ICS 35.020 CCS L09 2201 长 春 市 地 方 标 准 DB 2201/T 18—2022 政务数据安全管理责任指南 Guidelines for management responsibility of government data security 2022 - 01 - 14 发布 2022 - 01 - 30 实施 长春市市场监督管理局  发 布 DB 2201/T 18—2022 前 言 本文件按照GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定 起草。 本文件的某些内容可能涉及专利，本文件的发布机构不承担识别专利的责任。 本文件由长春市政务服务和数字化建设管理局提出并归口。 本文件主要起草单位：长春市政务服务和数字化建设管理局、杭州安恒信息技术股份有限公司。 本文件主要起草人：刘竞雄、丁慧东、柳羽辉、戚志军、孟红月、刘烁、冷皓、吴晨、吴怡、金晓 雳、王振斌。 I DB 2201/T 18—2022 政务数据安全管理责任指南 1 范围 本文件规定了政务数据安全涉及的数据管理相关方、数据管理组织、数据提供者及数据运营者的管 理责任。 本文件适用于政务数据安全的管理责任工作。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T 25069 信息安全技术 术语 GB/T 35295 信息技术 大数据 术语 3 术语和定义 GB/T 25069 和 GB/T 35295 界定的以及下列术语和定义适用于本文件。 服务第三方 third party service provider 提供相关数据管理服务的供应方。 数据管理组织 Data management organization 政府赋予数据管理职能的组织。 数据血缘 Data Lineage 数据在产生、传输、存储、处理、交换到销毁的全生命周期过程中，数据之间形成的可追溯的关联 关系。 数据安全审计 data security audit 根据数据安全审计的要求，对数据本身以及与其形成过程安全相关的内部控制和流程进行检查、 评价，并发表审计意见。 4 缩略语 1 DB 2201/T 18—2022 下列缩略语适用于本文件。 API:应用程序编程接口(Application Programming Interface) ETL:数据仓库技术(Extract-Transform-Load) 5 数据管理相关方 数据管理相关方包括：数据安全管理组织、数据提供者、数据使用者、数据运营者。 数据安全管理组织应履行数据安全管理、安全执行、安全审计、数据共享管理的职责。 a) 数据安全管理者负责数据安全相关领域和环节的决策，制定并审议数据安全相关制度，监督 执行和组织落实业务部门数据安全相关工作。 b) 数据安全执行者负责数据安全相关领域和环节工作的执行，制定数据安全相关细则，落实各 项安全措施，配合数据安全管理者开展各项工作。 c) 数据安全审计者对安全策略的适当性进行评价，帮助检测安全违规，并生成安全审计报告。 d) 数据共享管理者对数据共享交换等平台和过程进行管理，执行数据安全管理者分配的工作任 务。 数据提供者是参与政务数据在开放、共享、交换、交易等过程的采集数据进行处理的人员或组织。 数据使用者在开放、共享、交换、交易等过程中获取数据的人员或组织。 数据运营者是对政务数据在开放、共享、交换、交易等过程中进行控制的人员或组织。 6 数据管理组织 数据安全管理者责任包括但不限于： a) 确定数据的分类分级初始值，制定数据分类分级指南。与提供数据的业务部门合作，确定数 据的安全级别； b) 综合考虑法律法规、政策、标准、数据分析技术水平、组织所处行业特殊性等因素，评估数 据安全风险，制定数据安全基本要求； c) 对数据访问进行授权； d) 建立相应的数据安全管理监督机制，监视数据安全管理机制的有效性； e) 组织人员培训，应建立数据安全培训机制，定期组织开展数据安全专项培训。 数据安全执行者责任包含但不限于： a) 根据数据安全管理者的要求实施安全措施； b) 为数据安全管理者授权的相关方分配数据访问权限和机制； c) 配合数据安全管理者处置安全事件； d) 记录数据活动的相关日志。 e) 定期组织开展对数据开放、共享、交换、交易等过程的数据安全检查；定期对数据使用者的 数据安全防护能力进行评估。 f) 当发生重大数据安全事件时，数据管理组织应牵头成立调查组对发生安全事件的相关方进行 调查，调查组可以调阅、摘抄、复制与数据安全事件有关的资料，封存有关设备，进行调查 取证；根据调查结果对相关数据提供、管理、运营及使用的相关方进行责任追究，责令限期 整改；对造成重大损失或者社会影响的，责令暂停相关业务，涉及违法犯罪的由公安机关依 法查处。 2 DB 2201/T 18—2022 数据安全审计者责任包含但不限于： a) 审计数据活动的主体、操作及对象等相关属性，确保数据活动的过程和相关操作符合安全要求； b) 定期审计数据安全的管理情况； c) 出具数据安全审计报告。 d) 监督和推动各方对审计结果进行确认、整改、复测、关闭；对审计中的高危风险及时汇报给数 据安全管理者，确保风险有人负责处置过程，并对处置过程进行验证。 数据共享管理者责任包含但不限于： a) 建立数据资源共享管理制度，负责数据资源目录的编制、审核和维护； b) 依据数据资源目录审核归集的数据资源，确保归集数据合规性、准确性和完整性； c) 牵头制定数据分类分级标准，开展相关工作； d) 牵头制定数据使用的策略和规则，对数据使用者的数据共享申请进行审批； e) 对数据使用者的分析数据结果输出进行抽查。 7 数据提供者 数据提供者责任包括但不限于： a) 向数据管理组织提供数据资源目录； b) 遵循“一数一源”和必要及最小化的原则采集数据，不宜重复采集通过共享方式获取的数据 资源； c) 给出采集和提供数据的共享范围、共享期限、共享用途和数据保存期限； d) 对数据使用者提交的数据共享申请，根据履职需要和最小化原则，进行审批授权； e) 对共享的数据设置对应的数据分类分级标签； f) 通过技术手段确保共享数据的完整性和一致性，并按照约定的频率更新数据。 8 数据使用者 数据使用者责任包括但不限于： a) 基于业务场景向数据提供者或数据管理者申请数据共享，明确数据的使用目的、范围、期限、 更新频率等具体使用需求； b) 不再对脱敏后的个人信息和敏感数据进行再识别； c) 根据共享数据的保存期限进行数据销毁工作； d) 根据获取到的共享数据的安全级别，采取相应等级的安全防护措施进行防护； e) 根据业务需求对共享数据进行再次加工时，联合数据管理者对加工后的数据进行识别和设置 分类分级标签，并采取相应等级的防护措施进行安全防护； f) 完整记录数据使用过程中的操作日志； g) 明确数据使用的第一责任人。 9 数据运营者 数据运营者安全责任包括但不限于： 3 DB 2201/T 18—2022 a) b) c) d) e) f) g) h) i) j) k) l) 进行书面安全承诺，承诺提供的产品和服务不包含恶意程序、隐蔽接口或未明示功能的模块 等； 建立并执行针对产品和服务安全缺陷、漏洞的应急响应机制和流程，在发现提供的产品和服 务存在安全缺陷、漏洞时，立即采取修复或替代方案等补救措施，及时告知用户安全风险， 并向数据管理者报告； 收集用户信息应明确告知收集用户信息的目的、用途、范围和类型，在用户明示同意后，按 照最少够用原则收集实现产品和服务功能所需的最少用户信息，并采取安全措施保护用户信 息的安全； 产品和服务上线前应告知数据管理者上线计划，并接受数据管理者或由数据管理者授权委托 的服务方进行安全检查； 建立内部监督审计机制，对提供服务的人员进行监督和审计，签订保密协议，确保其不泄露 用户的业务数据； 接受数据管理组织的安全监管工作，按监管要求提供相关交付件供数据管理者或监管服务方 审核评估，并对通报的安全风险进行及时整改； 根据数据管理者制定的安全策略和规则进行数据的访问授权管理工作； 提供服务 API 的用户鉴别、鉴权和访问控制的能力，并支持服务 API 的调用日志记录和外发； 采取措施保障服务 API 自身的安全性，确保服务 API 具备防重放、代码注入、拒绝服务攻击 等攻击防护能力；提供服务 API 过载保护的能力，实现不同服务等级用户间业务的公平性和 系统整体性处理能力的最大化。 对归集的数据保留原始表，不做任何加工清洗，以满足溯源、数据质量核查等需求； 提供数据 ETL 服务的应根据质量规则进行标准化处理，并通过技术手段保障数据的一致性。 对所有的 ETL 过程应记录日志，并可提供给第三方进行审计； 提供数据同步服务的通过技术手段保障数据同步过程的一致性，记录数据同步过程的所有日 志，并可提供给第三方进行审计； 提供数据分析计算服务的应配合数据管理者或数据使用者对新生成的数据进行识别和设置分 类分级标签。 4 DB 2201/T 18—2022 参 考 文 献 [1] GB/T 22239—2019 信息安全技术 网络安全等级保护基本要求 [2] GB/T 35274—2017 信息安全技术 大数据服务安全能力要求 [3] GB/T 37973—2019 信息安全技术 大数据安全管理指南 5