电信和互联网行业数据安全标准体系建设指南-2020.7-30页_1mb

电信和互联网行业数据安全标准体系建设指南（征求意见稿）总结

核心内容概述

本《建设指南》旨在构建电信和互联网行业数据安全标准体系，以保障数据安全、促进数据合理有序流动，助力数字经济高质量发展。指南提出从2020年起，通过标准先行，实现数据安全与行业发展的协同推进。

主要观点

• 数据安全重要性：数据已成为国家基础战略性资源和社会生产的创新要素，电信和互联网行业高速发展带来数据安全风险，需加强数据安全保障体系。
• 标准化作用：标准化是保障数据安全的重要基础，有助于推动行业健康有序发展。
• 目标导向：到2021年，初步建立行业数据安全标准体系，研制20项以上标准；到2023年，健全完善标准体系，研制50项以上标准，提升标准技术水平、应用水平和国际化水平。
• 多方参与：鼓励电信运营企业、互联网企业、设备提供商、安全企业、科研院所、高校等多方参与标准制定与实施。
• 动态更新与国际交流：标准体系需动态更新，结合法律法规与技术发展；加强与国际标准化组织的合作，推动国内标准向国际标准转化。

数据安全标准体系框架

电信和互联网行业数据安全标准体系包括四大类标准：

1. 基础共性标准：提供术语定义、数据安全框架、数据分类分级等通用支撑。
2. 关键技术标准：涵盖数据采集、传输、存储、处理、交换、销毁等全生命周期技术规范。
3. 安全管理标准：包括数据安全规范、数据安全评估、监测预警与处置、应急响应与灾难备份、安全能力认证等。
4. 重点领域标准：围绕5G、移动互联网、车联网、物联网、工业互联网、云计算、大数据、人工智能、区块链等重点行业领域制定标准。

关键信息汇总

基础共性标准

• 术语定义：规范数据安全相关概念，为其他标准提供支撑。
• 数据安全框架：明确数据安全的角色、职责、边界及层级关系。
• 数据分类分级：提供分类分级的基本原则、维度、方法及示例。

关键技术标准

• 数据采集：规范数据采集格式、标签、审查校验等技术要求。
• 数据传输：涵盖数据完整性保护、加密传输等安全协议。
• 数据存储：包括数据库安全、数据防泄漏、存储介质加密等。
• 数据处理：涉及匿名化、去标识化、数据脱敏、异常行为识别等。
• 数据交换：规范数据交换模型、安全管控框架、数据溯源等。
• 数据销毁：确保数据不可恢复，包括销毁和介质销毁标准。

安全管理标准

• 数据安全规范：细化法律法规要求，包括个人信息保护、重要数据识别等。
• 数据安全评估：涵盖合规性评估、风险评估、安全影响评估、数据出境评估等。
• 监测预警与处置：提供数据安全监测、预警、处置系统的技术要求。
• 应急响应与灾难备份：规范数据安全事件的应急响应、灾难备份及恢复实施方法。
• 安全能力认证：包括数据安全能力成熟度模型、安全服务认证、产品安全认证等。

重点领域标准

实施与推广

• 动态更新机制：根据法律法规及技术发展适时修订《建设指南》。
• 标准研制路径：组织相关单位，结合行业最佳实践和最新研究成果制定标准。
• 宣贯实施：通过培训、论坛等方式推进标准实施，鼓励试点示范，形成最佳实践。
• 国际交流合作：积极参与国际标准化组织活动，推动国内标准与国际接轨。

附件信息

附件1：术语定义

• 数据：任何以电子或非电子形式对信息的记录。
• 个人信息：能够识别特定自然人身份或反映其活动情况的信息。
• 数据全生命周期：涵盖数据从产生到销毁的全过程。
• 数据清洗：删除重复信息、纠正错误、处理无效值和缺失值。
• 数据质量监控：从完整性、准确性、一致性等方面监控数据质量。
• 数据完整性：数据未被未经授权更改或破坏。
• 数据防泄露：防止信息资产以违反安全策略的形式流出。
• 匿名化：使个人信息无法被识别且不可复原。
• 去标识化：使个人信息在不借助额外信息的情况下无法被识别。
• 数据脱敏：通过规则对敏感信息进行变形保护。
• 安全多方计算：多个数据所有者在互不信任的情况下协同计算。
• 数据溯源：记录数据在整个生命周期中的演变信息。
• 数据篡改：数据被非法更改、增加或删除。

附件2：数据安全相关标准项目明细表

• 基础共性：包括术语定义、数据分类分级等。
• 关键技术：涵盖数据采集、传输、存储、处理、交换、销毁等。
• 安全管理：包括数据安全规范、评估、监测预警、应急响应、认证等。
• 重点领域：覆盖5G、移动互联网、车联网、物联网、工业互联网、云计算、大数据、人工智能、区块链等。

总结

本《建设指南》构建了一个全面、系统的数据安全标准体系，涵盖数据安全的全生命周期管理，推动数据安全保护与行业发展的协同。通过标准的制定与实施，为电信和互联网行业数据安全提供明确的规范与技术支撑，促进数据合理流动，保障数字经济高质量发展。