今日,工業(yè)和信息化部辦公廳發(fā)布關(guān)于加強(qiáng)互聯(lián)網(wǎng)數(shù)據(jù)中心客戶(hù)數(shù)據(jù)安全保護(hù)的通知,在與客戶(hù)、第三方服務(wù)商等簽署的合同協(xié)議中,根據(jù)合作模式、內(nèi)容等,明確各方數(shù)據(jù)安全保護(hù)責(zé)任義務(wù)。建立健全客戶(hù)數(shù)據(jù)安全管理制度,明確數(shù)據(jù)安全負(fù)責(zé)人和管理部門(mén),強(qiáng)化客戶(hù)數(shù)據(jù)安全管理保障措施。
《通知》主要規(guī)定了以下內(nèi)容:
1
在與客戶(hù)、第三方服務(wù)商等簽署的合同協(xié)議中,根據(jù)合作模式、內(nèi)容等,明確各方數(shù)據(jù)安全保護(hù)責(zé)任義務(wù)。建立健全客戶(hù)數(shù)據(jù)安全管理制度,明確數(shù)據(jù)安全負(fù)責(zé)人和管理部門(mén),強(qiáng)化客戶(hù)數(shù)據(jù)安全管理保障措施。
2
建立客戶(hù)管理機(jī)制,按照客戶(hù)類(lèi)別和數(shù)據(jù)保護(hù)需求,提供差異化安全保護(hù)措施供客戶(hù)選用。結(jié)合數(shù)據(jù)處理流程,明確數(shù)據(jù)訪問(wèn)、操作、銷(xiāo)毀等重點(diǎn)環(huán)節(jié)的安全策略和流程機(jī)制,并做好數(shù)據(jù)隔離等保護(hù)措施。
3
在實(shí)施可能影響客戶(hù)數(shù)據(jù)安全的高危操作和對(duì)外提供客戶(hù)數(shù)據(jù)前,應(yīng)告知客戶(hù)并取得授權(quán)。根據(jù)業(yè)務(wù)實(shí)際情況,通過(guò)冗余設(shè)計(jì)等,提高業(yè)務(wù)連續(xù)性和穩(wěn)定性。建立客戶(hù)數(shù)據(jù)安全事件應(yīng)急預(yù)案,定期開(kāi)展應(yīng)急演練。
4
因IDC業(yè)務(wù)經(jīng)營(yíng)者原因引發(fā)客戶(hù)數(shù)據(jù)安全事件時(shí),立即啟動(dòng)應(yīng)急處置措施,及時(shí)告知客戶(hù),并按有關(guān)要求向電信主管部門(mén)報(bào)告。
通常,互聯(lián)網(wǎng)數(shù)據(jù)中心(Internet Data Center,以下簡(jiǎn)稱(chēng)“IDC”)會(huì)采取一定的網(wǎng)絡(luò)安全技術(shù)措施,保證托管數(shù)據(jù)等的安全性。但是,這些技術(shù)有時(shí)并不充分,不能達(dá)到《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全管理辦法》、《網(wǎng)絡(luò)安全等級(jí)保護(hù)條例》及其相關(guān)配套規(guī)則的要求。數(shù)據(jù)安全技術(shù)措施是保證IDC服務(wù)安全性的重要保障,如果這一點(diǎn)未能充分做到,將不利于保障網(wǎng)絡(luò)安全,以及數(shù)據(jù)的完整性、可用性及保密性。因此,在有關(guān)部門(mén)的敦促下,為保障互聯(lián)網(wǎng)數(shù)據(jù)中心客戶(hù)數(shù)據(jù)安全,相關(guān)主體單位可以采取的措施有:
在數(shù)據(jù)存儲(chǔ)過(guò)程中
可以對(duì)數(shù)據(jù)進(jìn)行分級(jí)分類(lèi)、差異化安全存儲(chǔ),并對(duì)數(shù)據(jù)質(zhì)量進(jìn)行監(jiān)控;對(duì)存儲(chǔ)數(shù)據(jù)的設(shè)備及基礎(chǔ)設(shè)施重點(diǎn)做好安全防護(hù),包括落實(shí)數(shù)據(jù)存儲(chǔ)的操作終端安全管控措施及接入鑒權(quán)機(jī)制等;以及,建立完備的數(shù)據(jù)容災(zāi)備份和恢復(fù)機(jī)制,提供基本的完整校驗(yàn)機(jī)制,保障數(shù)據(jù)的可用性和完整性等。
在數(shù)據(jù)傳輸過(guò)程中
可以根據(jù)業(yè)務(wù)流程、職責(zé)界面等合理劃分安全域,在安全邊界上配置相應(yīng)的訪問(wèn)控制策略及部署安全措施,對(duì)傳輸通道進(jìn)行相應(yīng)的加密措施,保證傳輸過(guò)程中的安全保密;強(qiáng)化傳輸接口安全管控,限制違規(guī)設(shè)備接入;采用密鑰加密時(shí),對(duì)密鑰進(jìn)行嚴(yán)格管理確保密鑰安全;對(duì)傳輸過(guò)程實(shí)施數(shù)據(jù)完整性校驗(yàn)措施,保證所傳輸數(shù)據(jù)完整性和可用性。
在數(shù)據(jù)交換過(guò)程中
加強(qiáng)數(shù)據(jù)交換接口安全管控,落實(shí)加密傳輸、訪問(wèn)控制、MAC地址或IP地址綁定等手段;根據(jù)需求,限制數(shù)據(jù)批量導(dǎo)出權(quán)限的授權(quán);以及做好共享操作流程、操作賬號(hào)分配等日志記錄里對(duì)數(shù)據(jù)共享場(chǎng)景進(jìn)行分析等。
在數(shù)據(jù)銷(xiāo)毀過(guò)程中
建立對(duì)超期保存等情況下的數(shù)據(jù)銷(xiāo)毀機(jī)制;對(duì)數(shù)據(jù)銷(xiāo)毀進(jìn)行日志記錄以支持安全審計(jì);落實(shí)安全銷(xiāo)毀措施,采用可靠技術(shù)手段保證已經(jīng)銷(xiāo)毀的數(shù)據(jù)不可還原并進(jìn)行效果驗(yàn)證;針對(duì)邏輯銷(xiāo)毀操作,需要為不同數(shù)據(jù)的存儲(chǔ)方式制定相應(yīng)的邏輯銷(xiāo)毀方法等。
IDC產(chǎn)業(yè)在數(shù)據(jù)安全、數(shù)據(jù)合規(guī)建設(shè)的道路上剛剛起步,未來(lái)發(fā)展仍然任重而道遠(yuǎn),但是,相信這些合規(guī)工作的努力必將會(huì)促進(jìn)企業(yè)行為合規(guī)水平的提高、促進(jìn)IDC產(chǎn)業(yè)鏈的良性循環(huán),并能促使我國(guó)在國(guó)家層面上抓住新基建發(fā)展的機(jī)遇,在網(wǎng)絡(luò)空間戰(zhàn)略上搶占先機(jī)。
敏捷科技將一如既往、時(shí)刻關(guān)注各行業(yè)領(lǐng)域主體單位的數(shù)據(jù)安全需求變化,始終秉承著企業(yè)級(jí)的可靠性和穩(wěn)定性品質(zhì),提供專(zhuān)業(yè)穩(wěn)定、合法合規(guī)的數(shù)據(jù)安全產(chǎn)品與方案,為數(shù)字化轉(zhuǎn)型和數(shù)字經(jīng)濟(jì)高質(zhì)量發(fā)展提供堅(jiān)實(shí)保障。