数据安全管理规范
数据安全管理规范
数据安全管理规范202x年xx月xx日修订记录目录第一章总则 (1)第二章数据安全基础建设 (1)第一节组织保障 (1)第二节数据资产管理 (2)第三节数据分类分级 (2)第四节信息资源目录 (3)第五节数据安全防护能力建设 (3)第三章数据安全访问控制 (4)第一节账号管理 (4)第二节身份鉴别 (5)第三节授权管理 (5)第四章数据全流程安全管控 (6)第一节数据收集 (6)第二节数据传输 (7)第三节数据存储 (7)第四节数据使用 (8)第五节数据共享 (9)第六节数据删除 (9)第五章数据安全日常管控 (10)第一节数据安全运维 (10)第二节风险监测 (10)第三节风险评估 (11)第四节数据溯源和日志审计 (12)第六章数据安全应急管理 (13)第七章人员管理及培训 (13)第八章受托方数据安全管控 (14)第九章附则 (15)第一章总则第一条为加强大数据平台（以下简称“本单位”）的数据安全管理，规范和指导本单位数据处理和数据安全执行活动，根据《中华人民共和国数据安全法》等法律法规，以及本单位《数据安全管理办法》，结合实际情况制定本规范。
第二条本规范对本单位数据安全建设、数据全流程处理活动、数据安全日常管理、应急管理、访问控制、人员管理和培训等相关事项提出要求。
第三条本规范适用于本单位内非涉密数据。
第二章数据安全基础建设第一节组织保障第四条数据安全执行部门设置专门人员负责本单位的资产管理，权限管理，数据收集共享开放管理，日常监测预警，应急管理及风险评估等活动。
第五条数据资产管理员负责数据库资产管理，对数据库资产的申请、使用、回收负管理责任，审核并确保资产使用的合理性。
第六条数据权限管理员应与数据处理、运维或操作人员相互独立，负责对所有数据和数据资产的访问权限管理，负责账号与人员实名对应，并审查权限分配的合理性。
第七条数据收集共享负责人对数据收集和共享开放流程进行管控，核实数据收集来源，并对信息资源目录进行管理和审核。
03-某客户数据服务中心数据安全管理规范
XXXX数据服务中心数据安全管理规范第一章总则第一条为保障XXXX数据服务中心数据安全可控，确保各类数据收集、存储、使用、共享、开放等全生命周期安全，依据《中华人民共和国国家安全法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》等国家关于数据安全的有关规定，结合XXXX数据实际情况，制定本规范。
第二条本规范中有关术语定义如下：本规范所称数据，是指XXXX数据服务中心各部门（综合部、规划发展部、系统网络部、数据管理部、政务信息部、社会保险部、劳动人事部、人才就业部、公共服务部、应用推广部、社保卡发行部、内审监管部，以下简称XXXX数据中心各部门）在履行职能过程中产生或采集(含汇集)的，以一定形式记录、保存的文件、资料、图表、数据等各类非涉密数据，包括直接或通过第三方采集和授权管理的数据，通过信息共享等方式获取的数据，以及依托信息系统形成的数据等。
非涉密重要数据，是指一旦泄露会对国家安全、人民群众利益构成潜在威胁的数据。
本规范所称个人信息1，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。
对所收集的个人信息进行加工处理而产生的信息，能够单独或与其他信息结合识别自然人个人身份，或者反映自然人个人活动情况的，应将其认定为个人信息。
本规范所称个人敏感信息2，是指一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。
对于可直接定位到特定自然人身份的信息，如社会保障号码、生物特征信息，称为个人关键敏感信息。
本规范所称单位信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定单位的各种信息。
本规范所称个人信息和单位信息主体3，指个人信息所标识的自然人和单位信息所标识的单位。
第三条本规范适用于数据产生、保存、应用的全过程，主要包括以下环节：（一）数据收集，指XXXX数据中心各部门在履行职能时产生、采集和汇集数据的过程，包括对数据的收集和处理。
数据规范安全管理制度
第一章总则第一条为加强公司数据安全管理，确保公司数据资源的保密性、完整性和可用性，根据国家相关法律法规和行业标准，结合公司实际情况，特制定本制度。
第二条本制度适用于公司所有涉及数据存储、处理、传输和使用的部门及个人。
第三条本制度遵循以下原则：1. 法规遵从原则：严格遵守国家法律法规和行业标准，确保数据安全。
2. 风险控制原则：识别、评估和防范数据安全风险，降低数据泄露、篡改和破坏的风险。
3. 安全责任原则：明确数据安全责任，落实安全措施，确保数据安全。
4. 技术保障原则：采用先进的技术手段，加强数据安全防护。
第二章数据分类与分级第四条数据分类根据数据的重要性和敏感性，将公司数据分为以下四类：1. 核心数据：对公司业务运营、核心竞争力有重大影响的敏感数据。
2. 重要数据：对公司业务运营有较大影响的敏感数据。
3. 一般数据：对公司业务运营有一定影响的非敏感数据。
4. 公开数据：不涉及公司商业秘密和隐私，可公开的数据。
第五条数据分级根据数据的重要性和敏感性，将公司数据分为以下三个等级：1. 一级数据：核心数据，需最高级别的安全保护。
2. 二级数据：重要数据，需较高的安全保护。
3. 三级数据：一般数据和公开数据，需基本的安全保护。
第三章数据安全管理职责第六条数据安全管理组织1. 成立数据安全管理委员会，负责公司数据安全工作的统筹规划、组织协调和监督指导。
2. 设立数据安全管理办公室，负责日常数据安全管理工作。
第七条数据安全管理职责1. 数据安全管理委员会职责：（1）制定公司数据安全管理制度；（2）监督各部门落实数据安全措施；（3）组织开展数据安全培训和宣传活动；（4）评估数据安全风险，提出改进措施。
2. 数据安全管理办公室职责：（1）负责数据安全管理制度的具体实施；（2）组织数据安全风险评估和检查；（3）协调各部门解决数据安全问题；（4）监督数据安全事件的处理。
3. 各部门职责：（1）落实数据安全管理制度；（2）对本部门数据安全负责；（3）配合数据安全管理办公室开展数据安全相关工作。
数据安全管理制度规范
一、总则为了加强公司数据安全管理，保障数据安全，防止数据泄露、篡改、损毁等安全事件的发生，根据国家相关法律法规，结合公司实际情况，特制定本制度。
二、数据安全管理原则1. 防范为主，防治结合：加强数据安全防范措施，及时发现和处置数据安全风险。
2. 依法依规，分类管理：严格按照国家法律法规和数据安全相关标准，对数据进行分类分级管理。
3. 责任明确，协同联动：明确数据安全责任，建立健全数据安全管理体系，实现部门间协同联动。
4. 技术保障，持续改进：运用先进的数据安全技术，持续改进数据安全防护能力。
三、数据安全管理组织架构1. 成立数据安全管理领导小组，负责制定数据安全管理制度、政策，监督和指导数据安全管理工作。
2. 设立数据安全管理办公室，负责具体实施数据安全管理工作。
3. 各部门、子公司设立数据安全管理员，负责本部门、子公司数据安全管理工作的组织实施。
四、数据分类分级1. 根据数据的重要性、敏感性、价值等因素，将数据分为以下四个等级：（1）一级数据：涉及国家秘密、企业商业秘密和个人隐私的数据。
（2）二级数据：涉及企业商业秘密和个人隐私的数据。
（3）三级数据：涉及企业内部管理的数据。
（4）四级数据：一般数据。
2. 根据数据分类分级，制定相应的安全保护措施。
五、数据安全管理措施1. 数据安全治理：建立健全数据安全治理体系，明确数据安全责任，落实数据安全管理制度。
2. 数据安全培训：定期组织员工进行数据安全培训，提高员工数据安全意识。
3. 数据访问控制：根据员工职责，严格控制数据访问权限，确保数据安全。
4. 数据加密：对敏感数据实施加密存储和传输，防止数据泄露。
5. 数据备份与恢复：定期对数据进行备份，确保数据在发生安全事件时能够及时恢复。
6. 数据安全审计：定期对数据安全事件进行审计，分析原因，改进措施。
7. 应急预案：制定数据安全事件应急预案，确保在发生安全事件时能够迅速应对。
六、监督检查1. 数据安全管理办公室定期对各部门、子公司数据安全管理工作进行检查，确保制度落实。
数据安全管理制度及规范
一、目的为加强公司数据安全管理，确保数据安全、完整、可用，防止数据泄露、篡改、丢失等安全风险，根据国家相关法律法规和公司实际情况，特制定本制度及规范。
二、适用范围本制度及规范适用于公司所有涉及数据收集、存储、使用、处理、传输、销毁等活动的部门、岗位及人员。
三、数据安全管理制度1. 数据安全责任（1）公司董事会对数据安全负有最终责任。
（2）公司高层管理人员对数据安全方针和政策负责，并由首席网络安全官领导的数据安全团队负责执行与管理数据安全。
（3）各部门负责人对本部门数据安全负直接责任。
（4）所有员工应遵守本制度及规范，履行数据安全责任。
2. 数据分类分级（1）公司数据分为核心数据、重要数据和一般数据三个等级。
（2）核心数据包括涉及国家安全、商业秘密、客户隐私等敏感信息。
（3）重要数据包括对公司业务运营、市场竞争、客户关系等方面有重要影响的信息。
（4）一般数据指除核心数据和重要数据外的其他信息。
3. 数据收集与存储（1）数据收集应遵循最小必要原则，仅收集实现业务目的所必需的数据。
（2）数据存储应选择安全可靠的存储介质和平台，确保数据安全。
4. 数据使用与处理（1）数据使用应遵循合法、正当、必要的原则，不得泄露、篡改、滥用数据。
（2）数据处理应确保数据完整、准确，防止数据丢失、篡改。
5. 数据传输与交换（1）数据传输应选择安全可靠的传输方式，如采用加密、VPN等技术。
（2）数据交换应遵循相关法律法规和公司内部规定，确保数据安全。
6. 数据备份与恢复（1）定期对数据进行备份，确保数据可恢复。
（2）备份数据应存储在安全可靠的介质上，防止数据泄露、篡改。
7. 数据销毁与归档（1）数据销毁应遵循相关法律法规和公司内部规定，确保数据彻底销毁。
（2）数据归档应按照规定进行，便于查询和审计。
四、数据安全规范1. 保密规定（1）员工应严格遵守保密规定，不得泄露、篡改、滥用数据。
（2）对涉及核心数据和重要数据的岗位，员工应签订保密协议。
制定数据安全制度及规范
一、总则第一条为加强我单位数据安全管理，保障数据安全，维护国家安全和社会公共利益，根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》等相关法律法规，结合我单位实际情况，制定本制度及规范。
第二条本制度及规范适用于我单位所有涉及数据存储、处理、传输、使用和销毁的数据，包括但不限于个人信息、商业秘密、技术秘密、国家秘密等。
第三条我单位应建立健全数据安全管理体系，明确数据安全管理责任，采取必要的技术和管理措施，确保数据安全。
二、数据安全组织架构第四条成立数据安全管理委员会，负责统筹规划、决策和监督数据安全管理工作。
第五条数据安全管理委员会下设数据安全办公室，负责具体实施数据安全管理工作。
第六条各部门负责人为数据安全第一责任人，对本部门数据安全负总责。
三、数据安全管理制度第七条数据分类分级管理1. 根据数据的重要性、敏感性、影响范围等因素，将数据分为绝密、机密、秘密三个等级。
2. 各部门应按照数据等级制定相应的保护措施。
第八条数据安全风险评估1. 定期对数据安全风险进行评估，识别潜在的安全威胁。
2. 根据风险评估结果，制定相应的防范措施。
第九条数据安全培训1. 定期组织数据安全培训，提高员工数据安全意识和技能。
2. 新员工入职前必须接受数据安全培训。
第十条数据安全事件应急预案1. 制定数据安全事件应急预案，明确事件发生时的应对措施。
2. 定期组织应急演练，提高应对数据安全事件的能力。
四、数据安全技术措施第十一条数据加密1. 对敏感数据进行加密存储和传输。
2. 使用符合国家标准的数据加密技术。
第十二条访问控制1. 实施严格的访问控制策略，限制对数据的访问权限。
2. 定期审查和更新访问控制列表。
第十三条数据备份与恢复1. 定期对数据进行备份，确保数据不会因意外事故而丢失。
2. 制定数据恢复计划，确保在数据丢失后能够迅速恢复。
第十四条入侵检测与防范1. 部署入侵检测系统，实时监控数据安全状况。
2. 及时修复系统漏洞，防止黑客攻击。
商业银行数据安全管理规范
商业银行数据安全管理规范一、引言数据安全是商业银行信息化建设的核心内容之一，对于商业银行而言，保护客户的隐私和敏感信息是至关重要的。
为了确保商业银行在数据管理方面达到高水平的安全性，制定本数据安全管理规范。
二、数据分类与保护级别商业银行的数据可分为以下几个分类：1. 客户个人信息：包括客户的姓名、身份证号码、联系方式等。
2. 交易数据：包括客户的交易记录、账户余额等。
3. 业务数据：包括商业银行内部的业务数据，如贷款审批记录、风险评估等。
4. 内部管理数据：包括商业银行内部的管理数据，如员工信息、薪酬记录等。
根据数据的重要性和敏感程度，商业银行将数据分为以下几个保护级别：1. 高级保护级别：包括客户个人信息和交易数据等，需要采取最高级别的安全措施进行保护。
2. 中级保护级别：包括业务数据等，需要采取适当的安全措施进行保护。
3. 低级保护级别：包括内部管理数据等，需要采取基本的安全措施进行保护。
三、数据安全管理措施为了确保商业银行数据的安全性，需要采取以下数据安全管理措施：1. 数据访问控制商业银行应建立严格的数据访问控制机制，包括以下方面：- 根据员工的职责和权限，分配不同的数据访问权限。
- 定期审查和更新员工的数据访问权限。
- 对外部系统和第三方机构的数据访问进行严格的控制和监管。
2. 数据加密商业银行应采用强大的加密算法对敏感数据进行加密，并确保加密密钥的安全存储和管理。
3. 数据备份与恢复商业银行应定期进行数据备份，并确保备份数据的安全存储。
在数据丢失或系统故障时，能够及时恢复数据。
4. 系统安全商业银行应建立完善的系统安全控制措施，包括以下方面：- 定期进行系统安全评估和漏洞扫描，及时修复安全漏洞。
- 建立防火墙和入侵检测系统，保护系统免受未经授权的访问和攻击。
5. 员工培训与意识提升商业银行应定期组织员工数据安全培训，提高员工对数据安全的意识和理解，确保员工遵守数据安全管理规定。
6. 安全事件响应商业银行应建立完善的安全事件响应机制，包括以下方面：- 建立安全事件报告和处理流程，及时发现和处理安全事件。
数据安全管理规范
数据安全管理规范数据安全是现代社会信息化的核心问题之一。
在大数据时代，数据安全管理成为企业和个人信息安全的重要保障。
为了保证数据安全，需要建立规范的数据安全管理制度，并贯彻落实数据安全管理的各项措施，实现全面的数据安全保护。
一、数据安全管理的目标数据安全管理的目标是保护数据的机密性、完整性和可用性。
具体来说，数据需要在以下三个方面得到保护：1. 保证数据机密性保证数据机密性意味着防止未经授权的用户访问数据。
数据机密性需要通过以下措施得到保障：•访问控制：为每个用户分配特定的访问权限，确保用户只能访问其需要的数据；•数据加密：对敏感数据进行加密，防止非授权用户获取数据。
2. 保证数据完整性保证数据完整性意味着防止恶意用户篡改、更改数据。
数据完整性需要通过以下措施得到保障：•访问控制：禁止未经授权的用户对数据进行修改；•数字签名：对数据进行数字签名，并使用私钥签名进行验证，确保数据不被篡改。
3. 保证数据可用性保证数据可用性意味着确保用户可以在需要时访问数据。
数据可用性需要通过以下措施得到保障：•备份：定期备份数据，确保数据在出现故障或数据损坏时可恢复；•容错：使用冗余的存储设备，确保数据可在设备故障时不会丢失。
二、数据安全管理的措施1. 数据分类数据分类是指对数据进行分类，根据其重要性和敏感程度进行分类处理，制定相应的安全管理策略。
•机密数据：包括公司机密、个人隐私等敏感信息，需要采取更为严格的存储措施，限制访问权限；•可公开的数据：包括公开的报表、企业简介等信息，可以采用较为宽松的存储和访问控制策略。
2. 安全备份安全备份是数据安全管理的重要措施，为数据的可靠性和连续性提供了保障。
安全备份应覆盖所有的数据备份需求，并且备份介质需要存放在安全的环境中。
3. 访问控制访问控制是指通过授权访问机制控制用户访问数据的行为。
•身份认证：要求用户在访问前提供准确的身份识别信息，确保是授权的人员访问数据；•访问权限控制：明确数据的访问权限和操作权限，为用户授权有针对性的权限。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
业务平台安全管理制度
—数据安全管理规范
XXXXXXXXXXX公司网络运行维护事业部
目录
一、概述 (1)
二、数据信息安全管理制度 (2)
2、1数据信息安全存储要求 (2)
2、2数据信息传输安全要求 (2)
2、3数据信息安全等级变更要求 (3)
2、4数据信息安全管理职责 (3)
三、数据信息重要性评估 (4)
3、1数据信息分级原则 (4)
3、2数据信息分级 (4)
四、数据信息完整性安全规范 (5)
五、数据信息保密性安全规范 (6)
5、1密码安全 (6)
5、2密钥安全 (6)
六、数据信息备份与恢复 (8)
6、1数据信息备份要求 (8)
6、1、1 备份要求 (8)
6、1、2 备份执行与记录 (8)
6、2备份恢复管理 (8)
一. 概述
数据信息安全,顾名思义就就是要保护数据信息免受威胁的影响,从而确保业务平台的连续性,缩减业务平台有可能面临的风险,为整个业务平台部门的长期正常运行提供强有力的保障。
为加强数据信息的安全管理,保证数据信息的可用性、完整性、机密性,特制定本规范。
二. 数据信息安全管理制度
2.1 数据信息安全存储要求
数据信息存储介质包括:纸质文档、语音或其录音、输出报告、硬盘、磁带、光存储介质。
存储介质管理须符合以下规定:
◆包含重要、敏感或关键数据信息的移动式存储介质须专人值守。
◆删除可重复使用存储介质上的机密及绝密数据时,为了避免在可移动介质上遗留信
息,应该对介质进行消磁或彻底的格式化,或者使用专用的工具在存储区域填入无
用的信息进行覆盖。
◆任何存储媒介入库或出库需经过授权,并保留相应记录,方便审计跟踪。
2.2 数据信息传输安全要求
◆在对数据信息进行传输时,应该在风险评估的基础上采用合理的加密技术,选择与
应用加密技术时,应符合以下规范:
⏹必须符合国家有关加密技术的法律法规;
⏹根据风险评估确定保护级别,并以此确定加密算法的类型、属性,以及所用密钥
的长度;
⏹听取专家的建议,确定合适的保护级别,选择能够提供所需保护的合适的工具。
◆机密与绝密信息在存储与传输时必须加密,加密方式可以分为:对称加密与不对称
加密。
◆机密与绝密数据的传输过程中必须使用数字签名以确保信息的不可否认性,使用数
字签名时应符合以下规范:
⏹充分保护私钥的机密性,防止窃取者伪造密钥持有人的签名。
⏹采取保护公钥完整性的安全措施,例如使用公钥证书;
⏹确定签名算法的类型、属性以及所用密钥长度;
⏹用于数字签名的密钥应不同于用来加密内容的密钥。
2.3 数据信息安全等级变更要求
数据信息安全等级经常需要变更、一般地,数据信息安全等级变更需要由数据资产的所有者进行,然后改变相应的分类并告知信息安全负责人进行备案、。
对于数据信息的安全等级,应每年进行评审,只要实际情况允许,就进行数据信息安全等级递减,这样可以降低数据防护的成本,并增加数据访问的方便性。
2.4 数据信息安全管理职责
数据信息涉及各类人员的职责如下:
◆拥有者:拥有数据的所有权;拥有对数据的处置权利;对数据进行分类与分级;指定数
据资产的管理者/维护人;
◆管理者:被授权管理相关数据资产;负责数据的日常维护与管理;
◆访问者:在授权的范围内访问所需数据;确保访问对象的机密性、完整性、可用性等;
三. 数据信息重要性评估
3.1 数据信息分级原则
分级合理性
数据信息与处理数据信息分级的系统输应当仔细考虑分级范畴的数量以及使用这种分级所带来的好处。
过于复杂的分级规划可能很累赘,而且使用与执行起来也不经济实用。
分级周期性
数据信息的分级具有一定的保密期限、对于任何数据信息的分级都不一定自始至终固定不变,可按照一些预定的策略发生改变。
如果把安全保护的分级划定得过高就会导致不必要的业务开支。
3.2 数据信息分级
数据信息应按照价值、法律要求及对组织的敏感程度与关键程度进行分级,分级等级如下:
四. 数据信息完整性安全规范
数据信息完整性应符合以下规范:
◆确保所采取的数据信息管理与技术措施以及覆盖范围的完整性。
◆应能够检测到网络设备操作系统、主机操作系统、数据库管理系统与应用系统的系
统管理数据、鉴别信息与重要业务数据在传输过程中完整性受到破坏,并在检测到
完整性错误时采取必要的恢复措施;
◆应能够检测到网络设备操作系统、主机操作系统、数据库管理系统与应用系统的系
统管理数据、鉴别信息与重要业务数据在存储过程中完整性受到破坏,并在检测到
完整性错误时采取必要的恢复措施;
◆具备完整的用户访问、处理、删除数据信息的操作记录能力,以备审计。
◆在数据信息时,经过不安全网络的(例如INTERNET网),需要对传输的数据信息提供
完整性校验。
◆应具备完善的权限管理策略,支持权限最小化原则、合理授权。
五. 数据信息保密性安全规范
数据信息保密性安全规范用于保障业务平台重要业务数据信息的安全传递与处理应用,确保数据信息能够被安全、方便、透明的使用。
为此,业务平台应采用加密等安全措施开展数据信息保密性工作:
◆应采用加密效措施实现重要业务数据信息传输保密性;
◆应采用加密实现重要业务数据信息存储保密性;
加密安全措施主要分为密码安全及密钥安全。
5.1 密码安全
密码的使用应该遵循以下原则:
◆不能将密码写下来,不能通过电子邮件传输;
◆不能使用缺省设置的密码;
◆不能将密码告诉别人;
◆如果系统的密码泄漏了,必须立即更改;
◆密码要以加密形式保存,加密算法强度要高,加密算法要不可逆;
◆系统应该强制指定密码的策略,包括密码的最短有效期、最长有效期、最短长度、
复杂性等;
◆如果需要特殊用户的口令(比如说UNIX下的Oracle),要禁止通过该用户进行交互
式登录;
◆在要求较高的情况下可以使用强度更高的认证机制,例如:双因素认证;
◆(要定时运行密码检查器检查口令强度,对于保存机密与绝密信息的系统应该每周
检查一次口令强度;其它系统应该每月检查一次。
5.2 密钥安全
密钥管理对于有效使用密码技术至关重要。
密钥的丢失与泄露可能会损害数据信息的保密性、重要性与完整性。
因此,应采取加密技术等措施来有效保护密钥,以免密钥被非法修改与破坏;还应对生成、存储与归档保存密钥的设备采取物理保护。
此外,必须使用经过业务平
台部门批准的加密机制进行密钥分发,并记录密钥的分发过程,以便审计跟踪,统一对密钥、证书进行管理。
密钥的管理应该基于以下流程:
密钥产生:为不同的密码系统与不同的应用生成密钥;
密钥证书:生成并获取密钥证书;
密钥分发:向目标用户分发密钥,包括在收到密钥时如何将之激活;
密钥存储:为当前或近期使用的密钥或备份密钥提供安全存储,包括授权用户如何访问密钥;
密钥变更:包括密钥变更时机及变更规则,处置被泄露的密钥;
密钥撤销:包括如何收回或者去激活密钥,如在密钥已被泄露或者相关运维操作员离开业务平台部门时(在这种情况下,应当归档密钥);
密钥恢复:作为业务平台连续性管理的一部分,对丢失或破坏的密钥进行恢复;
密钥归档:归档密钥,以用于归档或备份的数据信息;
密钥销毁:密钥销毁将删除该密钥管理下数据信息客体的所有记录,将无法恢复,因此,在密钥销毁前,应确认由此密钥保护的数据信息不再需要。
六. 数据信息备份与恢复
6.1 数据信息备份要求
6.1.1 备份要求
◆数据信息备份应采用性能可靠、不宜损坏的介质,如磁带、光盘等。
备份数据信息
的物理介质应注明数据信息的来源、备份日期、恢复步骤等信息,并置于安全环境
保管。
◆一般情况下对服务器与网络安全设备的配置数据信息每月进行一次的备份,当进行
配置修改、系统版本升级、补丁安装等操作前也要进行备份;网络设备配置文件在
进行版本升级前与配置修改后进行备份。
◆运维操作员应确保对核心业务数据每日进行增量备份,每周做一次包括数据信息的
全备份。
业务系统将进行重大系统变更时,应对核心业务数据进行数据信息的全备
份。
6.1.2 备份执行与记录
备份执行过程应有详细的规划与记录,包括备份主体、备份时间、备份策略、备份路径、记录介质(类型)等。
6.2 备份恢复管理
◆运维操作员应根据不同业务系统实际拟定需要测试的备份数据信息以及测试的周
期。
◆对于因设备故障、操作失误等造成的一般故障,需要恢复部分设备上的备份数据信
息,遵循异常事件处理流程,由运维操作员负责恢复。
◆应尽可能地定期检查与测试备份介质与备份信息,保持其可用性与完整性,并确保
在规定的时间内恢复系统。
◆应确定重要业务信息的保存期以及其它需要永久保存的归档拷贝的保存期。
◆恢复程序应定期接受检查及测试,以确保在恢复操作程序所预定的时间内完成。
数据安全管理规范
恢复策略应该根据数据信息的重要程度与引入新数据信息的频率设定备份的频率(如每日或每周、增量或整体)。