GB/T 45389-2025數(shù)據(jù)安全技術(shù)數(shù)據(jù)安全評(píng)估機(jī)構(gòu)能力要求

ICS

35.030

CCS

L80

中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)

GB/T45389—2025

數(shù)據(jù)安全技術(shù)數(shù)據(jù)安全評(píng)估機(jī)構(gòu)

能力要求

Datasecuritytechnology—Capabilityrequirementsforassessment

organizationofdatasecurity

2025-03-28發(fā)布2025-10-01實(shí)施

國(guó)家市場(chǎng)監(jiān)督管理總局發(fā)布

國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)

GB/T45389—2025

目次

前言

·····································································································

Ⅲ

1

范圍

··································································································

1

2

規(guī)范性引用文件

······················································································

1

3

術(shù)語(yǔ)和定義

···························································································

1

4

概述

··································································································

2

5

能力要求

······························································································

3

5.1

基礎(chǔ)條件

·························································································

3

5.2

管理能力

·························································································

4

5.3

技術(shù)能力

·························································································

6

5.4

人力資源能力

····················································································

8

5.5

場(chǎng)所與設(shè)備資源能力

·············································································

9

附錄A（資料性）

數(shù)據(jù)安全評(píng)估機(jī)構(gòu)能力證實(shí)方法

·················································

11

附錄B（資料性）

設(shè)備和工具類(lèi)型

··································································

12

參考文獻(xiàn)

································································································

13

Ⅰ

GB/T45389—2025

前言

本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)

定起草。

請(qǐng)注意本文件的某些內(nèi)容可能涉及專(zhuān)利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別專(zhuān)利的責(zé)任。

本文件由全國(guó)網(wǎng)絡(luò)安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)（SAC/TC260）提出并歸口。

本文件起草單位：國(guó)家信息技術(shù)安全研究中心、中國(guó)電子技術(shù)標(biāo)準(zhǔn)化研究院、國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急

技術(shù)處理協(xié)調(diào)中心、中國(guó)網(wǎng)絡(luò)安全審查認(rèn)證和市場(chǎng)監(jiān)管大數(shù)據(jù)中心、中國(guó)信息安全測(cè)評(píng)中心、中國(guó)網(wǎng)絡(luò)

空間研究院、公安部第三研究所、中國(guó)信息通信研究院、中國(guó)軟件評(píng)測(cè)中心、國(guó)家工業(yè)信息安全發(fā)展研

究中心、中國(guó)電子科技集團(tuán)公司第十五研究所、中國(guó)科學(xué)技術(shù)大學(xué)、中國(guó)科學(xué)院軟件研究所、工業(yè)和信

息化部電子第五研究所、中國(guó)電子信息產(chǎn)業(yè)集團(tuán)有限公司第六研究所、國(guó)家廣播電視總局監(jiān)管中心、

中國(guó)民用航空局信息中心、教育部教育管理信息中心、北京銀聯(lián)金卡科技有限公司、北京時(shí)代新威信息

技術(shù)有限公司、廣電計(jì)量檢測(cè)集團(tuán)股份有限公司、廣州競(jìng)遠(yuǎn)安全技術(shù)股份有限公司、南京大數(shù)據(jù)檢測(cè)技

術(shù)有限公司、陜西省信息化工程研究院、交通運(yùn)輸信息安全中心有限公司、國(guó)家應(yīng)用軟件產(chǎn)品質(zhì)量檢驗(yàn)

檢測(cè)中心等。

本文件主要起草人：俞克群、楊韜、陳琳、胡影、張宇光、任英杰、朱雪峰、林星晨、王暉、左曉棟、

張曉梅、許靜慧、張曉菲、高松、姜偉、王普、汝夢(mèng)媛、王惠、王一宇、程瑜琦、唐剛、張德馨、孫軍、

趙冉、張媛媛、霍珊珊、劉健、晏敏、楊晨、單博深、盧列文、趙云龍、李炎、張威、楊偉平、陳聰、

王新杰、俞政臣、戴明、杜漸、唐迪、何剛、陳志軍、趙曉榮、郭劍虹、曹岳、陳靜、宋宏濤。

Ⅲ

GB/T45389—2025

數(shù)據(jù)安全技術(shù)數(shù)據(jù)安全評(píng)估機(jī)構(gòu)

能力要求

1范圍

本文件規(guī)定了數(shù)據(jù)安全評(píng)估機(jī)構(gòu)的能力要求，包括基礎(chǔ)條件、管理能力、技術(shù)能力、人力資源能

力、場(chǎng)所與設(shè)備資源能力。

本文件適用于數(shù)據(jù)安全評(píng)估機(jī)構(gòu)自身能力建設(shè)，以及對(duì)數(shù)據(jù)安全評(píng)估機(jī)構(gòu)的能力評(píng)價(jià)，也可為數(shù)據(jù)

處理者選擇第三方數(shù)據(jù)安全評(píng)估機(jī)構(gòu)提供參考。

2規(guī)范性引用文件

下列文件中的內(nèi)容通過(guò)文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文

件，僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用

于本文件。

GB/T19001—2016質(zhì)量管理體系要求

GB/T25069—2022信息安全技術(shù)術(shù)語(yǔ)

GB/T32914—2023信息安全技術(shù)網(wǎng)絡(luò)安全服務(wù)能力要求

GB/T39335—2020信息安全技術(shù)個(gè)人信息安全影響評(píng)估指南

GB/T41479—2022信息安全技術(shù)網(wǎng)絡(luò)數(shù)據(jù)處理安全要求

3術(shù)語(yǔ)和定義

GB/T25069—2022和GB/T41479—2022界定的以及下列術(shù)語(yǔ)和定義適用于本文件。

3.1

數(shù)據(jù)處理活動(dòng)dataprocessingactivities

數(shù)據(jù)收集、存儲(chǔ)、使用、加工、傳輸、提供、公開(kāi)、刪除等活動(dòng)。

3.2

數(shù)據(jù)安全評(píng)估datasecurityassessment

對(duì)數(shù)據(jù)、數(shù)據(jù)處理活動(dòng)、數(shù)據(jù)處理者可能存在的安全問(wèn)題和風(fēng)險(xiǎn)開(kāi)展技術(shù)檢測(cè)、評(píng)價(jià)、驗(yàn)證等

活動(dòng)。

注：包括但不限于數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估、個(gè)人信息保護(hù)影響評(píng)估、數(shù)據(jù)出境安全評(píng)估等。

3.3

數(shù)據(jù)安全風(fēng)險(xiǎn)datasecurityrisk

數(shù)據(jù)安全事件的發(fā)生可能性及其對(duì)國(guó)家安全、公共利益或者組織、個(gè)人合法權(quán)益造成的損害。

3.4

數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估datasecurityriskassessment

對(duì)數(shù)據(jù)和數(shù)據(jù)處理活動(dòng)安全進(jìn)行