水利重要數據安全保護要求（征求意見稿）

1水利重要數據安全保護要求本標準規(guī)定了水利重要數據的安全保護要求，包括總體要求、水利重要數據識別、數據處理安全、數據安全管理、數據安全運營等。本標準適用于水利行業(yè)各單位開展水利重要數據的安全保護建設和監(jiān)督管理。2規(guī)范性引用文件下列文件中的內容通過文中的規(guī)范性引用而構成本文件必不可少的條款。凡是注日期的引用文件，僅該日期對應的版本適用于本標準。GB/T41479—2022信息安全技術網絡數據處理安全要求GB/T22239—2019信息安全技術網絡安全等級保護基本要求GB/T39786—2021信息安全技術信息系統(tǒng)密碼應用基本要求GB/T36951-2018信息安全技術物聯網感知終端應用安全技術要求GB/TAAAAA-2023信息安全技術數據分類分級規(guī)則SL/T803—2020水利網絡安全保護技術規(guī)范3術語和定義3.1水利數據waterresourcesdata在水利行業(yè)工作中，任何以電子或者其他方式對信息的記錄。3.2重要數據waterresourceskeydata特定領域、特定群體、特定區(qū)域或達到一定精度和規(guī)模的數據，一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，可能直接危害國家安全、經濟運行、社會穩(wěn)定、公共健康和安全。[來源：GB/TAAAAA—2023，3.2，有修改]3.3核心數據waterresourcescoredata對領域、群體、區(qū)域具有較高覆蓋度或達到較高精度、較大規(guī)模、一定深度的重要數據，一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，可能直接危害政治安全。[來源：GB/TAAAAA—2023，3.3，有修改]3.4一般數據waterresourcesgeneraldata除重要數據、核心數據以外的其他數據。[來源：GB/TAAAAA—2023，3.4]3.5數據處理dataprocessing數據的收集、存儲、使用、加工、傳輸、提供、公開、銷毀等活動的總稱。3.6數據安全datasecurity通過采取必要措施，確保數據處于有效保護和合法利用的狀態(tài)，以及具備保障持續(xù)安全狀態(tài)的能力。[來源：GB/T41479—2022，3.4]3.7數據處理者dataprocessor在數據處理活動中自主決定處理目的、處理方式的組織、個人。2[來源：GB/TAAAAA—2023，3，11]3.8數據載體datacarrier承載數據的平臺/系統(tǒng)及其基礎設施等。4縮略語下列縮略語適用于本標準。API：應用程序接口（ApplicationProgrammingInterface）APP：應用程序（Application）SQL：結構化查詢語言（StructuredQueryLanguage）IP：網際互連協(xié)議（InternetProtocol）WEB：全球廣域網（WorldWideWeb）5總體要求5.1基本原則水利重要數據安全保護應遵循以下基本原則：a)依法合規(guī)原則：應確保水利重要數據處理活動的合法性和正當性，按照數據安全法、個人信息保護法等法律法規(guī)要求，開展水利重要數據安全保護；b)權責一致原則：應按照“誰管業(yè)務、誰管業(yè)務數據、誰管數據安全”明確水利重要數據安全保護的責任和要求，有關部門及人員應積極落實有關措施，履行數據安全保護職責；c)技管并重原則：應堅持數據安全管理措施和技術措施相輔相成、緊密結合，確保管理要求實現有技術手段支撐，技術手段實施有管理要求規(guī)范；d)全程可控原則：應采取必要的管控機制和技術措施，確保水利重要數據在數據處理活動各環(huán)節(jié)的保密性、完整性和可用性；e)持續(xù)完善原則：應定期更新重要數據目錄，根據數據的重要性、面臨的數據安全威脅、已有的數據安全措施等，持續(xù)完善數據安全保護措施；f)有機統(tǒng)一原則：應統(tǒng)籌發(fā)展和安全，促進數據安全保護和業(yè)務應用共同發(fā)展。5.2一般要求水利重要數據安全保護應滿足以下一般要求：a)資產識別要求：應識別數據處理活動中涉及的數據，梳理本組織的數據資產清單；b)分類分級要求：對本組織數據資產實施分類分級保護，對水利重要數據要按本文件要求落實保護措施，對一般數據、敏感數據可參照本文件開展保護；c)系統(tǒng)安全要求：處理重要數據的系統(tǒng)應符合GB/T22239—2019第三級安全要求和SL/T803—2020第三級安全要求，并通過網絡安全等級保護三級（含）以上測評；d)密碼應用要求：應按照GB/T39786—2021的規(guī)定使用商用密碼對重要數據進行保護，保障數據的機密性、完整性、真實性和不可否認性；e)安全可信要求：在重要數據保護中宜優(yōu)先采購安全可信的網絡產品和服務；f)數據審計要求：應對重要數據處理活動各環(huán)節(jié)進行記錄，確保重要數據處理活動可審計、可追溯，審計日志應包括操作主體、客體、操作時間、操作類型、操作結果等內容，審計日志留存時間不少于6個月。35.3總體框架水利重要數據安全保護框架應遵循水利重要數據安全保護基本原則，在重要數據識別的基礎上，建設數據處理安全、數據安全管理、數據安全運營等能力，其中，數據處理安全應包括數據收集、存儲、使用、加工、傳輸、公開、提供、銷毀等，數據安全管理應包括數據安全管理制度、數據安全工作機構、數據安全人員管理，數據安全運營應包括數據資產管理、數據數據安全風險監(jiān)測、數據安全威脅管理、數據安全檢查評估、數據安全應急響應與事件處置等，宜按照圖1構建。圖1水利重要數據安全保護框架6水利重要數據識別6.1分類分級原則6.1.1界限明確原則應嚴格數據各類別、各級別之間的界限，每個數據項原則上應只屬于一個類別和一個級6.1.2從高就嚴原則應按照數據集中包含的數據項的最高級別對數據集進行定級。6.1.3時效性原則應兼顧多因素，充分考慮數據處理時效，以相對穩(wěn)定的特征要素開展分類分級。6.2水利數據分類數據分類應滿足以下要求：a)應對數據資產（包括原始數據和衍生數據）進行探測和梳理，形成《數據資產情況b)應按照數據基本屬性及所屬具體水利業(yè)務開展數據分類，可將數據分為基礎數據、業(yè)務數據、地理空間數據、行政管理數據、個人信息和其他數據等類別；c)水利對象相對穩(wěn)定的屬性及該對象的主要特征信息，包括流域、河流、湖泊、水利工程等水利對象的主要屬性數據應納入水利基礎數據類別；d)對自然界的水進行控制、調節(jié)、治導、開發(fā)、管理和保護，包括以防治水旱災害和4開發(fā)利用水資源等水利業(yè)務的各項活動過程中收集和產生的數據應納入水利業(yè)務數據類別；e)帶有地理坐標的對地理實體的空間特征和屬性特征的描述數據應納入地理空間數據類別；f)水利機構日常運行管理過程中收集和產生的數據應納入行政管理數據類別；g)已識別或者可識別的與自然人有關的各種信息等數據應納入個人信息數據類別；h)可建設自動化的數據分類系統(tǒng)，提高工作效率；i)應在數據庫、大數據、文件管理系統(tǒng)中設置合理的分類標簽將分類結果與數據資產融合。6.3水利數據分級數據分級應滿足以下要求：a)應按照數據一旦遭到篡改、破壞、泄露或非法獲取、非法利用，對國家安全、公共利益或者個人、組織合法權益造成的影響和危害程度，將數據從低到高分為1-5級，數據定級矩陣見附錄1；b)1-3級數據宜對應一般數據，4級數據宜對應重要數據，5級數據宜對應核心數據；c)數據級別確定后，出現數據內容、數據時效性、數據規(guī)模、數據應用場景、數據加工處理方式等的變化，應及時開展數據級別變更和評估；d)數據經過脫敏、標簽、統(tǒng)計、匯聚融合等加工活動而產生的衍生數據，應在原始數據定級基礎上，綜合考慮數據加工處理后對數據規(guī)模、精度、聯合度、影響范圍的影響，評估數據級別。e)可建設自動化的數據分級系統(tǒng)，提高工作效率；6.4水利重要數據目錄重要數據目錄應滿足以下要求：a)應在數據分類分級基礎上，綜合考慮數據精度、規(guī)模、聯合度和影響范圍，確定重要數據目錄，可參考附錄2中列出的參考要素。b)應全面梳理重要數據基本情況、處理環(huán)節(jié)、相關參與者信息、出境情況、現有數據安全保護情況；c)重要數據目錄應報送上級數據安全主管部門進行審核，并逐級上報至水利部網信辦備案，可使用重要數據目錄管理系統(tǒng)實現重要數據目錄的管理；d)應根據數據類別和級別的定期評審結果，及時更新重要數據目錄；e)重要數據目錄應動態(tài)更新，當重要數據發(fā)生分類分級變化或重要數據相關信息變更時，應逐級上報至水利部網信辦備案。7數據處理安全本節(jié)規(guī)定了水利重要數據在收集、存儲、使用、加工、傳輸、公開、提供、銷毀等處理活動中的安全保護措施，如非特別說明，本節(jié)中提出的安全要求均針對水利重要數據。7.1數據收集7.1.1基本要求數據收集應滿足以下基本要求：5a)應明確數據收集的目的、規(guī)模、方式、范圍、頻度、類型、存儲期限、存儲地點等，并在收集前進行安全評估，確保數據收集的合法合規(guī)性；b)應遵循最小必要原則，收集的數據應為滿足業(yè)務所必需的最少數量；c)應采取合法、正當的方式收集數據；d)宜優(yōu)先通過水利部統(tǒng)一數據交換平臺、國家數據共享平臺收集數據；e)應對數據收集過程進行跟蹤和記錄，記錄收集時間、類型、規(guī)模、流向等，保證數據收集活動的可追溯性；f)宜利用密碼技術對數據收集的原始數據進行加密保護，對數據收集源進行身份驗證；g)應對收集數據的質量進行分析和監(jiān)控，及時對異常數據進行告警、修正。7.1.2人工填報采用人工填報方式收集重要數據，還應滿足以下要求：a)應通過身份鑒別、權限控制等措施對使用填報設備、系統(tǒng)的人員進行身份鑒別和權限控制，保證數據收集的真實性；b)涉及敏感操作時宜采用雙因子認證、實人校驗等認證手段加強保護；c)應對數據的內容、格式進行鑒別，防止SQL注入、惡意文件上傳等網絡攻擊；d)APP、WEB應用等客戶端相關業(yè)務完成后應及時對緩存進行清理，不應留存相關數據。7.1.3接口對接采用接口對接方式收集重要數據，還應滿足以下要求：a)應在數據收集前，與數據提供方協(xié)商確定數據收集規(guī)模、范圍、類型、頻度等；b)應驗證接口的真實性，宜采用綁定IP、token（令牌）認證、數字證書等技術進行校驗；c)應采用消息摘要、消息校驗碼、數字簽名等技術，保證收集過程數據的完整性。7.1.4感知終端采集通過感知終端采集方式收集重要數據，還應滿足以下要求：a)感知終端應用安全宜符合GB/T36951有關要求；b)應對感知終端的身份進行鑒別，宜結合數字證書、設備指紋、設備物理位置、網絡接入方式多種因素進行終端身份驗證；c)應采用消息摘要、消息校驗碼、數字簽名等技術，保證收集過程數據的完整性。7.2數據存儲7.2.1存儲保護存儲保護應滿足以下要求：a)應制定存儲管理制度，對安全保護措施、網絡區(qū)域劃分、權限管理等作出規(guī)定；b)應采用密碼技術保證數據存儲的保密性和完整性，宜建設統(tǒng)一的密碼服務資源；c)宜采用同態(tài)加密、隱私計算等技術手段減少重要數據復制存儲，保障重要數據可用不可見。d)應對運維人員訪問重要數據所在網絡區(qū)域進行身份鑒別和權限控制，可采用固定終端、運維審計系統(tǒng)等方式實現訪問。7.2.2存儲位置6存儲位置應滿足以下要求：a)在中國境內收集和產生的重要數據應在境內存儲；b)應為重要數據存儲劃分專門的網絡區(qū)域，存儲重要數據的區(qū)域與其他網絡區(qū)域間應配置有效的邊界防護措施，重要數據存儲區(qū)域不應部署在網絡邊界處；c)重要數據存儲的服務器等設備應嚴格與互聯網隔離；d)應采取流量監(jiān)控等手段，對不同區(qū)域間的數據流動進行監(jiān)測管控。7.2.3存儲期限存儲期限應滿足以下要求：a)數據存儲時間應為業(yè)務必需的最短時間，在存儲期限到期前，宜以自動化方式提示數據處理者；b)應及時銷毀超過存儲期限或已不需要的數據。7.2.4備份與恢復備份與恢復應滿足以下要求：a)應建立完備的數據備份策略，備份策略中應至少說明備份數據放置場所、數據傳遞方式、備份方式、備份周期或備份頻率、備份數據范圍等；b)應建立同城或異地數據備份中心，利用通信網絡定時、定期將重要數據備份至備份場地；c)實時數據宜采用數據庫雙活、遠程鏡像、多副本等方式備份，歷史數據可采用磁帶、冷備等方式備份；d)應制定數據恢復策略，結構化數據可采用數據庫回滾和數據文件備份恢復相結合的方式進行數據恢復，非結構化數據可采用日志備份恢復和文件系統(tǒng)備份恢復相結合的方式進行數據恢復；e)數據恢復應在安全環(huán)境下進行，確保恢復過程中不會造成泄露、破壞等問題；f)應定期評審備份數據的可用性、完整性和一致性，定期對備份數據進行恢復測試，評估數據恢復質量并采取處理措施；g)宜建立容災備份中心實現數據級容災和應用級容災。7.3數據使用7.3.1系統(tǒng)訪問系統(tǒng)訪問應滿足以下要求：a)應對數據使用過程進行細粒度權限管控，綜合考慮主體角色、業(yè)務需要、時效性等因素，將數據使用范圍限制在最小的范圍內；b)應建立數據使用權限申請與審核機制，申請中應明確數據使用目的、內容、時間、技術防護措施、數據使用后的處置方式等，申請通過后方可授予相應的數據使用權限，并將審批記錄留存3年以上；c)對數據批量查詢、批量修改、批量下載等高風險操作宜采取雙因子認證、實人認證等鑒別方式，宜建設統(tǒng)一的身份認證平臺；d)應定期對數據的訪問權限進行梳理，及時清理過期賬號、閑置賬號及其授權；e)應能夠限制數據訪問頻率，宜對數據的頻繁查詢、下載等可疑操作進行監(jiān)控預警和f)數據展示應采用脫敏、水印、限制復制、去標識化等技術措施，確保展示數據的安7全性，數據展示后，應及時將展示數據從本地緩存中清除；g)數據下載或導出時應采用加密、脫敏、去標識化等技術手段防止數據泄露，并采用水印、二維碼等技術實現數據的可追溯性；h)應嚴格限定數據庫、業(yè)務系統(tǒng)管理員等特權賬號的設置和使用：1)明確特權賬號使用場景和使用范圍，建立特權賬號的審批授權機制，并嚴格控制特權賬號數量；2)將特權賬號與指定網絡地址綁定，對特權賬號的操作記錄進行監(jiān)控，宜與經審批授權的范圍進行比對，實現自動告警和阻斷；3)對特權賬號的操作進行記錄，禁止特權賬號查看、修改、刪除審計日志；4)宜建設特權賬號管理系統(tǒng)，對特權賬號的權限和訪問日志進行管理、授權和審計。7.3.2接口調用接口調用應滿足以下要求：a)對于本組織外的第三方組織和個人，應通過合同或協(xié)議等形式，明確雙方的數據安全保護責任和義務，發(fā)現落實安全管理責任有問題的，應及時督促整改，必要時停止接入；b)應制定統(tǒng)一的接口使用規(guī)范，對接入或嵌入的第三方應用開展技術檢測，確保其數據處理行為符合雙方約定及接口使用規(guī)范，對審計發(fā)現超出雙方約定的行為及時停止接入；c)應建立完善的接口驗簽機制，對接口使用方進行身份驗證，宜采用token（令牌）、數字證書等方式進行驗證；d)應對接口上線、變更、下線等環(huán)節(jié)進行統(tǒng)一管理，接口上線前應進行風險評估，發(fā)現問題應暫停上線并及時調整；接口上線后發(fā)現接口運行異常、惡意調用等情況應采取告警、阻斷等措施，并及時修復相應問題；定期對無業(yè)務流量或已下線業(yè)務的接口進行清理；e)宜采用API安全網關，對接口使用范圍、使用期限、使用頻度、流量等進行統(tǒng)一管控和限制。7.4數據加工數據加工應滿足以下要求：a)應明確數據加工過程中數據獲取方式、訪問接口、授權機制、安全防護措施、處理結果安全等內容；b)應對接入數據庫、大數據平臺、存儲等的數據計算分析設備、系統(tǒng)、組件等進行身份鑒別、訪問控制、入侵防范、惡意代碼防范等；c)數據加工過程中使用的外部軟件開發(fā)包、組件、源碼等，應事先進行安全檢測和評估；d)宜使用經靜態(tài)脫敏、去標識化、匿名化處理后的數據，確需使用生產數據的，應通過審批；e)數據加工過程中，可能危害國家安全、公共安全、經濟安全和社會穩(wěn)定的，應立即停止加工活動；f)數據加工后產生的衍生數據，應重新明確數據所屬單位和安全保護責任部門，并評估衍生數據的數據級別；g)數據加工過程涉及第三方組織的，應以合同或協(xié)議等方式明確進行加工的數據內容8和范圍、各參與方的數據保護責任義務以及數據保護要求，應對第三方組織的數據安全保護能力、資質進行評估和核實；h)數據加工過程涉及第三方組織的，宜采用同態(tài)加密、多方安全計算、聯邦學習等技術，降低數據加工過程中數據泄露、竊取等風險；i)數據加工過程中，應評估智能算法可能帶來的風險，宜從科技倫理和可解釋性等方面對智能算法使用進行規(guī)范。7.5數據傳輸數據傳輸應滿足以下要求：a)與行業(yè)內單位進行數據傳輸，應優(yōu)先采用水利業(yè)務網，與行業(yè)外單位進行數據傳輸，應優(yōu)先采用專線、國家電子政務外網等傳輸通道；b)應對數據傳輸的通信雙方進行身份認證，確保數據傳輸雙方是可信任的；c)應采取加密、簽名、防重放等措施，確保數據在傳輸過程中的保密性、完整性、不可否認性；d)宜在數據傳輸前，對數據內容進行加密；e)應在不同網絡區(qū)域或安全域之間進行安全隔離，對數據傳輸至外部主體的情況進行重點監(jiān)控；f)應對數據傳輸過程進行實時監(jiān)測和內容檢測，發(fā)現數據異常傳輸行為時進行實時阻g)應在數據傳輸不完整時清除傳輸緩存數據，應在數據傳輸完成后立即清除傳輸歷史緩存數據。7.6數據提供7.6.1對外提供和共享對外提供和共享數據應滿足以下要求：a)應與數據接收方簽訂合同或協(xié)議等法律文件，約定數據提供和共享的目的、范圍、方式、數據量、安全保護措施、數據返還或銷毀方式等；b)向數據接收方提供和共享數據前，應進行安全風險評估，評估結果應經本組織數據安全責任人審批同意，并將評估和審批記錄留存3年以上；c)應采取數據水印、標記、脫敏、加密等措施，保證數據提供和共享過程安全；d)向數據接收方提供個人信息，應向個人信息主體告知數據接收方的名稱、聯系方式、處理目的、處理方式、個人信息的種類、存儲期限等，并取得個人信息主體的單獨同意；e)發(fā)生收購、兼并、重組、破產時，數據接收方應繼續(xù)履行相關數據安全保護義務，沒有數據接收方的，應及時返還或銷毀接收數據及其加工結果；f)利用自動化工具（包括但不限于代碼、腳本、接口、軟件開發(fā)工具包等）進行數據提供和共享時，應通過身份鑒別、數據加密、反爬蟲機制、攻擊防護和流量監(jiān)控等手段，防止數據泄露、丟失、非法獲取、非法利用等風險，并定期檢查和評估自動化工具的安全性和可靠性。7.6.2數據出境數據出境應滿足以下要求：a)應向國家網信部門申報并通過數據出境安全評估；9b)應采取技術和管理措施，在既定目的、范圍、方式和數據類型、規(guī)模等之內進行數據跨境傳輸，不超出向國家申報數據出境安全評估時明確的事項等向境外提供重要數據；c)應存留相關數據出境日志記錄3年以上；d)應對數據跨境傳輸業(yè)務進行識別和全過程監(jiān)測和管控；e)應采取必要的技術和管理措施，防止境內訪問流量路由至境外。7.7數據公開數據公開應滿足以下要求：a)應依據國家有關規(guī)定與行業(yè)主管部門規(guī)章，建立數據公開流程，嚴格按照數據公開流程進行管理，在公開官方渠道進行數據公開；b)數據公開前，應對擬公開數據的合規(guī)性、業(yè)務需求、是否包含敏感和涉密信息等進行審核，對保護措施進行驗證，經審核驗證后確定數據公開渠道、公開時間、擬公開數據的真實性以及對數據的保護措施；c)應記錄數據公開情況，包括數據公開的日期、規(guī)模、目的、范圍等；d)通過公眾服務網頁進行數據公開時，應采取技術措施實現網頁防篡改；e)應對公開的數據采取脫敏、去標識化、禁用展示界面復制、打印等措施，降低數據在展示環(huán)節(jié)的泄露風險；f)應定期更新和評估已公開的數據，對不適宜繼續(xù)公開或超出公開期限的數據進行召回或銷毀處理。7.8數據銷毀7.8.1數據內容銷毀數據內容銷毀應滿足以下要求：a)應在以下情形中進行數據銷毀：1)開發(fā)數據、測試數據、分析數據等使用需求執(zhí)行完畢的數據；2)超出法律法規(guī)規(guī)定或者約定的存儲期限的數據；b)進行數據銷毀時，應通過多次覆寫等方式（如全零、全一或隨機零一填寫7次）安全地擦除數據，多次覆寫填充的字符應完全覆蓋存儲數據區(qū)域，確保數據不可再被恢復或以其他形式被利用；c)在進行數據銷毀時，應同步對備份數據進行銷毀；d)應進行數據銷毀有效性復核和評估，驗證數據銷毀效果。7.8.2數據載體銷毀數據載體銷毀應滿足以下要求：a)應制定數據存儲載體銷毀操作規(guī)程，明確數據存儲載體的銷毀過程、銷毀措施等要b)應采取雙人制實施數據銷毀，分別作為執(zhí)行人和復核人，并對數據載體銷毀全過程進行記錄，并定期對數據載體銷毀記錄進行檢查和審計；c)對數據載體進行報廢處理時，應采用消磁、焚燒、粉碎等不可恢復的方式，以確保數據不能被恢復。8數據安全管理8.1數據安全管理制度數據安全管理制度要求包括：a)應依據國家與水利部要求，結合本組織實際，制定數據安全管理制度及實施細則，確保數據安全管理制度覆蓋全部數據處理活動，具體要求如下：1)應明確數據安全總體策略；2)應建立數據安全日常管理及操作流程，對數據處理活動各環(huán)節(jié)的數據保護工作提出具體要求；3)應建立數據提供方安全管理要求，確保數據來源合法合規(guī)，對數據的真實性、有效性進行管理；4)應建立數據接收方安全管理要求，確保數據接收方知悉并履行數據安全保護義務，并提供相應的數據安全保護能力；5)應建立數據出境安全控制要求與操作程序，確保符合國家相關要求；6)應建立數據處理活動各環(huán)節(jié)相關審核規(guī)程，宜采用電子化手段實現審核流程；7)應建立數據安全風險評估、內外部數據安全檢查與評估規(guī)程；8)應建立數據安全事件管理、處置規(guī)程和應急響應等機制，明確重大數據安全事件的處置流程及應對方法；b)應通過正式、有效的方式發(fā)布數據安全管理制度及實施細則，確保相關職能部門、崗位和人員知悉；c)應定期審核和更新數據安全管理制度及實施細則；d)在組織架構發(fā)生重大調整或業(yè)務發(fā)生重大變化時，應及時評估和修訂數據安全管理制度及實施細則。8.2數據安全工作機構數據安全工作機構應滿足以下要求：a)應明確數據安全工作機構和責任人，落實數據安全管理職責；b)數據安全工作機構和數據安全責任人應履行以下職責：1)研究提出數據安全相關重大決策建議；2)組織制定數據安全總體策略、管理制度、實施細則和數據安全事件應急預案，并督促落實；3)組織開展數據分類分級工作，建立重要數據目錄；4)組織開展數據安全風險監(jiān)測、風險評估、應急演練、宣傳教育培訓等活動，督促及時整改安全隱患；5)依法向水利部等有關部門報告數據安全保護和事件處置情況；6)組織受理和處置數據安全投訴、舉報；c)應設立數據安全管理和技術崗位，定義崗位職責，提供人員、設備等資源；d)應明確數據管理授權審批事項、審批流程、審批部門和審批人等；e)業(yè)務部門應設立數據安全崗位，作為本部門數據安全管理的執(zhí)行層，履行以下工作職責：1)根據數據安全相關策略、制度、細則等，落實本部門數據安全保護責任；2)經授權審批程序后，為獲得授權的各相關方分配數據權限；3)對本部門數據處理活動各環(huán)節(jié)的數據安全管控措施有效性進行確認；4)配合執(zhí)行數據安全風評評估及檢查檢測等相關工作；5)制定本部門數據安全應急預案，并定期開展數據安全應急演練；6)處置本部門有關數據安全事件；7)依據數據安全管理有關制度規(guī)范，記錄本部門數據處理活動日志。8.3數據安全人員管理8.3.1人員管理人員管理應滿足以下要求：a)應建立重要數據處理人員管理制度，對接觸重要數據的人員進行背景審查，并簽署安全責任協(xié)議；b)應對數據處理崗位和人員進行審批和登記，數據庫管理員、操作員及安全審計人員等崗位應設立專人專崗，并實行職責分離；c)應定期對重要數據處理人員進行評估和考核，依據評估、考核結果確定任職資格；d)外部人員確因業(yè)務需要需接觸重要數據的，應預先經過授權，未經授權不得訪問、留存、轉發(fā)重要數據，經授權后的敏感數據操作應在相關人員的監(jiān)督下執(zhí)行；e)在發(fā)生人員調離崗位時，應立即完成相關人員數據訪問、使用等權限的配置調整，若調整后的崗位不涉及數據處理的，應與其簽訂保密協(xié)議，明確其調離后在合理期限內繼續(xù)履行保密義務；f)數據處理崗位人員工作變動時，應立即終止并收回其對數據的處理權限，明確并告知其繼續(xù)履行有關保密義務，并簽訂保密協(xié)議。8.3.2人員教育培訓人員教育培訓應滿足以下要求：a)應制定年度數據安全計劃，包括數據安全相關崗位人員的安全專項培訓計劃以及面向全體員工的安全意識培訓計劃，培訓內容包括但不限于國家有關法律法規(guī)、行業(yè)規(guī)章制度、技術標準、技術實踐、安全意識等；b)應按照培訓計劃開展數據安全意識教育與培訓，并對培訓結果進行評價、記錄和歸檔；c)應根據實際情況及時調整或定期更新培訓計劃；9數據安全運營9.1數據資產管理數據資產管理應滿足以下要求：a)應定期開展數據資產識別和測繪，掌握數據源、數據類型、數據級別、責任人、數據量、訪問控制規(guī)則等信息；b)宜利用技術工具建立全網的數據資產臺賬和數據視圖，對重要數據應進行標記和跟蹤，構建和維護數據血緣關系；c)應建立數據的統(tǒng)一數據標簽體系，定期核實標簽是否生效；d)應對元數據定期開展脫敏、備份等工作；e)應嚴格按數據申請和權限等要求管理設備系統(tǒng)數據安全策略。9.2數據安全風險監(jiān)測數據安全風險監(jiān)測應滿足以下要求：a)應采用流量分析、態(tài)勢感知等技術措施對網絡和區(qū)域邊界流量、重要業(yè)務系統(tǒng)訪問記錄、數據庫連接等進行實時監(jiān)測，發(fā)現違規(guī)傳輸、非法訪問、流量異常等異常情況應及時告警；b)應建立數據處理活動的監(jiān)測規(guī)則和安全基線，能根據預定義閾值對異常數據處理活動進行發(fā)現、跟蹤和告警；c)宜構建統(tǒng)一的數據安全風險監(jiān)測平臺，集中匯集處理數據安全相關風險，實現資產全面發(fā)現、全場景風險監(jiān)測、數據流轉鏈路分析等安全能力；d)應配置專人進行數據安全風險監(jiān)測和審計日志分析處置；e)應制定和實施供應鏈安全管理制度，對供應鏈安全風險進行監(jiān)測。9.3數據安全威脅管理數據安全威脅管理應滿足以下要求：a)應對數據安全威脅根據不同的潛在影響級別開展分類別分級別管理；b)應對數據安全威脅和主管部門、行業(yè)單位等來源的數據安全情報進行協(xié)同分析；c)應定期匯總分析數據安全威脅情況，制定實施修復優(yōu)化措施；d)應定期上報數據安全威脅情況；9.4數據安全風險評估數據安全風險評估應滿足以下要求：a)應建立數據安全風險評估程序，定期或者在組織、組織環(huán)境及數據處理活動發(fā)生重大變化前實施數據安全風險評估，采取必要的措施對識別的風險進行控制；b)應每年對重要數據處理活動開展評估，并向行業(yè)主管部門報送風險評估報告，風險評估報告內容包括但不限于：1)重要數據處理者基本信息；2)本年度處理重要數據的目的、規(guī)模、方式、范圍、類型、存儲期限、存儲地點等，不包括重要數據內容本身；3)數據安全管理制度及實施情況，重要數據備份、脫敏、加密、訪問控制、審計等安全保護措施及有效性；4)數據委托處理、數據提供和共享、數據出境等風險評估情況；5)發(fā)現的重要數據安全風險，發(fā)生的重要數據安全事件及處置情況；6)對已識別出的數據安全風險的控制措施；c)風險評估報告和風險處理情況記錄應保存3年以上。9.5數據安全應急響應與事件處置9.5.1應急響應數據安全應急響應應滿足以下要求：a)應制定數據安全應急預案，包括應急組織機構與