TTAF 238.5-2024 未成年人個(gè)人信息網(wǎng)絡(luò)保護(hù)要求 第5部分：應(yīng)急響應(yīng)保障

電信終端產(chǎn)業(yè)協(xié)會(huì)發(fā)布I II III 1 1 1 2 2 2 3 3 4 4 6本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定本文件是T/TAF238《未成年人個(gè)人信息網(wǎng)絡(luò)保護(hù)要求》的第5部分。T/TAF里科技有限公司、鄭州信大捷安信息技術(shù)股份有限公司潔、潘萬鵬、郭建領(lǐng)、任資政、劉俊、曹昉赫、劉T/TAF《未成年人個(gè)人信息網(wǎng)絡(luò)保護(hù)要求》系列標(biāo)準(zhǔn)旨在落實(shí)法律法規(guī)要求，指導(dǎo)行業(yè)——第2部分：最小必要。目的在于規(guī)范網(wǎng)絡(luò)產(chǎn)品和服務(wù)提供者處理未成年人網(wǎng)絡(luò)活動(dòng)時(shí)的原則要——第3部分：個(gè)人權(quán)利響應(yīng)。目的在于規(guī)范個(gè)人信息處理者響應(yīng)用戶個(gè)人權(quán)利的要求，包括用戶——第4部分：合規(guī)審計(jì)。目的在于規(guī)范未成年人個(gè)人信息網(wǎng)絡(luò)保護(hù)合規(guī)審計(jì)規(guī)范，主要包括審計(jì)——第6部分：分發(fā)平臺(tái)。目的在于規(guī)范移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序分發(fā)服務(wù)平臺(tái)在未成年人個(gè)人信息網(wǎng)1未成年人個(gè)人信息網(wǎng)絡(luò)保護(hù)要求第5部分：應(yīng)急響應(yīng)保障丟失，或涉及私密信息的安全事件時(shí)應(yīng)當(dāng)采取的應(yīng)急響應(yīng)GB/T20985.1-2017信息技術(shù)安全技術(shù)信息安全事件管理第1部分：事件管理GB/T29086-2023信息安全技術(shù)網(wǎng)絡(luò)安全事件分類GB/T24362-2009信息安全技術(shù)信息安全應(yīng)急響應(yīng)2對(duì)無民事行為能力人和限制民事行為能力人的人身、財(cái)產(chǎn)和其他一切合法權(quán)益負(fù)有監(jiān)護(hù)職責(zé)4縮略語根據(jù)GB/T20985.1-2017，信息安全事件管理由以下五個(gè)不同階段組成：在組織已經(jīng)建立了信息安全事件管理基礎(chǔ)上，應(yīng)當(dāng)致的且相適的。組織處理未成年人個(gè)人信息的，則應(yīng)當(dāng)在信息安全事件管理策略中明確規(guī)定：a）將保護(hù)未成年人個(gè)人信息安全作為信息安全事件策略中個(gè)人信息保護(hù)b）將涉未成年人個(gè)人信息明確納入信息安全c）將涉未成年人個(gè)人信息作為評(píng)估信息安全將涉未成年人作為信息安全事件分類定級(jí)判斷的重要因素；3a)接受過未成年人個(gè)人信息網(wǎng)絡(luò)保護(hù)的相關(guān)培訓(xùn)，充分了解未成年年人或其監(jiān)護(hù)人溝通等，降低信息安全事件對(duì)未成年人e）IRT應(yīng)正確地記錄所有活動(dòng)、結(jié)果和相關(guān)決策上述活動(dòng)收集和記錄的信息，宜存儲(chǔ)在由組織IRT管理的事件管理數(shù)據(jù)庫中，以支持后續(xù)的事件管信息安全事態(tài)被發(fā)現(xiàn)和報(bào)告后，IRT應(yīng)當(dāng)組織相關(guān)方進(jìn)行評(píng)估是否判斷為信息安全事件、信息安全年齡，可能對(duì)未成年人造成的傷害，私密信息中可能涉及侵c）若構(gòu)成了信息安全事件，IRT對(duì)信息安全事件進(jìn)行分類定級(jí)，事件分類定級(jí)遵照GB/T注2：若涉及未成年人的信息安全事件，則在事件影響程度上可以至少界定為一般，在社會(huì)危害的嚴(yán)重程度上至少4上述活動(dòng)收集和記錄的信息，宜存儲(chǔ)在由組織IRT管理的事件管理數(shù)據(jù)庫中，以支持后續(xù)的事件管在評(píng)估和決策階段已經(jīng)決定了響應(yīng)策略和行動(dòng)后，IRT應(yīng)當(dāng)協(xié)同相關(guān)部門采取響應(yīng)行動(dòng)。響應(yīng)行動(dòng)a)根據(jù)信息安全事件的分級(jí)和場(chǎng)景化采取應(yīng)急措施，避免損失擴(kuò)大。針改或丟失，應(yīng)當(dāng)立即采取措施避免造成因篡改或丟失而對(duì)未成年人造成的其他損d)信息安全事件響應(yīng)過程中，若發(fā)現(xiàn)無法控制事件后果或發(fā)現(xiàn)收集信息不準(zhǔn)確，IRT有權(quán)組織相上述活動(dòng)收集和記錄的信息，宜存儲(chǔ)在由組織IRT