DSMM-022 数据供应链安全管理规范V1.0

第一章 总则

第一条 为加强北京思度咨询科技有限公司数据供应链安全管理，防范上下游数据供应过程中的安全风险，特制定此规范。

第二条 本规范适用于规范北京思度咨询科技有限公司上下游数据供应安全管理。

第二章 范围

第三条 北京思度咨询科技有限公司数据供应范围为公司合作机构、政府主管部门。

第三章 职责及权限

第四条 数据安全领导小组

（一）负责制定整体的数据供应链管理要求；

（二）建立数据供应上下游安全能力评估规范，推动数据供应链安全管理。

第五条 数据与网络安全部-数据供应链安全岗

（一）参与制定整体的数据供应链管理要求；

（二）推动公司通过合作协议方式明确数据供应链中数据的使用目的、供应方式、保密约定、安全责任义务等；

（三）建立供应链安全审查规程，定期开展数据供应链安全的核查。

第六条 数据提供方

（一）成立数据安全管理部门，明确数据供应链安全管理负责人；

（二）提供数据前，对数据进行风险评估，确保数据集和数据流的安全，避免数据提供给第三方所造成的数据安全事件；

（三）明确数据接收方的数据范围和要求，确保数据接收方提供同等或更高的数据保护水平；

（四）基于最小授权原则，明确数据功能供应过程中各角色最小操作权限，确保非法用户或异常操作造成的巨大损失；

（五）利用技术工具，增强数据传输过程中的安全管控能力，防止数据篡改和泄露；

（六）对数据采集和发布设备与应用进行登记，对数据采集和发布行为进行记录和审计；

（七）基于数据全生命周期的安全管理，评估组织内部的数据安全能力，确保组织内部具有对应的数据供应安全保障能力。

第七条 数据服务方

（一）明确数据安全管理责任部门，制定数据供应安全管理目标；

（二）制定数据供应链安全管理制度和规程，包括数据供应链参与方安全管理规范等；

（三）应与数据提供方、数据使用方签署合作协议，合作协议中应明确数据的使用目的、供应方式、参与责任等；

（四）定期对数据供应链参与方的安全管理能力进行审核，并对数据供应链参与方的安全风险进行评估；

（五）定期对数据供应链全生命周期安全风险进行评估；

（六）建立针对用户访问权限、数据操作权限、应用访问权限等维度的授权管理机制；

（七）建立安全审计机制，对数据进行修改、查询、导出、删除等操作时，记录相应的操作，且记录应可追溯和审查。

第八条 数据使用方

（一）成立数据安全管理责任部门，明确数据供应安全管理责任人；

（二）数据的使用，遵循最小且必要和正当原则，严禁过度使用；

（三）发生数据安全事件时，立即采取措施，保存证据，并及时向数据安全管理责任部门报告；

（四）数据使用前应采取数据防泄漏、敏感数据识别等安全防护手段对使用的数据进行评估，对于识别出的敏感数据应通过审批后方可使用；

（五）发现违法发布或者传输数据的，立即停止发布、传输或者采取阻断、拦截等措施，保留有关记录，并及时向数据安全管理责任部门报告。

第四章 数据供应链安全目标

第九条 数据供应链安全目标包含数据安全属性和功能两个方面，其中数据安全属性包括数据和主体机密性以及数据和主体真实性两个方面；数据安全功能包括数据应用安全管理、身份鉴别和访问控制、数据活动安全管理和系统应急响应管理，具体要求如下：

（一）数据安全属性

1）机密性：数据提供方、大数据平台提供者和大数据应用提供者应提供数据和数据主体机密性安全控制措施。例如：使用安全套接层/传输层安全（SSL/TLS）等安全协议保证数据传输的机密性；使用基于凭证的数据访问策略、基于属性的细粒度访问控制策略、基于虚拟机（VM）技术的边界控制等保证数据存储访问机密性；使用公钥基础设施（PKI）、基于身份/属性加密体制（ABE）等密码学方法保证数据托管存储访问机密性；使用支持密文数据搜索和加密数据同态处理等的功能加密技术提供密文数据透明处理；使用集中存储的密钥服务保证数据分布式存储和分布式处理的安全访问；使用数据匿名化处理技术、数据扰动技术、差分隐私技术等保障发布数据主体敏感信息的安全性等；

2）真实性：数据提供方和数据使用方应确保大数据服务中数据和主体真实性。例如：使用终端输入验证方式来保证采集过程中收集的数据来自可信的数据源；使用领域相关的语义约束条件来验证数据语义或用户操作满足典型业务规则，确保数据操作过程中数据完整性；使用数字签名等密码技术从数学角度来验证数据和主体真伪；在传输过程中使用安全传输层协议等保证数据传输完整性；使用数据验证计算技术确保分布式数据关键片段计算确实符合预期的计算结果，启用细粒度或高级安全审计机制以确保大数据服务可追踪能力；使用可信计算平台模块（TPM）保证数据和主体处理值得信赖；使用大数据服务中各种加密机制、安全协议等保证数据完整性和数据主体敏感信息隐私保护等。

（二）数据安全功能

1）数据应用安全管理：数据提供方和数据使用方都是通过大数据应用终端、大数据服务组件和大数据服务接口与大数据系统进行交互。因此，大数据系统应安全地管理接入的大数据应用程序、大数据应用终端和外部潜在的大数据资源，提供诸如大数据应用程序安全注册、大数据应用安全元数据管理、大数据应用开发和部署策略等。大数据应用程序安全注册需登记和管理如物联网网络、移动终端等大数据应用终端设备、数字化产权保护下的各种数据资产、以及外部服务、应用程序和用户角色。大数据应用安全元数据管理应结构化存储和维护大数据服务安全相关的设备、用户、资产、服务组件等所有数据和主体安全要素，包括数据快速更新、数据结构变化、以及临时数据存储、数据有效性、大数据服务运行日志、溯源数据等系统运行安全统计数据，以支持应用数据生命周期、合规性控制等复杂应用的安全管理。大数据应用开发和部署实施策略涵盖符合机构信息系统环境建设的大数据应用部署和设施策略、大数据运行过程中的细粒度审计政策、以及不同大数据服务角色相关的行为规范等。大数据应用应该提供用户数据导入与导出，用户数据备份、用户行为数据保护等个性化数据安全管理功能。

2）身份鉴别和访问控制：数据提供方和数据使用方应对数据用户身份进行验证，并提供合适的访问控制授权引擎对用户访问的数据资源进行控制，提供诸如基础设施层用户身份验证、应用程序层身份验证、终端用户层身份管理、服务提供商身份管理、粗粒度、细粒度、属性基等多种访问控制、多租户数据安全管理等。基础设施层用户身份验证应支持分布式计算技术、虚拟计算技术等计算方式的身份验证，例如基于硬件安全模块支持下的可信计算体系，从基础设施层提高大数据服务整体安全性。应用程序层用户身份验证应提供基于公钥基础设施（PKI）等技术的身份认证服务平台，实现对应用层用户的证书、账户、授权、认证和审计的集中管理、整合数据服务资源、实现应用数据共享和全面集中管控目标。终端用户层身份管理应依据数据提供方和数据使用方角色自动判断数据应用中用户的身份信息，保证数据服务系统中的用户标识和数据应用用户参考标识与应用层授权信息之间的映射关系。服务提供商身份管理针对数据系统中数据提供者、数据服务协调者、数据平台提供者、数据应用提供者和数据使用者，以多个服务身份使用数据服务，使用安全性断言标记语言来定义数据资源提供者提供身份（和角色），添加安全和隐私保证等要求，扩展传统的用户身份鉴别和授权机制。数据可聚合多个数据提供者的数据资源，细粒度访问控制使得数据服务提供者不只是分享数据集和数据服务，同时也分享数据授权策略，因此，数据系统需要提供基于属性访问控制引擎（如XACML），提供策略编辑点、策略决策点、策略执行点和政策访问点等面向数据对象的授权管理和访问控制功能。

3）数据活动安全管理：围绕数据的"数据-信息-知识-价值"数据价值链的数据生命周期活动，提供数据在传输、存储和使用过程中的加密功能和密钥管理功能，提供不同应用之间数据隔离与封装服务，确保用户数据机密性和可管理性；提供数据存储安全控制措施，包括不同数据副本或数据在不同空间的完整性检测措施，预防数据丢失，保证数据可访问性；部署必要的网络服务网关，确保数据的安全迁移、转换和共享；提供聚合数据管理措施，确保多数据源安全整合；提供服务组件计算可信性验证机制，确保应用服务组件的安全性；具备加密数据的透明计算能力；制定部署、迁移和保留策略、个人信息保护策略、去标识化和匿名化机制，确保数据生命周期中个人隐私与敏感数据的安全管理，包括个人信息再标识风险管理等；提供大数据应用终端验证、数字版权管理、信任管理、数据披露、数据交易伦理、数据治理等数据生命周期相关的是数据服务安全。

4）数据系统应急响应管理：提供数据服务基础设施和数据管理平台风险和责任相关的问题追责、安全合规、安全取证、安全事件管理、风险控制措施等。问题追责主要基于数据供应平台和数据应用之间的信息、流程和角色行为，通过追踪数据系统的门户和检测点、向前和向后的溯源数据检查等方式实现。数据系统安全和隐私的合规跨多个领域分类，涉及隐私、行业规范和本国的法律。安全取证可通过数据安全分析服务组件取证，也可通过在数据安全失败场景下取证。安全事件管理落实事件处理所需的各类支持资源，为用户处理、报告安全事件提供咨询和帮助。风险控制措施协调应急响应活动与事件处理活动，并与数据服务相关外部机构（如供应链中的外部服务提供商等）提供事件应急处理机制。

第五章 数据供应安全原则

第十条 职责明确原则

根据数据规模、数据重要性、组织规模等因素，成立数据安全管理团队，明确数据供应过程中个性活动的实施主体及安全责任，对XXX科技发展有限公司数据及使用安全负责。

第十一条 最小授权原则

在保证XXX科技发展有限公司业务功能完整实现的基础上赋予数据供应过程中各角色最小的操作权限，确保非法用户或异常操作造成的损失最小，且所有角色应使用所授权范围内的数据，非授权范围内的数据使用应进行授权审批后方可使用。

第十二条 数据保护原则

涉及国家安全、公共利益、商业秘密和个人隐私的重要数据应得到充分保护。数据供应过程中不应损害国家安全、公共利益和他人合法权益。数据清洗、加工、脱敏等流程应合规，数据供应过程中包含用户隐私数据的，应取得用户同意。

第六章 数据供应链安全管理

第十三条 针对外部供应商相关数据合作，XXX科技发展有限公司应通过合作协议方式明确数据链中数据的使用目的、供应方式、保密约定、安全责任义务等，并通过合作协议等书面文件形式确保供应商数据使用目的无未授权扩散、供应方式可靠，并严格遵守数据流动保密要求，明确列举双方安全责任义务与违约处置等。

第十四条 针对外部供应商数据流动合作，XXX科技发展有限公司应基于国家相关法律法规及标准要求，根据组织自身已达到安全能力，对外部供应商进行对应能力评估，并判定其数据安全能力是否不低于组织已达到、或需要数据流动过程中需达到的最低要求，否则无法进行合作。

第十五条 通过对供应商进行数据安全能力评估，实现对供应商的安全要求选型，降低由于数据供应链中因供应商的数据安全隐患导致的数据泄露或损失。

第十六条 建立数据供应链管理库，管理数据供应链目录和相关数据源，便于及时查看并更新组织上下游数据链路的整体情况，用于事后追踪分析数据供应链上下游合规情况。

第十七条 数据供应过程中应考虑数据采集、传输、交换等环节的安全风险管控，可参照北京思度咨询科技有限公司数据采集、传输、交换等环节安全要求执行。

第七章 附则

第十八条 本规范由数据安全领导小组办公室负责制定、解释和修改。

第十九条 对违反本规定的人员，将按照北京思度咨询科技有限公司有关规定进行处罚。

第二十条 本规范自发布之日起执行。