1、7.2人员保障57. 3合规性评估57.4权限管理67.5日志留存67. 6安全审计77. 7数据安全事件应急响应77. 8举报投诉处理87.9教育培训87. 10数据资产梳理88数据采集89数据传输910数据存储1011数据使用1112数据开放共享1213数据销毁1314合作方管理1315平台系统安全管理15附录A （资料性附录）数据资产清单示例17参考文献18 ri刖5本标准是“电信网和互联网数据安全”系列标准之一。该系列标准预计的结构及名称如下：一 电信网和互联网数据安全通用要求一 电信网和互联网数据安全评估规范一 电信网和互联网数据安全评估实施技术要求本标准按照GB/T 1.1-200
2、9给出的规则起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由中国通信标准化协会提出并归口。本标准起草单位：中国信息通信研究院、中国移动通信集团有限公司、中国联合网络通信集团有 限公司、中国电信集团有限公司、数据通信科学技术研究所、阿里云计算有限公司。本标准主要起草人：魏薇、张媛媛、庞妹、姚志杰、苗琳、郭建南、姜宇泽、江为强、贾强、孙 艺、王雷、国强、刘晓、冯程、闫希敏、谢俐惊、王远桂。1范围本标准规范了数据采集、传输、存储、使用、开放共享、销毁等数据处理活动及其相关平台 系统应遵循的原则和安全保护要求，包括组织保障、制度建设、规范建立等管理性要求，以
3、及规 范执行相关配套技术性要求。本标准主要适用于在电信服务和互联网信息服务提供过程中，在公用电信网和互联网网络单 元和业务系统中采集、产生、使用的数据。适用于对电信网和互联网行业中组织开展的数据处理 活动及与数据处理活动相关的平台系统的安全保护。本标准不适用于企业生产经营数据、内部管 理数据及企业内部研发测试数据。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于 本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 35273-2020信息安全技术个人信息安全规范GB/T 20986-2007信息安全技术信息安全事
4、件分类分级指南YD/T 3169-2016互联网新技术新业务安全评估指南3术语、定义和缩略语3. 1术语和定义下列术语和定义适用于本文件。3. 1. 1个人信息以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定 自然人活动情况的各种信息。注：关于个人信息的范围和类型依据GB/T 35273-2020附录A中要求。3. 1.2个人敏感信息一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损 害或歧视性待遇等的个人信息。关于个人敏感信息的范围和类型依据GB/T35273-2020附录B中要求。3. 1.3个人信息主体个人信息所标识或关联到的
5、自然人。3. 1.4用户数据获取电信服务和互联网信息服务的主体所提供的数据，用户包括企业用户和个人用户。3. 1.5合规性对数据安全所适用的法律法规、部门规章和规范性文件的遵守。3. 1.6合规性评估运用科学的方法和手段，系统地识别组织机构存在的数据安全风险，评估风险导致的数据安 全事件一旦发生可能造成的危害程度，进而提出综合性和可操作性的预防数据安全事件发生的 管理对策和安全措施，实现将数据安全风险控制在可接受的水平，最大限度地满足合规性要求。3. 1.7数据资产以电子形式记录的组织机构所拥有和控制的数据。3. 1.8生产经营数据企业平台系统上承载的、且与个人信息无关的自有业务数据，如图形、
6、文档、音视频数据等。3. 1.9开放共享电信业务经营者、互联网信息服务提供者进行全部或部分数据复制、分享等行为。3. 1. 10合作方受托代理市场销售和提供业务合作、技术支撑、数据服务等可能接触到组织机构数据的外部 机构。其中，业务合作主要包括数据业务合作推广、渠道接入等形式；技术支撑主要包括系统开 发集成、系统维护、技术支撑等形式；数据服务主要包括数据建模、数据挖掘、数据分析等数据 服务能力提供形式。3. 1. 11明示同意个人信息主体通过书面主动声明或自主作出肯定性动作，对其个人信息进行特定处理作出明 确授权的行为。肯定性动作包括个人信息主体主动作出声明（电子或纸质形式）、主动勾选、主动点
7、击“同意”、“注 册”、“发送”、“拨打”、主动填写或提供等。3. 1. 12匿名化通过对个人信息的技术处理，使得个人信息主体无法被识别或者关联，且处理后的信息不能 被复原的过程。个人信息匿名化处理后所得的信息不属于个人信息。3. 1.13去标识化通过对个人信息的技术处理，使其在不借助额外信息的情况下，无法识别个人信息主体的过 程。去标识化建立在个体基础之上，保留了个体颗粒度，采用假名、加密、哈希函数等技术手段替代对个人 信息的标识。3. 1.14数据脱敏对某些敏感信息通过一定规则进行数据的变形，实现敏感隐私数据的可靠保护。3. 1.15数据安全事件需要采取应急响应措施予以应对的数据泄露（丢失
8、）、数据滥用、数据被篡改、数据被损毁、 数据违规使用等事件。3.2缩略语下列缩略语适用于本文件。IP互联网协议Internet ProtocolMAC媒体访问控制Media Access ControlTLS/SSL传输层安全协议Transport Layer Security/Socket SecureLayer4概述电信网和互联网数据安全要求的制定是指在对我国数据安全相关政策法规和国家标准等进行 梳理、数据安全现状和安全需求分析深入调研的基础上，细化明确数据安全保护的合规性要求。电信网和互联网数据安全要求的制定目标是为了加强对数据安全的管理，落实政策法规和国 家标准等关于数据安全保护的有关
9、规定，指导各类数据处理活动及数据安全系统平台部署并健全 安全保障措施，有效防范通信网络、技术平台、业务系统和业务流程承载流转的数据被未经授权 的访问、控制或处理，防止数据被泄露、盗取、篡改或滥用，维护国家安全、经济发展和社会公 共利益，保护企业和个人信息主体合法权益。5数据安全基本原则5.1合法合规原则一一在法律法规规定的范围内，开展采集、传输、存储、处理、开放共享、销 毁等数据处理活动。5.2权责一致原则一一采取技术和其他必要的措施保障数据安全，对其数据处理活动对国家安 全、经济发展、社会公共利益、个人信息主体合法权益造成的损害承担相应的责任。5.3目的明确原则一一具有合法、正当、必要、明确
10、的数据处理目的，只处理满足处理目的所需 的最少数据的类型和数量。目的达成后，应及时根据约定进行删除。5.4安全可用原则一一运用适当的管理和技术措施，确保以适当安全的方式处理数据，保护数据 的完整性、机密性、可用性，保障数据在整个生命周期里，免遭诸如未授权访问、破坏、篡改、 泄露或丢失等破坏。5.5公开透明原则一一以明确、易懂和合理的方式公开处理数据的范围、目的、规则等，并接受 外部监督。6数据分类分级6.1应建立企业内部数据分类分级管理制度，明确分类分级管理适用范围、管控系统类型、数据 全生命周期分类分级策略和管理要求、分类分级策略标准变更流程和要求等内容。管控系统类型 应完整覆盖企业相关数据
11、处理活动涉及的平台系统。6.2应按照法律法规和相关标准要求，综合考虑数据的类别属性、使用目的等，明确数据分类策 略。在数据分类的基础上，对每一类数据类型，结合数据重要及敏感程度、安全保护需求以及一 旦泄露、丢失、破坏造成的危害程度等，制定数据分级标准。分类分级方法可参照行业内分类分级标准。6.3应针对企业数据分类分级管控系统对象，对照数据分类分级策略标准，完成各数据库表等字 段映射，形成企业数据分类分级清单。6.4应按照企业内部数据分类分级策略标准，对数据进行分类分级标识（如通过对数据字段或数 据库表单打标签等形式）。6.5应针对不同类别级别的数据设置不同的安全管理要求及技术保障措施，包括配备
12、相应的数据 加密、数据脱敏、操作权限管理、数据流动记录、人员操作日志记录、数据备份与恢复等技术能 力和措施。6.6应对数据分类分级的策略标准制定、实施和变更情况进行记录。7通用安全管理7.1组织机构7.1.1应明确数据安全管理责任部门，负责牵头承担企业内部数据安全管理工作，包括但不限于 制定数据安全管理整体方针策略，协调相关部门建立数据安全技术保障措施，牵头做好数据安全 应急处置，组织开展数据合规性评估、教育培训等工作。7.1.2应明确数据安全管理责任部门与各项工作执行落实部门责任分工界面，建立数据安全管理 制度执行落实情况监督检查和考核问责制度。7. 2人员保障7. 2.1应明确企业数据安全
13、管理责任人，明确数据安全管理责任人的职责范围，包括但不限于负 责牵头制定数据安全管理制度，指导数据安全管理责任部门、协调各相关部门开展数据保护工作, 提出数据安全保护的对策建议，监督管理制度和措施的执行落实情况等。7. 2. 2应在数据安全管理责任部门和相关部门配备与数据规模相匹配的数据安全管理专职人员， 形成企业数据安全岗位人员名单。相关人员负责具体承担落实数据安全管理相关工作，包括但不 限于权限管理、安全审计、应急响应、合规性评估、数据安全事件处置和信息报送等工作。7. 3合规性评估7. 3. 1应针对企业整体数据安全保护水平每年至少组织开展一次数据安全合规性评估，评估内容 包括但不限于数
14、据安全风险情况、数据合规使用提供情况、数据安全保障措施配备情况与完善程 度、合作方数据安全保护水平。7. 3. 2应结合业务类型和场景开展重点业务（含移动应用程序）数据安全合规性评估工作，重点 分析识别云计算、大数据、物联网、网上营业厅、掌上营业厅、即时通信、用户广告定向推送和 涉及数据对外合作等业务在数据承载流转中涉及的数据被未经授权的访问、控制、处理等风险， 针对风险评估组织机构内部及合作方是否配套相应数据安全保护措施，形成重点业务数据安全合 规性评估报告。7. 3. 3应针对企业数据处理活动涉及的平台系统，加强数据安全管理要求合规性和技术措施有效 性评估，每年至少组织开展一次重点系统数据
15、安全评估，重点分析识别数据被泄露、盗取、篡改、 滥用等风险，针对风险评估组织机构内部及系统建设、运维等合作方是否配套相应数据安全保护 措施，形成重点系统数据安全合规性评估报告。7.3.4应及时整改数据安全合规性评估中发现的风险隐患和问题，健全数据安全保护措施，在评 估报告中补充整改复核情况。7.3.5重点业务（含移动应用程序）评估启动条件应按照YD/T 3169-2016第4. 2条内容。此外， 企业业务和平台系统存在数据出境、数据开放共享等重大操作行为前，涉及合作方管理等情况下， 应及时启动数据安全动态评估工作，识别业务涉敏情况、业务与系统平台面临的威胁、存在的弱 点和造成的影响，明确安全风
16、险整改措施，形成评估报告。7.4权限管理7. 4. 1应制定数据访问权限管理制度，明确各部门和相关人员权限管理要求，包含但不限于账号 权限分配原则、流程等，建立并定期更新企业数据处理活动平台系统权限分配表。7. 4.2应建立合理的账号权限开通审批流程，并记录审批流程和结果。7. 4. 3应按照业务需求和安全策略为用户配置合理的权限，如符合最小授权和角色权限制约等要 求。应严格控制数据处理活动平台系统超级管理员权限账号数量。7. 4.4对所有接入数据处理活动平台系统的用户或业务进行身份接入认证和权限控制，包括基于 IP的鉴权和基于账号、口令等的鉴权。7. 4.5应设置账号口令的访问控制并满足复杂
17、度要求，限制系统账号口令输入尝试次数，对口令 遗忘的申请和重置流程实施严格管理，开展账号口令和加密密钥保护工作。7.5日志留存7.5.1应对数据授权访问、批量复制、开放共享、销毁，及数据接口调用等重点环节实施网络日 志留存管理。7.5.2网络日志记录信息应包括执行时间、操作账号、处理方式、授权情况、登录信息等，并确 保组织机构内部数据操作相关日志字段记录规则统一，记录完整、准确、不可修改。7. 5. 3应定期对网络日志进行本地备份，防止数据安全事件导致的日志被删除。与网络运行状态、 网络安全事件相关的网络日志保存时间应满足国家相关法律法规要求，不少于6个月。7.5.4应对网络日志操作进行权限控
18、制，配备日志审计员加强日志访问和处理管理。7.6安全审计7. 6. 1应建立数据安全审计制度，明确数据安全审计工作牵头部门和相关执行部门，审计目的、 审计对象、审计内容（异常操作的定义）、审计操作规程、审计频度、审计结果规范、审计问题 整改跟踪等内容。审计对象应完整覆盖企业相关数据处理活动涉及的平台系统。7. 6. 2数据安全审计的内容应包括企业内部权限控制、企业内部数据流向跟踪情况、数据安全保 障措施有效性等，能够发现和处置数据非授权访问、批量导出等异常情况。7. 6. 3应建设具有安全审计功能的平台系统，将审计对象全量接入安全审计系统，数据安全审计 内容和企业平台系统权限分配表作为系统策略
19、进行配置。7. 6.4应至少以季度为单位滚动开展数据安全审计，记录并形成数据安全审计报告，完整记载安 全审计发现的问题，一年内实现数据处理活动涉及的平台系统安全审计工作全覆盖。确保审计数 据记录内容至少包括：操作时间、操作主体、操作类型、操作对象、操作结果。针对有关问题， 数据安全管理责任部门协调数据安全相关执行部门提出改进方案，并要求落实解决，对改进措施 效果进行跟踪审核。7.7数据安全事件应急响应7. 7.1数据安全事件等级划分应按照工业和信息化部关于印发公共互联网网络安全突发事件 应急预案的通知（工信部网安2017） 281号）、GB/T 20986-2007及数据安全事件对国家安 全、
20、经济发展和社会公共利益、企业和个人信息主体合法权益影响程度，并按照数据安全事件的 影响范围及持续时间等因素确定。7. 7. 2应制定数据安全事件应急响应预案，充分考虑企业涉及的各类数据安全事件业务场景，包 括但不限于数据泄露（丢失）、数据滥用、数据被篡改、数据被损毁、数据违规使用等。应结合 数据安全事件业务场景和等级明确应急响应工作责任分工、实施环节、应急响应措施。实施环节 至少包括事件监测、定位、分级、启动、响应处置、报告、事件评估、结束响应、应急总结、情 况跟踪等阶段。7. 7. 3应根据数据安全事件应急响应预案制定演练计划并定期组织演练，保存演练记录。每类数 据安全事件场景至少一年开展一
21、次演练。每个数据处理活动涉及的平台系统至少两年开展一次演 练。7. 7.4应在发生数据安全事件时及时按照应急预案实施应急措施，并视情况向电信主管部门报 告。应急响应可参照行业内标准。7. 7. 5当发生的数据安全事件涉及个人信息时，还应按照GB/T 35273-2020中第10章节要求进 行处置。7.8举报投诉处理7. 8. 1提供用户服务的组织机构，应建立用户举报投诉处理机制，明确举报投诉处理的部门和人 员、数据安全投诉类型和相关处理流程、要求等。7. 8. 2应面向用户提供数据安全举报投诉渠道和有效的联系方式，举报投诉渠道应至少包括以下 一种：电子邮件、电话、传真、在线客服、在线表格。7.
22、8.3应针对有效举报线索组织处理和记录，并自接到投诉之日起十五日内答复投诉人。7.9教育培训7. 9. 1应建立数据安全教育培训制度，针对数据安全管理相关岗位制定相应培训计划，并对培训 计划定期审核和更新。7.9.2每年应至少开展一次数据安全管理培训,培训人员应覆盖企业数据安全岗位人员名单全体 人员。培训结束后，宜对培训效果进行评定、记录和归档。7.9.3数据安全培训内容应完整覆盖数据安全制度要求和实操规范等内容，如数据安全法律法 规、标准制度、管理方法、合规性评估、技术防护、应急演练和相关知识技能。7. 10数据资产梳理7.10.1应建立数据资产梳理制度，明确数据资产的安全管理目标和原则，定
23、期系统梳理各数据 存储平台系统情况，区分组织机构安全域内外接入情况。7.10.2应制定数据资产梳理的统一规范，在完成组织机构平台系统梳理的基础上，针对各系统 数据库中存储的数据字段进行关联指向，形成数据资产清单，以支撑制定企业数据分类分级清单。平台系统清单可参考附录A中表A.1示例，数据资产清单可参考附录A中表A. 2示例。7.10.3应对已形成的数据资产清单进行定期更新，对数据资产使用、留存及报废等状态进行登 记，形成数据资产表单变更台账。8数据采集8.1应制定数据采集规则，规范数据采集渠道、数据格式、采集流程和采集方式，并定期根据规 则在业务系统中执行数据采集合规性审查。8.2建立组织机构
24、的数据质量管理体系，保证数据采集过程中数据的准确性、及时性和完整性。8.3应对直接采集或者从其他途径获得的数据负有同等的保护责任和义务，对数据采集环境（如 渠道）、采集设施和采集技术采取必要的安全管控措施。8.4应加强数据采集设备安全防护工作，采取安全防护手段防止针对数据采集设备的网络攻击, 严格落实数据采集设备的访问控制。8.5针对用户数据采集，应按照公开透明原则，将采集规则以通俗易懂、简单明了的文字向用户 明示，满足如下要求：a）对采集的个人敏感信息类型进行显著性标识（如字体加粗、标星号、下划线、斜体、颜 色等）；b）明确用户数据保存期限以及到期后的处理方式；c）若存在用户数据出境的情况，
25、对出境数据类型逐项列出并进行显著标识；d）不应出现免除自身责任，加重用户责任，排除用户主要权利条款；e）规则可以包含在网站、应用程序等产品的隐私政策中，也可以其他形式提供给用户，应 相对集中、明显提示，并经用户自主选择同意，不应存在强制捆绑授权行为。8.6应严格遵守数据采集规则，网站、应用程序涉及采集用户数据的功能设计应同隐私政策保持 一致，同步调整。8.7不得仅以改善服务质量、提升用户体验、定向推送信息、研发新产品等为由，以默认授权、 功能捆绑等形式强迫、误导用户数据主体同意采集用户数据。8.8通过在线方式进行个人敏感信息采集时，应使用加密传输以保障用户在线提交信息的安全 性。8.9应明确数
26、据采集过程中用户数据的知悉范围和安全控制措施，采取相应手段确保采集过程中 的用户数据不被泄露。8.10在停止运营产品或服务、用户终止服务等情况时，应停止对用户数据的采集，并为用户提 供注销号码或账号的服务。用户注销账号时不得设置过多不合理的注销条件（如需要提交非必要 的个人敏感信息）。8.11有关个人信息采集的合规性、最小化、授权同意、征得授权同意的例外、个人敏感信息采 集、隐私政策等，还应遵守GB/T 35273-2020第5章的要求。9数据传输9.1应根据业务流程、职责界面等情况，充分考虑各数据存储平台系统网络规划设计、部署、维 护管理和运营中的安全风险，合理划分安全域。9.2应区分安全域
27、内、安全域间等不同数据传输业务场景，并结合数据分类分级策略和管理要求 明确数据传输安全策略和操作规程，传输个人敏感信息应采取加密等安全措施。9. 3应在安全边界配备数据访问控制措施，对跨组织机构或使用互联网进行的数据传输事项进行 前置审批。9.4针对需进行加密处理的传输业务场景和数据，应部署相应的加密措施，如采用可确保安全的 加密算法或传输通道（TLS/SSL等方式）。9.5应建立数据传输接口安全管理工作规范，明确技术管控措施，具备系统间接口的认证鉴权能 力，通过MAC地址、IP地址或端口号绑定等方式限制违规设备接入，实施数据流程控制、关键操 作日志管理。9. 6应定期对传输接口管理和技术管控
28、措施部署情况进行梳理，至少每年更新并形成接口梳理情 况清单。清单应包括：存在数据传输接口的业务系统、对端单位、对端系统、实现方式、接口类 型（如：实时调用接口、文件传输接口等）、对外接口传输数据种类以及目前使用的安全防护措 施（如：访问控制、加密、数据脱敏、日志审计等），应对照清单及时监控发现低活跃接口或废 置接口，并采取相应处理措施。9.7应严格控制数据新增传输接口的需求。根据“安全三同步”要求，对于数据新增接口应在规 划、设计、建设、运行、改造和维护过程中增加安全评审机制，配备相应传输接口管理和技术管 控措施。9.8应对涉及个人信息传输的接口进行识别和梳理，对接口调用实施控制，包括流控制、
29、流量监 控、调用过载保护等，并对接口调用进行日志记录，定期对接口权限控制、传输等相关功能进行 安全评估，核实安全措施的有效性。9.9应对数据传输安全策略和操作规程的变更进行审核和监控，包括对密钥使用、传输通道及接 口安全配置、密码算法选择、传输协议升级等技术保护措施的审批及监控。9. 10应明确数据出境安全评估管理要求，按照国家网信部门会同国务院有关部门制定的办法和 相关规定，在需要开展安全评估的场景下，在数据跨境传输前开展安全评估，并符合其要求，留 存安全评估记录。10数据存储10.1应结合数据分类分级策略和管理要求明确数据存储安全策略和操作规程，包括各类数据存 储平台系统差异化的安全存储保
30、护手段（如加密、授权、数字水印、数字签名等）、数据存储介 质安全策略和管理规定等。10.2应与数据存储平台系统管理人员签订保密协议，有效约束相关人员行为，如对企业各类数 据进行违规或非授权操作。10.3存储个人敏感信息的数据存储平台系统，及相关数据处理及传输设备应部署于安全域内， 不直接提供公共互联网访问。10.4应按照数据访问权限管理制度和数据存储安全策略，针对不同数据存储平台系统配备对用 户或业务（应用程序）的访问控制措施，确保非授权用户或业务（应用程序）不能访问数据。10.5涉及数据存储平台系统的重大操作应使用多人管控模式（如金库模式等），如对数据的批 量复制、传输、处理、开放共享和销毁等。10.6对于数据存储介质的获取（购买）、使用、维护、升级、标记和销毁等流程，应建立数据 存储介质的安全管理制度，明确数据存储介质登记、审批、接入等安全管理措施，明确相关流程 做法并执行落地。10.7应采取有效的管理手段加强对数据处理相关平台系统接入移动存储介质的管控
