下载文档原格式
解读国标GBT 35273-2017《信息安全技术个人信息安全规范》发布时间：2018-01-28浏览：578按照国家标准化管理委员会2017年第32号中国国家标准公告，全国信息安全标准化技术委员会组织制定和归口管理的国家标准GB/T 35273-2017 《信息安全技术个人信息安全规范》于2017年12月29日正式发布，将于2018年5月1日实施。
本文重点提炼个人信息的保存、个人信息安处理以及组织的管理要求等方面内容，解读国家标准GB/T 35273-2017 《信息安全技术个人信息安全规范》。
一、《信息安全技术个人信息安全规范》第六点“个人信息的保存”，对个人信息控制者对个人信息的保存提出具体要求，包括以下内容：6.1 个人信息保存时间最小化对个人信息控制者的要求包括：a) 个人信息保存期限应为实现目的所必需的最短时间;b) 超出上述个人信息保存期限后，应对个人信息进行删除或匿名化处理。
6.2 去标识化处理收集个人信息后，个人信息控制者宜立即进行去标识化处理，并采取技术和管理方面的措施，将去标识化后的数据与可用于恢复识别个人的信息分开存储，并确保在后续的个人信息处理中不重新识别个人。
6.3 个人敏感信息的传输和存储对个人信息控制者的要求包括：a) 传输和存储个人敏感信息时，应采用加密等安全措施;b) 存储个人生物识别信息时，应采用技术措施处理后再进行存储，例如仅存储个人生物识别信息的摘要。
6.4 个人信息控制者停止运营当个人信息控制者停止运营其产品或服务时，应：a) 及时停止继续收集个人信息的活动;b) 将停止运营的通知以逐一送达或公告的形式通知个人信息主体;c) 对其所持有的个人信息进行删除或匿名化处理。
二、《信息安全技术个人信息安全规范》第九点“个人信息安全事件处置”，对个人信息控制者处理个人信息安全事件的方式方法提出具体要求，包括以下内容：9.1 安全事件应急处置和报告对个人信息控制者的要求包括：a) 应制定个人信息安全事件应急预案;b) 应定期(至少每年一次)组织内部相关人员进行应急响应培训和应急演练，使其掌握岗位职责和应急处置策略和规程;c) 发生个人信息安全事件后，个人信息控制者应根据应急响应预案进行以下处置：1) 记录事件内容，包括但不限于：发现事件的人员、时间、地点，涉及的个人信息及人数，发生事件的系统名称，对其他互联系统的影响，是否已联系执法机关或有关部门;2) 评估事件可能造成的影响，并采取必要措施控制事态，消除隐患;3) 按《国家网络安全事件应急预案》的有关规定及时上报，报告内容包括但不限于：涉及个人信息主体的类型、数量、内容、性质等总体情况，事件可能造成的影响，已采取或将要采取的处置措施，事件处置相关人员的联系方式;4) 按照本标准9.2的要求实施安全事件的告知。
XXXXXXXX有限公司数据控制和信息管理程序文件编号：版本：编制：审核：批准：XXXXX有限公司发布数据控制和信息管理程序1.0目的为保证检测数据和信息的采集、计算、处理、记录、报告、存储、传输的准确、可靠、有效和保密，特编制本程序。
2.0范围2.1检测数据和信息的采集；2.2临界数据和信息的处理；2.3检测数据和信息的计算和处理；2.4数据和信息的修约；2.5数据和信息的判定；2.6数据和信息的转移；2.7错误数据和信息的更正；2.8可疑数据和信息的处理；2.9计算机以及数据和信息的管理。
3.0职责3.1 技术负责人：a)组织编制、修订和批准自动化测量程序软件；b)组织对自动测量软件的验证；c)检测室负责人:d)定本部门检测原始数据和信息的采集方法；e)组织制定自动化设备的操作规程。
3.2 监督员:a)校核检测数据和信息和判定结果；b)对可疑数据和信息进行验证。
3.3 检测员:a)认真采集和记录原始数据和信息;b)按规范计算和处理数据和信息。
3.4 技术负责人应当维护本程序的有效性。
4.0程序4.1数据和信息的采集4.1.1检测室负责人应按照本部门承检标准和检测细则的要求，规定出每一类承检产品或项目的检测原始数据和信息的采集方式和格式。
4.1.2如采用自动采集或打印原始数据和信息，检测室负责人应对采集数据和信息所用的测量系统实施验证和控制，控制方法参见本程序第4.4.4条。
4.1.3采集的原始数据和信息应进行修约或截尾，遵循先修约后运算的原则，最终报出数据和信息的有效位数应当遵循标准的规定或多出标准规定一位。
4.2临界数据和信息的处理4.2.1当测得值接近临界控制值时，检测人员应当增加测量次数，以观察测量结果的发散趋势。
如果连续观测到的测量值趋于平稳或收敛，则可以按照数据和信息处理的规定或程序进行数据和信息处理。
4.2.2如果连续观测到的测量值趋于发散，应查找发散原因，以判断是测量仪器还是被测物品的问题。
文件制修订记录1.0目的保护客户机密信息和所有权不受侵犯，使客户的正当利益不受侵害，维护实验室的诚实性和公正性。
2.0范围:2.1本程序文件包括以下领域涉及的机密：2.2.1客户提供的物品及其技术资料；2.2.2客户的专利权；2.2.3客户送检物品检测结果的所有权；2.2.4对参加能力验证和比对实验室检测结果的保密。
3.0职责：3.1最高管理者:3.1.1落实保护客户机密信息和所有权的各项措施实施所需的资源和责任人，对员工进行保密和保护所有权的教育。
3.2质量主管:3.2.1对各项保密和保护所有权措施的实施进行监督检查；3.2.2对监督检查中发现的问题及时向最高管理者报告；3.2.3批准借阅保密资料；3.3资料管理员:3.3.1按照本程序的要求做好技术文件和资料的保密管理；3.4物品管理员:3.4.1认真做好与客户的物品交接，记录客户对物品及资料的保密要求；3.4.2做好物品和资料在实验室内的传递交接记录，并对在检过程中物品及资料的保密进行监督检查；3.4.3对违反保密和侵权的行为进行制止，直至向最高管理者进行汇报。
3.5检测和/或校准人员:3.5.1对检测和/或校准过程、原始记录、证书和报告内容做好保密工作。
3.6质量主管应当维护本程序的有效性。
4.0工作程序4.1物品和技术资料的交接4.1.1物品管理员在接受客户委托的检测任务时,应向客户了解被测物品及其技术资料的保密要求，按其要求安全存放。
4.1.2物品管理员在与客户完成物品和技术资料的登记和交接后，双方应在交接文件上签名确认，对有保密要求的，应在该文件上加注“保密”标记。
4.1.3对需要保密的物品和资料，物品管理员应采取隔离保管措施,直至客户取回全部样品和技术资料。
物品管理员承担在此期间的保密责任，防止在交接中出现丢失和泄密。
4.1.4对需要在实验室内进行传递检测的物品及资料，物品管理员和检测和/或校准人员应做好交接记录，检测和/或校准人员应按保密要求和实验室的规定做好物品及其技术资料在检测过程中的管理，承担在此期间的保密责任。
XX市智慧老兵云上服务平台项目建设要求一、项目概况XX市智慧老兵云上服务平台项目，主要内容：退役军人数据颗粒化、智慧军休迭代升级、优待证证码合一、智慧军供系统。
二、建设内容及要求(-)退役军人数据颗粒化基于数据颗粒化的能力建设退役军人数据颗粒化底座、智能预警中心、大数据分析报表、退役军人全息档案画像等业务应用。
1退役军人数据颗粒化底座：通过建设退役军人数据颗粒化，实现全市数据退役军人相关数据汇聚，并形成数据的统一标准和规范，重点建设围绕退役军人的“人员、思权、优抚、双拥、安置、军休”六个主题库；根据业务需求建设“家庭户、政策查询、困难状况、就业创业、上访述求、志愿服务、褒扬激励、失信矫正、随军家属、自主择业军转干部”十大专题库，并通过数据编目实现数据共享。
2.智能预警中心：通过自定义规则阈值、通过大数据模型对比比较，实时监测，生成预警任务，预警类型包括重大节日预警、死亡预警、失业预警、信访预警、矫正预警、健康预警、困难预警等。
预警任务可配置不同的任务级别，每种预警任务够各自的处理流程，也可以自动下发给工作人员处理。
任务在全市服务站内流转，任务完成后，可进行满意度评价以及模型修正，达到全流程闭环。
3.大数据分析报表：通过数据可视化能力可以快速的输出对应的数据报表,并且可分析数据的趋势，辅助领导和管理部门做决策和指导。
4.退役军人全息档案：展现出退役军人个人基础数据以及对应的关联数据, 如亲属情况、就业情况、帮扶记录等全方位数据。
（二）智慧军休迭代升级XX智慧军休数字李生驾驶舱：基于数据颗粒化建设成果迭代升级数字挛生驾驶舱展示内容，展现军休管理、军休康养、军休活动、网络军休所、X军休、军休党建、军休生活、干休所地图、干休所详情。
进入人员全息后，展现老干部的基础信息、关联信息和健康信息和生活情况等；同时，接入华数智能设备，展示智能设备数据。
干休所数字孳生驾驶舱：基于现有数字挛生地图，展示干休所军休党建、康养、活动、生活、管理情况和所属老干部情况。
文件制修订记录1.0目的：为管理所有可能影响实验室活动的人员(内部人员和外部人员)，确保人员在能力、公正性、判断力以及工作诚实性方面的可信度，能够适应实验室当前和预期的工作任务需要及管理体系的要求，特制定本程序。
2.0适用范围：本程序适用于影响实验室活动的内部人员和外部人员的管理。
3.0职责：3.1 主任3.1.1负责检测中心岗位任职能力要求的批准。
3.1.2负责检测中心人员任职资格授权批准。
3.2 技术负责人3.2.1负责检测中心岗位任职能力要求的审核。
3.2.2负责人员任职资格、持续能力的评估。
3.3 质量负责人3.3.1 负责提出综合组的年度培训需求。
3.3.2 负责评价综合组人员的培训效果。
3.3.3 负责综合组人员的能力评价。
3.3.4 负责组织建立检测中心人员技术档案，并对员工的培训与资格确认、授权记录进行存档。
3.3.5负责安排组织实施培训。
4.0程序：4.1确定人员能力要求4.1.1 由综合组负责组织各用人部门，确定各岗位任职资格等能力要求，编制《岗位说明书》。
4.1.2 《岗位说明书》经技术负责人审核，主任批准。
4.2 人员选择人员的选择，按照公司规章制度执行。
4.3 人员培训4.3.1 培训计划4.3.1.1 每年末，综合组各实验室根据当前的情况和未来的发展趋势以及《岗位说明书》提出下一年培训需求，包括培训达到目的、培训课程、培训对象、培训方式、培训月份、考核方式等，具体实施按公司制度执行。
4.3.1.2 如安装新仪器或内、外审出现不符合整改等需要增加的培训，综合组应予以记录。
4.3.2 培训对象a.新进人员或转岗人员；b.须经资格评估、持证上岗人员；c.新检测标准/方法的检测人员，操作新配置检测设备人员；d.各类管理人员和其他需培训人员。
4.4 培训内容培训内容包括(但不限于)以下方面内容：AS认可准则和相关指南的培训；b.质量手册、程序文件等相关文件的宣贯；c.公正行为教育和业务相关的政策、法律、法规；d. 新检测标准/方法；e. 设备操作使用及维护、维修、保养；f. 安全培训及检测中心相关制度的宣贯等；4.5 培训的实施按照公司的规章制度执行。
个人信息合规管理体系（基于ISO27701的分析）来源：合规小叨客作者：Sh.MH,X.M,S.WQ,M.AT,L.ShF（中兴通讯）全球法律政策研究院目录一、概述（一）研究范围与意义（二）研究方法二、基于ISO27701的个人信息管理体系（PIMS）的分析（一）个人信息管理体系（PIMS）的特定要求（二）个人信息管理体系（PIMS）的特定指南（三）个人信息管理体系（PIMS）下针对控制者的控制目标和措施（四）个人信息管理体系（PIMS）下针对处理者的控制目标和措施三、基于ISO27701的个人信息管理体系（PIMS）在企业的应用（一）在数据保护合规管理体系的应用（二）在业务场景的应用--以人力资源场景为例（三）在商业增信的应用四、结语一、概述（一）研究范围与意义1、与隐私和个人数据保护相关的法律及标准欧盟《通用数据保护条例》（General Data Protection Regulation，以下简称“GDPR”）是迄今为止影响力最广、严格程度最高的数据保护法。
截止目前，全球已有100多个国家/地区制定了隐私和数据保护立法。
2020年初，在国际隐私专家协会发布的《全球立法预测白皮书》中预计各国监管和执法力度将有所加强。
如比利时数据保护机构未来5年的战略草案将电信、媒体、直接营销和公共部门列为优先领域。
泰国《个人数据保护法》原定于2020年5月生效，因疫情推迟至2022年生效。
美国《加利福尼亚消费者隐私法案》已于2020年1月生效，其他州已经纷纷开始进行立法讨论，产生了区域示范性效应。
巴西的《通用数据保护条例》于2021年5月生效。
2020年至2021年数据保护立法逐渐全球遍地开花。
对在中国境内进行的数据处理活动而言，涉及个人信息保护的现行有效法律主要有《中华人民共和国网络安全法》、《消费者权益保护法》、《中华人民共和国刑法》（第253条之一“侵犯公民个人信息罪”）以及于2021年1月1日的《民法典》（第四编第六章隐私权和个人信息保护）。
区块链和分布式记账技术标识体系OID编码规则1范围本文件确立了基于对象标识符（OID）的区块链标识体系，并规定了编码结构。
本文件适用于：a）为计划使用基于对象标识符（OID）分配和管理区块链对象的相关主体和组织提供参考；b）为区块链标识解析系统建设方提供参考；c）为区块链产业监管方提供参考。
2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。
其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T2260—2007中华人民共和国行政区划代码GB/T26231—2017信息技术开放系统互连对象标识符（OID）的国家编号体系和操作规程GB/T35299—2017信息技术开放系统互连对象标识符解析系统GB/T35300—2017信息技术开放系统互连用于对象标识符解析系统运营机构的规程GB/T36461—2018物联网标识体系OID应用指南GB/T37375—2019交通运输物联网标识规则3术语和定义下列术语和定义适用于本文件。
3.1标识identification通过使用属性、标识符等来识别一个实体的过程。
[来源：GB/T37375-2019，3.2]3.2标识编码解析identification resolution一个唯一的标识符被赋予明确的管理对象，并通过网站、客户端等多种解析方式进行标识符输入，以获取该对象各类属性信息的过程。
[来源：GB/T37375-2019，3.7]3.3OID解析系统OID resolution system；ORS实现GB/T35299—2017所规定的OID解析过程的系统。
[来源：GB/T35299-2017，3.12]4缩略语下列缩略语适用于本文件。
OID：对象标识符（Object Identifier）ORS：OID解析系统（OID resolution system）5编码原则5.1完整性和唯一性体现区块链行业各分类层级的所属要素，能唯一标识区块链行业内不同实体对象和逻辑对象。
个人用户信息保护制度和防护技术我们非常重视用户的隐私保护和个人信息保护，设置了相当的措施及规章制度，严格监督保护工作。
一、处理个人信息的原则我们尽量以更清晰、更容易被您理解的方式展现本隐私保护声明，从而希望能够真实地传达我们希望向您传达的信息，并希望您在向我们提供某些信息（其中很可能包括您的个人信息）以及允许我们处理并分享某些信息之前，能够清晰地了解这些信息收集的目的、可能的用途以及其他方面的内容。
二、本隐私保护声明的适用范围：如我们及关联公司的产品或服务中使用了平台的产品或服务但未设独立隐私政策的，则本政策同样适用于该部分产品或服务。
我们及关联公司就其向您提供的产品或服务单独设有隐私政策的，则相应产品或服务适用相应隐私政策。
三、我们如何收集和使用您的个人信息为确保相关业务功能的正常实现，我们需要根据具体的使用场景调用对应的必要权限，并在调用前向您弹窗询问。
相应设备权限并不会默认开启，当涉及重要或敏感的设备权限时，我们会在您使用到相应业务功能时，另行弹窗再次征得您的同意后开启；权限开启后，您还可以随时通过设备设置关闭权限；你不同意开启权限，将不会影响其他非相关业务功能的正常使用。
针对个人敏感信息，我们会单独征得您的同意后进行处理。
平台收集的个人信息类型分为【必需信息】和【非必需信息】两类；【必需信息】为平台维持功能项运转所必需的个人信息；【非必需信息】为平台出于提升用户体验、增强服务效果等原因所可能收集的个人信息。
（一）帮助您成为我们的注册\登录用户1、用户注册（1）必需信息、非必需信息您在使用平台提供的服务时，首先需要成为我们的注册\登录用户。
因此，当您注册平台账户时，您需要向我们提供您准备使用的用户名（仅pc端）、您本人的手机号码或邮箱（仅涉及部分邮箱注册场景），我们将通过发送短信验证码的方式来验证您的身份是否有效。
此类信息属于该功能的必需信息，若您不提供，将无法完成注册。
您登录后可以继续完善您的账户信息，您可以修改补充您的昵称、生日（出生日期）、所在地、家乡、小区、职业、职位、兴趣爱好、头像；您使用交友服务时，可以根据自己需要上传的照片。
通信行业网络安全与隐私保护指导书第1章网络安全与隐私保护概述 (3)1.1 网络安全背景与挑战 (3)1.1.1 网络安全背景 (4)1.1.2 网络安全挑战 (4)1.2 隐私保护的意义与目标 (4)1.2.1 隐私保护的意义 (4)1.2.2 隐私保护的目标 (5)第2章网络安全法律法规体系 (5)2.1 我国网络安全法律法规框架 (5)2.1.1 法律层面 (5)2.1.2 行政法规和部门规章层面 (6)2.1.3 规范性文件和技术标准层面 (6)2.2 国际网络安全法规与标准 (6)2.2.1 国际网络安全法规 (6)2.2.2 国际网络安全标准 (6)第3章通信网络安全技术 (6)3.1 网络安全技术概述 (6)3.2 加密技术 (7)3.2.1 对称加密 (7)3.2.2 非对称加密 (7)3.2.3 混合加密 (7)3.3 认证与授权技术 (7)3.3.1 身份认证 (7)3.3.2 访问控制 (7)3.3.3 数字签名 (7)第4章通信网络架构安全 (8)4.1 网络架构安全风险与应对 (8)4.1.1 风险概述 (8)4.1.2 应对措施 (8)4.2 核心网安全 (8)4.2.1 核心网安全风险 (8)4.2.2 核心网安全措施 (8)4.3 接入网安全 (8)4.3.1 接入网安全风险 (8)4.3.2 接入网安全措施 (9)第5章数据安全与隐私保护 (9)5.1 数据安全概述 (9)5.1.1 数据安全内涵 (9)5.1.2 数据安全重要性 (9)5.1.3 数据安全威胁 (9)5.1.4 数据安全应对措施 (9)5.2 数据加密与脱敏 (10)5.2.1 数据加密 (10)5.2.2 数据脱敏 (10)5.2.3 应用实例 (10)5.3 数据生命周期安全管理 (10)5.3.1 数据产生阶段 (10)5.3.2 数据存储阶段 (10)5.3.3 数据使用阶段 (11)5.3.4 数据传输阶段 (11)5.3.5 数据销毁阶段 (11)第6章用户身份认证与隐私保护 (11)6.1 用户身份认证技术 (11)6.1.1 密码认证 (11)6.1.2 证书认证 (11)6.1.3 动态口令认证 (12)6.2 生物识别技术 (12)6.2.1 指纹识别 (12)6.2.2 人脸识别 (12)6.2.3 声纹识别 (12)6.3 隐私保护认证方案 (12)6.3.1 匿名认证 (12)6.3.2 同态加密 (12)6.3.3 安全多方计算 (12)6.3.4 联邦学习 (13)第7章应用层安全与隐私保护 (13)7.1 应用层安全风险与应对 (13)7.1.1 风险概述 (13)7.1.2 应对措施 (13)7.2 移动应用安全 (13)7.2.1 风险概述 (13)7.2.2 应对措施 (13)7.3 云计算与大数据安全 (13)7.3.1 风险概述 (13)7.3.2 应对措施 (14)第8章网络安全监测与应急响应 (14)8.1 安全监测技术 (14)8.1.1 网络流量监测 (14)8.1.2 主机与终端监测 (14)8.2 入侵检测与防御 (14)8.2.1 入侵检测系统（IDS） (14)8.2.2 入侵防御系统（IPS） (15)8.3 应急响应与处置 (15)8.3.1 应急响应流程 (15)8.3.2 应急响应技术 (15)第9章隐私保护合规与审计 (15)9.1 隐私保护合规要求 (15)9.1.1 法律法规遵循 (15)9.1.2 内部管理制度 (15)9.1.3 用户隐私告知与同意 (16)9.1.4 最小化数据收集 (16)9.1.5 数据安全保护 (16)9.1.6 用户权利保障 (16)9.2 隐私保护审计与评估 (16)9.2.1 审计制度 (16)9.2.2 审计内容 (16)9.2.3 评估方法 (16)9.2.4 评估结果 (16)9.3 隐私保护合规管理 (16)9.3.1 合规责任 (16)9.3.2 合规培训 (17)9.3.3 合规监测 (17)9.3.4 合规报告 (17)9.3.5 合规改进 (17)第10章网络安全与隐私保护未来趋势 (17)10.1 5G网络安全的挑战与机遇 (17)10.1.1 挑战 (17)10.1.2 机遇 (17)10.2 人工智能在网络安全中的应用 (18)10.2.1 智能防御 (18)10.2.2 主动防御 (18)10.2.3 安全运维 (18)10.2.4 数据分析 (18)10.3 隐私保护技术的发展趋势 (18)10.3.1 差分隐私 (18)10.3.2 零知识证明 (18)10.3.3 同态加密 (18)10.3.4 联邦学习 (18)10.3.5 可信执行环境 (18)第1章网络安全与隐私保护概述1.1 网络安全背景与挑战信息技术的飞速发展，通信行业在我国经济社会发展中的地位日益重要。
