G_T 35274-2023信息安全技术 大数据服务安全能力要求.docx

信息安全技术

大数据服务安全能力要求

Informationsecuritytechnology—

Securitycapabilityrequirementsforbigdataservices

2023-08-06发布

2024-03-01实施

I

GB/T35274—2023

目次

前言 Ⅲ

1范围 1

2规范性引用文件 l

3术语和定义 1

4概述 3

5大数据组织管理安全能力 4

5.1策略与规程 4

5.2组织与人员 5

5.3资产管理 6

6大数据处理安全能力 7

6.1数据收集 7

6.2数据存储 8

6.3数据使用 9

6.4数据加工 10

6.5数据传输 12

6.6数据提供 12

6.7数据公开 13

6.8数据销毁 14

7大数据服务安全风险管理能力 14

7.1风险识别 14

7.2安全防护 15

7.3安全监测 17

7.4安全检查 18

7.5安全响应 18

7.6安全恢复 20

参考文献 21

Ⅲ

GB/T35274—2023

前言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定

起草。

本文件代替GB/T35274—2017《信息安全技术大数据服务安全能力要求》,与GB/T35274-

2017相比，除结构调整和编辑性改动外，主要技术变化如下：

a)删除了数据生命周期、数据服务、数据交换、数据共享和重要数据(见2017年版的第3章)5个术语和定义，增加了数据处理、数据安全、数据保护、数据收集、数据存储、数据使用、数据加工、数据传输、数据提供、数据公开和数据销毁(见第3章)11个术语和定义，修改了大数据平台、大数据应用、大数据系统、大数据使用者、大数据服务、大数据服务提供者和数据供应链(见第

3章，2017年版的第3章)7个术语和定义的描述；

b)删除了总体要求(见2017年版的4.1)和要求分级(见2017年版的4.2),对标准整体内容进行

了梳理(见第4章，2017年版的4.3);

c)删除了服务规划与管理(见2017年版的5.4)、数据供应链管理(见2017年版的5.5)和合规性管理(见2017年版的5.6),修改了策略与规程、组织和人员以及资产管理安全能力要求(见

5.1、5.2、5.3,2017年版的5.1、5.3、5.2);

d)重组并更改了数据采集、数据传输、数据存储、数据处理、数据交换和数据销毁的数据活动安全要求，按照数据安全法和个人信息保护法要求的数据收集、存储、使用、加工、传输、提供、公开和销毁的数据处理过程明确了大数据服务提供者的大数据处理安全能力要求(见第6章，2017

年版的第6章);

e)增加了“大数据服务安全风险管理能力”,从风险识别、安全防护、安全监测、安全检查、安全响应和安全恢复环节，规定了大数据服务提供者在大数据系统运营中的数据安全风险管理能力

(见第7章);

f)删除了附录A中(见2017年版的附录A)。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。

本文件由全国信息安全标准化技术委员会(SAC/TC260)提出并归口。

本文件起草单位：清华大学、北京大学、中国电子技术标准化研究院、中国网络安全审查技术与认证中心、中国信息安全测评中心、国家计算机网络应急技术处理协调中心、深信服科技股份有限公司、浙江蚂蚁小微金融服务集团有限公司、北京快手科技有限公司、阿里巴巴(中国)有限公司、腾讯云计算(北京)有限责任公司、中国科学院信息工程研究所、华控清交信息科技(北京)有限公司、北京天融信网络安全技术有限公司、北京火山引擎科技有限公司、长扬科技(北京)股份有限公司、上海观安信息技术股份有限公司、华为技术有限公司、北京奇虎科技有限公司、启明星辰信息技术集团股份有限公司、中国软件评测中心(工业和信息化部软件与集成电路促进中心)、北京数安行科技有限公司、上海赴源科技服务有限公司、杭州世平信息科技有限公司、北京信安世纪科技股份有限公司、联想(北京)有限公司、杭州安恒信息技术股份有限公司、成都卫士通信息产业股份有限公司、上海三零卫士信息安全有限公司、陕西省信息化工程研究院、上海商汤智能科技有限公司、