信息安全技術 個人信息安全第1部分：要求

1信息安全技術個人信息安全第1部分:要求DB21/TXXXX信息安全技術個人信息安全術語4縮略語PISMS：個人信息安全管理體系（PersonalInformationSecurityManagementSy依據(jù)DB21/TXXXX，個人應是自然人群體中的單個個體，具有多義性、多指性。個b)有關身體障礙、精神障礙、犯罪史及相關可能造成社會歧視的事項；d)有關健康、醫(yī)療及性生活的相關事項；2e)其它涉及個人信息主體私密的隱私信息5.3個人信息敏感性a)個人身份信息：身份證、護照、駕駛證信息等；c)個人財產(chǎn)信息：銀行賬號、身份鑒別信息、征信信息、社?？ā⒔灰仔畔?、虛擬交易等；d)個人通訊信息：手機號、郵箱信息依據(jù)DB21/TXXXX，個人信息主體應是自然人群體中特定的個體，是個人具別的特定的自然人，具有主體唯一性，且個人信息主體權益也5.6個人信息管理5.7個人信息資源息主體應有的權力。這些權利包括知情權、6.2知情權a)個人信息主體應有權知悉個人信息數(shù)據(jù)庫中與自己相關的信息；3c)個人信息主體應有權查詢個人信息收集、處理、使用、利用及管理情況；d)個人信息主體應有權知悉個人信息生命周期內(nèi)個人信息管理6.3支配權）；6.4質(zhì)疑權b)個人信息主體應有權質(zhì)疑或反對個人信息收集、處理、使c)個人信息主體應有權質(zhì)疑或反對與之相關的個人信息管理目的、過程等；e)在個人信息生命周期內(nèi)，個人信息主體應有7.2約束規(guī)則b)個人信息管理者應為個人信息主體提供個人信息生命周期內(nèi)的服務管理；c)個人信息管理者應明確管理職責，承擔相應的責任和義務；7.3角色制等，但均應遵循本章確立的規(guī)則，保障個人信息主體7,4服務管理個人信息管理應是個人信息管理者為個人信息主體提供服務的過程。個人信息管理者應滿足：4a)個人信息管理者應具有各類資源的轉(zhuǎn)換能力和相應的管理職能，以保證個人信息管理的有效b)個人信息管理者應建立有效的內(nèi)部管理機制并形成管理體系，以保證個人信息管理質(zhì)量的可7.5責任和義務個人信息管理者應將收集個人信息的目的和方式、不提供個人信息的后果、第5章確立的個人信息個人信息管理者應對所管理的個人信息予以保密，并對個人信息管理過程中的安全負責。過程的符合個人信息相關法規(guī)、標準的管理，組織個人信息管8.2相關機構及職責b)PISMS建立、實施、運行；c)明確個人信息管理相關責任主體和人員職責、責任；5在個人信息管理者內(nèi)部選聘，或聘請社會人士擔任。其職責應包10.1目的10.2原則收集個人信息應有明確的目的，不應超目的范在管理活動或行為中應保證個人信息的準確性、完整性和最新狀610.3方針a)個人信息主體的權利；10.4計劃a)個人信息收集目的、策略；b)個人信息管理措施、策略；c)個人信息管理和各類相關資源的組織、協(xié)調(diào)、轉(zhuǎn)換和溝通；10.5管理機制每個工作人員完全理解并遵照執(zhí)行?；疽?guī)章應包括個人信息安全管理體系構成要素和個人信息生命周期各個環(huán)節(jié)的管理規(guī)則，并應在實施過程中不斷改進和7個人信息管理者應在其內(nèi)部向全體工作人員及其它相關人員說明個人信息管理的重要性和相關管理策略，以得到工作人員及其它相關人員對個人信息管理工作的配類、紙質(zhì)等材料）中增加個人信息管理的相b)個人信息管理的重要性和必要性；8f)違反個人信息安全相關標準可能引起的損害和后果；b)公示的目的、方式、范圍和內(nèi)容；個人信息管理代表應根據(jù)管理計劃適時評估PISMS的效能和個人信息管理效果，檢查、修正個人信在個人信息管理活動或行為中，應注意個人信息主體與個人信息管理者、個人信息管理者各部門（從屬機構）與PISMS、PISMS內(nèi)、PISMS與相關資源2)包括提供、委托、交換等不同的利用過c)基于生命周期的過程管理：在個人信息生命周期內(nèi)，采用PD912.2限制12.3類別b)個人信息收集、處理、使用的目的、方法；12.4保存?zhèn)€人信息，并應建立相應的規(guī)范、統(tǒng)一的個人信息數(shù)據(jù)庫管理意識，采取必要的安全措施，防止不正當收集個人信息，避13.2使用a)應以各種方式征得個人信息主體同意；或為履行與個人信息主體達成的合法協(xié)議的需要；13.3提供采取適當、合法、有效的方法和手段獲得的，并不與收集目的相個人信息管理者合法擁有的個人信息，在向第三方提供（包括跨境提供）時，應履行第7章規(guī)定的個人信息管理者的責任和義務，保障個人信息主體的合法第三方（包括境外）接受個人信息管理者提供的個人信息13.4委托a)個人信息管理者委托第三方收集個人信息；c)第三方（包括境外）委托個人信息處理業(yè)務或接受個人信息處理委托業(yè)務等。涉及個人信息委托業(yè)務時，應選擇已建立PISMS（涉及境外時，境外相關機構應已建立嚴格的個人d)保護個人信息的安全措施和安全承g)個人信息相關事故的責任認定和報告；13.5開發(fā)b)個人信息深度開發(fā)等。a)遵守國家相關法規(guī)、標準；c)本文件規(guī)定的個人信息管理者的責任d)征得個人信息主體同意，并保障個人信息主體權益；e)限定在個人信息主體同意的范圍內(nèi)，避免隨意泄漏、傳播和擴散等。b)個人信息開發(fā)的目的、方式、方法和范圍；13.6交易b)基于某種利益關系的個人信息銷售等。b)應通知個人信息主體并征得個人信息主體同意；c)應限定在個人信息主體同意的范圍內(nèi)，避免隨意泄漏、傳播和擴散；d)交易雙方均應履行本文件規(guī)定的個人信息管理原則；e)交易雙方均應履行本文件規(guī)定的個人信息管理者的責任、義務；個人信息管理者交易個人信息，應以各種形式通知個人信息主體。通知內(nèi)容應包括：a)個人信息管理者相關信息；b)個人信息來源的合法性、有效性；d)個人信息交易的目的、方式、方法和范13.7后處理a)根據(jù)個人信息主體意見、合同約定方式等采取的安全處理措施；c)根據(jù)個人信息主體意見、合同約定方式、個人信息管理者需求等假名化處理；d)根據(jù)個人信息主體意見、合同約定方式、個人a)如需繼續(xù)保存、使用、返還，應保證個人信息的準確性、完整性和最新狀態(tài)；c)如需個人信息匿名化，應考慮個人信息碎片化后的細粒度，及可復原程度等。過程管理是個人信息生命周期內(nèi)體系化管理的重要一環(huán)。應采用PDCA過程模式監(jiān)督、跟蹤、管控PISMS，保證個人信息管理質(zhì)量，保障個人信息安全和個人信息主體權益。a)審核個人信息管理相關活動和行為、PISMS、PISMS實施和運行過程；14.3過程改進服務咨詢責任主體應接受個人信息主體、各類組織和人員提出的個人信息管理活動、PISMS的相關過程模式，定期評估、分析PISMS運行狀況，并持續(xù)改b)制定預防和改進措施；14,4應急管理b)事故的處理流程；15.1風險管理15.2物理環(huán)境管理15.3工作環(huán)境管理）；15.4網(wǎng)絡行為管理15.6個人信息數(shù)據(jù)庫安全個人信息管理者應履行本文件規(guī)定的個人信息管理者的責任和義務，建立個人信息數(shù)據(jù)庫管理機a)個人信息數(shù)據(jù)庫管理和使用制度；應根據(jù)個人信息自動和非自動處理的特點，制定相應的個人信息數(shù)據(jù)庫管理策略，包括訪問/調(diào)用15.7移動設備安全15.8個人安全用個人信息，以保護個人信息主體權益。這些情a)各種網(wǎng)絡環(huán)境下與個人信息相關的各種行為、活動；b)各種工作環(huán)境下與個人信息相關的各種行為、活動；c)各種生活環(huán)境下與個人信息相關的各種行為、活動；16.1收集例外a)應合理、合法、適度、目的明確，并經(jīng)個人信息主體確認同意；16.2