当前位置：文档之家 › 信息安全 个人信息保护规范-2016

信息安全 个人信息保护规范-2016

  • 格式：pdf
  • 大小：1.32 MB
  • 文档页数：22

ICS 35.020 L 70 DB21 辽宁省地方标准 DB21/T 1628.1—2016 代替DB21/T 1628.1-2012 信息安全 个人信息保护规范 Information Security-Specification for Personal Information Protection 2016 - 09 - 27发布 2016 - 11 - 27实施 辽宁省质量技术监督局 发布 DB21/T 1628.1—2016 I 目 次 前言................................................................................IV 引言.................................................................................V 1 范围..............................................................................1 2 规范性引用文件....................................................................1 3 术语、定义和缩略语................................................................1 4 个人信息生命周期..................................................................4 5 个人信息主体权利..................................................................4 6 个人信息管理者....................................................................4 7 个人信息管理......................................................................5 8 管理机制..........................................................................7 9 个人信息获取.....................................................................10 10 个人信息处理....................................................................11 11 安全管理........................................................................13 12 过程管理........................................................................15 13 例外............................................................................16 14 认证............................................................................17 参考文献............................................................................18 DB21/T 1628.1—2016 II 前 言 DB21/T 1628分为8部分： ——信息安全 个人信息保护规范 ——信息安全 个人信息安全管理体系实施指南 ——信息安全 个人信息数据库管理指南 ——信息安全 个人信息管理文档管理指南 ——信息安全 个人信息安全风险管理指南 ——信息安全 个人信息安全管理体系安全技术实施指南 ——信息安全 个人信息安全管理体系内审实施指南 ——信息安全 个人信息安全管理体系过程管理指南等。 本部分是DB21/T 1628的第1部分。 本部分按照GB/T 1.1-2009《标准化工作导则 第1部分：标准的结构与编写》给出的规则起草。 本部分代替DB21/T 1628.1-2012《信息安全 个人信息保护规范》。与DB21/T 1628.1-2012相比，本部分除编辑性修改外，主要技术变化如下： ——标准结构修改，构建个人信息安全管理框架； ——标准粒度修订，剔除规章制度等部分过细的约束规则； ——适当跟踪新技术的发展，增加部分相关规则，如移动设备等； ——增加个人定义，以使个人信息定义更加严谨，精确地描述个人信息； ——修订个人信息定义； ——增加主体定义，以使个人信息主体定义更加严谨，精确地描述个人信息主体； ——修订个人信息主体定义，更加严谨、规范地描述个人信息主体； ——定义个人信息生命周期，制定基于个人信息生命周期的个人信息安全规则； ——定义个人信息管理者的行为约束； ——建立被动收集的约束规则； ——增加个人安全管理规则，以适应新一代信息技术应用对个人信息主体的安全威胁。 本部分由大连市经济和信息化委员会提出。 本部分由辽宁省经济和信息化委员会归口。 本部分主要起草单位：大连软件行业协会、大连交通大学、辽宁省信息安全与软件测评认证中心。 本部分主要起草人：郎庆斌、孙鹏、尹宏、丁宗安、孙毅、吕蕾蕾、杨莉、司丹、郭玉梅、杨万清、王小庚、宋悦、王开红、曹剑、李倩。 本部分代替DB21/T 1628.1-2012。 DB21/T 1628.1-2012的历次版本发布情况： ——DB21/T 1628-2008 DB21/T 1628.1—2016 III 引 言 DB21/T1628.1-2012已经发布实施近3年，在社会、经济、文化等各个领域的深刻变革中，对辽宁省个人信息安全起到了重要的指导作用。随着科学技术，特别是IT的进步和发展，引发新的个人信息安全危机，需要在新的形势下重新审视个人信息安全标准的普适性。 管理是安全的关键，无论传统的个人信息形态，还是新一代信息技术的应用（如智慧城市、云服务、大数据、物联网等）。本标准再次修订，以管理为主线，以个人信息生命周期，即服务管理过程为导向，以个人信息安全和个人信息管理质量为目标，规定个人信息生命周期内管理要素的约束规则。 DB21/T 1628.1—2016 1 信息安全 个人信息保护规范 1 范围 本标准规定了个人信息主体权利、个人信息生命周期、个人信息管理、管理机制、个人信息获取、个人信息处理、安全管理、过程管理等的基本规则和要求。 本标准适用于自动或非自动处理全部或部分个人信息的机关、企业、事业、社会团体等组织及个人。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T 19001/ISO 9001 质量管理体系 要求 DB21/T 1628.2 信息安全 个人信息安全管理体系实施指南 DB21/T 1628.3 信息安全 个人信息数据库管理指南 DB21/T 1628.5 信息安全 个人信息安全风险管理指南 3 术语、定义和缩略语 3.1 术语和定义 下列术语和定义适用于本文件。 3.1.1 个人 personal 基于自然规律出生，具有生物学意义和法理人格，并被赋予民事主体资格的自然人个体。 3.1.2 个人信息 personal information 依附于个人，并可描述个人基本形态的信息，包括： a）可通过听觉、视觉、触觉等感官直接识别个人的信息，如数字、文字、图像、影像、声音等； b）可借助各种手段间接识别个人的信息，如与个人相关各种信息对照、参考、分析等。 3.1.3 主体 subject 享受民事权利并承担民事义务的个人。 3.1.4 个人信息主体 personal information subject DB21/T 1628.1—2016

2 可通过个人信息识别的、拥有该个人信息，享有该个人信息权益的个人。 3.1.5 个人信息管理者 personal information controller 获个人信息主体授权，基于特定、明确、合法目的，获取、管理个人信息的机关、企业、事业、社会团体等组织及个人。 3.1.6 个人信息安全 personal information security 以安全为目的、以个人信息资源为核心，以服务管理流程为导向，构建相对稳定、安全的个人信息环境。 3.1.7 个人信息生命周期 personal information life cycle 当个人信息主体同意直接收集个人信息直至个人信息彻底销毁的生命历程，是个人信息管理者向个人信息主体提供服务管理的过程。 注1：个人信息生命周期可以是多重的，如间接收集应是个人信息生命周期内存在的新的生命周期。 3.1.8 个人信息管理 personal information management 在个人信息生命周期内，计划、组织、协调、控制个人信息及相关资源、环境、管理体系等的相关活动或行为。 3.1.9 个人信息安全管理体系 personal information Security management system 个人信息管理活动或行为的结果。基于个人信息管理目标，整合目标、方针、原则、方法、过程、审核、改进等管理要素，及实现要素的方法和过程，提高个人信息管理有效性的系统。 3.1.10 个人信息数据库 personal information database 为实现一定目的，按照某种方式和规则组织的个人信息集合体。包括： a）可以通过自动处理检索特定的个人信息的集合体，如磁介质、电子、网络媒介等； b）可以采用非自动处理方式检索、查阅特定的个人信息的集合体，如纸介质、声音、照片等； c）前述2种混合形式； 除前3项外，法律规定的可检索特定个人信息的集合体。 注2：个人信息数据库，一般由a、b两种形式构成，形成逻辑统一的个人信息集合体。 3.1.11 个人信息收集 personal information collect DB21/T 1628.1—2016

3 基于特定、明确、合法的目的获取个人信息的行为。 3.1.12 个人信息处理 personal information process 自动或非自动处置个人信息的过程，如收集、加工、编辑、存储、检索、交换等及其它使用行为或活动。 3.1.12.1 自动处理 automatic processing 利用计算机及其相关和配套设备、信息网络系统、信息资源系统等，按照一定的应用目的和规则，收集、加工、编辑、存储、检索、交换等相关数据处置行为或活动。 3.1.12.2 非自动处理 non-automatic processing 除自动处理外的其它数据处置行为或活动。 3.1.13 利用 utilize 因某种利益交付第三方使用或因其它某种利益使用个人信息的行为。 3.1.14 个人信息主体同意 personal information subject agreement 个人信息管理活动或行为与个人信息主体意愿一致，个人信息主体明确表示赞成。表达形式包括： a）个人信息主体以书面形式同意； b）个人信息主体以可鉴证的、有规范记录的、满足书面形式要求的非书面形式同意。 注3：下述情况视为个人信息主体同意： 1）由监护人代表未成年的或无法做出正确判断的成年个人信息主体表达的意愿； 2）个人信息管理者与个人信息主体签订合同中确认了相关个人信息处理的规定，个人信息主体同意履行合同。 3.2 缩略语 3.2.1 PDCA Plan-Do-Check-Act GB/T 19001/ISO 9001确立的全面质量管理应遵循的科学方法。本标准用于个人信息管理相关活动的质量管理。 3.2.2 PISMS personal information security management system 个人信息安全管理体系。 4 个人信息生命周期

合集下载

信息安全法律法规及道德规范

信息安全法律法规及道德规范

信息安全法律法规及道德规范

在当今互联网时代，信息安全问题备受关注。各种网络攻击、个人隐私泄露和数据盗窃事件不断涌现，给个人和机构带来了巨大的损失。为了保护个人隐私和数据安全，各国都制定了相应的信息安全法律法规，并倡导人们遵守道德规范。

一、信息安全法律法规

1.《中华人民共和国网络安全法》

《网络安全法》是中国制定的信息安全基本法规。它规定了网络基础设施的安全保护措施、网络运营者的责任、网络数据的收集和使用、网络安全审查等方面的内容。这部法律的出台标志着中国对信息安全问题的高度重视，为网络安全建设提供了法律支持。

2.《数据保护条例》（GDPR）

《数据保护条例》是欧盟于2018年实施的一项信息安全法规，旨在保护个人数据的安全和隐私权。该法规强调了个人数据处理的合法性、透明性和个人选择权，要求企业和机构合规处理个人数据，并承担数据泄露等风险的责任。

3.《美国隐私法》

美国隐私法体系相对灵活，包括多部法规和案例法。《个人信息保护和电子文档法》规定了对个人敏感信息的保护措施，要求提供透明的隐私政策，以及对个人信息的收集和使用进行明确的告知和取得同意。

二、信息安全道德规范

1.保护个人隐私

个人隐私是基本的人权之一，保护个人隐私是每个人的责任。在使用互联网和社交媒体的过程中，我们应该慎重对待个人信息，不随意泄露他人的隐私信息，并妥善保管自己的个人信息。

2.禁止网络攻击

网络攻击是违法行为，对网络安全造成严重威胁。每个人都应该自觉遵守相关法律法规，不进行黑客攻击、网络诈骗和病毒传播等行为。同时，个人和企业也应该加强网络安全防护，避免成为攻击的目标。

3.合法使用信息

信息的合法使用是尊重他人权益的基础。在获取和使用他人信息时，我们应该遵守相关法律法规，尊重个人隐私和知情权。对于那些需要我们提供个人身份信息的情况，我们应该选择可信赖的平台，并核实信息使用的目的。

4.加强信息安全意识

提升信息安全意识是预防信息泄露和网络攻击的重要手段。个人和企业应该加强对信息安全的学习和培训，了解适用的法律法规，并及时更新自己的防护措施。只有全社会形成共同的信息安全意识，才能有效维护网络安全。

公安机关公民个人信息安全管理规定

公安机关公民个人信息安全管理规定

公安机关公民个人信息安全管理规定

第一条 为了规范管理公安机关收集的公民个人信息，保护公民个人信息安全，维护公民合法权益，根据《全国人民代表大会常务委员会关于加强网络信息保护的决定》等法律法规，制定本规定。

第二条 本规定所称公民个人信息，是指公安机关依法履行职责收集的，以电子数据、纸质资料等形式记载的，识别公民个人身份和涉及公民个人隐私的信息。

第三条 公安机关应当按照合法、必要、准确、安全的原则收集管理使用公民个人信息，保护公民的个人隐私和合法权益。

第四条 公安机关应当明确所收集的公民个人信息在传输、存储、使用、维护等环节的安全管理责任，规范工作流程和操作要求，保证信息安全。

第五条 公安机关应当规范准确收集公民个人信息，发现公民个人信息不准确的，应当及时予以更正或者删除。更正或者删除不准确的公民个人信息，应当经过审批并留存操作日志。公民个人信息更正或者删除前已经进行数据交换的，更正后应当重新进行数据交换；删除后应当及时向原数据接收单位通报。

公民申请更改个人信息的，收集该信息的公安机关应当及时核查。确有错误或者确需更新的，应当按照前款规定处理；经核实无误的，应当告知申请人。

第六条 公安机关应当妥善保管含有公民个人信息的记录、资料、物品，依照有关规定应当移交、销毁的及时移交、销毁，防止公民个人信息泄露。

第七条 公安机关应当对公民个人信息实行分级存储管理，对不同等级的信息建立完善相应的安全管理措施。

第八条 对通过视频监控和其他技术监控系统收集的公民个人信息，公安机关应当明确安全保管单位和存储期限。

第九条 通过网吧上网登记、旅店住宿登记等方式向公安信息通信网传输公民个人信息，应当符合公安信息通信网边界安全管理的有关要求。

第十条 因侦办案件、行政管理等执法需要，经授权可以对收集的公民个人信息进行查询、比对、统计、研判。非因执法需要并经授权，公安机关任何部门和人员不得使用公民个人信息。

信息安全法对个人信息交易的规范

信息安全法对个人信息交易的规范

信息安全法对个人信息交易的规范

随着互联网和大数据时代的到来，个人信息已成为一种重要的资源，而个人信息交易也愈发频繁。然而，恶意泄露、滥用和买卖个人信息的行为也逐渐增多，给人们的隐私安全带来了严重威胁。为了规范个人信息交易的行为，保障公民的信息安全和个人隐私权益，我国颁布了《中华人民共和国网络安全法》（以下简称《信息安全法》）。本文将探讨《信息安全法》对个人信息交易的规范。

一、个人信息交易的定义与要求

按照《信息安全法》第二十八条的规定，个人信息交易是指个人信息的获取、保存、使用、加工、传输、提供、销售等活动。个人信息交易需遵守以下要求：

1. 合法合规：个人信息交易应遵循法律、法规和相关规定，获得个人信息主体的明确、自愿、知情同意。

2. 实名登记：个人信息交易参与方应提供真实身份信息进行登记，确保交易主体的合法性。

3. 原则限制：个人信息交易应严格遵守信息用途明确、最少必要原则，并禁止泄露、买卖和非法获取个人敏感信息。

4. 安全保障：个人信息交易中应加强信息的安全保护，采取合理的技术和管理措施，防止信息泄露、滥用和非法访问。

二、信息主体权益的保护 《信息安全法》第九章对信息主体的权益保护作出了明确规定，主要包括以下方面：

1. 信息收集告知权：个人信息交易参与方应向信息主体告知个人信息的收集目的、使用方式、安全保护措施等信息。

2. 同意权：信息主体对个人信息的交易应基于明确、自愿、知情的同意，并有权随时撤回同意。

3. 访问权和更正权：信息主体有权查询、访问、更正、删除个人信息，保障信息主体对个人信息的控制权。

4. 投诉维权权利：信息主体如发现个人信息交易存在违法行为，有权投诉、举报，并依法获得维权支持。

三、监管机构与处罚措施

为了更好地保护个人信息安全，提高个人信息交易的规范性，我国成立了专门的监管机构，如信息主管部门、公安机关等，加大对个人信息交易行为的监督检查和处罚力度。违反《信息安全法》规定的行为将受到相应的法律追究和行政处罚，如警告、罚款、吊销许可证等。

个人信息安全保护培训

个人信息安全保护培训

个人信息安全保护培训

现代社会，随着信息科技的飞速发展和广泛应用，个人信息的安全问题也日益突出。在这个信息化时代，我们的个人信息已经成为了一个重要的财富，它涉及到我们的财产安全、个人隐私、社会地位等方面。然而，由于个人信息保护意识的不足和技术缺陷的存在，我们的个人信息很容易受到侵害和泄露。为了提高个人信息的安全保护水平，培训人们相关知识和技能就显得尤为重要。

首先，个人信息安全保护培训应具备一定的针对性和实用性。培训课程应该根据个人信息的特点和常见威胁，针对性地讲解个人信息安全的基本知识和技巧。例如，培训可以包括如何创建和管理强密码，如何识别和防范网络钓鱼、恶意软件和网络病毒等常见网络威胁。此外，培训还可以介绍如何使用安全的网络浏览器和通信工具，以及如何妥善处理个人信息泄露的应急措施等。

其次，个人信息安全保护培训应注重实践和案例分析。理论知识的传授只是培训的第一步，实践操作才是关键。通过实操训练，学员可以更好地理解和掌握课程内容，提升信息安全防御的能力。同时，通过案例分析，学员可以从已发生的个人信息泄露事件中吸取经验教训，预防类似问题的发生。这种培训方式不仅能够提高学员的实践能力，还能够培养他们对个人信息安全的重视程度和自我保护意识。

此外，个人信息安全保护培训还可以与社会各界合作开展，形成多方参与的格局。政府、企业、学校、家庭等各方面都应该共同努力，加大对个人信息安全保护的培训力度。政府可以出台相关的法律法规和政策，加强对个人信息安全保护培训的引导和推动；企业可以为员工提供培训机会，增强员工个人信息保护的责任意识；学校可以将个人信息安全保护纳入课程体系，培养学生的信息安全意识；家庭可以从小教育孩子个人信息保护的重要性，培养他们良好的信息安全习惯。

综上所述，个人信息安全保护培训对于提高个人信息安全保护水平具有重要意义。培训应具备针对性和实用性，注重实践和案例分析，并与社会各界合作共同推进。只有通过全社会的努力，我们才能够更好地保护个人信息安全，建设一个安全、可靠的信息社会。