DB11-T 2350-2024 數據交易安全評估指南

DB11北京市市場監(jiān)督管理局發(fā)布 蜜度信息技術有限公司、國網北京海淀供電投資有限公司、北京航空航天大學、北京國網信通埃森哲信息技巍、王吾冰、穆帥先、楊祖艷、宗丹辰、邱鍇莫雄劍、潘沖、焦承林、譚伊舒、趙瑩、高尚滔、胡月、盧怡賢、戴薇數據交易安全評估指南為提升安全能力提供參考。數據交易安全評估范圍基礎項評估：對各指標維度進行達標與不達標判斷，如其中某項指標維度基礎項不滿足要求，則加分項評估無效，對應指標維度安全要求加分項評估：指標維度滿足基礎項要求的情況下，開展指標維度加分項評估。指標維度加分項權重可結合具體行業(yè)情況及數據交易應用場景，參考本標準建議權重范圍進行a)依法成立并有效存續(xù)的法人、非法人組織機構，或具備相應民事行b)在一年內不存在數據類違法違規(guī)記錄，未發(fā)生過數據泄露c)在五年內未因違反網絡安全法律法規(guī)受到a)具備數據安全技術能力和安全管理制度，如敏感數據識別、數據分類分級、數據脫等級保護要求，宜具備對接收方的數據共享、調用情況的監(jiān)測措施，相關日志留存時間不b)具有明確的概要描述、產品形態(tài)、應用場景、使用范圍、服務方式c)具有數據來源權屬合法合規(guī)的報告或e)真實、準確、完整披露數據交易標的信息，不隱a)提供數據質量、數據合規(guī)、數據安全等第三方專a)不以欺詐、誘騙、誤導、脅迫、賄賂等違法a)根據數據需方要求，給出數據需方關注的產品解答并進行a)根據合同約定，按時、保質提供數據交易標的，供數c)配合監(jiān)管部門和數據交易場所開展數據交易標的交付和交易結算過程中的履約監(jiān)管和交加分項評估：指標維度滿足基礎項要求的情況下，開展指標維度加分項評估。指標維度加分項權重可結合具體行業(yè)情況及數據交易應用場景，參考本標準建議a)依法成立并有效存續(xù)的法人、非法人組織機構，或具備相應民事行b)在1年內不存在數據類違法違規(guī)記錄，未發(fā)生過數a)具備數據安全技術能力和安全管理制度，如敏感數據識別、數據分類分級、數據脫敏、數d)交易標的涉及重要數據的，宜具備對接收方的數據共享、調用情況的監(jiān)測措施，相關日志a)不以欺詐、誘騙、誤導、脅迫、賄賂等違法a)按照數據交易雙方約定使用數據，授權使用不超出交a)對供方提供的數據交易標的的安全性、合規(guī)性進行審核；對數據交易標的的符合性、有效b)對數據交付平臺業(yè)務安全性、穩(wěn)定性、連續(xù)性進行評a)配合監(jiān)管部門和數據交易場所開展交易后的追溯和審計工作，接收重要數據的，留存交付b)按合同約定，保證數據交易標的數據安全，防止c)在交易結束后，按合同約定清除相關數據的緩存，并對清除記錄及數據清除措施的有效性在數據交易過程中，對數據交易場所進行安全評估建立可參考的指標體系，加分項和權重范圍根基礎項評估：對各指標維度進行達標與不達標判斷，如其中某項指標維度基礎項不滿足要求，則加分項評估無效，對加分項評估：指標維度滿足基礎項要求指標維度加分項權重可結合具體行業(yè)情況及數據交易應用場景，參考本標準建議權重范圍進行評估打分，權重加總為b)近一年內無數據類違法違規(guī)記錄的c)建立明確的數據交易規(guī)則，明確定義包括數據交易標的準入及審核、交易主體準入及審核、計制度、應用運維流程規(guī)范及巡檢制度，定期對制度進行完善并就落實情況進依法采取必要的處置措施，保存有關記錄，按照相關法律法規(guī)和監(jiān)管要求向主管部門報告。a)建立數據交易合規(guī)巡檢機制，定期對交易主體、數據交易標的的安全性、合規(guī)性進行檢查；b)建立數據交易參與方的信用管理機制，對入駐各方服務內容、質量、交易行為等進行評估；d)完善數據交易異議處理機制，為交易雙方提a)在經政府批準依法設立的數據交易場所內建設，且部署在d)建立安全風險監(jiān)測機制，及時發(fā)現安全缺陷、漏洞e)建立隱私保護機制，包括數據匿名化處理、用戶同意f)支持監(jiān)管部門訪問交易日志、數據存證、電子服務合同等審計資料，開展數據交易服務的h)提供傳輸鏈路加密、傳輸數據保密性和完整性校驗i)提供安全穩(wěn)定的數據交付環(huán)境，并采取數據加密、訪問控制、數據防泄漏、水印溯源、安全審計等措施，防止交易過程中的數據泄露、篡改、破壞或非法獲取、非法交易、非法利b)具備惡意代碼防護能力，能夠對交易數據含有的惡意代碼交易參與方審核、交易數據和需求審核、交易暫停、交d)授予數據交易各參與方所需的最小必要權限，b)按照相關制度要求審核數據交易參a)通過資料審核、身份鑒別等方式驗證第三方評估結論，對第三方提供報告的真實性和有效b)根據數據供需雙方提供的材料，審核數a)審核申請上架的數據交易標的相關材料，包括但不限于數b)對于包含敏感數據的數據交易標的，提供相應的安全b)依據數據交易標的分類分級、應用場景等進行權限管理和d)輔助供需雙方對數據交易標的類型、質量、用途、使用范圍、交付方式b)審核數據交易參與方按照合同約定完成c)提供安全交易環(huán)境，對數據交付過程中的加工、計e)具備交易結算功能，按照合同約定對交a)根據交付要求，提供隱私保護計算c)采用數據加密技術對網絡數據進行加密，防a)數據交易各參與方確認交易結束后，關閉數據訪問通b)對數據交易過程中交易記錄等證據材料進行管理、記d)未經授權不私自留存及使用數據供方或需方的數a)提供投訴舉報渠道，審核數據交易各環(huán)節(jié)的數據b)建立爭議解決機制，對服務中的爭議進c)對數據