标准规范下载简介

DB3301／T 0276-2018 政务数据共享安全管理规范.pdf简介：

DB3301/T 0276-2018《政务数据共享安全管理规范》是由浙江省标准化技术委员会制定的地方标准，该标准主要针对政务数据共享这一领域，提出了一套安全管理规范。该标准的目的是为了保障政务数据在共享过程中的安全，包括数据的保密性、完整性和可用性，以防止数据泄露、篡改和丢失，确保政务信息系统的安全性。

该规范涵盖了政务数据共享的各个环节，如数据的采集、存储、传输、使用和销毁等，规定了数据安全的管理和控制措施，如访问控制、数据加密、安全审计、应急响应等方面的要求。它旨在推动政务数据共享的健康发展，提升政府服务效率，同时保护公民个人信息的安全。

总的来说，DB3301/T 0276-2018是政府信息化建设中关于数据安全的重要指导性文件，对于提高政务数据共享的规范性和安全性具有重要作用。

DB3301／T 0276-2018 政务数据共享安全管理规范.pdf部分内容预览：

杭州市质量技术监督局 发布

DB3301/T02762018

DB3301/T02762018

[广州]道路建设项目施工总承包合同2020政务数据共享安全管理规范

本标准规定了政务数据共享的总则、基本要求、数据归集安全、数据传输安全、数据存储安全、数 据处理安全、数据共享安全和数据销毁安全。 本标准适用于非涉密政务数据共享安全管理

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于 凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T25069信息安全技术术语 GB/T35295信息技术大数据术语

让不同的数据使用者能够访问平台整合的各种数据资源，并通过数据服务或数据交换技术对这些数 据资源进行相关的计算、分析、可视化等处理

DB3301/T02762018

服务第三方 提供相关服务的供应方，包括但不限于基础设施服务提供者、网络环境服务提供者、应用服务提供 者、数据服务提供者、安全服务提供者

据的管理者，由政府赋予政务数据管理职能的

4.1政务数据共享安全管理采取主动防御、综合防范方针，坚持保障政务数据安全与促进应用发展相 协调、管理与技术并重的原则，实行统一协调、分工负责、分级管理。各参与方单位数据安全和信息化 工作应同步规划、同步建设、同步运行。 4.2政务数据共享安全要求包括通用安全要求，以及数据归集、数据传输、数据存储、数据处理、数 据共享和数据销毁等流程环节安全要求。各参与方应根据自身角色和责任遵照执行。 4.3支撑政务数据共享的平台基础设施和网络应符合国家等级保护和关键信息基础设施保护的相关法 规和标准。

5.2数据安全策略与规程

数据安全策略与规程安全要求包括： a 应制定满足业务需求的安全策略，明确安全方针、安全目标和安全原则； b 应基于安全策略，建立相关的制度规程，形成以数据为核心的体系化数据安全制度体系； C) 应建立策略、规程的评审和发布流程，明确适当的频率和时机对策略和规程进行更新，以确保 其持续的适宜性和有效性，

人力资源管理安全要求包括：

DB3301/T02762018

应及时调整人员变化所涉及的账号权限的赋权、更改和回收； c）应制定与各参与方人员的标准合同协议，以约束相关人员与组织的数据安全责任； 应建立离任审计机制，对关键人员的离任进行审查，及时回收相关资源和授权，并对其在任期 中的行为进行评估，分析是否存在滥用职权、弄虚作假、以权谋私等情况，

数据资产管理安全要求包括： a）应制定数据资产安全管理制度，明确数据资产安全管理目标和安全原则、数据资产的全生命周 期管理要求、资产登记要求和分类标记要求，并针对安全管理制度执行定期审核和更新； b 应建立数据资产登记机制，形成整体的数据资产清单，明确数据资产安全责任主体及相关方， 并及时更新数据资产相关信息； 应建立和实施数据资产分类和标记规范，包括：分类分级规定、元数据管理规范、操作指南、 变更审批流程。根据分类管理要求，建立相应的标记策略、访问控制、数据加解密、数据脱敏 等安全机制和管控措施； d 宜建立技术工具执行资产登记、分类标记等，实现自动化的属性标识工作，

数据供应链管理安全要求包括： a 应建立数据提供者、数据使用者、服务第三方安全管理规范，定义数据安全目标、原则和范围， 明确数据提供者、数据使用者、服务第三方的安全责任和义务，并建立监督审核机制： 与数据提供者、数据使用者、服务第三方签署协议，明确数据的使用目的、供应方式、保密约 定等； 应委托独立的运行监管方，对数据提供者、数据使用者和服务第三方的行为进行相关记录，利 用技术工具对数据提供者、数据使用者和服务第三方的行为进行合规性审核与监督： d 应建立完整的数据供应链和相关数据字典规则库，自动监测实际数据流动情况，实时分析数据 流向与数据供应链遵循情况，发现异常并自动报警和阻断。

元数据管理安全要求包括： a 应建立数据服务元数据语义统一规范和管理规则； b 应建立数据安全元数据管理规范，如口令策略、权限列表、授权策略； 应建立元数据访问控制策略，明确元数据管理角色及其授权控制机制，并通过技术手段实现对 元数据管理角色的授权和访问管理： 小 d 应建立元数据操作审计制度，根据审计制度要求，采集元数据操作日志，确保元数据操作的可 追潮； e 应建立统一的元数据管理平台，将各领域的元数据通过集中的平台进行提供。

运行监管安全要求包括： a）应制定数据生命周期各阶段数据访问和操作的日志记录规范要求和监管要求； 应根据日志记录规范和监管要求，对数据采集、传输、存储、处理、交换、销毁等过程进 效的日志记录，实现政务数据共享全链路的可追溯：

DB3301/T02762018

c）应建立统一的数据访问和操作的日志记录和分析技术工具，该技术工具可对各类数据访问和操 作的日志进行统一的处理和分析，实现对数据异常访问和操作的告警，实现对数据滥用、违规 使用、缔约过失、越权使用等行为的识别、监控、预警和追责； 应对服务第三方实施的安全控制措施、变更管理、应急响应等进行持续监管，通过技术措施或 文件审核等方式对服务第三方承诺的安全控制项进行评估验证； 应建立针对敏感数据的动态可持续的数据风险监管体系，周期性的对敏感数据的脆弱性、面临 的安全威胁、安全措施的有效性等内容进行风险评估。

终端管理安全要求包括： a）应制订面向终端的数据安全管理规范，明确终端层面的数据防泄漏管理要求； b）应为进入城市大脑内部网络环境的终端设备分配终端识别号，并实现终端设备与用户账号的 对一绑定； 应建立并实施整体的终端安全解决方案，实现终端设备与组织机构内部员工的有效绑定，按照 统一的部署标准在终端系统上安装各类防控软件（如防病毒、硬盘加密、终端入侵检测、终端 防泄漏等软件），对终端系统上的数据进行风险监控。

数据防泄澜安全 a 应建立数据防泄露规范，明确需要进行数据泄露防护处理的应用场景和处理方法 b 应支持基于终端使用、动态传输、静态存储的综合数据泄露防护机制； C 应提供能够面向不同业务场景的数据泄露防护策略的设置与部署； 应提供数据防泄漏处理过程的日志记录，满足数据防泄漏处理安全审计要求，

数据分类分级安全要求包括： a）应制定数据分类分级标准，按照数据类型与数据安全等级矩阵方法，确定数据敏感度等级； b) 应针对具体业务场景，结合数据敏感度等级，确定场景数据使用风险等级； C 应根据数据敏感度等级、场景数据使用风险等级确定相应的控制措施； d 应建立数据分级分类制度性文件管理措施，包括岗位职责、统一管理、定期更新、变更审核等 e应建立人二打标与 标相结合的机制

数据归集安全要求包括： a）归集的数据应确保来源真实有效、合法正当，同时应明确数据共享范围和用途； b）归集的数据应保留原始表，不做任何加工清洗，以满足溯源、数据质量核查等需求

6.3数据源鉴别及记录

DB3301/T02762018

在政务数据归集过程中，应制定数据源管理制度规范，针对不同的数据归集场景定义数据源策略 和机制，并提供有效的工具对外部收集的数据和数据源进行识别和记录，确保管理人员能够追踪其加工 和计算数据的原始数据来源

应建立数据归集过程中的质量监控规则，明确数据质量监控范围及监控方式，并利用技术工具 和离线归集到的数据进行监控DBJ 04-2006 海南省建筑节能工程施工验收标准（试行），实现对异常数据的告警。

数据传输安全要求包括： a）应明确需要进行传输加密的业务场景，支持对个人信息和重要数据的加密传输； b 应提供对传输通道两端进行主体身份鉴别和认证的技术方案和工具； 应提供对传输数据的完整性进行检测并执行恢复控制的技术方案和工具； 应提供对数据传输安全策略的变更进行审核和监控的技术方案和工具，对通道安全策略配置、 密码算法配置、密钥管理等保护措施进行审核及监控。

数据逻辑存储安全要求包括： a）应建立各类数据存储系统的安全配置规则，采取技术手段和工具支撑数据存储系统的安全管 理； b） 应具备多租户数据存储安全隔离能力： C 应定期检查数据存储系统安全配置以符合基线的一致性要求； d 应定期探查存储系统的数据是否符合相关合规性的要求； e 应采用碎片化分布式离散存储技术保存数据资源，并具有完整性验证机制； f 应支持采用符合国家认定的密码算法对高敏感数据进行加密存储，平台服务商不得掌握密钥。

数据备份与恢复啊安全要求包括： a）应建立数据存储亢余策略、管理制度与规程，明确定义数据复制、备份和恢复的范围、频率、 工具、过程、日志记录规范、数据保存时长等； 应建立用于数据备份、恢复的统一技术工具，并将具体的备份的策略固化到工具中，保证相关 工作的自动化执行； 应建立数据复制、数据备份与恢复的定期检查和更新工作程序，包括数据副本更新频率、保存 期限等，确保数据副本或备份数据的有效性。

数据访问控制安全要求包括：

DB3301/T02762018

a）应建立数据资源安全访问策略，由授权主体进行访问策略配置，授予数据使用者为完成各自任 务所需要的最小权限。访问控制的范围应包括与数据资源访问相关的主体、客体以及它们之间 的操作； b）应采用基于用户组或角色的方法《城镇供热预制直埋蒸汽保温管管路附件技术条件 CJ/T246-2007》（已作废），保障数据使用者访问数据资源时权限明确； c）应采用多种方式对数据资源访问主体的身份进行鉴别； d）应采用必要的措施使数据使用者的访问和修改等行为具有不可抵赖性

数据脱敏安全要求包括： a）应建立数据脱敏规范，明确需要脱敏处理的应用场景和处理方法； 应支持基于规则的数据静态脱敏； 应提供面向使用者的定制化数据脱敏功能，可基于场景需求自定义脱敏规则； 日志记录，满足数据脱敏处理安全审计要求

数据分析安全要求包括： 应对数据分析结果进行二次风险评估，确保衍生数据不超过原始数据的授权范围和安全使用要 求； b） 应对利用多源数据进行大数据分析的过程进行日志记录，以备对分析结果质量、真实性和合规 性进行数据溯源； 应对利用数据分析算法输出的结果进行风险评估，避免分析结果输出申包含可恢复的个人信 息、重要数据等数据和结构标识，从而防止个人信息、重要数据等敏感信息的泄漏； d）应对平台数据分析算法的变更进行风险评估