解读国标GB/T 35273-2017《信息安全技术 个人信息安全规范》，附
按照国家标准化管理委员会2017年第32号中国国家标准公告，全国信息安全标准化技术委员会组织制定和归口管理的 国家标准GB/T 35273-2017 《信息安全技术 个人信息安全规范》 2018年5月1日
本文重点提炼个人信息的保存、个人信息安处理以及组织的管理要求等方面内容，解读国家标准GB/T 35273-2017 《信息安全技术 个人信息安全规范》。
《信息安全技术 个人信息安全规范》第六点“个人信息的保存 ”，对个人信息控制者对 个人信息的保存
6.1 个人信息保存时间最小化
对个人信息控制者的要求包括：
a) 个人信息保存期限应为实现目的 所必需的最短时间
b) 超出上述个人信息保存期限后，应对个人信息 进行删除或匿名化处理
6.2 去标识化处理
收集个人信息后，个人信息控制者宜立即进行 去标识化处理，并采取技术和管理方面的措施
6.3 个人敏感信息的传输和存储
对个人信息控制者的要求包括：
a) 传输和存储个人敏感信息时，应采用 加密
b) 存储个人生物识别信息时，应 采用技术措施处理后再进行存储
6.4 个人信息控制者停止运营
当个人信息控制者停止运营其产品或服务时，应：
a) 及时 停止
b) 将停止运营的通知以逐一送达或公告的形式
通知
个人信息主体；c) 对其所持有的个人信息进行删除或匿名化处理。
《信息安全技术 个人信息安全规范》第九点“个人信息安全事件处置 ”，对个人信息控制者 处理个人信息安全事件的方式方法
9.1 安全事件应急处置和报告
对个人信息控制者的要求包括：
a) 应制定个人信息安全事件
应急预案
；b) 应定期（至少每年一次）组织内部相关人员进行
应急响应培训和应急演练
，使其掌握岗位职责和应急处置策略和规程；c) 发生个人信息安全事件后，个人信息控制者应根据应急响应预案进行以下处置：
1) 记录事件内容，包括但不限于：发现事件的人员、时间、地点，涉及的个人信息及人数，发生事件的系统名称，对其他互联系统的影响，是否已联系执法机关或有关部门
2) 评估事件可能造成的影响，并采取必要措施控制事态，消除隐患；
3) 按《国家网络安全事件应急预案》的有关规定及时上报，报告内容包括但不限于：涉及个人信息主体的类型、数量、内容、性质等总体情况，事件可能造成的影响，已采取或将要采取的处置措施，事件处置相关人员的联系方式；
4) 按照本标准9.2的要求实施安全事件的告知。
d) 根据相关法律法规变化情况，以及事件处置情况，及时更新应急预案。
9.2 安全事件告知
对个人信息控制者的要求包括：
a) 应及时将事件相关情况以邮件、信函、电话、推送通知等方式告知受影响的个人信息主体。难以逐一告知个人信息主体时，应采取合理、有效的方式发布与公众有关的警示信息；
b) 告知内容应包括但不限于：
1) 安全事件的内容和影响；
2) 已采取或将要采取的处置措施；
3) 个人信息主体自主防范和降低风险的建议；
4) 针对个人信息主体提供的补救措施；
5) 个人信息保护负责人和个人信息保护工作机构的联系方式。
《信息安全技术 个人信息安全规范》第十点“组织的管理要求 ”，对个人信息控制者 组织管理
10.1 明确责任部门与人员
对个人信息控制者的要求包括：
a) 应明确其法定代表人或主要负责人对个人信息安全 负全面领导责任
b) 应任命个人信息保护负责人和个人信息保护工作机构；
c) 满足以下条件之一的组织，应设立专职的个人信息保护负责人和个人信息保护工作机构，负责个人信息安全工作：
1) 主要业务 涉及个人信息处理
2) 处理超过50万人的个人信息
d) 个人信息保护负责人和个人信息保护工作机构应履行的职责包括但不限于：
1) 全面统筹实施组织内部的个人信息安全工作，对个人信息安全负直接责任；
2) 制定、签发、实施、定期更新隐私政策和相关规程；
3) 应建立、维护和更新组织所持有的个人信息清单（包括个人信息的类型、数量、来源、接收方等）和授权访问策略；
4) 开展个人信息安全影响评估；
5) 组织开展个人信息安全培训；
6) 在产品或服务上线发布前进行检测，避免未知的个人信息收集、使用、共享等处理行为；
7) 进行安全审计。
10.3 数据安全能力
个人信息控制者应根据有关国家标准的要求， 建立适当的数据安全能力，落实必要的管理和技术措施
10.5 安全审计
对个人信息控制者的要求包括：
a) 应对隐私政策和相关规程，以及安全措施的有效性进行审计；
b) 应 建立自动化审计系统
c) 审计过程形成的记录应能 对安全事件的处置、应急响应和事后调查提供支撑
d) 应
防止非授权访问、篡改或删除审计记录
； e) 应及时处理审计过程中发现的个人信息违规使用、滥用等情况。
昂楷数据库审计系
统采用数据库深度报文协议解析DPI及动态流检测DFI等技术，等
将数据库的各种访问操
作，解析还原为数据库级的操作语句，通过预置的安全规则匹配，即可智能分析和监控访问者的各种操作，进行实时威胁预警，并对事件进行统计分析记录，多重身份定位，有效支持电子取证。
支持对 主流数据库
HBase数据库
以及对
工控实时数据库
的审计，提供的无插件或轻量级插件的
云数据库
安全解决方案。
点击
"
阅读原文
"获取国家标准GB/T 35273-2017 《信息安全技术 个人信息安全规范》
目前13000+人已关注加入我们
- 深刻解读宇宙大爆炸，无限致密的奇点如何演变成今天的世界？
- 新春福利2：《Excel VBA解读 基础入门篇》电子书分享
- 节后可以关注这股，牛股解读----中兴通讯 资金流入
- 复试综合面试中考官与考生的微表情解读
- 【解读】省考行测主旨观点题，这样做才能又快又准
- 关于组织申报2018年中国标准创新贡献奖的通知
- CFTC持仓解读:欧元和原油看多意愿双双降温
- 来硕讲法|房屋拆迁补偿计算标准及公式解读，快进来了解一下吧!
- 【解读】黄金狂飙35美元 创近半年单日最大涨幅
- 不小心撞上中国年，这届情人节不太行