T/SIA 001-2022 企业个人信息安全管理规范

ICS35.020T/SIA001-2022

I65T/SIA

中国软件行业协会团体标准

T/SIA001—2022（代替T/SIA001—2017）

企业个人信息安全管理规范

Personalinformationsecuritymanagementspecificationforenterprises

2022-03-31发布2022-03-31实施

中国软件行业协会发布

I

T/SIA001-2022

目次

前言...................................................................................................................................IV

1范围.....................................................................................................................................1

2规范性引用文件...................................................................................................................1

3术语和定义..........................................................................................................................1

4基本要求..............................................................................................................................2

4.1原则...............................................................................................................................................2

4.2个人信息主体权利.......................................................................................................................3

4.3企业责任.......................................................................................................................................3

5领导作用..............................................................................................................................5

5.1最高管理者及职责.......................................................................................................................5

5.2管理方针.......................................................................................................................................5

5.3组织机构.......................................................................................................................................5

6策划.....................................................................................................................................7

6.1管理计划.......................................................................................................................................7

6.2风险管理.......................................................................................................................................7

7支持.....................................................................................................................................8

7.1人员管理.......................................................................................................................................8

7.2宣传和培训...................................................................................................................................8

7.3管理规定.......................................................................................................................................9

7.4文件控制.......................................................................................................................................9

8处理过程............................................................................................................................10

8.1收集.............................................................................................................................................10

8.2存储.............................................................................................................................................11

8.3使用.............................................................................................................................................12

8.4转移.............................................................................................................................................13

8.5后处理.........................................................................................................................................14

8.6意见处理.....................................................................................................................................14

8.7应急管理.....................................................................................................................................15

9安全管理............................................................................................................................15

9.1物理环境管理.............................................................................................................................15

9.2工作区域管理.............................................................................................................................15

9.3信息系统保护.............................................................................................................................16

9.4上网行为管理.............................................................................................................................16

II

T/SIA001-2022

9.5移动设备管理.............................................................................................................................16

10监控.................................................................................................................................16

10.1检查...........................................................................................................................................16

10.2内审...........................................................................................................................................16

11改进.................................................................................................................................17

11.1改进依据...................................................................................................................................17

11.2改进实施...................................................................................................................................17

12例外.................................................................................................................................17

13认证.................................................................................................................................17

参考文献.......................................................................................................................18

III

T/SIA001-2022

前言

本标准按照GB/T1.1-2009给出的规则起草。

本标准由中国软件行业协会提出并归口。

本标准是对《企业个人信息安全管理规范》T/SIA001-2017的修订版，以指导企业更

好地落实《中华人民共和国个人信息保护法》，为企业制定内部个人信息管理制度和操

作规程提供依据。

本标准起草单位：中国软件行业协会系统安全工程分会、北京时空络联安全科技有

限公司、大连软件行业协会、北京软件和信息服务业协会、上海市软件行业协会、广东

软件行业协会、深圳软件行业协会、河北软件与信息服务业协会、中国软件评测中心、

大连理工大学、北京百度网讯科技有限公司、东华软件股份有限公司、博彦科技股份有

限公司、南方信息保护产业基地有限公司、文思海辉技术有限公司、中国民航信息集团

公司。

本标准主要起草人：宋明秋、付晓宇、张然、朱璇、尹宏、郎庆斌、龙飞、陈尚义、

严德铭、吕晖、朱信铭、白春玲、薛强、余江、余智文、陈彬。

修订主要内容：

1范围

调整了标准适用范围及适用对象。

2规范性引用文件

增加引用GB/T35273-2020信息安全技术个人信息安全规范。

3术语和定义

调整了3.2个人信息、3.3个人信息主体、3.4个人敏感信息的定义内容。

4基本原则

调整了4.1原则、4.2.2支配权、4.3.1法律责任、4.3.2管理责任中部分内容。

5领导作用

调整了5.3.2个人信息管理办公室及职责、5.3.3部门个人信息管理职责中部分内容。

6策划

调整了6.2.1风险识别、6.2.2风险评估、6.2.3风险控制中部分内容。

7支持

调整了7.2.1宣传中部分内容。

8处理过程

调整了8.1.4授权同意、8.1.5收集方式、8.2.2脱敏处理、8.4.3跨境转移、8.5.1

销毁中部分内容。

9安全管理

调整了9.3信息系统保护中部分内容。

参考文献

增加了信息安全技术个人信息安全工程指南，计划号20190914-T-469。

本标准所替代标准的历史版本发布情况为：

T/SIA001—2017。

IV

T/SIA001-2022

企业个人信息安全管理规范

1范围

本标准为落实《中华人民共和国个人信息保护法》，用于指导软件和信息技术服务

企业安全、合理地利用个人信息，规范企业个人信息处理活动，提升企业个人信息安全

管理水平。

本标准适用于软件和信息技术服务企业，应用软件和信息技术服务的事业单位、学

校、医疗机