数据安全事件响应处理流程.docxVIP

数据安全事件响应处理流程

第一章总则

一、流程适用边界

本流程覆盖单位全量业务场景下所有数据安全事件的全生命周期处置工作，适用范围包括单位内部所有职能部门、下属分支机构、外包合作服务商、第三方数据对接方涉及的数据相关操作环节，所有触发数据泄露、篡改、丢失、滥用、未授权访问等异常状态的事件，全部纳入本流程统一处置。本流程严格对齐《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《网络安全事件报告管理办法》、GB/T22239-2019《信息安全技术网络安全等级保护基本要求》、GB/T38674-2020《信息安全技术数据安全能力成熟度模型》的相关要求，所有处置环节的时限、操作规范、上报要求全部符合现行监管规定，不存在与现行法规冲突的内容。

二、事件分级标准

所有数据安全事件按照影响程度从低到高划分为四级，各级别的判定标准全部量化可直接执行：

（一）一般数据安全事件

涉及非敏感个人信息泄露条数小于1000条，或者一般业务数据丢失量小于总业务数据量的0.1%，事件未对外扩散，没有造成用户权益损失，仅在单位内部小范围产生影响，不会触发外部监管通报要求的事件。

（二）较大数据安全事件

涉及非敏感个人信息泄露条数在1000条至10万条区间，或者敏感个人信息泄露条数小于100条，或者一般业务数据丢失量占总业务数据量的0.1%至1%区间，事件出现小范