数据全生命周期安全管理细则.pdf

数据全生命周期安全管理

第一节数据收集

第一条数据安全专业管理部门、实施部门应规范数据采集渠道、数据格式、

采集流程和采集方式，定期（至少每半年1次）开展数据采集合规性审查。利用

外部数据源采集数据的，应对数据源的合法性进行确认，涉及个人信息的，应要

求提供方说明个人信息来源与个人信息主体授权同意的范围。

第二条在进行个人信息采集前，实施部门应通过隐私策略等方式，以通俗

易懂、简单明了的方式向个人信息主体明示采集规则，如收集、使用个人信息的

目的、方式和范围等，并获得个人信息主体的授权同意。收集个人信息遵循最小

必要原则，收集的个人信息类型应与实现产品或服务的业务功能有直接关联。同

时向用户提供查询、更正、删除等多种参与用户个人信息处理的渠道，并予以公

告。

第三条实施部门应加强线上、线下等数据收集环节管控，通过配备技术手

段、签署保密协议等措施，加强对数据收集人员、设备的管控，保障收集数据安

全。通过第三方等其他途径获得的敏感数据，与直接收集的敏感数据负有同等的

保护责任和义务。

第四条实施部门不得收集其提供服务所必需以外的用户个人信息或者将

信息用于提供服务之外的目的，不得以欺骗、误导或者强迫等方式或者违反法律、

行政法规以及双方的约定收集、使用信息。

第五条在用户终止使用服务后，应当停止对用户个人信息的收集和使用，

并为用户提供注销号码或者账号的服务。针对违反双方约定收集、使用用户个人

信息的，或收集、存储用户个人信息有错误的情况，用户提出删除或更正要求的，

实施部门应通知实施部门采取措施予以满足。

第六条实施部门在用户同意收集保证网络产品核心业务功能运行的用户

个人信息后，应当向用户提供核心业务功能服务，不得因用户拒绝或者撤销同意

收集上述信息以外的其他信息，而拒绝提供核心业务功能服务。

第七条APP收集使用用户个人信息前，实施部门应发布独立性、易读性的

隐私政策文本。隐私政策应至少包括以下内容：

（一）隐私政策应向用户个人信息主体明示收集用户个人信息的目的、方

式、范围，并显著标注所收集用户个人信息类型；

（二）明确运营者基本情况、用户个人信息存储地域、保存期限、超期处

理方式以及收集用户个人信息、使用用户个人信息的规则；

（三）明示用户个人信息保护措施和能力，用户查询、更正、删除用户个

人信息的途径和方法，用户投诉渠道和反馈机制；

（四）隐私政策发布、生效或更新时间；

（五）对外共享、转让、公开披露用户个人信息规则；

（六）第三方SDK、Cookies技术等。

第八条APP所申请的用户个人信息相关权限不应超出隐私政策中说明的

范围。在收集权限时需征得用户自主选择明示同意。当用户同意APP收集某服

务类型的最少信息时，APP不得因用户拒绝提供最少信息之外的用户个人信息而

拒绝提供该类型服务。

APP不得收集与所提供的服务无关的用户个人信息，不得通过捆绑多项业

务功能方式要求用户一次性接受并捆绑授权。

第二节数据传输

第九条实施部门应根据业务流程、职责分工、安全风险等情况，合理划分

安全域，区分域内、域间等不同数据传输场景，并在安全边界上配置相应的访问

控制策略及部署防火墙、WAF等安全措施。

1.访问控制策略：（1）默认情况下除允许通信外受控接口拒绝所有通信；

（2）删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规

则数量最小化；（3）对源地址、目的地址、源端口、目的端口和协议等进行检查，

以允许/拒绝数据包进出等。

2.部署安全措施：如部署防火墙、入侵检测系统、入侵防御系统、防病

毒网关、抗拒绝服务攻击设备、防病毒软件、数据防泄漏系统、终端管理系统等。

第十条针对面向互联网域、外部接入域传输等存在潜在安全风险的环境，

应对敏感信息的传输进行加密保护，并根据数据敏感级别采用相应的加密手段。

极敏感级、敏感级数据不得通过互联网传输，在XX公司网络与计算环境内可参

考使用加密技术、数字签名技术、时间戳、数字凭证技术等手段进行传输加密保

护；较敏感级和低敏感级数据应可参考使用