《山西省政務數據安全管理辦法》是為加強全省政務數據安全管理，規範政務數據處理活動，維護國家安全、社會秩序和公共利益，根據《中華人民共和國網路安全法》《中華人民共和國數據安全法》《中華人民共和國個人信息保護法》等法律法規，結合山西省實際制定的辦法。山西省人民政府辦公廳於2023年5月22日印發，自2023年7月1日起施行，有效期2年。
基本介紹
- 中文名：山西省政務數據安全管理辦法
- 頒布時間：2023年5月22日
- 實施時間：2023年7月1日
- 發布單位：山西省人民政府辦公廳
- 發文字號：晉政辦發〔2023〕30號
- 有效期限：2年
印發信息,辦法全文,辦法解讀,
印發信息
山西省人民政府辦公廳關於印發山西省政務數據安全管理辦法的通知
晉政辦發〔2023〕30號
各市、縣人民政府，省人民政府各委、辦、廳、局：
《山西省政務數據安全管理辦法》已經省人民政府同意，現印發給你們，請認真貫徹執行。
山西省人民政府辦公廳
2023年5月22日
辦法全文
山西省政務數據安全管理辦法
第一章 總則
第一條 為加強全省政務數據安全管理，規範政務數據處理活動，維護國家安全、社會秩序和公共利益，根據《中華人民共和國網路安全法》《中華人民共和國數據安全法》《中華人民共和國個人信息保護法》等法律法規，結合我省實際，制定本辦法。
第二條 本辦法所稱政務數據，是指各級人民政府、縣級以上人民政府所屬部門、列入黨群工作機構序列但依法承擔行政職能的部門以及法律、法規授權的具有公共管理和服務職能的組織（以下簡稱政務部門）在依法履職過程中收集和產生的各類數據。所稱政務數據安全，是指通過採取必要措施，確保政務數據處於有效保護和合法使用的狀態，具備保障政務數據的完整性、保密性、可用性的能力。
第三條 本省行政區域內對政務數據進行收集、存儲、使用、加工、傳輸、提供、公開和銷毀等處理活動，以及政務數據安全保護和監督管理的工作，適用本辦法。
涉及國家秘密、商業秘密、個人信息的政務數據處理活動，按照有關法律、法規規定執行。
第四條 政務數據安全管理採取政府主導、分工負責、積極防禦、綜合防範的方針，堅持保障政務數據安全與促進信息化發展相協調、管理與技術統籌兼顧的原則。
第五條 縣級以上網信部門統籌協調本行政區域內政務網路數據安全和相關監管工作。
縣級以上人民政府公安機關在職責範圍內負責本行政區域內政務數據安全監督、管理等工作。
縣級以上人民政府確定的政務信息管理部門負責組織協調有關單位開展政務數據安全保障工作。
保密、國家安全、密碼、通信管理等主管部門按照各自職責，做好政務數據安全管理相關工作。
第六條 各地區、各部門對本地區、本部門工作中收集和產生的數據及數據安全負責。政務信息系統的建設模式、部署方式、運維形式發生調整變化後，政務部門的數據安全主體責任不變，管理標準不變。
第二章 安全制度
第七條 政務數據安全管理遵循“誰提供、誰負責，誰流轉、誰負責，誰使用、誰負責”的原則。政務部門應當將安全管理貫穿於數據處理活動中。
第八條 政務部門應當明確本部門負責政務數據安全管理的機構，建立健全政務數據安全管理制度，落實安全保護責任，定期開展數據安全意識教育和專項技能培訓。
第九條 政務信息管理部門應當指導督促本級政務部門對政務數據進行分類分級管理。政務部門按照政務數據分類分級規則和標準確定數據類別和安全保護級別，對重要數據進行重點保護，對核心數據在重要數據保護基礎上實施更嚴格的管理和保護，在政務數據全生命周期採取差異化管理措施。
第十條 政務部門應當和參與本部門數據處理活動的人員簽訂安全保密協定，必要時對其進行安全背景審查。
第十一條 政務部門委託政務信息系統建設、運維運營等單位開展政務數據處理活動，應當與其簽訂契約和保密協定等，明確數據安全保護義務，並監督其履行到位。受託方處理政務數據後，政務部門的數據安全主體責任不變。
受託方應當依照法律、法規規定及契約約定履行政務數據安全保護義務，承擔基礎運行環境及技術保障服務安全管理責任，保證政務部門對政務數據的訪問、使用、支配，不得擅自留存、訪問、修改、使用、泄露、銷毀或者向他人提供政務數據。
第十二條 涉及政務數據出境的，應當遵守《數據出境安全評估辦法》等有關法律法規規定。
第三章 安全管理
第十三條 開展政務數據收集活動時，應當遵循“一數一源”的原則，明確收集的範圍、目的和用途，保證數據收集的合法性、正當性和必要性，對數據收集的環境、設施和技術採取必要的安全管理措施。
政務部門可以通過共享方式獲取的政務數據資源，不再重複收集。
第十四條 開展政務數據存儲活動時，應當選擇與政務數據分級保護要求相匹配的存儲載體，依照相關規定對數據進行加密存儲，對移動存儲介質進行嚴格管理。有容災備份要求的，應當按照有關規定建立數據容災備份機制。
第十五條 在法定職責範圍內開展政務數據使用活動時，應當依照法律、法規等有關規定採取管控措施，確保數據使用過程合規、可控、可追蹤溯源。使用其他部門的政務數據，原則上應當通過政務數據共享交換平台進行。
第十六條 開展政務數據加工活動時，應當遵循合法、正當、必要的原則，採取必要的安全管理和技術措施，防止數據泄露，確保衍生數據不超過原始數據的授權範圍和安全使用要求。
第十七條 開展政務數據傳輸活動時，應當根據傳輸的政務數據安全級別和套用場景，制定數據傳輸安全策略，採用安全可信通道或數據加密等安全管理措施，確保政務數據傳輸過程安全可信。
第十八條 開展政務數據提供活動時，應當按照分類分級要求，對政務數據進行內部審查，明確數據提供方式、使用範圍、套用場景以及安全保護措施、責任義務等，必要時可與使用單位簽訂數據安全協定。
第十九條 政務部門應當遵循公正、公平、便民的原則，在確保國家安全、商業秘密和個人合法權益不受損害的前提下，編制可開放的政務數據目錄，並對開放的政務數據進行清洗、脫敏、脫密、格式轉換等處理。依法不予公開的除外。
開展政務數據公開活動時，應當按照有關規定進行安全風險評估，明確公開數據的內容與類型、公開方式、公開範圍、安全保障措施、可能的風險與影響範圍以及更新頻率等，並進行動態調整。
第二十條 開展政務數據銷毀活動時，應當建立政務數據銷毀制度，嚴格履行審批程式，採取必要措施予以銷毀。
第二十一條 利用網際網路等信息網路開展政務數據處理活動的，應當在網路安全等級保護制度的基礎上，履行上述數據安全保護措施，統籌協調網路與數據安全保護工作。備案級別在第三級以上的網路系統要定期開展等級測評，並向屬地公安機關報送等級測評報告。
第四章 安全保障
第二十二條 重要數據的處理者應當按照規定對其數據處理活動定期開展風險評估，並向有關主管部門報送風險評估報告。
第二十三條 政務部門和政務信息系統建設、運維運營等單位應當加強政務數據安全風險監測，發現政務數據安全缺陷、漏洞等風險時，應當立即採取補救措施。
第二十四條 政務部門及政務信息系統建設、運維運營等單位應當制定政務數據安全事件應急預案，組織協調重要數據和核心數據安全事件應急處置工作，定期開展應急演練。
發生政務數據安全事件時，應當立即依法啟動應急預案，採取應急處置措施，按照規定及時告知用戶並向網信、公安、政務信息管理等有關部門報告。
第二十五條 政務部門及政務信息系統建設、運維運營等單位從事政務數據處理活動時，應當建立日誌記錄規範，並對異常操作行為進行監控和告警，保障重要操作行為可追蹤溯源。日誌留存時間不少於6個月，並定期進行安全審計，形成審計報告。政務部門及政務信息系統建設、運維運營等單位應當配合有關主管部門組織的數據安全審計活動。
第五章 安全責任
第二十六條 政務信息管理部門應當建立政務數據監督檢查制度，確定政務數據安全監督檢查的對象、內容和流程等，並建立信息通報機制。
第二十七條 政務部門在履行本部門、本行業政務數據安全監管職責中，發現數據處理活動存在較大安全風險的，可以按照規定的許可權和程式對有關組織、個人進行約談，並要求有關組織、個人採取措施進行整改，消除隱患。
第二十八條 政務部門不履行本辦法規定的政務數據安全保護義務的，由有關主管部門責令限期改正；造成政務數據安全隱患或導致安全事件發生的，對責任單位進行書面通報，並對直接負責的主管人員和其他直接責任人員依法給予處分；構成犯罪的，依法追究刑事責任。
第二十九條 履行政務數據安全監管職責的工作人員濫用職權、玩忽職守、徇私舞弊的，由有關主管部門根據情節輕重依法給予處分；構成犯罪的，依法追究刑事責任。
第六章 附則
第三十條 本辦法由省政務信息管理局負責解釋。
第三十一條 本辦法自2023年7月1日起施行，有效期2年。
辦法解讀
《辦法》重點解決了政務數據安全“誰來管、管什麼、怎么管”的問題。落實了政務數據的安全管理責任，明確了主管部門、政務部門及政務信息系統建設、運維運營等單位的三方責任，確保政務數據安全管理邊界清晰、職責明確、責任落實；建立健全政務數據全生命周期安全管理機制，遵循“誰提供、誰負責，誰流轉、誰負責，誰使用、誰負責”的原則，圍繞政務數據全生命周期收集、存儲、使用、加工、傳輸、提供、公開、銷毀等8個環節，提出相應安全管理和保護要求；提高政務數據安全保障能力，通過開展政務數據安全風險評估、風險監測、應急演練、安全審計，提高政務數據安全風險發現、監測、處置、預警能力。
此外，《辦法》還明確了政務信息系統的建設模式、部署方式、運維形式發生調整變化後，政務部門的數據安全主體責任不變。並對政務數據分類分級管理、政務數據出境、監督檢查制度以及政務部門和工作人員的安全責任等提出了相應要求。
《辦法》在安全制度、安全管理、安全保障及安全責任等方面做出了明確規定。其中，在安全制度方面，政務數據安全管理遵循“誰提供、誰負責，誰流轉、誰負責，誰使用、誰負責”的原則，將安全管理貫穿於數據處理活動中。政務部門應當明確本部門負責政務數據安全管理的機構，建立健全政務數據安全管理制度，落實安全保護責任，定期開展數據安全意識教育和專項技能培訓。
在安全管理方面，遵循“一數一源”的原則，開展政務數據收集活動，明確收集的範圍、目的和用途，保證數據收集的合法性、正當性和必要性，對數據收集的環境、設施和技術採取必要的安全管理措施。政務部門可以通過共享方式獲取的政務數據資源，不再重複收集。
在安全保障方面，政務部門和政務信息系統建設、運維運營等單位應當加強政務數據安全風險監測，發現政務數據安全缺陷、漏洞等風險時，應當立即採取補救措施。發生政務數據安全事件時，應當立即依法啟動應急預案，採取應急處置措施，按照規定及時告知用戶並向網信、公安、政務信息管理等有關部門報告。
在安全責任方面，政務信息管理部門應當建立政務數據監督檢查制度，確定政務數據安全監督檢查的對象、內容和流程等，並建立信息通報機制。此外，履行政務數據安全監管職責的工作人員濫用職權、玩忽職守、徇私舞弊的，由有關主管部門根據情節輕重依法給予處分；構成犯罪的，依法追究刑事責任。
