文件编码：XXX-XXXX-014 数据导入导出安全 管理规范 发布/修订日期：2022 年 6 月 20 日 生 效 日 期： 2022 年 6 月 20 日 北京思度咨询科技有限公司文件修改记录 序 号文件代码修改章节文件更改通知单编号 修改日期修改人批准人第一章 总则 第一条 为避免北京思度咨询科技有限公司在数据导入时引入恶意数据，并 降低在数据导出使用过程中出现数据泄露的安全风险，制定本规范。 第二条 本规范适用于北京思度咨询科技有限公司数据导入导出安全管理。 第二章 数据导入导出安全管理 第三条 由保障服务中心-数据导入导出安全岗人员负责具体的数据导入导 出工作。数据导入前需要填写《数据导入导出审批表》，明确导入导出的时间、 用途、申请人员等，向技术中心 -数据资产管理岗人员提出审批申请，待审批通 过后方可进行数据大如导出工作。《数据导入导出审批表》需永久保存。 第四条 技术中心-数据资产管理岗人员在接受数据导入申请后对需要导入 文件进行风险评估，以避免文件中带有病毒等非法程序。评估内容包括但不限于 以下几个方面： （一）病毒查杀。使用杀毒软件对待导入文件进行扫描，判断其中是否包含 非法程序。 （二）文件执行。若文件中包含 .exe、.php等可执行文件，必须在虚拟环境 中试运行后方可导入到终端环境中，保证不存在建立非法进程，开放不必要端口 的情况。 第五条 所有导入系统中的数据必须保留副本，无特殊要求则保存期限为一 个数据更新周期（例如数据每月导入一次则保存周期为一个月）。 第六条 保障服务中心-数据导入导出安全岗人员应组织定期审计《数据导 入导出审批表》导入数据副本以及数据库日志，保证数据导入人员依照审批要求 导入数据，不存在遗漏数据或者未经审批导入数据的情况。 第七条 数据导出时必须对导出者身份进行鉴别，如：数据导出时使用授权 的用户名密码通过登陆堡垒机等安全设备访 问数据库导出数据，记录其登陆 状态 和操作内容。 第八条 数据导出时必须对数据进行 加密，加密场景、对应加密算法以及密 钥管理规则依据XXX科技发展有限公司 相关规定执行。 第 1 页 共 3 页第九条 从服务器中导出数据时，数据导出后应及时 清理内存缓存，保证数 据不可被再次读出；经浏览器由数据服务 平台导出数据后应及时 清除浏览器缓存， 避免数据泄露。 第十条 技术中心-数据资产管理岗人员组织 相关人员对待导出文件进行数 据风险评估，依据评估 结果对导出数据 采取对应的保 护措施。评估内容包括但不 限于以下方面： （一）字段分级。导出的数据含有的 高等级的字段越多，说明数据影响性越 大，则数据泄露的 危害就越大，数据导出的风险 就越高。 （二）数据量。导出数据的数据 量越大，则含有的有效 信息量就越大，数据 导出风险 就越高。 （三）关联关系。导出的数据 仅仅牵扯到单个机 构时，数据间的 关联性就较 低，当导出数据 牵涉多个机构时，可采用数据挖掘的方法得到的信息就更多，数 据导出风险 就越高。 （四）数据时效 性。导出数据为 最新产生数据时，数据的时效 性最高，数据 的保密需求 也就更高，数据的导出风险 也越高。 第十一条 所有的导出数据 都要做备份存储，并定期对 此部分备份数据进行 数据导出风险评估， 直至风险评估 结果认为此部分数据无风险时方可进行数据 销 毁处理。 第十二条 导出数据在进行 共享时，需要 按照导出数据的 级别采用对应的安 全策略（如：借助工具对数据 加水印，保证数据泄漏时 能依据水印追溯出数据泄 露源）。禁止直接导出高等级原始数据，数据 分级为三级及以上等级字段导出时 必须进行数据 脱敏。 第十三条 当数据导出到个人终端进行数据 分析挖掘使用时，应保证终端的 安全性，终端安全要求应 按照北京思度咨询科技有限公司终端安全管理要求执行 ， 对于数据的 分析安全管理过程需 按照北京思度咨询科技有限公司数据 分析安全管 理要求执行， 原则上敏感数据不允许导出到个人终端，如有必要，则数据 加工完 成后，须要 将终端的数据进行 销毁。 第十四条 当通过存储媒体（如U盘、硬盘、闪存、磁盘等）导出数据时， 保障服务中心-数据导入导出安全岗人员应依据 XXX科技发展有限公司存 储媒体 安全管理要求执行，并定期 验证导出数据的 完整性和可用性。 第十五条 通过系统或服务 器导入导出数据时， 保障服务中心-数据导入导 出安全岗人员应制定导入导出审计 策略和日志管理规程，保存导入导出过程中的 出错数据处理记录。 第 2 页 共 4 页第三章 附则 第十六条 本规范由数据安全 领导小组办公室负责制定、 解释和修改。 第十七条 对违反本规定的人员， 将按照北京思度咨询科技有限公司有 关规 定进行处罚。 第十八条 本规范自发布之日起执行。 第 3 页 共 3 页