公司数据安全管理办法修订记录目录第一章总则 (4)第二章机构与人员 (6)第三章数据安全合规 (8)第四章数据分类分级 (11)第五章数据全生命周期管理 (15)第六章基础安全管理 (30)第七章问责与处罚 (33)第八章附则 (33)附录 (34)附录一公司数据安全保护清单........................................................................错误!未定义书签。
附录二公司数据安全自评表............................................................................错误!未定义书签。
附录三《关键系统数据安全责任承诺书》模板. (34)附录四安全事件违规行为及对应的违规事件级别 (38)第一章总则第一条目的及依据为加强公司数据安全管理，构建强有力的数据安全保障体系，维护国家安全、社会公共利益，保护用户合法权益，保障公司数据资产安全及业务健康发展，根据《中华人民共和国网络安全法》，以及国家相关法规及制度要求，参照《信息安全技术个人信息安全规范》等国家标准，制定本办法。
作为本公司各相关部门实施数据安全管理工作的依据。
第二条管控对象本规范的管控对象为公司运营过程中通过网络收集、存储、传输、处理和产生的各种电子数据（以下简称“数据”）包括公司源数据、客户隐私数据、生产过程数据、测试数据、产品数据以及保证生产经营活动正常运转的支撑数据、业务平台数据、数据分析平台系统、数据业务服务及相关人员组织等。
第三条基本原则保障公司数据安全，总体来说应遵循以下基本原则：✧主体责任明确原则：明确责任分工，落实公司业务和平台的数据安全主体责任。
✧协同治理原则：保障数据安全是公司的目标，安全职责应体现在所有相关部门，对于出现的安全问题，所有相关部门均应履行相应的安全职责并承担相应的责任。
✧服务最小化原则：在向公司内部、平台、第三方合作伙伴共享开放数据时，应仅提供业务开展明确需要的数据属性、标签属性及规模。
✧分类分级管控原则：对公司数据进行分类分级，根据敏感程度不同，采取适当的、与安全风险相适应的管控措施和技术手段，保障数据安全。
✧用户知情同意原则：收集、使用客户信息时，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经客户信息主体同意。
✧安全三同步原则：在承载数据的相关平台系统的设计、建设和运行过程中，应做到数据安全保护措施的同步规划、同步建设、同步运行。
第四条适用范围本规范适用范围为公司各部门。
本规范中所述第三方合作伙伴是指除公司外的第三方。
本规范中所述的网络和内网均指生产网环境非办公网环境。
办公网环境数据安全遵照公司的办公数据安全相关管理办法执行。
本规范的解释权属于公司。
第二章机构与人员第五条网络安全领导小组的职责公司网络安全领导小组在控股公司网络安全领导小组的统一领导下，负责开展本单位的数据安全管理工作。
网络安全领导小组的主要职责包括：（一）负责数据安全保护工作的全面统筹指导；（二）审核和批准数据安全保护相关管理规定；（三）对数据安全保护工作的支持，提供必要资源（人、财、物）等；（四）负责监督数据安全泄密事件的查处；（五）负责统一对上级单位或部门报告数据安全突发事件情况等工作。
第六条运维中心的职责运维中心是数据安全归口管理部门，负责整体数据安全的统筹管理，其相关职责如下：（一）负责数据安全资产清单管理，统一维护公司数据安全资产清单库，牵头各部门开展数据资产的清查及管理工作；（二）负责牵头各部门开展数据安全审计、数据安全合规性评估等监督检查工作；（三）负责督促协调各相关部门建立数据安全技术保障措施。
如督促协调严格落实操作权限管理、日志记录和安全审计、数据加密、数据脱敏、访问控制、数据容灾备份等数据安全保护措施；（四）负责所运维的涉及数据的系统和平台技术层面的数据安全保障和稽查工作；（五）负责规范后台运行维护人员、开发测试人员、生产运行支撑人员的角色和职责；（六）负责系统层面数据安全的日常管理和审核工作；（七）负责开展数据安全教育培训，培训内容包括但不限于数据安全管理与用户个人信息保护相关法律法规、标准制度、安全责任、知识技能等；（八）协助数据安全泄密事件的查处；（九）协助对与公司合作的第三方管理，包括协助开展第三方安全资质审查，综合评估第三方的数据安全保障能力等。
第七条涉及数据安全的业务部门的职责（一）明确数据安全主体责任，建立落实数据安全保护的管理、技术、组织保障措施；（二）协助数据安全归口管理部门开展数据资产的清查及管理工作；（三）协助数据安全归口管理部门开展数据安全审计、数据安全合规性评估等监督检查工作；（四）负责主管的业务系统数据安全相关事件上报和处置，协助数据安全归口管理部门进行数据安全事件的查处。
（五）按照数据安全管控原则，合理设置相关业务人员岗位、角色、权限及职责；（六）负责落实主管业务的合作伙伴数据安全管理，包括做好合作伙伴背景调查和安全资质审查、综合评估业务合作伙伴的数据安全保障能力、签订数据安全保密协议、明确数据安全违规的处罚措施和违约责任、加强数据操作管理等；第八条其他相关部门的职责（一）人力资源部门：组织员工签订保密承诺书，及时发布人员岗位变动、入离职的信息同步给帐号管理部门，协同组织数据安全教育培训工作，参与对数据泄密人员的查处；（二）采购、合规管理部门应在采购、合同管理阶段，审核数据安全保护的要求，在合同中纳入数据安全保密条款；第三章数据安全合规第九条数据安全“三同步”为保障公司生产运营中数据安全，落实业务安全“三同步”的要求，应在公司数据生产运营流程的关键环节，采取必要的安全控制措施，实现公司敏感数据可管可控。
（一）数据系统规划设计阶段在数据系统规划设计阶段应全面梳理数据运营平台及系统安全需求，明确相关资源，对敏感数据泄露、身份认证缺陷等安全风险进行分析、评估，设计整体数据运营平台系统安全保障方案，做好系统安全方案设计和方案评审两个环节的安全控制。
（二）数据系统建设开发阶段在数据系统建设开发阶段在设备采购、系统开发、测试验收、上线试运行四个环节做好安全控制，落实整体安全保障方案。
（三）数据系统运行维护阶段在数据运营运行维护阶段应做好数据运营系统和平台的监测、访问控制、账号管理、补丁更新等安全管理工作；落实日常安全监测与保障，建立应急处置机制，保证数据业务的连续运行；建立退出服务机制，确保不符合生产环境的应用系统安全退出服务。
第十条数据泄露应急处理（一）公司内部部门工作人员发生数据泄漏，应停止账号使用并回收操作权限，报告分管部门领导和数据安全归口管理专员，并保留相关日志记录，配合归口管理专员开展调查和责任追究。
事件严重的要按照相关的管理要求，上报公司网络安全工作办公室进行处置。
（二）第三方人员发生数据泄漏，应立即停止其操作权限，再向泄漏人员追讨数据，并报告分管部门领导和数据安全归口管理专员，根据实际需要采取向第三方厂商通报、追责等处理措施。
事件严重的要按照相关的管理要求，上报公司网络安全工作办公室进行处置。
（三）由于非人员因素，例如，黑客攻击等原因造成的数据泄露，涉及的业务系统应立即采取包括网络封堵、关停服务等措施避免数据的进一步泄露，报告数据安全管理专员和部门领导，保留相关日志记录，配合数据安全管理专员开展问题调查。
问题严重的要按照公司安全管理制度要求，上报公司网络安全办公室或网络安全领导小组进行处置。
第十一条数据资产管理与报送涉及数据安全的部门应明确各自部门数据安全归口管理人员，配合数据安全归口管理部门开展数据资产的清查和梳理工作，负责各自部门业务或系统的数据安全资产的清查和管理，并对清查和梳理的结果进行记录、管理，按照附录《公司数据安全保护清单》填写，确保资产管理的规范性、统一性。
第十二条数据安全审计数据安全审计是通过管理和技术两种手段，检查公司的数据安全策略和数据安全风险控制措施的执行情况以及发现安全风险，保障业务连续运转的过程。
安全审计的范围应包括与公司数据安全相关的所有范畴，包括各类数据资产、业务流程、支撑生产经营活动正常运转的各类网络设备操作日志、部门以及人员（管理层、员工、用户、第三方等）等，同时还包括保障正常生产经营活动连续运转的应急响应及恢复机制。
涉及数据安全的部门应根据各自部门的实际情况配合数据安全归口管理部门定期或按监管要求开展数据安全风险评估、数据安全合规性评估等监督检查工作，按照《公司数据安全自评表》至少每年开展一次安全风险自评。
各相关部门负责数据安全审计的人员应对审计情况进行汇总，梳理存在问题，通报结果，对发现的重大安全隐患或违规行为，应向部门管理层汇报。
公司各部门的安全审计活动和后续整改工作应被正式记录并保存。
第四章数据分类分级为了能够更好的保护数据安全，公司应对敏感数据进行分类分级，从而可以针对不同种类和敏感级别的数据制定差异化的安全控制策略。
各部门要结合各自部门业务的实际情况，梳理各自部门涉及的数据并明确具体数据的分级。
针对较敏感级（含）以上的数据必须分析其存在的风险并制定落实具体的安全管控措施，避免数据泄露、被窃取、篡改和滥用事件发生。
第十三条数据分类详细信息根据公司数据运营和开放服务的特点，结合有关部门规范的规定和要求，将公司数据运营涉及的敏感数据分为四类。
第十四条数据分级及管控原则根据数据敏感程度，遵循原则，即，同一批数据中各属性或字段的分级不同，需要按照定级最高的属性或字段的级别一并实施安全管控，将数据划为四个敏感级别，敏感级别从高到底依次为极敏感级（4级）、敏感级（3级）、较敏感级（2级）和低敏感级（1级）。
表2数据分级及管控原则第五章数据全生命周期管理数据全生命周期分为采集、存储、传输、使用、共享和销毁六个环节。
各数据的责任部门要根据所管数据的分级和所处的环节以及面临的具体安全风险，制定并落实有针对性的数据安全管控措施。
第十五条数据采集安全（一）各部门应加强线上、线下等数据收集环节管控，通过配备技术手段、签署保密协议等措施，加强对数据收集人员、设备的管控，保障收集数据安全。
通过第三方等其他途径获得的敏感数据，与直接收集的敏感数据负有同等的保护责任和义务。
（二）各部门通过线上渠道等方式收集使用客户信息时，应当制定并公开收集使用规则，收集使用规则应明确具体、简单通俗、易于访问。
且仅当用户知悉收集使用规则并明确同意后，方可收集客户信息，同时向用户提供查询、更正、删除等多种参与用户信息处理的渠道，并予以公告。
（三）各部门不得收集其提供服务所必需以外的客户信息或者将信息用于提供服务之外的目的，不得以欺骗、误导或者强迫等方式或者违反法律、行政法规以及双方的约定收集、使用信息。