YD-T 3866-2021 电信网和互联网数据安全管理要求 - 副本

YD/T3866-2021电信网和互联网数据安全管理要求前言本文件为中华人民共和国通信行业标准（YD/T3866-2021），由工业和信息化部于2021年发布、2022年1月1日正式实施。为规范电信网和互联网领域数据处理活动，防范数据安全风险、个人信息泄露、数据滥用及违规流转问题，落实《网络安全法》《数据安全法》《个人信息保护法》及通信行业数据安全监管要求，统一电信、互联网企业数据安全管理边界、管控流程与合规标准，填补行业数据安全精细化管理规范空白，特制定本标准。本文件规定了电信网和互联网运营企业数据安全的总体管理框架、组织制度、人员管理、数据全生命周期安全要求、分类分级管理、风险管控、应急处置、监督考核等核心内容，适用于基础电信企业、增值电信企业、互联网信息服务提供者及参与电信网和互联网数据处理的各类主体，是通信行业数据安全合规建设、自查整改、监管测评、体系落地的核心依据。本文件为电信和互联网领域通用性、强制性基础管理标准，与YD/T3813《基础电信企业数据分类分级方法》、YD/T3867《基础电信企业重要数据识别指南》形成配套体系，共同构成通信行业数据安全合规标准矩阵。1范围1.1本文件规定了电信网和互联网数据安全的总体原则、组织管理、制度体系、人员安全、数据分类分级、数据全生命周期安全管控、风险评估、应急管理、监督检查与持续改进的完整管理要求。1.2本文件适用于在中华人民共和国境内从事电信业务、互联网信息服务、网络运营、数据处理、数据服务的各类企业及机构，涵盖固定通信、移动通信、宽带网络、云服务、互联网平台、物联网接入、增值电信服务等全部电信网和互联网业务场景。1.3本文件覆盖企业内部运营数据、用户个人信息、业务数据、网络日志数据、运维数据、合作共享数据、第三方交互数据等全部数据类型，适用于数据采集、传输、存储、使用、共享、开放、销毁、回溯审计全生命周期管理。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件；凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T22239-2019信息安全技术网络安全等级保护基本要求GB/T37973-2019信息安全技术大数据安全管理指南GB/T35273-2020信息安全技术个人信息安全规范YD/T3813-2020基础电信企业数据分类分级方法YD/T3867-2021基础电信企业重要数据识别指南《电信和互联网用户个人信息保护规定》（工信部令第24号）《网络数据安全管理条例》3术语和定义3.1电信网和互联网数据指电信网、互联网在业务运营、网络运行、用户服务、运维管理、合作交互过程中产生、采集、存储、传输、使用、共享的各类数据集合，包含用户个人信息、业务交互数据、网络运行数据、系统日志数据、企业运营数据、合作共享数据等。3.2数据处理活动指对电信互联网数据开展的采集、传输、存储、整理、分析、使用、共享、开放、销毁、备份、恢复等各类操作行为。3.3重要数据依据YD/T3867-2021识别确定，一旦泄露、篡改、丢失、滥用，可能危害网络安全、公共利益、用户合法权益、行业秩序的电信互联网核心数据。3.4敏感个人信息指能够单独或者与其他信息结合识别特定自然人身份、反映自然人活动轨迹、涉及个人隐私的核心数据，包含手机号、位置信息、通话记录、上网日志、身份信息、支付信息等电信行业专属个人信息。4总体安全原则电信网和互联网数据安全管理工作，必须严格遵循以下六大核心原则，作为全流程管控的底层准则：4.1合法合规、权责法定原则：所有数据处理活动必须符合国家法律法规、行业监管规则及本标准要求，明确企业主体责任、部门责任、岗位责任，做到权责清晰、追责到位。4.2最小必要、适度采集原则：数据采集、使用、留存严格遵循最小范围、最短周期、最低权限要求，杜绝超范围采集、无目的留存、过度授权使用数据。4.3分类分级、重点防护原则：依据数据重要程度、风险等级实施差异化防护，对重要数据、敏感个人信息实行最高等级防护，落实重点管控、重点监测、重点审计。4.4全程可控、全链留痕原则：覆盖数据全生命周期所有环节，实现操作可追溯、行为可审计、风险可预警、事件可溯源，杜绝无审批、无记录、无管控的数据操作。4.5安全可用、业务协同原则：平衡数据安全防护与业务正常运营、服务便民需求，在保障安全合规的前提下，支撑电信互联网业务健康有序发展。4.6动态迭代、持续改进原则：适配业务迭代、技术升级、监管新规、新型数据安全风险，动态优化管理制度、防护策略、管控流程，实现长效合规。5组织与责任管理要求5.1组织架构建设企业需建立层级化、专职化、独立化的数据安全治理架构，明确决策、管理、执行、监督四级主体，杜绝兼职代管、权责模糊问题。1.决策层：企业主要负责人为数据安全第一责任人，审批数据安全战略、年度工作方案、重大数据处理活动、重大风险处置方案、安全资源投入；2.管理层：设立专职数据安全管理部门，统筹制度建设、分类分级、风险评估、合规自查、监管对接、第三方管控；3.执行层：业务部门、技术运维部门落实岗位数据安全职责，负责日常数据管控、操作合规、漏洞整改、风险上报；4.监督层：合规、内审部门负责全程监督、专项审计、绩效考核、问题督办闭环。5.2岗位与人员责任建立定岗定责、一岗一责的数据安全岗位体系，明确数据负责人、数据管理员、数据运维员、数据审计员、业务操作员岗位职责。核心数据岗位实行双人双岗、权限分立、相互制衡，严禁单人全权管控重要数据与敏感信息。所有从业人员需签订数据安全保密协议与岗位责任书，明确保密义务、操作规范、违规追责条款；关键岗位人员需定期开展安全背景核查，落实离岗权限清零、资料收回、保密交底机制。6制度与流程体系要求企业需建立全覆盖、可落地、可审计的数据安全管理制度体系，覆盖治理、管控、技术、运维、应急、考核全维度，杜绝模板化、形式化制度。6.1基础管理制度：数据安全总体管理办法、数据分类分级管理制度、人员数据安全管理规范、权限账号管理制度、日志审计管理制度。6.2全生命周期管控制度：数据采集安全规范、数据传输安全管理细则、数据存储与备份管理制度、数据使用脱敏管理规范、数据共享开放审批制度、数据销毁管理办法。6.3风险与应急制度：数据安全风险评估管理制度、数据监测预警管理办法、数据安全事件应急处置制度、数据合规自查整改制度。6.4第三方管控制度：合作方数据安全管理办法、第三方数据交互审批规范、外包人员数据操作审计制度。7数据分类分级管理要求7.1总体要求：企业需依据YD/T3813-2020、YD/T3867-2021标准，完成全域数据资产梳理、分类分级、重要数据识别备案，建立动态更新的数据资产台账与分级防护清单。7.2数据分类：将电信互联网数据划分为用户个人信息、业务运营数据、网络运行数据、系统运维数据、合作共享数据、公开服务数据六大类别，实现分类清晰、边界明确。7.3数据分级：按照风险影响程度划分为一般数据、重要数据、核心敏感数据三级，实施差异化防护：1.一般数据：常规安全管控，落实基础权限与日志管理；2.重要数据：重点防护，落实专人管理、加密存储、操作审批、全程审计、定期风险排查；3.核心敏感数据（敏感个人信息、核心运营数据）：最高等级防护，实行最小权限、专项审批、加密全链路、实时监测、异地备份、严格销毁机制。7.4动态更新：每年至少开展一次全域数据分类分级复盘更新，业务新增、系统迭代、场景拓展后及时补充梳理，确保数据底数清、风险底数清。8数据全生命周期安全管理要求8.1数据采集安全管理1.合法合规采集：遵循告知同意原则，明确告知用户采集范围、使用目的、留存周期、共享对象，获取有效授权，严禁静默采集、超范围采集、强制授权采集；2.最小必要采集：仅采集业务必需数据，杜绝无关数据采集，精简采集字段、缩减采集范围；3.源头风险管控：采集接口、采集系统做好安全防护，防止采集过程中数据被窃取、篡改、劫持；4.禁止违规采集：严禁采集法律法规禁止的敏感信息，严禁变相收集用户隐私数据。8.2数据传输安全管理1.加密传输要求：重要数据、敏感个人信息传输必须采用加密协议（HTTPS、VPN、专用加密通道），禁止明文传输；2.链路安全管控：严控数据传输链路，禁止通过公网无防护传输核心数据，跨区域、跨系统传输需经过安全审计、策略放行；3.传输行为审计：批量数据传输、跨域传输、对外传输全程留痕，记录传输主体、时间、范围、内容、去向；4.异常传输阻断：建立传输异常监测机制，对批量外传、异地传输、非时段传输行为实时告警阻断。8.3数据存储安全管理1.分级存储防护：核心敏感数据、重要数据加密存储，采用国密算法或合规加密机制，杜绝明文存储；2.存储权限管控：严格落实存储资源最小权限，禁止无关人员访问、导出、修改存储数据；3.备份恢复管理：重要数据定期本地+异地备份，定期开展备份恢复测试，确保数据可用、不丢失、不损坏；4.留存周期管控：按照法律法规与业务要求设定数据留存期限，超期数据自动清理、彻底销毁；5.存储环境安全：机房、服务器、云存储环境满足等保安全要求，做好物理防护、网络隔离、漏洞整改。8.4数据使用安全管理1.规范使用范围：严格按照授权范围、业务用途使用数据，严禁超用途、超范围、超权限使用数据；2.脱敏脱密处理：敏感数据内部使用、业务展示、测试开发必须脱敏，隐藏手机号、身份证、位置信息等核心隐私字段；3.禁止违规使用：严禁利用用户数据开展精准骚扰、违规营销、非法画像、超出合规范围的数据分析；4.操作全程留痕：数据查询、调用、分析、导出、复用全程日志记录，留存时间不低于6个月；5.测试开发管控：测试、开发环境禁止使用真实完整敏感数据，必须脱敏或使用仿真数据。8.5数据共享与开放安全管理1.审批准入机制：所有数据对外共享、开放、合作交互必须履行书面审批流程，明确共享范围、用途、周期、责任边界；2.合作方管控：对合作企业、第三方机构开展资质审核、安全评估、保密协议签署，明确数据安全责任与追责条款；3.脱敏共享原则：对外共享数据必须脱敏脱密，禁止明文共享敏感个人信息与核心重要数据；4.动态管控回收：共享周期到期立即终止数据权限、回收数据资源、督促合作方销毁留存数据；5.禁止违规开放：严禁向无资质、无合法需求的第三方开放用户数据与核心业务数据，严禁违规跨境传输数据。8.6数据销毁安全管理1.强制销毁场景：数据超期留存、业务下线、系统报废、合作终止、用户注销后，必须及时彻底销毁对应数据；2.规范销毁方式：采用物理销毁、逻辑彻底删除等合规方式，杜绝简单删除、残留备份、可恢复留存；3.销毁台账留存：所有数据销毁操作登记台账，记录销毁时间、范围、类型、操作人员、审核人员、销毁方式；4.介质销毁管控：硬盘、U盘、服务器等存储介质报废前，必须彻底清除数据或物理销毁，杜绝介质流失导致数据泄露。9第三方与外包数据安全管理9.1准入审核：所有接触、处理、运维企业数据的第三方服务商、外包团队、合作机构，必须开展事前安全准入评估，核查资质、安全能力、合规记录。9.2权限管控：第三方人员实行最小临时权限，禁止长期授权、全域权限，权限按需开通、到期自动清零。9.3全程审计：第三方所有数据操作、系统访问、数据导出行为全程审计、录像留痕，定期开展第三方合规专项核查。9.4协议约束：签订专项数据安全保密协议与安全责任书，明确泄露、滥用数据的违约追责与赔偿条款。9.5动态考核：建立服务商动态评级、季度考核、年度复盘机制，对违规机构限期整改、暂停合作、纳入黑名单。10数据安全风险评估与监测预警10.1常态化风险评估企业每年至少开展一次全域数据安全风险评估，针对重要数据、敏感个人信息、对外共享场景开展专项评估；业务重大变更、数据架构迭代、重大合作上线后，开展专项风险评估，识别泄露、滥用、篡改、丢失风险，建立风险台账，闭环整改清零。10.2实时监测预警搭建数据安全监测预警体系，覆盖数据采集、传输、存储、使用、导出、共享全环节，实时监测批量导出、异常访问、越权操作、违规外传、高频查询等风险行为，实现及时告警、快速研判、即时处置，从被动整改转向主动防御。11数据安全应急处置与事件管理11.1应急预案体系制定专项数据安全应急预案，覆盖数据泄露、篡改、丢失、滥用、违规流转、勒索加密等各类安全事件，明确应急组织、处置流程、隔离措施、恢复方案、上报机制、用户告知流程。11.2事件闭环处置发生数据安全事件后，第一时间阻断风险、隔离隐患、保全证据、排查影响范围，按照监管时限要求及时上报，杜绝迟报、漏报、瞒报；事后开展根因分析、漏洞整改、制度优化、全员警示教育，杜绝同类事件复发。11.3实战化应急演练每年至少开展2次数据安全专项应急演练，重点演练数据泄露处置、违规流转阻断、数据恢复、事件上报等场景，留存演练记录、复盘报告、优化台账。12监督检查、考核与持续改进12.1常态化自查整改建立日常自查、月度排查、季度专项督查、年度全面审计的常态化机制，对照本标准条款逐项对标核查，整改合规短板，留存自查整改台账，实现问题闭环清零。12.2考核问责机制将数据安全管理、制度落地、风险整改、合规执行情况纳入部门与个人绩效考核，落实奖惩机制；对违规操作、失职渎职、管控失效引发数据安全事件的人员，依规追