信息安全技術(shù) 大數(shù)據(jù)服務(wù)安全能力要求-編制說明

前言 IV引言 V1范圍 12規(guī)范性引用文件 13術(shù)語、定義和縮略語 13.1術(shù)語和定義 13.2縮略語 34大數(shù)據(jù)服務(wù)安全 34.1大數(shù)據(jù)服務(wù)安全目標(biāo) 34.1.1概念安全目標(biāo) 34.1.2業(yè)務(wù)安全目標(biāo) 44.2大數(shù)據(jù)服務(wù)安全能力 54.3本標(biāo)準(zhǔn)結(jié)構(gòu) 65基礎(chǔ)安全要求 65.1策略與規(guī)程 65.2資產(chǎn)安全 75.2.1數(shù)據(jù)資產(chǎn) 75.2.2系統(tǒng)資產(chǎn) 75.3組織和人員 75.3.1組織結(jié)構(gòu) 75.3.2人員管理 85.3.3角色管理 85.3.4人員培訓(xùn) 95.4制度和流程 95.5數(shù)據(jù)供應(yīng)鏈 95.6元數(shù)據(jù)管理 95.7合規(guī)性管理 105.7.1數(shù)據(jù)跨境傳輸 105.7.2個人信息保護(hù) 105.7.3重要數(shù)據(jù)保護(hù) 115.7.4密碼支持 116數(shù)據(jù)生命周期安全要求 126.1數(shù)據(jù)收集 126.1.1收集原則 126.1.2數(shù)據(jù)分類 126.1.3數(shù)據(jù)采集 126.1.4數(shù)據(jù)清洗與轉(zhuǎn)換 136.1.5數(shù)據(jù)加載 136.1.6質(zhì)量監(jiān)控 136.2數(shù)據(jù)傳輸 146.3數(shù)據(jù)存儲 146.3.1數(shù)據(jù)存儲架構(gòu)安全 146.3.2數(shù)據(jù)邏輯存儲安全 146.3.3數(shù)據(jù)存儲訪問控制 156.3.4數(shù)據(jù)副本安全管理 156.3.5數(shù)據(jù)時效性管理 166.4數(shù)據(jù)處理 166.4.1分布處理安全 166.4.2數(shù)據(jù)分析安全 166.4.3數(shù)據(jù)正當(dāng)使用 176.4.4數(shù)據(jù)加密處理 176.4.5數(shù)據(jù)處理溯源 176.4.6數(shù)據(jù)歸檔處理 186.4.7終端數(shù)據(jù)安全 186.4.8安全處理監(jiān)控 186.5數(shù)據(jù)共享 196.5.1數(shù)據(jù)脫敏 196.5.2數(shù)據(jù)導(dǎo)入安全 196.5.3數(shù)據(jù)導(dǎo)出安全 206.5.4數(shù)據(jù)共享安全 206.5.5數(shù)據(jù)遷移安全 216.5.6數(shù)據(jù)披露安全 216.5.7隱私與合規(guī)要求 226.5.8操作監(jiān)控 226.6數(shù)據(jù)銷毀 226.6.1數(shù)據(jù)銷毀處置 226.6.2介質(zhì)銷毀處置 237平臺與應(yīng)用安全要求 237.1安全規(guī)劃 237.1.1戰(zhàn)略規(guī)劃 227.1.2需求分析 247.1.3方案評估 247.2開發(fā)部署 247.2.1安全架構(gòu) 247.2.2功能規(guī)范 257.2.3開發(fā)與交付 257.2.4安全部署 267.2.5邊界防護(hù) 267.2.6服務(wù)接口 267.2.7文檔管理 277.3應(yīng)用安全 277.3.1應(yīng)用程序管理 277.3.2缺省配置安全 287.3.3身份憑證存儲 287.3.4身份標(biāo)識與鑒別 297.3.5平臺資源獲取 297.3.6授權(quán)與訪問控制 307.3.7多租戶數(shù)據(jù)安全 307.3.8敏感數(shù)據(jù)處理 317.3.9數(shù)據(jù)導(dǎo)入導(dǎo)出 317.3.10用戶隱私保護(hù) 327.3.11應(yīng)用行為監(jiān)測 327.4安全運維 337.4.1系統(tǒng)配置管理 337.4.2系統(tǒng)補丁管理 337.4.3IT供應(yīng)鏈安全 347.4.4外部組件使用 347.4.5安全事件管理 347.4.6安全風(fēng)險評估 357.4.7系統(tǒng)備份與容災(zāi) 357.4.8系統(tǒng)應(yīng)急響應(yīng) 367.4.9業(yè)務(wù)連續(xù)性計劃 367.4.10密鑰管理與服務(wù) 377.4.11服務(wù)水平協(xié)議 377.4.12介質(zhì)訪問和使用 387.5安全審計 387.5.1審計策略管理 387.5.2審計數(shù)據(jù)產(chǎn)生 397.5.3審計數(shù)據(jù)保護(hù) 397.5.4審計分析報告 39附錄A（資料性附錄）大數(shù)據(jù)服務(wù)模式與角色 41參考文獻(xiàn) 45六、與相關(guān)法律法規(guī)及國家有關(guān)規(guī)定、國內(nèi)相關(guān)標(biāo)準(zhǔn)的關(guān)系本標(biāo)準(zhǔn)規(guī)范了大數(shù)據(jù)服務(wù)提供商在基礎(chǔ)安全能力、數(shù)據(jù)生命周期安全管理能力和應(yīng)用與平臺服務(wù)安全能力方面的要求。本標(biāo)準(zhǔn)為評估大數(shù)據(jù)服務(wù)提供商的安全能力提供了依據(jù)，對于提升我國大數(shù)據(jù)服務(wù)提供商的數(shù)據(jù)安全和系統(tǒng)保護(hù)能力具有十分重要的參考意義。本標(biāo)準(zhǔn)與正在制定的《信息安全技術(shù)大數(shù)據(jù)安全管理指南》以及已經(jīng)發(fā)布的GB/T31168《信息安全技術(shù)云計算服務(wù)安全能力要求》一起，旨在推動大數(shù)據(jù)服務(wù)安全保障體系的建立。重大分歧意見的處理經(jīng)過和依據(jù)詳見標(biāo)準(zhǔn)意見匯總處理表。國家標(biāo)準(zhǔn)作為強(qiáng)制性國家標(biāo)準(zhǔn)或推薦性國家標(biāo)準(zhǔn)的建議建議本標(biāo)準(zhǔn)作為推薦性國家標(biāo)準(zhǔn)發(fā)布實施。貫徹國家標(biāo)準(zhǔn)的要求和措施建議（包括組織措施、技術(shù)措施、過渡辦法等內(nèi)容）本標(biāo)準(zhǔn)主要用于對大數(shù)據(jù)服務(wù)提供商的安全能力進(jìn)行規(guī)范，有助于提升我國大數(shù)據(jù)服務(wù)提供商的數(shù)據(jù)安全管理和系統(tǒng)安全運維能力，同時也有利于為我國大數(shù)據(jù)安全審查提供支撐。其他事項說明本標(biāo)準(zhǔn)不涉及專利。國家標(biāo)準(zhǔn)《信息安全技術(shù)大數(shù)據(jù)服務(wù)安全能