ICS 33.040 YD CCS M 10 中华人民共和国通信行业标准 YD/T3802—202X 修订YD/T3802-2020 电信领域数据安全分级保护要求 Classification protection requirements for data security in telecom field X×× X-X ×-X ×发布 ××××-××-××实施 中华人民共和国工业和信息化部发布 YD/T3802-202X 目 次 前 言 1范围 2规范性引用文件 3术语和定义 4缩略语、 5概述.. 5.1总体要求 5.2安全保护要求级别 6数据安全基本原则. 7基础性数据安全保护要求， 7.1组织保障 7.2数据分类分级. 7.3权限管理 7.4日志留存.. 7.5风险监测预警 7.6应急处置 7.7安全评估. 7.8教育培训 8数据全生命周期安全保护要求 8.1数据收集 8.2数据存储， 8.3数据使用加工 8.4数据传输， 8.5数据提供， 8.6数据跨境.. 10 8.7数据公开.. 10 8.8数据销毁 11 附录A（资料性）数据接口清单模板 12 参考文献 13 YD/T3802-202X 前言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 结构调整和编辑性改动外，主要技术变化如下： a）更改了“概述”（见2020版的第4章），细分了保护要求（见4.1和4.2）。 b）更改了“数据分类分级”，细分了保护要求，并将2020年版的有关内容更改后纳入（见2020 版的第6章，6.2）。 （见2020版的7.6）。细分了组织保障、权限管理、日志留存、安全评估和应急处置中针对重要数据和 核心数据的增强要求，并将2020年版的有关内容更改后纳入（见6.1、6.3、6.4、6.6、6.7，2020版的第 7章）。 d）增加了“风险监测预警”相关要求（见6.5）。 e）删除了“举报投诉处理”相关要求（见2020版的7.8）。 f）增加了“教育培训”中针对重要数据和核心数据的增强要求（见6.8.2）。 （）， ，，“，“，，，（ “，“，，， 保护相关要求（见2020版第8、9、10、11、12、13章，第7章7.1、7.2、7.3、7.4、7.5、7.7、7.8）。 i）增加了“数据跨境”分级保护要求（见7.6）。 ） 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由中国通信标准化协会提出并归口。 YD/T3802-202X 本文件起草单位：中国信息通信研究院、中国移动通信集团有限公司、中国联合网络通信集团有 限公司、阿里云计算有限公司、北京通和实益电信科学技术研究所有限公司、深信服科技股份有限公 司、华为技术有限公司、北京万里红科技有限公司、杭州安恒信息技术股份有限公司、全知科技（杭 州）有限责任公司、北京天融信网络安全技术有限公司、北京亚鸿世纪科技发展有限公司、东软集团 股份有限公司、上海观安信息技术股份有限公司、北京奇虎科技有限公司。 本文件主要起草人：张媛媛、姜宇泽、庞妹、魏薇、寇金锋、陈诗洋、江为强、孙艺、孙勇、刘 晓、宋博韬、邵萌、姜国通、田丽丹、魏凤玲、杨剑、谢美、彭雪娜、谢江、姚一楠， 本文件及其所代替文件的历次版本发布情况为： 一一2020年首次发布； 一一本次为第一次修订。 电信领域数据安全分级保护要求 1范围 本文件规定了电信数据处理者开展电信领域数据处理活动应遵循的原则和安全保护要求，包 括组织保障、数据分类分级、权限管理等基础性数据安全保护要求，以及数据全生命周期安全保 护要求。 本文件适用于电信数据处理者开展电信领域数据安全保护。本文件不适用于对涉及军事、政 务、国家秘密信息等数据的安全保护。 2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引 用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修 改单）适用于本文件。 GB/T20986-2007信息安全技术信息安全事件分类分级指南 GB/T42447-2023信息安全技术电信领域数据安全指南 3术语和定义 下列术语和定义适用于本文件。 3. 1 电信领域重要数据keydataintelecomfield 一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益的电信 数据（包括原始数据和汇聚、整合、分析等处理中以及处理后的衍生数据）。仅影响电信数据处 理者自身的电信数据，一般不作为重要数据。 3. 2 电信领域核心数据coredataintelecomfielc 关系国家安全、国民经济命脉、重要民生、重大公共利益的电信数据（包括原始数据和汇聚、 整合、分析等处理中以及处理后的衍生数据）。 3. 3 电信领域一般数据generaldataintelecomfield 未纳入重要数据、核心数据目录的电信数据。 3. 4 电信数据处理者telecomdataprocessor 取得电信业务经营许可证，且在电信数据处理活动中自主决定处理目的、处理方式的电信业 务经营者。 注：在不引起混淆的情况下，本文件中的“电信数据处理者”简称为“数据处理者”。 3. 5 数据资产dataasset 3 YD/T3802-202X 特定主体合法拥有或者控制的，能进行货币计量的，且能带来经济利益或社会效益的数据资 源。 [来源：《数据领域常用名词解释（第一批）》］ 3. 6 数据安全事件datasecurityincident 需要采取应急响应措施予以应对的数据泄露（丢失）、数据滥用、数据篡改、数据损毁、数 据违规使用等事件。 3. 7 合规性评估complianceassessment 数据处理者评估数据处理活动是否符合法律法规、政策文件、行业标准等相关要求。 3. 8 数据脱敏datamasking 通过一系列数据处理方法对原始数据进行处理以屏蔽敏感数据的一种数据保护方法 3. 9 沉默账号silentaccount 系统中存在且账号状态正常，但3个月以上未使用的账号。 4缩略语 下列缩略语适用于本文件。 IP 互联网协议 Internet Protocol MAC 媒体访问控制 Media Access Control 5概述 5.1总体要求 电信数据处理者开展电信领域数据处理活动时应满足以下数据安全保护要求： a）基础性数据安全保护要求：电信数据处理者应建立健全数据安全管理机制，配备数据安 全技术能力。基础性数据安全保护要求包括组织保障、数据分类分级、权限管理、日志 留存、风险监测预警、应急处置、安全评估和教育培训等八个方面。 b）数据全生命周期安全保护要求：电信数据处理者应规范数据生命周期各阶段的数据处理 活动，实施有效的数据安全保护措施。数据全生命周期安全保护要求包括数据收集、数 据存储、数据使用加工、数据传输、数据提供、数据出境、数据公开和数据销毁等八个 方面。 5.2安全保护要求级别 电信领域数据安全保护要求分为一般要求和增强要求。根据数据处理活动涉及的数据级别， 数据处理者应遵循如下保护要求： a）一般数据处理活动应按照一般要求开展数据安全保护工作；