观点 | 统筹数字经济发展和数据安全 依法切实保护个人信息权益 安全新闻

观点 | 统筹数字经济发展和数据安全 依法切实保护个人信息权益

扫码订阅《中国信息安全》杂志权威刊物 重要平台 关键渠道邮发代号 2-786文 | 中国社会科学院法学研究所副研究员 周辉个人信息是重要的数字资产。加强个人信息保护,规范个人信息的获取及使用,不仅事关个人权益维护,也关系数字经济健康发展。“十四五”规划和2035年远景目标纲要对加快推进数据安全、个人信息保护等领域基础性立法提出明确要求。民法典对个人信息保护作出了规定。今年8月,个人信息保护法通过,于11月正式施行。这是一部专门规定个人信息保护基本原则和制度的法律,有力增强了个人信息保护的系统性、权威性和针对性,对于统筹个人信息保护和数据合理利用,统筹数字经济发展和数据安全,加快推进数字中国建设具有重要意义。更好保护个人信息权益。习近平总书记强调:“网信事业发展必须贯彻以人民为中心的发展思想,把增进人民福祉作为信息化发展的出发点和落脚点,让人民群众在信息化发展中有更多获得感、幸福感、安全感。”随着新技术、新业态、新应用不断涌现,以电子等方式记录的个人信息大量产生。人民群众普遍关心个人信息安全,关注个人隐私能否得到保护。个人信息保护法坚持以人民为中心,全面调整、规范各类主体的个人信息处理活动,明确了包括知情权、决定权、删除权等在内的个人信息权益,更加严格地规定了敏感个人信息的范围和处理规则。对于社会反映强烈的胁迫用户同意处理个人信息、“大数据杀熟”和非法买卖、提供或者公开他人个人信息等违法行为明确了法律责任。这些规定有利于进一步健全和完善保护个人信息权益的体制机制。促进数字经济健康发展。做大做强数字经济,需要不断发掘和释放各类信息资源的价值潜力、激活海量数据要素的生产潜能,这些离不开对个人信息的有效合理利用。个人信息保护法明确了个人信息的定义,不仅注重保护个人信息权益,预防和惩治侵害个人信息权益的行为,而且对个人信息的收集、存储、使用、加工、传输、提供、公开、删除等处理活动进行了全流程规范,明确要求处理个人信息应当在事先充分告知的前提下取得个人同意。考虑到个人信息处理场景的不同特点,还规定除取得个人同意之外其他可以合法处理个人信息的情形,如为订立、履行个人作为一方当事人的合同所必需等。这些制度的建立,为个人信息处理活动提供了明确指引,增强了市场对法律政策的明确预期,能够促进数据要素合理利用,有利于更好激发数字经济发展的活力。引导数据安全有序流动。习近平总书记指出:“网络信息是跨国界流动的,信息流引领技术流、资金流、人才流,信息资源日益成为重要生产要素和社会财富,信息掌握的多寡成为国家软实力和竞争力的重要标志。”随着数字经济跨境发展,一些个人信息在全球范围流动,这给数据安全和数字经济发展带来了新的机遇和挑战。在网络安全法、数据安全法已对数据依法流动作出部分规范的基础上,个人信息保护法对个人信息的跨境流动作出相应制度安排,明确了向境外提供个人信息应当具备的条件,规定个人信息处理者向境外提供个人信息时必须履行的告知、安全评估等义务,还要求个人信息处理者未经主管机关批准不得向外国司法或者执法机构提供存储于中国境内的个人信息。这为向境外提供个人信息的情况提供了明确的行为规则。个人信息保护法立足中国实际,借鉴国外有益经验,适应了人民群众对美好生活的需要。实施好个人信息保护法,必将进一步强化个人信息权益保障,增强我国数字经济竞争新优势,夯实建设数字中国和网络强国的法治基石。(来源:人民日报)扫码关注我们更多信息安全资讯请关注“中国信息安全” 原文始发于微信公众号(中国信息安全):观点 | 统筹数字经济发展和数据安全 依法切实保护个人信息权益
阅读全文
网络安全等级保护:网络产品和服务安全通用要求之总体目标 云安全

网络安全等级保护:网络产品和服务安全通用要求之总体目标

在网络产品与服务安全通用要求中,有四点要求:防范信息泄露风险;防范数据篡改风险;防范服务中断风险;防范不当控制风险。其中,前三项属于我们常规的CIA(保密性、完整性、可用性)三元素,此外,还需要注意防范不当控制风险对应可控性,这点在征求意见稿中有所体现。本身产品和服务是增强整个网络的安全水平的,但是如果在使用或运维过程中,不可控则其实是不当控制风险。对于,一个网络的安全风险,需要折中考虑引入的风险的水平。有关保密性、完整性、可用性要求,我们已经耳熟能详,而防范不当控制风险应该属于“网络产品和服务安全”特有的一点要求。我们看到,很多供应链攻击的案例以及运维事故,无不昭示着“防范不当控制风险”的重要性。试举一例来说明可控性的重要性:此案例,较为出名,是否十分恰当在此不必苛责。发生在河南郑大一附院的一起运维安全事件,2018年12月24日8时13分至9时47分期间,夏某某先后六次利用“数据库性能观测程序”连接“平台数据库”的“锁定平台挂号表”功能,将数据库执行锁表命令。该命令执行后锁定fin_opr_register表,使其不能进行其它活动,并导致“HIS数据库”锁定。造成郑大一附院郑东院区、惠济院区、医学院院区所有门诊、临床计算机业务受到恶意语句攻击,门急诊挂号、门急诊叫号、门急诊支付、门急诊药房、门急诊检查、门急诊检验等业务系统均无法正常操作,所有门诊相关业务停止服务,造成该医院三个院区门诊业务停滞近两个小时,造成大量患者积压在门诊无法就诊,严重影响医院的正常医疗工作。最终被告人夏某某犯破坏计算机信息系统罪,判处有期徒刑五年零六个月。虽然夏某某受到了应有的惩罚,不过对医院以及所在企业造成的损失却无可挽回,经济层面、商誉层面等。然而一个运维服务企业,需要对服务过程中的可控性做全面充分的管控,不然对于企业以及从业这个人,影响都将是深远而痛苦的。再者,也正说明防范不当控制风险是作为网络产品和服务应用于网络过程中不可不考虑的一个重要因素。这里,我们不对这些问题做太深入的解读,根据有关国家标准概括性探讨一下。网络产品和服务的安全直接影响到其支撑的网络的安全。网络产品和服务在研发、生产、交付、服务提供或运维过程中可能引入安全隐患,导致信息泄露、数据篡改、服务中断、不当控制等安全风险。为了减少网络产品和服务中的常见安全风险,提升用户对网络产品和服务在安全性方面的信心,网络产品和服务提供者应采取相应安全措施,实现以下安全目标:防范信息泄露风险:保障网络产品和服务中用户信息不被泄露,降低用户信息泄露的安全风险;防范数据篡改风险:保障网络产品和服务中用户信息不被非授权更改或伪造,降低数据被篡改的安全风险;防范服务中断风险:保障网络产品和服务的持续运行和供应,降低网络产品和服务供应中断的安全风险;防范不当控制风险:保障网络产品和服务运行过程中的风险可控,降低网络产品和服务提供者恶意控制用户的网络产品和服务、非授权获取用户信息,以及利用用户对网络产品和服务的依赖实施不正当竞争或损害用户利益的风险。参考文件:《信息安全技术 网络产品和服务安全通用要求》一个违规操作、损失 800 万、被判五年半:运维夏某某致「郑大一附院」智慧医院系统瘫痪 2 个小时,判破坏计算机信息系统罪做真实有价值的网络安全服务网络安全等级保护制度:法律与政策依据勒索软件常见问题知多少?个人信息保护:个人信息去标识化指南思维导图数据安全:数据安全能力成熟度模型网络安全等级保护:应急响应计划规范思维导图红队最喜欢的18 种优秀的网络安全渗透工具网络安全等级保护:什么是等级保护?网络安全等级保护:网络安全事件应急演练指南思维导图 本文始发于微信公众号(祺印说信安):网络安全等级保护:网络产品和服务安全通用要求之总体目标
阅读全文
走向黑暗:网络空间中的匿名技术 安全闲碎

走向黑暗:网络空间中的匿名技术

摘要    匿名技术是一种网络工具,可以保护人们免受在线监控,隐藏他们是谁,他们存储了什么信息,他们在看什么网站。无论是通过“TOR”及其洋葱路由、对发送的通信进行256位加密还是智能手机自动删除来匿名化在线活动,用户的身份和活动都不会受到情报部门的监视。加美国对情报人员来说是一个明显的挑战,因为它阻止他们获取信息,许多人认为这些信息在定位和防止威胁被发现方面起着至关重要的作用。此外,这种技术提供了比普通信息保护更多的保护,因为它建立了“防搜查空间”,即技术黑匣子,无论某些权威机构可能认为它是合法可搜索的,都受到保护,以至于只有非常有限或不存在的强迫自己进入的手段。然而,这里有人会争辩说,不仅使用这种匿名技术及其额外的一层保护人们的权利,而且它在伦理上是强制性的。也就是说,由于来自政府和企业的大规模监控,加上人们有限的意识和理解能力数据收集,匿名技术应该被构建到网络空间的结构中,为人们的信息提供最低限度的保护,并在这样做的时候迫使情报界开发更有针对性的数据收集形式。介绍    在一个互联网和网络空间几乎渗透了现代生活的方方面面的世界里,现实世界从未像现在这样与网络联系如此紧密。在发达的社会中,几乎生活的每一个方面都通过计算机系统被数字化和处理。然而,这场计算机革命是双重的双刃剑。也就是说,虽然人们现在能够以前所未见的轻松和便捷的方式进行互动,但这些互动中的所有数据都被不断记录和存储。这一点没有逃过情报界的注意,他们认为通过收集所有这些数据并检查其模式,他们不仅可以知道某人做了什么,还可以预测他们下一步可能会做什么。1不出所料,人们担心获取他们的信息,因此开始利用匿名技术来保护他们的身份。     问题在于,这项技术有可能打破人们对隐私的保护与国家在有理由保护政治社区时获取这些信息的能力之间的关系。这种紧张关系本身不一定是新的。一方面,情报人员有道德义务防止威胁伤害政治团体,在合理的情况下获得这些信息在这方面可以发挥重要作用。而另一方面,这些在线数据代表着对个人来说最私密的东西。随着人们越来越多地在网上进行社交和私人生活,他们的虚拟自我越来越成为真实自我的代名词,甚至只是一种粗略的描述。隐私安全和匿名技术    网络空间隐私的道德价值不能也不应该被忽视。虽然隐私作为一个概念被广泛讨论, 这并不一定意味着它特别有凝聚力,在理论和实践中都有“令人困惑的各种含义”。但是,无论人们是否认为隐私是保护的界限,还是控制与个人有关或由个人创造的信息的能力,很明显,它对个人和整个社会都具有根本的重要性。隐私的道德重要性的核心是有一些利益的争论 这是人类生存的基础,也是促进个人对美好生活理解的先决条件。乔尔·费恩伯格称这些要求为“福利利益”,约翰·罗尔斯称它们为“初级商品”,但本质上它们都是一回事,也就是说,无论个人对美好生活持有什么样的概念,要实现这些要求,必须首先满足这些先决条件。如果这些重要利益低于一个门槛水平,实现这些利益的能力更多的终极需求、目标或活动会受到极大的阻碍。这样,这些利益就是一个人拥有的最重要的利益,因而要求保护。这些重要的兴趣包括对身体和心理逻辑完整性、自由、自主、自我价值感和隐私的需求。这些重要的利益本身就是目的,对个人来说具有内在价值。正如范伯格所说,这些利益的价值在于,错误对待它们,即使有人可能没有直接体验到,也意味着个人仍然受到伤害。合理反应    考虑到人们收集个人信息的方式各不相同,保护人们隐私所需的技术可能会有很大不同。这应该包括,例如,阻止访问某人的日常浏览活动、存储的数据和他们的元数据,包括他们去过哪里以及他们与谁有通信,以及社交媒体和网络浏览器上的隐私协议的改变,从而默认设置为关闭位置。    然而,个人匿名化技术的权利并不会损害国家在合理的情况下试图规避此类壁垒的能力。没有人认为网络情报总是不合理的。事实上,当情报部门负责保护政界免受威胁时,他们就有理由开展自己的行动。国家在道德上有义务找到并防止政治团体中的人受到威胁,因此一些数据收集是合理的。然而,不清楚的是,鉴于匿名技术提供的额外保护,什么新形式的国家干预是合理的。拥有和禁止    第一个国家反应可能是禁止拥有或开发任何允许人们脱离电网的技术。这一立场已经在中国等政权中得到了认同,在这些政权中,试图绕过他们的金盾是非法的,但在英国等传统自由社会中,这一立场也获得了势头。在2017年恐怖袭击后,英国内政大臣安珀·陆克文(Amber Rudd)呼吁禁止端到端加密通信,英国表示有必要审查加密通信。有人可能会提出这样的论点, 例如,通过简单地拥有或使用暗网技术,就进入了一个众所周知的领域,被用来实施可能会给他人带来伤害并威胁政治社区的行动,因此情报人员有理由针对那些下载软件的人,因为通过它进行非法活动的倾向很高。事实上,情报机构在公开网络上收集数据时遇到的一个问题是,没有真正的理由怀疑每个人,他们无法区分谁是威胁,谁是无辜的;那些缺乏任何可能原因的人。因此,通过关注黑暗网络,这确实意味着智能正在缩小到社区的一个子集。大部分人口被排除在外。此外,黑暗网络社区中的那些人很有可能利用它进行犯罪或恐怖活动,因此对社会的许多其他成员构成了直接威胁。从为更广泛的毒品行业提供燃料的毒品和枪支的在线交易,到黑客给个人和公司带来的数百万美元的财务成本,再到提供包括强奸和暗杀在内的“订单暴力”的网站,这些成本都是巨大的,应该被阻止。    然而,与其关注一个有威胁的行为者的所作所为,实际上,它是根据个人所属的群体来针对个人的;也就是说,给那些使用黑暗网络的人贴上标签,因为他们在网络上接近其他危险元素,而不是其他任何东西。在这个阶段,除了在一个其他人都知道进行非法活动的舞台上,一个黑暗的网络用户没有做错任何事情。因此,通过接近,它更接近内疚。这是有问题的,因为它代表了一种新的剖析形式,即根据一个人在网络附近是谁来剖析他。这表明安全领域更倾向于先发制人的风险评估,因为安全或司法技术“不是基于个人的怀疑,而是基于个人可能是罪犯的可能性”。94这提高了个人作为犯罪前的一种形式而成为目标的可能性,在这种情况下,他们不一定实际上做错了什么,但表现出在不久的将来可能会做错的倾向。此外,这种类型的检查是有问题的,因为它依赖、促进和加强了使用特征分析作为定位威胁的手段。这种特征分析采用了罪犯的特征,并将其覆盖在整个群体上,以便识别和分类可疑人群。通过关注单一属性,这种类型的特征分析是有问题的,因为它将此作为定位预先威胁的基础,即使这些其他个人没有在原始罪犯身上看到的任何其他“威胁强化”属性。也就是说,它确定了一定数量的人没有分享所有组配置文件的属性。一个人可以被认定为该群体的成员,但不具有相同的身份属性,并且不共享所有属性。这种特征描述错误地将人识别为成员的概率更高。结论    匿名技术和黑暗网络对情报界来说是一个明显的挑战。他们提供的保护对他们来说很难克服和防止大规模监控。有人会说,这意味着这种技术的发展和使用对社会构成了明显的威胁,因为它限制了情报界定位和防止威胁对人们造成破坏性伤害的能力。然而,这里有人提出了相反的观点,认为这种技术不仅代表了人们保护其网络隐私的一种有用手段,而且正是这种来自政府和企业的大规模监控,加上人们有限的意识和理解能力,这种数据收集使得这种技术在伦理上是强制性的。匿名技术应该被构建到网络空间的结构中,为人们的信息提供一套最基本的保护,这样做迫使情报界开发更有针对性的数据收集形式。全部内容在知识星球本期编辑:TT如有侵权,请联系管理员删除通过“情报学院”知识星球可以阅读该资料的全都内容👇 本文始发于微信公众号(情报分析师):走向黑暗:网络空间中的匿名技术
阅读全文
专题 | 构建“以人为本”的个人信息保护法律制度 云安全

专题 | 构建“以人为本”的个人信息保护法律制度

扫码订阅《中国信息安全》杂志权威刊物 重要平台 关键渠道邮发代号 2-786文│ 浙江大学教授、博导,南京邮电大学数字经济战略与法治研究中心主任 王春晖《中华人民共和国国民经济和社会发展第十四个五年规划和 2035 年远景目标纲要》(以下简称:“十四五”规划纲要)提出:“加强涉及国家利益、商业秘密、个人隐私的数据保护,加快推进数据安全、个人信息保护等领域基础性立法,强化数据资源全生命周期安全保护。” 加快推进个人信息保护立法,必须恪守“以人民为中心”的理念,构建“以人为本”的个人信息保护法律制度,提升人民群众的获得感、幸福感、安全感。一、认识“个人信息”和“个人数据”网络时代,“数据”(Data)和“信息”(Information)是使用频率最高的两个词汇,经常被政府规范性文件甚至法律视为同一概念。目前,在各国的个人信息(数据)保护立法中,多数国家将“个人信息”表述为“个人数据”。如欧盟《个人数据保护指令》第 2 条(a)规定,个人数据指“与一个人身份已被识别或者身份可以识别的自然人(数据主体)相关的任何信息”;法国《数据处理、数据文件及个人自由法》第 2 条第 1 款规定,个人数据指“可以通过身份证号码、一项或多项个人特有因素被肢解或间接识别的自然人相关的任何信息”;德国《联邦数据保护法》第 3 节规定,个人数据指“任何关于一个已识别的或者可识别的个人(数据主体)的私人或者具体状态的信息”。我国《网络安全法》第七十六条对“网络数据”给出的定义是:“网络数据,是指通过网络收集、存储、传输、处理和产生的各种电子数据”。全国人大常委会公布的《数据安全法(草案)》第三条第一款对“数据”的定义是:“数据是指任何以电子或者非电子形式对信息的记录”;第三条第二款将“数据的收集、存储、加工、使用、提供、交易、公开等行为”定义为“数据活动”。关于“个人信息”的内涵,《网络安全法》主要突出“识别自然人个人身份的各种信息”,《民法典》则突出强调“识别特定自然人的各种信息”,但是上述两部法律对“个人信息”的判断和定义基本采用了两条识别路径:一是信息的单独识别性,其基本识别路径是鉴于信息本身的特殊性,识别出特定的自然人,如姓名、出生日期、身份证件号码、家庭住址等,从这些信息直接识别出特定的个人;二是信息的关联识别性,基本路径是已知特定的自然人,由该特定自然人在其活动中产生的信息,如生物识别信息、个人位置信息、个人通话记录、个人浏览记录等。可见,纯粹的“电子数据”是附着在电子信息系统载体的客观事物记录,是未经过处理的原始记录,一般不具有“可识别”性。数字时代的“个人信息”主要是以电子方式记录,能够单独或者与其他信息结合识别特定自然人的信息,而“数据”之前加“个人”,即“个人数据”也属于“个人可识别信息”(PII)。因此,无论是“个人信息”或“个人数据”,均具有已识别或可识别自然人(数据主体)相关信息的特征,两者应属于意义相同或相近的词语。二、强化对个人隐私和敏感信息的保护2018 年 4 月 20 日,习近平总书记在全国网络安全和信息化工作会议讲话中强调,要维护人民群众合法权益 , 依法严厉打击网络黑客、电信网络诈骗、侵犯公民个人隐私等违法犯罪行为。“十四五”规划纲要明确要求,要加强涉及个人隐私数据的保护。当前,从国际组织和国外一些立法经验看,包括《通用数据保护条例》(GDPR)、经合组织(OECD)“隐私框架”、亚太经合组织(APEC)“隐私框架”、欧美隐私盾(EU-US Privacy Shield)协议、美国《消费者隐私权法案》(Consumer Privacy Billof Rights)、《美国加利福尼亚消费者隐私法案》(California Consumer Privacy Act,CCPA)等个人隐私信息保护方面的立法,均强调未经被收集者同意,不得收集和向他人提供个人隐私信息,突出知情权、明示同意权、访问权、注销权、撤回权、封锁权、更正权、删除权等“个人信息权”,特别是 CCPA,规定了异常严格的个人信息使用规则,要求各个公司必须通知用户他们的私人数据将被如何使用,并且需要为用户提供“直接退出”的工具。我国《民法典》人格权编设专章对隐私权保护进行了详细规定,特别是首次对隐私权的概念和保护范围作出明确具体的规定。《民法典》第 1032 条规定:“自然人享有隐私权。任何组织或者个人不得以刺探、侵扰、泄露、公开等方式侵害他人的隐私权。隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。”关于个人信息中隐私信息的保护,《民法典》明确规定:“个人信息中的私密信息,适用有关隐私权的规定;没有规定的,适用有关个人信息保护的规定。” 这一规定不仅强化了对个人隐私信息的保护,也为正在制定中的《个人信息保护法》对自然人个人隐私信息的保护留出了立法空间。我国正在制定的《个人信息保护法(草案)》(以下称《草案》)没有对隐私信息做出专门规定,而是将个人信息分为敏感信息和非敏感信息,并设专节对处理敏感个人信息作出了严格的限制性规定,即只有在具有特定的目的和充分的必要性的情形下,方可处理敏感个人信息,并且应当取得个人的单独同意或者书面同意。《草案》对“敏感个人信息”的定义是:“一旦泄露或者非法使用,可能导致个人受到歧视或者人身、财产安全受到严重危害的个人信息 , 包括种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行踪等信息。”个人隐私信息与个人敏感信息既有联系也有区别,隐私信息主要是从自然人的人格权角度来判断,且主要是精神层面的人格权,涉及自然人享有的私人生活安宁与私密信息不被搜集、利用和公开;判断个人信息中的敏感信息主要是从损害结果的角度判断,即个人敏感信息一旦泄露或者非法使用,可能导致个人受到歧视或者人身、财产安全受到严重危害,比如宗教信仰信息、个人生物特征信息、医疗健康信息、金融账户信息、基因信息、个人行踪信息等。《个人信息保护法》作为保护个人信息的基础性立法,应坚持以人民为中心,对涉及公民隐私信息和公民不愿意他人知道的财产信息实施双重保护,尤其是从个人信息被非法处理可能产生的危害后果出发,对个人信息实行分级分类,进一步突出对个人隐私和敏感信息的保护力度,在确保公民隐私权和财产权不受非法侵害的基础上,促进个人信息资源在“合法、正当、必要”以及“知情同意”的法定原则框架内有限度地适当处理和利用。三、构建“以人为本”的个人信息处理规则目前,我国有关个人信息的处理规则,主要是适用“合法、正当、必要”,该处理规则最早以法律形式出现在 2013 年修订的《消费者权益保护法》第二十九条:“经营者收集、使用消费者个人信息,应当遵循合法、正当、必要的原则,明示收集、使用信息的目的、方式和范围,并经消费者同意。”2017 年 6 月 1 日起施行的《网络安全法》第 41 条采纳这一原则规定:“网络运营者收集、使用个人信息,应当遵循合法、正当、必要的原则,公开收集、使用规则,明示收集、使用信息的目的、方式和范围,并经被收集者同意。”《民法典》第 1035 条除规定“处理个人信息的,应当遵循合法、正当、必要原则”外,还强调“不得过度处理”,并附带了四个法定条件:一是征得该自然人或者其监护人同意,但是法律、行政法规另有规定的除外;二是公开处理信息的规则;三是明示处理信息的目的、方式和范围;四是不违反法律、行政法规的规定和双方的约定。《民法典》第 1035 条有关个人信息的处理规则与《网络安全法》和《消费者权益保护法》基本一致,明确“应当遵循合法、正当、必要原则”,但是《网络安全法》和《消费者权益保护法》在“个人信息”之前使用两个动词“收集、使用”,即“收集、使用个人信息”,而《民法典》第 1035 条在“个人信息”之前只使用了一个动词“处理”,即“处理个人信息”。实际上,在《民法典(草案)》第三次审议稿中,仍然采用“收集、处理自然人个人信息”的表述。“处理”是一个过程,本身包括“收集”,即收拢和聚合个人在电子信息系统载体上已经留下的个人信息(数据),同时涵盖“加工、传输、提供、公开”等内容。正式实施的《民法典》第 1035 条删去了“收集”,只保留“处理”,并对“个人信息的处理”的内涵进行了解释,即“个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。”《个人信息保护法(草案)》明确了个人信息处理应遵循的原则,并强调处理个人信息应当采用合法、正当的方式,具有明确、合理的目的,限于实现处理目的的最小范围,公开处理规则,保证信息准确,采取安全保护措施等,并将上述原则贯穿于个人信息处理的全过程、各环节,体现了“以人为本”的个人信息处理规则。《个人信息保护法(草案)》(二审稿)进一步明确了“以人为本”的个人信息处理规则,例如《草案》一审稿中第二十六条规定:“个人信息处理者不得公开其处理的个人信息,取得个人单独同意或者法律、行政法规另有规定的除外。”在二审稿中删除了“或者法律、行政法规另有规定”,只保留了“取得个人单独同意的除外”;一审稿中第二十七条规定:“在公共场所安装图像采集、个人身份识别设备,应当为维护公共安全所必需 , 遵守国家有关规定 , 并设置显著的提示标识。所收集的个人图像、个人身份特征信息只能用于维护公共安全的目的,不得公开或者向他人提供,取得个人单独同意或者法律、行政法规另有规定的除外。”在二审稿中删除了“法律、行政法规另有规定”的除外原则,也只保留了“取得个人单独同意的除外”。上述处理规则,遵循了“以人民为中心”的理念,体现了“以人为本”的个人信息保护规则。四、严禁超范围收集个人信息截至 2020 年 12 月,我国手机上网人数达到了9.86 亿人,国内市场监测到的移动互联网应用程序(App)数量高达 345 万款,App 几乎完全取代浏览器成为最大流量入口。当前,大量 App存在强制授权、过度索权、超范围收集个人信息的情形,尤其是违法违规使用个人信息的问题十分突出,已经毫无规则和底线,广大网民深恶痛绝。近几年,尽管相关部门不断查处各类违规 App,细化各项隐私政策和规范,起到了一定的震慑作用,但是 App 超范围收集和使用个人信息等行为依然严重。对于治理 App 过度收集个人信息的问题,人民群众呼吁应当依法明确“必要个人信息范围”,只要超过“必要个人信息范围”的收集和处理行为,必须坚决予以打击和惩处。针对 App 超范围收集个人信息的乱象,国家网信办、工信部、公安部、国家市场监督管理总局联合发布了《常见类型移动互联网应用程序必要个人信息范围规定》,对“必要个人信息”做出了定义,即“保障 App 基本功能服务正常运行所必需的个人信息,缺少该信息 App 即无法实现基本功能服务。具体是指消费侧用户个人信息,不包括服务供给侧用户个人信息。” 该定义有以下特征:首先,必要个人信息是指保障 App 业务功能正常运行所最少够用的个人信息;其次,所谓“必要个人信息”是指一旦缺少这些必要的信息将导致 App 服务无法实现或无法正常运行。中共中央《法治社会建设实施纲要(2020-2025年)》提出,严格规范收集使用用户身份、通信内容等个人信息行为,加大对非法获取、泄露、出售、提供公民个人信息的违法犯罪行为的惩处力度。建议应当将四部委确立的“必要个人信息”法律化,提高法律位阶,把这一制度纳入正在审议的《个人信息保护法(草案)》。五、构建企业数据合规体系和 DPO制度“十四五”规划纲要明确提出,推进产业数字化转型,推动数据赋能全产业链协同转型。在推进产业数字化转型进程中,将呈现出互联网企业传统化,而传统企业互联网化的新趋势。为保证企业对个人敏感数据和个人隐私数据处理和利用的合法合规,多数国家的数据保护法要求构建完善的数据合规体系,并确定专门的数据合规负责人。GDPR 对企业合规处理个人数据提出明确要求。GDPR 第 6 条专门规定了“个人数据处理的合法性”:一是数据主体同意其个人数据为一个或多个特定目的处理;二是处理应为履行数据主体参与合同的必要行为,或处理是因数据主体在签订合同前的邀约而采取的措施;三是处理个人数据是为履行数据控制者所服从的法律义务之必要;四是处理个人数据是为了保护数据主体或另一个自然人的切身利益之必要;五是处理个人数据是为了执行公共利益领域的任务或行使数据控制者既定的公务职权之必要;六是为了控制人或第三方所追求的合法利益,处理是必要的,除非这种利益与保护个人数据的数据主体利益或基本权利和自由相冲突,特别是在数据主体是儿童的情况下,但是该项规定不适用于政府当局在履行其职责时进行的数据处理行为。关于个人数据处理过程的安全性问题,GDPR 第32 条规定:考虑目前的工艺水平、实施成本、处理过程的性质、范围、目的,以及自然人自由和权利所面对的不同可能性和严重性风险,控制者、处理者应当执行适当的技术和组织措施来保证合理应对风险的安全级别,尤其要酌定考虑以下因素:一是个人数据的匿名化和加密;二是确保处理系统和服务现行的保密性、完整性、可用性以及可恢复性;三是在发生物理事故或技术事故的情况下,恢复可用性以及及时获取个人信息的能力;四是定期对技术措施以及组织措施的有效性进行测试、评估、评价处理,力求确保处理过程的安全性。我国《个人信息保护法(草案)》明确规定了个人信息处理者的合规管理和保障个人信息安全等义务,要求其按照规定制定内部管理制度和操作规程,采取相应的安全技术措施,并指定负责人对其个人信息处理活动进行监督;定期对其个人信息活动进行合规审计;对处理敏感个人信息、向境外提供个人信息等高风险处理活动,事前进行风险评估;履行个人信息泄露通知和补救义务等。《草案》(二审稿)第五十一条规定,个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人的影响、可能存在的安全风险等 , 采取必要措施确保个人信息处理活动符合法律、行政法规的规定 , 并防止未经授权的访问以及个人信息泄露或者被窃取、篡改、删除。对此,《草案》提出了六项具体要求:一是制定内部管理制度和操作规程;二是对个人信息实行分类管理;三是采取相应的加密、去标识化等安全技术措施;四是合理确定个人信息处理的操作权限 , 并定期对从业人员进行安全教育和培训;五是制定并组织实施个人信息安全事件应急预案;六是法律、行政法规规定的其他措施。数据保护官(Data Protection Officer,DPO)这一专职保护个人数据的负责人制度,是 GDPR...
阅读全文
个人信息保护法,今日起实施 安全新闻

个人信息保护法,今日起实施

扫码订阅《中国信息安全》杂志权威刊物 重要平台 关键渠道邮发代号 2-786《中华人民共和国个人信息保护法》于2021年11月1日起施行。法律明确不得过度收集个人信息、大数据杀熟,对人脸信息等敏感个人信息的处理作出规制,完善个人信息保护投诉、举报工作机制等,充分回应了社会关切,为破解个人信息保护中的热点难点问题提供了强有力的法律保障。个人信息保护法共8章74条,在有关法律的基础上,进一步细化、完善个人信息保护应遵循的原则和个人信息处理规则。中国电子信息产业发展研究院网络安全所所长刘权对记者表示,个人信息保护法为个人权益的保护构建了基本法律框架,也为相关个人信息处理者提供了具体的合规指引,标志着我国个人信息保护迈出了具有里程碑意义的一步,进一步完善了我国在数据领域的立法体系。针对App过度收集个人信息、公共场所安装摄像头和人脸识别设备等个人信息保护中的热点难点问题,个人信息保护法给出回应,包括处理个人信息应当具有明确、合理的目的,并应当与处理目的直接相关,采取对个人权益影响最小的方式;在公共场所安装图像采集、个人身份识别设备,应设置显著的提示标识;所收集的个人图像、身份识别信息只能用于维护公共安全的目的。针对越来越多的企业利用大数据分析、评估消费者个人特征用于商业营销的“大数据杀熟”问题,个人信息保护法给予明确禁止,规定个人信息处理者利用个人信息进行自动化决策,不得对个人在交易价格等交易条件上实行不合理的差别待遇。专家表示,个人信息保护法将促进信息数据依法合理有效利用,为数字经济健康发展提供法律保障。中南财经政法大学数字经济研究院执行院长盘和林表示,个人信息保护法明确了个人信息的权属权益,未来互联网平台利用个人信息需要从用户获取授权,也将在使用、存储过程中承担更多信息保护的责任。(来源:经济参考报)扫码关注我们更多信息安全资讯请关注“中国信息安全” 原文始发于微信公众号(中国信息安全):个人信息保护法,今日起实施
阅读全文
注意!《个人信息保护法》今日起正式实施 安全新闻

注意!《个人信息保护法》今日起正式实施

今日起,《中华人民共和国个人信息保护法》正式实施。作为我国第一部针对个人信息保护的专门法律,《个人信息保护法》将自然人姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等全面纳入保护范围,为信息处理者的合规工作提供了明确的方向性指导。随着《个人信息保护法》的正式实施,我国对于个人信息的保护将迈入新的时代。其实在之前相当长的一段时间内,“个人信息过度收集”、“大数据杀熟”、“用户个人信息泄漏”等一系列乱象层出不穷,对于大多数公民的日常生活造成了不良的影响,严重影响了公民对数字经济本身以及平台的信心。而数字经济是科技进步、经济发展的必然趋势,数据资源必然也需要从“幕后”走向“台前”。 《个人信息保护法》《数据安全法》等法律法规的出台都是在于如何促进数据要素的合理流通,如何让数字经济更好发展。合理利用和发掘数据的价值,是进一步发挥数字经济优势的关键。数字经济的优势在于从大数据中挖掘市场需求,从而引导产品和服务的生产规划,促进市场上供需平衡的形成,满足差异化的需求,动态解决供需失衡的时滞问题,显著提升市场效率,而这些目标实现的一个前提就是数据价值的发现。可以说,数据才是数字经济上层建筑的地基,数据挖掘和利用的深度以及与其他产业的关联程度,决定了数字经济优势发挥的程度。良好的信息保护,是数据共享的前提。《个人信息保护法》的实施从法律层面彰显了国家对于个人信息保护的重视。对个人信息的严格保护,也能够让公众重拾对数字平台的信心,不会因为过度担心自己的数据被不合理利用而牺牲数字平台的便利性,比如刻意拒绝所有数据获取申请等。这也能在客观上保证数据的正常流通,促进数字经济的健康发展。《个人信息保护法》的实施还能够对数据使用者的行为进行约束。从静态来说,《个人信息保护法》是在保护个人信息,但是从动态和实际看,它已经不再是单单的一个保护性法律,而将演变成平台监管的一个工具,实际上将促使平台更加合规,对平台的无序发展进行规制,从而保护数字经济整体的健康发展。信息保护与合理利用并不冲突,两者之间存在着互相促进的关系。信息保护是合理利用的前提条件,合理利用是信息保护的最终目的。只有做好信息保护,才能让数据所有者愿意授予其他主体对数据的使用权利,从而实现数据的合理利用,进一步促进数字经济的发展。关键点解析:《个人信息保护法》中提到撤回权的问题《个人信息保护法》第十五条规定,基于个人同意处理个人信息的,个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。第四十七条规定,有下列情形之一的,个人信息处理者应当主动删除个人信息;个人信息处理者未删除的,个人有权请求删除:(一)处理目的已实现、无法实现或者为实现处理目的不再必要;(二)个人信息处理者停止提供产品或者服务,或者保存期限已届满;(三)个人撤回同意;(四)个人信息处理者违反法律、行政法规或者违反约定处理个人信息;(五)法律、行政法规规定的其他情形。依据此规定,个人信息处理者应当主动删除个人信息,如果不主动删除的,公民有权请求删除。在个人要求删除的情况下,如果个人信息处理者拒不删除的,公民可以通过向政府主管部门投诉或提起民事诉讼的途径要求删除。比如,在一些商业机构办理业务,需要提供个人信息的,办理完毕后除国家规定需要留存备案信息之外,应根据公民的要求删除有关个人信息。这意味着我们即使授权个人信息后也可以要求撤回,信息处理者也不再无限制的留存以及使用我们的个人信息。日常生活中我们个人应该如何保护自己的个人信息?首先,公民要有自我保护意识,要认识到个人信息保护的重要性。电信诈骗案的频发,就与个人信息泄露有关。其次,在处理个人事务过程中,要注意个人信息的保护。比如,向有关机关或商业机构提供公民信息,要审查必要性,尽量不提供或少提供,坚持非必要不提供原则和对个人权益影响最小方式原则。再次,如果发生了侵害个人信息的事件,公民应及时投诉、报警或进行民事诉讼,用法律途径维护自己的合法权益。更多动态全球网络攻击事件频发,我们该如何自处?网络安全产业人才缺口究竟有多大?谁最“抢手”?四叶草安全荣获2021安永复旦最具潜力企业四叶草安全正式发布新品“凌洞”喜报!四叶草安全入选工信部建议支持的国家级专精特新“小巨人”企业四叶草安全完成B+轮2亿元融资,布局安全产业新方向 原文始发于微信公众号(四叶草安全):注意!《个人信息保护法》今日起正式实施
阅读全文
如何保护你的文件免受勒索软件攻击 安全闲碎

如何保护你的文件免受勒索软件攻击

勒索软件攻击对个人用户和企业都是一种日益严重的威胁,但还是有办法保护自己的。勒索软件现在的攻击趋势越来越严重,而且还没有被消灭的迹象。从摧毁整个燃油管道到劫持医院网络,这网络攻击现在的常态。这不仅会导致你无法访问最重要的文件和系统的潜在灾难性后果,你还必须决定是否愿意支付现金再次访问这些文件和系统(如果你在支付后还能访问)。这就是这个名字的来源——勒索软件攻击实际上是为了勒索你的数据。这个主题虽然有一些变化,但通常都很容易辨认。恶意软件是用来加密你的文件(在某些情况下甚至双重加密),所以他们需要一个特定的密钥来解锁。而且这种攻击可以迅速扩散到计算机和网络上。在某些情况下,你可能会被完全锁定在系统以及同一网络上的任何其他系统之外。勒索软件的开发和部署并不是特别困难,而且是有利可图的。虽然它刚开始只是一个家庭用户的问题,但现在已经蔓延到企业,最近几次比较著名的攻击都是针对政府机构和基础设施公司。无论你是谁,威胁都是真实存在的,那么你如何防范它呢?让勒索软件远离你的电脑实际上和阻止任何其他类型的恶意软件并没有太大的不同,而且适用的规则非常相似。如果攻击者没有对你的系统进行一些访问,勒索软件攻击就不会发生,这通常是通过一个流氓应用程序实现的。如果你不确定它们的来源,就不要从网络或电子邮件中下载或打开任何文件。黑客们现在使用各种各样的社交工程技术,比如欺骗一封看起来像是老板发来的紧急邮件,该邮件试图让你安装不该安装的东西,或者下载你认为是附件但并非附件的文件。在打开和运行你的电脑上的任何东西之前,请三思而后行,尤其是当它在没有警告的情况下到达时。勒索软件并不总是需要骗你安装一些东西,它有时可以利用合法软件的安全漏洞自行传播,这些安全漏洞没有得到适当的更新或修补。这就是为什么你通常应该在你的计算机上安装尽可能少的软件程序,并坚持让值得信任的开发人员保持他们的应用程序的安全,并及时提供必要的安全更新的原因之一。除了要注意对计算机的操作和授予访问权限的程序之外,应用系统安全的三个标准规则是:更新、保护和备份。所有的恶意软件,包括勒索软件,经常利用旧的或未打补丁的软件,这就是为什么在你的电脑上运行的所有东西(包括Windows和macOS用户)都至少是最新的安全更新是至关重要的。那些烦人的操作系统更新令人讨厌是有原因的,安装它们真的很重要。好消息是,软件更新对安全性至关重要,大多数程序都会在后台自动处理这些更新。例如,谷歌浏览器会自行下载更新,当需要升级时,你会在工具栏中看到一个彩色编码的图标。随着升级的紧迫性,它变得更接近红色。在保护方面,你还需要在你的电脑上安装一些高质量的安全软件,就算没有勒索软件也都应该这样做。Windows和macOS内置的工具本身是否足够好还有待商榷,但它们在防范包括勒索软件在内的恶意软件威胁方面确实有很长的路要走。公平地说,在上面添加第三方软件可以更好地保护你:来自 McAfee、Norton、Bitdefender、Avira 等公司的领先软件包将密切关注你系统上发生的一切,因此你是否认为额外的保护值得额外的成本(以及你必须经历的额外软件配置)取决于你。虽然勒索软件的目标通常是系统及其上的文件,但只要有正确的用户名和密码,恶意者也可以获取你在云端的文件,对这些文件进行加密,并获取赎金。理想情况下通过一个密码管理器,确保你对所有帐户使用不同的强密码,并且你已在任何地方启用双因素身份验证,这意味着其他东西(例如发送到你的帐户或由你的帐户生成的代码)除了用户名和密码外,还需要登录你的帐户。保护自己免受勒索软件侵害的第三个步骤是,确保定期备份你的电脑和其他设备。比如一个外置硬盘,一个云同步服务——只要你的文件拷贝不受勒索软件攻击,就都可以。最后一个警告很重要,如果你的备份在锁定你文件的恶意软件程序的轻松访问范围内,那么你将面临加密备份和加密文件。确保你的备份中至少有一个只是偶尔连接到你的主系统,或者你选择的任何备份解决方案都有修订历史,这样你就可以回到攻击发生之前。当谈到云备份解决方案时,许多现在提供文件版本控制功能(例如 Dropbox Rewind),它们将你的文件回滚到以前的时间点,这在勒索软件攻击的情况下非常有用,因为这意味着你可以恢复到数据加密之前的状态。与任何安全威胁一样,不可能百分之百地防范勒索软件,但本文列出的步骤应该有助于将风险降至最低。参考及来源:https://www.wired.com/story/how-to-protect-files-ransomware-tips/ 本文始发于微信公众号(嘶吼专业版):如何保护你的文件免受勒索软件攻击
阅读全文
美国防部发布更新版《保护技术和项目以维持技术优势》指令 安全新闻

美国防部发布更新版《保护技术和项目以维持技术优势》指令

科技战略美国防部发布更新版《保护技术和项目以维持技术优势》指令据美国防部研究与工程副部长办公室官网5月21日消息,OUSD(R&E)发布更新版5000.83指令《保护技术和项目以维持技术优势》。该指令旨在为国防部科技官员、系统工程师明确职责并制定政策,以帮助其管理来自情报搜集渠道、软硬件及网络空间漏洞、供应链、逆向工程等方面的系统安全和网络风险问题。该指令列举了保护并促进未来作战能力和技术创新的主要措施,包括保护受控技术信息;监督由国防部资助的合资企业和学术合作等;设计增强网络安全和韧性的系统;防范网络攻击;保护系统免受环境威胁;通过技术保护计划(TAPPs)、科技保护计划(S&TPP)和项目保护计划(PPPs)加强对关键程序和技术的保护等。兰德公司发布《美国的5G时代:在保卫国家和人民的同时获得竞争优势》报告据兰德公司5月24日消息,兰德公司发布《美国的5G时代:在保卫国家和人民的同时获得竞争优势》报告。报告指出,无线通信领域的领导地位是国家在信息时代取胜的关键,美国必须加快5G的开发和部署,并要意识到美国过去在技术和市场上的领导地位不能保证持久优势。报告介绍了5G及5G生态系统的内涵;讨论了围绕5G技术展开的经济竞争、技术竞争、安全竞争以及大数据和隐私间的竞争;评估5G生态系统中的潜在机遇和风险。报告强调,美国提供应用程序的企业表现良好,美国政府应监督市场并防止不当竞争;美国企业在蜂窝设备和网络开发方面处于领先地位,但在光刻机等移动芯片制造方面面临供应不足和政府研发投资不足的威胁;3GPP(多家电信标准组织组成的“第三代伙伴计划”)正在设置5G组件和设备标准,美国应与盟友联合禁止中国设备,并支持参与3GPP的美国企业和无线接入网(RAN)设备制造商;5G增加了政府和企业获取个人数据的数量和类型,政府应完善隐私政策,平衡利益和隐私关系。信息美国雷神公司与格芯公司签订半导体研发协议,推动5G与6G技术研发据国防科技信息网5月24日消息,美国雷神公司与格芯公司将合作研发新型硅基氮化镓半导体,并致力于将其商业化,以推动5G、6G和Wi-Fi等无线通信技术中的射频技术性能发展。氮化镓半导体具备耐高热量和高功率水平的性能,是适用于高性能无线通信的理想材料。雷神公司表示,该公司将把其专有的硅基氮化镓技术授权给格芯公司,后者则将在其位于美国佛蒙特州伯灵顿的九号工厂研发新的半导体。氮化镓是用于制造高性能半导体的材料。新计划将结合格芯公司的制造经验及其在射频、测试与封装方面的差异化服务,在维持现有的生产与运营成本的同时提高射频设备性能。俄罗斯就“未处理违禁内容”对谷歌公司处以罚款据Engadget网5月25日消息,俄罗斯联邦通信、信息技术和大众传媒监督局(Roskomnadzor)对谷歌公司处以600万卢布(约合8.2万美元)的罚款,理由是该公司未能遵守莫斯科关于删除违禁在线内容的要求。此前,Roskomnadzor曾对谷歌公司发出警告,要求谷歌删除2.6万个违反俄罗斯法律的在线内容,否则将降低该公司的服务带宽,并对其处以罚款,数额最高可达公司年营业额的10%。业界人士认为,Roskomnadzo的最新处罚更像是警告,而不是最终的判决。美联储称必须赢得CBDC竞赛,维持美元全球储备货币地位据TechWeb网5月25日消息,美联储理事莱尔·布雷纳德(Lael Brainard)称,美国必须站在发展央行数字货币(CBDC)的前沿,以强化美元作为全球储备货币的作用。布雷纳德断言,CBDC的主要项目可能会对全球金融体系产生重大影响,并敦促美国在迅速发展的数字货币生态系统中发挥主导作用。美联储的一份声明指出,该机构正在加强对CBDC四个关键领域的“关注”——数字私人货币的作用日益增强、数字支付、使用外国CBDC进行跨境支付的计划,以及金融排斥。此外,美联储还将广泛收集公众意见,并就CBDC的好处和风险发表论文。印度政府或将禁用Facebook、Twitter等社交平台据cnBeta网5月25日消息,印度政府颁布的一项数字平台监管规定生效在即,或导致Facebook、Twitter等社交平台在印度的禁用。2021年早些时候,印度政府宣布了新的监管指南以管理各种数字平台,要求平台对在线内容负责,并限定了3个月的整改期限(至当地时间5月25日)。而截至整改期结束,Facebook、Twitter等美国社交媒体平台并未做出合规整改举动,仅有印度本地社交平台Koo符合相关规定。根据相关规定,印度政府有权在社交媒体公司未能遵守规则的情况下禁用其相关服务。而相关社交平台此前曾表示希望印度能推迟监管规则的生效日期。生物中芬科学家合作构建出人工信号和生物信号交互的载药平台,可提高肿瘤靶向据小柯生命公众号5月25日消息,芬兰赫尔辛基大学、埃博学术大学和上海交大瑞金医院的研究团队合作,构建出人工信号和生物信号交互的载药平台,以提高肿瘤靶向。研究人员将自我肽(Self peptide)和靶向肽(YIGSR peptide)通过化学修饰整合为一条能化学拆分的嵌合体多肽,并在硅基纳米颗粒上构建出一个多层级信号表面,以此实现纳米颗粒对人工信号和生物信号的多级信号交互,达到增强颗粒稳态及可操控性、提高肿瘤治疗效力的目的。该研究强调了纳米颗粒作为信号载体的重要属性,提供了一种通过纳米颗粒进行多元生物信号整合与调控的策略,为后续纳米药剂的临床过渡提供新思路。相关研究成果发表于《细胞》期刊。联合国裁军研究所发布《生命科学领域的科技进步对生物安全和军备控制的影响》报告据世界科技研究与发展公众号5月26日消息,联合国裁军研究所(UNIDIR)发布《生命科学领域的科技进步对生物安全和军备控制的影响》报告。该报告展望了未来十年的生命科学发展图景,概述了促进生命科学领域进步的三大技术趋势:不断增长的DNA读取、写入和编辑能力;在纳米尺度上操纵生命机理的工具的研发;以及日渐重要的大数据、机器学习和人工智能,并研究了上述三大技术趋势对免疫学、神经科学、人类遗传学与生殖科学、农业(动植物)和传染病5个生命科学领域带来的有益影响与潜在风险。能源俄外交部称,美超出《新削减战略武器条约》规定的武器数量据核讯天下5月25日消息,俄罗斯外交部于5月24日发布了美俄两国在《新削减战略武器条约》框架内拥有战略进攻性武器总数的数据。在“洲际弹道导弹和潜艇弹道导弹的已部署和未部署发射器,以及已部署和未部署的重型轰炸机”类别中,美国有800件。俄外交部称,由于美国进行了重新装备,因此俄罗斯无法确认这些战略进攻性武器是否已被转为不适用于核武器类别。同时,美国将四个发射井重命名为《新削减战略武器条约》没有规定的“训练发射井”类别,并未将其计算在内。因此,根据条约第二章第一条c款允许的标准,俄罗斯认定美国超出101件武器。欧盟和日本合作资助可再生替代燃料研究据欧日合作资助可再生替代燃料研究5月25日消息,欧盟近日宣布与日本合作资助3个研究项目,以开发先进生物燃料和替代可再生燃料。这3个项目分别是:LAURELIN项目,将重点开发颠覆性的多功能催化剂系统,以及优化和改进CO2加氢工艺;4AirCRAFT项目,将开发用于航空燃料的空气碳回收利用技术,通过这一创新技术合成航空燃料,以替代传统化石燃料达到脱碳目标;ORACLE项目,将开发可扩大规模的新型反应途径和催化剂,利用氮气和水分散式生产氨作为可再生替代燃料。欧洲气候、基础设施和环境执行署将通过欧洲“地平线2020”框架计划为项目提供950万欧元,日本科学技术振兴机构将通过战略国际合作研究计划提供约120万欧元。海洋美国航空航天局联合调查海洋碳循环据中国海洋发展研究中心5月25日消息,5月初,美国航空航天局开展了名为“利用遥感监测海洋输出过程”的北大西洋联合调查。此次调查吸引了来自政府部门、大学和非政府机构的150名科学家,共包括3艘调查船:英国南安普顿国家海洋学中心的“詹姆斯·库克”号和“发现”号,以及美国伍兹霍尔海洋研究所租赁的西班牙调查船,共计52个高科技平台将用于测量并持续收集数据。据悉,此次调查的重点是海洋在全球碳循环中的作用。这是自二十世纪八九十年代的全球海洋通量联合研究以来,对海洋生物碳泵的首次全面研究。航空美国通用原子公司研发新型“空射效应”无人机据航空简报5月26日消息,美国通用原子航空系统公司正在开发一种新的“空射效应”无人机。该无人机能从其他飞机或无人机上发射。根据该公司发布的数字渲染图显示,该无人机具有V型尾翼,并由螺旋桨提供动力。该公司表示,这种小型无人机系统能够协助MQ-9或MQ-1C无人机渗透、瓦解和对抗反介入/区域拒止防空区域,使大型飞机远离战术地对空导弹的打击范围,增强大型飞机的生存能力。航天美国防部官员称天基能力对美国的国家安全至关重要据综保防务进行时5月25日消息,美国防部负责太空政策的国防部长助理约翰·希尔称,在当前美国面临俄罗斯挑战和与中国战略竞争的环境下,天基能力对美国国家安全至关重要。希尔认为,中国和俄罗斯的反太空能力日渐强大,给美国和盟友的太空活动带来了风险。为应对未来可能发生的太空冲突,美国应重点关注四方面能力:一是全面加强太空军事优势;二是将太空行动加入到国家联合及协同作战行动中;三是打造战略环境来提升太空稳定性,并降低出现误解的几率;四是加强与国际伙伴、商业实体及机构伙伴的合作关系。英国为一网等公司拨款3200万英镑,以研究跳波束卫星据装备参考5月26日消息,英国航天局通过欧空局“日出”(Sunrise)计划为一网、SatixFy等公司提供3200万英镑资金支持,以研究跳波束卫星。据悉,一网公司将在2022年发射一颗具备跳波束技术的“幼崽星”卫星,以验证卫星如何根据需求的变化实时切换覆盖区域。SatixFy将负责建造“幼崽星”卫星的跳波束有效载荷和用户终端,并可开发远程控制卫星波束指向的技术,以在商业需求突然增加或出现自然灾害等突发情况时增加高用量区域的通信容量。美太空军计划建立可跟踪高轨道目标的新雷达站据天地一体化信息网络5月26日消息,美国太空军将于2021年6月向业界发布深空雷达传感器招标书,将选择一家或多家合同商来开发深空先进雷达概念(DARC)的原型,用于跟踪22000英里(约合35405千米)以上活跃的高轨道卫星和碎片。DARC项目由美空军于2017年启动,旨在跟踪地球同步轨道卫星。据悉,新型深空雷达传感器将比现役雷达和光学传感器具有更高的雷达功率,能全天时全天候探测地球同步轨道。新材料美国研究人员开发出3D打印多孔碳气凝胶,可用作超低温超级电容器中的电极据新材料快讯5月26日消息,美国加州大学研究人员开发出3D打印多孔碳气凝胶,可用作超低温超级电容器中的电极。研究人员使用纤维素纳米晶体基墨水3D打印了该多孔碳气凝胶,然后将其冷冻干燥并进行表面处理,得到了多尺度多孔材料。这种多孔材料可应用于-70℃的电极,并保留了足够的离子扩散和电荷转移,获得了比传统低温超级电容器更高的储能电容。低温储能设备可用于NASA任务和其他应用,以减少未来太空和极地飞行任务的供热需求。日本开发出一种由石墨烯量子点和二氧化硅制成的新型复合材料据新材料快讯5月26日消息,日本材料开发商绿色科学联盟开发出一种由石墨烯量子点(QD)和二氧化硅制成的新型复合材料,可用于从蓝光LED(440~470nm)中制造白光LED。这是此类材料首次用于LED领域。由于QD不受光散射的影响,采用QD和二氧化硅可提供比当前使用的荧光粉更优越的性能,并且白光LED效率更高,这种材料的价格也更经济。该公司表示,新的白光LED将比目前市场上的白光LED更便宜。先进制造美国研究报告称2026年机器人传感器市场将突破40亿美元据智能制造网5月24日消息,美国市场研究机构Global market Insights一项研究称,到2026年,全球机器人传感器市场的价值将超过40亿美元。该机构表示,机器人和自动化已经成为现代制造业不可或缺的一部分,绝大多数制造商都在生产设施中集成机器人系统,以提高产能、提高利润率并降低运营成本。这些趋势产生了对机器人组件的大量需求,包括3D视觉、力扭矩和触觉传感器等机器人传感器。该机构预计,人工智能和物联网的集成将显著扩大机器人传感器的应用范围(尤其是在生产活动中)。-END-由国际技术经济研究所整编转载请注明研究所简介国际技术经济研究所(IITE)成立于1985年11月,是隶属于国务院发展研究中心的非营利性研究机构,主要职能是研究我国经济、科技社会发展中的重大政策性、战略性、前瞻性问题,跟踪和分析世界科技、经济发展态势,为中央和有关部委提供决策咨询服务。“全球技术地图”为国际技术经济研究所官方微信账号,致力于向公众传递前沿技术资讯和科技创新洞见。地址:北京市海淀区小南庄20号楼A座电话:010-82635522微信:iite_er 本文始发于微信公众号(全球技术地图):美国防部发布更新版《保护技术和项目以维持技术优势》指令
阅读全文
等保1.0和2.0相关标准及内容变化 云安全

等保1.0和2.0相关标准及内容变化

请点击上面  一键关注!内容来源:公安部网络安全等级保护中心等级保护1.0标准体系2007年,《信息安全等级保护管理办法》(公通字43号)文件的正式发布,标志着等级保护1.0的正式启动。等级保护1.0规定了等级保护需要完成的“规定动作”,即定级备案、建设整改、等级测评和监督检查,为了指导用户完成等级保护的“规定动作”,在2008年至2012年期间陆续发布了等级保护的一些主要标准,构成等级保护1.0的标准体系。等级保护1.0时期的主要标准如下:·信息安全等级保护管理办法(43号文件)(上位文件)·计算机信息系统安全保护等级划分准则 GB17859-1999(上位标准)·信息系统安全等级保护实施指南 GB/T25058-2008·信息系统安全保护等级定级指南 GB/T22240-2008·信息系统安全等级保护基本要求 GB/T22239-2008·信息系统等级保护安全设计要求 GB/T25070-2010·信息系统安全等级保护测评要求 GB/T28448-2012·信息系统安全等级保护测评过程指南 GB/T28449-2012 等级保护2.0标准体系    2017年,《中华人民共和国网络安全法》的正式实施,标志着等级保护2.0的正式启动。网络安全法明确“国家实行网络安全等级保护制度。”(第21条)、“国家对一旦遭到破坏、丧失功能或者数据泄露,可能严重危害国家安全、国计民生、公共利益的关键信息基础设施,在网络安全等级保护制度的基础上,实行重点保护。”(第31条)。上述要求为网络安全等级保护赋予了新的含义,重新调整和修订等级保护1.0标准体系,配合网络安全法的实施和落地,指导用户按照网络安全等级保护制度的新要求,履行网络安全保护义务的意义重大。    随着信息技术的发展,等级保护对象已经从狭义的信息系统,扩展到网络基础设施、云计算平台/系统、大数据平台/系统、物联网、工业控制系统、采用移动互联技术的系统等,基于新技术和新手段提出新的分等级的技术防护机制和完善的管理手段是等级保护2.0标准必须考虑的内容。关键信息基础设施在网络安全等级保护制度的基础上,实行重点保护,基于等级保护提出的分等级的防护机制和管理手段提出关键信息基础设施的加强保护措施,确保等级保护标准和关键信息基础设施保护标准的顺利衔接也是等级保护2.0标准体系需要考虑的内容。等级保护2.0标准体系主要标准如下:· 网络安全等级保护条例(总要求/上位文件)· 计算机信息系统安全保护等级划分准则(GB 17859-1999)(上位标准)· 网络安全等级保护实施指南(GB/T25058-2020)· 网络安全等级保护定级指南(GB/T22240-2020)· 网络安全等级保护基本要求(GB/T22239-2019)· 网络安全等级保护设计技术要求(GB/T25070-2019)·  网络安全等级保护测评要求(GB/T28448-2019)· 网络安全等级保护测评过程指南(GB/T28449-2018)关键信息基础设施标准体系框架如下:·关键信息基础设施保护条例(总要求/上位文件)·关键信息基础设施安全保护要求·关键信息基础设施安全控制要求·关键信息基础设施安全控制评估方法 等保2.0主要标准的特点和变化标准的主要特点   网络安全等级保护制度是国家的基本国策、基本制度和基本方法。作为支撑网络安全等级保护2.0的新标准《GB/T 22240-2020》、《GB/T 22239-2019》、《GB/T 25070-2019》和《GB/T28448-2019》等具有如下几个特点:01、等级保护2.0新标准将对象范围由原来的信息系统改为等级保护对象(信息系统、通信网络设施和数据资源等)。等级保护对象包括网络基础设施(广电网、电信网、专用通信网络等)、云计算平台/系统、大数据平台/系统、物联网、工业控制 系统、采用移动互联技术的系统等。02、等级保护2.0新标准在1.0标准的基础上进行了优化,同时针对云计算、移动互联、物联网、工业控制系统及大数据等新技术和新应用领域提出新要求,形成了安全通用要求+新应用安全扩展要求构成的标准要求内容。03、等级保护2.0新标准统一了《GB/T 22239-2019》、《GB/T 25070-2019》和《GB/T28448-2019》三个标准的架构,采用了“一个中心,三重防护”的防护理念和分类结构,强化了建立纵深防御和精细防御体系的思想。04、等级保护2.0新标准强化了密码技术和可信计算技术的使用,把可信验证列入各个级别并逐级提出各个环节的主要可信验证要求,强调通过密码技术、可信验证、安全审计和态势感知等建立主动防御体系的期望。标准的主要变化《GB/T 22239-2019》、《GB/T 25070-2019》和《GB/T28448-2019》三个核心标准比较于旧标准,无论是在总体结构方面还是在细节内容方面均发生了变化。总体结构方面的主要变化为:01、为适应网络安全法,配合落实网络安全等级保护制度,标准的名称由原来的《信息系统安全等级保护基本要求》改为《网络安全等级保护基本要求》。等级保护对象由原来的信息系统调整为基础信息网络、信息系统(含采用移动互联技术的系统)、云计算平台/系统、大数据应用/平台/资源、物联网和工业控制系统等。02、将原来各个级别的安全要求分为安全通用要求和安全扩展要求,其中安全扩展要求包括安全扩展要求云计算安全扩展要求、移动互联安全扩展要求、物联网安全扩展要求以及工业控制系统安全扩展要求。安全通用要求是不管等级保护对象形态如何必须满足的要求。03、原来基本要求中各级技术要求的“物理安全”、“网络安全”、“主机安全”、“应用安全”和“数据安全和备份与恢复”修订为“安全物理环境”、“安全通信网络”、“安全区域边界”、“安全计算环境”和“安全管理中心”;各级管理要求的“安全管理制度”、“安全管理机构”、“人员安全管理”、“系统建设管理”和“系统运维管理”修订为“安全管理制度”、“安全管理机构”、“安全管理人员”、“安全建设管理”和“安全运维管理”。04、取消了原来安全控制点的S、A、G标注,增加一个附录A“关于安全通用要求和安全扩展要求的选择和使用”,描述等级保护对象的定级结果和安全要求之间的关系,说明如何根据定级的S、A结果选择安全要求的相关条款,简化了标准正文部分的内容。增加附录C描述等级保护安全框架和关键技术、增加附录D描述云计算应用场景、附录E描述移动互联应用场景、附录F描述物联网应用场景、附录G描述工业控制系统应用场景、附录H描述大数据应用场景。主要标准的框架和内容标准的框架结构《GB/T 22239-2019》、《GB/T 25070-2019》和《GB/T28448-2019》三个标准采取了统一的框架结构。安全通用要求细分为技术要求和管理要求。其中技术要求包括“安全物理环境”、“安全通信网络”、“安全区域边界”、“安全计算环境”和“安全管理中心”;管理要求包括“安全管理制度”、“安全管理机构”、“安全管理人员”、“安全建设管理”和“安全运维管理”。安全通用要求安全通用要求针对共性化保护需求提出,无论等级保护对象以何种形式出现,需要根据安全保护等级实现相应级别的安全通用要求。安全扩展要求针对个性化保护需求提出,等级保护对象需要根据安全保护等级、使用的特定技术或特定的应用场景实现安全扩展要求。等级保护对象的安全保护需要同时落实安全通用要求和安全扩展要求提出的措施。1安全物理环境针对物理机房提出的安全控制要求。主要对象为物理环境、物理设备和物理设施等;涉及的安全控制点包括物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应和电磁防护。2安全通信网络针对通信网络提出的安全控制要求。主要对象为广域网、城域网和局域网等;涉及的安全控制点包括网络架构、通信传输和可信验证。3安全区域边界针对网络边界提出的安全控制要求。主要对象为系统边界和区域边界等;涉及的安全控制点包括边界防护、访问控制、入侵防范、恶意代码防范、安全审计和可信验证。4安全计算环境针对边界内部提出的安全控制要求。主要对象为边界内部的所有对象,包括网络设备、安全设备、服务器设备、终端设备、应用系统、数据对象和其他设备等;涉及的安全控制点包括身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份与恢复、剩余信息保护和个人信息保护。5安全管理中心针对整个系统提出的安全管理方面的技术控制要求,通过技术手段实现集中管理;涉及的安全控制点包括系统管理、审计管理、安全管理和集中管控。6安全管理制度针对整个管理制度体系提出的安全控制要求,涉及的安全控制点包括安全策略、管理制度、制定和发布以及评审和修订。7安全管理机构针对整个管理组织架构提出的安全控制要求,涉及的安全控制点包括岗位设置、人员配备、授权和审批、沟通和合作以及审核和检查。8安全管理人员针对人员管理提出的安全控制要求,涉及的安全控制点包括人员录用、人员离岗、安全意识教育和培训以及外部人员访问管理。9安全建设管理针对安全建设过程提出的安全控制要求,涉及的安全控制点包括定级和备案、安全方案设计、安全产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、等级测评和服务供应商管理。10安全运维管理针对安全运维过程提出的安全控制要求,涉及的安全控制点包括环境管理、资产管理、介质管理、设备维护管理、漏洞和风险管理、网络和系统安全管理、恶意代码防范管理、配置管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理和外包运维管理。安全扩展要求安全扩展要求是采用特定技术或特定应用场景下的等级保护对象需要增加实现的安全要求。《GB/T 22239-2019》提出的安全扩展要求包括云计算安全扩展要求、移动互联安全扩展要求、物联网安全扩展要求和工业控制系统安全扩展要求。1.云计算安全扩展要求是针对云计算平台提出的安全通用要求之外额外需要实现的安全要求。主要内容包括“基础设施的位置”、“虚拟化安全保护”、“镜像和快照保护”、“云计算环境管理”和“云服务商选择”等。2.移动互联安全扩展要求是针对移动终端、移动应用和无线网络提出的安全要求,与安全通用要求一起构成针对采用移动互联技术的等级保护对象的完整安全要求。主要内容包括“无线接入点的物理位置”、“移动终端管控”、“移动应用管控”、“移动应用软件采购”和“移动应用软件开发”等。3.物联网安全扩展要求是针对感知层提出的特殊安全要求,与安全通用要求一起构成针对物联网的完整安全要求。主要内容包括“感知节点的物理防护”、“感知节点设备安全”、“网关节点设备安全”、“感知节点的管理”和“数据融合处理”等。4.工业控制系统安全扩展要求主要是针对现场控制层和现场设备层提出的特殊安全要求,它们与安全通用要求一起构成针对工业控制系统的完整安全要求。主要内容包括“室外控制设备防护”、“工业控制系统网络架构安全”、“拨号使用控制”、“无线使用控制”和“控制设备安全”等。「天億网络安全」 知识星球 一个网络安全学习的星球!星球主要分享、整理、原创编辑等网络安全相关学习资料,一个真实有料的网络安全学习平台,大家共同学习、共同进步!知识星球定价:199元/年,(服务时间为一年,自加入日期顺延一年)。如何加入:扫描下方二维码,扫码付费即可加入。加入知识星球的同学,请加我微信,拉您进VIP交流群!朋友都在看▶️等保2.0丨2021 必须了解的40个问题▶️等保2.0 三级 拓扑图+设备套餐+详解▶️等保2.0 二级 拓扑图+设备套餐+详解▶️等保2.0 测评  二级系统和三级系统多长时间测评一次?▶️等保2.0系列安全计算环境之数据完整性、保密性测评▶️等保医疗|全国二级、三乙、三甲医院信息系统安全防护设备汇总▶️国务院:不符合网络安全要求的政务信息系统未来将不给经费▶️等级保护、风险评估和安全测评三者的区别▶️分保、等保、关保、密码应用对比详解▶️汇总 | 2020年发布的最重要网络安全标准(下载)天億网络安全【欢迎收藏分享到朋友圈,让更多朋友了解网络安全,分享也是一种美德!】↑↑↑长按图片识别二维码关註↑↑↑欢迎扫描关注【天億网络安全】公众号,及时了解更多网络安全知识 本文始发于微信公众号(天億网络安全):等保1.0和2.0相关标准及内容变化
阅读全文
政策 | 从技术角度解读等保2.0对数据安全的要求 云安全

政策 | 从技术角度解读等保2.0对数据安全的要求

文章来源:绿盟科技在近期发布的《数据安全法(草案)》二审稿中,相比一审稿增加了等保制度的衔接。等级保护2.0标准体系涉及众多标准,同时对数据安全、个人信息保护有若干的规定要求。本文中以等保2.0三个标准,即《信息安全技术 网络安全等级保护定级指南》(GB/T 22240-2020)、《信息安全技术 网络安全等级保护测评要求》(GB/T 28448-2019)和《信息安全技术 网络安全等级保护安全设计技术要求》(GB/T 25070-2019),摘录对数据安全、个人信息保护相关要求,同时对其进行技术层面的解读,以供参考。《信息安全技术 网络安全等级保护定级指南》(GB/T 22240-2020)按照受保护对象受到破坏后所造成的危害程度,将保护对象划分为5个等级,详细的划分方法如下表所示。第4.1节 安全保护等级第一级:等级保护对象受到破坏后,会对相关公民、法人和其他组织的合法权益造成一般损害,但不危害国家安全、社会秩序和公共利益;第二级:等级保护对象受到破坏后,会对相关公民、法人和其他组织的合法权益造成严重损害或特别严重损害,或者对社会秩序和公共利益造成危害,但不危害国家安全;第三级:等级保护对象受到破坏后,会对社会秩序和公共利益造成严重危害,或者对国家安全在成危害;第四级:等级保护对象受到破坏后,会对社会秩序和公共利益造成特别严重危害,或者对国家利益造成严重危害;第五级:等级保护对象受到破坏后,会对国家安全造成特别严重危害。等保2.0三个标准中数据安全及个人信息保护相关条目及技术解读如下表所示。标准名称章节数据安全要求/对标技术GB/T 22240-2020 《信息安全技术 网络安全等级保护定级指南》第3节 术语和定义3.2 等级保护对象定义为:网络安全等级保护工作直接作用的对象明确注释:主要包括信息系统、通信网络设施和数据资源。由1.0版本的保护对象“信息和信息系统”改为“信息系统、通信网络设施和数据资源”。第5节 确定定级对象5.1 信息系统5.1.1 定级对象的基本特征作为定级对象的信息系统应具有如下基本特征:a) 具有确定的主要安全责任主体;b) 承载相对独立的业务应用;c) 包含相互关联的多个资源。        注1:主要安全责任主体包括但不限于企业、机关、和事业单位等法人,以及不具备法人资格的社会团体等其他组织。       与等保1.0相比,描述文字几乎全部推翻重写。等保2.0将网络基础设施、重要信息系统、大型互联网站、大数据中心、云计算平台、物联网系统、工业控制系统、公众服务平台等全部纳入等级保护对象。保护对象进一步扩充。第5节 确定定级对象5.3 数据资源数据资源可独立定级。当安全责任主体相同时,大数据、大数据平台/系统宜作为一个整体对象定级;当安全责任主体不同时,大数据应当独立定级。可根据责任主体是否相同来决定是否将数据资源独立定级,说明了数据安全的重要性。第7节 确定安全保护等级对于数据资源,综合考虑其规模、价值等因素,及其遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的侵害程度确定其安全保护等级。涉及大量公民个人信息以及为公民提供公共服务的大数据平台/系统,原则上其安全保护等级不低于第三级。对数据资源和以数据资源为基础的大数据平台/系统,强调涉及大量公民个人信息时,等保定级不低于三级。GB/T 28448-2019 《信息安全技术 网络安全等级保护测评要求》7 等保二级7.1 安全测评通用要求7.1.4 安全计算环境7.1.4.7 数据完整性7.1.4.8 数据备份恢复7.1.4.10 个人信息保护7.1.4.10.1 测评单元(L2-CES1-22)测评指标:应仅采集和保存业务必需的用户个人信息。7.1.4.10.2 测评单元(L2-CES1-23)测评指标:应禁止未授权访问和非法使用用户个人信息。·对个人信息的采集、保存采取最小必要原则;·个人信息的访问、使用应得到授权,且应在法律法规范围内。7 等保二级7.2 云计算安全测评扩展要求7.2.4 安全计算环境7.2.4.3 数据完整性和保密性7.2.4.3.1 测评单元(L2-CES2-05)测评指标:应确保云服务客户数据、用户个人信息等存储于中国境内,如需出境应遵循国家相关规定。7.2.4.3.2 测评单元(L2-CES2-06)测评指标:应确保只有在云服务客户授权下,云服务商或第三方才具有云服务客户数据的管理权限。7.2.4.3.3 测评单元(L2-CES2-07)测评指标:应确保虚拟机迁移过程中重要数据的完整性,并在检测到完整性受到破坏时采取必要的恢复措施。7.2.4.4 数据备份恢复数据存储、出境要求:·云计算中的客户数据、用户个人信息必须存储于中国境内;·数据出境应遵守国家规定;7.2.4.3.中的技术要求:·采用授权监管技术对云服务商/第三方进行授权,得到用户授权才可以管理用户数据;·采用加密技术对云计算中保存的数据进行加密存储;·采用哈希技术验证重要数据完整性;·采用镜像复制技术实现重要数据的备份与恢复;8 等保三级8.1 安全测评通用要求8.1.4 安全计算环境8.1.4.2 访问控制8.1.4.2.4 测评单元(L3-CES1-08)测评指标:应授予管理用户所需的最小权限,实现管理用户的权限分离。8.1.4.2.6 测评单元(L3-CES1-10)测评指标:访问控制的粒度应达到主体为用户级或进程级,客体为文件、数据库表级。8.1.4.8 数据保密性8.1.4.8.1 测评单元(L3-CES1-27)测评指标:应采用密码技术保证重要数据在传输过程中的保密性,包括但不限于鉴别数据、重要业务数据和重要个人信息等。8.1.4.8.2 测评单元(L3-CES1-28)测评指标:应采用密码技术保证重要数据在存储过程中的保密性,包括但不限于鉴别数据、重要业务数据和重要个人信息等。8.1.4.9 数据备份恢复8.1.4.11 个人信息保护8.1.4.2访问控制测评单元中相关技术:·利用权限管理技术实现用户的管理权限;·利用访问控制技术实现用户细粒度的数据库、文件访问控制;8.1.4.8 数据保密性测评单元相关技术:利用加密技术实现数据传输可存储过程的安全。8 等保三级8.2 云计算安全测评扩展要求8.2.4 安全计算环境8.2.4.4 镜像和快照保护8.2.4.4.3 测评单元(L3-CES2-09)测评指标:应采取密码技术或其他技术手段防止虚拟机镜像、快照中可能存在的敏感资源被非法访问。8.2.4.5 数据完整性和保密性8.2.4.5.4 测评单元(L3-CES2-13)测评指标:应支持云服务客户部署密钥管理解决方案,保证云服务客户自行实现数据的加解密过程。相关技术:·利用加密技术确保云服务中数据的保密性;·利用数据库加密技术,将密文管理权限与数据库权限相分离,进而实现云服务客户自行管理的目的;·利用密钥管理技术实现密钥分配管理,确保云服务中的用户自行控制数据的加解密服务。附录B 大数据可参考安全性评估方法B.2 第二级安全评估方法B.2.3 安全计算环境B.2.3.6 测试单元(BDS-L2-06)测评指标:大数据平台应提供静态脱敏和去标识化的工具或服务组件技术。B.2.3.7 测评单元(BDS-L2-07)测评指标:对外提供服务的大数据平台,平台或第三方只有在大数据应用授权下才可以对大数据应用的数据资源进行访问、使用和管理。相关技术:·静态脱敏和去标识化技术实现数据安全发布;·利用授权监管和访问控制技术防止进行未授权的数据分析。附录B 大数据可参考安全性评估方法B.3 第三级安全评估方法B.3.3 安全计算环境B.3.3.8 测评单元(BDS-L3-08)测评指标:大数据平台应提供数据分类分级安全管理功能,供大数据应用针对不同类别级别的数据采取不同的安全保护措施。B.3.3.11 测评单元(BDS-L3-11)测评指标:涉及重要数据接口、重要服务接口的调用,应实施访问控制,包括但不限于数据处理、使用、分析、导出、共享、交换等相关操作。B.3.3.13 测评单元(BDS-L3-13)测评指标:应跟踪和记录数据采集、处理、分析和挖掘等过程,保证溯源数据能重现相应过程,溯源数据满足合规审计要求。相关技术:·利用数据分类分级技术实现不同级别数据的差异性保护;·重要数据的使用,可采用身份认证、访问控制技术实现对此类数据的安全访问与使用;·可依靠知识图谱技术解决数据处理记录的日志溯源;·可采用区块链技术解决安全审计要求,防止日志记录被恶意篡改;附录B 大数据可参考安全性评估方法B.3.4 安全建设管理B.3.4.3 测评单元(BDS-L3-03)测评指标:应明确约束数据交换、共享的接收方对数据的保护责任,并确保接收方有足够或相当的安全防护能力。对数据的共享交换场景,要求接收方有足够的安全防护能力。相当于转移了安全责任。难点在于:如何确保、评估数据接收方有足够的安全防护能力?可采用联邦学习和安全多方计算技术,在保护数据保密性的前提下实现数据的共享利用。附录B 大数据可参考安全性评估方法B.3.5 安全运维管理B.3.5.2 测评单元(BDS-L3-02)测评指标:应制定并执行数据分类分级保护策略,针对不同类级别的数据制定不同的安全保护措施。B.3.5.3 测评单元(BDS-L3-03)测评指标:应在数据分类分级的基础上,划分重要数字资产范围,明确重要数据进行自动脱敏或去标识的使用场景和业务处理流程。相关技术:·利用数据分类分级技术实现不同级别数据的差异性保护;·在分类分级基础上,利用静态脱敏和去标识化技术实现数据安全发布。GB/T 25070-2019 《信息安全技术 网络安全等级保护安全设计技术要求》附录C 大数据设计技术要求C.3 等保2级C.3.1 大数据系统安全计算环境设计技术要求a) 可信访问控制应提供大数据访问可信验证机制,并对大数据的访问、处理及使用行为进行细粒度控制,对主体客体进行可信验证。b) 数据保密性保护应提供数据脱敏和去标识化等机制,确保敏感数据的安全性;应采用技术手段防止进行未授权的数据分析。c) 剩余信息保护应为大数据应用提供数据销毁机制,并明确销毁方式和销毁要求。技术要点:·利用身份认证技术实现数据访问者的身份验证;·利用授权监管机制实现对数据访问者的授权监管;·利用访问控制技术实现对数据访问者的细粒度授权访问;·利用数据脱敏和去标识化技术实现敏感数据的发布安全;·潜在可利用差分隐私技术确保敏感数据可抵御差分查询攻击;·利用访问控制+授权监管机制防止未经授权的数据分析;·潜在可利用联邦学习+安全多方技术实现敏感数据的数据分析;·利用数据安全擦除技术实现数据的安全销毁。附录C 大数据设计技术要求C.4 等保3级C.4.1 大数据系统安全计算环境设计技术要求a) 可信访问控制C.3.1基础上,添加内容:应对大数据进行分级分类,并确保在数据采集、存储、处理及使用的整个生命周期内分级分类策略的一致性;b) 剩余信息保护应为大数据应用提供基于数据分级分类的数据销毁机制,并明确销毁方式和销毁要求。d) 数据溯源应采用技术手段实现敏感信息、个人信息等重要数据的数据溯源。e) 个人信息保护应仅采集和保护业务必须的个人信息。相关技术:·采用分类分级技术对大数据分类;·在数据分类分级的基础上,利用数据安全擦除技术对数据进行安全销毁;·利用知识图谱技术和溯源分析技术,实现敏感信息和个人信息的数据溯源。附录C 大数据设计技术要求C.5...
阅读全文
网络安全等级保护:等级保护中的密码技术 云安全

网络安全等级保护:等级保护中的密码技术

前段时间,我根据有关国家标准整理了一篇《网络安全等级保护:网络安全等级保护基本技术》,在这篇文章里第7项谈及了密码技术,这篇是根据有关资料整理,进一步谈等级保护中密码技术。在《信息安全等级保护商用密码技术要求》使用指南中,给出了等级保护中使用密码技术需要考的几点因素。 具体如下: 等级保护中使用密码技术时应考虑因素: 保护能力:应达到给定信息安全保护等级的基本技术要求。 运行环境:应与所保护信息系统的运行环境相适应,包括基础设施、人员素质等方面。 操作影响:应最小化对信息系统既定操作的影响,包括流程、性能等方面。实施成本:应平衡建设/运行/维护成本和所获得的效益。 整体协调:应从组织的信息安全系统的整体角度协调所集成的安全技术和产品,包括如果一个组织存在不同安全等级的信息系统,当较低级别的信息系统可以在不附加更多成本的情况下能够直接利用且不影响为较高级别的信息系统所提供的安全机制时,应选择共享较高级别的安全机制,而不必再另外建设较低级别的安全机制。 对信息系统实施等级保护,需要大量采用密码技术,而且许多安全需求只有使用密码技术才能得到满足,因此如何科学合理地应用密码技术来满足对信息系统的安全保护需求成为实施等级保护的关键工作内容,直接影响信息安全等级保护的全面推进。密码技术作为一种特定的敏感技术,要求科学合理的密码系统设计和严谨规范的密码系统集成,正确的使用非常关键。 首先,密码技术具备非常强的优势,正因为等级保护中很多安全选项都需要使用密码技术,密码技术的重要性也就不言而喻了,我们在谈及密码技术时往往先考虑他的优势所在,下面我们摘录密码技术的优势,供大家一起参考! 密码技术优势 坚实的理论基础:数学是密码技术的理论支撑,因而决定了其坚实的理论基础。 长久的实践考验:密码技术具有悠久的历史,是一门久经实践考验的技术。 经济的实现途径:擅长计算的计算机系统为密码技术提供了性价比最佳的实现平台。 有效的运行机制:严谨的密码运行和管理体系为密码技术作用的有效发挥提供了良好保证。 便捷的使用方法:简洁的密码使用接口为密码使用者提供了极大的方便。 我们回归密码技术,等级测评工作中对于涉及到身份的真实性、行为的抗抵赖、内容的机密性和完整性等测评要求项,密码技术都可以直接或间接地提供支持。我们工作中常用的密码技术主要包括加密、校验字符系统、消息鉴别码、密码校验函数、散列函数、数字签名、动态口令、数字证书和可信时间戳等。密码技术通过如下密码服务来为安全要求项的实现提供支持: 机密性服务:通过加密和解密数据,防止数据的未授权泄露。数据包括存储数据、传输数据和流量信息。 完整性服务:通过检测、通知、记录和恢复数据修改,防止数据的未授权修改。数据修改包括改值/替换、插入、删除/丢失、重复/复制、变序/错位等。 真实性服务:通过标识和鉴别活动主体的身份,防止身份的冒用和伪造。 抗抵赖服务:通过提供行为证据,防止活动主体否认其行为。证据内容包括行为主体、行为方式、行为内容和行为时间等。 当然,想要掌握或搞懂密码技术,也不是一件很容易的事情,不过作为网络安全从业者至少需要在这方面有点基础知识,以便配合或者参与项目过程中,大家有个共同的技术语言,这样有助于我们自身开展工作也有助于甲方整体项目进展。另外,如果对等级保护工作中,商用密码使用基线情况进行了解,则可以参考前两天我整理的《信息系统密码应用高风险判定指引思维导图》,当然也可以直接查阅《信息系统密码应用高风险判定指引》 这个文件。 后期,我将整理一下等级保护第三级要求相关密码技术实现,期待和大家一起探讨学习。有些知识,亘古弥新,所以大的体系可能在重构,知识可能在更新,最终有些基础性的概念或内容还是不变的,无论泰拳还是拳击抑或是太极拳,招式可以不一样,动作可以不一样,到人身上则还是身体加双拳双脚,一拳一脚开出去,只不过不同的人打出来的力道不同,打出来的技巧不同罢了。 旧话重提,再次声明,本人粗鄙见解纯属班门弄斧,聊作引玉之用,期待方家批评指正,共同探讨,共同解决彼此配合中存在的异议和问题。 参考文件: 《信息安全等级保护商用密码技术要求》使用指南  《信息安全技术 网络安全等级保护基本要求》 网络安全等级保护:网络产品和服务安全通用要求之基本级安全通用要求 网络安全等级保护:政务计算机终端核心配置规范思维导图 数据安全:数据安全能力成熟度模型之能力成熟度等级描述与GP思维导图 网络安全等级保护:标识与鉴别的基本概念 如何衡量网络安全培训的有效性? 相关推荐: Linux基础 :tcpdump 命令详解与示例 1.命令简介 tcpdump 是一款类 Unix/Linux 环境下的抓包工具,允许用户截获和显示发送或收到的网络数据包。tcpdump 是一个在 BSD 许可证下发布的自由软件。 2.命令格式 tcpdump 
阅读全文
公安部网安局局长:严厉打击危害数据安全的各类违法犯罪活动 云安全

公安部网安局局长:严厉打击危害数据安全的各类违法犯罪活动

国新办9月17日举行新闻发布会,介绍公安机关护航全面建成小康社会有关情况。公安部网络安全保卫局局长王瑛玮在发布会上表示,数据安全事关国家安全、公共安全和广大群众的切身利益。目前,《数据安全法》已正式实施。公安机关将充分发挥职能作用,采取切实有效措施,全力保障国家数据安全。一是在有关部门的统筹协调下,建立完善数据安全工作机制、政策和基础制度,为贯彻落实《数据安全法》提供各项保障。二是深入推进关键信息基础设施安全保护和网络安全等级保护工作,制定出台数据安全保护技术标准,督促、指导数据处理者采取相应的技术措施和必要的其他措施,保障数据安全。三是加强数据安全监督管理,组织开展数据安全监督检查、检测评估等工作,督促数据处理者依法履行安全保护责任和义务,整改网络安全、数据安全风险、隐患、漏洞和突出问题,提高安全保护能力。四是依托国家网络与信息安全信息通报机制,加强数据安全监测、通报、预警和应急处置工作,防范数据安全事件和威胁风险。五是加强数据安全相关事件的调查处置和案件侦办,严厉打击危害数据安全的各类违法犯罪活动。原文来源:澎湃新闻“投稿联系方式:010-82992251   [email protected]” 本文始发于微信公众号(关键基础设施安全应急响应中心):公安部网安局局长:严厉打击危害数据安全的各类违法犯罪活动
阅读全文