运行，降低数据丢失和业务中断安全风险。7大数据全生命周期服务安全管控能力要求7.1大数据采集归集安全能力。大数据服务提供者开展各类多源数据采集归集工作，须严格遵循合法合规、最小必要、源头可控的核心原则，明确数据采集合法来源渠道，核验外部数据源合规资质，严禁非法来源数据采集、超范围批量采集、违规静默采集各类数据资源。采集过程落实采集授权告知、采集行为审计、数据源头脱敏预处理要求，针对个人信息、敏感重要数据采集强化专项合规管控，确保大数据采集源头合法、范围合规、流程规范、风险可控，从源头筑牢大数据安全第一道防线。7.2大数据集中存储安全能力。按照数据分类分级结果实行大数据差异化存储安全管控，普通业务数据常规安全防护，重要数据、敏感个人信息、核心涉密业务数据实行加密存储、隔离存储、专项重点防护。严禁敏感大数据明文存储，采用安全可靠加密算法对核心敏感数据全程加密保管，严格管控存储介质访问权限，定期开展存储安全巡检和存储漏洞排查，退役存储介质及时安全销毁处置，严防大数据存储环节明文泄露、介质损坏丢失、内部越权访问等存储安全风险。7.3大数据加工处理安全能力。大数据深度加工、统计分析、建模挖掘、数据融合处理过程须严格遵循目的限定、合规加工、脱敏可用原则，严禁超业务用途违规加工、过度挖掘、滥用大数据资源。内部数据分析、技术测试、模型研发必须使用脱敏、去标识化后的非原始敏感数据，严控原始完整敏感大数据内部流转使用范围，大数据加工处理行为全程安全审计留痕，杜绝违规数据画像、算法滥用、数据滥用等安全合规问题。7.4大数据共享交换安全能力。大数据对内共享、对外提供、跨机构交换、第三方合作流转过程，须建立前置合规审核、第三方安全资质核验、专项安全协议签订、共享全程审计管控机制。对外共享交换大数据必须落实数据脱敏处理要求，严控共享数据范围和流转用途，严禁未经审核私自共享敏感大数据、二次流转数据资源，实时监测大数据共享交换异常行为，发现违规流转立即叫停处置，确保大数据共享交换合规可控、责任可溯。7.5大数据销毁处置安全能力。大数据服务终止、数据使用周期到期、业务系统退役、用户申请数据删除后，须对大数据平台存储原始数据、备份留存数据、缓存临时数据进行不可逆彻底销毁清除处置，杜绝数据残留、违规复用、二次泄露风险。大数据销毁实行专项审批、全程留痕、销毁效果核验、销毁台账归档管理模式，云端数据、本地集群数据、备份介质数据同步全部销毁处置，确保大数据销毁彻底合规、全程可查可追溯。8大数据服务安全风险管理与应急处置能力要求8.1大数据安全风险常态化管理能力。大数据服务提供者须建立大数据安全风险常态化识别、隐患排查、风险分级、整改闭环全周期管理机制，定期开展大数据安全风险评估和隐患自查工作，全面排查平台架构、数据处理、人员操作、第三方合作等各环节安全风险隐患，建立风险隐患明细台账，明确整改责任、整改措施和整改时限，限期闭环整改销项管理，提前预判化解各类大数据潜在安全风险。8.2大数据安全事件应急预案管理能力。编制适配大数据业务特性的安全突发事件专项应急预案，明确安全事件分级标准、应急响应流程、应急责任分工、止损处置措施、用户告知流程及监管部门上报要求，针对性覆盖大数据泄露、数据篡改、平台宕机、集群攻击、服务中断等各类典型安全事件场景。应急预案需贴合实操、定期修订完善，适配大数据业务迭代和风险变化新形势。8.3大数据安全应急演练与处置能力。定期组织开展大数据安全应急实战演练工作，检验应急预案可行性、应急团队处置能力、安全防护措施有效性，