一、PA10 数据脱敏

1、PA描述

根据相关法律法规、标准的要求以及业务需求，给出敏感数据的脱敏需求和规则，对敏感数据进行脱敏处理，保证数据可用性和安全性的平衡。

2、等级描述

2.1、等级1：非正式执行
该等级的数据安全能力描述如下：
组织建设：未在任何业务中建立数据脱敏的制度，仅根据临时需求或基于个人经验，在数据使用的过程中对某些数据字段执行了脱敏处理。

2.2、等级2：计划跟踪
该等级的数据安全能力要求描述如下：
①组织建设：应由业务团队相关人员负责数据脱敏工作。
②人员能力：负责该项工作的人员应了解数据脱敏的常用技术，并能够基于数据脱敏的具体场景保证业务和安全之间的需求平衡。
③制度流程：在核心业务中，应对业务中涉及的数据脱敏需求进行分析，明确脱敏的流程和方法。
④技术工具：应通过一定的技术工具（如敏感字段屏蔽等方式），实现对核心业务的数据脱敏。
　
2.3、等级3：充分定义
该等级的数据安全能力要求描述如下：
①组织建设：
　　ａ）组织应设立统一的数据安全岗位和人员，负责制定数据脱敏的原则和方法，并提供相关技术能力。
　　ｂ）在数据权限的申请阶段，有相关人员应评估使用真实数据的必要性，以及确定该场景下适用的数据脱敏规则及方法。
②制度流程：
　　a）应明确组织的数据脱敏规范，明确数据脱敏的规则、脱敏方法和使用限制等；
　　b）应明确需要脱敏处理的应用场景、脱敏处理流程、涉及部门及人员的职责分工。
③技术工具：
　　ａ）组织应提供统一的数据脱敏工具，实现数据脱敏工具与数据权限管理系统的联动，以及数据使用前的静态脱敏；
　　ｂ）应提供面向不同数据类型的脱敏方案，可基于场景需求自定义脱敏规则；
　　ｃ）数据脱敏后应保留原始数据格式和特定属性，满足开发与测试需求；
　　ｄ）应对数据脱敏处理过程相应的操作进行记录，以满足数据脱敏处理安全审计要求。
④人员能力：
　　ａ）应熟悉常规的数据脱敏技术，能够分析数据脱敏过程中存在的安全风险，基于数据脱敏的具体场景保证业务和安全之间的需求平衡；
　　ｂ）应具备对数据脱敏技术方案定制化的能力，能够基于组织内部各级别的数据建立有效的数据脱敏方案。
　　
2.4、等级4：量化控制
该等级的数据安全能力要求描述如下：
①制度流程：
ａ）应明确列出需要脱敏的数据资产，给出不同分类分级数据的脱敏处理流程；
ｂ）应明确脱敏数据治理要求，在评估方法等方面反映脱敏治理效果。
②技术工具：
　　ａ）应配置脱敏数据识别和脱敏效果验证服务组件或技术手段，确保数据脱敏的有效性和合规性；
　　ｂ）应提供数据脱敏组件或技术手段，支持泛化、抑制、假名化等数据脱敏技术；
　　ｃ）应针对特定的数据使用场景和数据脱敏的策略，部署数据的动态脱敏方案。
③人员能力：应定期对数据脱敏工作人员的脱敏操作能力进行考核评估。
　　
2.5、等级5：持续优化
该等级的数据安全能力要求描述如下：
①技术工具：
　　ａ）应持续跟踪业务新需求、数据脱敏系技术和最佳实践、合规新要求新变化等，持续跟进数据脱敏规则和手段；
　　ｂ）应实现对非结构化数据、组合数据的数据脱敏；
　　ｃ）应参与国际、国家或行业相关标准制度，在业界分享最佳实践，成为行业标杆。

二、PA11 数据分析安全

1、PA描述

通过在数据分析过程采取适当的安全控制措施，防止数据挖掘、分析过程中有价值信息和个人隐私泄露的安全风险。

2、等级描述

2.1、等级1：非正式执行
该等级的数据安全能力描述如下：
组织建设：未在任何业务中开展数据分析的安全风险控制，仅根据临时需求或基于个人经验在个别业务中考虑了数据分析的安全风险。

2.2、等级2：计划跟踪
该等级的数据安全能力要求描述如下：
①组织建设：应由业务团队相关人员负责数据分析过程中的数据安全风险控制。
②制度流程：
　　ａ）核心业务应明确数据分析安全的原则或要求，如对个人明细数据、业务明细数据进行聚合分析过程中应考虑的关键安全风险等；
　　ｂ）核心业务团队应对涉及个人信息的数据分析需求进行人工审核，针对具体的数据分析场景制定了相应的隐私保护方案。
　
2.3、等级3：充分定义
该等级的数据安全能力要求描述如下：
①组织建设：组织应设立负责数据数据分析安全的岗位和人员们负责整体的数据分析安全原则制定、提供相应技术支持。
②制度流程：
　　a）应明确数据处理与分析过程的安全规范，覆盖构建数据仓库、建模、分析、挖掘、展现等方面的安全要求，明确个人信息保护、数据获取方式、访问接口、授权机制、分析逻辑安全、分析结果安全等内容；
　　b）应明确数据分析安全审核流程，对数据分析的数据源、数据分析需求、分析逻辑进行审核，以确保数据分析目的、分析操作等当面的正当性。
　　ｃ）应采取必要的监控审计措施，确保实际进行的分析操作与分析结果使用与其声明的一致，整体保证数据分析的预期不会超过相关分析团队对数据的授权范围；
　　ｄ）应明确数据分析结果输出和使用的安全审核、合规评估和授权流程，防止数据分析结果输出造成安全风险。
③技术工具：
　　ａ）在针对个人信息的数据分析中，组织应采用多种技术手段以降低数据分析过程中的隐私泄露风险，如差分隐私保护、Ｋ匿名等；
　　ｂ）应记录并保存数据处理与分析过程中对个人信息、重要数据等敏感数据的操作行为；
　　ｃ）应提供组织统一的数据处理和分析系统，并能够呈现数据处理前后数据间的映射关系。
④人员能力：应能够基于合规性要求、相关标准对数据安全分析中所可能引发的数据聚合的安全风险进行有效的评估，并能够针对分析场景提出有效的解决方案。
　　
2.4、等级4：量化控制
该等级的数据安全能力要求描述如下：
①技术工具：
　　ａ）应结合技术手段降低数据分析过程中的安全风险，比如基于机器学习的重要数据自动识别、数据安全分析算法设计等；
　　ｂ）应采取必要的技术手段（如对分析结果数据进行扫描并采取必要的控制措施）和管理措施，避免输出的数据分析结果包含可恢复的个人信息、重要数据等数据和结构标识（如用户鉴别信息的重要标识和数据结构），以防止数据分析结果危害个人隐私、公司商业价值、社会公共利益和国家安全；
　　ｃ）应建立数据分析过程的安全风险监控系统，对数据分析可能涉及的安全风险进行批量的分析和跟进；
　　ｄ）应具备基于机器学习的敏感数据自动识别、数据分析算法安全涉及等数据分析安全能力；
　　ｅ）应在个人信息、重要数据等数据有恢复需求时，采取必要的技术手段恢复数据。
　　
2.5、等级5：持续优化
该等级的数据安全能力要求描述如下：
①制度流程：应持续跟踪业务新需求、国内外法律法规变化和技术发展变化，持续调整和改进数据分析安全管理效果（如改进数据分析的个人隐私保护方案）；
②人员能力：负责该项工作的人员应具备对数据分析的安全技术，能够及时跟进先进的最佳实践以保证对相关技术的合理应用。
③技术工具：应参与国际、国家或行业相关标准制度，在业界分享最佳实践，成为行业标杆。

三、PA12 数据正当使用

1、PA描述

基于国家相关法律法规对数据分析和利用的要求，建立数据使用过程的责任机制、评估机制，保护国家秘密、商业秘密和个人隐私，防止数据资源被用于不正当目的。

2、等级描述

2.1、等级1：非正式执行
该等级的数据安全能力描述如下：
组织建设：未在任何业务中建立数据合规评估机制，仅根据临时需求或基于个人经验在个别业务系统中根据尝试、法律法规或合同协议等要求关注了对数据的正当使用需求。

2.2、等级2：计划跟踪
该等级的数据安全能力要求描述如下：
①组织建设：应由业务团队相关人员负责数据使用的合规性评估。
②制度流程：核心业务应明确数据使用正当性的制度，保证数据使用在声明的目的和范围内。
　
2.3、等级3：充分定义
该等级的数据安全能力要求描述如下：
①组织建设：组织应设立相关岗位和人员，负责对数据正当使用管理、评估和风险控制。
②制度流程：
　　a）应明确数据使用的评估制度，所有个人信息和重要数据的使用应先进性安全影响评估，满足国家合规要求后，允许使用。数据的使用应避免精确定位到特定个人，避免评价信用、资产和健康等敏感数据，不得超出与收集数据时所声明的目的和范围；
　　b）应明确数据使用正当性的制度，保证数据使用在声明的目的和范围内。
③技术工具：
　　ａ）应依据合规要求建立相应强度或粒度的访问控制机制，限定用户可访问数据范围；
　　ｂ）应完整记录数据使用过程的操作日志，以备对潜在违约使用者责任的识别和追责。
④人员能力：负责该项工作的人员应能够按最小够用等原则管理权限，并具备对数据正当使用的相关风险的分析和跟进能力。
　　
2.4、等级4：量化控制
该等级的数据安全能力要求描述如下：
①制度流程：应具备违约责任、缔约过失责任、侵权责任等数据使用风险分析和处理能力。
②技术工具：应具备技术手段或机制，对数据滥用行为进行有效的识别、监控和预警。
③人员能力：负责该项工作的人员应具备发现数据不争芳使用安全风险的能力。
　　
2.5、等级5：持续优化
该等级的数据安全能力要求描述如下：
①技术工具：
　　ａ）应研究并利用新的技术提升对用户的身份及访问管理能力，并通过风险监控与审计实现对数据使用的安全风险进行自动化分析和处理；
　　ｂ）应参与国际、国家或行业相关标准制度，在业界分享最佳实践，成为行业标杆。

四、PA13 数据处理环境安全

1、PA描述

为组织内部的数据处理环境建立安全保护机制，提供统一的数据计算、开发平台，确保数据处理的过程中有完整的安全控制管理和技术支持。

2、等级描述

2.1、等级1：非正式执行
该等级的数据安全能力描述如下：
组织建设：未在任何业务开展成熟稳定的数据处理环境安全，仅根据临时需求或基于个人经验在部分业务系统中关注数据处理环境安全。

2.2、等级2：计划跟踪
该等级的数据安全能力要求描述如下：
①组织建设：应由业务团队相关人员负责数据处理环境安全管理。
②技术工具：核心业务的数据处理环境，应实现了身份鉴别、访问控制、安全配置等。
　
2.3、等级3：充分定义
该等级的数据安全能力要求描述如下：
①组织建设：应由业务团队相关人员负责数据处理环境安全管控。
②制度流程：
　　a）数据处理环境的系统设计、开发和运维阶段应制定相应的安全控制措施，实现对安全风险的管理；
　　b）应明确数据处理环境的安全管理要求；
　　ｃ）组织应基于数据处理环境建立分布式处理安全要求，对外部服务组件注册和使用审核、分布式处理节点间可信连接认证、节点和用户安全属性周期性确认、数据文件标识和用户身份鉴权、数据副本节点更新检测及防止数据泄露等方面进行安全要求和控制；
　　ｄ）组织应明确适合数据处理环境的数据加解密处理要求和密钥管理要求。
③技术工具：
　　ａ）数据处理系统与数据权限管理系统应实现了联动，用户在使用数据系统前已获得了授权；
　　ｂ）基于数据处理系统的多租户的特性，应对不同的租户保证其在该系统中的数据、系统功能、会话、调度和运营环境等资源实现隔离控制；
　　ｃ）应建立数据处理日志管理工具，记录用户在数据处理系统上的加工操作，提供数据在系统上加工计算的关联关系。
④人员能力：负责该项工作的人员应了解在数据环境下的数据处理系统的主要安全风险，并能够在相关的系统设计、开发阶段通过合理的设计以及运维阶段的有效配置规避相关风险。
　　
2.4、等级4：量化控制
该等级的数据安全能力要求描述如下：
①制度流程：应针对用户在数据处理系统上对数据的操作开展定期审计，确定用户对数据的加工未超出前期申请数据时的目的。
②技术工具：
　　ａ）应对分布式处理过程中不同数据副本节点数据的完整性和一致性进行定期检测；
　　ｂ）应建立分布式处理节点和用户安全属性的周期性确认机制；
　　ｃ）应建立数据分布式处理节点的服务组件自动维护和管控措施，包括虚假节点监测、故障用户节点确认和自动修复的技术机制。
　　ｄ）应建立分布式处理外部服务组件注册与使用审核机制；
　　ｅ）应具备对密文数据进行搜索、排序、计算等透明处理的技术能力；
　　ｆ）应建立分布式处理过程中的数据泄露控制机制，防止数据处理过程中的调试信息、日志记录等不受控制输出导致受保护个人信息、重要数据等敏感数据的泄露。
　　
2.5、等级5：持续优化
该等级的数据安全能力要求描述如下：
①制度流程：相关人员应能对用户在数据处理系统上的操作执行实时监控，能够及时跟进风险并采取有效的风险控制措施。
②技术工具：应参与国际、国家或行业相关标准制度，在业界分享最佳实践，成为行业标杆。

五、PA14 数据导入导出安全

1、PA描述

通过对数据导入导出过程中对数据的安全性进行管理，防止数据导入到处过程中可能对数据自身的可用性和完整性构成的危害，降低可能存在的安全数据些泄露风险。

2、等级描述

2.1、等级1：非正式执行
该等级的数据安全能力描述如下：
组织建设：未在任何业务开展成熟稳定的数据导入导出安全风险管控，仅根据临时需求或基于个人经验考虑了个别系统的数据导入导出安全需求。

2.2、等级2：计划跟踪
该等级的数据安全能力要求描述如下：
①组织建设：应由业务团队相关人员负责对数据导入导出执行安全管理。
②人员能力：负责数据导入导出的人员应具备对数据导入导出业务的理解能力，掌握数据导入导出规程，并能够针对具体场景提出有效的解决方案。
③制度流程：应明确核心业务数据导入导出安全制度或审批流程。
④技术工具：应记录组织内部的数据导入导出行为，确保数据导入导出行为追溯。
　
2.3、等级3：充分定义
该等级的数据安全能力要求描述如下：
①组织建设：组织应设立统一的数据导入导出安全岗位和人员，负责制定规则和提供技术能力，并推动在组织内业务落地执行。
②制度流程：
　　ａ）应依据数据分类分级要求建立符合业务规则的数据导入导出按群策略，如授权策略、流程控制策略、不一致处理策略等；
　　ｂ）应明确数据导出安全评估和授权审批流程，评估数据导出的安全风险，并对大量或敏感数据导出进行授权审批；
　　ｃ）如采用存储媒体导出数据，应建立针对导出存储媒体的标识规范，明确存储媒体的命名规则、标识属性等主要信息，定期验证导出数据的完整性和可用性；
　　ｄ）应制定导入导出审计策略和日志管理规程，并保存导入导出过程中的出错数据处理记录。
③技术工具：
　　ａ）应记录并定期审计组织内部的数据导入导出行为，确保未超出数据授权使用范围；
　　ｂ）应对数据导入导出终端设备、用户或服务组件执行有效的访问控制，实现对其身份的真实性和合法性的保证；
　　ｃ）在导入导出完成后应对数据导入导出通道缓存的数据进行删除，以保证导入导出过程中涉及的数据不会被恢复。
④人员能力：负责数据导入导出安全工作的人员应能够充分理解组织的数据导入导出规程，并根据数据导入导出的业务执行相应的风险评估，从而提出实际的解决方案。
　　
2.4、等级4：量化控制
该等级的数据安全能力要求描述如下：
①技术工具：
ａ）应采取多因素鉴别技术对数据的导入导出操作人员进行身份鉴别；
ｂ）应为数据导入导出通道提供冗余备份能力；
ｃ）应对数据导入导出接口进行流量过载监控；
ｄ）应建立组织统一的数据导入导出管理系统，提示数据导入导出最低安全防护要求。
　　
2.5、等级5：持续优化
该等级的数据安全能力要求描述如下：
①制度流程：组织应及时跟进业务相关的法律法规的更新和产业内的优秀做法，定期评估导入导出服务组件和导入导出通道的安全性，对数据导入导出的风险控制方案进行持续的优化调整。
②技术工具：应参与国际、国家或行业相关标准制度，在业界分享最佳实践，成为行业标杆。

数据来源：GB/T 37988-2019