数据导出拷贝审计管控规定.docxVIP

数据导出拷贝审计管控规定

一、总则

1.1编制目的

数据一旦离开受控环境，其保密性即不受本组织技术措施保护——这是数据泄露事件中占比最高、最難追责的通道。本规定针对「导出前无审批、导出中无记录、导出后无追踪」三大失控点，建立覆盖USB拷贝、邮件外发、网盘上传、打印带出、介质销毁的全链路审计管控机制，确保每一次数据外流均可回答四个问题：谁导出的、导出了什么、经谁批准、最终去了哪里。

1.2适用范围

适用于本组织全体正式员工、劳务派遣人员、外包驻场人员、实习生，以及经批准接入内部网络的供应商人员（以下统称「人员」），覆盖以下数据载体与通道：

?终端侧：USB/移动硬盘拷贝、光盘刻录、本地打印、屏幕截屏保存

?网络侧：互联网邮件附件、即时通讯工具文件传输、云盘/网盘上传、FTP/接口外传

?介质侧：报废存储介质的带离与销毁

不适用于已在DMZ区经数据脱敏平台脱敏后开放给第三方接口的结构化数据（该通道按《API网关数据接口管理规定》另行管控），但接口超量拉取行为仍纳入本规定审计范围。

1.3术语定义

术语

定义

敏感数据

涉密数据、个人身份信息（PII）、客户资料、财务未公开数据、源代码、核心工艺参数等密级为「内部公开」以上的数据

导出

数据从受控内网环境转移至不受控环境的任何行为，包括物理拷贝与网络传输

拷贝介质

U盘、移动硬盘、SD卡、光盘、外接SSD等可