41I II II請注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機構(gòu)不承擔(dān)識別這些專利的責(zé)任。1水利數(shù)據(jù)安全能力評估指南3.14.2可操作性：通過量化指標(biāo)體系，使評估工作具備可行性及實用性。4,4保密性：對評估過程中所涉及的信息嚴(yán)格保密。5.1.1評分方法采用百分制。5.1.2評估指標(biāo)分為一級指標(biāo)、二級指標(biāo)和單項指標(biāo)，見附錄A。5.2.1人員訪談：對相關(guān)人員進行訪談，核查規(guī)章制度、防護措施、安全責(zé)任落實情況。5.2.2文檔查驗：查驗安全管理制度、數(shù)據(jù)分類分級有關(guān)材料、數(shù)據(jù)安全風(fēng)險評估報告、網(wǎng)絡(luò)安全等5.2.3安全核查：核查網(wǎng)絡(luò)安全環(huán)境、數(shù)據(jù)全生命周期的策略、配置和防護措施情況。25.2.4技術(shù)驗證：宜采用技術(shù)工具、滲透測試等手段查看數(shù)據(jù)資產(chǎn)情況、檢測防護措施有效性。5.3評估程序5.3.1準(zhǔn)備階段：組建評估團隊，制定工作計劃，準(zhǔn)備評估工具。確定評估目標(biāo)和范圍，明確涉及的5.3.3總結(jié)階段：根據(jù)單項指標(biāo)賦分結(jié)果計算總分，并給出評估報告。6.1.1數(shù)據(jù)安全組織6.1.1.1管理機構(gòu)職責(zé)分工明確，數(shù)據(jù)處理活動規(guī)范。6.1.1.2責(zé)任人明確，數(shù)據(jù)安全資源調(diào)配工作合理。6.1.1.3監(jiān)管小組負責(zé)監(jiān)督數(shù)據(jù)分類分級、數(shù)據(jù)安全管理、數(shù)據(jù)安全防護等。6.1.1.4專職崗位明確。6.1.2數(shù)據(jù)安全制度6.1.2.1總體數(shù)據(jù)安全戰(zhàn)略規(guī)劃或年度工作計劃明確，包含中長期工作目標(biāo)、內(nèi)容和計劃。6.1.2.2落實網(wǎng)絡(luò)安全責(zé)任制、數(shù)據(jù)安全責(zé)任制，建立網(wǎng)絡(luò)和數(shù)據(jù)安全考核及監(jiān)督問責(zé)機制。6.1.2.3明確責(zé)任部門與崗位的工作規(guī)范和規(guī)程。6.1.2.4水利數(shù)據(jù)制度評審、發(fā)布及審核流程合規(guī)并有記錄。6.1.2.5根據(jù)部門和崗位的職責(zé)明確審批權(quán)限。6.1.2.6定期開展水利數(shù)據(jù)安全風(fēng)險評估和監(jiān)督檢查。6.1.3數(shù)據(jù)安全人員管理6.1.3.1人員簽訂保密承諾書，關(guān)鍵崗位人員簽訂崗位責(zé)任協(xié)議。6.1.3.2人員調(diào)離或終止勞動合同時，簽訂離崗保密承諾書或協(xié)議。6.1.3.3數(shù)據(jù)安全能力具有考核機制，定期開展數(shù)據(jù)安全專項培訓(xùn)。6.1.3.4關(guān)鍵崗位設(shè)立雙人雙崗。6.1.4數(shù)據(jù)分類分級管理6.1.4.1完成本單位（部門）的數(shù)據(jù)分類分級工作。6.1.4.2明確數(shù)據(jù)資產(chǎn)管理者或責(zé)任部門，落實數(shù)據(jù)資產(chǎn)登記機制。6.1.4.3數(shù)據(jù)分類分級變更和審核等按相關(guān)制度執(zhí)行。6.1.5供應(yīng)鏈管理6.1.5.1供應(yīng)鏈各方的責(zé)任和義務(wù)明確，簽訂安全保密承諾書或協(xié)議。6.1.5.2供應(yīng)鏈各方定期開展數(shù)據(jù)安全風(fēng)險評估。6.1.5.3供應(yīng)鏈各方人員訪問權(quán)限劃分清晰。36.1.5.4供應(yīng)鏈各方接入時采用技術(shù)工具進行安全檢測，合作結(jié)束后，查閱賬號注銷、數(shù)據(jù)回收、數(shù)6.1.6數(shù)據(jù)安全應(yīng)急管理6.1.6.1有數(shù)據(jù)安全事件應(yīng)急預(yù)案，并定期進行修訂。6.1.6.2具有應(yīng)急演練工作計劃，并定期組織開展應(yīng)急演練。6.1.6.3具有數(shù)據(jù)安全應(yīng)急響應(yīng)及處置機制，發(fā)生數(shù)據(jù)安全事件時及時向有關(guān)主管部門報告。6.2.1網(wǎng)絡(luò)安全措施落實6.2.1.1具有網(wǎng)絡(luò)拓撲結(jié)構(gòu)、網(wǎng)絡(luò)區(qū)域劃分、IP地址分配等網(wǎng)絡(luò)資源管理文檔。6.2.1.2具有安全策略文檔和安全操作文檔等。6.2.1.3定期開展網(wǎng)絡(luò)安全等級保護測評、商用密碼應(yīng)用安全性評估、數(shù)據(jù)安全風(fēng)險評估等。6.2.2數(shù)據(jù)資產(chǎn)識別6.2.2.1采用技術(shù)手段對數(shù)據(jù)資產(chǎn)進行掃描與實際情況一致。6.2.2.2具有用戶、設(shè)備、應(yīng)用系統(tǒng)的身份鑒別機制。6.2.2.3具有數(shù)據(jù)資產(chǎn)清單以及更新、維護等相關(guān)記錄。6.2.3數(shù)據(jù)安全防護6.2.3.1身份標(biāo)識具有唯一性，明確數(shù)據(jù)訪問權(quán)限，做好最小化權(quán)限設(shè)置。6.2.3.2采用多因子認證方式進行身份鑒別，口令滿足復(fù)雜度要求并定期更換。6.2.3.3訪問控制、數(shù)據(jù)加解密、數(shù)據(jù)防泄漏、脫敏、環(huán)境安全等保障數(shù)據(jù)在采集、傳輸、存儲、處6.2.3.4數(shù)據(jù)銷毀按管理制度和審批流程執(zhí)行。6.2.4數(shù)據(jù)安全審計6.2.4.1審核用戶實際使用權(quán)限與審批的一致性。6.2.4.2對數(shù)據(jù)全生命周期進行安全審計。6.2.4.3對審計日志進行定期備份。6.2.5數(shù)據(jù)監(jiān)測預(yù)警6.2.5.1對數(shù)據(jù)安全缺陷、漏洞等風(fēng)險進行監(jiān)測預(yù)警。6.2.5.2對數(shù)據(jù)安全事件進行分析、研判、通報、處置。6.2.6數(shù)據(jù)備份恢復(fù)6.2.6.1數(shù)據(jù)備份策略科學(xué)合理，定期對數(shù)據(jù)進行備份。6.2.6.2定期開展數(shù)據(jù)恢復(fù)演練，并驗證備份數(shù)據(jù)的完整性和一致性。4得分是對應(yīng)二級指標(biāo)得分之和，總分是一級指標(biāo)得7.2評估報告7.2.1評估報告包括以下內(nèi)容：f)存在問題和建議。7.2.2評估報告封面樣式見附錄B。5評估指標(biāo)表A.1給出了水利數(shù)據(jù)安全能力評估的指標(biāo)分級和單項指表A.1水利數(shù)據(jù)安全能力單項指標(biāo)賦分表11213141516具有數(shù)據(jù)安全管理工作規(guī)劃或工作方案，明確中長期工作目1718191規(guī)11111人員轉(zhuǎn)崗或離崗時，明確告知其繼續(xù)履行有關(guān)信息的保密義11111116表A.1水利數(shù)據(jù)安全能力單項指標(biāo)賦分表1111111合作機構(gòu)人員對數(shù)據(jù)與系統(tǒng)的訪問權(quán)限符合最小必要和職責(zé)1111112采用掃描設(shè)備等專業(yè)工具，驗證資產(chǎn)、IP與實際情況相符21核查相關(guān)安全設(shè)備配置與安全框架或安全策略文件規(guī)定相匹配22221227表A.1水利數(shù)據(jù)安全能力單項指標(biāo)賦分表222采用數(shù)據(jù)庫存儲加密技術(shù)，將數(shù)據(jù)庫明文數(shù)據(jù)轉(zhuǎn)換為密文存12111222露12212122128表A.1水利數(shù)據(jù)安全能力單項指標(biāo)賦分表1122222119水利數(shù)