DB1331/T 004-2022 雄安新区数据安全建设导则

ICS35.030

CCSL80

1331

雄安新区地方标准

DB1331/T004—2022

雄安新区数据安全建设导则

XionganNewAreaDataSecurityConstructionGuidelines

2022-01-17发布2022-02-01实施

河北雄安新区管理委员改革发展局发布

DB1331/T004—2022

前言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定

起草。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。

本文件由河北雄安新区管理委员会改革发展局提出并归口。

本文件起草单位：中电科网络空间安全研究院、中国电子科技网络信息安全有限公司、中国雄安集

团数字城市科技有限公司。

本文件主要起草人：梁智昊、谢瑞云、许书斌、冯肖扬，戴超、甘植旺、于汝云、赵松、赵龙军、

崔丹丹。

I

DB1331/T004—2022

引言

依据《河北雄安新区智能城市建设专项规划》关于数据安全的总体要求，为实现雄安新区数据“可

管、可控、可信”的目标，构建面向不同行业、领域的数据安全基础支撑体系，打造雄安新区全生命周

期保障城市数据安全，创造安全的网络空间环境，需从数据准备、数据使用和数据评价三个阶段为新区

的数据安全提供技术和管理保护，明确数据全生命周期环节中数据安全技术及其应用模式、密码和区块

链等技术的创新性应用，形成从采集、传输、存储、处理、共享与交换到销毁的全流程数据安全技术要

求，明确智能城市数据安全工程实现方法，规范新区未来城市与智能城市发展数据安全的顶层规划、体

系化设计、建设实施等过程的相关要求，全面助力雄安新区发展和完善一体化的数据安全管控、防护和

服务保障能力，特制定本文件。

I

DB1331/T004—2022

雄安新区数据安全建设导则

1范围

本文件规定了雄安新区全区范围内党政机关和其他社会组织数据安全建设与发展相关的总体框架、

技术要求和通用要求。

本文件适用于新区数据提供方、数据平台运营方、数据使用方和数据监管方的数据安全建设。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，

仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本

文件。

GB/T22240－2008信息安全技术信息系统安全等级保护定级指南

GB/T37988－2019信息安全技术数据安全能力成熟度模型

GB/T35274－2017信息安全技术大数据服务安全能力要求

3术语和定义

GB/T37988－2019和GB/T35274－2017界定的以及下列术语和定义适用于本文件。

数据安全datasecurity

通过管理和技术措施，确保数据有效保护和合规使用的状态。

[来源：GB/T37988－2019，3.1]

数据交换datainterchange

为满足不同平台或应用间数据资源的传送和处理需要，依据一定的原则，采取相应的技术，实现不

同平台和应用间数据资源的流动过程。

[来源：GB/T35274－2017，3.11]

数据共享datasharing

让不同数据用户能够访问大数据服务而整合的各种数据资源，并通过大数据服务或数据共享与交

换技术对这些数据资源进行相关的计算、分析和可视化等处理。

[来源：GB/T35274－2017，3.12]

4数据安全总体策略要求

数据基本保护策略

4.1.1数据的访问控制策略

1

DB1331/T004—2022

应针对数据正确授权操作的问题，通过建立正确的授权保证机制，保证对数据操作的授权，并保证

授权的正确性。

4.1.2数据的分属性、分级保护策略

应依据数据安全属性进行分类分级，为不同类别级别数据添加数据标签，对不同级别数据承载环境

的提出安全要求。

4.1.3数据安全传输策略

数据的安全传输依托于安全通信网络，本文件建议安全通信网络安全要求应满足但不限于《信息安

全技术网络安全等级保护基本要求》中对安全通信网络的安全基本要求，并提出应对特殊数据（如控制

信号与指令、密钥和校验码等）的安全传输建立相应的保护措施。

4.1.4数据基本安全属性保护策略

采用安全管理策略和技术防护策略相结合，以及密码和区块链等创新型技术在数据安全中的应用

保障数据的保密性、完整性、可用性、权属性、可溯源。

数据安全防护策略

应以主动防御和综合防范为核心，根据实际业务需求，采用管理和技术相结合，建立可持续优化改

进的数据安全管理运营机制，保障数据安全。

数据全生命周期安全策略

数据安全管理应覆盖到数据从产生到销毁的全过程，应结合业务现状、系统安全现状、相关管理规

范，形成从数据采集、传输、存储、处理、共享与交换到销毁的全生命周期安全管理与技术要求。

数据共享与开放策略

数据共享与开放需遵循以共享为常态，不共享为例外的原则，数据共享与开放不代表数据公开，在

数据共享与开放过程中应确保敏感数据、个人隐私数据不被公开。数据共享与开放的策略应遵循数据分

级分类实施差异化管控、敏感数据不被公开等原则。

组织协调策略

应建立跨部门、跨单位的数据安全组织协同机制，通过明确分工、协同配合、强化执行、确保数据

安全管理要求和技术防护要求的有效落地。

合规评测策略

应建立定期内部安全检查机制，确保安全要求和防护手段有效落实。关注行业在数据保护方面的法

规政策，不与相关法规政策相冲突。

5数据安全建设总体要求

数据安全阶段建设管理

2

DB1331/T004—2022

本文件以数据全生命周期为基础，将数据安全建设划分为数据准备、数据使用和数据评价三个阶段，

数据准备阶段包括数据采集、数据传输、数据存储、数据处理、数据销毁；数据使用阶段包括数据采集、

数据传输、数据存储、数据处理、数据共享与交换、数据销毁；数据评价阶段主要针对数据准备阶段、

数据使用阶段暴露的安全问题，制定一系列策略、流程、制度等来监督、检查、协调多个相关职能部门，

从而不断优化策略、方法、流程、工具、人员技能等，保障数据可管、可控、可信。数据全生命周期角

色权属见表1。

表1数据全生命周期角色权属

数据数据平台数据数据数据全生命

数据安全要求

提供方运营方使用方监管方周期阶段

数据分类分级、数据标签、数据识别、

√√数据采集安全数据采集身份管理、数据元鉴别及记

录、资源目录管理、数据质量管理等

√√√数据传输安全数据传输加密、网络可用性管理等

数据数据存储架构、存储媒体安全、逻辑

准备√√√数据存储安全存储安全、访问控制、数据备份和恢

复、加密、数据溯源等

阶段

数据脱敏、数据分析安全、数据正当

√√√数据处理安全使用、数据处理环境安全、数据导入

导出安全等

数据销毁处置、存储媒体介质销毁处

√√√数据销毁安全

置等

用户管理、授权管理、数据导出、数

数据共享与交换

√√√据导入、数据交换、数据共享安全、

安全数据接口安全、数据发布安全等

数据分类分级、数据标签、数据识别、

数据采集身份管理、访问控制、数据

√√√数据采集安全

元鉴别及记录、资源目录管理、数据

质量管理等

数据

√