数据安全管理框架
规章制度
类别 | 举例 |
---|---|
法律法规 | 《刑法》、《数据安全法》、《个人信息保护法》\《中华人民共和国保守国家秘密法》、《中华人民共和国国家安全法》、《中华人民共和国电子签名法》、《计算机信息系统国际联网保密管理规定》、《涉及国家秘密的计算机信息系统分级保护管理办法》、《互联网信息服务管理办法》、《非经营性互联网信息服务备案管理办法》、《计算机信息网络国际联网安全保护管理办法》、《中华人民共和国计算机信息系统安全保护条例》、《信息安全等级保护管理办法》… |
部门规章 | 《工业和信息化领域数据安全管理办法(试行)》… |
标准规范 | 《个人金融信息保护技术规范》、《网络数据分类分级要求》(征求意见稿)、《重要数据识别指南》(送审稿)、《重要数据处理安全要求》、《数据安全风险评估方法》(草案)、《数据安全评估机构能力要求》(草案)… |
行业实践 | 对所有企业数据进行编目、对数据进行分类、使用数据屏蔽、使用数据加密、创建数据收集和保留策略、备份数据、进行安全意识培训 |
工具平台
需求管理平台
合规管理平台
监控审计平台
时间响应平台
资产管理平台
多方学习平台
数据分发平台
协同保障
组织战略
数据治理
网络安全
数据安全生命周期
数据采集、数据传输、数据存储、数据处理、数据交换、数据销毁
数据安全通用管理要求
组织机构的安全治理 | 建立专门的数据安全管理部门或指定安全负责人,负责制定和执行数据安全政策。确保所有人员都能了解其在数据安全中的角色和责任 |
制定和执行数据安全制度和程序 | 制定全面的数据安全制度,涵盖数据的全生命周期。设定明确的操作规程,确保数据处理活动符合组织的安全政策和法律法规要求 |
数据分类和分级保护 | 根据数据的敏感性以及重要性(数据损失、泄露、非法利用造成的危害的影响程度)对数据进行分类分级。一般分为核心数据、重要数据、一般数据。针对不同的级别采取不同的保护措施,以确保数据满足相应级别的安全需求 |
数据资产梳理 | 对组织内的所有数据资产进行系统性地识别、分类、评估和管理。识别数据处理中涉及的数据,包括个人信息、重要数据及其他数据,形成数据保护目录,病保持动态更新 |
访问控制和用户权限管理 | 实施基于角色的访问控制(RBAC),确保人员仅能访问到被授权的数据。定期审查和调整用户的权限,形成全流程的权限管理,尤其是涉及到人员的变更、调岗、离职等 |
风险评估 | 组织应持续实施风险评估流程,以识别、评估、处置数据处理活动中的潜在风险。 |
应急响应和事件管理 | 建立应急响应团队,制定应急响应计划。在发生数据安全事件时,能够迅速启动应急响应机制,最大程度减轻损失,并进行事后的分析溯源,做到持续改进 |
物理环境安全 | 保护数据处理设施的物理环境安全,防止未经授权的访问和环境威胁。如办公环境防盗、防止未授权人员进入,数据基础设施防火防水。 |
审计和监控 | 实施数据处理活动的审计和监控措施,记录关键操作和事件。定期审查审计日志。 |
人员安全意识培训 | 人是安全体系中最薄弱的环节,对人员进行安全意识培训是最简单显著的措施。需定期对员工进行安全意识培训,提升对数据安全潜在威胁的认知。确保员工了解如何安全地处理数据,以及在发现数据安全事件时的应对措施 |
合作方管理 | 对组织共享、处理或者存储数据的外部合作伙伴、供应商或者服务提供商制定一些列安全管控。 |
举报投诉机制 | 为员工或者相关方提供明确、易于访问的举报通道,以报告数据处理中的安全问题、违规行为或者其他担忧 |