数据安全管理-总体要求

数据安全管理

  • 总体要求
  • 数据安全分级管理要求
  • 数据安全管理框架
  • 数据安全管理要求

企业中整个管理制度体系

  • 管理制度体系建立的过程中需要分为四级数据安全管理制度具体如下:

    • 一级:由决策层确定管理要求,目标和最基本的原则问题
    • 二级:由管理层根据一级管理要求制定通用的管理办法,制度和标准
    • 三级:由管理层和执行层根据二级管理办法确定每个业务,每个环节的具体操作指南,规范
    • 四级:辅助文件,计划,清单,记录
  • 管理制度体系具体细节范例

    • 一级文件
      • 数据安全管理要求----涵盖目标,基线,体系
      • 数据分类分级管理办法---通用分类分级要求
      • 数据安全管理组织架构---组织体系,权责划分
    • 二级文件
      • 通用安全管理制度---环境,人员,机制
      • 数据分类分级标准---总责
      • 数据安全风险评估标准
      • 数据生命周期管理制度
      • 数据安全审计管理制度
    • 三级文件
      • 关键岗位人员管理规范
      • 培训及考核管理规定
      • 某某业务数据分类分级指南
      • 数据安全风险评估指南
      • 数据采集管理规范
      • 数据发布共享管理规范
      • 数据脱敏管理规范
      • 数据操作审计程序
    • 四级文件
      • 关键岗位人员背景调查报告
      • 人员培训与考核记录
      • 某某业务数据资产分类分级清单
      • 某某业务数据安全风险评估报告
      • 某某业务数据采集记录
      • 某某数据发布及审批记录
      • 某某数据脱敏记录
      • 数据操作审查报告

    总体要求详解

    • 总体要求:保护目标,总体原则,具体要求,数据活动,合规要求,具体行动

      • 保护目标

        • 维护国家利益,社会公共利益
        • 保护公民和法人以及其他组织的合法权益
      • 总体原则

        • 确定数据安全管理的相关定义和管理原则

        • 明确需要遵守的法律法规和相关行业规范

        • 确定数据安全的组织及权责

          • 明确管理机构,管理方式,汇报关系
          • 明确权责划分原则,例如:谁主管谁负责,谁收集谁负责,谁运行谁负责,谁使用谁负责的原则,数据安全管理责任落实到部门及个人
          • 建立明确的监督机制和考核要求
        • 明确数据分类分级原则和划分的标准

          • 确定数据的主要分级定义,划分原则,默认级别及各级别的保护原则
          • 明确要求具体业务单位详细定制分类分级细则
        • 定义数据保护范围,目标和原则

          • 确定管理规范的覆盖面和影响范围
          • 确定数据安全管理的基本原则,例如:具有合法,正当,必要,明确的目的,坚持以最少够用原则
        • 重点强调数据安全建设的“三同步”和管理的一致性

        • 根据总体要求确定的数据分类,分级及职责,确定数据安全的具体管理要求

        • 明确数据活动

          • 数据使用活动:数据采集,传输,存储,处理,交换,销毁等活动
        • 数据管理活动

          • 数据安全管理机制的建立及持续改进
          • 数据安全的保护和监督管理机制
        • 数据安全保护

          • 保护数据免受泄露,窃取,篡改,毁损,非法使用等
        • 明确各业务实际适用的合规要求

          • 法律及行政法规
          • 相关网络安全标准
        • 确定各业务环节需要采取的行动及具体要求

          • 明确数据安全管理责任和评价考核制度
          • 制定数据安全计划
          • 实施数据安全技术防护
          • 开展数据安全风险评估
          • 制定网络安全事件应急预案
          • 及时处置安全事件
          • 组织数据安全教育和培训
    • 战术层面:

      • 通过数据安全管理要求和支撑数据的安全战略
      • 通过日常运营管理,支撑组织职责和管理问责与评价考核的机制
      • 通过风险管理,应急预案,支撑业务内外合规和风险可控

数据安全分级管理要求

  • 安全分级总则:分级模型,分级原则,合规分类,保护分类,分级流程,合规使用

  • 数据安全分级管理要求是为了在实现数据价值最大化的同时,维护国家安全,社会公共利益,保护公民,法人和其他组织在网络空间的合法权益,保障个人信息和重要数据安全

    • 数据安全分级模型

      • 数据的安全分级结果应在数据的全生命周期阶段持续有效,不随数据的所有者,管理者和使用者的变更而改变
    • 保护分级

      • 一级,二级,三级,四级
    • 合规分类

      • 重要数据,个人信息,一般数据
    • 生命周期

      • 数据采集阶段,数据传输阶段,数据存储阶段,数据处理阶段,数据交换阶段,数据销毁阶段
    • 数据安全分级原则

      • 科学性:按照数据的多维特征及其相互间客观存在的逻辑关联进行科学和系统化的安全分级
      • 扩展性:分类能够满足将来可能出现的数据类型,分级能够概况各类数据安全影响程度
      • 稳定性:数据的安全分级应以数据目录中的各种数据安全分级方法为基础,并以数据最稳定的特征和属性为依据制定分类方案,以数据的安全属性遭破坏后的损害程度制定分级方案
      • 实用性:数据分级要确保数据分级结果与数据资产实际损害影响相符合,分级清晰,明确,分级方法便于操作,执行
    • 数据合规分类

      • 数据合规分类以数据的相关法律法规以及标准和监管等合规要求和对应被损害对象的依据
      • 为保障国家安全,社会公共利益,保护公民和法人及其他组织合法权益为主要的目标
      • 损害对象:国家,社会,公众,公民个人及法人,单位自身
      • 合规分类:重要数据,个人信息,一般数据,政务数据
      • 参照法律法规:重要数据保护执行情况,个人信息保护执行情况,政务数据安全保护情况
    • 个人信息识别

      • GB/T 35273-2017 信息安全技术-个人信息安全规范
      • 以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映在特定自然人活动情况的各种信息
      • 识别方法
        1. 个人标识数据-用于标识自然人身份的数据,例如:身份证号,性别等
        2. 个人关联数据-在使用业务过程中产生的具备个人隐私属性的数据,收货地址,购买记录,聊天记录等,以及通过大数据应用形成的个人画像等衍生数据
    • 个人信息数据(范例)

      • 个人基本资料
        • 个人姓名,生日,性别,民族,国籍,家庭关系,住址,个人电话号码,电子邮箱
      • 个人身份信息
        • 身份证,军官证,护照,驾驶证,工作证,出入证,社保卡,居住证
      • 个人生物识别信息
        • 个人基因,指纹,声纹,掌纹,耳廓,虹膜,面部特征
      • 网络身份标识信息
        • 系统账号,IP地址,邮箱地址,相关密码,口令和口令保护问题答案,用户个人数字证书
      • 个人健康生理信息
        • 个人因生病医治过程中产生的各种记录,例如:得了什么病,住院清单,医嘱单,检验报告,手术记录,护理记录,用药记录,药物食物过敏信息,生育信息,以往得病史,诊治情况,家族史,现病史,传染病史,以及跟个人相关的个人身体健康状况产生的相关信息,及体重,身高,肺活量等
      • 个人教育工作信息
        • 个人职业,职位,工作单位,学历,学位,教育经历,工作经历,培训经历,成绩单
      • 个人财产信息
        • 银行账号,鉴别信息(口令密码等),存款信息(包括存款资金和收支明细),房产信息,信贷记录,征信信息,交易和消费记录,流水记录,以及虚拟货币,虚拟交易,游戏类兑换码等虚拟财产信息
      • 个人通信信息
        • 通话记录,短信内容,彩信内容,电子邮件,以及描述个人通信的数据(这里通常称为我们所说的元数据)
      • 联系人信息
        • 通讯录,好友列表,群组列表,电子邮件地址列表等
      • 个人上网记录
        • 指通过日志储存的用户操作记录,包括网站浏览记录,软件使用记录,点击记录
      • 个人常用设备信息
        • 包括硬件序列号,设备MAC地址,软件列表,唯一设备识别码(例如:IMEI、ID,IDFA,OPENDID,GUID,UID,SIM,IMSI等等)在内的描述个人常用设备基本情况的信息
      • 个人位置信息
        • 包括行踪轨迹,精准定位信息,住宿信息,经纬度
      • 其他信息
        • 婚史,宗教信仰,性取向,未公开的违法犯罪记录
    • 数据保护分级

      • 依据数据在国家安全,经济建设,社会生活中的重要程度来评定

      • 如果数据遭到破坏之后对国家安全,社会秩序,公共利益以及公民,法人和其他组织的合法权益的危害程度

        保护级别 影响程度 敏感程度
        一级 数据受到破坏后,会对公民,法人和其他组织的合法权益不造成损害或轻微损害,但不影响国家安全,社会秩序和公共利益 不敏感
        二级 数据受到破坏后,会对公民,法人和其他组织的合法权益产生严重损害,或者对社会秩序和公共利益造成一般损害,但不损害国家安全 低敏感
        三级 数据受到破坏后,会对公民,法人和其他组织的合法权益产生特别严重损害,会对社会秩序和公共利益造成严重损害,或者对国家安全造成一般损害 较敏感
        四级 数据受到破坏后,会对社会秩序和公共利益造成特别严重损害,或者对国家安全造成严重损害 极敏感
    • 数据安全分级对应关系(范例)

      • 根据不同的类别数据,如果遭到破坏后对其所损害对象的影响程度确定安全保护级别

        保护级别 一级 二级 三级 四级
        重要数据 - - 轻微影响或一般影响 严重影响或者特别严重影响
        个人信息 - 单条个人一般信息 单条个人敏感信息,单条敏感个人信息 总量规模较大的个人信息数据的集合
        业务数据 无影响或轻微影响 一般影响 严重影响 特别严重影响
    • 数据安全影响程度定义(范例)

      • 数据安全影响程度定义

        程度 敏感程度
        轻微影响 对数据资产价值,依赖数据的业务,数据主体(个人,企业,组织及公司等)国家及社会秩序造成一定干扰,其造成结果可自行恢复或容易补救
        一般影响 对数据资产价值,依赖数据的业务,数据主体(个人,企业,组织及公司等)国家及社会秩序造成一定损害,其造成结果不可逆,但可以采取一些措施降低损失,消除影响
        严重影响 对数据资产价值,依赖数据的业务,数据主体(个人,企业,组织级公司等)国家及社会秩序造成较严重破坏,其造成结果不可逆,虽可采取一些措施挽救,但难度较大,成本较高
        特别严重影响 对数据资产价值,依赖数据的业务,数据主体(个人,企业,组织及公司等),国家及社会秩序造成较特别严重破坏,其造成结果不可逆,且破坏性巨大,影响的效果一般是全局性,战略性
    • 数据安全分级流程(重点-工作具体怎么做)

      • 阶段一
        • 数据资产全面梳理
      • 工作内容
        • 对全部存量数据和新增数据进行梳理
          • 制定数据资产描述策略
          • 进行数据资产梳理
          • 统一数据格式
      • 阶段成果
        • 输出数据资产清单
      • 执行方
        • 数据所有者来做这个事情,再详细点就是各个业务部门定位具体人员负责执行

      • 阶段二
        • 数据安全合规分类
      • 工作内容
        • 根据影响客体和法规监管要求确定合规分类
          • 识别出影响客体和法规监管要求的数据
          • 确定数据法律法规及监管要求
          • 判定研判数据合规的分类
      • 阶段成果
        • 输出数据资产安全分级清单,记录合规分类结果
      • 执行方
        • 数据所有者来做这个事情,就是每个业务部门的对应负责人去执行

      • 阶段三
        • 数据安全级别判定
      • 工作内容
        • 根据数据安全的客体影响程度判定安全级别
          • 识别数据安全关键要素
          • 判定数据安全客体影响程度
          • 判定数据安全级别,添加安全标签
      • 阶段成果
        • 输出数据资产安全分级清单,记录安全分级结果
      • 执行方
        • 数据所有者来这个事情,每个业务部门对应负责人安排人执行

      • 阶段四
        • 数据安全级别审核
      • 工作内容
        • 对安全分级清单进行审核并对合格清单进行备案
          • 审核数据合规分类结果
          • 审核数据安全分级结果
          • 对合格的安全分级清单进行备案
      • 阶段成果
        • 输出数据资产安全分级备案清单
      • 执行方
        • 数据管理部门

数据安全管理框架

  • 数据范围

    • 信息化数据
      • 结构化数据
    • 半结构化数据
      • 非结构化数据
  • 能力目标

    • 敏感数据管理规范
    • 敏感数据识别
    • 用户操作权限管理
    • 数据库操作审计
    • 敏感数据脱敏
    • 数据网络外发管理
    • 非结构化数据加密
    • 终端拷贝控制
    • 数字水印
  • 能力实现

    • 数据安全管理体系
    • 敏感数据发现与识别
    • 敏感数据外发管控
    • 数据库监控与审计
  • 保障机制

    • 考核通报机制
    • 人员教育培训
    • 资源投入保障
posted @   皇帽讲绿帽带法技巧  阅读(1085)  评论(0编辑  收藏  举报
相关博文:
阅读排行:
· 微软正式发布.NET 10 Preview 1:开启下一代开发框架新篇章
· 没有源码,如何修改代码逻辑?
· NetPad:一个.NET开源、跨平台的C#编辑器
· PowerShell开发游戏 · 打蜜蜂
· 凌晨三点救火实录:Java内存泄漏的七个神坑,你至少踩过三个!
点击右上角即可分享
微信分享提示