關(guān)鍵信息基礎(chǔ)設(shè)施數(shù)據(jù)安全能力要求關(guān)鍵信息基礎(chǔ)設(shè)施數(shù)據(jù)dataofcriticalinformationinfrastructure關(guān)鍵信息基礎(chǔ)設(shè)施在建設(shè)與運(yùn)營過程中產(chǎn)生或注：簡稱“數(shù)據(jù)”。4縮略語CII：關(guān)鍵信息基礎(chǔ)設(shè)施（CriticalInformationInfrastruc要級別及敏感程度等差異性特征，采取適當(dāng)?shù)?、與數(shù)據(jù)安全風(fēng)險相適應(yīng)的安全措d)應(yīng)明確數(shù)據(jù)安全負(fù)責(zé)人和管理機(jī)構(gòu)，落實(shí)數(shù)據(jù)安全保護(hù)責(zé)任；f)應(yīng)對數(shù)據(jù)處理活動定期開展風(fēng)險評估，并向有關(guān)主管部門報送風(fēng)險評估報告；g)收集數(shù)據(jù)，應(yīng)采取合法、正當(dāng)?shù)姆绞?，不得竊取或者以其他非法方式獲取數(shù)據(jù)；i)法律法規(guī)對CII保護(hù)和數(shù)據(jù)安全保及國家安全、國計(jì)民生的核心數(shù)據(jù)、重要數(shù)據(jù)和敏感個人信息安命周期活動安全保護(hù)為重要依托，建設(shè)形成數(shù)據(jù)安全能力體a)CII系統(tǒng)安全能力：作為關(guān)鍵信息基礎(chǔ)設(shè)施的數(shù)據(jù)安全基石，提供底層系統(tǒng)級安全支撐（如硬件、網(wǎng)絡(luò)、平臺的安全能力為上b)CII數(shù)據(jù)分類分級管理：通過梳理、分類、分級數(shù)據(jù)資產(chǎn)，建立動態(tài)管理機(jī)制，明c)CII數(shù)據(jù)全生命周期安全保障：覆蓋數(shù)據(jù)收集、存儲、使用、加工、傳輸、提供、d)CII數(shù)據(jù)安全風(fēng)險運(yùn)營：以風(fēng)險監(jiān)測、評估、應(yīng)急、對抗為核心，實(shí)現(xiàn)風(fēng)險動態(tài)管e)CII數(shù)據(jù)安全管理：從組織、人員、制度、權(quán)限、審批、備份、合作方、日志、監(jiān)a）應(yīng)建立標(biāo)準(zhǔn)化數(shù)據(jù)分級規(guī)則與流程，將CIe）應(yīng)建立數(shù)據(jù)分級動態(tài)更新機(jī)制，依據(jù)數(shù)據(jù)重要程度和可能造成的危害程度變化，對f）宜利用自然語言處理、機(jī)器學(xué)習(xí)、模式識別等技術(shù)，提升對非結(jié)構(gòu)化數(shù)據(jù)、復(fù)雜數(shù)據(jù)場景中敏感信息和重要數(shù)據(jù)的識別準(zhǔn)確率和b）應(yīng)建立覆蓋數(shù)據(jù)處理活動各環(huán)節(jié)的數(shù)據(jù)流識別能力，識別要素包括數(shù)據(jù)主體、流經(jīng)c）應(yīng)明確不同數(shù)據(jù)級別的全流程安全保護(hù)措施，重要數(shù)據(jù)的安全保護(hù)措施不應(yīng)低于第存儲、應(yīng)用核心數(shù)據(jù)的信息系統(tǒng)安全保護(hù)等級應(yīng)為第四e）應(yīng)對數(shù)據(jù)分類分級的操作、變更過程進(jìn)行日志記錄和分析，確保數(shù)據(jù)分類分級過程f）應(yīng)具備全局、可視化的數(shù)據(jù)資產(chǎn)視圖，清晰展示數(shù)據(jù)資產(chǎn)的分布、分類、分級、敏g）應(yīng)具備繪制數(shù)據(jù)流圖等可視化工具，展示和理解數(shù)據(jù)的流動情況，追蹤數(shù)據(jù)在CIIh）宜生成不同層級和維度的數(shù)據(jù)視圖，如數(shù)據(jù)流動態(tài)圖、血緣關(guān)系圖等，結(jié)合安全能案表主要包括數(shù)據(jù)基本情況、責(zé)任主體情況、數(shù)據(jù)處理情況、數(shù)據(jù)安全情況等b）應(yīng)按照地方行業(yè)監(jiān)管部門要求開展重要數(shù)據(jù)目錄報送工作；a）發(fā)生下述情形之一時，應(yīng)在發(fā)生變化的三個月內(nèi)向地方行業(yè)監(jiān)管部門履行備案變更—重要數(shù)據(jù)和核心數(shù)據(jù)的類別或規(guī)模（條目數(shù)量或者存儲—向數(shù)據(jù)安全直接責(zé)任人報告CII數(shù)據(jù)安全重大風(fēng)險b）CII數(shù)據(jù)安全相關(guān)部門應(yīng)配合數(shù)據(jù)安全相關(guān)管理工作，具體職責(zé)如下：—配合數(shù)據(jù)安全管理機(jī)構(gòu)開展監(jiān)督檢查、風(fēng)險評估、整改等各項(xiàng)工作；數(shù)據(jù)安全管理機(jī)構(gòu)報告，并配合采取應(yīng)急處置和運(yùn)營者應(yīng)設(shè)立和配備CII數(shù)據(jù)安全管理崗a）應(yīng)明確數(shù)據(jù)安全責(zé)任人，運(yùn)營者的主要負(fù)責(zé)人為數(shù)據(jù)安全第一責(zé)任人，領(lǐng)導(dǎo)團(tuán)隊(duì)中b）數(shù)據(jù)安全第一責(zé)任人對關(guān)鍵信息基礎(chǔ)設(shè)施的數(shù)據(jù)安全保護(hù)負(fù)領(lǐng)安全管理提供必要的資源保障和條件支持，牽頭特別重大CI—解決數(shù)CII據(jù)安全工作中的關(guān)鍵問題，確e）應(yīng)設(shè)立數(shù)據(jù)安全管理崗位，配備熟悉數(shù)據(jù)安全相關(guān)法律法規(guī)、專業(yè)技術(shù)知識等的專f）梳理涉及核心數(shù)據(jù)、重要數(shù)據(jù)處理的關(guān)鍵崗位，明確各崗位職責(zé)和權(quán)限，關(guān)鍵崗位應(yīng)配備專人，實(shí)行雙人負(fù)責(zé)制，確保職責(zé)分離和相互a）應(yīng)建立并實(shí)施數(shù)據(jù)安全評價考核及監(jiān)督問責(zé)機(jī)制，落實(shí)數(shù)據(jù)安全主b）應(yīng)建立數(shù)據(jù)安全保障機(jī)制，研究解決數(shù)據(jù)安全機(jī)構(gòu)設(shè)置、人員配置、經(jīng)費(fèi)投入、安c）應(yīng)加強(qiáng)組織領(lǐng)導(dǎo)，將數(shù)據(jù)安全工作納入重要議事日程，建立決策機(jī)制，以解決重大估和調(diào)整計(jì)劃執(zhí)行情況，確保數(shù)據(jù)安全保護(hù)工作有序e）應(yīng)在CII數(shù)據(jù)安全建設(shè)、改造、升級等環(huán)c）關(guān)鍵崗位人員應(yīng)每年簽署數(shù)據(jù)安全責(zé)任書，明確崗位責(zé)任、義務(wù)、注d）關(guān)鍵崗位離職人員應(yīng)簽訂保密承諾書，繼續(xù)履行不泄露CIIb）應(yīng)定期組織開展數(shù)據(jù)安全教育培訓(xùn)，每年至少開展一次，培訓(xùn)d）培訓(xùn)內(nèi)容應(yīng)包含崗位內(nèi)數(shù)據(jù)安全有關(guān)職責(zé)、數(shù)據(jù)安全法規(guī)、CII數(shù)據(jù)安全制度規(guī)范及工作計(jì)劃、數(shù)據(jù)安全領(lǐng)域知識技能、數(shù)據(jù)安全保護(hù)意識和責(zé)任義務(wù)），b）應(yīng)對重要數(shù)據(jù)與核心數(shù)據(jù)實(shí)施更加嚴(yán)格的制度管理和操作規(guī)范，設(shè)置更為嚴(yán)格的數(shù)分配賬號權(quán)限，僅在完成職責(zé)所需的范圍內(nèi)授予特定人員最小必要的數(shù)據(jù)操d）應(yīng)合理界定相關(guān)人員的數(shù)據(jù)訪問和處理權(quán)限，對數(shù)據(jù)處理、數(shù)據(jù)安全管理、日志審e）應(yīng)配備賬號管理保障功能，如限制非正常登錄次數(shù)、登錄連接超時自動退出、配置f）應(yīng)定期審計(jì)重要數(shù)據(jù)和核心數(shù)據(jù)相關(guān)賬號分配臺賬，重點(diǎn)關(guān)注離職人員賬號回收、數(shù)據(jù)訪問處理單次授權(quán)、多人審批和行為審計(jì)等要求和登記、審b）應(yīng)對通過專線或線下方式訪問處理重要數(shù)據(jù)和核心數(shù)據(jù)的數(shù)據(jù)處理方式、數(shù)據(jù)流轉(zhuǎn)c）審批時應(yīng)提交相關(guān)數(shù)據(jù)操作所涉及的數(shù)據(jù)處理主體、數(shù)據(jù)數(shù)量、類別、級別、處理d）審批通過后，應(yīng)留存審批記錄，形成臺賬；通過線下表單、郵件等方式進(jìn)行審批的a）CII數(shù)據(jù)安全管理機(jī)構(gòu)組織數(shù)據(jù)所屬部門明確重要數(shù)據(jù)和核心數(shù)據(jù)的備份要求和操b）應(yīng)對核心數(shù)據(jù)存儲設(shè)備進(jìn)行硬件冗余，啟用實(shí)時數(shù)據(jù)備份功能，保證主設(shè)備出現(xiàn)故e）數(shù)據(jù)安全管理機(jī)構(gòu)應(yīng)組織數(shù)據(jù)所屬部門根據(jù)策略的要求定期執(zhí)行備份介質(zhì)有效性測f）涉及非電子化重要數(shù)據(jù)和核心數(shù)據(jù)的，應(yīng)明確相關(guān)數(shù)據(jù)備份單獨(dú)存放、專門管理等合作方簽訂數(shù)據(jù)安全協(xié)議，建立合作方管理臺賬，做好合作方人員管理，具體要求如a）應(yīng)開展合規(guī)性與必要性評估評估，內(nèi)容包括數(shù)據(jù)提供的b）應(yīng)審核合作方保護(hù)能力，審核內(nèi)容包括數(shù)據(jù)安全風(fēng)險評估結(jié)果、數(shù)據(jù)安全制度設(shè)置等參與、指導(dǎo)審核工作；若數(shù)據(jù)接收方為境外相關(guān)組織機(jī)c）應(yīng)與合作方簽訂數(shù)據(jù)安全協(xié)議，明確不同類型數(shù)據(jù)提供的安全保護(hù)方式以及雙方數(shù)據(jù)安全責(zé)任和義務(wù)。數(shù)據(jù)安全協(xié)議可參考下述a）應(yīng)開展數(shù)據(jù)合規(guī)性審核，審核合作方身份，并對合作方提供的數(shù)據(jù)來源的合法性進(jìn)運(yùn)營者應(yīng)具備CII數(shù)據(jù)操作日志管理能行時間、操作賬號、處理方式、授權(quán)情況、IP地址、登錄信息等，能夠?qū)ψR別和追溯數(shù)據(jù)c）應(yīng)對高風(fēng)險操作（如批量復(fù)制、批量傳輸、批量銷毀等操作）日志進(jìn)行備份和完整d）應(yīng)對重要數(shù)據(jù)和核心數(shù)據(jù)收集、傳輸、訪問、使用、提供等進(jìn)行定期審計(jì)，形成審e）應(yīng)記錄維護(hù)數(shù)據(jù)安全所需的日志，涉及安全事件處置溯源的，相關(guān)日志留存時間不g）宜通過統(tǒng)一安全審計(jì)平臺等方式實(shí)現(xiàn)審計(jì)b）針對監(jiān)督檢查發(fā)現(xiàn)的問題，應(yīng)及時整改，并跟蹤整改情況；—數(shù)據(jù)分類分級落實(shí)情況，如數(shù)據(jù)梳理范圍是否全面，CII新—技術(shù)措施部署情況，如是否基于數(shù)據(jù)分類分級情況配備相應(yīng)的數(shù)據(jù)安全保護(hù)措施）；是否具備接口鑒權(quán)、接口調(diào)用審計(jì)、接口調(diào)用日志記錄訪問控制措施對用戶個人信息、重要數(shù)據(jù)等對外披露使用去標(biāo)識化措施；e）可于每年年初結(jié)合上一年監(jiān)督檢查情況，制定本年度監(jiān)督檢查f）針對地方行業(yè)監(jiān)管部門發(fā)現(xiàn)并通報的重大數(shù)據(jù)安全事件，或外部形勢發(fā)生的重大變9.1數(shù)據(jù)收集9.1.1數(shù)據(jù)產(chǎn)生與獲取d)應(yīng)依據(jù)統(tǒng)一的數(shù)據(jù)收集及產(chǎn)生流程，建設(shè)g)涉及個人信息收集的，應(yīng)滿足GB/T45574、9.1.2數(shù)據(jù)源鑒別與記錄b)應(yīng)具備技術(shù)手段對外部收集的數(shù)據(jù)和數(shù)據(jù)源進(jìn)行識別和記錄；9.2.1存儲媒體安全b)應(yīng)建立資產(chǎn)標(biāo)識，明確基礎(chǔ)設(shè)施所存儲的數(shù)據(jù)；c)對于數(shù)據(jù)庫、系統(tǒng)、軟件平臺等數(shù)據(jù)存儲基礎(chǔ)設(shè)施，應(yīng)滿足GB/Td)應(yīng)使用技術(shù)工具對存儲媒體性能進(jìn)行監(jiān)控，包括存儲媒體的使用歷史、性能指標(biāo)、9.2.2存儲數(shù)據(jù)安全管理、訪問控制、日志管理、加密管理、版本升級、病毒防e)涉及個人信息的，應(yīng)具備去標(biāo)識化的能力，以支持去標(biāo)識化存儲。9.2.3數(shù)據(jù)備份及恢復(fù)a)應(yīng)建立數(shù)據(jù)備份和恢復(fù)的管理制度和操作規(guī)程，明確各級數(shù)據(jù)備份和恢復(fù)的范圍、據(jù)異常刪除、備份數(shù)據(jù)恢復(fù)失敗等異常情況的及時監(jiān)測與告9.3數(shù)據(jù)使用加工9.3.1數(shù)據(jù)正當(dāng)使用a)應(yīng)建立數(shù)據(jù)使用加工規(guī)范，明確場景、范圍、安全要求，數(shù)據(jù)應(yīng)獲得數(shù)據(jù)提供方、b)應(yīng)明確數(shù)據(jù)使用的評估制度，涉及個人信息、重要數(shù)據(jù)和核心數(shù)據(jù)的，應(yīng)先進(jìn)行e)應(yīng)建立組織內(nèi)部統(tǒng)一的身份及訪問管理平臺，實(shí)現(xiàn)對數(shù)據(jù)的統(tǒng)一管理；f)應(yīng)建立內(nèi)部登記、審批等工作機(jī)制，對數(shù)據(jù)使g)應(yīng)具備完整記錄數(shù)據(jù)使用加工過程操作日志的能力；j)涉及核心數(shù)據(jù)的，應(yīng)在物理隔離的專用系統(tǒng)中進(jìn)行，禁止通過互聯(lián)網(wǎng)訪問。9.3.2數(shù)據(jù)脫敏d)應(yīng)具備對數(shù)據(jù)脫敏操作進(jìn)行記錄，以滿足數(shù)據(jù)脫敏處理安全審計(jì)要求；e)涉及重要數(shù)據(jù)和核心數(shù)據(jù)的，應(yīng)具備數(shù)9.3.3數(shù)據(jù)分析c)應(yīng)限制數(shù)據(jù)分析結(jié)果的訪問權(quán)限，確保只有授權(quán)人員才能查看和使用；e)涉及重要數(shù)據(jù)和核心數(shù)據(jù)的，應(yīng)記錄并保存全部的操作行9.3.4人工智能應(yīng)用a)應(yīng)明確CII數(shù)據(jù)開展人工智能應(yīng)用的操作規(guī)范，明確用于訓(xùn)練e)應(yīng)采用國密算法或AES-256加密存儲模型g)原則上核心數(shù)據(jù)禁止用于訓(xùn)練人工智能模型。9.3.5開發(fā)和運(yùn)維安全b)應(yīng)針定期對數(shù)據(jù)開發(fā)環(huán)境實(shí)施安全評審及攻防演練；環(huán)境、聯(lián)邦學(xué)習(xí)等技術(shù)，確保在安全環(huán)境中完成數(shù)據(jù)險，比如基于金庫模式的數(shù)據(jù)操作授權(quán)、基于用戶行為分析數(shù)據(jù)傳輸安全能力要求在滿足GB/T22數(shù)據(jù)的完整性、重要業(yè)務(wù)數(shù)據(jù)的機(jī)密性等，具體能力要求參c)應(yīng)具備數(shù)據(jù)溯源能力，保證所有數(shù)據(jù)傳輸路徑可恢復(fù)，數(shù)據(jù)傳輸行為可溯源；9.5.1對外提供供的管控措施，及數(shù)據(jù)對外提供涉及機(jī)構(gòu)或部門相關(guān)b)應(yīng)明確數(shù)據(jù)提供者與數(shù)據(jù)接收者的數(shù)據(jù)安全責(zé)任和安全防護(hù)能力；9.5.2委托處理d)涉及重要數(shù)據(jù)、核心數(shù)據(jù)和個人信息的，9.5.3數(shù)據(jù)出境生變化影響出境數(shù)據(jù)安全的，或者延長個人信息和重要數(shù)據(jù)境外保存—境外接收方所在國家或者地區(qū)數(shù)據(jù)安全保護(hù)政策法規(guī)和網(wǎng)絡(luò)安全環(huán)境發(fā)生變化以—出現(xiàn)影響出境數(shù)據(jù)安全的其他情形重新申報數(shù)據(jù)出境安全評估。9.6數(shù)據(jù)公開a)應(yīng)明確不同級別的數(shù)據(jù)發(fā)布細(xì)則，建立對應(yīng)審批機(jī)制；9.7.1數(shù)據(jù)刪除a)應(yīng)建立數(shù)據(jù)刪除策略和管理制度，明確不同數(shù)據(jù)類型、數(shù)據(jù)級別的刪除要求；b)應(yīng)建立規(guī)范的數(shù)據(jù)刪除流程和審批機(jī)制，設(shè)置銷毀相關(guān)監(jiān)9.7.2存儲媒體銷毀b)CII運(yùn)營者應(yīng)提供統(tǒng)一的存儲媒體銷毀工具，包括但不限于粉碎設(shè)備、消磁設(shè)備等a）應(yīng)通過部署監(jiān)測審計(jì)、態(tài)勢感知等相關(guān)系統(tǒng)設(shè)備，建立數(shù)據(jù)安全風(fēng)險監(jiān)測預(yù)警技術(shù)b）應(yīng)密切關(guān)注國內(nèi)外國家機(jī)構(gòu)、權(quán)威漏洞庫及相關(guān)廠商發(fā)布的漏洞預(yù)警通知，定期開c）應(yīng)對重要數(shù)據(jù)的收集、存儲、使用加工、傳輸、提供、公開、銷毀、委托處理、轉(zhuǎn)異常行為包括重要、核心數(shù)據(jù)的違規(guī)操作，如未授權(quán)、超址訪問、數(shù)據(jù)庫異常連接（如在設(shè)定時間內(nèi)，某IP地址d）應(yīng)實(shí)現(xiàn)核心數(shù)據(jù)處理活動的實(shí)時監(jiān)控，發(fā)現(xiàn)異常時及時終止異常行為，并實(shí)現(xiàn)異常e）應(yīng)對發(fā)現(xiàn)的數(shù)據(jù)安全風(fēng)險進(jìn)行研判，分析發(fā)生數(shù)據(jù)安全事件的可能性及其可能造成括風(fēng)險的類別、級別、涉及數(shù)據(jù)情況、產(chǎn)生時間、影響范f）當(dāng)發(fā)現(xiàn)數(shù)據(jù)安全缺陷、漏洞等風(fēng)險時，應(yīng)及時排查安全隱患，采取相應(yīng)的處置和懲g）應(yīng)持續(xù)完善和調(diào)整數(shù)據(jù)安全防護(hù)機(jī)制、安全策略、安全管理措施、技術(shù)保護(hù)措施，b）應(yīng)對重要數(shù)據(jù)和核心數(shù)據(jù)處理活動每年至少開展一次風(fēng)險評估，及時發(fā)現(xiàn)和處置數(shù)c）應(yīng)在收購或資產(chǎn)剝離、重大流程或系統(tǒng)變更、涉及重要數(shù)據(jù)和核心數(shù)據(jù)的新業(yè)務(wù)上d）應(yīng)在安全評估后形成評估報告，內(nèi)容包含運(yùn)營者基本情況、評估團(tuán)隊(duì)基本情況、數(shù)e）應(yīng)定期檢測信息系統(tǒng)是否存在業(yè)務(wù)邏輯缺陷，防范重大數(shù)據(jù)泄露事件發(fā)生；應(yīng)定期b）應(yīng)針對CII應(yīng)急預(yù)案相關(guān)內(nèi)容，定期開展應(yīng)急管理培訓(xùn)，確保相關(guān)人對應(yīng)急演練中發(fā)現(xiàn)的突出問題和漏洞隱患，及時整改加固，完善保護(hù)措施；d）發(fā)現(xiàn)數(shù)據(jù)安全事件，應(yīng)立即判斷，對后果影響自判為重大及以上或者涉及重要數(shù)據(jù)e）發(fā)生數(shù)據(jù)安全事件或被地方行業(yè)監(jiān)管部門通知存在數(shù)據(jù)安全事件時，應(yīng)立即啟動應(yīng)盡可能減少對用戶和社會影響，同時保存相關(guān)痕跡f）應(yīng)建立數(shù)據(jù)恢復(fù)及數(shù)據(jù)安全事件溯源能力，對數(shù)據(jù)安全日志、數(shù)據(jù)流量、用戶訪問g）重大及以上數(shù)據(jù)安全事件應(yīng)急工作結(jié)束后，應(yīng)及時對事件的起因、經(jīng)過、責(zé)任、評見和改進(jìn)措施，并在應(yīng)急工作結(jié)束后5個工作日內(nèi)形成總結(jié)報告，報地方行業(yè)監(jiān)管部門；急處置工作的經(jīng)驗(yàn)教訓(xùn)，提出處理意見和改進(jìn)h）數(shù)據(jù)安全事件對個人、組織造成實(shí)質(zhì)性危害的，應(yīng)及時以電話、短信、郵件等方式i）應(yīng)加強(qiáng)數(shù)據(jù)安全事件日常預(yù)防工作，做好數(shù)據(jù)安全檢查、隱患排查、風(fēng)險評估，提高應(yīng)對數(shù)據(jù)安全事件的能力，對數(shù)據(jù)安全事件和問題隱患持續(xù)開展