2023-09-05-炼石网络-图解重要数据处理安全要求V1.0.0_117页_17mb

《重要数据处理安全要求》与《重要数据识别规则》总结

核心内容概述

《重要数据处理安全要求》（征求意见稿）与《重要数据识别规则》（征求意见稿）是为加强我国数据安全治理而制定的重要国家标准，旨在规范重要数据的处理流程、识别机制和安全措施，以保障国家安全、公共利益、经济运行、社会稳定、公共健康和安全等。

《重要数据处理安全要求》主要围绕数据处理者在数据收集、存储、使用与加工、传输与提供、公开、删除等环节的安全要求展开，强调对重要数据进行全生命周期的保护。《重要数据识别规则》则聚焦于如何识别重要数据，强调从后果和影响角度出发，而非单纯的数据类型，以更好地体现总体国家安全观。

主要观点

1. 重要数据的定义

   • 重要数据是指在特定领域、特定群体、特定区域或达到一定精度和规模的数据，一旦泄露、篡改或损毁，可能对国家安全、经济运行、社会稳定、公共健康和安全等造成严重后果。
   • 重要数据不包括国家秘密，但基于大量个人信息形成的统计数据、衍生数据可能属于重要数据。

2. 安全要求与标准制定背景

   • 数据已成为国家基础性战略资源，其安全保护是国家网络安全工作的重点。
   • 标准的制定基于我国网络安全法律法规，如《数据安全法》、《网络安全法》、《网络数据安全管理条例（征求意见稿）》等，旨在为监管和实践提供技术支撑和最佳实践。

3. 标准制定过程

   • 标准经历了多次修订，从草案V1.0到征求意见稿，通过广泛调研、试点应用和专家评审，逐步完善。
   • 标准起草过程中参考了国际标准，如美国NIST SP 800-59《国家安全系统识别指南》，但更注重结合中国国情和政策要求。

4. 处理过程的安全要求

   • 设施安全：处理重要数据的系统应满足GB/T 22239-2019第三级安全要求，并通过相应的等级保护测评。
   • 数据处理活动安全：包括数据的收集、存储、使用与加工、传输与提供、公开、删除等环节，均需满足严格的访问控制、评估审批、保密审查、传输保护等要求。
   • 运行与管理安全：涉及组织与人员管理、数据治理设施、供应链管理、应急响应、审计、风险评估和配合监督管理等方面，强调对数据安全的全流程、全生命周期管理。

5. 数据分类分级制度

   • 数据分类分级制度是数据安全保护的重要基础，标准强调在不违背国家和行业规定的情况下，可对数据进行细化分类和分级。
   • 数据清单与数据目录的区别在于，数据清单更详细，包含数据来源、用途、存储位置、存储期限等信息，便于组织内部管理。

6. 重要数据识别因素

   • 《重要数据识别规则》提出19项重要数据识别因素，涵盖国家安全体系的16个领域，包括政治、国土、军事、经济、文化、社会、生态、网络等。
   • 识别因素从后果和影响角度出发，如涉及国家安全、经济命脉、公共利益等，而非单纯的数据类型。

关键信息

• 重要数据处理安全要求

  • 数据处理者应满足网络安全等级保护三级要求，使用密码技术保护数据的保密性和完整性。
  • 数据处理者应自行评估云平台的安全性，而非强制通过国家评估。
  • 数据传输应建立安全通道，采用加密、签名、防重放等措施。
  • 数据出境需通过安全评估，不得未经批准向境外提供。

• 重要数据识别规则

  • 标准强调从后果角度识别重要数据，而非数据类型。
  • 识别因素涵盖政治、国土、军事、经济、文化、社会、生态、网络等16个国家安全领域。
  • 识别因素由14项增至19项，更全面、更准确。
  • 标准不涉及具体行业数据分类，而是作为原则性指导文件。

• 适用范围与实施

  • 标准适用于数据处理者在处理重要数据时的参考。
  • 可供监管部门、评估机构等对重要数据处理活动进行安全监管、评估。
  • 标准与《网络数据分类分级要求》等文件共同构成数据安全处理的技术指导。

预期效益

• 经济效益：有助于规范数据处理活动，促进数据交易和跨境流动的合规性，从而提升数据价值的利用效率。
• 社会效益：提升数据安全保护水平，防范数据泄露、篡改、损毁等风险，保障公众利益和国家社会安全。
• 生态效益：促进数据安全治理体系建设，为数据安全保护提供技术支撑和制度保障。

与国际标准的衔接

• 《重要数据处理安全要求》参考了美国NIST SP 800-172A标准，强调对受控非机密信息（CUI）的保护。
• 美国标准以问题形式判断国家安全系统，而我国标准更注重从后果和影响角度识别重要数据。

适用范围与管理机制

• 适用范围：适用于重要数据的识别、处理和管理，包括政务、金融、能源、工业、交通、医疗、军事等关键领域。
• 管理机制：强调动态更新原则，根据数据变化定期审核更新数据分类分级、重要数据目录等。
• 人员与培训：数据处理者需制定人员管理安全制度，开展年度数据安全培训，签订责任和保密协议，确保数据处理过程中的安全性。

总结

《重要数据处理安全要求》与《重要数据识别规则》共同构成了我国数据安全治理的重要基础，强调从后果和影响角度识别重要数据，从全生命周期角度规范数据处理活动，以保障国家安全、公共利益和数据安全。标准在制定过程中广泛参考了国内外政策和标准，结合我国实际，提出了切实可行的安全措施和管理机制，具有重要的政策指导意义和实操价值。