DB4403-T 271-2022 公共數(shù)據(jù)安全要求

ICS

CCS

67

DB4403 DB4403/T

271—2022公共數(shù)據(jù)安全要求Requirements

for

common

data

深圳市市場(chǎng)監(jiān)督管理局 發(fā)

布DB4403/T

IV

引用文件

語(yǔ)和

4.1

4.2

6.1

6.2

6.3

6.4

級(jí)要

6.5

6.6

6.7

7.1

7.2

7.3

全要

8.1

級(jí)保

8.2

DB4403/T

271—2022

8.3

級(jí)增強(qiáng)安 10

108.4

10

10

級(jí)增強(qiáng)安 10

級(jí)增強(qiáng)安全要 118.5

11

11

12

128.6

12

12

12

全要 12全要 129.1

12

12

全要 13

139.2

13

13

級(jí)增 13

139.3

13

13

13

149.4

14

14

強(qiáng)安 14

全要 149.5

14

14

全要 15

159.6

15

15

15IIDB4403/T

159.7

15

15

15

169.8

16

16

級(jí)增 16

強(qiáng)安全要 169.9

毀與刪除 16

16

16

全要 16

17 18B.1

18B.2

20

共數(shù)據(jù)分 23C.1C.2

示例 23 23

人信息分級(jí)參考表 24 27DB4403/T

271—2022文件按照

GB/T

1.1—2020《標(biāo)準(zhǔn)工作導(dǎo)則

部分標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則文件起草知科慧城市科技發(fā)有限公司趙劍方興周頓魏鳳慧洋IVDB4403/T

體安全原則和構(gòu)數(shù)據(jù)安全能建設(shè)估與監(jiān)管

內(nèi)容文件其中注日期的引用文件僅該日期用文其最新版包括適用GB/T

20984—2022GB/T

22239—2019GB/T

22240—2020GB/T

35273—2020GB/T

37988—2019

全技

息安絡(luò)安全等GB/T

39477—2020

據(jù)安全技GB/T

39786—2021

統(tǒng)密

GB/T

35273—2020、GB/T

37988—2019下列3.1

common

data共管和服機(jī)構(gòu)處理個(gè)人務(wù)平在依履行共管職責(zé)者提公共理的數(shù)據(jù)3.2

data

要措據(jù)處障持3.3

public

administration

and

service

institutions事業(yè)單位和其衛(wèi)生健康環(huán)境保護(hù)共交3.4

personal

informationDB4403/T

271—2022

1：行蹤軌跡、住宿信息、健康生理信息、交易信息、14

2：[來(lái)源：GB/T

25069—2022，3.195，有修改]3.5

key

data[來(lái)源：GB/T

3.6

3.7

data

cooperator3.8

secure

multi-party

computation3.9

application[來(lái)源：GB/T

41479—2022，3.12，有修改]

4.1

a) b) c)DB4403/T

d)明示原則數(shù)據(jù)范圍其規(guī)e)f)g)

小必理活動(dòng)僅開(kāi)透從其數(shù)據(jù)體侵害程進(jìn)行據(jù)處理活動(dòng)過(guò)數(shù)據(jù)安全管控措施等的變更可能引起數(shù)據(jù)害程度的變化h)全程可控原則：采防止處理數(shù)據(jù)處理節(jié)過(guò)記錄內(nèi)容清晰4.2

GB/T

22239—2019建設(shè)運(yùn)營(yíng)信息系統(tǒng)系統(tǒng)組織開(kāi)展定級(jí)備案等級(jí)測(cè)評(píng)安全整改工作數(shù)據(jù)處理過(guò)程涉及密碼應(yīng)按GB/T39786—2021應(yīng)用

5.1

5.2

DB4403/T

271—2022大類構(gòu)成a) 數(shù)據(jù)通用安全要求明確通用管理安全要求角度分級(jí)闡述b)理活理活動(dòng)圍共享

6.1

管理中的泄露或者獲取非法社會(huì)秩序公共公共管理和服務(wù)機(jī)益造成的6.2

象應(yīng)包括數(shù)據(jù)庫(kù)和數(shù)據(jù)子類下的具體數(shù)據(jù)據(jù)定象分構(gòu)化6.3

a)

b)

象受a)

機(jī)構(gòu)b)c)

會(huì)秩

應(yīng)根象遭泄露獲取涉及綜合。對(duì)客體造成的侵害程度歸結(jié)為以下四種a)

b)

c)

d)

6.4

DB4403/T

6.5

6.6

6.7

數(shù)據(jù)庫(kù)安全等全要求的應(yīng)關(guān)見(jiàn)表2，數(shù)據(jù)子類或數(shù)據(jù)字段安全等級(jí)與其安DB4403/T

271—2022

7.1

7.2

7.2.1.1

a)

b)

c)

數(shù)據(jù)安全責(zé)任人履行職責(zé)包括但不限于：

DB4403/T

d)

數(shù)據(jù)安全管理機(jī)構(gòu)應(yīng)明確數(shù)據(jù)管理員數(shù)據(jù)人員

e)f)

到國(guó)家網(wǎng)信部人聯(lián)姓名系方應(yīng)針數(shù)據(jù)數(shù)據(jù)操作及外部系g)

的機(jī)簽訂合作及數(shù)全保密責(zé)任與資質(zhì)背景7.2.1.2

a)

明確規(guī)定人員錄用人員考核離崗離職外部人員

內(nèi)部數(shù)據(jù)崗位

應(yīng)制定數(shù)據(jù)安訓(xùn)計(jì)劃

7.2.2.1

a)b)

數(shù)據(jù)處理活動(dòng)建立逐級(jí)審批批的項(xiàng)目批部審批7.2.2.2

a)b)c)

數(shù)據(jù)崗位制定不同的培崗位操作規(guī)程等進(jìn)行培定期位人

7.2.3.1

DB4403/T

271—20227.2.3.2

a)b)

共同管理7.3

分級(jí)

提供重互聯(lián)網(wǎng)平臺(tái)服務(wù)

GB/T

35273—2020

8.1

應(yīng)結(jié)合數(shù)據(jù)資產(chǎn)識(shí)別技手段DB4403/T

標(biāo)準(zhǔn)d)e)

應(yīng)明確數(shù)據(jù)象安全等級(jí)序和公共形成數(shù)據(jù)資產(chǎn)清單相關(guān)示例附錄A，落實(shí)不同數(shù)據(jù)安全級(jí)差護(hù)要求依數(shù)據(jù)字段安全等級(jí)差異化防護(hù)措施應(yīng)符合附錄規(guī)定別和級(jí)別型或級(jí)別

8.2

應(yīng)結(jié)合自身數(shù)據(jù)安全要求

出現(xiàn)法律法規(guī)更改或增刪全面

行業(yè)安全合規(guī)監(jiān)管并向

涉及敏感個(gè)人信息處理益有理活動(dòng)等

按照開(kāi)展管部估報(bào)告應(yīng)的重類、展數(shù)據(jù)處理活動(dòng)的情況

8.3

DB4403/T

271—2022a)b)

據(jù)安異常操作數(shù)據(jù)暴露面風(fēng)險(xiǎn)等力。

a)b)c)d)

安全制定的風(fēng)件和可能引發(fā)分析產(chǎn)的完整配備數(shù)據(jù)安全工作具風(fēng)險(xiǎn)監(jiān)定期險(xiǎn)監(jiān)

增強(qiáng)安全要求8.4

8.4.1.1

a)

應(yīng)根據(jù)不同數(shù)據(jù)級(jí)別變更賬號(hào)關(guān)聯(lián)包括機(jī)構(gòu)據(jù)合作方人員b)c)d)e)f)

沉默賬號(hào)復(fù)活賬號(hào)嚴(yán)格流程訪問(wèn)數(shù)據(jù)批量下載上傳刪除流程8.4.1.2

8.4.1.3

a)b)c)d)

身份鑒別全檢及時(shí)發(fā)現(xiàn)并處用審梳理數(shù)據(jù)接口

8.4.2.1

10DB4403/T

8.4.2.2

8.4.2.3

a)

b)

c)

8.4.3.1

8.4.3.2

8.4.3.3

8.5

a)

b)

c)

d)

e)

11DB4403/T

271—2022f)

至少一次，事件場(chǎng)景包括但不限于數(shù)據(jù)泄露、丟失、濫用、篡改、毀損、違規(guī)使用等。

a)

b)

8.6

a)

計(jì)內(nèi)容、審計(jì)周期、審計(jì)結(jié)果、審計(jì)問(wèn)題跟蹤等要求；b)

c)

9.1

a)

b)

c)

過(guò)誤導(dǎo)、欺詐、脅迫或者其他違背個(gè)人信息主體真實(shí)意愿的方式獲取其同意；d)

應(yīng)按照GB/T

12e)

DB4403/T

要個(gè)聯(lián)網(wǎng)

網(wǎng)絡(luò)環(huán)境系統(tǒng)進(jìn)行安全評(píng)估

9.2

a)

相關(guān)數(shù)字水印整性b)

應(yīng)明確數(shù)據(jù)備份與恢復(fù)安全策略數(shù)據(jù)備份恢復(fù)操作規(guī)程說(shuō)明數(shù)據(jù)備份周期備份方式建立據(jù)恢c)

時(shí)批量傳d)e)

個(gè)人生物識(shí)別信息應(yīng)與個(gè)人身份信分開(kāi)存儲(chǔ)原則上不應(yīng)存儲(chǔ)原始個(gè)人生物識(shí)別信息如樣僅存息的儲(chǔ)期限應(yīng)人信規(guī)另

a)

至備份場(chǎng)b)c)

勒索病毒事前中阻斷及事后恢復(fù)的保障能力；

切換9.3

a)b)c)

相關(guān)加密確保數(shù)據(jù)傳輸整性

13DB4403/T

271—2022a)

b)

9.4

a)

b)

c)

d)

存在利用算法推薦技術(shù)進(jìn)行自動(dòng)化決策分析的情形，應(yīng)保證決策的透明度和結(jié)果公平合理；e)

f)

a)

b)

c)

9.5

a)

b)

c)

14d)

DB4403/T

委托他人處理數(shù)據(jù)全保護(hù)合安全保護(hù)責(zé)任應(yīng)約定委托處理的目的處理方式個(gè)人信息的種保護(hù)措施以及方的務(wù)等人信應(yīng)超個(gè)人信息

b)

如產(chǎn)生新數(shù)據(jù)c)

9.6

a)b)

應(yīng)與公共簽署相關(guān)明確數(shù)據(jù)使用目的供應(yīng)方式保密范圍護(hù)要供部標(biāo)準(zhǔn)享過(guò)程的保密c)

政務(wù)信息資源交換平臺(tái)的政務(wù)信息共履行GB/T

39477—2020章確定的共享數(shù)據(jù)安全要

a)b)c)

共數(shù)據(jù)提供部建立范圍術(shù)，實(shí)現(xiàn)數(shù)據(jù)共享的安全性

9.7

規(guī)章展數(shù)據(jù)交據(jù)安全保

15DB4403/T

271—2022

9.8

a)

嚴(yán)格遵守國(guó)家法律符合展數(shù)據(jù)出估及出境行為

9.9

a)

規(guī)程設(shè)置相關(guān)監(jiān)督角色b)

如因業(yè)務(wù)終止組織解散數(shù)據(jù)承接法律法規(guī)另有定的除外c)

合作方完成數(shù)法律d)

或完保留源數(shù)據(jù)的數(shù)據(jù)e)

按照GB/T

35273—20208.3刪除操作

a)b)

介質(zhì)存儲(chǔ)存儲(chǔ)數(shù)據(jù)的介質(zhì)或物理設(shè)備式進(jìn)如物理粉消磁次擦寫等

16示例：個(gè)人身份信息person_id50000身份證3級(jí)某政務(wù)系統(tǒng)-user_center-person_identity是是否否示例：個(gè)人身份信息person_name50000姓名3級(jí)某政務(wù)系統(tǒng)-user_center-person_identity是是否否示例：某政務(wù)系統(tǒng)xx部門user_center192.168.x.x1521Oracle

1010GB10user第二級(jí)示例：某政務(wù)系統(tǒng)xx部門user_center192.168.x.x1521Oracle

1010GB10person_identity第二級(jí)DB4403/T

A.1

A.217/一

，對(duì)，對(duì)

GB/T

2020

A、

”、“

GB/T

2020

A、

”“、“”、“”、”、”、”、

2020

”、“”“”、“DB4403/T

271—2022

B.1

18

DB4403/T

19

DB4403/T

B.2

20

，采

，采

，采DB4403/T

21

，采，對(duì)

），

），

），

），

DB4403/T

22DB4403/T

C.1

C.2

23驗(yàn)報(bào)告麻醉記錄護(hù)理記錄用藥記錄藥物食物過(guò)敏信息育信息以往病史診治情況家族病史現(xiàn)病史

弱隱私生物特信息包括人臉聲紋步態(tài)

）、

交易密碼查詢密碼USBKEY、U

網(wǎng)銀手機(jī)銀行密保工具指?jìng)€(gè)人的其用戶鑒別信息泄露人經(jīng)濟(jì)

公共社會(huì)公服務(wù)的網(wǎng)站涉及的用戶鑒別育

公共管理和服務(wù)機(jī)構(gòu)內(nèi)部系統(tǒng)涉及的用戶鑒信息包括

OA

人基個(gè)人姓指?jìng)€(gè)人的通信記數(shù)據(jù)記錄和內(nèi)容指能具體定位到人的地理位置信息精準(zhǔn)定位信指?jìng)€(gè)人通信聯(lián)系式數(shù)據(jù)機(jī)號(hào)碼固定電話QQDB4403/T

D.1

24指好友通信聯(lián)系方式數(shù)據(jù)通訊錄好友列表群列表14指?jìng)€(gè)人與位關(guān)聯(lián)方關(guān)系的記錄數(shù)據(jù)法定代表人財(cái)務(wù)負(fù)責(zé)

個(gè)人入狀況的不動(dòng)產(chǎn)狀況稅額

銀行賬戶信息包括資金數(shù)量支付收款記錄等)、信貸記如個(gè)人借款信息還款款信息等）、信信息易和消費(fèi)記錄記錄等虛擬貨擬交易

用戶鑒輔助如動(dòng)態(tài)口令短信驗(yàn)證碼密碼提示問(wèn)題

金融產(chǎn)品與服務(wù)的關(guān)鍵信息如交易信息如交易指交易金融業(yè)構(gòu)內(nèi)部使的個(gè)人金融信息賬戶開(kāi)立指公開(kāi)的