大数据应用 数据安全管理责任指南
2022-02-08 15:15:03   来源：计算机与网络安全   评论：0 点击：

　　本文件规定了数据共享交换场景中的基本安全要求，定义了数据共享交换过程中涉及的各相关角色的安全控制措施。本文件适用于相关单位通过大数据云平台进行数据共享交换过程中的安全管理。

　　数据共享交换安全控制措施的基本原则包括：

　　a）共享交换安全管理采取主动防御、综合防范方针，坚持保障数据共享交换安全与促进应用发展相协调、管理与技术并重的原则，实行统一协调、分工负责、分级管理；

　　b）支撑数据共享交换的基础设施和网络应符合国家等级保护和关键信息基础设施保护的相关法规和标准；

　　c）数据共享交换过程由数据提供者、数据使用者、数据管理者和服务第三方组成。各参与方应按照谁主管、谁负责，谁使用、谁负责，谁运营、谁负责的原则，在各自职责范围内，做好数据安全管理工作；

　　d）数据共享交换过程中各参与方之间的安全责任相互独立，在部分情况下需要依赖于另一方安全管理措施的有效性，责任由双方共同承担。

　　数据共享交换活动涉及数据提供者、数据使用者、数据管理者以及服务第三方（数据运营提供者、 数据服务提供者）。在数据共享交换场景下各相关方履行自身职责，采取安全管理措施，以保证数据共享交换风险可控。

　　针对数据交换共享过程的数据流动、过程控制和管理，数据共享交换场景可分为以下几类：

　　场景1：数据提供者数据采集及共享环节；

　　场景2：数据服务提供者进行数据处理的环节；

　　场景3：数据使用者获取数据的环节；

　　场景4：数据运营提供者在数据采集、共享过程中的控制环节；

　　场景5：数据管理者在数据共享交换过程的管理环节。

　　大数据应用

　　数据安全管理责任指南

　　▼

　　（全文略）

　　数据共享交换场景的基本要求包括：

　　a）数据共享工作应通过共享交换平台进行，通过API服务调用方式获取共享数据；

　　b）数据提供者、数据使用者、数据管理者可在保留安全管理责任的前提下，通过签订标准合同明确责任和义务，将安全管理执行工作外包给服务第三方；

　　c）对于无条件共享的数据，归集整理后通过平台可向各单位进行数据共享；对于有条件共享的数据，由数据使用者向数据提供者提交数据资源共享申请，经数据提供者审批同意和数据管 理者审核确认后，通过平台的API（应用程序编程接口）服务进行数据共享；

　　d）确立数据分类分级，根据数据敏感度等级、场景数据使用风险等级制定相应的控制措施；

　　e）数据的保存期限应符合法律法规的要求，共享交换过程涉及各方应及时销毁超过数据保存期的数据，或者进行脱敏保存归档；

　　f）数据共享交换的各参与方应保障各阶段数据血缘的完整性，保障数据质量，并可提供数据处理过程日志供第三方审计。

　　服务第三方包括数据产品提供者和数据服务提供者，应满足以下通用安全要求：

　　a）提供的产品和服务应满足国家法律法规和地方规章的要求，例如提供基础设施和平台服务的应满足国家网络安全等级保护的相关要求，提供安全专用产品的应取得计算机信息系统安全专用产品销售许可证；

　　b）提供的产品和服务应安全可控，并进行书面安全承诺，承诺提供的产品和服务不包含恶意程序、隐蔽接口或未明示功能的模块等；

　　c）应建立并执行针对产品和服务安全缺陷、漏洞的应急响应机制和流程，在发现提供的产品和服务存在安全缺陷、漏洞时，应立即采取修复或替代方案等补救措施，及时告知用户安全风险，并向数据管理者报告；

　　d）提供的产品和服务需要收集的用户信息时，应明确告知收集用户信息的目的、用途、范围和类型，在用户明示同意后，按照最少够用原则收集实现产品和服务功能所需的最少用户信息，并采取安全措施保护用户信息的安全；

　　e）提供的产品和服务应不破坏数据管理者制定的整体安全策略，应不导致其他服务第三方的产品和服务安全能力的失效；

　　f）产品和服务上线前应告知数据管理者上线计划，并接受数据管理者或由数据管理者授权委托的服务方进行安全检查；

　　g）应建立内部监督审计机制，对提供服务的人员进行监督和审计，签订保密协议，确保其不泄露用户的业务数据；

　　h）应接受数据管理者或由数据管理者授权委托的第三方监管服务方的安全监管，按监管要求提供相关交付件供数据管理者或监管服务方审核评估，并对通报的安全风险进行及时整改。