本文作者：绿盟科技创新中心&天枢实验室  王真、陈磊

 我国2017年实施的《网络安全法》明确指出“国家实行网络安全等级保护制度”（第21条）、“国家对一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护”（第31条）。在最近发布的《数据安全法（草案）》二审稿中，与亮点之一相比一审稿增加了等保制度的衔接。等级保护2.0标准体系涉及众多标准，同时对数据安全、个人信息保护有若干的规定要求。本文中以等保2.0三个标准，即《信息安全技术 网络安全等级保护定级指南》（GB/T 22240-2020）、《信息安全技术 网络安全等级保护测评要求》（GB/T 28448-2019）和《信息安全技术 网络安全等级保护安全设计技术要求》（GB/T 25070-2019），摘录对数据安全、个人信息保护相关要求，同时对其进行技术层面的解读，以供参考。

《信息安全技术 网络安全等级保护定级指南》（GB/T 22240-2020）按照受保护对象受到破坏后所造成的危害程度，将保护对象划分为5个等级，详细的划分方法如下表所示。

第4.1节 安全保护等级	第一级：等级保护对象受到破坏后，会对相关公民、法人和其他组织的合法权益造成一般损害，但不危害国家安全、社会秩序和公共利益；
	第二级：等级保护对象受到破坏后，会对相关公民、法人和其他组织的合法权益造成严重损害或特别严重损害，或者对社会秩序和公共利益造成危害，但不危害国家安全；
	第三级：等级保护对象受到破坏后，会对社会秩序和公共利益造成严重危害，或者对国家安全在成危害；
	第四级：等级保护对象受到破坏后，会对社会秩序和公共利益造成特别严重危害，或者对国家利益造成严重危害；
	第五级：等级保护对象受到破坏后，会对国家安全造成特别严重危害。

等保2.0三个标准中数据安全及个人信息保护相关条目及技术解读如下表所示。

标准名称	章节	数据安全要求/对标技术
GB/T 22240-2020 《信息安全技术 网络安全等级保护定级指南》	第3节 术语和定义 3.2 等级保护对象 定义为：网络安全等级保护工作直接作用的对象 明确注释：主要包括信息系统、通信网络设施和数据资源。	由1.0版本的保护对象“信息和信息系统”改为“信息系统、通信网络设施和数据资源”。
	第5节 确定定级对象 5.1 信息系统 5.1.1 定级对象的基本特征 作为定级对象的信息系统应具有如下基本特征： a) 具有确定的主要安全责任主体； b) 承载相对独立的业务应用； c) 包含相互关联的多个资源。         注1：主要安全责任主体包括但不限于企业、机关、和事业单位等法人，以及不具备法人资格的社会团体等其他组织。	与等保1.0相比，描述文字几乎全部推翻重写。 等保2.0将网络基础设施、重要信息系统、大型互联网站、大数据中心、云计算平台、物联网系统、工业控制系统、公众服务平台等全部纳入等级保护对象。保护对象进一步扩充。
	第5节 确定定级对象 5.3 数据资源 数据资源可独立定级。 当安全责任主体相同时，大数据、大数据平台/系统宜作为一个整体对象定级；当安全责任主体不同时，大数据应当独立定级。	可根据责任主体是否相同来决定是否将数据资源独立定级，说明了数据安全的重要性。
	第7节 确定安全保护等级 对于数据资源，综合考虑其规模、价值等因素，及其遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的侵害程度确定其安全保护等级。涉及大量公民个人信息以及为公民提供公共服务的大数据平台/系统，原则上其安全保护等级不低于第三级。	对数据资源和以数据资源为基础的大数据平台/系统，强调涉及大量公民个人信息时，等保定级不低于三级。
GB/T 28448-2019 《信息安全技术 网络安全等级保护测评要求》	7 等保二级 7.1 安全测评通用要求 7.1.4 安全计算环境 7.1.4.7 数据完整性 7.1.4.8 数据备份恢复 7.1.4.10 个人信息保护 7.1.4.10.1 测评单元（L2-CES1-22） 测评指标：应仅采集和保存业务必需的用户个人信息。 7.1.4.10.2 测评单元（L2-CES1-23） 测评指标：应禁止未授权访问和非法使用用户个人信息。	l对个人信息的采集、保存采取最小必要原则； l个人信息的访问、使用应得到授权，且应在法律法规范围内。
	7 等保二级 7.2 云计算安全测评扩展要求 7.2.4 安全计算环境 7.2.4.3 数据完整性和保密性 7.2.4.3.1 测评单元（L2-CES2-05） 测评指标：应确保云服务客户数据、用户个人信息等存储于中国境内，如需出境应遵循国家相关规定。 7.2.4.3.2 测评单元（L2-CES2-06） 测评指标：应确保只有在云服务客户授权下，云服务商或第三方才具有云服务客户数据的管理权限。 7.2.4.3.3 测评单元（L2-CES2-07） 测评指标：应确保虚拟机迁移过程中重要数据的完整性，并在检测到完整性受到破坏时采取必要的恢复措施。 7.2.4.4 数据备份恢复	数据存储、出境要求： l云计算中的客户数据、用户个人信息必须存储于中国境内； l数据出境应遵守国家规定； 7.2.4.3.中的技术要求： l采用授权监管技术对云服务商/第三方进行授权，得到用户授权才可以管理用户数据； l采用加密技术对云计算中保存的数据进行加密存储； l采用哈希技术验证重要数据完整性； l采用镜像复制技术实现重要数据的备份与恢复；
	8 等保三级 8.1 安全测评通用要求 8.1.4 安全计算环境 8.1.4.2 访问控制 8.1.4.2.4 测评单元（L3-CES1-08） 测评指标：应授予管理用户所需的最小权限，实现管理用户的权限分离。 8.1.4.2.6 测评单元（L3-CES1-10） 测评指标：访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级。 8.1.4.8 数据保密性 8.1.4.8.1 测评单元（L3-CES1-27） 测评指标：应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。 8.1.4.8.1 测评单元（L3-CES1-27） 测评指标：应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。 8.1.4.9 数据备份恢复 8.1.4.11 个人信息保护	8.1.4.2访问控制测评单元中相关技术： l利用权限管理技术实现用户的管理权限； l利用访问控制技术实现用户细粒度的数据库、文件访问控制； 8.1.4.8 数据保密性测评单元相关技术： l利用加密技术实现数据传输可存储过程的安全。
	8 等保三级 8.2 云计算安全测评扩展要求 8.2.4 安全计算环境 8.2.4.4 镜像和快照保护 8.2.4.4.3 测评单元（L3-CES2-09） 测评指标：应采取密码技术或其他技术手段防止虚拟机镜像、快照中可能存在的敏感资源被非法访问。 8.2.4.5 数据完整性和保密性 8.2.4.5.4 测评单元（L3-CES2-13） 测评指标：应支持云服务客户部署密钥管理解决方案，保证云服务客户自行实现数据的加解密过程。	相关技术： l利用加密技术确保云服务中数据的保密性； l利用数据库加密技术，将密文管理权限与数据库权限相分离，进而实现云服务客户自行管理的目的； l利用密钥管理技术实现密钥分配管理，确保云服务中的用户自行控制数据的加解密服务。
	附录B 大数据可参考安全性评估方法 B.2 第二级安全评估方法 B.2.3 安全计算环境 B.2.3.6 测试单元（BDS-L2-06） 测评指标：大数据平台应提供静态脱敏和去标识化的工具或服务组件技术。 B.2.3.7 测评单元（BDS-L2-07） 测评指标：对外提供服务的大数据平台，平台或第三方只有在大数据应用授权下才可以对大数据应用的数据资源进行访问、使用和管理。	相关技术： l静态脱敏和去标识化技术实现数据安全发布； l利用授权监管和访问控制技术防止进行未授权的数据分析。
	附录B 大数据可参考安全性评估方法 B.3 第三级安全评估方法 B.3.3 安全计算环境 B.3.3.8 测评单元（BDS-L3-08） 测评指标：大数据平台应提供数据分类分级安全管理功能，供大数据应用针对不同类别级别的数据采取不同的安全保护措施。 B.3.3.11 测评单元（BDS-L3-11） 测评指标：涉及重要数据接口、重要服务接口的调用，应实施访问控制，包括但不限于数据处理、使用、分析、导出、共享、交换等相关操作。 B.3.3.13 测评单元（BDS-L3-13） 测评指标：应跟踪和记录数据采集、处理、分析和挖掘等过程，保证溯源数据能重现相应过程，溯源数据满足合规审计要求。	相关技术： l利用数据分类分级技术实现不同级别数据的差异性保护； l重要数据的使用，可采用身份认证、访问控制技术实现对此类数据的安全访问与使用； l可依靠知识图谱技术解决数据处理记录的日志溯源； l可采用区块链技术解决安全审计要求，防止日志记录被恶意篡改；
	附录B 大数据可参考安全性评估方法 B.3.4 安全建设管理 B.3.4.3 测评单元（BDS-L3-03） 测评指标：应明确约束数据交换、共享的接收方对数据的保护责任，并确保接收方有足够或相当的安全防护能力。	对数据的共享交换场景，要求接收方有足够的安全防护能力。相当于转移了安全责任。 难点在于：如何确保、评估数据接收方有足够的安全防护能力？ 可采用联邦学习和安全多方计算技术，在保护数据保密性的前提下实现数据的共享利用。
	附录B 大数据可参考安全性评估方法 B.3.5 安全运维管理 B.3.5.2 测评单元（BDS-L3-02） 测评指标：应制定并执行数据分类分级保护策略，针对不同类级别的数据制定不同的安全保护措施。 B.3.5.3 测评单元（BDS-L3-03） 测评指标：应在数据分类分级的基础上，划分重要数字资产范围，明确重要数据进行自动脱敏或去标识的使用场景和业务处理流程。	相关技术： l利用数据分类分级技术实现不同级别数据的差异性保护； l在分类分级基础上，利用静态脱敏和去标识化技术实现数据安全发布。
GB/T 25070-2019 《信息安全技术 网络安全等级保护安全设计技术要求》	附录C 大数据设计技术要求 C.3 等保2级 C.3.1 大数据系统安全计算环境设计技术要求 a) 可信访问控制 应提供大数据访问可信验证机制，并对大数据的访问、处理及使用行为进行细粒度控制，对主体客体进行可信验证。 b) 数据保密性保护 应提供数据脱敏和去标识化等机制，确保敏感数据的安全性；应采用技术手段防止进行未授权的数据分析。 c) 剩余信息保护 应为大数据应用提供数据销毁机制，并明确销毁方式和销毁要求。	技术要点： l利用身份认证技术实现数据访问者的身份验证； l利用授权监管机制实现对数据访问者的授权监管； l利用访问控制技术实现对数据访问者的细粒度授权访问； l利用数据脱敏和去标识化技术实现敏感数据的发布安全； l潜在可利用差分隐私技术确保敏感数据可抵御差分查询 攻击； l利用访问控制+授权监管机制防止未经授权的数据分析； l潜在可利用联邦学习+安全多方技术实现敏感数据的数据分析； l利用数据安全擦除技术实现数据的安全销毁。
	附录C 大数据设计技术要求 C.4 等保3级 C.4.1 大数据系统安全计算环境设计技术要求 a) 可信访问控制 C.3.1基础上，添加内容：应对大数据进行分级分类，并确保在数据采集、存储、处理及使用的整个生命周期内分级分类策略的一致性； c) 剩余信息保护 应为大数据应用提供基于数据分级分类的数据销毁机制，并明确销毁方式和销毁要求。 d) 数据溯源 应采用技术手段实现敏感信息、个人信息等重要数据的数据溯源。 e) 个人信息保护 应仅采集和保护业务必须的个人信息。	相关技术： l采用分类分级技术对大数据分类； l在数据分类分级的基础上，利用数据安全擦除技术对数据进行安全销毁； l利用知识图谱技术和溯源分析技术，实现敏感信息和个人信息的数据溯源。
	附录C 大数据设计技术要求 C.5 等保4级 C.5.1 大数据系统安全计算环境设计技术要求 b) 数据保密性保护 应提供数据脱敏和去标识化等机制，确保敏感数据的安全性；应提供数据加密保护机制，确保数据存储安全；应采用技术手段防止进行未授权的数据分析。	相关技术： l利用加密技术实现数据安全存储； l潜在需要提供密钥管理技术，实现加密密钥的管理与分配。