个人信息安全事件应急预案.pdfVIP

个人信息安全事件应急预案

随着个人信息保护法出台，越来越多企业在个人信息板块投入关注，在APP、

小程序等应用中更新隐私政策。即便企业按个保法的要求，从个人信息的收集、

存储、使用、加工、传输、提供、公开、删除的各个阶段严格管理，但随着数据

量及操作环节的增加，信息管控难度也随之加大，相关数据安全事件的发生频率

也日益增多。

针对个人信息安全事件的应急处理制度应引起重视，其中包括事前的安全事

件应急处置预案的制定，以及履行相关的报告、通知义务等。

一、制定应急预案的法律要求

《个人信息保护法》

第五十一条个人信息处理者应当根据个人信息的处理目的、

处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列

措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个

人信息泄露、篡改、丢失：

（一）制定内部管理制度和操作规程；

（二）对个人信息实行分类管理；

（三）采取相应的加密、去标识化等安全技术措施；

（四）合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培

训；

（五）制定并组织实施个人信息安全事件应急预案；

（六）法律、行政法规规定的其他措施。

二、个人信息安全事件应急预案要点

个人信息控制者视角

（一）安全事件分类分级

1.事件分类根据网络与信息安全突发事件的性质、机理和发生过程，对

网络与信息安全突发事件进行分类，可分为自然灾害、事故灾难、人为破坏等类

别，明晰各分类可能出现的风险情形，如“人为破坏”通常指人为破坏网络线路、

通信设施，黑客攻击、病毒攻击、恐怖袭击等引起的网络与信息系统的损坏。进

行分类的目的是根据安全事件的类别，判断个人信息属于泄露/篡改/丢失等不

同情况，选择不同的事故处理方式。

2.事件分级

根据网络与信息安全突发事件的可控性、严重程度和影响范围进行分级。分级的依

据可以参照《国家网络安全事件应急预案》、《公共互联网网络安全突发事件应急预案》

的分类标准，如根据上述文件对“一般事件”的分类标准可以为：

重要网络与信息系统使用效率上受到一定程度的损坏，对公民、法人和其他组织的权益有一

定影响，但不危害国家安全、社会秩序、经济建设和公共利益的信息安全突发事件。

*《国家网络安全事件应急预案》

1）1个地市大量互联网用户无法正常上网；

2）10万以上互联网用户信息泄露；

3）其他造成或可能造成一般危害或影响的网络安全事件。

*《公共互联网网络安全突发事件应急预案》

上述分类仅作为参考，企业应根据收集信息的类型和数量，从实际出发对事件严重

程度进行分类把控。

（二）组织指挥机构与职责

1.组织体系

企业选择组成网络与信息安全领导小组的成员，在预案中列明职位分担、联

系方式、工作职责等具体信息。

2.工作职责

工作职责主要为研究制订企业网络与信息安全应急处置工作的规划、计划和政策，

协调推进企业网络与信息安全应急机制和工作体系建设。(1)发生个人信息安全事件时

记录事件内容,记录内容可参考国家市监局与国标委《信息安全技术个人信息安全规

范》，包括但不限于:

时间涉及的个人信息人数事件原因

地点事件情况发生事件的系统名称

发现事件的人员执法机关或有关部门联系情况对其他系统的影响

记录人员涉及的个人信息内容事件分级分类

(2)履行报告制度。通过多种途径监测、收集漏洞、病毒、网络攻击必威体育精装版动向等网

络安全隐患和预警信息，对发生突发事件的可能性及其可能造成的影响进行分析评估；

认为可能发生特别重大或重大突发事件的，应当立即向部应急办报告；认为可能发生较

大或一般突发