大数据安全与合规手册.docxVIP

大数据安全与合规手册

第1章大数据安全基础架构与总体策略

1.1安全治理体系构建与组织架构

建立“数据所有权人”与“数据使用人”分离的治理架构，明确数据资产归属权，确保数据在采集、加工、存储、传输全生命周期中责任清晰。例如，在构建集团级数据中台时，由CIO作为数据所有者，负责制定数据分类分级标准，而业务部门作为使用人，必须签署《数据安全承诺书》方可访问特定数据集。设立跨部门的数据安全委员会，由CISO任主席，统筹技术、法务、业务部门资源，定期召开“数据安全联席会议”审议重大数据项目。例如，某银行在上线金融大数据风控系统前，由安全委员会召开专项评审会，否决了未经过全量脱敏处理的原始日志接入方案，转而采用联邦学习架构。

制定并执行《数据安全组织架构图谱》，将人员配置与数据敏感度直接挂钩，实行“数据最小化授权”原则，确保关键数据仅授权给必要岗位的人员。例如，在医疗大数据平台中，只有经过严格权限审批的“数据管理员”和“数据分析师”才能查看患者隐私数据，普通员工仅能访问脱敏后的统计报表。建立数据分类分级标准体系，依据数据对国家安全、社会公共利益、个人权益的影响程度，将数据划分为核心、重要、一般三个等级，并制定差异化的保护策略。例如，某电商平台将用户身份证号、手机号列为核心数据，实施最高级别的加密存储和访问控制，而商品SKU仅列为一般数据，采取常规访问策略。设