搜索

[13590] 2018-12-29_企业GDPR安全隐私合规性指南

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-12-29_企业GDPR安全隐私合规性指南 企 业 G D P R 安 全 隐 私 合 规 性 指 南 原 创   z h e n g l i a n g   F r e e B u f   2 0 1 8 - 1 2 - 2 9 一 、 背 景 一 、 背 景 2 0 1 6 年 年 4 月 月 2 7 日 ， 欧 盟 议 会 通 过 《 一 般 数 据 保 护 条 例 》 》 （ 日 ， 欧 盟 议 会 通 过 《 一 般 数 据 保 护 条 例 》 》 （ G e n e r a l   D a t a   P r o t e c t i o n   R e g u l a t i o n ， 简 称 ， 简 称 G D P R ） ） , 法 律 条 例 并 已 在 法 律 条 例 并 已 在 2 0 1 8 年 年 5 月 月 2 5 日 生 效 。 该 条 例 旨 在 加 强 对 欧 盟 境 内 居 民 的 个 人 数 据 和 隐 私 保 护 并 直 接 日 生 效 。 该 条 例 旨 在 加 强 对 欧 盟 境 内 居 民 的 个 人 数 据 和 隐 私 保 护 并 直 接 适 用 于 欧 盟 各 成 员 国 ， 其 取 代 了 适 用 于 欧 盟 各 成 员 国 ， 其 取 代 了 1 9 9 5 年 颁 布 的 《 数 据 保 护 指 令 》 。 年 颁 布 的 《 数 据 保 护 指 令 》 。 适 用 范 围 （ 属 地 适 用 范 围 （ 属 地 + 属 人 原 则 ） ： 属 人 原 则 ） ： 只 要 在 欧 盟 成 员 国 境 内 设 立 的 公 司 ， 必 须 保 护 欧 盟 成 员 国 居 民 的 个 人 隐 私 信 息 ， 此 为 属 地 原 则 。 此 外 ， 即 使 公 司 不 在 欧 盟 境 内 设 立 ， 但 有 涉 及 接 触 欧 盟 成 员 国 居 民 的 个 人 隐 私 信 息 ， 也 必 须 遵 守 G D P R ， 此 为 属 人 原 则 。 违 规 者 罚 金 ： 违 规 者 罚 金 ： 违 反 G D P R 的 行 为 ， 严 重 违 规 者 罚 金 上 限 为 2 0 0 0 万 欧 元 或 该 集 团 全 球 年 营 业 额 的 4 % （ 以 两 者 较 高 者 为 准 ） ； 一 般 违 规 者 罚 金 上 限 为 1 0 0 0 万 欧 元 或 该 集 团 全 球 年 营 业 额 的 2 % （ 以 两 者 较 高 者 为 准 ） 。 二 、 二 、 G D P R 企 业 合 规 指 南 企 业 合 规 指 南 本 指 南 描 述 了 如 何 从 技 术 和 管 理 两 个 方 向 满 足 欧 盟 G D P R 通 用 数 据 保 护 条 例 ， 旨 在 设 计 、 编 码 、 测 试 、 部 署 ， 管 理 各 个 环 节 提 高 企 业 整 体 的 G D P R 合 规 性 ， 适 用 于 前 端 与 后 端 的 软 件 开 发 、 系 统 测 试 、 系 统 运 维 和 G D P R 合 规 制 度 编 写 。 1 .   G D P R 技 术 合 规 性 指 南 技 术 合 规 性 指 南 1 . 1   终 端 操 作 系 统 层 自 检 项 目 终 端 操 作 系 统 层 自 检 项 目 1 ） 与 云 端 的 所 有 通 信 ， 特 别 是 O T A 更 新 ， 都 应 采 用 加 密 协 议 , 例 如 H T T P S , 此 外 还 需 要 启 用 证 书 合 法 性 检 查 ， 不 能 信 任 任 意 证 书 ； 2 ） 最 小 化 服 务 组 件 ； 3 ） 最 下 化 开 放 的 端 口 ； 4 ） 禁 止 开 放 a d b 调 试 接 口 ； 5 ） 终 端 进 程 要 求 以 非 r o o t 运 行 ；
6 ） O T A 更 新 包 要 进 行 哈 希 校 验 （ 建 议 s h a 2 5 6 ) 和 数 字 签 名 ( R S A 2 0 4 8 ) ， 防 止 被 劫 持 篡 改 ； 7 ） 要 求 做 好 r o o t 防 护 ， 不 允 许 从 普 通 用 户 非 法 提 升 到 r o o t 用 户 权 限 ； 8 ） 要 求 不 允 许 从 U 盘 安 装 第 三 方 应 用 ， 仅 支 持 从 应 用 商 店 下 载 安 装 应 用 ； 9 ） 定 期 更 新 操 作 系 统 的 安 全 补 丁 ， 由 云 端 发 起 ， 随 O T A 更 新 或 进 行 热 补 丁 更 新 ； 1 0 ） 恢 复 出 厂 设 置 后 ， 所 有 存 储 的 个 人 信 息 需 要 被 彻 底 删 除 ； 1 . 2   终 端 终 端 A P P 底 层 自 检 项 目 底 层 自 检 项 目 1 ） 与 云 端 的 所 有 通 信 ， 特 别 是 账 号 相 关 的 通 信 ， 都 应 采 用 T L S 加 密 协 议 ， 例 如 H T T P S ， 此 外 还 需 要 启 用 证 书 合 法 性 检 查 ， 不 能 信 任 任 意 证 书 ； 2 ） A P P 获 取 操 作 系 统 的 能 力 需 要 遵 循 最 小 化 原 则 ， 例 如 ： 如 果 不 需 要 定 位 信 息 ， 语 音 ， 照 相 等 就 不 要 启 用 该 能 力 ； 3 ） 遵 循 最 小 化 原 则 ， 只 能 收 集 隐 私 协 议 中 公 示 的 个 人 数 据 ； 4 ） 尽 量 不 要 采 集 M A C 地 址 ， I M E I 地 址 等 硬 件 的 全 球 唯 一 标 识 ， 如 果 一 定 要 采 集 ， 需 要 在 隐 私 协 议 中 公 示 其 用 途 ， 用 户 同 意 后 方 可 采 集 ， 并 且 要 在 云 端 后 台 进 行 加 密 或 匿 名 化 处 理 ； 5 ） 确 保 密 码 、 密 钥 或 其 敏 感 信 息 没 有 在 缓 存 和 日 志 中 输 出 ； 6 ） 存 储 的 个 人 敏 感 信 息 应 加 密 处 理 ； 7 ） 上 传 数 据 建 议 进 行 哈 希 校 验 （ 建 议 s h a 2 5 6 ) 和 数 字 签 名 ( R S A 2 0 4 8 ) ， 确 保 完 整 性 ； 8 ） 存 储 的 个 人 敏 感 信 息 必 须 设 置 最 大 保 存 时 间 ， 超 过 时 间 必 须 删 除 1 . 3   终 端 终 端 A P P 人 机 交 互 层 自 检 项 目 人 机 交 互 层 自 检 项 目 1 ） 开 机 应 提 示 用 户 阅 读 隐 私 协 议 ， 隐 私 协 议 被 浏 览 完 才 可 以 显 示 同 意 按 钮 ， 隐 私 协 议 中 应 区 分 必 须 采 集 和 不 必 须 采 集 的 两 个 部 分 ， 不 必 须 采 集 的 部 分 用 户 可 以 选 择 不 同 意 采 集 ； 2 ） 注 册 账 号 时 ， 应 提 示 用 户 阅 读 隐 私 协 议 ， 隐 私 协 议 被 浏 览 完 才 可 以 显 示 同 意 按 钮 ， 隐 私 协 议 中 应 区 分 必 须 采 集 和 不 必 须 采 集 的 两 个 部 分 ， 不 必 须 采 集 的 部 分 用 户 可 以 选 择 不 同 意 采 集 ； 3 ） 隐 私 协 议 和 用 户 协 议 应 分 开 显 示 不 能 混 在 一 起 ； 4 ） 应 具 备 用 户 账 号 注 销 能 力 ， 用 户 选 择 注 销 后 ， 提 示 用 户 其 在 云 端 存 储 的 与 个 人 相 关 的 所 有 信 息 将 被 彻 底 删 除 或 采 取 匿 名 化 处 理 ； 5 ） 应 具 备 撤 销 对 隐 私 协 议 同 意 的 功 能 ， 用 户 可 以 方 便 的 撤 回 同 意 ， 同 意 撤 回 后 ， 隐 私 协 议 中 提 及 的 个 人 信 息 将 不 再 采 集 ； 6 ） 应 具 备 让 用 户 自 己 选 择 删 除 部 分 或 全 部 个 人 数 据 的 能 力 ， 例 如 删 除 其 搜 索 记 录 和 观 看 记 录 ， 云 端 应 将 其 选 择 删 除 的 数 据 做 彻 底 删 除 或 匿 名 化 处 理 ； 7 ） 应 具 备 让 用 户 自 己 查 看 其 个 人 数 据 的 能 力 ， 例 如 浏 览 其 搜 索 记 录 ， 观 看 记 录 等 ； 8 ） 应 具 备 让 用 户 自 己 控 制 是 否 开 启 根 据 其 个 人 画 像 提 供 的 自 动 服 务 ， 例 如 广 告 推 送 ， 节 目 推 荐 ； 9 ） 应 具 备 让 用 户 自 己 更 改 个 人 相 关 信 息 的 能 力 ， 例 如 昵 称 ， 电 话 ， 住 址 等 ； 1 0 ） 对 用 户 隐 私 数 据 的 使 用 目 的 和 范 围 ， 应 与 用 户 隐 私 条 款 展 示 的 内 容 相 同 ， 不 得 采 集 和 使 用 用 户 隐 私 协 议
中 没 有 提 及 的 个 人 隐 私 数 据 ， 如 果 有 新 功 能 需 要 采 集 个 人 隐 私 数 据 ， 则 需 要 同 时 更 改 隐 私 条 款 ， 并 在 功 能 更 新 后 提 示 用 户 重 新 阅 读 隐 私 条 款 ， 并 重 新 获 取 用 户 同 意 ； 1 1 ） 不 得 以 用 户 不 同 意 隐 私 协 议 为 理 由 ， 整 体 拒 绝 用 户 对 A P P 的 使 用 ， 用 户 不 同 意 隐 私 协 议 的 情 况 下 ， 应 能 提 供 不 需 要 采 集 隐 私 数 据 就 可 以 实 现 的 功 能 1 . 4   云 端 应 用 程 序 层 自 检 项 目 云 端 应 用 程 序 层 自 检 项 目 1 ） 存 储 的 应 用 程 序 日 志 中 的 I P , M A C , I M E I 信 息 应 进 行 加 密 或 者 匿 名 化 处 理 （ 例 如 I P 匿 名 化 可 以 隐 藏 掉 最 后 一 位 ） ； 2 ） 存 储 的 用 户 个 人 敏 感 信 息 应 进 行 加 密 处 理 ， 建 议 采 用 A E S 2 5 6 算 法 进 行 加 密 ， 加 密 秘 钥 要 妥 善 保 管 不 能 被 泄 露 ； 3 ） 存 储 的 用 户 密 码 应 进 行 哈 希 处 理 ， 要 求 采 用 加 随 机 盐 的 哈 希 方 式 进 行 存 储 ， 算 法 建 议 使 用 s h a 2 5 6 , 最 好 能 做 到 哈 希 摘 要 与 随 机 盐 分 库 存 储 ； 4 ） 存 储 的 用 户 个 人 敏 感 信 息 ( 基 于 大 数 据 的 个 人 画 像 ） 需 要 有 一 定 时 间 限 制 ， 不 能 无 限 制 永 久 保 存 ， 到 期 后 应 自 动 删 除 ， 存 储 保 留 时 间 应 该 与 隐 私 协 议 中 描 述 的 一 致 ； 5 ） 应 有 能 力 证 明 用 户 对 隐 私 协 议 的 同 意 情 况 ； 6 ） 建 立 终 端 漏 洞 补 丁 管 理 系 统 ， 定 期 收 集 检 测 安 全 漏 洞 ， 下 发 更 新 安 全 补 丁 ； 7 ） 下 发 数 据 建 议 进 行 哈 希 校 验 （ 建 议 s h a 2 5 6 ) 和 数 字 签 名 ( R S A 2 0 4 8 ) ， 确 保 完 整 性 ； 8 ） ” 云 端 h t t p s 服 务 需 要 导 入 R S A 2 0 4 8 位 证 书 ， T L S 协 议 建 议 配 置 为 使 用 T L S 1 . 2 和 1 . 3 ， 禁 止 使 用 S S L 1 . 0 , S S L 2 . 0 , S S L 3 . 0 和 T L S 1 . 0 ， 安 全 协 议 簇 配 置 配 置 建 议 如 下 ： a . 建 议 秘 钥 交 换 算 法 配 置 为 E C D H E , 禁 止 使 用 P S K 。 b . 建 议 数 字 签 名 算 法 配 置 为 R S A 。 c . 建 议 对 称 加 密 算 法 配 置 为 使 用 A E S 2 5 6 - G S M , 禁 止 使 用 D E S , R C 4 。 d . 建 议 哈 希 算 法 配 置 为 使 用 S H A 2 5 6 或 更 高 位 数 ， 禁 止 使 用 M D 5 和 S H A 1 。 1 . 5   云 端 系 统 环 境 层 自 检 项 目 云 端 系 统 环 境 层 自 检 项 目 1 ） 需 要 部 署 防 火 墙 ， 基 于 i p / 端 口 进 行 访 问 控 制 ， 遵 循 最 小 化 访 问 原 则 只 开 放 必 须 的 I P 和 端 口 ， 遵 循 最 大 化 控 制 原 则 限 定 访 问 来 源 I P ， 并 要 定 期 核 查 端 口 是 否 还 在 使 用 ， 及 时 删 除 过 期 规 则 ； 2 ） 需 要 部 署 W E B 应 用 防 火 墙 ， 对 h t t p / h t t p s 协 议 的 载 荷 进 行 安 全 检 查 ， 并 定 期 更 新 攻 击 检 测 规 则 ； 3 ） 需 要 部 署 入 侵 检 测 系 统 ， 至 少 包 含 主 机 入 侵 检 测 和 网 络 入 侵 检 测 的 其 中 一 种 ， 建 议 同 时 具 备 ； 4 ） 远 程 接 入 数 据 中 心 ， 至 少 应 该 满 足 “ 通 过 V P N 接 入 ” 或 “ 限 定 访 问 来 源 I P ” 中 的 其 中 一 种 ， 建 议 同 时 具 备 ； 5 ） 远 程 接 入 数 据 中 心 ， 身 份 验 证 要 支 持 双 因 素 ， 除 了 密 码 验 证 以 外 还 应 该 同 时 被 另 一 种 验 证 方 式 确 认 通 过 后 方 可 判 定 访 问 者 身 份 验 证 成 功 ； 6 ） 远 程 接 入 数 据 中 心 ， 要 求 只 能 连 接 跳 板 机 ， 只 有 跳 板 机 具 备 访 问 其 他 主 机 操 作 系 统 的 能 力 ， 各 业 务 主 机 之 间 不 允 许 互 相 登 录 跳 转 ； 7 ） 运 维 账 号 不 能 混 用 ， 要 求 一 人 一 号 ， 且 所 有 操 作 动 作 要 求 被 记 录 并 留 存 至 少 三 个 月 , 需 要 被 记 录 的 操 作 包 括 公 有 云 账 号 的 运 维 动 作 记 录 和 业 务 操 作 系 统 上 的 运 维 命 令 记 录 ；
8 ） 数 据 库 要 求 开 启 审 计 能 力 ， 对 所 有 数 据 库 操 作 进 行 记 录 并 保 留 至 少 三 个 月 ； 9 ） 数 据 中 心 内 部 要 求 根 据 业 务 划 分 安 全 域 ， 各 业 务 安 全 域 之 间 互 访 需 要 遵 循 最 小 化 原 则 ； 1 0 ） 操 作 系 统 ， 数 据 库 ， 中 间 件 需 要 进 行 安 全 加 固 ； 1 1 ） 需 要 部 署 安 全 漏 洞 检 查 系 统 ， 定 期 对 云 端 系 统 的 漏 洞 进 行 检 查 ， 并 部 署 安 全 补 丁 进 行 修 复 ； 1 2 ） 需 要 具 备 数 据 备 份 系 统 ， 定 期 对 数 据 进 行 备 份 ， 并 验 证 备 份 集 的 可 恢 复 性 ， 确 保 在 数 据 丢 失 或 被 破 坏 时 可 以 恢 复 成 功 ； 1 3 ） 数 据 的 备 份 文 件 要 加 密 保 存 ； 1 4 ） 如 果 运 营 客 户 是 欧 盟 或 其 他 海 外 用 户 ， 云 端 数 据 中 心 建 议 部 署 在 美 国 或 欧 盟 境 内 ， 避 免 跨 境 数 据 传 输 的 安 全 风 险 2 .   G D P R 管 理 合 规 性 指 南 管 理 合 规 性 指 南 2 . 1   基 本 要 求 自 检 项 目 基 本 要 求 自 检 项 目 1 ） 要 求 明 确 公 司 在 角 色 上 是 属 于 数 据 控 制 者 还 是 数 据 处 理 者 或 者 是 共 同 数 据 控 制 者 ， 并 在 相 关 管 理 文 件 中 明 确 该 角 色 和 角 色 权 责 ； 2 ） 基 于 在 欧 盟 区 的 业 务 范 围 ， 建 议 在 相 关 制 度 或 规 范 中 明 确 关 于 个 人 信 息 的 处 理 和 服 务 范 围 ， 包 括 在 哪 些 国 家 收 集 哪 些 个 人 信 息 、 收 集 个 人 信 息 的 目 的 及 使 用 方 式 ； 3 ） 应 当 明 确 在 欧 盟 区 的 业 务 范 围 内 的 当 地 监 管 机 构 、 联 系 方 式 及 沟 通 机 制 ， 并 将 其 写 入 相 关 制 度 和 规 范 中 ； 4 ） 应 指 定 数 据 保 护 专 员 ， 并 将 其 职 责 写 入 相 关 制 度 和 规 范 中 ； 5 ） 应 明 确 向 监 管 机 构 报 告 个 人 数 据 泄 露 的 义 务 ， 并 将 其 写 入 相 关 制 度 和 规 范 中 ； 6 ） 应 明 确 向 数 据 主 体 告 知 数 据 泄 漏 的 义 务 ， 并 将 其 写 入 相 关 制 度 和 规 范 中 ； 7 ） 应 对 数 据 处 理 活 动 进 行 记 录 留 存 ， 并 将 其 写 入 相 关 制 度 和 规 范 中 ； 8 ） 应 将 不 允 许 跨 境 数 据 传 输 写 到 相 关 制 度 和 规 范 中 2 . 2   基 本 原 则 自 检 项 目 基 本 原 则 自 检 项 目 1 ） 合 法 、 公 平 和 透 明 性 原 则 合 法 地 、 公 平 地 并 且 以 公 开 透 明 的 方 式 对 数 据 主 体 的 个 人 数 据 进 行 处 理 。 针 对 该 原 则 的 应 对 要 写 入 相 关 制 度 和 规 范 中 。 2 ） 目 的 限 制 原 则 基 于 具 体 、 明 确 、 合 法 的 目 的 收 集 个 人 数 据 ， 且 随 后 不 得 以 与 该 目 的 相 违 背 的 方 式 进 行 处 理 。 针 对 该 原 则 的 应 对 要 写 入 相 关 制 度 和 规 范 中 。 3 ） 最 小 范 围 原 则 数 据 应 是 充 足 的 、 相 关 的 并 且 限 于 数 据 处 理 目 的 最 小 必 要 范 围 。 针 对 该 原 则 的 应 对 要 写 入 相 关 制 度 和 规 范 中 。 4 ） 准 确 性 原 则 数 据 应 是 准 确 的 ， 且 若 有 必 要 应 保 持 适 时 更 新 ， 采 取 一 切 合 理 措 施 确 保 与 数 据 处 理 目 的 相 悖 的 错 误 数 据 被 及 时 清 除 或 更 正 。 针 对 该 原 则 的 应 对 要 写 入 相 关 制 度 和 规 范 中 。
5 ） 存 储 限 制 原 则 以 可 识 别 数 据 主 体 身 份 的 形 式 存 储 的 数 据 的 存 储 时 间 不 能 长 于 实 现 个 人 数 据 处 理 目 的 所 必 需 的 时 间 。 针 对 该 原 则 的 应 对 要 写 入 相 关 制 度 和 规 范 中 。 6 ） 完 整 和 保 密 原 则 数 据 处 理 应 当 以 确 保 个 人 数 据 的 适 当 安 全 性 的 方 式 进 行 ， 包 括 采 取 适 当 的 技 术 或 组 织 措 施 以 保 护 数 据 免 遭 未 经 授 权 或 非 法 的 处 理 以 及 意 外 的 丢 失 、 销 毁 或 破 坏 。 针 对 该 原 则 的 应 对 要 写 入 相 关 制 度 和 规 范 中 。 7 ） 儿 童 信 息 处 理 原 则 只 有 对 年 龄 不 小 于 1 6 周 岁 的 儿 童 的 个 人 数 据 进 行 的 处 理 行 为 才 是 合 法 的 。 对 年 龄 不 满 1 6 周 岁 的 儿 童 ， 处 理 行 为 只 有 或 至 少 在 获 取 了 该 儿 童 的 监 护 人 的 同 意 或 授 权 时 才 是 合 法 的 。 针 对 该 原 则 的 应 对 要 写 入 相 关 制 度 和 规 范 中 。 2 . 3   数 据 主 体 的 权 利 自 检 项 目 数 据 主 体 的 权 利 自 检 项 目 1 ） 访 问 权 数 据 主 体 有 权 从 数 据 控 制 者 处 获 得 有 关 他 或 她 的 个 人 数 据 是 否 被 处 理 的 确 认 结 果 。 针 对 该 权 利 的 应 对 要 写 在 相 关 制 度 和 规 范 中 。 2 ） 更 正 权 数 据 主 体 有 权 要 求 数 据 控 制 者 立 即 更 正 与 其 有 关 的 错 误 的 个 人 数 据 。 针 对 该 权 利 的 应 对 要 写 在 相 关 制 度 和 规 范 中 。 3 ） 清 除 权 （ 被 遗 忘 权 ） 数 据 主 体 有 权 请 求 数 据 控 制 者 立 即 清 除 与 其 相 关 的 个 人 数 据 ， 同 时 数 据 控 制 者 有 义 务 立 即 清 除 相 关 个 人 数 据 。 针 对 该 权 利 的 应 对 要 写 在 相 关 制 度 和 规 范 中 。 4 ） 限 制 处 理 权 数 据 主 体 有 权 限 制 数 据 控 制 者 的 处 理 行 为 。 针 对 该 权 利 的 应 对 要 写 在 相 关 制 度 和 规 范 中 。 5 ） 持 续 控 制 权 （ 可 携 带 权 ） 如 果 数 据 主 体 向 某 数 据 控 制 者 提 供 与 其 有 关 的 个 人 数 据 ， 那 么 该 数 据 主 体 有 权 从 该 数 据 控 制 者 处 获 取 结 构 化 、 通 用 化 和 可 机 读 的 上 述 数 据 ； 同 时 ， 数 据 主 体 有 权 将 这 些 数 据 转 移 给 其 他 数 据 控 制 者 ， 原 数 据 控 制 者 不 得 进 行 阻 碍 。 针 对 该 权 利 的 应 对 要 写 在 相 关 制 度 和 规 范 中 。 6 ） 拒 绝 权 数 据 主 体 有 权 基 于 其 自 身 特 殊 情 况 随 时 对 其 实 施 的 涉 及 其 个 人 数 据 的 处 理 行 为 ， 其 中 包 括 识 别 分 析 行 为 。 针 对 该 权 利 的 应 对 要 写 在 相 关 制 度 和 规 范 中 。 7 ） 自 动 化 的 个 人 自 决 权 数 据 主 体 有 权 不 受 仅 基 于 自 动 化 处 理 行 为 得 出 的 决 定 的 制 约 ， 以 避 免 对 个 人 产 生 法 律 影 响 或 与 之 相 类 似 的 显 著 影 响 ， 该 自 动 化 处 理 包 括 识 别 分 析 。 针 对 该 权 利 的 应 对 要 写 在 相 关 制 度 和 规 范 中 。 8 ） 应 建 立 在 进 行 更 正 / 限 制 处 理 / 删 除 个 人 数 据 时 ， 通 知 个 人 数 据 接 收 者 的 机 制 ， 以 及 在 基 于 用 户 的 请 求 执 行 相 应 操 作 后 ， 及 时 通 知 其 他 数 据 接 收 者 同 步 处 理 用 户 个 人 数 据 的 机 制 。 2 . 4   个 人 信 息 事 件 处 理 自 检 项 目 个 人 信 息 事 件 处 理 自 检 项 目 1 ） 应 建 立 建 立 对 于 终 端 用 户 投 诉 个 人 信 息 相 关 问 题 的 处 理 流 程 ；
2 ） 应 针 对 欧 盟 业 务 制 定 个 人 信 息 安 全 事 件 的 协 调 处 理 流 程 、 事 件 报 告 流 程 、 事 件 分 类 分 级 、 事 件 发 生 后 与 监 管 机 构 或 数 据 控 制 者 的 对 接 流 程 、 上 报 时 间 限 制 等 处 理 机 制 。 3 .   其 他 信 息 安 全 保 护 规 范 其 他 信 息 安 全 保 护 规 范 1 ） 需 要 有 安 全 补 丁 的 管 理 规 定 ， 明 确 发 现 安 全 漏 洞 后 ， 安 全 补 丁 修 复 的 流 程 ； 2 ） 应 该 在 公 司 相 关 制 度 和 规 定 文 件 中 明 确 使 用 个 人 数 据 的 管 理 要 求 ， 尤 其 是 对 使 用 个 人 数 据 进 行 测 试 的 情 况 加 以 控 制 ， 包 括 测 试 系 统 的 访 问 、 申 请 使 用 测 试 数 据 的 流 程 、 数 据 使 用 后 的 销 毁 与 处 置 、 使 用 记 录 的 保 留 等 内 容 ； 3 ） 应 保 留 操 作 系 统 和 数 据 库 的 操 作 记 录 ， 包 括 操 作 时 间 、 操 作 人 、 操 作 账 号 、 操 作 内 容 等 信 息 ， 并 定 期 对 操 作 记 录 进 行 复 核 ， 保 留 复 核 记 录 ； 4 ） 应 建 立 完 善 关 于 权 限 管 理 相 关 制 度 文 件 ， 应 明 确 账 号 管 理 原 则 、 账 号 管 理 要 求 、 账 号 管 理 流 程 （ 申 请 、 审 批 、 变 更 、 关 闭 ） 等 内 容 ， 在 执 行 层 面 通 过 建 立 权 限 清 单 和 权 限 复 核 机 制 ， 控 制 访 问 权 限 ； 5 ） 应 建 立 完 善 密 码 安 全 相 关 的 管 理 要 求 ， 例 如 完 善 密 码 设 置 规 则 、 密 码 更 改 要 求 、 密 码 重 置 要 求 ； 6 ） 应 建 立 完 善 定 期 对 开 启 的 端 口 及 服 务 进 行 复 核 的 管 理 要 求 ， 在 发 现 未 关 闭 的 端 口 及 服 务 后 ， 须 及 时 通 知 运 维 人 员 予 以 管 理 ； 7 ） 应 建 立 数 据 备 份 恢 复 相 关 的 管 理 规 定 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： z h e n g l i a n g ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理