全国信息安全标准化技术委员会关于国家标准《信息安全技术重要数据识别指南》征求意见稿征求意见的通知
信息安全技术数据出境安全评价指引-编制说明-全国信息安全
《信息安全技术数据出境安全评估指南》编制说明一、任务来源《信息安全技术数据出境安全评估指南》是国家标准化管理委员会批准的信息安全国家标准制定项目，国标计划号为XXX。
本标准为自主制定标准，牵头单位为上海华东电信研究院，参与标准申请单位有工业和信息化部电信研究院、公安部第一研究所、阿里巴巴（北京）软件服务有限公司、北京大学互联网发展研究中心、中国电子技术标准化研究院、中国电子信息产业发展研究院、国家信息技术安全研究中心、深圳市腾讯计算机系统有限公司、阿里云计算有限公司、蚂蚁金服、国信优易数据有限公司等11家单位，归口单位为全国信息安全标准化技术委员会（简称信安标委）。
二、项目的目的与意义数据出境安全评估指南是针对网络运营者开展个人信息和重要数据出境安全自评估，以及国家网信部门、行业主管部门组织开展的个人信息和重要数据出境安全评估的规范指引，指南旨在提供个人信息和重要数据出境的安全评估的流程、要点和方法，指导网络运营者开展数据出境安全评估工作，为国家相关政策法律的落地实施奠定基础，有助于促进数据出境安全评估有序开展，维护国家安全、经济发展，保障社会公共利益、个人隐私安全。
数据出境安全评估指南可以帮助数据出境各方参与主体：●明确数据出境安全评估管理流程●建立数据出境安全风险评估模型●衡量数据出境活动风险程度●判定网络运营者是否可以开展数据出境活动三、主要工作过程《数据出境安全评估指南》国家标准制定项目：（一）立项准备阶段1、2017年1月19日，标准牵头单位组织召开第一次研讨会，明确标准基本定位，研讨完善标准框架；2、2017年2月21日，标准牵头单位组织召开第二次研讨会，明确标准主要研究内容及要求；3、2017年3月，标准牵头单位组织召开第三次研讨会，进一步明确企业需求，深入了解典型企业数据出境场景；4、2017年4月，立项在大数据安全特别工作组获得通过；（二）编制起草阶段1、2017年5月10日，标准编制组召开第一次封闭研讨会，并对标准草案进行修改完善；2、2017年5月25日、26日，标准编制组召开第二次封闭研讨会，并对标准草案进行修改完善；3、2017年6月19日、20日，标准编制组召开第三次封闭研讨会，并对标准草案进行修改完善；4、2017年6月27日，召开专家评审会，收集到对标准草案的修改完善的意见；5、2017年6月28日，召开大数据安全特别工作组会议，同意根据会议意见，对标准文稿修改后，作为征求意见稿提交；6、2017年7月3日、4日，标准编制组召开第四次封闭研讨会，并对标准草案进行修改完善，形成了《信息安全技术数据出境安全评估指南》的征求意见稿。
《数据防泄露技术指南》发布__夯实数字经济基座
注释、数字、页面以及第三方应用协作和管理共享内容。
当用户通过消息发送协作邀请时，线程中的每个人都会自动添加到文档、表格或项目中。
当有人对共享文件进行更改时，每个人都可以在消息线程的顶部看到更新。
而且，当用户正在进行协作项目时，他们可以跳转到相关的消息对话中，或者轻触与合作者开始FaceTime 通话———说的通俗点，就是一边干活一边商量，看起来是疫情催生的新方式。
苹果未来还将在iPadOS 16上推出一款新的Freeform 。
它就像一个数字白板，苹果说它是头脑风暴会议的完美选择，让用户能够在一个地方看到、共享和协作，并支持Apple Pencil 。
用户可以在添加内容或实时编辑时查看其他人的贡献。
Freeform 还允许协作者从FaceTime 在消息线程中查看其他人的更新。
其他如邮件，搜索改进，新的iCloud 共享照片库等也在iOS 等系统有所体现。
刚才提到Mac 上才有的Stage Manager 多任务窗口，也可以在通过M1芯片的iPad Pro 和iPad Air 上体验到（估计只有它们性能够），用户可以在上使用多达4个应用，以及外部显示屏上的4个应用。
生态有了关联也要更紧密了这是近年内容最多的一次发布会，尤其iOS 16和macOSVentura ，大量细节塞满了整场发布会，甚至都没给tvOS 露脸机会。
相对iOS 14~15，iOS 16的新功能要多很多，其他系统也存在类似的情况。
只是正因为细节太多，而且很多功能之间有关联。
一般用户不太容易把控这么快节奏的发布会。
以往苹果在一上午清楚讲完五大系统的情况可能不会存在，这场发布会是一个明显的展现———产品和软件生态的交集越来越多，也越来越复杂，所以很多新功能需要多个产品之间相互演示验证。
之前主题演讲中，苹果全家桶内五大系统各谈各的，将变为互相关联的化学反应。
这件事已经发生，未来会更加明显、更加强烈。
■谢珊2022年4月26日《数据防泄露技术指南》发布会顺利召开。
我国数据安全标准化情况综述
文│ 中国电子技术标准化研究院 徐羽佳 胡影 上官晓丽数据安全国家标准是开展数据安全监管，规范行业数据安全要求，指导网络运营者提升数据安全能力的重要抓手，对促进数据应用规范化、提升数据活动安全性有着重要意义。
本文介绍了我国数据安全标准化现状，梳理了现有及在研的数据安全国家标准，并介绍了数据安全国家标准的验证试点及推广应用工作。
一、标准化组织——全国信息安全标准化技术委员会概述全国信息安全标准化技术委员会（SAC/TC260，简称“信安标委”）是在信息安全技术专业领域内，从事信息安全标准化工作的技术工作组织。
信安标委于2002年由国家标准化管理委员会（简称“国标委”）批复成立，业务上受中央网信办指导，主要工作范围包括安全技术、安全机制、安全服务、安全管理、安全评估等领域的标准化技术工作。
TC260下设7个工作组，其中，大数据安全标准特别工作组（SWG-BDS）负责大数据和云计算相关的安全标准研制工作，具体职责包括调研急需标准化需求，研究提出标准研制路线图，明确年度标准研制方向，组织开展关键标准研制工作。
SWG-BDS于2016年成立，截至目前，SWG-BDS成员单位已达227家。
二、我国数据安全标准化情况为落实《网络安全法》中“国家鼓励开发网络数据安全保护和利用技术，促进公共数据资源开放”及“国家建立和完善网络安全标准体系”等要求，响应《大数据发展行动纲要》中“健全大数据安全保障体系，强化安全支撑；完善法规制度和标准体系，科学规范利用大数据，切实保障数据安全”的主要任务，2016年，TC260成立大数据安全标准化特别工作组，成功启动了第一批大数据安全标准编制和预研工作。
目前，TC260已开展9项数据安全标准研制项目，其中，已发布标准4项，在研标准5项。
安全要求类标准包括GB/T 35274-2017《信息安全技术 大数据服务安全能力要求》、GB/T 37932-2019《信息安全技术 数据交易服务安全要求》及《信息安全技术 政务信息共享 数据安全技术要求》，分别针对大数据服务、数据交易及政务信息共享的情景提出了安全要求。
全国信息技术标准化技术委员会工作交流
• 要点 – 合理无歧视(RAND)/专利池/免费 – 互惠性和防御性 – 早期披露 – 默认许可义务 – 开放性（引用标准、参考实现、测试套件）
SVG VML
中间件
行业中间件
数据 集成 中间 件
流程
中间 件
服务 集成 中间 件
门户 中间 件
…
应用服务器 消息中间件 事务中间件
嵌入式系统
• 《信息技术 词汇 嵌入式系统》
• 《嵌入式Linux平台规范》 • 《手持电子产品嵌入式软件API》 • 《移动终端浏览器技术规范》 • 《嵌入式软件质量保证要求》 • 《嵌入式软件质量度量》 • 《嵌入式软件编码规范要求》 • 《嵌入式软件可靠性测试规范》 • 《嵌入式系统 系统工程应用及管理》 • 《车用软件开发指南》
SC36
SC1 SC5 SC10 SC11 SC12 SC14 SC21 SC30
WG WG WG WG WG WG WG WG WG WG
词汇
非建盘输入 磁盘 柔性磁媒体 微处理机 数据元表示 连开放系统互连 中文平台
藏文 维、哈、柯文 蒙文 云南少数民族文字 无线传感器网络 IT服务 SOA 通用 布缆 基于射频技术的电子支付技术 实时定位系统技术
少数民族语言文字信息技术标准化
1、中国少数民族文字信息技术标准体系已初步建立
–
覆盖文种包括蒙古文、藏文、彝文、维哈柯文、朝鲜文等
–
标准类型包括编码、字型、键盘布局
–
标准数量目前已达到23项
2、构建和完善中国少数民族文字信息技术标准体系意义重大
国内首个生成式AI安全指导性文件，明确31种安全风险
征求意见稿还提出，应设置监看人员，及时根据国家政策以及第三方投诉情况提高生成内容质量，监看人员数量应与服务规模相匹配。
对于安全评估的方法，征求意见稿针对语料安全、生成内容安全、问题拒答评估提出了详细的要求。
例如，“采用人工抽检，从测试题库随机抽取不少于1000条测试题，模型生成内容的抽样合格率不应低于90%。
”目前，全球多国都在努力为生成式人工智能设置护栏，以应对这一新兴技术迅速发展带来的安全风险。
今年7月，国家网信办联合国家发展改革委、教育部、科技部、工业和信息化部、公安部、广电总局公布《生成式人工■上海洋山港个人信息的条件；应使用包含人脸等生物特征信息的语料时，获得对应个人信息主体的书面授权同意，或满足其他合法使用该生物特征信息的条件。
”征求意见稿还就如何避免侵犯知识产权制定了详细的指导方针。
例如，“提供者不应使用有侵权问题的语料进行训练：训练语料包含文学、艺术、科学作品的，应重点识别训练语料以及生成内容中的著作权侵权问题；对训练语料中的商业语料以及使用者输入信息，应重点识别侵犯商业秘密的问题；训练语料中涉及商标以及专利的，应重点识别是否符合商标权、专利权有关法律法规的规定。
”在语料标注安全要求方面，征求意见稿提出，“应为标注人员执行每项标注任务预留充足、合理的标注时间”。
对于模型安全要求，征求意见稿提出，“提供者如使用基础模型进行研发，不应使用未经主管部门备案的基础模型。
”“在训练过程中，应将生成内容安全性作为评价生成结果优劣的主要考虑指标之一。
”征求意见稿对模型适用人群、场合、用途方面提出了安全措施要求。
例如，“服务用于关键信息基础设施、自动控制、医疗信息服务、心理咨询等重要场合的， 应具备与风险程度以及场景相适应的保护措施。
”文件对适用未成年人的服务也提出了相关要求。
术、科学作品的，应重点识别训练语料以及生成内容中的著作权侵权问题；——对训练语料中的商业语料以及使用者输入信息，应重点识别侵犯商业秘密的问题；——训练语料中涉及商标以及专利的，应重点识别是否符合商标权、专利权有关法律法规的规定。
企业数据出境安全评估规则依据与申报指引
企业数据出境安全评估规则依据与申报指引数据出境不仅关乎国家安全，对于企业服从部门监管、预判经营风险、建立内部合规也至关重要。
自2016年《网络安全法》颁布，国家首次提出数据出境安全评估，将数据出境安全监管工作提上计划和日程，至2022年9月《数据出境安全评估办法》颁布，国家互联网信息办公室发布第一版《数据出境安全评估申报指南》，犹如靴子落地，标志着我国数据出境安全制度初步形成，企业数据出境正式被纳入统一管理范畴，依托企业自主申报数据出境安全评估的方式，国家互联网信息办公室将协同各行业主管部门审查与监管企业数据出境业务，维护数据安全与数据利用的平衡。
《数据出境安全评估申报指南》的出台意味着企业在进行数据运营和数据出境活动时必须考虑在什么情况下会触发出境安全评估机制，在预判可能或必然触发出境安全评估时，企业应当如何开展准备工作、对其数据业务进行合规化管理是十分有必要的。
应对和顺利通过安全评估才能维护其数据出境业务的正常进行。
本文基于相关法律法规，重点结合《数据出境安全评估申报指南》的实务要求，针对企业开展数据安全评估申报关键问题展开逐一梳理，为企业准备数据出境安全评估工作提供一些参考。
一、数据出境企业合规的法律依据《网络安全法》《个人信息保护法》《数据安全法》三部法律奠定了数据出境的法律框架和基础，从法律层面规范了数据出境的合规机制。
《中华人民共和国网络安全法》（“《网络安全法》”）最早提出了对于“关键信息基础设施运营者”（“CIIO”）的数据（无论是个人信息还是重要数据）均有本地化存储和必要情况下跨境传输时的评估义务要求，并授权国家网信部门会同国务院有关部门制定安全评估办法。
随后《数据安全法》和《个人信息保护法》也依次出台并生效，进一步完善了数据出境安全评估的上位法依据，拓展了申报数据出境安全评估的主体范围，即在CIIO基础上加入“处理个人信息达到国家网信部门规定数量的个人信息处理者”。
这两部法律从不同层面和角度规范了数据出境的合规机制，并通过《数据出境安全评估办法》最终落实了需要申报数据出境安全评估的规制对象即“个人信息及重要数据”和适用情形，根据不同情形参考不同上位法。
全国信息安全标准化技术委员会关于印发《信息安全技术信息系统安全等级保护基本要求》国家标准报批稿的通知
全国信息安全标准化技术委员会关于印发《信息安全技术信息系统安全等级保护基本要求》国家标准报批稿的通知文章属性•【制定机关】全国信息安全标准化技术委员会•【公布日期】2007.06.27•【文号】信安字[2007]12号•【施行日期】2007.06.27•【效力等级】部门规范性文件•【时效性】现行有效•【主题分类】标准化正文全国信息安全标准化技术委员会关于印发《信息安全技术信息系统安全等级保护基本要求》国家标准报批稿的通知（信安字〔2007〕12号）各有关单位：《信息安全技术信息系统安全等级保护基本要求》国家标准基本成熟，通过了全国信息安全标准化技术委员会的审查，已形成国家标准报批稿，正在报批过程中。
为推动正在进行的全国信息系统安全等级保护工作，经信安标委主任办公会议同意，现将该国家标准报批稿先印发给你们，供在工作中参考。
特此通知。
全国信息安全标准化技术委员会二00七年六月二十七日附件：《信息安全技术信息系统安全等级保护基本要求》信息安全技术信息系统安全等级保护基本要求GB/T 0000-0000Information security technology-Baseline for classified protection of information system前言本标准的附录A和附录B是规范性附录。
本标准由公安部和全国信息安全标准化技术委员会提出。
本标准由全国信息安全标准化技术委员会归口。
本标准起草单位：公安部信息安全等级保护评估中心。
本标准主要起草人：马力、任卫红、李明、袁静、谢朝海、曲洁、李升、陈雪秀、朱建平、黄洪、刘静、罗峥、毕马宁。
引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。
信息安全技术重要数据识别指南 中英文版
信息安全技术重要数据识别指南一、引言信息安全在当今社会已经成为了一项不可或缺的重要工作。
随着互联网的快速发展和普及，人们的信息已经越来越容易被获取和利用。
对于重要数据的识别和保护显得尤为重要。
本文将针对信息安全技术中的重要数据识别问题进行深入探讨，旨在帮助读者更好地了解和应对这一问题。
二、重要数据的定义和分类1. 重要数据的定义重要数据指的是在商业和社会活动中具有重要意义的数据，包括但不限于个人隐私数据、财务数据、商业机密和国家安全相关数据等。
2. 重要数据的分类按照数据类型和敏感程度，重要数据可以分为个人数据、财务数据、商业数据和政府数据等。
不同类型的数据需要采用不同的技术手段进行识别和保护。
三、重要数据识别技术及方法1. 数据分类和标记技术数据分类和标记技术是识别重要数据的基础。
通过对数据进行分类和标记，可以更好地识别出重要数据并进行专门的保护。
常用的技术包括数据标签、元数据管理和数据加密等。
2. 数据审计和监控技术数据审计和监控技术可以帮助组织对重要数据的使用情况进行监控和分析，及时发现异常行为和信息泄露风险。
这些技术包括日志审计、网络流量监控和行为分析等。
3. 数据遗漏和泄露防范技术数据遗漏和泄露是信息安全中常见的问题，针对这一问题，可以采用数据遗漏预防技术和数据泄露检测技术来加强对重要数据的保护。
采用数据遗漏预警系统和数据泄露监测系统。
四、个人观点和理解在当前信息化时代，重要数据的安全问题日益突出，各种信息安全技术的不断发展和创新对于重要数据的识别和保护提供了有力支持。
然而，仅仅依靠技术手段是远远不够的，用户教育和管理措施同样重要。
只有通过技术手段和管理手段的有机结合，才能更好地保护重要数据的安全。
五、总结与展望本文围绕信息安全技术中的重要数据识别进行了深入探讨，介绍了重要数据的定义和分类，并提出了识别技术及方法。
同时还共享了个人观点和理解。
信息安全技术的发展是一个不断更新迭代的过程，我们期待未来能够有更多更先进的技术手段出现，为重要数据的识别和保护提供更好的支持。
国家信息安全标准体系
标准及标准化有关概念
标准是“为在一定的范围内获得最佳秩序，对活动 或其结果规定共同的和重复使用的规则、指导原则 或特性的文件。该文件经协商一致定并经一个公认 机构的批准”。“标准应以科学、技术和经验的综合 成果为基础，并以促进最大社会效益为目的”。
标准及标准化有关概念
对“标准”的定义可从三个主要方面去理解： 1、标准是对某一对象（称之为标准化对象）进 行统一描述的一种特殊文件。 2、标准是实现系统功能的工具之一，制定标准 的目的是为了满足人类社会的某种需求，取得最 佳经济效益和社会效益。 3、标准产生有自身的规律：
标准化是一门系统工程
（三）信息安全标准化 信息安全标准化是诸多标准化领域中一个新生的 标准化领域，它具备一般标准化领域的特征，同 时又有自身的特征，因为信息安全兼具社会科学、 自然科学以及其他许多相关学科的特征。这方面 在学术界还缺乏深入研究。
标准体系的基本概念
按照GB3935.1《标准基本术语第一部分》中定义， 标准体系就是“一定范围内标准按其内在联系形成的科学 的有机整体”
在总结各工作 组对本领域标 准体系研究成 果的基础上形 成的
对我国现有信息安全标准进 行归类和整理，在分析国际 信息安全标准的发展动态和 国内信息安全标准需求的基 础上，提出标准体系框架和 标准体系表
一种通用标准系统的体系结构
国际标准
区域标准 专业（部） 标准
地方标准 企业标准
级 别 维 基方工 产 础法作 品 标标标 标 准 准 准 准 对象维
密 信 息 消
射
技
要
除
防
术
求
和
护
要
和
介
和
求
测
质
其 它 技 术 标 准
《信息安全技术人脸识别数据安全要求》全国信息安全标准化.
《信息安全技术人脸识别数据安全要求》全国信息安全标准化.全文共四篇示例，供读者参考第一篇示例：随着科技的迅速发展，人脸识别技术已经不再是一种未来的概念，而是已经普遍应用于我们的日常生活中。
无论是在手机解锁、社交媒体平台、门禁系统，甚至是公共场所的监控系统中，人脸识别技术都已经成为了一种便捷且高效的身份识别方式。
随之而来的是对于人脸识别数据安全的担忧和需求。
在这种背景下，全国信息安全标准化委员会制定了《信息安全技术人脸识别数据安全要求》，旨在规范和保护人脸识别技术中的数据安全，保障用户的隐私权和个人信息安全。
本文将就该标准的相关内容进行详细分析和讨论。
人脸识别技术本身具有一定的隐私泄露风险。
在人脸识别系统中，用户的面部信息会被采集、存储和应用于识别身份，因此对于这些面部信息的保护显得尤为重要。
《信息安全技术人脸识别数据安全要求》中明确规定了对于采集、存储和传输的人脸数据应采取加密保护措施，确保数据的安全性和完整性。
人脸识别技术的应用场景越来越广泛，涉及到的信息也越来越多样化。
除了基本的面部信息外，人脸识别系统还可能会获取用户的其他个人信息，如性别、年龄、身份证号码等。
在使用人脸识别技术时，需要严格遵守相关法律法规，保护用户的个人隐私不受侵犯。
《信息安全技术人脸识别数据安全要求》也对此进行了规定，要求在数据采集处理过程中要尊重用户的知情权和选择权。
人脸识别数据的安全不仅仅在于存储和传输环节，对于数据的使用和共享也同样重要。
人脸识别技术在社会治安、公共安全、商业营销等领域有着广泛的应用，因此在数据共享和使用过程中，需要建立健全的数据管理机制，明确数据的归属和权限控制。
《信息安全技术人脸识别数据安全要求》对于数据共享与使用方面也有专门的规定，以保障数据的安全性和隐私性。
随着人脸识别技术的不断普及和应用，人脸数据的安全问题日益凸显。
《信息安全技术人脸识别数据安全要求》的推出，有助于规范和保护人脸数据的安全性，提高人脸识别技术的透明度和可信度。
网络安全法相关配套法律法规和规范性文件梳理2
《网络安全法》相关配套法律法规和规范性文件梳理《中华人民共和国网络安全法》（以下简称《网络安全法》）于2019年6月1日正式实施。
《网络安全法》作为我国网络空间安全管理的基本法律，框架性地构建了许多法律制度和要求，重点包括网络信息内容管理制度、网络安全等级保护制度、关键信息基础设施安全保护制度、网络安全审查、个人信息和重要数据保护制度、数据出境安全评估、网络关键设备和网络安全专用产品安全管理制度、网络安全事件应对制度等。
为保障上述制度的有效实施，一方面，以国家互联网信息办公室（以下简称“网信办”）为主的监管部门制定了多项配套法规，进一步细化和明确了各项制度的具体要求、相关主体的职责以及监管部门的监管方式；另一方面，全国信息安全标准化技术委员会（以下简称“信安标委”）同时制定并公开了一系列以信息安全技术为主的重要标准的征求意见稿，为网络运营者提供了非常具有操作性的合规指引。
具体讲：1. 在互联网信息内容管理制度方面网信办颁布了《互联网信息内容管理行政执法程序规定》，并已经针对互联网新闻信息服务、互联网论坛社区服务、公众账户信息服务、群组信息服务、跟帖评论服务等制定了专门的管理规定或规范性文件，以期全方位多层次地保障互联网信息内容的安全和可控性；2. 在网络安全等级保护制度方面信安标委在原有的信息系统安全等级保护制度的基础之上，发布了包括《网络安全等级保护实施指南》、《网络安全等级保护基本要求》等在内的多项标准文件的征求意见稿。
考虑到现行的《信息安全等级保护管理办法》已不适用《网络安全法》的要求，新的《网络安全等级保护管理办法》也正在制定中；3. 在关键信息基础设施安全保护制度方面随着《关键信息基础设施安全保护条例》、《信息安全技术关键信息基础设施安全检查评估指南》等征求意见稿的公布，关键信息基础设施运营者的安全保护义务得以进一步明确。
但是关键信息基础设施的范围依旧有待制定中的《关键信息基础设施识别指南》进行进一步地明确；4. 在个人信息和重要数据保护制度方面其核心内容主要包括个人信息收集和使用过程中的安全规范以及个人信息和重要数据出境时的安全评估制度。
金融数据跨境流动的特殊规制
金融数据跨境流动的特殊规制田翔宇（中国建设银行股份有限公司，北京100032）摘要：金融数据作为特殊的数据类型，对其跨境流动的监管涉及数字经济发展、金融稳定、国家安全、个人隐私与企业合法权益保护等诸多价值取向，其跨境流动模式的选择需要基于本国金融发展现状和金融监管实践，要体现国家利益诉求、平衡多元价值取向。
我国金融数据跨境流动的监管规则主要呈现出特殊规定与一般规定相结合、平衡多种价值的特点，同时存在对重要概念缺乏清晰界定、不同规则之间缺乏衔接、难以兼顾时效性的问题。
在新的形势下，我国应当制定统一协调的金融数据跨境规则，以利益平衡为导向进行金融数据流动分级分类监管，并积极参与全球数据流动规则制定，从而维护国家安全和利益。
关键词：金融数据；跨境流动；特殊规制DOI ：10.3969/j.issn.1003-9031.2021.04.007中图分类号：F832文献标识码：A 文章编号：1003-9031（2021）04-0051-08收稿日期：2021-03-03作者简介：田翔宇（1996-），男，山东淄博人，现供职于中国建设银行股份有限公司。
一、引言数据是一个十分宽泛的概念，由于不同行业、不同领域的数据治理具有极强的专业性，无论是国外还是国内，对数据跨境流动普遍采用分业监管的模式。
因金融数据的识别、分类、处理、评估都具有很强的专业性，我国2020年的《数据安全法（草案）》明确了金融业主管部门承担本行业、本领域数据安全监管职责，对金融数据的跨境传输采取特殊规制措施。
信息流与资金流一样，都是重要生产要素，无论是银行、保险、证券机构，还是金融基础设施，抑或是监管机构都有大量专业而复杂的数据流动需求，金融数据跨境流动监管是金融监管框架的一部分，由金融业主管部门制定专门规则进行监管，是必然的选择。
相比于大部分行业，金融行业对于数据跨境流动的数量需求更大、速度要求更高。
金融业是全球化特点极为突出的行业，金融机构的全球布局和集团化经营都决定了金融数据在几乎所有经营场景下都可能涉及跨境流动问题。
《信息安全技术安全漏洞等级划分指南》编制说明
《信息安全技术安全漏洞等级划分指南》编制说明中国信息安全测评中心中国科学院研究生院国家计算机网络入侵防范中心2013.01.06目录页一、工作简况 (3)1.1任务来源 (3)1.2.1预研立项 (3)1.2.2预研结题 (3)1.2.3标准立项 (3)1.2主要工作过程 (4)1.3主要起草人及其所做工作 (4)二、编制原则及标准主要内容 (5)2.1编制原则 (5)2.2主要内容 (5)三、分析论证过程及有关实验 (6)3.1草案第一版 (6)3.2专家评审 (6)3.3草案第二版 (6)3.4专家评审 (8)3.5草案第三版 (8)3.6专家评审 (10)3.7草案第四版 (10)3.8专家评审 (18)3.9草案第五版 (18)3.10 草案第六版 (19)3.11草案第七版 (19)3.12 专家评审 (19)3.13 专家评审及征求意见稿 (20)3.14 专家评审及形成送审稿 (20)3.15 专家函审及形成报批稿 (21)四、国内外安全漏洞等级划分情况 (21)4.1 国际现状 (21)4.2 国内现状 (22)4.3 项目组成果 (22)五、与有关的现行法律、法规和强制性国家标准的关系 (24)六、重大分歧意见的处理经过和依据 (24)七、国家标准作为强制性国家标准或推荐性国家标准的建议 (24)八、贯彻国家标准的要求和措施建议 (24)九、废止现行有关标准的建议 (24)十、其他应予说明的事项 (24)《信息安全技术安全漏洞等级划分指南》（征求意见稿）编制说明一、工作简况1.1 任务来源2008年，经国标委批准，全国信息安全标准化技术委员会（SAC/TC260）主任办公会讨论通过，研究制定《信息安全技术安全漏洞等级划分指南》国家标准,国标计划号：20111600－T-469。
该项目由全国信息安全标准化技术委员会提出，全国信息安全标准化技术委员会归口，由中国信息安全测评中心和中国科学院研究生院国家计算机网络入侵防范中心联合编制。
信息安全技术重要数据识别指南 中英文版
信息安全技术重要数据识别指南中英文版【实用版】目录一、信息安全技术重要数据识别指南概述二、重要数据的识别原则三、重要数据的识别考虑因素四、重要数据的描述格式五、电信领域数据安全指南六、总结正文一、信息安全技术重要数据识别指南概述随着信息化的快速发展，数据已经成为国家战略资源和核心竞争力之一。
为了有效地保护重要数据，全国信安标委发布了《信息安全技术重要数据识别指南（征求意见稿）》，旨在为数据安全保护提供参考和指导。
二、重要数据的识别原则识别重要数据应遵循以下六项原则：1.聚焦安全影响：重要数据应是那些在泄露、篡改、损毁等情况下，可能对国家安全、公共利益、个人权益等产生严重负面影响的数据。
2.突出保护重点：在众多数据中，要识别出那些对组织运营、业务连续性具有关键作用的重要数据，对其实施更有效的保护。
3.衔接既有规定：在识别重要数据时，要与现有法律法规、政策、标准等规定相衔接，避免重复劳动。
4.综合考虑风险：识别重要数据不仅要关注数据本身的价值，还要充分考虑数据处理、存储、传输等环节可能面临的风险。
5.定量定性结合：在评估数据重要性时，既要考虑定量指标，如数据量、使用频率等，也要关注定性因素，如数据对业务的关键程度等。
6.动态识别复评：重要数据可能会随着业务发展、环境变化等因素发生变化，需要定期进行识别和评估。
三、重要数据的识别考虑因素在识别重要数据时，需要综合考虑以下因素：1.数据价值：包括数据对业务运营、决策制定等方面的价值。
2.数据敏感程度：数据在泄露、篡改等情况下可能对国家安全、公共利益、个人权益等产生的影响程度。
3.数据关联性：数据与其他数据、业务、系统的关联程度。
4.数据稀有性：数据在行业、领域内的稀缺程度。
5.数据复制性：数据被复制、备份的难易程度。
四、重要数据的描述格式重要数据描述格式应包括以下内容：1.数据名称：简洁明了地描述数据的内容。
2.数据类型：数据所处的分类，如个人身份信息、金融数据等。
网络知识技能竞赛题库50题-法律法规类(附答案)
网络知识技能竞赛题库信息安全标准与法律法规类1：下面对国家秘密定级和范围的描述中，哪项不符合《保守国家秘密法》要求：A、国家秘密和其密级的具体范围，由国家保密工作部门分别会同外交、公安、国家安全和其他中央有关规定B、各级国家机关、单位对所产生的秘密事项，应当按照国家秘密及其密级的具体范围的规定确定密级C、对是否属于国家和属于何种密级不明确的事项，可有各单位自行参考国家要求确定和定级，然后报国家保密工作部门备案D、对是否属于国家和属于何种密级不明确的事项，由国家保密工作部门，省、自治区、直辖市的保密工作部门，省、自治区政府所在地的市和经国务院批准的较大的市的保密工作部门或者国家保密工作部门审定的机关确定答案：C2：以下关于等级保护的描述正确的是A、等级保护共分五个级别B、我国的等级保护工作由工信部主管C、我国已经针对等级保护出台了专门的法律D、等级保护的各个级别必须由实施单位和主管部门共同完成3：等级保护实施流程正确的是：A、定级、备案、安全建设、测评、监督检查B、定级、测评、备案、安全建设、监督检查C、定级、安全建设、备案、测评、监督检查D、备案、定级、安全建设、测评、监督检查答案：A4：下列哪项不是（信息安全等级保护管理办法）（公通字（2007）43号）规定的内容：A、国家信息安全等级保护坚持自主定级、自主保护的原则B、国家制定专门部门对信息系统安全等级保护工作进行专门的监督和检查C、跨省或全国统一联网运行的信息系统可由主管部门统一确定安全保护等级D、涉及国家秘密的信息系统不进行分等级保护答案：D5：根据我国信息安全管理体系，党政机关信息网络的安全保卫任务由下列哪个单位负责？A、公安机关B、国家安全机关C、国家保密工作部门D、国家密码主管部门6：下列哪个不是（商用密码管理条例）规定的内容？A、国家密码管理委员会及其办公室（简称密码管理机构）主管全国的商用密码管理工作B、商用密码技术属于国家秘密，国家对商用密码产品的科研、生产、销售和使用实行专控管理C、商用密码产品由国家密码管理机构许可的单位销售D、个人可以使用经国家密码管理机构认可之外的商用密码产品答案：D7：下面有关我国信息安全管理体制的说法错误的是：A、目前我国的信息安全保障工作是相关部门各司其职、互相配合、齐抓共管的局面B、我国的信息安全保障工作综合利用法律、管理和技术的手段C、我国的信息安全管理应坚持及时检测、快速响应、综合治理的方针D、我国对于信息安全责任的原则是谁主管、谁负责,谁经营、谁负责答案：C8：以下关于CC标准说法错误的是：A、通过评估有助于增强用户对于IT产品的安全信任度B、促进IT产品和系统的安全性C、消除重复的评估D、详细描述了安全评估方法学答案：D9：触犯新刑法285条规定的非法侵入计算机系统罪可判处A、三年以下有期徒刑或拘役B、1000元罚款C、三年以上五年以下有期徒刑D、10000元罚款答案：A10：以下哪一项不是我国与信息安全有关的国家法律？A、《信息安全等级保护管理办法》B、《中华人民共和国保守国家秘密法》C、《中华人民共和国刑法》D、《中华人民共和国国家安全法》答案：A11：根据《信息系统安全等级保护定级指南》，信息系统的安全保护等级由哪两个定级要素决定？A、威胁、脆弱性B、系统价值、风险C、信息安全、系统服务安全D、受侵害的客体、对客体造成侵害的程度业务答案：D12：全面构建我国信息安全人才体系是国家政策、组织机构信息安全保障建设和信息安全有关人员自身职业发展三方面的共同要求，“加快信息安全人才培养，增强全民信息安全意识”的指导精神，是以下哪一个国家政策文件提出的？A、《国家信息化领导小组关于加强信息安全保障工作的意见》B、《信息安全等级保护管理办法》C、《中华人民共和国计算机信息系统安全保护条例》D、《关于加强政府信息系统安全和保密管理工作的通知》答案：A13：下列哪项不是安全管理方面的标准？A、ISO 27001B、ISO 13335C、GB/T 22080D、GB/T 18336答案：D14：CC标准是目前国际通行的信息技术产品安全性评价规范，关于其先进性说法错误的是：A、它基于保护轮廓和安全目标提出安全需求，具有灵活性和合理性B、它基于功能要求和保证要求进行安全评估，能够实现分级评估目标C、它不仅考虑了保密性评估要求，还考虑了完整性和可用性多方面安全要求D、它划分为A、B、C、D四个等级，实现分级别的安全性测评答案：D15：依据信息系统安全保证评估框架，确定安全保障需求考虑的因素不包括下面哪一方面？A、法规政策的要求B、系统的价值C、系统要对抗的威胁D、系统的技术构成答案：B16：以下哪个可能没有违法破坏计算机信息系统罪？A、非法修改计算机的应用程序造成亚种损失B、某人制作病毒，他人利用此病毒造成危害C、秘密篡改计算机中的数据，以掩盖自己的非法入侵行为D、利用计算机进行贪污受贿答案：D17：ISO27002、ITIL和COBIT在IT管理内容上各有优势、但侧重点不同，其各自重点分别在于：A、IT安全控制、IT过程管理和IT控制和度量评价B、IT过程管理、IT安全控制和IT控制和度量评价C、IT控制和度量评价、IT安全控制和IT安全控制D、IT过程管理、IT控制和度量评价、IT安全控制答案：A18：等级保护定级阶段主要包括哪2个步骤A系统识别与描述、等级确定B、系统描述、等级确定C、系统识别、系统描述D、系统识别与描述、等级分级答案：A19：以下哪一项不是我国国务院信息化办公室为加强信息安全保障明确提出的九项重点工作内容之一？A、提高信息技术产品的国产化率B、保证信息安全资金投入C、加快信息安全人才培养D、重视信息安全应急处理工作答案：A20：下面对ISO27001的说法最准确的是：A、该标准的题目是信息安全管理体系实施指南B、该标准为度量信息安全管理体系的开发和实施过程提供的一套标准C、该标准提供了一组信息安全管理相关的控制措施和最佳实践D、该标准为建立、实施、运行、监控、审核、维护和改进信息安全管理体系提供了一个模型答案：D21：我国信息安全标准化技术、委员会（TC260）目前下属6个工作组，其中负责信息安全管理的小组是：A、WG 1B、WG 7C、WG 3D、WG 5答案：B22：以下哪一项是用于CC的评估级别？A、EAL 1，EAL 2，EAL 3，EAL 4，EAL 5，EAL 6，EAL 7B、A1，B1，B2，B3，C2，C1，DC、E0，E1，E2，E3，E4，E5，E6D、AD0，AD1，AD2，AD3，AD5，AD6答案：A23：信息安全等级保护分级要求，第一级适用正确的是A、适用于涉及国家安全、社会秩序、经济建设和公共利益的信息和信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成较大损害B、适用于一定程度上涉及国家安全、社会秩序、经济建设和公共利益的一般信息和信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成一定损害C、适用于一般的信息和信息系统，其受到破坏后，会对公民、法人和其他组织的权益有一定影响，但不危害国家安全、社会秩序、经济建设和公共利益D、适用于涉及国家安全、社会秩序、经济建设和公共利益的重要信息和信息系统的核心子系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成特别严重损害答案：C24：我国规定商用密码产品的研发、制造、销售和使用采取专控管理，必须经过审批，所依据的是：A、商用密码管理条例B、中华人民共和国计算机信息系统安全保护条例C、计算机信息系统国际联网保密管理规定D、中华人民共和国保密法答案：A25：我国《信息系统灾难恢复规范》中对灾难恢复等级1级的灾难备份要求（）A、至少每天做一次完全数据备份B、配备7*24小时专职机房职守人员C、数据零丢失D、至少每周做一次完全数据备份答案：D26：负责信息安全技术标准化的组织是：A、ISO/IECB、ISO/IEC_JTC1C、ISO/IEC_JTC1 /SC27D、ISO/IEC_JTC1 /SC37答案：C27：计算机取证的合法原则是：A、计算机取证的目的是获取证据，因此首先必须确保证据获取再履行相关法律手续B、计算机取证在任何时候都必须保证符合相关法律法规C、计算机取证只能由执法机构才能执行，以确保其合法性D、计算机取证必须获得执法机关的授权才可进行以确保合法性原则答案：B28：ISO/IDC 15408标准《信息技术安全性评估准则》CC 标准，关于CC 中保护含义本身正确的是：A、它是基于一类TOE的应用环境规定的一安全要求，的保证要求B、它是基于一个或多个PP选择性的的一组安全要求C、它会包括PP要求或PP要求的内容，成一组要求D、它提出了安全要求实现的功能和质量两个原因答案：D29：GB/T 18336《信息技术安全性评估准则》是测评标准类中的重要标准，该标准定义了评估对象（Target of Evaluation，TOE）、保护轮廓（Protection Profile，PP）和安全目标（Security Target，ST）等术语。
信息技术安全技术生物特征识别信息的保护要求编制说明
信息技术安全技术生物特征识别信息的保护要求编制说明国家标准《信息技术安全技术生物特征识别信息的保护要求》（征求意见稿）编制说明一、任务来源《信息技术安全技术生物特征识别信息的保护要求》是国家标准化管理委员会2018年下达的信息安全国家标准制定项目，国标计划号为：2018XXXX-T-469，由北京赛西科技发展有限责任公司主要负责起草，中国电子技术标准化研究院、广州广电运通金融电子股份有限公司、浙江蚂蚁小微金融服务集团股份有限公司、联想（北京）有限公司、国民认证科技（北京）有限公司、格尔软件股份有限公司等单位共同参与了该标准的起草工作。
二、编制原则随着互联网成为日常生活的一部分，生物特征识别技术包括基于行为和生理特征的个体自动识别特征已经成熟，这些生物特征信息包括指纹图像、语音、虹膜图像、面部图像等。
生物特征识别技术的成本一直在下降，它们的可靠性一直在增加，现在用作身份鉴别机制是可行的。
另一方面，生物特征识别信息与其他个人信息和共享的联系越来越多，生物特征识别信息使个人和组织带来了新的挑战，需要重点保障生物特征信息的安全，并遵守各种隐私要求。
本标准拟提出生物特征识别信息的安全保护要求，包括生物特征识别系统的威胁和对策，生物特征信息和身份主体之间安全绑定的安全要求，应用模型以及隐私保护要求等。
因此本标准制定时遵循以下原则：1）通用性按照本标准实现的生物特征识别信息的安全技术要求，可实现基本技术规格一致，便于用户使用，有利于主管部门的测评、认证和管理。
2）实用性根据我国国情、实际运用环境和国家有关政策编制本标准，使其在指导系统和产品研发、检测、使用和管理方面具有很强的实用性。
）安全性与隐私3．在本标准中对生物特征识别信息从安全和隐私两方面都做了严格的规定，从而确保生物特征识别信息在不同的场景中应用的安全性。
4）符合性符合国家有关法律法规和已有标准规范的相关要求。
三、主要工作过程1、2018年4月，调研国内外生物特征识别信息的安全应用需求，调研市场上生物特征识别的各种模态具体应用方式以及相关标准、法律法规要求等。
《国内外信息安全标准化情况》
交换机和路 防火墙 由器 无线 VPN 外部设备 远程访问 多域解决方案 移动代码 门卫
检测和响应 多国信息 共享 IDS
பைடு நூலகம்
4.4 信息安全评估标准
安全评估标准的发展经历了漫长的时间 最具影响的是上世纪80年代，美国国防部推出的 可信计算机安全评价准则（TCSEC）。 该标准（俗称橘皮书）基于贝尔.拉巴杜拉模型的 “禁止上读下写”原则，用访问控制机制（自主型 访问控制，强制型访问控制），针对计算机的保密 性需求，把计算机的可信级别分成四类七个等级。 橘皮书随后又补充了针对网络、数据库等安全需求 ，发展成彩虹系列。 我国至今唯一的信息安全强制标准GB 17859就 是参考橘皮书制定的。 GB 17859根据我们的产 业能力，将信息安全产品分成五个等级。
7
2011-11-8
信息安全技术产品标准
-根据技术保障框架形成保护要求（IATF）
保卫网络和 基础设施 保卫边界和 外部连接 保卫局域计 算环境 操作系统 生物识别技 术 单级WEB 令牌 移动代码 消息安全 数据库 支撑性基础设施 PKI/KMI 证书管理 密钥恢复 第四级PKI 目录 系统轮廓
2.需要什么标准
从保密,保护到保障
保护 INFOSEC
预警（W） 保护（P） 检测（D） 反应（R） 恢复 （R） 反击（C）
保障 IA
保密 COMSEC
保密性 80年代
保密性 完整性 可用性
保密性 完整性 可用性 真实性 不可否认性 现在
90年代
1
2011-11-8
到底信息安全保障应该包括那些方面？！
5. BMB5-2000《涉密信息设备使用现场的电磁泄漏发射 防护要求》 6. BMB6-2001《密码设备电磁泄漏发射限值》 7. BMB7-2001《密码设备电磁泄漏发射测试方法（总则 ）》 8. BMB7.1-2001《电话密码机电磁泄漏发射测试方法》 9. BMB8-2004《国家保密局电磁泄漏发射防护产品检测 实验室认可要求》 10. BMB10-2004《涉及国家秘密的计算机网络安全隔 离设备的技术要求和测试方法》
信息安全技术 重要数据识别规则(征求意见稿)
信息安全技术重要数据识别规则（征求意见稿）
尊敬的各位用户：
为了更好地保护您的重要数据安全，我们制定了一份《重要数据识别规则（征求意见稿）》，希望能够征求您的意见和建议。
一、定义
1. 重要数据：指对您个人或组织的利益具有重要价值的数据，包括但不限于个人身份信息、财务账户信息、商业机密、客户资料等。
二、识别规则
1. 数据分类：根据数据的属性和敏感程度，将数据分为普通数据和重要数据两类。
2. 数据标识：对于重要数据，我们将在其所在的系统或文件中加入标识，以便于辨识和管理。
3. 数据访问控制：对于普通数据，我们将实施基本的访问控制措施，确保仅授权用户能够访问。
4. 数据备份与恢复：对于重要数据，我们将采取定期备份和存档策略，以防止数据丢失和损坏，并能够在必要时进行快速恢复。
5. 数据传输加密：对于重要数据的传输过程，我们将采用加密技术，确保数据在传输过程中的安全性。
6. 数据存储加密：对于重要数据的存储，我们将使用加密算法对数据进行加密，增加其保密性和安全性。
三、意见征集
我们希望听取您对《重要数据识别规则（征求意见稿）》的宝贵意见和建议，以使该规则更加完善和适应您的需求。
请您将您的意见和建议发送至我们的客户服务邮箱，我们将认真研究和考虑每一份意见，并根据需要进行调整和修改。
再次感谢您对我们工作的支持和关注！
此致
敬礼
信息安全技术团队
日期：XXXX年XX月XX日。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
全国信息安全标准化技术委员会关于国家标准《信息安全技术重要数据识别指南》征求意见稿征求意见的
通知
文章属性
•【公布机关】全国信息安全标准化技术委员会,全国信息安全标准化技术委员会,全国信息安全标准化技术委员会
•【公布日期】2022.01.13
•【分类】征求意见稿
正文
关于国家标准《信息安全技术重要数据识别指南》征求意见
稿征求意见的通知
各相关单位和专家：
经标准编制单位的辛勤努力，现已形成国家标准《信息安全技术重要数据识别指南》征求意见稿。
为确保标准质量，信安标委秘书处面向社会广泛征求意见。
恳切希望您对该标准提出宝贵意见。
并将意见于2022年03月13日前反馈给信安标委秘书处。
联系人：王姣136****5214****************
全国信息安全标准化技术委员会秘书处
2022年01月13日。