《隱私計算 脫敏效果評估技術(shù)要求（征求意見稿）》編制說明

在當今信息時代，個人數(shù)據(jù)的保護已成為社會各界的關(guān)注焦點。隨著數(shù)據(jù)的大規(guī)模采集和共享，數(shù)據(jù)脫敏技術(shù)應(yīng)運而生，旨在保護個人隱私信息免受未經(jīng)授權(quán)的訪問。然而，脫敏過程中可能會引入一些問題，如數(shù)據(jù)失真、信息丟失等，因此有必要對脫敏效果進行評估，以確保數(shù)據(jù)發(fā)布時的質(zhì)量和安全性。制定脫敏效果評估標準的目的在于為數(shù)據(jù)脫敏領(lǐng)域提供一個統(tǒng)一的評估框架和指南，以確保脫敏技術(shù)的有效性和數(shù)據(jù)安全性，促進數(shù)據(jù)隱私保護的規(guī)范化和標準化。這一標準的制定具有重要的意義，主要體現(xiàn)在以下幾個方面：1.規(guī)范脫敏效果評估流程。隨著數(shù)據(jù)脫敏技術(shù)的不斷發(fā)展和應(yīng)用，各種脫敏方法和工具層出不窮。然而，由于缺乏統(tǒng)一的評估標準，脫敏效果評估的流程和方法往往存在差異，導(dǎo)致評估結(jié)果的不一致和不可比性。制定脫敏效果評估標準有助于規(guī)范評估流程，明確評估指標和標準，提高評估的準確性和可比性，從而保障脫敏過程的規(guī)范化和標準化。2.保障脫敏效果的質(zhì)量和可信度。脫敏效果評估標準的制定可以幫助組織和個人確保脫敏效果的質(zhì)量和可信度。通過統(tǒng)一的評估框架和指南，可以規(guī)范評估過程中的操作步驟和方法，降低評估結(jié)果的主觀性和誤差，從而提高脫敏效果評估的準確性和可信度。3.促進脫敏技術(shù)的創(chuàng)新和應(yīng)用。制定脫敏效果評估標準有助于促進脫敏技術(shù)的創(chuàng)新和應(yīng)用。通過明確的評估要求和指標，可以激發(fā)技術(shù)研究和創(chuàng)新，推動脫敏技術(shù)的不斷進步和提升。同時，標準的制定也為脫敏技術(shù)的應(yīng)用提供了指導(dǎo)和參考，有助于組織更加有效地應(yīng)用脫敏技術(shù)保護數(shù)據(jù)隱私。4.保障個人隱私權(quán)益。隱私保護是現(xiàn)代社會的重要課題，而數(shù)據(jù)脫敏是保護個人隱私的重要手段之一。制定脫敏效果評估標準的目的之一就是為了保障個人隱私權(quán)益。通過確保脫敏效果的評估合規(guī)和有效，可以有效保護個人隱私信息，防止其被未經(jīng)授權(quán)的訪問和使用，維護個人隱私權(quán)益不受侵5.促進國際合作和信息共享。脫敏效果評估標準的制定有助于促進國際合作和信息共享。隨著全球數(shù)據(jù)交流和共享的增加，各國之間需要建立統(tǒng)一的評估標準和規(guī)范，以確保數(shù)據(jù)隱私的有效保護和安全傳輸。通過制定脫敏效果評估標準，可以為國際間的合作和交流提供統(tǒng)一的框架和指南，促進信息安全和隱私保護的全球合作。二、任務(wù)來源在國際上，一些國際標準組織和技術(shù)機構(gòu)已經(jīng)開始制定和發(fā)布脫敏效果評估的相關(guān)標準和指南。例如，ISO/IEC29100《信息技術(shù)--安全技術(shù)--信息安全管理系統(tǒng)--要求》和ISO/IEC27001《信息技術(shù)--安全技術(shù)--信息安全管理體系》等標準，提供了信息安全管理體系的要求和指南，其中包括了數(shù)據(jù)隱私保護和脫敏效果評估的相關(guān)內(nèi)容。此外，NIST（美國國家標準技術(shù)研究所）也發(fā)布了一些關(guān)于個人身份信息（PII）保護的指南，其中包括了對脫敏效果評估的相關(guān)內(nèi)容。在國內(nèi)，一些行業(yè)組織和標準化機構(gòu)也開始關(guān)注脫敏效果評估的標準制定和實踐。例如，中國國家標準化管理委員35273-2017）標準，規(guī)定了數(shù)據(jù)脫敏技術(shù)的要求，其中包括了脫敏效果評估的相關(guān)內(nèi)容。此外，一些行業(yè)協(xié)會和研究機構(gòu)也開始開展脫敏效果評估的實踐和研究工作，探索脫敏效果評估的方法和技術(shù)。目前，盡管在脫敏效果評估標準的制定和實踐方面取得了一定的進展，但仍存在一些問題和挑戰(zhàn)。首先，脫敏效果評估的標準和方法仍不夠統(tǒng)一和完善，存在一定的差異性和不確定性，影響了評估結(jié)果的可比性和準確性。其次，脫敏效果評估技術(shù)和工具尚未得到充分的發(fā)展和應(yīng)用，評估過程中存在一定的主觀性和誤差，需要進一步完善和改進。此外，脫敏效果評估的實踐經(jīng)驗和案例較少，需要更多的實踐探索和經(jīng)驗總結(jié)，以提高評估的有效性和可信度。三、編制過程1)2023年4月5日，規(guī)范研制正式啟動會。標準牽頭單位對前期的研究工作進行了匯報。確定了標準的研究思路和分工。了多次標準工作組內(nèi)部討論，并針對標準大體框架與內(nèi)容方向進行了修改與調(diào)整，形成第一版標準草案。4)2023年7月1日，召開立項評審會，邀請專家對草案給出建議。了多次標準工作組內(nèi)部討論，針對標準內(nèi)容進行了細節(jié)的修改與調(diào)整。6)2023年11月6日，形成第了標準草案的內(nèi)部閉門研討會。8）2024年6月28日，召開專家評審會，邀請專家對修改后的版本進行評審。9）2024年8月，形成征求意見稿。四、主要內(nèi)容技術(shù)指標確立本標準描述了脫敏效果評估的技術(shù)要求，包括概述、脫敏效果評估通用技術(shù)要求及脫敏效果評估的評估報告要求。詳情如下：1、概述：脫敏效果評估技術(shù)要求的概括性描述，其中包括脫敏效果評估的目標、脫敏效果評估的基本原則及脫敏效果評估的使用。2、脫敏效果評估通用技術(shù)要求：用以評估脫敏效果的通用技術(shù)要求，包括脫敏效果評估指標體系、單次脫敏效果評估的技術(shù)要求、基于數(shù)據(jù)挖掘的脫敏效果評估的技術(shù)要求及脫敏系統(tǒng)效果評估的技術(shù)要求四個部分。3、脫敏效果評估的評估報告要求：評估報告可以更好地幫助當前信息擁有者、主管監(jiān)管部門、第三方評估機構(gòu)等組織對敏感信息脫敏處理活動的把控，能夠更加直觀地展示脫敏效果評估的結(jié)果。評估報告的內(nèi)容由形成評估報告的目的、評估報告的組成內(nèi)容、評估項目概述組成內(nèi)容、被評估對象描述組成內(nèi)容、單項評估結(jié)果分析組成內(nèi)容、整體評估組成內(nèi)容、等級評估結(jié)論七個部分組成。本標準適用于規(guī)范各類組織的隱私信息脫敏處理活動，也適用于主管監(jiān)管部門、第三方評估機構(gòu)等組織對隱私信息脫敏處理活動進行監(jiān)督、管理和評估。本標準牽頭單位為西安電子科技大學，參加單位包括中國科學院信息工程研究所、中國電信股份有限公司、中國網(wǎng)絡(luò)安全審查認證和市場監(jiān)管大數(shù)據(jù)中心、四川昊華銳恒科技有限公司、成都西電網(wǎng)絡(luò)安全研究院、國網(wǎng)上海研究院、北京市計算中心有限公司、普華永道商務(wù)咨詢(上海)有限公司五、與相關(guān)法律法規(guī)和國家標準的關(guān)系本標準的總體結(jié)構(gòu)和編寫方法按照GB/T1.1-2020《標準化工作導(dǎo)則第一部分：標準化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定執(zhí)行。本標準參考的相關(guān)法律、法規(guī)和GB/T25069-2022信息安全技術(shù)術(shù)語GB/T35273-2020信息安全技術(shù)個人信息安全規(guī)范GB/T37964-2019信息安全技術(shù)個人信息去標識化指南GB/T37988-2019信息安全技術(shù)數(shù)據(jù)安全能力成熟度T/CESAXXXX-2024隱私計算脫敏控制技術(shù)