欧美精品一区二区,体育生GAY白袜调教VIDEO,私人影院播放器,色偷偷AV老熟女色欲涩爱

建立組織

構(gòu)建大數(shù)據(jù)安全保障組

一、大數(shù)據(jù)安全保障工作組職責(zé) 

1、負(fù)責(zé)制定大數(shù)據(jù)信息安全策略，明確信息安全目標(biāo)。 

2、組織相關(guān)平臺負(fù)責(zé)人定期召開信息安全會議。 

3、負(fù)責(zé)客戶數(shù)據(jù)安全突發(fā)事件應(yīng)急方案實施和大數(shù)據(jù)信息系統(tǒng)日常安全運行管理的組織協(xié)調(diào)及決策工作。 

4、研究決定客戶數(shù)據(jù)安全工作的重大事項。 

二、大數(shù)據(jù)安全保障工作組責(zé)任 

1、承擔(dān)信息安全管理領(lǐng)導(dǎo)小組的具體工作，協(xié)助在大數(shù)據(jù)安全事務(wù)上的決策。

2、負(fù)責(zé)大數(shù)據(jù)安全管理體系的建立、實施和日常運行，起草信息安全政策，確定信息安全管理標(biāo)準(zhǔn)，督促各信息安全執(zhí)行單位對于信息安全政策、措施的實施。 

3、負(fù)責(zé)定期召開信息安全管理工作會議，定期總結(jié)運行情況以及安全事件記錄，并向信息安全管理小組領(lǐng)導(dǎo)匯報。 

4、負(fù)責(zé)制定大數(shù)據(jù)安全政策行為標(biāo)準(zhǔn)，并對違反信息安全政策的人員和事件進行確認(rèn)和處罰。

5、負(fù)責(zé)調(diào)查大數(shù)據(jù)安全事件，并維護、總結(jié)安全事件記錄報告。

建立總則

1、明確規(guī)范所保護的數(shù)據(jù)

針對最重要的政企客戶信息和個人客戶信息。

2、明確規(guī)范的目的

為了加強客戶信息安全管理，規(guī)范客戶信息訪問的流程和用戶訪問權(quán)限以及規(guī)范承載客戶信息的環(huán)境，降低客戶信息被違法使用和傳播的風(fēng)險，特制定本規(guī)范。

3、明確規(guī)范所要解決的風(fēng)險

客戶信息安全面臨的風(fēng)險和威脅主要包括：因為權(quán)限管理與控制不當(dāng)，導(dǎo)致客戶信息被隨意處置；因為流程設(shè)計與管理不當(dāng)，導(dǎo)致客戶信息被不當(dāng)獲??；因為安全管控措施落實不到位，導(dǎo)致客戶信息被竊取等。

4、規(guī)范管理的對象

適用于客戶信息的使用人員、運維人員、開發(fā)測試人員、管理人員和安全審計人員。

梳理職責(zé)

1、涉及客戶信息的業(yè)務(wù)管理部職責(zé)

負(fù)責(zé)規(guī)范本部門訪問客戶信息的業(yè)務(wù)人員崗位角色及其職責(zé)；

負(fù)責(zé)主管的業(yè)務(wù)系統(tǒng)的客戶敏感信息安全保護，建立落實管理制度和實施細(xì)則；

負(fù)責(zé)業(yè)務(wù)層面客戶信息安全的日常管理和審計工作；

負(fù)責(zé)受理客戶信息泄密事件的投訴、上報；

制訂對業(yè)務(wù)合作伙伴的信息泄露的懲罰措施及具體實施；

協(xié)助完成客戶信息泄密現(xiàn)象的市場調(diào)查；

協(xié)助進行客戶信息泄密事件的查處。

2、人力資源部職責(zé)

組織有關(guān)員工簽訂保密承諾書；

及時發(fā)布人員崗位變動、離職的信息給帳號管理部門；

參與對客戶信息泄密人員的查處。

數(shù)據(jù)分類分級

全面摸底，進行數(shù)據(jù)資產(chǎn)梳理、敏感數(shù)據(jù)發(fā)現(xiàn)及梳理、數(shù)據(jù)資產(chǎn)分級、用戶及敏感資產(chǎn)權(quán)限梳理。

數(shù)據(jù)分級分類的原因：只有對數(shù)據(jù)進行有效分類，才能夠避免一刀切的控制方式，在數(shù)據(jù)的安全管理上采用更加精細(xì)的措施，使數(shù)據(jù)在共享使用和安全使用之間獲得平衡。

數(shù)據(jù)分級分類的原則：

分類：依據(jù)數(shù)據(jù)的來源、內(nèi)容和用途對數(shù)據(jù)進行分類；

分級：按照數(shù)據(jù)的價值、內(nèi)容的敏感程度、影響和分發(fā)范圍不同對數(shù)據(jù)進行敏感級別劃分。

數(shù)據(jù)分級分類內(nèi)容：

分類分級示意圖

定義崗位角色與權(quán)限

角色1：運營系統(tǒng)支撐

1）崗位包含舉例：業(yè)務(wù)系統(tǒng)管理、系統(tǒng)運營支撐等細(xì)項崗位；

2）崗位說明：該類崗位角色主要指各省業(yè)務(wù)部門負(fù)責(zé)系統(tǒng)管理及支撐的崗位。

3）權(quán)限要求：該角色人員負(fù)責(zé)部門系統(tǒng)帳號、口令的管理，配合業(yè)支部門進行相應(yīng)系統(tǒng)的開發(fā)、運營和維護，可以查看相應(yīng)權(quán)限所涉及的客戶敏感信息；僅具有查詢權(quán)限，不應(yīng)授予增加、刪除、修改、批量導(dǎo)入與導(dǎo)出、批量開通與取消、批量下載等針對客戶敏感信息的操作權(quán)限。

角色2：開發(fā)測試

1）崗位包含舉例：架構(gòu)管理、系統(tǒng)設(shè)計、應(yīng)用開發(fā)、應(yīng)用測試、項目建設(shè)管理等；

2）崗位說明：該類崗位主要包括各省公司負(fù)責(zé)涉及客戶敏感信息的系統(tǒng)的設(shè)計、研發(fā)、測試以及項目建設(shè)管理人員。

3）權(quán)限要求：開發(fā)測試人員原則上不能接觸生產(chǎn)系統(tǒng)數(shù)據(jù)；開發(fā)測試人員僅具有測試系統(tǒng)的操作權(quán)限，開發(fā)測試系統(tǒng)需要涉及到客戶敏感數(shù)據(jù)信息的內(nèi)容，原則上使用過期數(shù)據(jù)或是模糊化處理之后的數(shù)據(jù)。

建立賬號與授權(quán)管理機制

1、業(yè)務(wù)賬號管理

2、運維賬號管理

1）系統(tǒng)運維支撐部門應(yīng)指定專人（系統(tǒng)帳號管理員）負(fù)責(zé)運維帳號和權(quán)限的管理工作，制定崗位角色和權(quán)限的匹配規(guī)范，提供崗位角色和權(quán)限對應(yīng)的矩陣列表,確保職責(zé)不相容。

2）運維人員應(yīng)向上一級主管提出帳號權(quán)限申請，系統(tǒng)帳號管理員應(yīng)按照權(quán)限最小化原則分配運維人員的帳號權(quán)限。

3）系統(tǒng)帳號管理人員要定期對系統(tǒng)帳號使用情況、權(quán)限、口令等進行檢查稽核，確認(rèn)帳號、權(quán)限的有效性，并對存在的問題進行整改。

3、第三方賬號管理

建立客戶敏感信息操作規(guī)范

1、業(yè)務(wù)人員對客戶敏感信息操作的管理

1）涉及客戶敏感信息的批量操作（批量查詢、批量導(dǎo)入導(dǎo)出、批量為客戶開通、取消或變更業(yè)務(wù)等），必須遵循相應(yīng)的審批流程，通過業(yè)務(wù)管理部門審核；

2）業(yè)務(wù)人員因業(yè)務(wù)受理、投訴處理等情況下需要查詢或獲取客戶信息時，應(yīng)遵循如下要求：

a.涉及客戶普通資料的查詢，服務(wù)營銷人員要獲得客戶的同意，并且按照正常的鑒權(quán)流程通過身份認(rèn)證。鑒權(quán)一般采取有效證件或服務(wù)密碼驗證，并保留業(yè)務(wù)受理單據(jù)。

b.涉及客戶通話詳單、政企客戶詳細(xì)資料等客戶敏感信息的查詢，客戶接觸人員只能在響應(yīng)客戶請求時，并且客戶自身按照正常流程通過身份鑒權(quán)的情況下，協(xié)助客戶查詢；禁止客戶接觸人員擅自進行查詢；查詢需保留業(yè)務(wù)受理單據(jù)。

c.除客戶接觸外的業(yè)務(wù)人員，因投訴處理、營銷策劃、經(jīng)營分析等工作需要查詢和提取客戶敏感信息的，業(yè)務(wù)管理部門應(yīng)建立明確的操作審批流程，定期進行嚴(yán)密的事后稽核與審查。

d.對敏感數(shù)據(jù)的批量操作，需要在指定地點、指定設(shè)備上進行操作，相關(guān)設(shè)備必須進行嚴(yán)格管控，對于該設(shè)備的打印、拷貝、郵件、文檔共享、通訊工具等均需進行嚴(yán)格管控，防止數(shù)據(jù)泄露。

2、運維人員對客戶敏感信息操作的管理

1）運維支撐部門需制定并維護業(yè)務(wù)系統(tǒng)層角色權(quán)限矩陣，明確生產(chǎn)運營、運行維護、開發(fā)測試等崗位對客戶敏感信息的訪問權(quán)限。

2）運維支撐人員因統(tǒng)計取數(shù)、批量業(yè)務(wù)操作對客戶敏感信息查詢、變更操作時必須有業(yè)務(wù)管理部門的相關(guān)公文，并經(jīng)過部門領(lǐng)導(dǎo)審批。

3）運維支撐人員因應(yīng)用優(yōu)化、業(yè)務(wù)驗證測試需要查詢、修改客戶敏感信息數(shù)據(jù)，只能利用測試號碼進行各項測試，不得使用客戶號碼。

4）運維支撐人員因系統(tǒng)維護進行客戶敏感信息的數(shù)據(jù)遷移（數(shù)據(jù)導(dǎo)入、導(dǎo)出、備份）必須填寫操作申請，并經(jīng)過部門主管審批。

5）嚴(yán)禁運維支撐人員向開發(fā)測試環(huán)境導(dǎo)出客戶敏感信息，對需導(dǎo)出的信息必須經(jīng)過申請審批，并進行模糊化處理。

6）對敏感數(shù)據(jù)的批量操作，需要在指定地點、指定設(shè)備上進行操作，相關(guān)設(shè)備必須進行嚴(yán)格管控，對于該設(shè)備的打印、拷貝、郵件、文檔共享、通訊工具等均需進行嚴(yán)格管控，防止數(shù)據(jù)泄露。

3、數(shù)據(jù)抽取管理

1）各省、市公司數(shù)據(jù)需求部門由指定人員擔(dān)任數(shù)據(jù)分析員，負(fù)責(zé)該部門的數(shù)據(jù)提取需求。

2）為確保數(shù)據(jù)安全，數(shù)據(jù)管理員不得將取數(shù)結(jié)果交付給非需求人員。非數(shù)據(jù)管理員不接收取數(shù)申請，也不得將提取數(shù)據(jù)直接發(fā)給相關(guān)需求人員。

3）數(shù)據(jù)分析員應(yīng)對所提需求所涉及的客戶信息進行審核并對需求內(nèi)容作詳細(xì)描述，數(shù)據(jù)管理員有責(zé)任進行復(fù)核并盡量減少客戶敏感信息的提取。

4）數(shù)據(jù)提取部門不得將數(shù)據(jù)提取結(jié)果直接發(fā)給需求人員，數(shù)據(jù)提取結(jié)果必須為受控文檔，并在指定平臺上進行編輯和處理，不得存放在指定平臺外的任何主機上。

5）受控文檔是指采用加密、授權(quán)、數(shù)字水印、數(shù)字簽名等技術(shù)手段對文檔進行安全保護后的文檔。

6）數(shù)據(jù)提取的檢查稽核必須由專人負(fù)責(zé)，檢查稽核人員應(yīng)每月對日常數(shù)據(jù)提取情況進行檢查稽核。

7）公檢法等司法機關(guān)為滿足司法取證等需要而查詢客戶信息時，應(yīng)提交正式介紹信并進行留存，由相關(guān)主管領(lǐng)導(dǎo)批準(zhǔn)后，方可提交業(yè)務(wù)支撐部門查詢?nèi)?shù)。 

落實客戶信息安全日常審查

1）安全檢查主要分為操作稽核、合規(guī)性檢查、日志審計、例行安全檢查與風(fēng)險評估。

2）信息安全管理責(zé)任部門針對安全檢查過程中發(fā)現(xiàn)的突出問題，牽頭協(xié)調(diào)各部門提出改進方案，并要求相關(guān)部門落實解決，并對改進措施落實情況進行跟蹤檢查。

3）操作稽核是對操作日志與工單等原始憑證進行比對，分析查找違規(guī)行為。

4） 合規(guī)性檢查重點是依據(jù)本管理規(guī)范要求進行檢查，檢查相關(guān)要求的落地情況。

5）日志審計，對所有日志按關(guān)鍵功能、關(guān)鍵角色、關(guān)鍵帳號、關(guān)鍵參數(shù)，進行審計檢查。及時發(fā)現(xiàn)異常時間登錄、異常IP登錄、異常的帳號增加和權(quán)限變更、客戶信息增刪改查、批量操作等敏感操作。

6）例行安全檢查是指運維支撐部門對所負(fù)責(zé)維護的系統(tǒng)進行的常規(guī)性安全檢查，包括漏洞掃描、基線檢查等。

7）風(fēng)險評估側(cè)重通過白客滲透測試技術(shù)，發(fā)現(xiàn)深層次安全問題，如緩沖區(qū)溢出等編程漏洞、業(yè)務(wù)流程漏洞、通信協(xié)議中存在的漏洞和弱口令等等。風(fēng)險評估以各系統(tǒng)的運維支撐部門自評估為主、信息安全管理責(zé)任部門抽查相結(jié)合的方式進行。

落實客戶信息系統(tǒng)的技術(shù)管控

根據(jù)現(xiàn)有體系，構(gòu)建了大數(shù)據(jù)安全管控平臺，提升對大數(shù)據(jù)安全管控技術(shù)能力。實現(xiàn)對大數(shù)據(jù)的安全狀況摸底、數(shù)據(jù)使用管控，數(shù)據(jù)治理稽核等三方面管理。

安全狀況摸底：旨在提升大數(shù)據(jù)平臺自我免疫能力，并對數(shù)據(jù)進行分級分類管理和權(quán)限管理。

數(shù)據(jù)使用管控：對數(shù)據(jù)生命周期的分級分類、風(fēng)險評估、業(yè)務(wù)訪問、運維訪問、測試開發(fā)、數(shù)據(jù)外發(fā)、數(shù)據(jù)存儲等層面，提供技術(shù)資產(chǎn)梳理、風(fēng)險評估掃描、數(shù)據(jù)防護、-數(shù)據(jù)脫敏、數(shù)據(jù)水印、數(shù)據(jù)運維管控、數(shù)據(jù)加密、訪問審計等方面技術(shù)融合。

數(shù)據(jù)治理稽核：通過審計、大數(shù)據(jù)分析、監(jiān)測預(yù)警等技術(shù)，動態(tài)監(jiān)測安全變化、事件變化、權(quán)限變化、策略變化，出現(xiàn)問題應(yīng)急處置，構(gòu)建大數(shù)據(jù)安全基線。

通過建立大數(shù)據(jù)安全管控平臺，開展預(yù)防、發(fā)現(xiàn)、預(yù)警和協(xié)調(diào)處置等工作，維護電信運營商大數(shù)據(jù)安全，保障基礎(chǔ)重要信息系統(tǒng)的安全運行。

總結(jié)

綜上所述，以上數(shù)據(jù)安全治理實踐，較為完備的覆蓋了數(shù)據(jù)安全治理的各個領(lǐng)域，實現(xiàn)了數(shù)據(jù)的分級分類；制定了對不同組織和角色人員的數(shù)據(jù)安全職責(zé)和管理流程；明確了異常行為特征和重要風(fēng)險行為的具體化管理要求；突破了傳統(tǒng)防外的思維，實現(xiàn)了基于業(yè)務(wù)角度出發(fā)的業(yè)務(wù)側(cè)、運維側(cè)和第三方的綜合管理，具有較高的可操作性。