数据安全-通用性管理评估

评估项

评估子项

判定标准

判定结果

判定说明

资产梳理

资产梳理记录

（1）业务部门是否按照数据资产的安全管理目标和原则，定期梳理业务数据情况，形成业务数据资产清单。

(2)（可选）业务部门是否对业务安全域内外系统或设备接入情况进行全面区分，并留存相关文档记录备查。

(3)（可选）业务部门是否留存数据资产变更记录，对数据资产使用、留存及报废等状态进行登记，并针对已形成的数据资产清单定期更新数据资产变更记录

数据资产清单

业务部门是否根据规范要求，针对各业务数据库中存储的数据字段进行关联指向，每年对已形成的数据资产清单进行更新

分类分级

数据分类分级管理标识

(1)业务部门是否建立业务数据分类分级清单，依据数据分类分级制度策略，结合数据分类分级管控系统对象，完成各数库表字段映射，梳理形成包含数据类别、数据定位、数据范围、对应系统数据等内容的数据分类分级清单。

(2)业务部门是否根据数据分类分级变更情况进行动态更新并留存更新记录。

(3)（可选）业务部门是否根据分类分级制度策略，实现数据资产的分类分级标识（如通过对数据字段或数据库表单打标签等形式）

权限管理

数据处理活动平台系统账号管理

(1)业务部门是否建立并定期更新业务支撑系统权限分配表，对能够处理用户个人信息的业务支撑系统账号进行定期梳理，并对岗位角色的权限进行规范，重点关注离职人员账号回收、账号权限变更、沉默账号安全等问题。

(2)（可选）业务部门是否针对开发运维人员、第三方人员在创建和注销系统账号时，严格遵循系统账号创建和注销申请审批流程，并记录审批过程和结果。

数据处理活动平台系统权限管控

(1)业务系统账号权限分配是否遵循“权限明确、职责分离、知其所需、最小特权”的原则，严格控制超级管理员权限账号数量。

(2)（可选）业务系统账号是否按照角色或用户组进行授权

业务支撑系统访问控制

(1)（可选）业务系统是否通过基于IP或MAC地址、账号口令等的方式对所有接入数据处理活动平台系统的用户或业务进行身份认证和权限控制；

(2)（可选）业务系统是否配置口令复杂度策略，如：口令长度不少于8位，使用大写字母、小写字母、数字及特殊字符中至少三种的组合，且与用户名、字符顺序无相关性；

(3)（可选）业务系统是否配置账号锁定策略，对系统账号口令输入尝试次数进行限制；

(4)（可选）业务系统是否对口令遗忘的申请和重置流程实施严格管理，确保口令重置流程无业务逻辑设计缺陷，并留存申请和重置记录；

(5)（可选）业务系统是否采取掩码显示、加密传输、加密存储等方式保护账号口令安全；在使用密码技术时，制定密码密钥配用和管理要求，对密钥的生成、分发、验证、更新、存储、备份、有效期、销毁进行管理，对密钥的使用实施权限管理、存储隔离和安全审计；对密码算法的配用是否进行规范，并采用公认安全的、标准化公开的加密算法；在使用密码技术作为脱敏的手段时，是否规范数据的加密和脱敏过程，并保证密钥、相关参数的安全性；若采用哈希加盐的方式进行口令保护，盐值是否安全存储

日志留存

日志记录完整、准确、可查

(1)业务运维管理人员操作日志记录信息是否包括执行时间、操作账号、处理方式、授权情况、登录信息等。

日志记录时间要求

(1)业务网络运行状态、网络安全事件相关的日志记录保存时间是否不少于6个月；是否定期对网络日志进行备份，防止数据安全事件导致的日志被删除

日志操作权限控制

(1)业务日志审计权限是否与系统管理权限、策略管理权限分立设置；是否对业务日志操作人员操作进行权限控制，避免非法删除、修改和覆盖。

安全审计

数据安全审计实践

(1)是否配备相应审计人员，并按半年为单位滚动数据安全审计。

(2)（可选）业务数据安全审计内容是否包括业务权限控制（数据非授权访问）、业务数据流向跟踪情况（批量复制或转移）、数据安全保障措施有效性等，应能够发现和处置业务数据非授权访问、批量导出等异常情况

数据安全审计报告

(1)是否留存业务系统数据安全审计记录并形成数据安全审计报告。

(2)（可选）数据安全审计报告是否完整记载安全审计发现的问题，审计数据记录内容是否至少包括：操作时间、操作主体、操作类型、操作对象、操作结果；是否针对有关问题提出改进方案并要求落实解决，是否针对有关问题进行复核、处置，并留存异常情况处置记录

应急响应

数据安全事件应急预案

(1)业务部门是否制定业务数据安全事件应急响应预案，数据安全事件场景包括但不限于数据泄露（丢失）、数据滥用、数据被篡改、数据被损毁、数据违规使用等特定场景。

(2)（可选）业务数据安全事件应急响应预案是否明确应急响应工作责任分工、实施环节、需配套的应急响应措施，实施环节应包括事件监测、定位、分级、启动、响应处置、报告、事件评估、结束响应、应急总结、情况跟踪等阶段

数据安全事件处置

(1)企业是否在发生数据安全事件时及时按照应急预案实施应急措施，视情况将事件情况、应急措施以及可能造成的影响等向电信主管部门报告，并留存应急响应处置记录。

(2)（可选）应急响应措施是否包括监测预警（预警分级、事件监测、信息报告、预警发布）、应急响应（先期处置、响应、信息发布、应急处置结束）、恢复重建（恢复生产、安全加固、事件总结）。

(3)发生的数据安全事件涉及个人信息时，企业是否及时将事件相关情况以邮件、信函、电话、推送通知等方式告知受影响的个人信息主体。难以逐一告知个人信息主体时，采取合理、有效的方式发布与公众有关的警示信息；企业告知内容是否包括但不限于安全事件的内容和影响、已采取或将要采取的处置措施、个人信息主体自主防范或降低风险的建议、针对个人信息主体提供的补救措施、个人信息保护负责人及个人信息保护工作机构的联系方式。

(4)业务部门是否及时总结数据安全事件情况，分析原因、查找问题，调整业务数据安全策略，形成事件调查记录和总结报告，避免再次发生类似情况。

数据安全事件应急演练

(1)业务部门是否根据数据安全事件应急响应预案，制定演练计划并定期组织演练，保存相关演练记录。

举报投诉处理

公开举报投诉渠道

(1)业务是否面向用户提供数据安全举报投诉渠道和有效的联系方式，是否至少采用以下一种：电子邮件、电话、传真、在线客服、在线表格等；是否能够受理与用户个人信息保护相关的举报投诉，例如用户个人信息违规采集、使用、共享等；若通过官方网站设置投诉举报信息提交窗口，是否可提交投诉举报人、问题、建议等内容。

举报投诉处理记录

(1)是否留存业务数据安全投诉处理记录，是否针对有效举报线索依法依规组织开展处置和记录工作，并自接到投诉之日起十五日内答复投诉人

合作方管理

资质审核

(1)企业是否对合作方资质进行审核，需求部门是否在业务合作开展前，对合作方的信用情况、是否发生过数据安全事件等进行调研，对合作方数据安全保护能力进行合规性评估，确保其具备相应的保密及运营资质。

(2)是否明确在业务合作涉及个人信息时，要求合作方就个人信息保护工作按本标准进行企业整体数据安全合规性评估，并在评估通过后签订服务合同。是否明确业务在合作期限内，业务需求部门应定期组织企业相关部门对合作方进行动态合规性评估，及时发现存在的安全风险，并督促整改。

主体授权

(1)是否在个人信息主体授权同意的范围内，与合作方开展委托处理等合作，并与合作方签订服务合同，明确合作方数据使用目的、范围，严禁合作方超出合同约定目的和范围使用分析个人信息。

多个合作方管理

(1)针对同一业务涉及多个合作方的，是否在与合作方签订的服务合同中应明确“未经数据发送方同意，合作方之间不得进行数据交换”条款。

安全技术

(1)（可选）业务部门是否按照巡查制度要求，针对合作涉及服务器、数据库等系统平台至少每月开展一次巡查工作，巡查方式应包括但不限于与漏洞扫描、基线检查和代码审计等，并对发现的问题及时督促整改，强化合作方数据防篡改、防泄漏以及数据脱敏、数据审计等安全技术措施，留存漏洞扫描、基线检查和代码审计结果和问题整改报告。

接口审核

(1)（可选）业务部门是否对合作方接口可查询的时限和范围进行严格审核，严禁合作方自行确定查询范围，并在合作方系统退出服务时，及时关闭相应接口

数据脱敏

(1)业务是否具有对合作方使用数据进行脱敏处理的相关要求，并按要求执行。

服务合同

（1）合作方及其参与项目的员工可以接触到的数据处理相关平台系统范围，及其数据使用权限、内容、范围及用途，数据使用权限、内容、范围及用途应符合最小化原则。

（2）合作方数据安全保护责任，如合作方不得未经同意改变数据使用的目的、方式和范围；合作方不得缓存、窃取、泄露、滥用、非法向他人提供用户个人信息、不得对数据进行加工后还原成原始数据；合作方应遵守本企业相关管理办法，并接受必要的安全监控和审计等。针对合作事项涉及的数据安全风险，合作方配备的安全保护措施。

（3）合作结束后，合作方及时删除数据。

（4）合作方违约责任和处罚条款。

（5）对于工作中可接触企业数据的合作方员工，应签订个人安全保密承诺书，明确数据安全

保护责任。对于持有相关平台系统账号的员工，应遵守账号管理要求。

（6）在技术服务中涉及采集数据的，合作方应说明数据来源，并对数据来源的合法性进行确认，确保外部数据采集渠道的合法合规。

接入管理

(1)（可选）业务部门是否按照合作方系统接入备案管理要求和流程，在合作方系统需接入本企业系统时，由需求部门发起到组织机构数据安全管理部门申请备案，留存备案记录。

(2)（可选）业务系统是否在合作方终端接入本企业内部网络时，进行严格接入认证，并配置安全控制策略；是否能够限制对网口和无线上网的使用，并统一要求安装防病毒软件，及时更新防病毒软件病毒库，确保防病毒软件有效运行；在发现U盘等外设拷贝设备时应能及时进行告警

权限管理

(1)（可选）是否对业务合作方账号实行严格管理（1）明确禁止合作方掌握系统管理员权限，禁止为合作方分配具备创建系统账号或者其他超出工作范围权限的高权限账号；

(2)特殊情况下，合作方若需要获得系统管理员权限或涉敏权限，需进行临时授权并严格监控，留存授权审批记录，工作完成后及时收回权限；

(3)按照制度要求定期对全量合作方账号进行严格审核，控制涉敏人员的范围；

(4)在合作方人员转岗或离岗前，要求合作方公司提交合作方人员转岗或离岗申请书，由业务部门根据相关规定完成合作方人员的账号回收、审核、网络调整等工作，并签署转岗或离岗审批意见后，方可转岗或离岗

行为监测

(1)业务部门是否对合作方数据使用用途进行审计、行为约束和监督管理；落实业务合作方数据用途报备机制，按照报备周期，要求合作方定期上报数据使用用途情况，留存相应的工作记录。

(2)（可选）业务部门是否按照合作方考核制度要求，对合作方开展考核工作；是否定期检查合作方在数据使用、管理等方面的安全制度和执行情况，对检查过程中发现的问题责成其在规定时限内整改。

(3)企业是否建立合作方信用档案，记录合作方数据泄露、滥用等违规行为；是否建立合作方黑名单机制，将存在数据泄露、数据滥用等违规行为的企业纳入黑名单，不得将数据转移共享给存在数据泄露、数据滥用等违规行为的企业。

数据销毁

(1)企业是否在与合作方签订的服务合同中，明确数据使用期限，并在业务合作结束后，采取有效措施督促合作方按照合同约定及时删除企业提供的原始数据。数据销毁是否由本企业内部工作人员现场进行有效监督，确保数据删除不可恢复，并留存数据删除记录。脱敏后的数据可不在删除的范围之内

合作方物理环境管理

（1）（可选）严格控制落实数据核心安全区进入审批流程；

（2）严格控制落实第三方人员进行数据核心安全区的审批流程。

平台系统安全管理

数据防泄漏

(1)企业是否已完成数据防泄漏系统立项项目建议书编制、定稿，如集团公司在年内启动规划，企业是否已向本单位规划部门正式提出申请。业务是否接入企业集中数据防泄漏系统或配备数据防泄露能力。数据防泄漏系统是否具备对网络、邮件、FTP、USB等多种数据导入导出渠道进行实时监控的能力，及时对异常数据操作行为进行预警拦截，防范数据泄露风险。

接口安全管理

(1)面向互联网及合作方开放的数据接口是否具备接口认证鉴权，能够限制违规设备接入；对涉及个人信息和重要数据的传输接口实施调用审批。

(2)企业是否已完成接口管理系统或业务系统功能升级立项项目建议书编制、定稿，如集团公司在年内启动规划，企业是否已向本单位规划部门正式提出申请。接口管理系统或业务系统升级功能是否能够对接口调用进行必要的自动监控和处理；是否对涉及个人信息和重要数据的传输接口定期开展接口日志审计。

(3)业务是否制定业务平台接口开发规范和协议，接口技术实现方式是否符合规范和协议内容（含公有和私有协议），并对协议与接口进行安全测试，接口安全管理和技术配备是否满足如下要求：

(4)（可选）具备系统间接口的认证鉴权能力，通过MAC地址、IP地址或端口号绑定等方式限制违规设备接入，实施数据流程控制、关键操作日志管理。

(5)（可选）定期对传输接口管理和技术管控措施部署情况进行梳理，至少每年更新并形成接口梳理情况清单。清单应包括：存在数据传输接口的系统、对端单位、对端系统、实现方式、接口类型（如：实时调用接口、文件传输接口等）、对外接口传输数据种类以及目前使用的安全防护措施（如：访问控制、加密、数据脱敏、日志审计等），应对照清单及时监控发现低活跃接口或废置接口，并采取相应处理措施。

(6)对涉及个人信息传输的接口进行识别和梳理，对接口调用实施控制，包括流控制、流量监控、调用过载保护等，并对接口调用进行日志记录，定期对接口权限控制、传输等相关功能进行安全评估，核实安全措施的有效性。

(7)针对涉及个人信息的应用开放接口进行有效管理，记录接口的访问参数（如账号、访问时间、访问内容等），并进行必要的关联分析，防止数据滥用、数据窃取等行为。

(8)（可选）与数据开放共享接口调用方签署合作协议，在合作协议中明确了对数据的使用目的、供应方式、保密约定等。

(9)定期对本业务对外数据接口进行清查，对不符合要求的对外数据接口立刻予以关停

系统安全防护

(1)（可选）业务部门是否定期进行业务系统级和代码级的安全漏洞扫描，对发现的安全漏洞进行及时进行安全加固。

(2)（可选）业务系统是否部署防恶意代码策略，屏蔽危险病毒端口，部署防病毒工具，定期进行平台恶意代码检测和病毒库升级，应对恶意代码监测、病毒库升级留存记录。

(3)（可选）业务部门是否依据边界安全控制策略和管理规则落实保障措施，如身份鉴别、连接管理、网络访问控制、入侵防范等，并确保涉及用户个人信息的系统位于核心安全域。

密钥管理

(1)（可选）业务系统是否依据密码密钥配用和管理要求，对密钥的生成、分发、验证、更新、存储、备份、有效期、销毁进行管理，对密钥的使用实施权限管理、存储隔离和安全审计。应采用公认安全的、标准化公开的加密算法。如使用密码技术作为脱敏的手段，需要按要求落实数据的加密和脱敏过程，并保证密钥、相关参数的安全性。

处理安全

(1)业务系统的数据处理层是否提供相应的鉴权机制，确保只有合法的用户或应用程序才能发起数据处理请求。

(2)（可选）业务系统的数据处理层是否能够支持对敏感数据的识别、过滤、屏蔽、隐藏，使管理员能够灵活控制返回给用户的敏感信息，从而达到敏感数据保护的目的。

(3)（可选）业务系统是否通过统一的入口控制点对访问数据平台的所有应用提供统一认证，对所有上层应用的访问进行细粒度授权，防止越权访问。

(4)（可选）业务系统是否支持对某些敏感信息通过脱敏规则进行数据的变形，实现敏感数据的可靠保护，实现在不泄露用户个人信息的前提下保障业务系统的正常运行。

(5)（可选）是否针对执行的逻辑代码进行严格的代码安全审查，避免代码执行非期望操作造成用户隐私信息泄漏

异常检测

(1)（可选）是否对业务系统防火墙、入侵检测系统等防护手段的工作状态进行监测。

(2)（可选）是否能够进行应用异常行为分析、发现及告警功能，便于及时发现数据平台中可能存在的风险点及攻击行为，强化应用安全管控，保证数据安全。应能够对应用的以下异常行为进行监测并告警：

(3)应用的非授权访问行为监测与告警（如不具有敏感数据访问权限的应用请求访问敏感数据）。

(4)非合规参数数据访问行为监测与告警。

(5)应用访问执行流异常行为监测与告警。

(6)数据平台流量异常的应用访问行为监测与告警。

1）扫描关注微信，设为星标。

2）下载地址：微信公众号回复"sjaqty"获取文档下载

免责声明：本工具不得用于商业用途,仅做学习交流，如用作他途造成的一切后果请自行承担，公众号袁哥大话安全不为此承担任何责任！如有侵权烦请告知，本号会立即删除并致歉。谢谢！