網(wǎng)絡(luò)安全等級保護數(shù)據(jù)安全治理體系建設(shè)指南2025-05-09發(fā)布2025-08-09實施I本文件按照GB/T1.1—2020《標準化工作導則第1部分：標準化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)請注意本文件的某些內(nèi)容可能涉及專利。本文件文。1僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本(包括所有的修改單)適用于本GB/T22239信息安全技術(shù)網(wǎng)絡(luò)安全等級保護基本要求GB/T25069信息安全技術(shù)術(shù)語GB/T37988信息安全技術(shù)數(shù)據(jù)安全能力成熟度模型GB/T41479信息安全技術(shù)網(wǎng)絡(luò)數(shù)據(jù)處理安全要求GB/T43697數(shù)據(jù)安全技術(shù)數(shù)據(jù)分類分級規(guī)則GB/T25069界定的以及下列術(shù)語和定數(shù)據(jù)所具有的特性，即無論數(shù)據(jù)形式作何變化，數(shù)據(jù)的準以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合來識別特定自然人身份或者反映其活動2宜制定數(shù)據(jù)安全防護策略，明確數(shù)據(jù)全生命完整性和可用性，避免數(shù)據(jù)在全生命周期內(nèi)被破壞、篡改、泄漏、丟失或未授權(quán)訪問等。數(shù)據(jù)的安全控制策略和安全防護措施，宜基于業(yè)務(wù)需求、安全環(huán)境、用戶行為等因素動態(tài)調(diào)整。數(shù)據(jù)安全治理體系框架如圖1。應(yīng)急響應(yīng)與事件處置應(yīng)急響應(yīng)與事件處置安全審計安全檢查評估溯源監(jiān)測預警日志管理訪問控制數(shù)據(jù)銷毀數(shù)據(jù)刪除數(shù)據(jù)使用數(shù)據(jù)存儲數(shù)據(jù)傳輸數(shù)據(jù)采集數(shù)據(jù)分類分級外部機構(gòu)管理人員安全管理管理制度組織架構(gòu)標準化工作術(shù)語和縮略語基礎(chǔ)通用數(shù)據(jù)安全管理數(shù)據(jù)安全技術(shù)6基礎(chǔ)通用基礎(chǔ)通用包括術(shù)語和縮略語、標準化工作等內(nèi)容，宜遵循GB/T25037.1組織架構(gòu)宜建立自上而下的覆蓋決策、管理、執(zhí)行、監(jiān)督四個層面的組織架構(gòu)，主要內(nèi)容如下：a)決策層主要包括數(shù)據(jù)安全工作的統(tǒng)籌組織、指導推進和協(xié)調(diào)落實；b)管理層主要包括數(shù)據(jù)安全相關(guān)工作的實施、相關(guān)政策和制度的制定評審、設(shè)立崗位職能職責、保障工作資源；c)執(zhí)行層主要包括落實數(shù)據(jù)安全防護措施、數(shù)據(jù)權(quán)限分配、數(shù)據(jù)安全控制、配合執(zhí)行數(shù)據(jù)相關(guān)安全評估及技術(shù)檢測、制定數(shù)據(jù)安全應(yīng)急預案、處置安全事件、記錄數(shù)據(jù)活動日志；d)監(jiān)督層主要包括安全審計、監(jiān)督數(shù)據(jù)安全政策的執(zhí)行、受理數(shù)據(jù)安全和隱私保護相關(guān)投訴和舉報、配合開展外部審計。7.2管理制度7.2.1宜制定數(shù)據(jù)安全總體安全策略、方針、目標、原則，并定期評估和更新。7.2.2宜制定數(shù)據(jù)分類分級原則、要求和工作程序，并定期評估和更新。7.2.3宜建立統(tǒng)一覆蓋數(shù)據(jù)全生命周期關(guān)鍵環(huán)節(jié)的數(shù)據(jù)安全管理制度及實施細則，并定期評估和更新，主要包括：a)制定數(shù)據(jù)安全管理規(guī)定，提出本機構(gòu)數(shù)據(jù)安全生命周期保護工作的總體策略；b)針對不同安全級別的數(shù)據(jù)，制定相應(yīng)的安全策略和保障措施；c)建立數(shù)據(jù)安全日常管理及操作流程，對數(shù)據(jù)生命周期各階段的數(shù)據(jù)保護工作提出具體要求；d)建立合理、統(tǒng)一的密碼使用和密鑰管理技術(shù)規(guī)范和制度；e)建立數(shù)據(jù)脫敏技術(shù)規(guī)范和制度，明確不同安全級別數(shù)據(jù)脫敏規(guī)則、脫敏方法和脫敏數(shù)據(jù)的使用限制，及脫敏操作過程留存日志記錄規(guī)范；f)建立數(shù)據(jù)供應(yīng)方安全管理要求，明確管理內(nèi)容、方式等；g)建立數(shù)據(jù)采集、傳輸、存儲、使用、刪除及銷毀相關(guān)管理制度；h)制定數(shù)據(jù)采集的操作規(guī)程，規(guī)范數(shù)據(jù)采集的渠道、數(shù)據(jù)格式、流程和方式；i)建立數(shù)據(jù)安全評估、個人信息安全影響評估以及內(nèi)外部數(shù)據(jù)安全檢查與評估制度；j)建立數(shù)據(jù)安全事件管理、處置規(guī)程和應(yīng)急響應(yīng)等機制，明確重大數(shù)據(jù)安全事件的處置流程及應(yīng)對方法。7.3人員管理7.3.1建立人員錄用及日常管理制度，主要包括錄用員工背景調(diào)查、保密制度、崗位職能職責、崗位變動要求、終止勞動合同要求、外部人員管理制度等。7.3.2制定數(shù)據(jù)安全相關(guān)崗位人員的安全培訓制度，主要包括培訓計劃、培訓規(guī)程、培訓結(jié)果評價、培訓考核等。7.3.3宜對接觸高安全等級數(shù)據(jù)的人員及其崗位建立審批、登記、定期審查管理制度。7.3.4數(shù)據(jù)庫管理員、操作員及安全審計人員等崗位宜設(shè)立專人專崗制度，數(shù)據(jù)安全關(guān)鍵崗位宜建立雙人雙崗制度。7.4外部機構(gòu)管理7.4.1宜對參與本機構(gòu)數(shù)據(jù)全生命周期過程中的外部機構(gòu)進行管理，建立相關(guān)管理體系。7.4.2建立外部機構(gòu)管理制度，包括但不限于建立外部機構(gòu)審查與評估機制、外部機構(gòu)數(shù)據(jù)使用行為約束機制、外部機構(gòu)及人員安全要求、定期檢查制度、數(shù)據(jù)安全事件反饋機制等。47.4.3宜對接入和涉及的外部產(chǎn)品和服務(wù)建立數(shù)據(jù)安全管理制度，明確接入基本條件，規(guī)定所需的數(shù)據(jù)安全保護能力要求，并制定數(shù)據(jù)處理、安全性驗證、活動監(jiān)視及安全事件處置8.1.2宜根據(jù)本機構(gòu)所屬行業(yè)數(shù)據(jù)敏感程度及其在遭受篡改、破壞、泄露或非法利用后可能對個人、8.1.3數(shù)據(jù)的分類分級方法宜按照GB/T43697及所屬行業(yè)的數(shù)據(jù)分類分級的相關(guān)規(guī)定執(zhí)行。8.2.1宜明確數(shù)據(jù)采集過程中個人和重要數(shù)據(jù)的知悉范圍和安全管控措施，確保采集數(shù)據(jù)的合規(guī)性、8.2.2宜與數(shù)據(jù)所有方簽訂紙質(zhì)或者電子的合同協(xié)議，合同協(xié)議中明確隱私保護政策及約定的采集范8.2.3通過紙質(zhì)表單采集數(shù)據(jù)并轉(zhuǎn)換為電子數(shù)據(jù)時，宜對表單的保存、查閱、復制流轉(zhuǎn)的全過程進行8.2.4數(shù)據(jù)采集還宜符合GB/T41479中5.2的要求。8.3.1宜采用防火墻、入侵檢測等安全技術(shù)或設(shè)8.3.2宜采用密碼技術(shù)或非密碼技術(shù)等方式，確保數(shù)據(jù)傳輸?shù)耐暾?.3.3宜保障數(shù)據(jù)傳輸終端或工具的安全性，終端或工具上線前開展必要的準入控制、終端鑒別、滲8.3.4通信雙方進行身份認證，宜采用數(shù)字簽名、時間戳8.4.1數(shù)據(jù)存儲宜根據(jù)安全級別、重要性、量級、使用頻率等因素，將數(shù)據(jù)分域分級存儲，并采用最8.4.4宜定期開展數(shù)據(jù)存儲及過程的風險評估，動態(tài)完善風險防控措施。8.4.5宜定期開展災(zāi)難恢復演練，動態(tài)調(diào)整備8.5.1宜結(jié)合數(shù)據(jù)主體角色、業(yè)務(wù)需求及時效性，遵循最小夠用原則，設(shè)定數(shù)據(jù)訪問8.5.2宜根據(jù)數(shù)據(jù)分類分級結(jié)果，制定和明確數(shù)據(jù)訪問控制過程中的相關(guān)安全措施，保障數(shù)據(jù)在訪問8.5.4宜根據(jù)最小夠用原則，明確數(shù)據(jù)導出場景、導出數(shù)據(jù)范圍及相58.5.5數(shù)據(jù)導出宜有明確的權(quán)限申請和審核批準機制，并配備安全、完善的實名身份驗證措施。8.5.6數(shù)據(jù)導出宜留存記錄，其留存時間不少于6個月。8.5.7宜明確原始數(shù)據(jù)加工過程中的數(shù)據(jù)獲取方式、訪問接口、授權(quán)機制、邏輯安全及處理結(jié)果安全等要求。8.5.8數(shù)據(jù)加工之前宜進行數(shù)據(jù)安全評估，并采用加密、脫敏等技術(shù)措施保障加工過程的數(shù)據(jù)安全性。8.5.9宜對數(shù)據(jù)加工過程進行必要的監(jiān)督和檢查，確保加工過程的數(shù)據(jù)安全性，并完整記錄數(shù)據(jù)加工過程的操作日志8.5.10數(shù)據(jù)展示前，宜事前評估展示需求，包括展示的包括展示條件、環(huán)境、權(quán)限、內(nèi)容等，確保展示的必要性和安全性。8.5.11數(shù)據(jù)展示時宜符合如下要求：a)展示界面增加水印，包含訪問主體、訪問時間等信息；b)不使用用展示界面的復制、打印等功能，防止數(shù)據(jù)導出；c)業(yè)務(wù)系統(tǒng)對數(shù)據(jù)明文查詢實現(xiàn)逐條授權(quán)、逐條查詢，或具備查詢相關(guān)監(jiān)測預警功能，并留存查詢?nèi)罩尽?.5.12開發(fā)測試宜符合以下要求：a)實現(xiàn)開發(fā)測試環(huán)境數(shù)據(jù)與生產(chǎn)環(huán)境數(shù)據(jù)的有效隔離；b)使用經(jīng)審批授權(quán)的安全運維管理平臺或數(shù)據(jù)提取專用終端獲取數(shù)據(jù)；c)開發(fā)測試過程中產(chǎn)生的數(shù)據(jù)事先進行脫敏處理，防止數(shù)據(jù)泄露，除非國家及行業(yè)主管部門另有規(guī)定；d)使用外部軟件開發(fā)包、組件、源碼等前進行數(shù)據(jù)安全評估；e)制定開發(fā)測試安全審核流程，對數(shù)據(jù)源、需求進行審核，確保數(shù)據(jù)分析的正當性與合法性；f)對開發(fā)測試過程進行日志記錄，并定期進行安全審計。8.5.13宜依法依規(guī)對外公開披露數(shù)據(jù)。8.5.14數(shù)據(jù)公開披露前，宜對擬披露數(shù)據(jù)的合規(guī)性、業(yè)務(wù)需求、數(shù)據(jù)脫敏方案進行審核，確認披露渠道、披露時間、擬公開數(shù)據(jù)的真實性及數(shù)據(jù)脫敏效果。8.5.15依據(jù)機構(gòu)有關(guān)程序執(zhí)行數(shù)據(jù)公開披露審批程序，并留檔審批過程和記錄。8.5.16原則上不宜轉(zhuǎn)讓數(shù)據(jù)，除非滿足國家與行業(yè)主管部門要求、已獲得數(shù)據(jù)轉(zhuǎn)讓相關(guān)授權(quán)或在機構(gòu)收購、兼并、重組等情形下依照規(guī)定履行義務(wù)。8.5.17因機構(gòu)收購、兼并、重組等情況發(fā)生數(shù)據(jù)轉(zhuǎn)讓時，宜履行告知義務(wù)，并確保承接機構(gòu)繼續(xù)履行數(shù)據(jù)安全保護責任；如變更數(shù)據(jù)使用目的，宜重新獲得個人信息主體的明示同意或授權(quán)。8.5.18委托第三方機構(gòu)處理數(shù)據(jù)的，第三方機構(gòu)宜符合以下要求：a)具有相應(yīng)資質(zhì)，并進行事前盡職調(diào)查；b)委托行為不超出已獲授權(quán)及合同約定的數(shù)據(jù)使用范圍；c)對數(shù)據(jù)委托處理行為進行數(shù)據(jù)安全影響評估，涉及個人信息的宜進行個人信息安全影響評估，并采取有效保護措施；d)對被委托方的數(shù)據(jù)安全防護能力進行評估，確保其具備足夠的數(shù)據(jù)安全防護能力。8.5.19在數(shù)據(jù)共享前，宜開展數(shù)據(jù)安全影響評估，評估共享的數(shù)據(jù)內(nèi)容、范圍、時間周期、傳輸方式、用途、安全管控手段等要素，涉及個人信息的不宜超出其授權(quán)范圍，確保數(shù)據(jù)安全保護強度不因數(shù)據(jù)共享而降低。8.5.20宜對數(shù)據(jù)共享過程留存日志記錄，包括共享內(nèi)容、共享時間、防護技術(shù)措施等信息。8.6數(shù)據(jù)刪除68.6.1宜約定數(shù)據(jù)保存期限，對超過保存期限的數(shù)據(jù)進行刪除。8.6.2用于開發(fā)測試、數(shù)據(jù)分析等需求的數(shù)據(jù)，宜在使用完后進行數(shù)據(jù)刪除處理，記錄數(shù)據(jù)刪除處理過程，并及時反饋數(shù)據(jù)刪除處理結(jié)果。8.6.3宜及時開展數(shù)據(jù)刪除的有效性復核和數(shù)據(jù)刪除處理結(jié)果確認。8.7數(shù)據(jù)銷毀8.7.1宜制定數(shù)據(jù)存儲介質(zhì)銷毀操作規(guī)程，明確數(shù)據(jù)存儲介質(zhì)銷毀場景、銷毀技術(shù)措施。8.7.2不再使用的存儲數(shù)據(jù)的介質(zhì)宜采用物理損壞的方式進行銷毀處理；使用中的存儲介質(zhì)宜通過多次覆寫等方式安全地擦除數(shù)據(jù)，確保介質(zhì)中的數(shù)據(jù)不可再被恢復或者以其他形式被利用。8.7.3宜開展數(shù)據(jù)銷毀效果評估，定期對數(shù)據(jù)銷毀效果進行確認。8.8訪問控制8.8.1宜符合GB/T41479中5.2的要求外，同時滿足以下要求：a)依據(jù)“業(yè)務(wù)必需、最小權(quán)限、職責分離”的原則，確定最小訪問權(quán)限；b)配置用戶訪問控制策略，實現(xiàn)身份標識與鑒別。8.9.1宜開展數(shù)據(jù)全生命周期記錄，形成日志記錄，日志記錄包括但不僅限于日期和時間、事件類型、主體身份、事件內(nèi)容、事件結(jié)果等。8.9.2宜對日志記錄進行安全保護，定期開展日志記錄審計，防止未授權(quán)的訪問和輸出，確保日志記錄的安全。8.9.3日志記錄宜留存不少于6個月。9數(shù)據(jù)安全運營9.1溯源監(jiān)測預警9.1.1宜制定數(shù)據(jù)溯源的策略和機制，建立數(shù)據(jù)資產(chǎn)地圖，對數(shù)據(jù)對象進行標記和跟蹤，構(gòu)建和維護數(shù)據(jù)血緣關(guān)系，標識數(shù)據(jù)的來源合法性，評估數(shù)據(jù)質(zhì)量。9.1.2宜構(gòu)建數(shù)據(jù)溯源的安全模型，增強數(shù)據(jù)操作的可追溯性。9.1.3宜采取數(shù)據(jù)流量分析技術(shù)對數(shù)據(jù)采集、傳輸、存儲、使用和分析等關(guān)鍵節(jié)點進行監(jiān)測，監(jiān)測內(nèi)容包括但不僅限于流動類型、流動范圍、數(shù)據(jù)載體、目均量級、數(shù)據(jù)賬號訪問情況、數(shù)據(jù)流向、異常行為、傳輸和下載等信息。9.1.4宜建立數(shù)據(jù)安全預警體系，通過安全設(shè)備、探針等技術(shù)手段，對影響數(shù)據(jù)安全的事件進行識別、發(fā)現(xiàn)、跟蹤、監(jiān)控和告警。9.2安全檢查評估9.2.1宜建立數(shù)據(jù)安全檢查評估機制，定期制定數(shù)據(jù)安全檢查評估計劃。9.2.2當國家及行業(yè)主管部門的相關(guān)要求發(fā)生變化，或產(chǎn)品和服務(wù)發(fā)布前，或業(yè)務(wù)功能發(fā)生重大變化時，宜進行數(shù)據(jù)安全評估。9.2.3每年至少宜開展1次數(shù)據(jù)安全檢查評估，形成數(shù)據(jù)安全評估報告，評估