数据安全管理规定17854.pdf

数据安全管理规定

数据安全管理规定

编制：XXX

审核：XXX

批准：XXX

本文件中出现的任何文字叙述、文档格式、插图、照片、

方法、过程等内容，除另有特别注明，版权均属XXX所有，

受到有关产权及版权法保护。任何个人、机构未经XXX的书

面授权许可，不得以任何方式复制或引用本文件的任何片断。]

分发控制

分发对象文档权限说明：

XXX内部员工只读。

文件版本信息

版本日期拟稿和修改说明。

文件版本信息说明：

文件版本信息记录本文件提交时的当前有效的版本控制信

息，当前版本文件有效期将在新版本文档生效时自动结束。文

件版本小于1.0时，表示该版本文件为草案，仅可作为参照资

料之目的。

总则

为保证XXX信息系统核心数据安全，维护数据所有者权

利，明确利益相关者的责任与义务，按照分类管理、分级保护、

授权使用的原则，根据《XXX信息系统安全管理规定》及国

家信息系统安全等级保护等有关要求，特制订本规定。

本规定所管理的数据均为非涉密的数据，XXX系统已标

识密级的文件或已声明密级的数据不纳入本规定管理范畴。

本规定适用于全国XXX信息系统环境中的数据安全管理

工作。XXX各单位、部门均应按本规定开展数据安全管理工

作。

术语定义

本规定所称数据所有者是指，对所管理业务领域内的信息

或信息系统，有权获取、创建、维护和授权的业务主管。

本规定所称利益相关者包括数据创建者、数据所有者、数

据管理者、数据使用者及信息安全管理人员。

本规定所管理的数据涵盖以纸质、电子等形式存在的文件

和非文件形式的信息及其衍生物。其中，非文件形式的数据包

括数据库及配置文件中的数据、配置信息等。

职责定义

数据创建者负责针对其所创建数据的内容和价值提出分类

分级建议，提交对应级别数据所有者确认。

来自XXX信息系统以外的数据，数据承接者视同创建者

行使提出分级分类建议的责任和义务。

数据所有者具有确认数据类别和敏感级别、确认销毁、提

出技术保障需求、审查自检和审计报告、做出安全事件处置决

定等权利和义务。其中，XXX业务数据的所有者为XXX指定

的相应业务部门。

第十条规定了数据管理者的职责，作为数据所有者的代理

者，他们负责管理和保护其所管辖范围内的数据。这包括标识

和声明数据类别和敏感级别、根据级别进行管理和保护、进行

数据使用培训、执行销毁操作并声明、定期自查提交报告以及

配合数据安全违规调查等。

第四章介绍了数据的分类与分级。根据内容和用途的不同，

数据被分为技术类数据、行政管理类数据、业务类数据以及安

全运行类数据。数据的分级应该根据其价值、内容的敏感程度、

影响及发放范围进行确定。数据管理者负责制定其分管领域内

数据敏感等级的划分规则，并制定和发布本部门或本领域的数

据敏感等级目录。

第五章强调了数据的标识与声明。数据的分类分级标识和

声明是数据不可分割的一部分，自其标识、声明之日起，数据

及其标识、声明不得分离。对于文件形式的数据，数据管理者

应在文件明显位置标识其类别、敏感级别、失效日期等，且文

件和标识不能分开。对于非文件形式的高敏感级别数据，如无

法标识，须进行声明。失效日期指数据敏感级别的有效性截止

日期。到达失效日期后，应对数据进行重定级。对于敏感级别

高的数据，管理者须以声明文件的形式进行声明，并由数据所

有者审批签字。声明文件须跟随数据一起保管和传递。

第六章介绍了数据的保管与保护。数据管理者须按照数据

的敏感级别实施对应的保管与保护措施，并确保满足数据所有

者对数据的安全要求。在日常管理中，须对数据按敏感级别分

级防护，采取对应的存储、归档、设定保存期限等措施。敏感

级别高的数据纸质文件须参照XXX秘密级文件安全管理规定

进行保管和保护。敏感级别高的电子数据须采用必要的访问控

制措施。数据管理工作应该首选技术手段加管理要求实现，必

须加强针对数据管理工作的技术手段的研究、选型、部署、维

护等。

Article23:Fordatawithhighsensitivitylevels。theowners

technicalsec