工业和信息化领域数据安全合规指引.docx

ma?编制单位m

工业信息安全产业发展联盟中国钢铁工业协会

中国有色金属工业协会

中国石油和化学工业联合会

中国建筑材料联合会中国机械工业联合会中国汽车工业协会中国纺织工业联合会中国轻工业联合会

中国电子信息行业联合会

中国计算机行业协会中国通信企业协会中国互联网协会

中国通信标准化协会

中国中小企业国际合作协会中国通信学会

工业和信息化部商用密码应用产业促进联盟

ma?编制说明m

数据作为新型生产要素，是数字化、网络化、智能化的基础，已快速融入生产、分配、流通等各环节，保障数据安全，事关国家安全大局。工业和信息化领域是数字经济发展的主阵地和先导区，是推进数字经济做强做优做大的主力军。随着数字化转型进入全面加速期，数据的价值和重要性不断提升，数据泄露、篡改、破坏导致的影响日趋严重。国家层面对数据安全更加重视，《中华人民共和国数据安全法》《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》《网络数据安全管理条例》《数据出境安全评估办法》《促进和规范数据跨境流动规定》等数据安全相关法律法规、政策文件不断颁布实施，为开展数据安全监管和保护工作提供了根本遵循，对数据处理者落实数据安全保护责任义务指明了方向、提出了要求。

工业和信息化部作为工业和电信行业数据安全工作的主管部门，结合行业实际，衔接法律法规，陆续出台发布了《工业和信息化领域数据安全管理办法（试行）》《工业和信息化领域数据安全行政处罚裁量指引（征求意见稿）》《工业和信息化领域数据安全风险评估实施细则（试行）》《工业和信息化领域数据安全事件应急预案（试行）》等政策文件，细化了工业和信息化领域数据处理者合法合规开展数据处理活动的实施路径和主要内容。编制《工业和信息化领域数据安全合规指引》，聚焦数据处理者在履行数据安全保护义务过程中的难点问题，明确数据安全合规依据，提供实务指引，有利于支撑数据处理者全面、准确、规范开展数据安全合规管理，提升数据安全保护能力。

I

?沙目录《《《

1工业和信息化领域数据安全合规建设概述 1

1.1数据安全合规建设目的 1

1.2数据安全合规建设依据 1

1.3适用范围 2

1.4术语和定义 2

2数据分类分级 4

2.1数据调研 4

2.2数据梳理 4

2.3数据分类 4

2.4数据分级 5

2.5目录报备 5

2.6目录动态更新 6

3数据安全管理体系 7

3.1数据安全组织架构 7

3.2数据安全管理制度 10

3.3权限管理 10

3.4内部审批、登记 11

3.5系统与设备安全管理 11

3.6容灾备份 12

3.7合作方管理 13

3.8日志管理 15

3.9监督检查 16

3.10配合监管 17

4数据全生命周期保护 19

4.1数据收集 19

4.2数据存储 20

4.3数据使用加工 20

4.4数据传输 21

4.5数据提供 22

4.6数据公开 23

II

4.7数据销毁 23

4.8数据委托处理 24

4.9数据转移 24

4.10其他事项 25

5数据安全风险监测预警、报告、处置 26

5.1数据安全风险监测预警 26

5.2数据安全风险信息报告 26

5.3数据安全风险处置 27

6数据安全事件应急处置 28

6.1制定应急预案 28

6.2开展应急演练 28

6.3数据安全事件报告 28

6.4应急响应 28

6.5先行处置 29

6.6总结上报 29

6.7数据安全事件告知 29

7数据安全风险评估 30

7.1组建评估团队 30

7.2确定评估范围 30

7.3制定评估方案 31

7.4实施风险评估 31

7.5形成评估报告 31

7.6评估时间及上报行业监管部门 32

7.7风险评估特殊场景 32

8数据出境安全管理 33

8.1数据出境安全评估 33

8.2订立个人信息出境标准合同 36

8.3通过个人信息保护认证 36

8.4个人信息出境的注意事项 37

8.5数据出