公共数据安全体系评估规范.docx
《公共数据安全体系评估规范.docx》由会员分享,可在线阅读,更多相关《公共数据安全体系评估规范.docx(38页珍藏版)》请在万库资料网上搜索。
1、33 ICS35.240.01CCSL 67浙江省地方标准DB33/T 24882022公共数据安全体系评估规范Assessment specification for public data security systems2022 - 04 - 26 发布2022 - 05 - 26 实施浙江省市场监督管理局发 布 DB33/T 24882022目次前言II引言III1 范围12 规范性引用文件13 术语和定义14 缩 略语25 总体要求26 评估模型27 制度规范子体系评估项58 技术防护子体系评估项79 运行管理子体系评估项1010 评估流程12附录 A(资料性) 公共数据安全体系评估
2、指标定义示例14附录 B(资料性) 常用评估方式示例21附录 C(资料性) 计算方法示例22附录 D(资料性) 公共数据安全体系评估案例24参考文献29I 前言本标准按照GB/T 1.12020标准化工作导则 第1部分:标准化文件的结构和起草规则的规定起草。 请注意本标准的某些内容可能涉及专利。本标准的发布机构不承担识别专利的责任。本标准由浙江省大数据发展管理局提出、归口并组织实施。 本标准起草单位:浙江省大数据发展中心、数字浙江技术运营有限公司、浙江省标准化研究院、联通数字科技有限公司、浙江省数据安全服务有限公司、杭州市数据资源管理局、宁波市大数据发展管理局、温州市大数据发展管理局、湖州市大
3、数据发展管理局、嘉兴市政务服务和数据资源管理办公室、绍兴市大数据发展管理局、金华市大数据发展管理局、衢州市大数据发展管理局、舟山市大数据发展管理局、台州市大数据发展管理局、丽水市大数据发展管理局。 本标准主要起草人:金加和、王瑚、洪吉明、蓝宇娜、孟一丁、党铮铮、蒋纳成、赵程遥、毛远庆、张斌、杜永华、池邦芬、笪猛霄、陈焕、包自毅、张新丰、顾闻、徐振华、张晓玮、杜战、范东媛、费嫒、叶春雷、孔俊、朱通、王沁怡、张伟伟、胡瑞玉、叶红叶、施筱玲、徐峰、蒋迪、甄理、俞巍滔、杜辉、孙茂阳、胡琼达、朱宝剑、叶茜茜、陈玮萍、屠勇刚、韩建良、徐李锐、毛勇增、张岳军、林国、王玲玲。 本标准为首次发布。 引言为保障一
4、体化智能化公共数据平台和公共数据安全,建立健全数据安全防护能力评估指标,规范和指导各地各部门开展公共数据安全评估工作,推动全省公共数据安全管理工作可量化、可追溯、可评估, 依据中华人民共和国数据安全法中华人民共和国个人信息保护法浙江省公共数据条例制定本标准。 本标准是公共数据安全体系相关系列标准之一。与本标准的相关标准还包括: 公共数据安全体系建设指南(DB33/T 24872022); 公共数据分类分级指南(DB33/T 23512021)。 III DB33/T 24882022公共数据安全体系评估规范1 范围本标准规范了公共数据安全体系评估总体要求、评估模型、评估项和评估流程等。 本标准
5、适用于公共数据安全体系和能力评估,各级公共数据主管部门、公共管理和服务机构可参考执行。 2 规范性引用文件下列文件中的内容通过文中的规范性引用而构成本标准必不可少的条款。其中,注日期的引用文件, 仅该日期对应的版本适用于本标准;不注日期的引用文件,其最新版本(包括所有的修改单)适用于本标准。 GB/T 25069 信息安全技术 术语 GB/T 37973 信息安全技术 大数据安全管理指南GB/T 37988 信息安全技术 数据安全能力成熟度模型 GB/T 39477 信息安全技术 政务信息共享 数据安全技术要求DB33/T 2350 数字化改革术语定义 DB33/T 2487 公共数据安全体系
6、建设指南 3 术语和定义GB/T 25069、GB/T 37973、GB/T 37988、GB/T 39477、DB33/T 2350和DB33/T 2487界定的以及下列术语和定义适用于本标准。 3.1 3.1评估项assessment item与公共数据安全三个子体系对应,每一个子体系对应一个评估项,包括制度规范子体系评估项、技术防护子体系评估项和运行管理子体系评估项。 3.2 3.2评估子项assessment sub item对应公共数据安全子体系各部分的建设内容,一个评估项包括若干个评估子项。 3.3 3.3评估指标assessment index用以评估某一安全目标实现程度的数据安
7、全相关活动和过程的最小单位,一个评估子项可基于评估内容,确定评估权重并赋予分值,定义若干个评估指标。 3.4 3.4评估对象assessment object被评估的组织机构或部门,主要涉及相关配套制度文档、设备设施及人员等。 29 4 缩略语下列缩略语适用于本标准。 AIT:评估项(Assessment Item) AS:评估子项(Assessment Sub Item) SUM:最终分值(Sum) 5 总体要求5.1 科学性评估项和评估方法的选取应能够体现公共数据安全体系的主要内容,反映公共数据安全保障面临的主要风险。 5.2 适宜性评估项和评估方法的选取应结合本地区本部门实际情况,引导公
8、共数据安全体系合理建设。 5.3 可度量性评估项应具备可以获取的证明依据,并可以度量。 5.4 代表性评估项应能较为全面地反映公共数据安全体系建设的总体水平。 5.5 持续性应充分应用评估结果,促进公共数据安全体系的持续优化。 6 评估模型6.1 总体架构公共数据安全体系评估模型包括公共数据安全体系评估项、公共数据安全体系评估维度、公共数据安全体系评估方法。公共数据安全体系评估模型详见图1。 图1公共数据安全体系评估模型6.2 评估项6.2.1 制度规范子体系评估项制度规范子体系评估项可基于二级制度展开,主要包含的评估子项: a) 分类分级管理制度; b) 访问权限管理制度; c) 数据脱敏管
9、理制度; d) 数据共享和开放安全管理制度; e) 数据安全销毁管理制度; f) 供应方安全管理制度; g) 安全监督检查制度; h) 安全日志审计制度; i) 安全事件管理与应急响应制度等。 6.2.2 技术防护子体系评估项技术防护子体系评估项主要包含的评估子项: a) 数据源统一鉴别技术; b) 敏感数据识别技术; c) 数据分类分级标识技术; d) 数据脱敏技术; e) 数据加密技术; f) 传输通道加密技术; g) 数据血缘关系技术; h) 数据备份和恢复技术; i) 数据防泄漏技术; j) 销毁数据识别技术; k) 数据销毁技术; l) 访问权限管理; m) 数据共享和开放; n)
10、安全监测与预警等。 6.2.3 运行管理子体系评估项运行管理子体系评估项主要包含的评估子项: a) 数据安全团队; b) 数据分类分级运行管理机制; c) 数据访问权限运行管理机制; d) 数据共享和开放安全运行管理机制; e) 安全日志审计机制; f) 安全监督检查机制; g) 安全事件应急响应机制; h) 安全培训机制等。 6.3 评估维度公共数据安全体系评估维度可根据公共数据安全体系评估项的特点设置,共分为3大类,包括: a) 制度规范子体系评估维度,包括: 1) 全面性:评估相关制度文件内容是否全面,是否已经包含了必要的组成要素; 2) 可执行性:评估相关制度文件内容是否具备可落地执行
11、性; 3) 动态更新性:评估相关制度文件内容是否根据外部环境、政策变化、组织实际情况等进行了相应的调整。 b) 技术防护子体系评估维度,包括: 1) 功能性:评估相关技术产品是否覆盖所有安全功能要求; 2) 适用性:评估相关技术产品的安全功能和性能是否有效实现公共数据安全防护; 3) 安全性:评估相关技术产品本身是否存在漏洞、配置错误(基线检查)、业务逻辑错误等安全问题。 c) 运行管理子体系-数据安全团队评估子项评估维度,包括: 1) 完备性:评估该组织是否已安全评价指标配备团队人员; 2) 专业性:评估相关人员是否有足够能力胜任职责范围内的工作,评估相关人员是否定期接受数据安全防护技能及法
12、规培训等; 3) 可靠性:评估相关人员是否有良好的职业操守,无相关不良记录情况。 d) 运行管理子体系-分类分级等其他运行管理机制的评估子项评估维度,包括: 1) 完整性:评估该运行管理机制是否包括完整的闭环运行管理环节; 2) 符合性:评估该运行管理机制是否已在该组织落地实施; 3) 有效性:评估该运行管理机制在该组织落实后,是否有效的实现公共数据安全防护预期效果。 7 制度规范子体系评估项7.1 数据分类分级管理制度公共数据分类分级管理相关制度评估子项内容主要包括: 全面性:查验制度文件是否包括分类分级原则、要求、维度、方法、操作指南、工作流程以及类别和级别变更场景、变更申请审批流程及工作
13、要求等; 可执行性:充分考虑政策背景、行业技术发展情况、单位实际情况等,推演判断文件规定内容是否可在该组织落地实施; 动态更新性:查验是否持续跟踪外部环境、政策变化、组织实际情况等,至少每年评估并修订相关制度文件,查验范围包括调研记录、修订记录等。 7.2 数据访问权限管理制度公共数据访问权限管理相关制度评估子项内容主要包括: 全面性:查验制度文件是否包括对公共数据载体和公共数据权限管理系统的账号权限安全管理职责分工和工作要求,公共数据访问账号权限分配、开通、使用、变更、重置、锁定、注销等的申请审批流程,对具备超级管理员权限或数据批量复制、处理、导出和删除等高风险操作权限的帐号的重点安全管理要
14、求等; 可执行性:充分考虑政策背景、行业技术发展情况、单位实际情况等,推演判断文件规定内容是否可在该组织落地实施; 动态更新性:查验是否持续跟踪外部环境、政策变化、组织实际情况等,至少每年评估并修订相关制度文件,查验范围包括调研记录、修订记录等。 7.3 数据脱敏管理制度公共数据安全脱敏管理相关制度评估子项内容主要包括: 全面性:查验制度文件是否充分根据公共数据分类分级结果,是否包括公共数据脱敏规则、管理要求、技术要求和脱敏工作流程等; 可执行性:充分考虑政策背景、行业技术发展情况、单位实际情况等,推演判断文件规定内容是否可在该组织落地实施; 动态更新性:查验是否持续跟踪外部环境、政策变化、组
15、织实际情况等,至少每年评估并修订相关制度文件,查验范围包括调研记录、修订记录等。 7.4 数据共享和开放安全管理制度公共数据共享和开放安全管理相关制度评估子项内容主要包括: 全面性:查验制度文件是否充分根据公共数据分类分级结果;查验制度文件是否包括差异化的公共数据共享和开放安全管理、技术要求、应用场景、工作流程和申请审批环节等; 可执行性:充分考虑政策背景、行业技术发展情况、单位实际情况等,推演判断文件规定内容是否可在该组织落地实施; 动态更新性:查验是否持续跟踪外部环境、政策变化、组织实际情况等,至少每年评估并修订相关制度文件,查验范围包括调研记录、修订记录等。 7.5 数据安全销毁管理制度
16、公共数据安全销毁管理相关制度评估子项内容主要包括: 全面性:查验制度文件是否充分根据公共数据分类分级结果;查验制度文件是否包括公共数据销毁对象、销毁场景、销毁方式、销毁流程、销毁工作要求等; 可执行性:充分考虑政策背景、行业技术发展情况、单位实际情况等,推演判断文件规定内容是否可在该组织落地实施; 动态更新性:查验是否持续跟踪外部环境、政策变化、组织实际情况等,至少每年评估并修订相关制度文件,查验范围包括调研记录、修订记录等。 7.6 供应方安全管理制度供应方安全管理相关制度评估子项内容主要包括: 全面性:查验制度文件是否包括供应方及供应方人员的安全管理要求,涉及终端安全、网络安全、数据安全、
17、保密管理等方面;查验制度文件是否包括供应方及供应方人员的岗位安全职责、安全考核要求和处罚措施;核查服务安全保护及保密协议是否明确了对供应方及供应方人员的数据保密范围、保密责任与义务、保密期限等; 可执行性:充分考虑政策背景、行业技术发展情况、单位实际情况等,推演判断文件规定内容是否可在该组织落地实施; 动态更新性:查验是否持续跟踪外部环境、政策变化、组织实际情况等,至少每年评估并修订相关制度文件,查验范围包括调研记录、修订记录等。 7.7 安全监督检查制度公共数据监督检查相关制度评估子项内容主要包括: 全面性:查验制度文件是否包括对公共数据安全体系建设现状的监督检查内容、方式、工作周期、工作流
18、程等; 可执行性:充分考虑政策背景、行业技术发展情况、单位实际情况等,推演判断文件规定内容是否可在该组织落地实施; 动态更新性:查验是否持续跟踪外部环境、政策变化、组织实际情况等,至少每年评估并修订相关制度文件,查验范围包括调研记录、修订记录等。 7.8 安全日志审计制度公共数据安全日志审计相关制度评估子项内容主要包括: 全面性:查验制度文件是否包括安全审计日志的采集内容、采集方式、标准化要求、日志存储要求、审计策略和规则、异常预警及处置工作流程等; 可执行性:充分考虑政策背景、行业技术发展情况、单位实际情况等,推演判断文件规定内容是否可在该组织落地实施; 动态更新性:查验是否持续跟踪外部环境
19、、政策变化、组织实际情况等,至少每年评估并修订相关制度文件,查验范围包括调研记录、修订记录等。 7.9 安全事件管理与应急响应制度公共数据安全事件管理与应急响应相关制度评估子项内容主要包括: 全面性:查验制度文件是否包括数据安全事件分类分级方法;核查制度文件是否充分结合数据安全事件分类分级结果;核查制度文件是否包括公共数据安全事件发现、上报、处置、溯 源、总结等工作流程;核查制度文件是否包括数据安全应急预案编制及应急演练工作要求等; 可执行性:充分考虑政策背景、行业技术发展情况、单位实际情况等,推演判断文件规定内容是否可在该组织落地实施; 动态更新性:查验是否持续跟踪外部环境、政策变化、组织实
20、际情况等,至少每年评估并修订相关制度文件,查验范围包括调研记录、修订记录等。 8 技术防护子体系评估项8.1 数据源统一鉴别技术数据源统一鉴别技术评估子项内容主要包括: 功能性:检查该技术产品是否具备数据源身份统一鉴别、记录的功能,以及对数据真实性、有效性、规范性进行检验的功能; 适用性:核查该技术产品是否有效防止非法数据源接入,实现防止虚假数据注入;核查该技术产品性能是否满足该组织业务高峰期需求等; 安全性:核查该技术产品本身是否存在安全漏洞、配置错误、业务逻辑错误等。 8.2 敏感数据识别技术敏感数据识别技术评估子项内容主要包括: 功能性:检查该技术产品是否具备敏感数据识别功能; 适用性:
21、核查该技术产品是否可有效识别出敏感数据;核查该技术产品性能是否满足该组织业务高峰期需求等; 安全性:核查该技术产品本身是否存在安全漏洞、配置错误、业务逻辑错误等。 8.3 数据分类分级标识技术数据分类分级标识技术评估子项内容主要包括: 功能性:检查该技术产品是否具备根据相关标准进行智能化分类分级的功能;检查该技术产品是否具备数据分类分级标识功能;检查该技术产品是否具有数据分类分级结果的输出接口, 用于分类分级结果的应用; 适用性:核查该技术产品是否可有效标识数据类别和级别;核查该技术产品性能是否满足该组织业务高峰期需求等; 安全性:核查该技术产品本身是否存在安全漏洞、配置错误、业务逻辑错误等。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 数据安全体系评估规范