DB11∕T 2049-2022 政務(wù)大數(shù)據(jù)安全技術(shù)框架

DB11北京市市場監(jiān)督管理局發(fā)布 本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作本文件起草單位：北京市大數(shù)據(jù)中心、中電長城網(wǎng)際系統(tǒng)應(yīng)用有限公司、北京信息安全測評中心、聯(lián)通數(shù)字科技有限公司、北京數(shù)字認(rèn)證股份有限公司、北京天融信網(wǎng)絡(luò)安全技術(shù)有限公司、廈門市美亞柏科信息股份有限公司、數(shù)據(jù)堂（北京）科技股份有限公司、北京云集至科技有限公司、北京啟明星辰信息安全技術(shù)有限公司、京信數(shù)據(jù)政務(wù)大數(shù)據(jù)安全技術(shù)框架本文件提出了政務(wù)大數(shù)據(jù)安全技術(shù)框架，規(guī)定了政務(wù)大數(shù)據(jù)域安全要求、政務(wù)大數(shù)據(jù)域間協(xié)同本文件適用于指導(dǎo)政務(wù)部門以及參與政務(wù)大數(shù)據(jù)處理活動的相關(guān)組織開展政務(wù)大數(shù)據(jù)安全技術(shù)下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用具有體量巨大、來源多樣、生成極快且多變等特征并且難以用傳統(tǒng)數(shù)據(jù)體系結(jié)構(gòu)有效處理的包注：數(shù)據(jù)處理，包括數(shù)據(jù)的收集、存儲、使參與方。政務(wù)大數(shù)據(jù)處理中，其資源和資產(chǎn)按照所遵循安全策略的不同分為數(shù)據(jù)生產(chǎn)域工域、數(shù)據(jù)共享域、數(shù)據(jù)開放域、數(shù)據(jù)運(yùn)營域等政務(wù)大數(shù)據(jù)域；政務(wù)大數(shù)據(jù)基礎(chǔ)設(shè)施為大數(shù)據(jù)域的數(shù)據(jù)處理活動提供了基礎(chǔ)的、統(tǒng)一的資源服務(wù)和安全服務(wù)；政務(wù)大數(shù)據(jù)參與參與各個政務(wù)大數(shù)據(jù)域的數(shù)據(jù)處理活動以及政4.2.2.3不同政務(wù)大數(shù)據(jù)域之間進(jìn)行數(shù)據(jù)流動時，應(yīng)按照協(xié)議或者約●●●●●●●●●●●政務(wù)大數(shù)據(jù)基礎(chǔ)設(shè)施包括基礎(chǔ)資源平臺和基礎(chǔ)安全平臺等。基礎(chǔ)資源平臺為政務(wù)大數(shù)據(jù)動提供統(tǒng)一的算力、存儲和網(wǎng)絡(luò)等基礎(chǔ)資源服務(wù)；基礎(chǔ)安全平臺為政務(wù)大數(shù)據(jù)處理活動根據(jù)參與方在政務(wù)大數(shù)據(jù)處理過程中的角色類型，政務(wù)大數(shù)據(jù)參與方可分為數(shù)據(jù)控制者、數(shù)據(jù)方與政務(wù)大數(shù)據(jù)域、政務(wù)大數(shù)據(jù)基礎(chǔ)設(shè)施的關(guān)系見表表4政務(wù)大數(shù)據(jù)處理維度的參與方與政務(wù)大●●●●●●●●●●●●●●●●●●根據(jù)政務(wù)大數(shù)據(jù)在數(shù)據(jù)流轉(zhuǎn)過程中的角色類型，政務(wù)大數(shù)據(jù)參與方可分為數(shù)據(jù)提供者一個組織或個人可以承擔(dān)多個維度的多個參與方角色，同一維度的一個參與方c）政務(wù)大數(shù)據(jù)域的參與方應(yīng)按照GB/T37988對自身數(shù)d）具備對政務(wù)數(shù)據(jù)生產(chǎn)過程的安全審計能力，定期對數(shù)據(jù)生產(chǎn)者的數(shù)a）遵守政務(wù)數(shù)據(jù)生產(chǎn)規(guī)程，在控制者授權(quán)范b）在數(shù)據(jù)使用過程中，采取相應(yīng)的安全措施，b）對數(shù)據(jù)加工者進(jìn)行授權(quán)，明確授權(quán)目的d）根據(jù)業(yè)務(wù)需要采用泛化、抑制、干擾等技術(shù)b）對數(shù)據(jù)接收者進(jìn)行授權(quán)，明確授權(quán)目的f）具備對政務(wù)數(shù)據(jù)共享過程安全審計能力，定期對數(shù)b）對數(shù)據(jù)使用者進(jìn)行授權(quán)，明確授權(quán)目的e）具備對政務(wù)數(shù)據(jù)開放過程的安全審計能力，定a）獲得數(shù)據(jù)控制者的授權(quán)，并基于授權(quán)和數(shù)據(jù)運(yùn)營規(guī)范b）對數(shù)據(jù)使用者進(jìn)行授權(quán)，明確授權(quán)目的和范圍，不得超出數(shù)據(jù)控制者的授權(quán)d）支持基于區(qū)塊鏈和數(shù)字水印技術(shù)實現(xiàn)對b）保證數(shù)據(jù)使用環(huán)境和使用過程的安全性，以防數(shù)據(jù)的泄露b）數(shù)據(jù)提供者應(yīng)對數(shù)據(jù)接收者進(jìn)行授權(quán)，明確數(shù)據(jù)權(quán)責(zé)是否全部或部分轉(zhuǎn)移給接收c）數(shù)據(jù)接收者應(yīng)采取必要的技術(shù)手段和管控g）平臺運(yùn)營者應(yīng)制定域間安全訪問策略，并a）明確數(shù)據(jù)加工限制和約束條件，確保數(shù)據(jù)加工不能損害相關(guān)c）將加工過程中發(fā)現(xiàn)異常數(shù)據(jù)及時告知對方，涉及敏感數(shù)據(jù)的在b）驗證接收數(shù)據(jù)的完整性及與數(shù)據(jù)加工需求的c）將加工過程中發(fā)現(xiàn)異常數(shù)據(jù)及時告知對方，涉及敏感數(shù)據(jù)的在b）及時準(zhǔn)確、完整的接收需要加工的數(shù)據(jù)，并提供給數(shù)據(jù)加a）明確用于共享的數(shù)據(jù)的共享方式、范圍、時效、授權(quán)條數(shù)據(jù)開放域應(yīng)及時發(fā)現(xiàn)禁止開放的敏感數(shù)據(jù)和個人信息，并告知數(shù)a）嚴(yán)格按照數(shù)據(jù)提供者的授權(quán)，遵照數(shù)據(jù)開放目錄和開放計劃，向數(shù)據(jù)開d）定期向共享域報告數(shù)據(jù)安全運(yùn)營情況，并提供相應(yīng)的b）審核運(yùn)營域的數(shù)據(jù)運(yùn)營場景和行為，確保數(shù)據(jù)運(yùn)營服務(wù)沒有超出授b）數(shù)據(jù)提供者應(yīng)建立敏感數(shù)據(jù)的脫敏安全策略，并按照安全要求進(jìn)行d）數(shù)據(jù)接收者應(yīng)建立檢查機(jī)制，保障共享數(shù)據(jù)安全f）實時監(jiān)測政務(wù)大數(shù)據(jù)基礎(chǔ)設(shè)施的安