第一章 目的与原则

第一条 为进一步提升北方大数据交易中心（以下简称“交易中心”）数据安全管理水平，确保重要数据的完整性、机密性和可用性，根据《网络安全法》、《数据安全法》、《个人隐私保护法》、《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019）等法律法规要求及标准规范特制定本规范。

第二条 交易中心数据安全管理应遵循以下原则：

(一) 职责明确。组织应明确在数据活动中的不同角色及其相应安全职责；

(二) 安全合规。组织应理解名遵从数据安全相关的法律法规、合同、标准，制定策略和规程确保数据的各项活动满足合规要求；

(三) 责任不随数据转移。对于组织内外部的数据转移，数据安全责任不随之转移，数据转移前后采取有效的安全控制措施，确保数据安全可控；

第三条 本规范适用于交易中心各部门。

第二章 角色与职责

第四条 交易中心数据安全领导小组为交易中心数据安全管理部门，职责包括：

(一) 综合考虑法律法规、政策标准，以及当前组织的数据安全防护水平，制定并维护数据安全相关管理制度；

(二) 定义数据分类分级标准，组织指导监督各相关部门开展数据分类分级工作，整合并维护数据清单；

(三) 明确数据安全相关的总体安全策略，建立数据安全访问控制机制，确保内外部组织对数据的访问、使用等安全可控；

(四) 定期对数据安全保护工作开展情况进行检查，监督数据安全管理机制的有效性；

(五) 负责组织协调数据相关安全事件的响应、处置和恢复工作。

第五条 各业务应用管理团队及系统运维部门为交易中心安全保护措施的实施部门，职责包括：

(一) 根据数据安全管理部门的要求以及数据所属部门的需求，细化并实施安全策略和安全控制措施，对所辖数据进行安全保护；

(二) 执行数据安全访问控制策略，对通过审批的数据申请者，分配和授权相应的数据访问权限；

(三) 配合数据安全管理部门开展所辖范围内的数据安全事件的处置和恢复工作。

第六条 数据所属部门为交易中心数据安全责任部门，职责包括：

(一) 根据数据安全管理部门制定的数据分类分级标准，对所属数据进行分类分级，制定并维护数据清单；

(二) 根据数据安全管理部门的要求，细化数据安全策略，负责所属数据的安全保护工作；

(三) 根据访问控制策略，评估数据相关申请的合理性，并对其进行审批；

(四) 配合数据安全管理部门开展所辖范围内的数据安全事件的处置和恢复工作。

第七条 交易中心信息安全管理部门根据数据安全管理部门的数据安全管理要求制定符合自身的数据安全管理制度，开展数据安全管理工作。

第八条 交易中心各部门信息安全协调员负责对接数据安全管理部门，落实本部门的数据安全管理和保护工作。

第三章 数据分类分级

第九条 数据安全管理工作应覆盖数据创建、使用、维护、存储、传输、销毁全生命周期，所有介质所承载的数据均应被管理。

第十条 各数据所属部门应根据数据主体、业务相关性等属性对数据进行分类，可分为用户数据、业务数据、运营数据、开发数据、管理数据等；根据数据的敏感性程度对数据进行分级，可分为机密、秘密、内部、公开等。

第十一条 数据所属部门应建立并维护所属数据的数据清单，并上报数据安全管理部门进行备案，数据安全管理部门对数据分类分级情况进行审核，确认类别和级别的合理性。

第十二条 对于需要数据汇聚的情况，整体级别应按所汇聚数据的最高级别确定。若数据级别发生变化，需经过数据所属部门主管、数据安全管理部门审批，并及时更新数据清单。

第十三条 数据所属部门应确定数据安全防护需求，数据安全管理部门根据需求，制定总体数据安全防护策略和安全控制措施。

第四章 数据提取、共享和使用

第十四条 数据经审批授权后方可使用，使用申请部门应向数据所属部门发起使用申请，审批通过后根据申请的相关要求提供数据，并确保数据传输和移交过程中的安全，防止非授权人员接触数据。如涉及秘密级别及以上的数据申请，在数据所属部门审批授权后，还需经数据安全管理部门审批。

第十五条 如因业务需求，内部级别及以上数据需与外部机构进行交换、校验或会存储在外部机构时，数据安全管理应明确对外部机构的相关要求，覆盖技术安全防护措施和管理要求。

第十六条 对于用户数据、业务数据或秘密级别以上的数据使用场景，需进行脱敏处理。数据申请经数据安全管理部门审批后，由专人使用脱敏工具或脱敏平台进行操作，信息安全管理员需对脱敏后数据进行复核，确定数据脱敏达到相应要求。

第十七条 各部门和各专业公司应严格控制外委人员的数据接触，所有外委人员在接触秘密级别及以上数据前都要经数据所属部门的授权，并签署保密协议。数据所属部门和外委需求部门应定期针对外委人员开展数据安全审计工作。

第十八条 交易中心目前业务暂不涉及数据出境，若涉及到数据出境，需按照国家相关数据安全管理相关法规和制度开展安全评估，确保数据出境过程的安全合规和风险可控。

第十九条 所有数据提取、共享和使用过程均应保留操作记录，确保可追溯，以满足安全审计要求。

第五章 数据传输

第二十条 应采取安全控制措施保护传输中的数据安全，尤其是重要数据，包括用户数据、业务数据、运营数据中的秘密级别及以上的数据。

第二十一条 当使用互联网进行信息系统之间的数据传输时，应采用加密算法、安全协议等安全控制措施进行保护，并开启对数据接收端的身份验证。

第二十二条 当使用邮件系统、FTP或移动存储介质进行数据传输时，应对重要数据进行加密或增加访问口令，确保传输过程中数据的保密性和完整性。

第二十三条 应采取措施对传输中的重要数据进行监控，确保重要数据的传输过程符合安全要求，及时发现数据泄露等安全问题。

第六章 数据存储

第二十四条 针对不同的数据级别，应规定相应的存储安全要求。

第二十五条 存储在信息系统数据库中的重要数据，应加密存储，设置严格的应用系统、操作系统及数据库的账户、口令和权限控制，并做好日志和审计工作。

第二十六条 所有存储数据的介质，都应明确标注承载数据的级别，存放在受控区域，并根据最小授权的原则，仅供授权范围内的人员使用。

第二十七条 各类文档应根据不同的数据级别进行归档管理，纸质文件应设置文件管理员，将涉密文件存储在保险箱或文件室内。电子文档应在文件服务器或区块链存证平台进行文档访问权限控制。

第七章 数据销毁

第二十八条 各类重要数据应定义明确的使用周期，超过使用周期的数据，如未进行重新审批授权，应立即进行销毁：

(一) 批量使用的业务数据，按固定周期进行销毁；

(二) 数据审批申请时，应明确数据使用的时限，数据使用时限到达后，相关负责人应进行数据销毁。

第二十九条 重要数据不再使用时，应选取适用的方式及时对数据进行销毁，数据销毁的方式包括：

(一) 逻辑销毁：即通过数据覆盖等软件方法销毁数据；

(二) 物理销毁：即通过采用物理方法直接销毁存储介质，从而彻底销毁其中的数据。

第三十条 应根据数据密级的不同，定义各类数据销毁原则：

(一) 数据销毁前，应考虑销毁的数据对系统的影响，例如重建索引、重组等相关事项；

(二) 数据销毁前，应记录销毁的相关信息，包括销毁内容、销毁时间和销毁数据量等信息；

(三) 物理销毁的数据，应参照设备管理的相关管理要求进行销毁；

(四) 秘密级别及以上的数据销毁需得到数据安全管理部门审批通过后，方可进行销毁。

第八章 附则

第三十一条 本规范由交易中心信息安全领导小组负责解释和修订。

第三十二条 本规范自印发之日起施行。