數(shù)據(jù)安全管理制度
瀏覽次數(shù)：0次 信息發(fā)布：信息所辦公室 發(fā)布時間：2024-06-12 11:06:39
第一章 總 則
第一條 為保證青海省科學技術(shù)信息研究所各信息系統(tǒng)核心數(shù)據(jù)安全，維護數(shù)據(jù)所有者權(quán)利，明確利益相關(guān)者的責任與義務(wù)，按照分類管理、分級保護、授權(quán)使用的原則，國家信息系統(tǒng)安全等級保護等有關(guān)要求，特制訂本規(guī)定。
第二條 本規(guī)定所管理的數(shù)據(jù)均為非涉密的數(shù)據(jù)，如有標識為密級的文件或已聲明密級的數(shù)據(jù)不納入本規(guī)定管理范疇。
第三條 本規(guī)定適用于青海省科學技術(shù)信息研究所各業(yè)務(wù)系統(tǒng)環(huán)境中的數(shù)據(jù)安全管理工作。參與各單位、部門均應(yīng)按本規(guī)定開展數(shù)據(jù)安全管理工作。
第二章 術(shù)語定義
第四條 本規(guī)定所稱數(shù)據(jù)所有者是指，對所管理業(yè)務(wù)領(lǐng)域內(nèi)的信息或信息系統(tǒng)，有權(quán)獲取、創(chuàng)建、維護和授權(quán)的業(yè)務(wù)主管。
第五條 本規(guī)定所稱利益相關(guān)者包括數(shù)據(jù)創(chuàng)建者、數(shù)據(jù)所有者、數(shù)據(jù)管理者、數(shù)據(jù)使用者及信息安全管理人員。
第六條 本規(guī)定所管理的數(shù)據(jù)涵蓋以紙質(zhì)、電子等形式存在的文件和非文件形式的信息及其衍生物。其中，非文件形式的數(shù)據(jù)包括數(shù)據(jù)庫及配置文件中的數(shù)據(jù)、配置信息等。
第三章 職責定義
第七條 數(shù)據(jù)創(chuàng)建者負責針對其所創(chuàng)建數(shù)據(jù)的內(nèi)容和價值提出分類分級建議，提交對應(yīng)級別數(shù)據(jù)所有者確認。
第八條 來自信息系統(tǒng)以外的數(shù)據(jù)，數(shù)據(jù)承接者視同創(chuàng)建者行使提出分級分類建議的責任和義務(wù)。
第九條 數(shù)據(jù)所有者具有確認數(shù)據(jù)類別和敏感級別、確認銷毀、提出技術(shù)保障需求、審查自檢和審計報告、做出安全事件處置決定等權(quán)利和義務(wù)。其中，業(yè)務(wù)數(shù)據(jù)的所有者為領(lǐng)導指定的相應(yīng)業(yè)務(wù)部門。
第十條 各類數(shù)據(jù)的責任部門是該類數(shù)據(jù)的管理者。數(shù)據(jù)管理者作為數(shù)據(jù)所有者的代理者，代理數(shù)據(jù)所有者從事數(shù)據(jù)管理工作，負責其所管轄范圍內(nèi)數(shù)據(jù)的安全管理工作。數(shù)據(jù)管理者的職責包括但不限于：數(shù)據(jù)類別和敏感級別的標識與聲明，根據(jù)級別進行管理與保護，數(shù)據(jù)使用培訓，執(zhí)行銷毀操作并聲明，定期自查提交報告，配合數(shù)據(jù)安全違規(guī)調(diào)查等。
第四章 分類與分級
第十一條 數(shù)據(jù)按其內(nèi)容和用途不同分為技術(shù)類數(shù)據(jù)、行政管理類數(shù)據(jù)、業(yè)務(wù)類數(shù)據(jù)以及安全運行類數(shù)據(jù)。
第十二條 數(shù)據(jù)分級應(yīng)根據(jù)其價值、內(nèi)容的敏感程度、影響及發(fā)放范圍進行確定。
第十三條 數(shù)據(jù)管理者負責制定其分管領(lǐng)域內(nèi)數(shù)據(jù)敏感等級的劃分規(guī)則，并制定和發(fā)布本部門或本領(lǐng)域的數(shù)據(jù)敏感等級目錄。
第五章 標識與聲明
第十四條 數(shù)據(jù)的分類分級標識、聲明是數(shù)據(jù)不可分割的一部分，自其標識、聲明之日起，數(shù)據(jù)及其標識、聲明不得分離，數(shù)據(jù)管理者和數(shù)據(jù)使用者均須按照標識、聲明的類別和級別安全管理和使用數(shù)據(jù)。
第十五條 對于文件形式的數(shù)據(jù)，須由數(shù)據(jù)管理者在文件明顯位置標識其類別、敏感級別、失效日期等，且文件和標識不能分開。標識應(yīng)該醒目，標識格式應(yīng)統(tǒng)一，標識方法應(yīng)便于審計。對于非文件形式的高敏感級別數(shù)據(jù)，如無法標識，須進行聲明。
第十六條 失效日期指數(shù)據(jù)敏感級別的有效性截止日期。到達失效日期后，應(yīng)對數(shù)據(jù)進行重定級。
第十七條 多個不同敏感級別的數(shù)據(jù)合并在一起時，按最高敏感級別給混合數(shù)據(jù)進行標識和聲明。
第六章 保管與保護
第十八條 數(shù)據(jù)管理者須按照數(shù)據(jù)的敏感級別實施對應(yīng)的保管與保護措施，并確保滿足數(shù)據(jù)所有者對數(shù)據(jù)的安全要求。
第十九條 數(shù)據(jù)管理者在日常管理中，須對數(shù)據(jù)按敏感級別分級防護，采取對應(yīng)的存儲、歸檔、設(shè)定保存期限等措施。
第二十條 敏感級別高的數(shù)據(jù)紙質(zhì)文件須參照國家相關(guān)秘密文件安全管理規(guī)定進行保管和保護。敏感級別高的電子數(shù)據(jù)須采用必要的訪問控制措施。
第二十一條 數(shù)據(jù)管理工作應(yīng)該首選技術(shù)手段加管理要求實現(xiàn)。必須加強針對數(shù)據(jù)管理工作的技術(shù)手段的研究、選型、部署、維護等。
第二十二條 敏感級別高的數(shù)據(jù)自產(chǎn)生之日起，所有者提出的技術(shù)保障需求應(yīng)同步到位。如技術(shù)上無法達到，技術(shù)部門應(yīng)持續(xù)跟蹤技術(shù)進展，逐步使技術(shù)手段能夠滿足各項管理要求；對于已成熟并可采納的技術(shù)手段，技術(shù)部門應(yīng)驗證其功能可靠性，逐步引入，持續(xù)優(yōu)化技術(shù)保障工作。
第七章 數(shù)據(jù)使用
第二十三條 數(shù)據(jù)使用者在使用數(shù)據(jù)時，須注意識別數(shù)據(jù)的敏感級別，按照其敏感級規(guī)范數(shù)據(jù)操作使用行為；使用中發(fā)現(xiàn)問題及時反映，發(fā)現(xiàn)違規(guī)行為及時舉報，并積極配合違規(guī)事件的調(diào)查；自覺遵守數(shù)據(jù)管理規(guī)定。
第二十四條 數(shù)據(jù)使用者須保證其所使用數(shù)據(jù)來源的合法性，不私自拷貝、使用、傳播、保存與自己工作無關(guān)的數(shù)據(jù)。
第二十五條 數(shù)據(jù)使用者和數(shù)據(jù)管理者無權(quán)未經(jīng)所有者批準向發(fā)布范圍以外的單位或個人提供中心數(shù)據(jù)或其衍生物，否則視為違規(guī)；如因工作原因需要對外提供的，應(yīng)經(jīng)數(shù)據(jù)所有者確認，并記錄、備案、備查。
第二十六條 業(yè)務(wù)數(shù)據(jù)須按主管業(yè)務(wù)部門授權(quán)或管理規(guī)定要求對外提供，否則視為違規(guī)，并需做好數(shù)據(jù)提供記錄，備案、備查。
第二十七條 數(shù)據(jù)管理者要對數(shù)據(jù)使用情況進行掌控和審計，發(fā)現(xiàn)違規(guī)行為及時制止，并依本規(guī)定進行處置。
第八章 數(shù)據(jù)銷毀
第二十八條 數(shù)據(jù)管理者有按照數(shù)據(jù)所有者要求清理和銷毀原始數(shù)據(jù)的義務(wù)。
第二十九條 數(shù)據(jù)使用者應(yīng)具有數(shù)據(jù)安全清理和銷毀的意識，具有按照數(shù)據(jù)管理者的要求清理和銷毀本地臨時數(shù)據(jù)、中間文件、過程文件的責任和義務(wù)。
第三十條 數(shù)據(jù)管理者和數(shù)據(jù)使用者具有按照規(guī)定記錄清理和銷毀數(shù)據(jù)過程，并接受安全管理人員審計的義務(wù)。
第三十一條 數(shù)據(jù)管理者和數(shù)據(jù)使用者在清除和銷毀電子數(shù)據(jù)時，須保證清除和銷毀的徹底性。
第九章 安全檢查與審計要求
第三十二條 數(shù)據(jù)管理者有義務(wù)監(jiān)督數(shù)據(jù)的安全使用，負責所管理數(shù)據(jù)的自查工作。周期性地檢查數(shù)據(jù)安全使用和管理情況，更新過期的標識或聲明信息，向數(shù)據(jù)所有者匯報。
第三十三條 開展高敏感級別數(shù)據(jù)的第三方審計工作。檢查和審計數(shù)據(jù)所有者、數(shù)據(jù)管理者數(shù)據(jù)管理要求的執(zhí)行情況，向主管領(lǐng)導匯報。
第十章 數(shù)據(jù)保護
第三十四條 數(shù)據(jù)保護應(yīng)遵循適度保護、積極防范、突出重點、分級管理的原則，通過數(shù)據(jù)的分類分級進行區(qū)別保護、動態(tài)保護。
第三十五條 系統(tǒng)信息安全運維部門，應(yīng)根據(jù)信息安全工作的實際需要，制定數(shù)據(jù)保護的具體技術(shù)和管理措施。
第三十六條 在數(shù)據(jù)的采集、決策分析、共享發(fā)布、存儲和廢棄的生命周期各階段，對數(shù)據(jù)的相應(yīng)級別進行防護和處理。
第三十七條 應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸和存儲過程中完整性受到破壞，并在檢測到完整性錯誤時采取必要的恢復措施。
第三十八條 數(shù)據(jù)在存儲和傳輸過程中須根據(jù)數(shù)據(jù)的級別采用加密或其他手段確保其存儲安全。
第三十九條 數(shù)據(jù)在使用過程中，須根據(jù)數(shù)據(jù)的級別進行控制，嚴禁非授權(quán)訪問、傳輸和修改。
第四十條 數(shù)據(jù)的銷毀須嚴格按照信息安全管理制度相關(guān)標準、規(guī)范要求及國家的法律法規(guī)要求進行處理。
青公網(wǎng)安備 63010402000052號
微信公眾號
手機掃一掃
