《信息安全技术 网络数据处理安全要求》第四部分 数据处理安全总体要求

1、数据识别

网络运营者应识别数据处理中涉及的数据，包括个人信息、重要数据和其他数据，形成数据保护目录，并及时更新。

2、分类分级

网络运营者应按照相关国家标准，根据合同规定和业务运营需要，对所识别的数据进行分类分级管理。

3、风险防控

• 网络运营者开展数据处理时，应按照合同约定履行数据安全保护义务，开展数据处理活动应加强风险监测，发现数据安全缺陷、漏洞等风险时，应采取加密、脱敏、备份、访问控制、审计等技术或者其他必要措施，加强数据安全防护，保护数据免受泄露、窃取、篡改、损毁、不正当使用等；
• 对重要数据和敏感个 人信息进行重点保护，应按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。
• 风险评估报告应包括处理的重要数据的种类、数量，开展数据处理活动的情况，面临的数据安全风险及其应对措施等。
• 应建立数据安全管理责任和评价考核制度，制定数据安全保护计划，开展安全风险评估，及时处置安全事件，组织开展教育培训。

4、审计追溯

网络运营者应对数据处理的全生存周期进行记录，确保数据处理可审计、可追溯。

《GB/T 41479—2022 信息安全技术 网络数据处理安全要求》