《隱私計(jì)算 脫敏效果評(píng)估技術(shù)要求（征求意見稿）》編制說明

在當(dāng)今信息時(shí)代，個(gè)人數(shù)據(jù)的保護(hù)已成為社會(huì)各界的關(guān)注焦點(diǎn)。隨著數(shù)據(jù)的大規(guī)模采集和共享，數(shù)據(jù)脫敏技術(shù)應(yīng)運(yùn)而生，旨在保護(hù)個(gè)人隱私信息免受未經(jīng)授權(quán)的訪問。然而，脫敏過程中可能會(huì)引入一些問題，如數(shù)據(jù)失真、信息丟失等，因此有必要對(duì)脫敏效果進(jìn)行評(píng)估，以確保數(shù)據(jù)發(fā)布時(shí)的質(zhì)量和安全性。制定脫敏效果評(píng)估標(biāo)準(zhǔn)的目的在于為數(shù)據(jù)脫敏領(lǐng)域提供一個(gè)統(tǒng)一的評(píng)估框架和指南，以確保脫敏技術(shù)的有效性和數(shù)據(jù)安全性，促進(jìn)數(shù)據(jù)隱私保護(hù)的規(guī)范化和標(biāo)準(zhǔn)化。這一標(biāo)準(zhǔn)的制定具有重要的意義，主要體現(xiàn)在以下幾個(gè)方面：1.規(guī)范脫敏效果評(píng)估流程。隨著數(shù)據(jù)脫敏技術(shù)的不斷發(fā)展和應(yīng)用，各種脫敏方法和工具層出不窮。然而，由于缺乏統(tǒng)一的評(píng)估標(biāo)準(zhǔn)，脫敏效果評(píng)估的流程和方法往往存在差異，導(dǎo)致評(píng)估結(jié)果的不一致和不可比性。制定脫敏效果評(píng)估標(biāo)準(zhǔn)有助于規(guī)范評(píng)估流程，明確評(píng)估指標(biāo)和標(biāo)準(zhǔn)，提高評(píng)估的準(zhǔn)確性和可比性，從而保障脫敏過程的規(guī)范化和標(biāo)準(zhǔn)化。2.保障脫敏效果的質(zhì)量和可信度。脫敏效果評(píng)估標(biāo)準(zhǔn)的制定可以幫助組織和個(gè)人確保脫敏效果的質(zhì)量和可信度。通過統(tǒng)一的評(píng)估框架和指南，可以規(guī)范評(píng)估過程中的操作步驟和方法，降低評(píng)估結(jié)果的主觀性和誤差，從而提高脫敏效果評(píng)估的準(zhǔn)確性和可信度。3.促進(jìn)脫敏技術(shù)的創(chuàng)新和應(yīng)用。制定脫敏效果評(píng)估標(biāo)準(zhǔn)有助于促進(jìn)脫敏技術(shù)的創(chuàng)新和應(yīng)用。通過明確的評(píng)估要求和指標(biāo)，可以激發(fā)技術(shù)研究和創(chuàng)新，推動(dòng)脫敏技術(shù)的不斷進(jìn)步和提升。同時(shí)，標(biāo)準(zhǔn)的制定也為脫敏技術(shù)的應(yīng)用提供了指導(dǎo)和參考，有助于組織更加有效地應(yīng)用脫敏技術(shù)保護(hù)數(shù)據(jù)隱私。4.保障個(gè)人隱私權(quán)益。隱私保護(hù)是現(xiàn)代社會(huì)的重要課題，而數(shù)據(jù)脫敏是保護(hù)個(gè)人隱私的重要手段之一。制定脫敏效果評(píng)估標(biāo)準(zhǔn)的目的之一就是為了保障個(gè)人隱私權(quán)益。通過確保脫敏效果的評(píng)估合規(guī)和有效，可以有效保護(hù)個(gè)人隱私信息，防止其被未經(jīng)授權(quán)的訪問和使用，維護(hù)個(gè)人隱私權(quán)益不受侵5.促進(jìn)國際合作和信息共享。脫敏效果評(píng)估標(biāo)準(zhǔn)的制定有助于促進(jìn)國際合作和信息共享。隨著全球數(shù)據(jù)交流和共享的增加，各國之間需要建立統(tǒng)一的評(píng)估標(biāo)準(zhǔn)和規(guī)范，以確保數(shù)據(jù)隱私的有效保護(hù)和安全傳輸。通過制定脫敏效果評(píng)估標(biāo)準(zhǔn)，可以為國際間的合作和交流提供統(tǒng)一的框架和指南，促進(jìn)信息安全和隱私保護(hù)的全球合作。二、任務(wù)來源在國際上，一些國際標(biāo)準(zhǔn)組織和技術(shù)機(jī)構(gòu)已經(jīng)開始制定和發(fā)布脫敏效果評(píng)估的相關(guān)標(biāo)準(zhǔn)和指南。例如，ISO/IEC29100《信息技術(shù)--安全技術(shù)--信息安全管理系統(tǒng)--要求》和ISO/IEC27001《信息技術(shù)--安全技術(shù)--信息安全管理體系》等標(biāo)準(zhǔn)，提供了信息安全管理體系的要求和指南，其中包括了數(shù)據(jù)隱私保護(hù)和脫敏效果評(píng)估的相關(guān)內(nèi)容。此外，NIST（美國國家標(biāo)準(zhǔn)技術(shù)研究所）也發(fā)布了一些關(guān)于個(gè)人身份信息（PII）保護(hù)的指南，其中包括了對(duì)脫敏效果評(píng)估的相關(guān)內(nèi)容。在國內(nèi)，一些行業(yè)組織和標(biāo)準(zhǔn)化機(jī)構(gòu)也開始關(guān)注脫敏效果評(píng)估的標(biāo)準(zhǔn)制定和實(shí)踐。例如，中國國家標(biāo)準(zhǔn)化管理委員35273-2017）標(biāo)準(zhǔn)，規(guī)定了數(shù)據(jù)脫敏技術(shù)的要求，其中包括了脫敏效果評(píng)估的相關(guān)內(nèi)容。此外，一些行業(yè)協(xié)會(huì)和研究機(jī)構(gòu)也開始開展脫敏效果評(píng)估的實(shí)踐和研究工作，探索脫敏效果評(píng)估的方法和技術(shù)。目前，盡管在脫敏效果評(píng)估標(biāo)準(zhǔn)的制定和實(shí)踐方面取得了一定的進(jìn)展，但仍存在一些問題和挑戰(zhàn)。首先，脫敏效果評(píng)估的標(biāo)準(zhǔn)和方法仍不夠統(tǒng)一和完善，存在一定的差異性和不確定性，影響了評(píng)估結(jié)果的可比性和準(zhǔn)確性。其次，脫敏效果評(píng)估技術(shù)和工具尚未得到充分的發(fā)展和應(yīng)用，評(píng)估過程中存在一定的主觀性和誤差，需要進(jìn)一步完善和改進(jìn)。此外，脫敏效果評(píng)估的實(shí)踐經(jīng)驗(yàn)和案例較少，需要更多的實(shí)踐探索和經(jīng)驗(yàn)總結(jié)，以提高評(píng)估的有效性和可信度。三、編制過程1)2023年4月5日，規(guī)范研制正式啟動(dòng)會(huì)。標(biāo)準(zhǔn)牽頭單位對(duì)前期的研究工作進(jìn)行了匯報(bào)。確定了標(biāo)準(zhǔn)的研究思路和分工。了多次標(biāo)準(zhǔn)工作組內(nèi)部討論，并針對(duì)標(biāo)準(zhǔn)大體框架與內(nèi)容方向進(jìn)行了修改與調(diào)整，形成第一版標(biāo)準(zhǔn)草案。4)2023年7月1日，召開立項(xiàng)評(píng)審會(huì)，邀請(qǐng)專家對(duì)草案給出建議。了多次標(biāo)準(zhǔn)工作組內(nèi)部討論，針對(duì)標(biāo)準(zhǔn)內(nèi)容進(jìn)行了細(xì)節(jié)的修改與調(diào)整。6)2023年11月6日，形成第了標(biāo)準(zhǔn)草案的內(nèi)部閉門研討會(huì)。8）2024年6月28日，召開專家評(píng)審會(huì)，邀請(qǐng)專家對(duì)修改后的版本進(jìn)行評(píng)審。9）2024年8月，形成征求意見稿。四、主要內(nèi)容技術(shù)指標(biāo)確立本標(biāo)準(zhǔn)描述了脫敏效果評(píng)估的技術(shù)要求，包括概述、脫敏效果評(píng)估通用技術(shù)要求及脫敏效果評(píng)估的評(píng)估報(bào)告要求。詳情如下：1、概述：脫敏效果評(píng)估技術(shù)要求的概括性描述，其中包括脫敏效果評(píng)估的目標(biāo)、脫敏效果評(píng)估的基本原則及脫敏效果評(píng)估的使用。2、脫敏效果評(píng)估通用技術(shù)要求：用以評(píng)估脫敏效果的通用技術(shù)要求，包括脫敏效果評(píng)估指標(biāo)體系、單次脫敏效果評(píng)估的技術(shù)要求、基于數(shù)據(jù)挖掘的脫敏效果評(píng)估的技術(shù)要求及脫敏系統(tǒng)效果評(píng)估的技術(shù)要求四個(gè)部分。3、脫敏效果評(píng)估的評(píng)估報(bào)告要求：評(píng)估報(bào)告可以更好地幫助當(dāng)前信息擁有者、主管監(jiān)管部門、第三方評(píng)估機(jī)構(gòu)等組織對(duì)敏感信息脫敏處理活動(dòng)的把控，能夠更加直觀地展示脫敏效果評(píng)估的結(jié)果。評(píng)估報(bào)告的內(nèi)容由形成評(píng)估報(bào)告的目的、評(píng)估報(bào)告的組成內(nèi)容、評(píng)估項(xiàng)目概述組成內(nèi)容、被評(píng)估對(duì)象描述組成內(nèi)容、單項(xiàng)評(píng)估結(jié)果分析組成內(nèi)容、整體評(píng)估組成內(nèi)容、等級(jí)評(píng)估結(jié)論七個(gè)部分組成。本標(biāo)準(zhǔn)適用于規(guī)范各類組織的隱私信息脫敏處理活動(dòng)，也適用于主管監(jiān)管部門、第三方評(píng)估機(jī)構(gòu)等組織對(duì)隱私信息脫敏處理活動(dòng)進(jìn)行監(jiān)督、管理和評(píng)估。本標(biāo)準(zhǔn)牽頭單位為西安電子科技大學(xué)，參加單位包括中國科學(xué)院信息工程研究所、中國電信股份有限公司、中國網(wǎng)絡(luò)安全審查認(rèn)證和市場監(jiān)管大數(shù)據(jù)中心、四川昊華銳恒科技有限公司、成都西電網(wǎng)絡(luò)安全研究院、國網(wǎng)上海研究院、北京市計(jì)算中心有限公司、普華永道商務(wù)咨詢(上海)有限公司五、與相關(guān)法律法規(guī)和國家標(biāo)準(zhǔn)的關(guān)系本標(biāo)準(zhǔn)的總體結(jié)構(gòu)和編寫方法按照GB/T1.1-2020《標(biāo)準(zhǔn)化工作導(dǎo)則第一部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定執(zhí)行。本標(biāo)準(zhǔn)參考的相關(guān)法律、法規(guī)和GB/T25069-2022信息安全技術(shù)術(shù)語GB/T35273-2020信息安全技術(shù)個(gè)人信息安全規(guī)范GB/T37964-2019信息安全技術(shù)個(gè)人信息去標(biāo)識(shí)化指南GB/T37988-2019信息安全技術(shù)數(shù)據(jù)安全能力成熟度T/CESAXXXX-2024隱私計(jì)算脫敏控制技術(shù)