数据加密合规检查规范.docxVIP

数据加密合规检查规范

数据加密合规检查规范

一、数据分类分级与加密覆盖范围的检查规范

在开展数据加密合规检查时，首要任务是确认被检查单位是否已依据《数据安全法》《个人信息保护法》及GB/T37988-2019《数据安全能力成熟度模型》、GB/T41479-2022《信息安全技术网络数据处理安全要求》等国家标准，建立了完整的数据分类分级制度，并据此确定加密覆盖范围。检查人员应调阅被检查单位的《数据资产清单》《数据分类分级管理办法》以及重要数据存储分布图，核对其是否将核心数据、重要数据、敏感个人信息明确标识为三级及以上安全等级，是否针对三级及以上数据强制要求采用密码技术进行存储和传输保护。对于金融行业还应参照JR/T0197-2020《金融数据安全数据安全分级指南》，确认客户姓名、身份证号、银行卡号、CVN2、交易密码、账户余额等C3级及以上个人金融信息是否纳入必须加密的范畴。检查中需重点核实是否存在重要数据或敏感个人信息未纳入加密范围的情况，例如仅对数据库文件做整库加密但未对表中敏感字段单独加密导致数据库管理员可直接查看明文，或将部分历史归档数据、离线备份介质排除在加密策略之外。合规检查应要求被检查单位提供数据加密策略文档，明确列出各安全等级数据对应的加密措施——对核心数据和敏感个人信息必须实施字段级或记录级加密，对重要数据至少实施存储加密与传输通道加密双重保护，对一般数