1 标准解读
标准核心从政务信息共享模型中所涉及的三方（共享数据提供方、共享数据交换服务方与共享数据使用方）及三阶段（共享数据准备、共享交换和共享数据使用）分析政务数据在共享流转过程中所存在的安全风险，并基于安全风险提出了 144 项安全技术要求，覆盖政务信息共享数据安全技术要求框架，共享数据准备、共享数据交换、共享数据使用阶段及相关基础设施的安全技术要求，如图 1 所示。 图 1 政务信息共享数据安全技术要求框架
1.1 明确定义了涵盖三方三阶段的政务信息共享模型
标准的核心目的是用于指导各地方政务信息共享交换数据安全体系的建设，因此在标准中对政务信息共享业务模型进行了重新梳理，其核心基于三方与三阶段梳理了业务模型如图 2所示，明确每方在每个阶段所涉及的业务管理行为，其对各方理解政务信息共享的业务有直观的指导作用。
图 2 政务信息共享交换业务模型
1.2 安全技术要求涵盖政务信息共享的全生命周期
标准围绕数据共享阶段划分为三个阶段，分别是准备阶段、交换阶段和使用阶段，而从数据的全生命周期维度来看，即从数据采集、治理、存储、使用及销毁等核心环节，这些环节的要求在三个阶段中均有不同维度的体现，如在数据共享准备阶段，即包含了数据采集、数据治理、数据存储的要求；在数据使用阶段包含了对数据治理、使用及销毁等要求，基本可覆盖数据的全生命周期。另外，从数据的重要性来看，标准主要还是按照一般数据及敏感数据进行大的分类，针对敏感数据会提出更有针对性的安全要求，但在对敏感数据的划分上，标准中并未有明确的指出。
1.3 安全技术要求上更加强调国家密码的应用
针对各阶段的数据安全技术应用，标准提出包括数据加密、数据脱敏、数据水印、数据溯源、身份认证、安全传输等安全技术要求，而在涉及使用密码学技术层面的要求上，标准中特别强调要符合 GM/T 0054—2018 等国家相关标准规定的密码技术，一是推进国密算法的
应用；二是通过使用国密算法亦能进一步确保底层核心技术的安全性。另外在安全技术要求上，标准中首次提出了数据召回的概念，希望能通过召回技术对失效或敏感数据进行管控，进一步保障在使用过程中的安全，但在标准中未明确如何实现召回的要求。
2 各地方政务信息共享安全防护措施与标准尚有距
在标准正式发布后，结合各地方政务信息共享安全建设的情况与标准的 144 条安全技术要求进行了对标分析发现，各地方目前已有的安全措施能基本符合标准要求的有 49 条，占比40%；部分符合要求的有 24 条，占比 19%；不符合要求的有 51 条，占比 41%，如图 3 所示，总体距离标准的要求还有较大的差距。
图 3 各地方政务信息共享安全建设与标准符合度分析
各地方政务信息共享交换平台上线运营后，在业务管理上，多数尚未对数据进行分级分类管理，一方面，是因为国家层面尚未有明确的分级分类的管理方法，地方尚不能清晰做好数据的等级界定，另一方面，是因为目前在政务数据共享层面主要是以无条件共享为主，在有条件及不予共享层面牵涉较少，故暂不考虑分级管理；安全技术层面，在身份认证、数据加密、脱敏、溯源的应用上仍有标准不统一的欠缺，且在共享数据自主可控上亦有很多顾虑。
3 标准关键技术要求
标准核心规范应用各类加密技术，针对跨层级、跨地域、跨系统、跨部门、跨业务的不同政务信息共享资源系统提出多种安全方法和技术要求，按照分级分类方式制定框架体系保障政务服务平台的数据安全共享。
3.1 核心技术要求
针对政务信息数据流转的全过程和面临的数据安全风险，提出数据安全技术要求，主要包括身份鉴别、访问控制、安全传输、数据加密、脱敏处理、安全审计等方面涉及的安全技术要
求。
3.2 主要技术内容
共享数据准备安全技术要求。包括共享数据归集、数据分级分类、资源目录安全管理、共享数据维护等环节的安全技术要求。其中共享数据归集主要包括数据源鉴别的安全技术要求；共享数据维护主要包括数据质量控制、数据存储加密、数据存储隔离、数据召回及销毁等方面的安全技术要求。
共享数据交换安全技术要求。包括身份管理、授权管理、审验审核、数据导出、数据交换、数据导入等环节的安全技术要求。其中数据导出包括数据脱敏、数据加密、数据标记、安全策略检查等方面的安全技术要求；数据交换包括身份鉴别、访问控制、安全传输、操作抗抵赖、过程追溯、级联接口安全等方面的安全技术要求；数据导入包括故障保护、质量认定、数据分责等方面的安全技术要求。
豫公网安备41160202000603
站长QQ:729038198
关于我们
投诉建议