附件工业和信息化领域数据安全风险信息报送与共享工作指引试行第一章总则第一条为加强工业和信息化领域数据安全风险信息获取分析研判和预警工作及时掌握工业和信息化领域数据安全整体态势提高数据安全风险处置能力根据中华人民共和国数据安全法等法律法规制定本指引第二条本指引所称数据安全风险信息是指通过检测评估信息搜集授权监测等手段获取的包括但不限于数据泄露数据篡改数据滥用违规传输非法访问流量异常等数据安全风险一数据泄露包括但不限于数据被恶意获取或者转移发布至不安全环境等相关风险二数据篡改包括但不限于造成数据破坏的修改增加删除等相关风险三数据滥用包括但不限于数据超范围超用途超时间使用等相关风险四违规传输包括但不限于数据未按照有关规定擅自进行传输等相关风险五非法访问包括但不限于数据遭未授权访问等相关风险六流量异常包括但不限于数据流量规模异常流量内容异常等相关风险七其他信息包括由相关政府部门组织授权监测的暴露在互联网上的数据库大数据平台等数据资产信息以及有关单位掌握的威胁数据安全的其他风险信息等第三条本指引所称风险信息报送是指有关单位向工业和信息化部地方工业和信息化主管部门地方通信管理局报送数据安全风险信息的行为第四条本指引所称风险信息共享是指经工业和信息化部地方工业和信息化主管部门地方通信管理局审核授权后向有关部门单位告知风险提示的行为第五条风险信息报送与共享工作坚持及时客观准确真实完整的原则不得迟报瞒报谎报第二章组织机构及职责第六条工业和信息化部指导监督工业和信息化领域数据安全风险信息报送与共享工作具体工作由工业和信息化部网络安全管理局以下简称网安局会同各相关业务司局共同开展其中网安局统筹协调风险信息报送与共享工作各相关业务司局负责参与风险信息评估研判处置等工作第七条地方工业和信息化主管部门负责本地区工业领域数据安全风险信息报送与共享工作地方通信管理局负责本地区电信和互联网领域数据安全风险信息报送与共享工作第八条工业和信息化部网安局组织建设运行工业和信息化领域数据安全风险信息报送与共享平台以下简称平台收集汇总数据安全风险信息并发布通报风险提示第九条工业和信息化部选择有条件的部属单位作为支撑单位负责运行维护平台并支撑工业和信息化部网安局开展风险信息报送与共享工作第三章风险信息报送第十条工业和信息化部网安局鼓励部系统各单位安全企业数据处理者科研院所行业组织等单位以下简称风险报送单位开展风险信息报送遴选支撑服务能力强技术水平高报送信息质量优的单位建立风险直报单位名录并实施名录动态管理地方工业和信息化主管部门地方通信管理局应当组织开展本地区风险报送单位遴选推荐等工作建立本地区风险报送单位名录并加强名录管理第十一条风险直报单位应当通过平台直接向工业和信息化部网安局报送数据安全风险信息其他风险报送单位应当通过平台及时向所在地工业和信息化主管部门通信管理局报送掌握的工业电信和互联网领域数据安全风险信息第十二条地方工业和信息化主管部门地方通信管理局应当组织开展本地区风险信息报送工作审核研判本地区收到的风险信息及时向工业和信息化部网安局报送涉及重要数据和核心数据的跨地区的或者可能造成重大事件的相关风险信息并每半年向工业和信息化部网安局报送风险信息报送工作总结第四章风险信息研判与共享第十三条工业和信息化部网安局组织支撑单位对部级平台收到的风险信息进行评估和研判对于确认的风险信息开展共享和通报达到应急标准的应当同时启动应急预案支撑单位对风险信息进行分类研判整理及时分析总结风险信息报送与共享情况并向工业和信息化部网安局报送第十四条工业和信息化部网安局根据数据安全风险影响范围等情况分别开展以下风险信息共享和通报工作一对于可能影响社会公众的风险信息可通过部网站等渠道通报二对于区域性的风险信息通报至有关地方工业和信息化主管部门或者地方通信管理局三对于能够确定具体通报单位的同时向该单位主体及其所在地工业和信息化主管部门或者通信管理局通报四工业和信息化部网安局加强数据安全态势分析不定期通报行业数据安全情况第十五条地方工业和信息化主管部门地方通信管理局应当及时接收工业和信息化部网安局发送的数据安全风险信息并指导督促相关单位开展风险处置应当及时研判分析本地区数据安全风险信息并将相关信息通报至相关单位进行处置第十六条数据处理者接到通报信息后应当及时处置风险并按要求反馈处置情况第五章保障措施第十七条工业和信息化部网安局组建数据安全风险分析专家组为风险信息报送与共享工作提供技术咨询和决策支持第十八条工业和信息化部网安局每年对风险报送单位报送信息的数量质量等进行评比对表现突出的单位予以鼓励第十九条地方工业和信息化主管部门地方通信管理局风险报送单位应当指定风险信息报送与共享工作联络员报工业和信息化部网安局备案联络员和联络方式发生变化时应当在个工作日内报送变更情况应当加强数据安全风险信息报送与共享工作保障对表现突出的风险报送单位予以鼓励第二十条参与风险信息报送与共享工作的相关机构和人员应当对获悉的信息承担保密义务不得泄露或者非法向他人提供第二十一条地方工业和信息化主管部门地方通信管理局应当参照本指引建立完善本地区工业电信和互联网领域数据安全风险信息报送和共享工作机制第二十二条本指引自发布之日起实施附件风险信息报送模板数据安全风险信息年月日风险报送单位发现公司风险所在单位系统存在数据安全风险有关情况如下一风险基本情况一风险类别和级别风险类别风险级别二风险涉及数据情况涉及数据类型涉及数据级别涉及数据量暂时无法确定的可写暂不确定三风险产生时间年月日暂时无法确定的可写暂不确定四风险范围影响地区影响单位影响行业参考本指引第二条所列举的风险类型风险级别分为高危中危低危其中高危风险主要指涉及重要数据或核心数据的或者涉及数据量大影响区域范围广的风险中危风险主要指涉及数据量较少影响范围较小的风险低危风险主要指造成轻微影响的风险数据类型参考工业和信息化领域数据安全管理办法试行中列举的主要类型可在此基础上进行细分类数据级别包括核心数据重要数据一般数据五风险概述简要概述风险情况五其他风险相关信息系统名称系统域名地址端口风险所属地区所属运营商备案号二风险分析描述风险产生原因发现方式验证情况及风险后果影响并提供截图等证明三风险处置建议针对风险提出处置建议四风险报送单位单位名称联系人及联系方式附件风险信息报送工作总结模板数据安全风险信息报送工作总结年月至月主管部门数据安全风险信息报送工作总结如下一风险报送基本情况一风险类型与级别情况报送的风险包括数据泄露起数据篡改起数据滥用起其中高危风险起中危风险起低危风险起二风险地域分布情况报送的风险涉及等共个城市风险数量最多的前三位城市分别是起起起高危风险最多的前三位城市分别是起起起其中跨地区的风险有起主要涉及等地区三风险行业分布情况报送的风险涉及等共个行业风险数量最多的前三位行业分别是起起起高危风险最多的前三位行业分别是起起起四风险涉及数据情况报送的风险涉及等数据类型其中涉及类的有起涉及类的有起涉及核心数据的有起涉及重要数据的有起涉及一般数据的有起已研判确定存在风险的数据量是五风险通报处置情况已通报家企业进行风险处置家已完成处置二存在的问题三下一步工作计划及建议附件风险报送与处置情况汇总表序号风险报送时间风险名称风险类别与级别风险所在单位风险处置情况风险报送单位附件工业和信息化领域数据安全风险报送单位申报要求申报工业和信息化领域数据安全风险报送单位应当符合下列基本条件一在中华人民共和国境内注册成立取得独立法人资格二遵守中华人民共和国法律法规和相关规定在信用中国的查询信息中无不良记录年内无违法违规记录对国家安全社会秩序公共利益不构成威胁三注册资金在万元人民币以上组织管理结构和产权关系明晰独立经营核算四从事数据安全相关工作年以上在工业电信和互联网数据安全领域有一定的综合实力和技术优势有固定的场所和必要的设施具备必要的数据安全风险发现分析研判处置等技术能力和业务积累五具有年以上数据安全相关工作经历的技术团队人员不少于人其中取得数据安全网络安全计算机等相关专业资质证书的人员不少于人相关人员年内无违法违规记录六支持提供小时风险研判应急处置等相关服务七自愿签订承诺书严格遵守相关要求自觉接受工业和信息化部网络安全管理局监督和指导发生违法违规行为或违约行为的将自动撤销风险报送单位资格年内不得重新申请附件工业和信息化领域数据安全风险报送单位承诺书工业和信息化部网络安全管理局我单位申报工业和信息化领域数据安全风险报送单位严格遵守相关工作要求并自愿作出以下承诺一不以非法方式开展数据安全风险监测检测等工作二不以非法方式收集数据安全相关风险信息三及时报送所发现的数据安全风险未经主管部门确认不擅自披露风险四对报送信息的客观性准确性真实性完整性负责五对报送信息内容负有保密责任所报送的信息内容不涉及国家秘密个人隐私信息和其他敏感信息六支持提供小时风险研判应急处置等相关服务七存在责任落实不到位造成重大安全事件严重违法违规等行为的将妥善处理善后事宜我单位对违反上述承诺导致的后果承担全部法律责任单位负责人加盖公章年月日