数据安全合规评估方法深圳市信息服务业区块链协会团体标准

ICS 35.030 CCS L80 团体标准 T/SZBA 001—2023 数据安全合规评估方法 Assessment for data security compliance 2023 - 01 -19 发布 2023 - 01 -25 实施 深圳市信息服务业区块链协会 发 布 T/SZBA 001—2023 目次 前言 I 1 范围 1 2 规范性引用文件 1 3 术语和定义 1 4 缩略语 3 5 评估框架 3 6 评估过程 4 准备 4 审核 5 分析 6 评价 6 7 评估内容 7 业务运营模式 7 数据处理主体 7 数据处理活动 8 管理措施及落实 . 10 安全合规跟踪评估 . 13 附录A （资料性） 评估内容和评估重点的影响因素 . 14 附录B （资料性） 关键信息基础设施确定指南（试行） . 15 附录C （资料性） 评估模板示例 . 18 附录D （资料性） 数据安全合规相关主要国内法律罚则 . 20 附录E （资料性） 评估内容与主要国内法律规定对应表 . 28 参考文献 . 30 T/SZBA 001—2023 I 前言 本文件按照GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由深圳市信息服务业区块链协会归口。 本文件起草单位：深圳数宝数据服务股份有限公司、深圳数据交易所有限公司、贵阳大数据交易所 有限责任公司、中正信评（深圳）技术服务有限公司、深圳市律师协会、广东卓建律师事务所、中金金 融认证中心有限公司、北方实验室（沈阳）股份有限公司、深圳市网安计算机安全检测技术有限公司、 广东北源律师事务所、中国科学院深圳先进技术研究院、广东省电信规划设计院有限公司、普华永道管 理咨询 （上海） 有限公司、 北京新国信软件评测技术有限公司 （国家电子政务系统质量检验检测中心） 、 深圳市非凡互动网络科技有限公司、京东科技信息技术有限公司、中国移动通信集团设计院有限公司、 网络空间治理与数字经济法治（长三角）研究基地、中国光大银行股份有限公司深圳分行、版权链全国 运营中心、中电数创（北京）科技有限公司、深圳前海微众银行股份有限公司、深信服科技股份有限公 司、金蝶软件（中国）有限公司、顺丰科技有限公司、深圳市前海智慧版权创新发展研究院、深圳市北 鹏前沿科技法律研究院、联通（四川）产业互联网有限公司、广东安证计算机司法鉴定所、航天四创科 技有限公司、东北大学、中南财经政法大学、北京红枣科技有限公司、上海边界智能科技有限公司、深 圳职业技术学院、上海数据交易所有限公司、华东江苏大数据交易中心股份有限公司、山东数据交易有 限公司、浙江数秦科技有限公司、天枢数链（浙江）科技有限公司、华测检测认证集团股份有限公司、 北京埃尔维质量认证中心、 DAMA中国 （上海市静安区国际数据管理协会） 、 北京清博智能科技有限公司、 深圳索信达数据技术有限公司、XuperCore开源工作组、上海散列信息科技合伙企业、香港数据协会有 限公司、鼎链数字科技（深圳）有限公司、杭州云链趣链数字科技有限公司、大有云钞科技（北京）有 限公司、深圳市迅雷网络技术有限公司、杭州云象网络技术有限公司、深圳市奇异火科技有限公司、福 建省区块链应用商会、深圳市标签数据有限公司、深圳市游迷天下科技有限公司、深圳市国标知识产权 大数据中心、 深圳市智安网络有限公司、 太一云技术股份有限公司、 深圳大学大数据技术与应用研究所、 深圳市大数据研究与应用协会、比邻星球（深圳）科技有限公司、湖南和信区块链研究院、易签链（深 圳）科技有限公司、深圳市中航软件技术有限公司、湖南智慧区块链科技有限公司、欣旺达电子股份有 限公司、深圳市点链科技有限公司、深圳市物联网产业协会、深圳市前海手绘科技文化有限公司、广东 松狐科技有限公司、湖南链上荞农业发展有限公司、中国传感器与物联网产业联盟、北京新基业建成信 息科技院、湖南链城数据服务有限公司、深圳算力信息科技有限公司、广东迪艾生光电技术有限公司、 蔚来智造（深圳）信息技术有限公司、广东省互联网协会、深圳市信联征信有限公司、广州数天科技有 限公司、深圳市智策科技有限公司、深圳西部世界科技有限公司、三峡星未来数据科技（宜昌）有限公 司、深圳市物联传媒有限公司、北京智谷星图科技有限公司、西安数源数据科技有限公司。 本文件主要起草人：王腾、郑定向、龙玺争、劳继、李兰兰、武旭春、白东国、曲强、王磊、钟宏 、李大为、何凤翔、曹恒、李健男、邓伟平、高承实、汪广盛、叶天斌、邓迪、杨通鹏、郝汉、郎晓夫、 刘国栋、王青兰、周江华、王斌、杨雄、刘心田、季慧丽、卢勇、谭坤、杨淋雨、徐江、宣宏量、易海 博、吕寒冰、商庆一、陈宇峰、张金琳、张策、李立中、陈朝晖、柴舸洋、张家铭、王荣礼、姜力铭、 杨志武、任培文、李军、戴智翔、赵春雷、魏强、吕智、段志云、付雨、王超、谢纬、周大兵、肖光昱、 黄步添、雷淦政、陈路、崔成根、何静、冯武、江俊、郭海骏、欧阳小飞、曾哲君、刘智博、郭东旭 、冯晔、俞学劢、韩坤洁、康仙鹏、李可顺、李紫薇、张佳臻、张涛、张健楠、蒋邵杰、李扬、张雪燕 、艾磊、唐建诗、杨欢欢、袁艺匀、李诗婧、康信伟、胡向阳、魏智煌、李胜富、郭军、信俊昌、张瑶 。 T/SZBA 001—2023 II 本文件指导专家：杜平、王春晖、谭敏。 T/SZBAT/SZBA 001—2023 1 数据安全合规评估方法 1 范围 本文件规定了数据安全合规评估的评估框架、评估过程以及评估内容和要求。 本文件适用于各类组织开展数据安全合规评估工作。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。 其中， 注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T 25069 信息安全技术 术语 GB/T 22239 信息安全技术 网络安全等级保护基本要求 GB/T 22240 信息安全技术 网络安全等级保护定级指南 GB/T 37932—2019 信息安全技术 数据交易服务安全要求 GB/T 37964—2019 信息安全技术 个人信息去标识化指南 GB/T 35273—2020 信息安全技术 个人信息安全规范 GB/T 39335—2020 信息安全技术 个人信息安全影响评估指南 GB/T 41391—2022 信息安全技术 移动互联网应用程序（App）收集个人信息基本要求 GB/T 41479—2022 信息安全技术 网络数据处理安全要求 GB/T 39204—2022 信息安全技术 关键信息基础设施安全保护要求 3 术语和定义 GB/T 25069界定的以及下列术语和定义适用于本文件。 数据 data 任何以电子或者其他方式对信息的记录。 [GB/T 41479—2022，3.1] 数据交易 data transaction 数据供方和需方之间以数据商品作为交易对象，进行的以货币或货币等价物交换数据商品的行为。 注1:数据商