文件编码：XXX-XXXX-013 数据加密管理规范 发布/修订日期：2022 年 6 月 20 日 生 效 日 期： 2022 年 6 月 20 日 北京思度咨询科技有限公司文件修改记录 序 号文件代码修改章节文件更改通知单编号 修改日期修改人批准人第一章 总则 第一条 为保护数据资产的保密性、完整性和可用性，有效管理密钥，特制 定此规范。 第二条 本规范适用于指导北京思度咨询科技有限公司的数据加密及密钥管 理工作。 第二章职责权限 第三条 数据安全管理员负责统筹规划数据加密工作，主要履行的职责包括 但不限于： （一）负责组织制定适用于北京思度咨询科技有限公司及其他相关方的数据 加密的相关制度、策略； （二）负责组织制定密钥的管理策略； 第四条 数据安全管理小组，负责监督数据加密相关工作的执行情况，主要 履行的职责包括但不限于： （一）负责监督数据加密制度执行情况，及时发现存在的问题，并上报数据 安全领导小组； （二）组织开展数据加密安全检查工作，确保敏感数据均按照要求执行了加 密工作； （三）定期检查密钥的使用情况和管理情况。 第五条 数据脱敏安全岗主要履行的职责包括但不限于： （一）参与制定数据加密的制度、策略等； （二）依据数据加密操作规范、流程，运用数据加密工具执行数据加密操作 ； （三）管理并保护用于生成、存储和归档密钥的设备； （四）组织研究学习新的加密技术。 第三章 数据加密原则 第六条 合规性原则。选择密码算法、加密机、 CA、密钥管理工具等软硬件 产品时，应当符合法律、法规的规定和密码相关国家标准、行业标准的有关要求 。 第 1 页 共 4 页 第七条 可恢复性原则。除需使用哈希算法之外，明文数据经过加密算法处 理后变成的密文数据，应可以通过密钥解密恢复为明文数据。 第八条 抗攻击性原则。明文数据通过加密算法后的密文数据，除采用密钥 加密的方式外，均无法采取其他任何方法在短期内将密文数据破解恢复为明文数 据。 第九条 高效性原则。应保证数据加密的过程可通过程序自动实现，重复执 行，在确保安全性的前提下，需尽可能减少数据加密所消耗的计算资源。 第十条 可配置性原则：数据加密之前， 宜通过配置的方式，按照数据的重 要程度， 输入对应的密码算法、密钥 长度等配置 信息。 第四章 数据加密 场景 第十一条 根据业务需求，目前需要进行数据加密的 场景主要为数据 传输场 景、数据存储 场景、数据分析场景以及数据共 享场景。后期可 根据业务需求，进 行动态调整。 第十二条 数据传输场景。数据在内外 部进行传输交互的过程中，需要对数 据的传输通道和数据内 容进行加密，需要 对数据传输的接收方和发送方进行身份 鉴别。 第十三条 数据存储 场景。数据存储过程 中，需要按照数据的 级别，采用不 同的加密措施对数据进行存储加密。 第十四条 数据分析场景。在对数据进行处理分析的过程中，可能会衍生出 其他敏感数据， 因此需采用特 殊的加密算法 进行加密。 第十五条 数据共享场景。在数据共 享场景中，需对数据的完整性 进行验证。 第五章 数据加密方法 第十六条：在数据传输场景下，需保 障传输通道的安全性、 传输节点的安全 性以及数据内 容的安全性，可采用公钥密码算法（ 如SM2、SM9）进行数据加密和 身份鉴别。同时，传输协议需采用https协议。 第十七条：在数据存储 场景下，需要 对数据内容的安全性 进行保障，不需要 注重数据的可用性， 因此可按照数据的重要程度，采用不 同密钥长度的对称密码 （如SM4）进行加密； 第 2 页 共 4 页第十八条：在数据分析场景下，需要关 注数据的可用性。 因此，在对数据进 行处理分析的过程中，需根据实际业务情况，采用特 殊的加密计算技术（ 如：同 态加密）对数据进行加密。 第十九条：在数据共 享场景下，需考虑共享数据的真实性和完整性。 因此， 进行共享的数据需采用哈希算法（ 如：SM3）进行完整性 校验。 第六章 数据加密流程 第二十条：数据加密的流程 分为数据风险评估、确定数据保护 级别、制定加 密方案（包括加密 类型、加密算法、密钥 长度等）、加密任 务执行三大步骤，数 据加密流程 如图1所示： 图1 数据加密流程 （一）数据风险评估，需根据数据的重要程度，数据 对可用性、机密性和完 整性的要求程度以及其安全 属性被破坏后，可能导 致系统受到的影响程度进行评 估。 （二）确定数据保护 级别。根据数据风险评估的结果，确定保护 级别。 （三）制定加密方 案，根据数据保护 级别和其对于不同的业务和场景需求， 确定加密 类型、加密算法、密钥 长度等内容，编制最优加密方案。 （四）加密任务执行，依据加密方 案，对数据执行加密操作。 第七章 附则 第 3 页 共 4 页第二十一条 本规范由数据安全领导小组 办公室负责解释和修改。 第二十二条 对违反本规定的人员，将按照北京思度咨询科技有限公司有关 规定进行处罚。 第二十三条 本规范自发布之日 起执行。 第 4 页 共 4 页