信息安全技術(shù)大數(shù)據(jù)服務(wù)安全能力要求Informationsecuritytechn國(guó)家市場(chǎng)監(jiān)督管理總局國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)前言 Ⅲ 12規(guī)范性引用文件 13術(shù)語(yǔ)和定義 14概述 35大數(shù)據(jù)組織管理安全能力 45.1策略與規(guī)程 45.2組織與人員 55.3資產(chǎn)管理 66大數(shù)據(jù)處理安全能力 76.1數(shù)據(jù)收集 76.2數(shù)據(jù)存儲(chǔ) 86.3數(shù)據(jù)使用 96.4數(shù)據(jù)加工 6.5數(shù)據(jù)傳輸 6.6數(shù)據(jù)提供 6.7數(shù)據(jù)公開(kāi) 6.8數(shù)據(jù)銷(xiāo)毀 7大數(shù)據(jù)服務(wù)安全風(fēng)險(xiǎn)管理能力 7.1風(fēng)險(xiǎn)識(shí)別 7.2安全防護(hù) 7.3安全監(jiān)測(cè) 7.4安全檢查 7.5安全響應(yīng) 7.6安全恢復(fù) 20 21I本文件代替GB/T35274—2017《信息安全技術(shù)大數(shù)據(jù)服務(wù)安全能力要求》,與GB/T3章，2017年版的第3章)7個(gè)術(shù)語(yǔ)和定義的描述；b)刪除了總體要求(見(jiàn)2017年版的4.1)和要求分級(jí)(見(jiàn)2017年版的4.2),對(duì)標(biāo)準(zhǔn)整體內(nèi)容進(jìn)行e)副除了服務(wù)規(guī)劃與管理(見(jiàn)2017年版的5,4)、數(shù)據(jù)供應(yīng)鏈管理(見(jiàn)2017年版的5.5)和合規(guī)性管理(見(jiàn)2017年版的5.5),修改了策略與規(guī)程、組織和人員以及資產(chǎn)管理安全能力要求(見(jiàn)年版的第6章);《見(jiàn)第7章);i)刪除了附錄A中(見(jiàn)2017年版的附錄A)。Ⅱ——2017年首次發(fā)布為GB/T35274—2017;N信息安全技術(shù)大數(shù)據(jù)服務(wù)安全能力要求GB/T5271(所有部分),GB/T25069—2022、GB/T35273—2020和GB/T35295—2017界定的以1將數(shù)據(jù)持久化保存在硬盤(pán)等存儲(chǔ)介質(zhì)中的數(shù)據(jù)處理活動(dòng)。數(shù)據(jù)使用datausage依據(jù)數(shù)據(jù)權(quán)屬及收集和使用數(shù)據(jù)的日的和范圍，以及確定的授權(quán)和訪問(wèn)控制策略，控制組織、人員或信息系統(tǒng)等主體對(duì)數(shù)據(jù)資產(chǎn)進(jìn)行讀取、檢索、展示等操作的數(shù)據(jù)處理活動(dòng)。數(shù)據(jù)處理活動(dòng)。通過(guò)信息通信設(shè)備將數(shù)據(jù)從一個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)傳送到一個(gè)或多個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)的數(shù)據(jù)處理活動(dòng)，向組織內(nèi)其他責(zé)任主體或其他組織提供所控制的數(shù)據(jù)資產(chǎn)的數(shù)據(jù)處理活動(dòng)。向其他組織、個(gè)人或指定范圍公開(kāi)所控制的數(shù)據(jù)資產(chǎn)的數(shù)據(jù)處理活動(dòng)，使其可合規(guī)地獲取所公開(kāi)的數(shù)據(jù)。抹去或覆蓋存儲(chǔ)介質(zhì)中的數(shù)據(jù)或銷(xiāo)毀存儲(chǔ)介質(zhì)的數(shù)據(jù)處理活動(dòng)。采用分布式存儲(chǔ)和計(jì)算技術(shù)，提供大數(shù)據(jù)處理功能，支持大數(shù)據(jù)應(yīng)用安全高效運(yùn)行的軟硬件集2合，包括監(jiān)視數(shù)據(jù)輸入/輸出、控制數(shù)據(jù)處理活動(dòng)等軟硬件基礎(chǔ)設(shè)施及其所控制的數(shù)據(jù)資產(chǎn)。包括大數(shù)據(jù)平臺(tái)、大數(shù)據(jù)應(yīng)用及其所需和控制數(shù)據(jù)資產(chǎn)的信息系統(tǒng)。利用大數(shù)據(jù)技術(shù)開(kāi)展數(shù)據(jù)處理，并通過(guò)底層大數(shù)據(jù)平臺(tái)和上層多種大數(shù)據(jù)應(yīng)用以服務(wù)方式為大數(shù)據(jù)使用者提供有價(jià)值的數(shù)據(jù)處理功能的活動(dòng)。大數(shù)據(jù)使用者bigdatauser使用大數(shù)據(jù)系統(tǒng)的末端個(gè)人、組織及其他信息系統(tǒng)或智能終端設(shè)備。大數(shù)據(jù)服務(wù)提供者bigdataserviceprovider擁有大數(shù)據(jù)系統(tǒng)，提供大數(shù)據(jù)服務(wù)的組織。數(shù)據(jù)安全datasecurity通過(guò)采取必要措施，確保數(shù)據(jù)處于有效保護(hù)和合法利用的狀態(tài)，以及具備保障持續(xù)安全狀態(tài)的能力。實(shí)施適當(dāng)?shù)墓芾?、技術(shù)或物理手段，以防止未授權(quán)的有意或無(wú)意地泄露、修改或破在大數(shù)據(jù)服務(wù)中，數(shù)據(jù)處理涉及數(shù)據(jù)需求及供應(yīng)關(guān)系目的的上游與下游組織的數(shù)據(jù)資源及數(shù)據(jù)操作所形成的鏈接集，本文件面向有大數(shù)據(jù)平臺(tái)、大數(shù)據(jù)應(yīng)用和大數(shù)據(jù)服務(wù)所需數(shù)據(jù)資源的組織，從大數(shù)據(jù)組織管理安全能力、大數(shù)據(jù)處理安全能力和大數(shù)據(jù)服務(wù)安全風(fēng)險(xiǎn)管理能力三個(gè)方而規(guī)定了大數(shù)據(jù)服務(wù)提供者的大數(shù)35大數(shù)據(jù)組織管理安全能力要求包括：4567b)應(yīng)具備對(duì)數(shù)據(jù)加載終端或加載服務(wù)組件等進(jìn)行身份鑒別的能力；宜采取多因素身份鑒別技89制機(jī)制，依據(jù)大數(shù)據(jù)技術(shù)架構(gòu)實(shí)施大數(shù)據(jù)使用者身份標(biāo)識(shí)與鑒別、存儲(chǔ)數(shù)據(jù)訪問(wèn)授權(quán)等策傳輸雙方的數(shù)據(jù)安全級(jí)別進(jìn)行評(píng)估的能力，避免將高安全等級(jí)數(shù)據(jù)傳輸?shù)降桶踩燃?jí)的安評(píng)估數(shù)據(jù)發(fā)布帶來(lái)的數(shù)據(jù)安全風(fēng)險(xiǎn)，控制涉及重要數(shù)據(jù)、敏感個(gè)人信息等的數(shù)據(jù)的公開(kāi)發(fā)行為進(jìn)行告警，并展示數(shù)據(jù)處理活動(dòng)發(fā)生的位置、操作以及數(shù)據(jù)處理活動(dòng)的風(fēng)險(xiǎn)及威脅等c)應(yīng)具備對(duì)數(shù)據(jù)處理過(guò)程和存儲(chǔ)數(shù)據(jù)使用與訪問(wèn)進(jìn)行監(jiān)測(cè)的能力，及時(shí)發(fā)現(xiàn)違規(guī)數(shù)據(jù)處理行產(chǎn)品和服務(wù)組件運(yùn)行，記錄并安全存儲(chǔ)監(jiān)控日志6個(gè)月以上，以滿足大數(shù)據(jù)服務(wù)安全審計(jì)