下载文档原格式
解读国标GBT 35273-2017《信息安全技术个人信息安全规范》发布时间：2018-01-28浏览：578按照国家标准化管理委员会2017年第32号中国国家标准公告，全国信息安全标准化技术委员会组织制定和归口管理的国家标准GB/T 35273-2017 《信息安全技术个人信息安全规范》于2017年12月29日正式发布，将于2018年5月1日实施。
本文重点提炼个人信息的保存、个人信息安处理以及组织的管理要求等方面内容，解读国家标准GB/T 35273-2017 《信息安全技术个人信息安全规范》。
一、《信息安全技术个人信息安全规范》第六点“个人信息的保存”，对个人信息控制者对个人信息的保存提出具体要求，包括以下内容：6.1 个人信息保存时间最小化对个人信息控制者的要求包括：a) 个人信息保存期限应为实现目的所必需的最短时间;b) 超出上述个人信息保存期限后，应对个人信息进行删除或匿名化处理。
6.2 去标识化处理收集个人信息后，个人信息控制者宜立即进行去标识化处理，并采取技术和管理方面的措施，将去标识化后的数据与可用于恢复识别个人的信息分开存储，并确保在后续的个人信息处理中不重新识别个人。
6.3 个人敏感信息的传输和存储对个人信息控制者的要求包括：a) 传输和存储个人敏感信息时，应采用加密等安全措施;b) 存储个人生物识别信息时，应采用技术措施处理后再进行存储，例如仅存储个人生物识别信息的摘要。
6.4 个人信息控制者停止运营当个人信息控制者停止运营其产品或服务时，应：a) 及时停止继续收集个人信息的活动;b) 将停止运营的通知以逐一送达或公告的形式通知个人信息主体;c) 对其所持有的个人信息进行删除或匿名化处理。
二、《信息安全技术个人信息安全规范》第九点“个人信息安全事件处置”，对个人信息控制者处理个人信息安全事件的方式方法提出具体要求，包括以下内容：9.1 安全事件应急处置和报告对个人信息控制者的要求包括：a) 应制定个人信息安全事件应急预案;b) 应定期(至少每年一次)组织内部相关人员进行应急响应培训和应急演练，使其掌握岗位职责和应急处置策略和规程;c) 发生个人信息安全事件后，个人信息控制者应根据应急响应预案进行以下处置：1) 记录事件内容，包括但不限于：发现事件的人员、时间、地点，涉及的个人信息及人数，发生事件的系统名称，对其他互联系统的影响，是否已联系执法机关或有关部门;2) 评估事件可能造成的影响，并采取必要措施控制事态，消除隐患;3) 按《国家网络安全事件应急预案》的有关规定及时上报，报告内容包括但不限于：涉及个人信息主体的类型、数量、内容、性质等总体情况，事件可能造成的影响，已采取或将要采取的处置措施，事件处置相关人员的联系方式;4) 按照本标准9.2的要求实施安全事件的告知。
XXXXXXXX有限公司数据控制和信息管理程序文件编号：版本：编制：审核：批准：XXXXX有限公司发布数据控制和信息管理程序1.0目的为保证检测数据和信息的采集、计算、处理、记录、报告、存储、传输的准确、可靠、有效和保密，特编制本程序。
2.0范围2.1检测数据和信息的采集；2.2临界数据和信息的处理；2.3检测数据和信息的计算和处理；2.4数据和信息的修约；2.5数据和信息的判定；2.6数据和信息的转移；2.7错误数据和信息的更正；2.8可疑数据和信息的处理；2.9计算机以及数据和信息的管理。
3.0职责3.1 技术负责人：a)组织编制、修订和批准自动化测量程序软件；b)组织对自动测量软件的验证；c)检测室负责人:d)定本部门检测原始数据和信息的采集方法；e)组织制定自动化设备的操作规程。
3.2 监督员:a)校核检测数据和信息和判定结果；b)对可疑数据和信息进行验证。
3.3 检测员:a)认真采集和记录原始数据和信息;b)按规范计算和处理数据和信息。
3.4 技术负责人应当维护本程序的有效性。
4.0程序4.1数据和信息的采集4.1.1检测室负责人应按照本部门承检标准和检测细则的要求，规定出每一类承检产品或项目的检测原始数据和信息的采集方式和格式。
4.1.2如采用自动采集或打印原始数据和信息，检测室负责人应对采集数据和信息所用的测量系统实施验证和控制，控制方法参见本程序第4.4.4条。
4.1.3采集的原始数据和信息应进行修约或截尾，遵循先修约后运算的原则，最终报出数据和信息的有效位数应当遵循标准的规定或多出标准规定一位。
4.2临界数据和信息的处理4.2.1当测得值接近临界控制值时，检测人员应当增加测量次数，以观察测量结果的发散趋势。
如果连续观测到的测量值趋于平稳或收敛，则可以按照数据和信息处理的规定或程序进行数据和信息处理。
4.2.2如果连续观测到的测量值趋于发散，应查找发散原因，以判断是测量仪器还是被测物品的问题。
文件制修订记录1.0目的保护客户机密信息和所有权不受侵犯，使客户的正当利益不受侵害，维护实验室的诚实性和公正性。
2.0范围:2.1本程序文件包括以下领域涉及的机密：2.2.1客户提供的物品及其技术资料；2.2.2客户的专利权；2.2.3客户送检物品检测结果的所有权；2.2.4对参加能力验证和比对实验室检测结果的保密。
3.0职责：3.1最高管理者:3.1.1落实保护客户机密信息和所有权的各项措施实施所需的资源和责任人，对员工进行保密和保护所有权的教育。
3.2质量主管:3.2.1对各项保密和保护所有权措施的实施进行监督检查；3.2.2对监督检查中发现的问题及时向最高管理者报告；3.2.3批准借阅保密资料；3.3资料管理员:3.3.1按照本程序的要求做好技术文件和资料的保密管理；3.4物品管理员:3.4.1认真做好与客户的物品交接，记录客户对物品及资料的保密要求；3.4.2做好物品和资料在实验室内的传递交接记录，并对在检过程中物品及资料的保密进行监督检查；3.4.3对违反保密和侵权的行为进行制止，直至向最高管理者进行汇报。
3.5检测和/或校准人员:3.5.1对检测和/或校准过程、原始记录、证书和报告内容做好保密工作。
3.6质量主管应当维护本程序的有效性。
4.0工作程序4.1物品和技术资料的交接4.1.1物品管理员在接受客户委托的检测任务时,应向客户了解被测物品及其技术资料的保密要求，按其要求安全存放。
4.1.2物品管理员在与客户完成物品和技术资料的登记和交接后，双方应在交接文件上签名确认，对有保密要求的，应在该文件上加注“保密”标记。
4.1.3对需要保密的物品和资料，物品管理员应采取隔离保管措施,直至客户取回全部样品和技术资料。
物品管理员承担在此期间的保密责任，防止在交接中出现丢失和泄密。
4.1.4对需要在实验室内进行传递检测的物品及资料，物品管理员和检测和/或校准人员应做好交接记录，检测和/或校准人员应按保密要求和实验室的规定做好物品及其技术资料在检测过程中的管理，承担在此期间的保密责任。
XX市智慧老兵云上服务平台项目建设要求一、项目概况XX市智慧老兵云上服务平台项目，主要内容：退役军人数据颗粒化、智慧军休迭代升级、优待证证码合一、智慧军供系统。
二、建设内容及要求(-)退役军人数据颗粒化基于数据颗粒化的能力建设退役军人数据颗粒化底座、智能预警中心、大数据分析报表、退役军人全息档案画像等业务应用。
1退役军人数据颗粒化底座：通过建设退役军人数据颗粒化，实现全市数据退役军人相关数据汇聚，并形成数据的统一标准和规范，重点建设围绕退役军人的“人员、思权、优抚、双拥、安置、军休”六个主题库；根据业务需求建设“家庭户、政策查询、困难状况、就业创业、上访述求、志愿服务、褒扬激励、失信矫正、随军家属、自主择业军转干部”十大专题库，并通过数据编目实现数据共享。
2.智能预警中心：通过自定义规则阈值、通过大数据模型对比比较，实时监测，生成预警任务，预警类型包括重大节日预警、死亡预警、失业预警、信访预警、矫正预警、健康预警、困难预警等。
预警任务可配置不同的任务级别，每种预警任务够各自的处理流程，也可以自动下发给工作人员处理。
任务在全市服务站内流转，任务完成后，可进行满意度评价以及模型修正，达到全流程闭环。
3.大数据分析报表：通过数据可视化能力可以快速的输出对应的数据报表,并且可分析数据的趋势，辅助领导和管理部门做决策和指导。
4.退役军人全息档案：展现出退役军人个人基础数据以及对应的关联数据, 如亲属情况、就业情况、帮扶记录等全方位数据。
（二）智慧军休迭代升级XX智慧军休数字李生驾驶舱：基于数据颗粒化建设成果迭代升级数字挛生驾驶舱展示内容，展现军休管理、军休康养、军休活动、网络军休所、X军休、军休党建、军休生活、干休所地图、干休所详情。
进入人员全息后，展现老干部的基础信息、关联信息和健康信息和生活情况等；同时，接入华数智能设备，展示智能设备数据。
干休所数字孳生驾驶舱：基于现有数字挛生地图，展示干休所军休党建、康养、活动、生活、管理情况和所属老干部情况。
文件制修订记录1.0目的：为管理所有可能影响实验室活动的人员(内部人员和外部人员)，确保人员在能力、公正性、判断力以及工作诚实性方面的可信度，能够适应实验室当前和预期的工作任务需要及管理体系的要求，特制定本程序。
2.0适用范围：本程序适用于影响实验室活动的内部人员和外部人员的管理。
3.0职责：3.1 主任3.1.1负责检测中心岗位任职能力要求的批准。
3.1.2负责检测中心人员任职资格授权批准。
3.2 技术负责人3.2.1负责检测中心岗位任职能力要求的审核。
3.2.2负责人员任职资格、持续能力的评估。
3.3 质量负责人3.3.1 负责提出综合组的年度培训需求。
3.3.2 负责评价综合组人员的培训效果。
3.3.3 负责综合组人员的能力评价。
3.3.4 负责组织建立检测中心人员技术档案，并对员工的培训与资格确认、授权记录进行存档。
3.3.5负责安排组织实施培训。
4.0程序：4.1确定人员能力要求4.1.1 由综合组负责组织各用人部门，确定各岗位任职资格等能力要求，编制《岗位说明书》。
4.1.2 《岗位说明书》经技术负责人审核，主任批准。
4.2 人员选择人员的选择，按照公司规章制度执行。
4.3 人员培训4.3.1 培训计划4.3.1.1 每年末，综合组各实验室根据当前的情况和未来的发展趋势以及《岗位说明书》提出下一年培训需求，包括培训达到目的、培训课程、培训对象、培训方式、培训月份、考核方式等，具体实施按公司制度执行。
4.3.1.2 如安装新仪器或内、外审出现不符合整改等需要增加的培训，综合组应予以记录。
4.3.2 培训对象a.新进人员或转岗人员；b.须经资格评估、持证上岗人员；c.新检测标准/方法的检测人员，操作新配置检测设备人员；d.各类管理人员和其他需培训人员。
4.4 培训内容培训内容包括(但不限于)以下方面内容：AS认可准则和相关指南的培训；b.质量手册、程序文件等相关文件的宣贯；c.公正行为教育和业务相关的政策、法律、法规；d. 新检测标准/方法；e. 设备操作使用及维护、维修、保养；f. 安全培训及检测中心相关制度的宣贯等；4.5 培训的实施按照公司的规章制度执行。
