标准应用 |《敏感个人信息处理安全要求》（征求意见稿）解读与合规实践

近日，全国信息安全标准化技术委员会发布关于征求国家标准《信息安全技术敏感个人信息处理安全要求》（征求意见稿）意见的通知，根据《全国信息安全标准化技术委员会标准制修订工作程序》要求，现将该标准征求意见稿面向社会公开征求意见。

该标准是为支撑《个人信息保护法》第二节敏感个人信息的处理规则的落地实施，针对医疗健康、金融账户、行踪轨迹等敏感个人信息，明确数据处理者进行收集、存储、使用、加工、传输、提供、公开、删除等处理活动的安全要求，重点针对采集必要性、安全保护、脱敏规则、告知同意等方面提出要求。适用于规范个人信息处理者的个人信息处理活动，也可为监管部门、第三方评估机构对个人信息处理者开展个人信息处理活动进行监督、管理、评估提供参考。

敏感个人信息界定

个人信息处理者在进行个人信息处理前，应首先识别哪些数据资产属于敏感个人信息。

标准指出，个人信息遭到泄露或者非法使用，容易导致自然人的人格尊严受到侵害、人身安全受到危害、财产安全受到危害的，总体考虑个人信息汇聚融合后的整体属性，如汇聚融合的个人信息遭到泄露或者非法使用容易对个人权益造成较大影响的，应判断个人信息整体具有敏感个人信息属性。

常见敏感个人信息类别包括生物识别信息、宗教信仰信息、特定身份信息、医疗健康信息、金融账户信息、行踪轨迹信息、身份鉴别信息、未成年人个人信息等。在合规实践中，由于人工识别的被动与低效，可以结合机器学习技术对全类型的个人信息进行梳理，不仅包含识别个人身份的基础属性，也包括与业务紧密关联的敏感个人信息，如金融行业中的账户信息、财产信息、借贷信息等。信息以结构化、半结构化、非结构化等多形态方式，或在数据库中存储，或转为办公文档方式流转，或在内部业务流转过程中进一步进行格式转换、数据的解析等等，基于内容的深度识别将有助于信息梳理的全面和精准。与此同时，个人信息跨业务跨域流转使大量的暗数据沉淀积累，既不能挖掘数据的价值，也会存在安全隐患。对暗数据的AI分类梳理标注，可以发现数据价值，规范数据的进一步使用。而处于活跃期的明数据，在使用和增长过程中持续变动，通过明数据的AI分分类梳理标注，将从链条上将各类信息梳理清晰。更进一步，个人信息的存在方式，除了直观可见的完整的个人信息记录，还包括个人信息的痕迹、碎片化的数据，即个人信息影子，以及看似已删除的数据、驻留内存但感知不到的数据。这些单独的点滴信息不足以给个人信息构成威胁，但多条信息汇聚就比较容易获得个人信息的完整画像。通过对个人信息影子和非感知数据的追溯，挖掘隐式数据的踪迹，保护个人信息生命周期安全。

敏感个人信息处理安全要求

标准规定，处理敏感个人信息应具有特定的目的和充分的必要性，取得个人的单独同意，应在满足GB/T35273—2020要求的基础上，在收集、存储、使用、加工、传输、提供、公开、删除等处理的各个环节采取严格保护措施。重点安全保护要求条款诸如：

●应定期评估或验证敏感个人信息传输方式的安全状况，网络环境发生重大变化时，应及时调整安全策略；

●对敏感个人信息的访问、修改、删除、导出等操作，应在对角色权限控制的基础上，按照业务流程的需求触发操作授权；

●敏感个人信息存储环境应建立异常监测和分析能力，对出现的异常情况进行及时响应，动态调整安全保护措施，按照就高从严原则设定安全保护措施；

●对敏感个人信息的处理活动应建立异常监测预警和响应机制，对超出业务正常需求的异常操作（如频繁、大量敏感个人信息浏览查询、下载、打印，非工作时间操作等）应采取中断操作，并通过邮件、消息、弹窗等形式进行告警，开展分析调查，提前排除隐患。

在合规实践中，全面的风险感知评估、细粒度的精确响应处置、以及按需的实时的策略调整都依赖于建立数据链的全运营周期追溯。

追溯个人信息在企业中流动，主要包括三个方面：

1)广泛的流动。这和企业业务线条复杂化有关。既有一些个人信息集中式在特定业务系统中处理分析，也有一些个人信息随着不同部门、不同业务需求在网络中向不同的业务系统流动。通过对广域分布的个人信息流动进行追溯管理，感知个人信息的风险态势。

2)基于生命周期的数据链的个人信息流动。个人信息从生产到运维，从产生、收集、存储、使用、共享到销毁，在数据链的每个节点上，抓取个人信息的轨迹。个人信息在不同的业务流程中使用，在不同的业务服务器之间流转，以及不同域之间的流动，以数据与业务的运营周期为牵引追溯个人信息，才能保护全数据链的流动安全。

3)新技术下个人信息多流转路径追溯。为了挖掘数据价值，企业自身在进一步寻求打破内部业务壁垒的方式；同时，随着大数据时代、5G时代的数据开放共享，网络环境趋于开放，数据流也愈来愈多，追溯各流转路径，突破传统的数据边界，保障数据的可控性。

对现有的数据流转路径以及新兴的数据流进行追溯管理，需要建立个人信息与主体的映射关系，包括个人信息在流动中的原文流转、变形流转的血缘关系，并记录个人信息的版本、状态、位置以及轨迹，形成个人信息数据流全生命周期的流动画像，对个人信息的流转、扩散进行全视角的风险态势感知和合规性管控，从数据流的链路中保护个人信息。

下一步，基于数据流追溯进行风险分析和安全防护。在不获取原始个人隐私数据的前提下，通过分布式机器学习对分散于各处的个人信息特征进行智能识别、风险分析，对各类事件和风险进行分析和分诊，结合用户使用场景、安全基线以及风险活动，从响应时间到响应力度，形成适合数据运营业务安全的按需保护的响应机制。

敏感个人信息的保护，从用户、终端、网络、个人信息数据四个方面建立起零信任数据安全域，保护个人信息的访问、传输、存储和使用。由零信任用户、零信任终端控制访问个人信息的安全认证，防止非法用户或终端接触个人信息；个人信息数据在终端之间、终端与服务器之间传输时，由零信任网络保护个人信息；个人信息存储在终端中以及在终端中使用时，零信任终端以及对个人信息本体的零信任防护，构建安全域空间，保护数据安全。

（文章来源：CCIA数据安全工作委员会）

标准应用 |《敏感个人信息处理安全要求》（征求意见稿）解读与合规实践

敏感个人信息界定

敏感个人信息处理安全要求

相关新闻