SZSD07 0001-2024公共數(shù)據(jù)脫敏管理規(guī)范

SZSDSpecificationforpubli2024-04-15發(fā)布I 1 1 1 1 1 1 1 1 1 1 2 2 2 2 2 2 2 3 4 5 5 6本文件按照GB/T1.1-2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》本文件主要起草人：吳巍、吳珂、程慶軍、劉德永、孫興善、張林、陳顏章、郝俊堂、張公共數(shù)據(jù)脫敏管理規(guī)范下列文件中的內(nèi)容通過(guò)文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的GB/T20945—2013信息安全技術(shù)信息系統(tǒng)安全審計(jì)產(chǎn)品技術(shù)要求和測(cè)試評(píng)價(jià)方法國(guó)家機(jī)關(guān)、法律法規(guī)規(guī)章授權(quán)的具有管理公共事務(wù)職能的組織，在依法履行職責(zé)和提供公3.3數(shù)據(jù)脫敏datadesensiti3.4動(dòng)態(tài)脫敏dynamicdesensiti針對(duì)敏感數(shù)據(jù)進(jìn)行數(shù)據(jù)抽取、數(shù)據(jù)漂白和動(dòng)態(tài)掩碼的專業(yè)數(shù)據(jù)脫敏技術(shù)，主要對(duì)查詢生產(chǎn)3.5靜態(tài)脫敏staticdesensiti3.6脫敏算法desensitizationalg3.7脫敏系統(tǒng)desensitization2采用各種脫敏算法，通過(guò)自動(dòng)化工具實(shí)現(xiàn)敏感數(shù)據(jù)發(fā)現(xiàn)、脫敏操作執(zhí)行和脫敏全流程管理4基本原則脫敏過(guò)程需保持用于后續(xù)分析的數(shù)據(jù)真實(shí)特征，以助于實(shí)現(xiàn)數(shù)據(jù)相關(guān)業(yè)務(wù)需求。真實(shí)性特4.2有效性經(jīng)過(guò)數(shù)據(jù)脫敏處理后，原始信息中包含的敏感信息已被移除，無(wú)法通過(guò)處理后的數(shù)據(jù)得到數(shù)據(jù)脫敏后，保留主外鍵關(guān)聯(lián)一致性，保留業(yè)務(wù)數(shù)據(jù)關(guān)聯(lián)業(yè)務(wù)一致性，保留原數(shù)據(jù)間隱含4.4穩(wěn)定性由于原始數(shù)據(jù)間存在關(guān)聯(lián)性，為保障數(shù)據(jù)使用者可正常使用和分析數(shù)據(jù)，因此數(shù)據(jù)脫敏時(shí)需保證對(duì)相同的原始數(shù)據(jù)，在各輸入條件一致的前提下，無(wú)論脫敏多少次，其最終結(jié)果數(shù)據(jù)是5.1基本要求應(yīng)成立專門的數(shù)據(jù)脫敏管理小組，并設(shè)置專門的脫敏操作員、安全管理員和審計(jì)管理員，次及以上數(shù)據(jù)脫敏評(píng)價(jià)工作，評(píng)價(jià)其真實(shí)性、有效性、穩(wěn)定性。評(píng)價(jià)工作宜在數(shù)據(jù)脫敏工作驗(yàn)脫敏系統(tǒng)應(yīng)采用經(jīng)國(guó)家有關(guān)部門認(rèn)證的產(chǎn)品。系統(tǒng)上線前應(yīng)進(jìn)行源代碼審查，并通過(guò)信息系統(tǒng)安全等級(jí)保護(hù)三級(jí)以上測(cè)評(píng)。系統(tǒng)運(yùn)行過(guò)程中應(yīng)定期進(jìn)行安全掃描，接受網(wǎng)絡(luò)信息安全和5.2.3數(shù)據(jù)源產(chǎn)品應(yīng)能夠根據(jù)預(yù)定義的策略對(duì)敏感數(shù)據(jù)進(jìn)行自動(dòng)掃描和a）靜態(tài)數(shù)據(jù)脫敏產(chǎn)品應(yīng)能對(duì)整個(gè)數(shù)據(jù)庫(kù)或文件中敏感4a）描述所有外部接口的用途與使用方法，適當(dāng)提供效果、例5.3人員要求脫敏操作員、安全管理員、安全審計(jì)員應(yīng)以個(gè)人名義與組織簽署保密協(xié)議和安全承諾書。負(fù)責(zé)對(duì)脫敏操作員、安全管理員的操作行為進(jìn)行審計(jì)、跟蹤、分析、和監(jiān)督檢查，及時(shí)發(fā)現(xiàn)違規(guī)行為和異常行為，進(jìn)行數(shù)據(jù)庫(kù)日志、脫敏系統(tǒng)日志、安全事件的分析和負(fù)責(zé)制定脫敏系統(tǒng)的安全策略，數(shù)據(jù)脫敏工作的范圍和日程，并進(jìn)行日常安全檢查、權(quán)限根據(jù)授權(quán)用戶不同的安全角色，賦予授權(quán)用戶不同的訪問(wèn)權(quán)限，并且安全角色之間應(yīng)相互在脫敏過(guò)程中，脫敏系統(tǒng)應(yīng)確保各組件之間傳輸?shù)臄?shù)據(jù)非明原始數(shù)據(jù)經(jīng)過(guò)數(shù)據(jù)脫敏處理后，仍保持部分統(tǒng)計(jì)特征和結(jié)構(gòu)特征，存在泄露風(fēng)險(xiǎn)，應(yīng)采取應(yīng)在數(shù)據(jù)脫敏的各個(gè)階段加入安全審計(jì)機(jī)制，詳