制定背景
2019年开年伊始,就个人信息安全保护治理行动,各部门动作频频,作为主要执法机构之一的公安部于2019年4月发布了《互联网个人信息安全保护指南》(以下简称《保护指南》),旨在有效防范侵犯公民个人信息违法行为,保障网络数据安全和公民合法权益,供互联网服务单位在个人信息保护工作中参考。
实际上,公安部早在2018年11月30日发布了《互联网个人信息安全保护指引(征求意见稿)》(以下简称《保护指引》),作为保护指南的前身,保护指引主要结合了《个人信息安全规范》和《信息系统安全等级保护基本要求》两部国家标准的要求对于个人信息保护工作进行规范。最终出台的保护指南的文本与保护指引相比,整合了《个人信息安全规范》和《网络安全法》关于等级保护、内容治理、重要数据以及跨境数据传输方面的要求,还就安全事件响应部分另设单节,对于《网络安全法》中关于安全事件管理的环节进行了更为具化的落实,呈现出技术措施和管理措施相结合的趋势。由此,我们将就保护指引和保护指南的重大修改调整之处对于该指南进行完整介绍和解析。
具体解析
1.范围

保护指引
保护指南
评析
本指引规定了个人信息安全保护的安全管理机制、安全技术措施和业务流程的安全。
本指引适用于指导个人信息持有者在个人信息生命周期处理过程中开展安全保护工作,也适用于网络安全监管职能部门依法进行个人信息保护监督检查时参考使用。
本文件制定了个人信息安全保护的管理机制、安全技术措施和业务流程。
适用于个人信息持有者在个人信息生命周期处理过程中开展安全保护工作参考使用。本文件适用于通过互联网提供服务的企业,也适用于使用专网或非联网环境控制和处理个人信息的组织或个人。
保护指南与保护指引的范围基本相同,仅在适用对象方面有所区分,保护指南明确适用对象包括互联网企业和专网或非联网环境控制和处理个人信息的组织或个人,删除了保护指引中原有的执法监督检查时参考使用的环节,强调了保护指南的参考作用。

2.规范性引用文件

保护指引
保护指南
评析
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文件。
凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB/T22239—2008 信息安全技术 信息系统安全等级保护基本要求
GB/T25069—2010 信息安全技术 术语
GB/T35273—2017 信息安全技术 个人信息安全规范
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB/T25069—2010 信息安全技术 术语
GB/T35273—2017 信息安全技术 个人信息安全规范
GB/T22239 信息安全技术 网络安全等级保护基本要求(信息系统安全等级保护基本要求)
保护指南最终删除了等保基本要求规范的日期限制,我们理解这与等保标准的修订进程有关,企业需要保持密切关注。

3.术语和定义

保护指引
保护指南
评析
3.1个人信息[1]
3.2个人信息主体
3.3个人信息生命周期:包括个人信息主体收集、保存、使用、委托处理、共享、转让和公开披露、销毁个人信息在内的全部生命历程。
3.4个人信息持有者:对个人信息进行控制和处理的组织或个人。
3.5个人信息持有:对个人信息及相关资源、环境、管理体系等进行计划、组织、协调、控制的相关活动或行为。
3.6个人信息收集
3.7个人信息使用
3.8个人信息删除
相较保护指引新增:
3.9个人信息处理系统
处理个人信息的计算机信息系统,涉及个人信息生命周期一个或多个阶段(收集、保存、应用、委托处理、共享、转让和公开披露、删除)。
保护指南最终就个人信息的定义引用了网安法的规定(保护指引引用了个人信息安全规范),并新增了个人信息处理系统的定义,除此之外,二者并无显著区别。但它们都提出了个人信息持有和持有者的概念,持有者包括个人信息安全规范中提及的控制者和处理者,此外还对个人信息生命周期进行了定义。

4.管理机制

保护指引
保护指南
评析
4.1管理制度
4.1.1管理制度内容
4.1.2管理制度制定发布
4.1.3管理制度执行落实
4.1.4管理制度评审改进
4.2管理机构
4.2.1管理机构的岗位设置
4.2.2管理机构的人员配置
4.3管理人员
4.3.1管理人员的录用
4.3.2管理人员的离岗
4.3.3管理人员的考核
4.3.4管理人员的教育培训
4.3.5外部人员访问
新增:
4.1 基本要求
个人信息处理系统的安全管理要求应满足GB/T 22239相应等级的要求。
保护指南最后增加了4.1满足等级保护相应规定的总体要求,其他的要求基本保持不变,仅在内部顺序和内容组织上进行了微调。

5.技术措施

保护指引
保护指南
评析
5.1基本要求
的物理安全、网络安全、主机安全、应用安全、数据安全及备份 恢复要求进行安全保护,并满足以下要求:
5.1 基本要求
个人信息处理系统其安全技术措施应满足GB/T 22239相应等级的要求,按照网络安全等级保护制度的要求,履行安全保护义务,保障网络免受干扰、破坏或者未经授权的访问,防止网络数据泄露或者被窃取、篡改。
与4.管理机制的修改思路保持一致,保护指南强调了应满足等保技术标准相应等级的要求,与保护指引统一采取第三极等保这一较高标准的要求不同,要求处理系统按照其相应等级履行义务,给予企业根据自身的保护等级和风险大小予以适当保护的空间,更加符合网安法等级保护制度。
5.1.1 网络和通信安全
5.1.1.1 网络架构
5.1.1.2 通信传输
5.1.1.3 边界防护
5.1.1.4 访问控制
5.1.1.5 入侵防范
5.1.1.6 恶意代码和垃圾邮件防范
5.1.1.7 安全审计
5.1.2 设备和计算
5.1.2.1 身份鉴别
5.1.2.2 访问控制
5.1.2.3 安全审计
5.1.2.4 入侵防范
5.1.2.5 恶意代码防范和程序可信执行
5.1.2.6 资源控制
5.1.3 应用和数据
5.1.3.1 身份鉴别
5.1.3.2 访问控制
5.1.3.4 软件容错
5.1.3.5 资源控制
5.1.3.6 数据完整性
5.1.3.7 数据保密性
5.1.3.8 数据备份恢复
5.1.3.9 剩余信息保护
5.2 增强要求
5.2.1 云计算安全增强要求
5.2.2 物联网安全扩展增强要求
5.2 通用要求
5.2.1 通信网络安全
5.2.1.1 网络架构
5.2.1.2 通信传输
5.2.2 区域边界安全
5.2.2.1 边界防护
5.2.2.2 访问控制
5.2.2.3 入侵防范
5.2.2.4 恶意代码防范
5.2.2.5 安全审计
5.2.3 计算环境安全
5.2.3.1 身份鉴别
5.2.3.2 访问控制
5.2.3.3 安全审计
5.2.3.4 入侵防范
5.2.3.5 恶意代码防范和程序可信执行
5.2.3.6 资源控制
5.2.4 应用和数据安全
5.2.4.1 身份鉴别
5.2.4.2 访问控制
5.2.4.3 安全审计
5.2.4.4 软件容错
5.2.4.5 资源控制
5.2.4.6 数据完整性
5.2.4.7 数据保密性
5.2.4.8 数据备份恢复
5.2.4.9 剩余信息保护
5.3扩展要求
5.3.1 云计算安全扩展要求
新增:a)应确保个人信息在云计算平台中存储于中国境内,如需出境应遵循国家相关规定;
5.2.2 物联网安全扩展增强要求
就通用要求而言,基本源自等级保护标准中与数据保护相关的内容,具体内容上保护指南与之前相差不大,仅做了体系上和逻辑上的微调。
保护指南新增了关于个人信息云平台存储的要求,一是确保数据本地化存储(云计算的IDC要在境内),二是如需出境,则还要遵循数据出境的监管规定。

6.业务流程

保护指引
保护指南
评析
6.1收集
个人信息的收集行为应满足以下要求:
a) 个人信息收集前,应向被收集的个人信息主体公示本机构收集的目的、范围、方法和手段、处理方式等信息;
b) 个人信息收集应获得个人信息主体的同意和授权;
c) 个人信息收集应执行收集前签署的约定和协议,不应有超范围收集的现象;
d) 应确保收集个人信息过程的安全性:
1) 收集个人信息之前,应有对被收集人进行身份认证的机制,该身份认证机制应具有相应安全性;
2) 收集个人信息时,信息在传输过程中应进行加密等保护处理;
3) 收集个人信息的系统应落实网络安全等级保护要求;
4) 收集个人信息时应有对收集内容进行安全检测和过滤的机制,防止非法内容提交
个人信息的收集行为应满足以下要求:
a)个人信息收集前,应当遵循合法、正当、必要的原则向被收集的个人信息主体公开收集、使用规则,明示收集、使用信息的目的、方式和范围等信息;
b) 个人信息收集应获得个人信息主体的同意和授权,不应收集与其提供的服务无关的个人信息,不应通过捆绑产品或服务各项业务功能等方式强迫收集个人信息;
c) 个人信息收集应执行收集前签署的约定和协议,不应超范围收集;
d)不应大规模收集或处理我国公民的种族、民族、政治观点、宗教信仰等敏感数据;
e)个人生物识别信息应仅收集和使用摘要信息,避免收集其原始信息;
f) 应确保收集个人信息过程的安全性:
1)收集个人信息之前,应有对被收集人进行身份认证的机制,该身份认证机制应具有相应安全性;
2)收集个人信息时,信息在传输过程中应进行加密等保护处理;
3)收集个人信息的系统应落实网络安全等级保护要求;
4)收集个人信息时应有对收集内容进行安全检测和过滤的机制,防止非法内容提交。
1.增加了网安法项下规定的收集原则,使用明示而非公示的表述,结合了APP自查指南的规定,对于收集无关信息,捆绑授权的现象进一步作出了禁止;
2.对于生物识别信息等个人敏感信息进一步做出了降低风险进行收集的要求;
3.对于大规模收集公民的敏感数据进行了禁止,与网安法项下的重要数据制度或可相关;
4.与《个人信息安全规范》相比,强调了等保及内容管理相关的技术措施。
6.2保存
个人信息的保存行为应满足以下要求:
a) 收集到的个人信息应采取相应的安全加密存储等安全措施进行处理;
b) 应对保存的个人信息根据收集、使用目的、被收集人授权设置相应的保存时限;
c) 应对保存的个人信息在超出设置的时限后予以删除;
d) 保存信息的主要设备,应对个人信息数据提供备份和恢复功能,确保数据备份的频率和时间间隔,并使用不少于以下一种备份手段:
1) 具有本地数据备份功能;
2) 将备份介质进行场外存放;
3) 具有异地数据备份功能。
个人信息的保存行为应满足以下要求:
a)在境内运营中收集和产生的个人信息应在境内存储,如需出境应遵循国家相关规定;
b) 收集到的个人信息应采取相应的安全加密存储等安全措施进行处理;
c) 应对保存的个人信息根据收集、使用目的、被收集人授权设置相应的保存时限;
d) 应对保存的个人信息在超出设置的时限后予以删除;
e) 保存信息的主要设备,应对个人信息数据提供备份和恢复功能,确保数据备份的频率和时间间隔,并使用不少于以下一种备份手段:
1) 具有本地数据备份功能;
2) 将备份介质进行场外存放;
3) 具有异地数据备份功能。
1.增加了境内运营收集的个人信息本地化存储的要求;
2.与《个人信息安全规范》相比增加了备份的一些技术要求。
6.3应用
个人信息的应用应满足以下要求:
a) 对个人信息的应用,应符合与个人信息主体签署的相关协议和规定,不应超范围应用个人信息;注:经过匿名化或脱敏的方式处理的个人信息数据可用于历史、统计或科学目的,可以超出与信息主体签署的 相关使用协议和约定,但应提供适当的保护措施进行保护。