共享经济灵活就业人员管理与服务平台基本安全要求DB12／T 996—2020.pdf

ICS 35.240.99 J 07 DB12 天津市地方标准 DB12/T 996 2020 共享经济 灵活就业 人员管理 与服务平 台基本安全要 求 Basic security requirements of management and service platform of the Gig Worker in the sharing economy 2020-12-04 发布 2021-01-15 实施 天 津 市 市 场 监 督 管 理 委 员 会 发布 DB12/T 996 2020 I 前 言 本标准 按照GB/T 1.1-2009 标准 化工 作导 则 第1部 分：标 准 的 结构 和编 写 给出的 规则 起草。本标准 由天 津市 互联 网信 息办公 室 提 出并 归口。本标准 起草 单位：云 账户（天津）共 享经 济信 息咨 询有限 公司、云 账户 技术（天津）有 限公 司。本标准 主要 起草 人：杨 晖、邹 永强、华 烨姗、毛嘉 兴、李 筱沛、祁 笑颜、张玉 龙、樊 光羽、吕 凯悦、尚微。DB12/T 996 2020 1 共 享经济 灵活就业 人员管 理与服务 平台 基本 安全要求 1 范围 本 标 准 规定 了 共享 经 济灵活 就 业 人员 管 理与 服 务机构 在 开 展 各 项 活动 及 软件平 台 开 发过 程 中的 安全基本 要求，包 括系 统安 全、应 用安 全、数据 安全、管理 安全。本标准 适用 于指 导共 享经 济灵活 就业 人员 管理 与服 务机构 的平 台及 相关 产品 在技术、业 务、管理 等方面的 安全 过程，可 用于 共享经 济灵 活就 业人 员管 理与服 务机 构。2 规范性 引用 文件 下列文 件对 于本 文件 的应 用是必 不可 少的。凡 是注 日期的 引用 文件，仅 所注 日期的 版本 适用 于本 文件。凡 是不 注日 期的 引用 文件，其最 新版 本（包括 所有的 修改 单）适用 于本 文件。GB/T 22080 信 息技 术 安 全技术 信 息安 全管 理体 系 要求 GB/T 22239-2019 信息 安 全技术 网 络安 全等 级保 护 基本要 求 GB/T 30276-2013 信息 安 全技术 信 息安 全漏 洞管 理 规范 GB/T 35273-2020 信息 安 全技术 个 人信 息安 全规 范 GB/T 36637-2018 信息 安 全技术 ICT 供应 链安 全风 险管理 指南 GB/T 37973-2019 信息 安 全技术 大 数据 安全 管理 指 南 GB/Z 20986-2007 信息 安 全技术 信 息安 全事 件分 类 分级指 南 JR/T 0095-2012 中 国金 融移动 支付 应 用安 全规 范 JR/T 0197-2020 金 融数 据安全 金融 数 据安 全数 据 分级指 南 DB12/T 926-2020 共享 经 济平台 灵活 就业 人员 互联 网管理 与服 务指 南 3 术语和 定义 DB12/T 926-2020 中 界定 的 以及 下 列术 语和 定义 适用 于本文 件。3.1 共享经 济平 台 the sharing economy platform 利用互 联网 现代 信息 技术，整合 海量、分散 化资 源，通过 移动 设备、评价 系 统、支 付、基 于位 置的服务（LBS）等技术 手段 有 效 地将 需求方 和供 给方进 行最优 匹配，对数 量庞大 的需求 方和供 给方 进行撮合，通 过撮 合交 易达 到供 需双方 收益 最大 化，具备 法人资 格的 共享 经济 行业 平台型 公司。3.2 共享经济灵活就业人员管理与服务机构（简称：“管理与服务机构”）management and service institute of the Gig Worker in the sharing economy 提供共 享经 济灵 活就 业人 员平台 化服 务的 组织。3.3 个人信 息 personal information DB12/T 996 2020 2 以 电 子 或者 其 他方 式 记录的 能 够 单独 或 者与 其 他信息 结 合 识别 特 定自 然 人身份 或 者 反映 特 定自 然人活动 情况 的各 种信 息。注：个人信息包括姓名、出生日期、身份证件号码、个人生物识 别信息、住址、通信通讯联系 方式、通信记录和内容、账号密码、财产信息、征 信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等。个人信息控制者通过个人信息或其他信息加工处理后形成的信息，例如，用户 画像或特征标签，能够单独或 者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的，属于个人信息。GB/T 35273-2020，定义3.1 3.4 个人敏 感信 息 personal sensitive information 一旦泄 露、非 法提 供或 滥 用可能 危害 人身 和财 产安 全，极易 导致 个人 名誉、身心健 康受 到损 害或 歧视性待 遇的 个人 信息。注：个人敏感信息包括身份证件号码、个人生物识别信息、银行 账号、通信记录和内容、财产 信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息、14 岁以下（含）儿童的个人信息等。个人信息控制者通过个人信息或其他信息加工处理后形成的信息，如一旦泄露、非法提供 或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的，属于个人敏感信息。GB/T 35273-2020，定义3.2 4 缩略语 下列缩 略语 适用 于本 文件。HIDS：主机 入侵 检测 系统（Host-based Intrusion Detection System）CA：证 书授 权中 心（Certificate Authority）SDL：安全 开发 生命 周期（Security Development Lifecycle）PII：个人 可识 别信 息（Personal Identifiable Information）KMS：密钥 管理 系统（Key Management System）5 系统安 全 5.1 安全 物 理环 境 应符合GB/T 22239-2019 中8.1.1 要求。5.2 安全通 信网 络 应符合GB/T 22239-2019 中8.1.2 要求。5.3 安全区 域边 界 本项要 求包 括：a)应符 合GB/T 22239-2019 中8.1.3 要 求。b)边界设 备配置 应 符合 以下 条款：1)按月审 核访 问控 制规 则；2)制定记 录、使用 边界 设备 管理的 安全 策略 和操 作程 序；DB12/T 996 2020 3 3)在便携 式计 算设 备上 安装 个人防 火墙 软件 或等 效功 能。c)安全审 计记 录应 留存 至少 六个月。5.4 主机要 求 本项要 求包 括：a)应符 合GB/T 22239-2019 中 8.1.4.1、8.1.4.2、8.1.4.3、8.1.4.4 要求；b)如使用 云主 机，应符 合 GB/T 22239-2019 中 8.2.4.1、8.2.4.2、8.2.4.3 要求；c)应部 署HIDS，对主 机的 异 常操作 行为 进行 安全 预警，及时 发现 并阻 止黑 客攻 击行为；d)安全审 计记 录应 留存 至少 六个月。5.5 系统可 用性 要求 本项要 求包 括：a)应支持 高并 发请 求，自动 进行负 载均 衡；b)应利用 冗余 部署 消除 单点 故障；c)应部署 异地 灾备 环境；d)应部署 主机 系统 安全 监控 和业务 可用 性监 控，通过 电话、短信、邮 件、即时 通 讯等手 段进 行报警，快 速恢 复系 统故 障。6 应用安 全 6.1 软件开 发安 全 本项要 求包 括：a)应根据 开发 人员 类型 遵 循GB/T 22239-2019 中8.1.9.4 或 8.1.9.5 要求；b)开发、测试 环境 与生 产环 境中职 责分 离；c)开发、测试 过程 中不 使用 生产环境 数据；d)在激活 系统、系 统投 入生 产前，删除 系统 组件 中的 测试数 据和 账户；e)开发、测试 环境 独立 于生 产环境，并 借助 访问 控制 确保两 者分 离；f)在系统 投入 生产 前对 系统 进行安 全漏 洞扫 描，对于 测试中 发现 的安 全问 题应 及时修 复。6.2 密钥安 全 本项要 求包 括：a)应符 合JR/T 0095-2012 中的 7.2.2 条款；b)应隔离 保管 系统 中最 核心 私钥，使用 时应 保证 至少 有 2 人 同时 在场。6.3 电子签 约 本项要 求包 括：a)服务机 构应 支持 与 灵 活就 业人员 在线 签署 具备 法律 效应的 电子 合同；b)电子合同 应 具有 时效 性，通过实 名身 份认 证，做防 篡改、防止 复制 签名 技术 处理；c)输入密 码过 程应 做实 时加密 处理。6.4 身份验 证 DB12/T 996 2020 4 根据不 同共 享经 济灵 活就 业人员 管理 与服 务和 场景 需求，应进 行身 份信 息要 素验证 的分 级管 理。至少 应满足 以 下要 求：a)签约服 务：应进 行 姓 名、身份证 号、银行 卡号、手 机号 四 要素 认证；b)自主签 约批 量结 算服 务：应进行 姓名、身 份证 号、银行卡 号、手机 号 四 要素 认证；c)批量结 算到 银行 卡服 务：应进行 姓名、身 份证 号、银行卡 号 三 要素 认证；d)预签约 服务：应 进行 姓名、身份 证号 二要 素 认 证。7 数据安 全 7.1 总述 应保证 所服 务的 灵活 就业 人员、共享 经 济 平台 和管 理与服 务机 构本 身的 数据 安全。7.2 数据分 级 个人信 息和个 人敏感 信息 分级应 按照GB/T 35273-2020 中附 录A和附 录B执行。客户、业务、经营 管理、监 管数据 分级宜 参考JR/T 0197-2020 中 附录A 执 行，应 根据管 理与服 务机构 的实 际情况，对敏 感数据进一 步分 级。敏感 数据 的分级 宜 以 下列 内容 为准：a)一 级敏感数 据包括 个人 敏感 信息(如银行账户、手 机号、身份证 号)、系统级 配置 信息(如数据 库认证配 置、商户 通信 密钥、系统 间通 信密 钥、数 字 证书认 证配 置)、系统 级账 户密码(如 服务 器最高权限 密码)、系统 的源 代码等；b)二 级敏 感数 据包 括脱 敏的 订单和 用户 数据 等；c)三级敏 感数 据包 括统 计类 数据，如用 户画 像数 据等。7.3 数据加 密 7.3.1 数据加 密规 则 个人敏 感信 息加 密规 则应 满足：a)数据全 生命 周期 加密；b)采取KMS 管 理密 钥全 生命 周期；c)采取的 加密 算法 包括 但不 局限于 对称 加密 算法、非 对称加 密算 法和 摘要 加密 算法，并应 满足 以下要求：1)选择符 合国 家行 业主 管部 门要求 的算 法；2)支持对 称加 密算 法包 括但 不限 于 SM4、3DES、AES(128 位 或更高)；3)支持非 对称 加密 算法 包括 但不限 于 SM2、RSA(2048 位或 更高)；4)支持摘 要加 密算 法包 括但 不限 于 SM3、SHA-2。d)至少采 取数 据加 密、密钥 加密二 层加 密。7.3.2 一级敏 感数 据加 密 应符合 本标 准7.3.1 要求。7.3.3 二级及 以下 敏感 数据 加密 方式 应符合 本标 准7.3.1 中的a)、b)、c)要 求。DB12/T 996 2020 5 7.4 数据访 问 管理与服 务机构 管理 人员 访问 灵活 就业 人员信 息应 符合GB/T 22239-2019 中8.1.4.2和8.1.4.3的相关要求。7.5 数据处 理 数据处 理活 动的 主要 操作 包括但 不限 于数 据查 询、数据读 取、数据 索引、批 处理、交互 式处 理、数据 统 计分 析、数 据 可视 化等。根据 管 理与 服 务 机 构为 灵 活就 业 人员 提 供共 享经 济 综合 服 务时 的 实际 情况，数 据处 理在 符合GB/T 37973-2019 中8.4.1 的同 时，应满 足以 下条 款：a)灵活就 业人 员PII 处 理应 征得用 户明 示同 意；注：明示同意是指个人信息主体通过书面声明或主动做出肯定性动作，对其个人信息进行特定 处理做出明确授权的行为。肯定性动作包括个人信 息主体主动作出声明（电子或纸质形式）、主动勾选、主动点 击 同意、注册、发送 等。b)灵活就 业人 员PII 处理 应 在高安 全性 的桌 面虚 拟化 环境进 行；注：桌面虚拟化环境指将操作系统桌面安装、运营环境，操作和 显示环境相分离，利用客户端 访问虚拟化平台上的操作系统桌面。客户端只传输 鼠标 键盘动作和接受显示画面，实现数据和使用相分离。高 安全性是指虚拟桌面终 端 本 地 不 存储 任 何 用户 数 据，本地终端对应 的 硬 件 接 口 可被 禁 用，如USB、CD-ROM 等 外 设接 口。外 发 网络 数据应接受白名单限制。c)数据处 理过 程 应 遵循 可审 计原则，记 录删 除数 据的 操作时 间、操作 工具、操 作方式、数 据内 容等，并 符 合GB/T 22239-2019 中 8.1.4.3 的 要求。7.6 数据存 储 数据存 储应 符合 以下 条款：a)符合GB/T 37973-2019 中8.3 要 求；b)建立防 火墙 保护 平台 数据；c)提供异 地实 时备 份功 能，并具有 相应 的恢 复功 能以便 在发 生故 障 时 恢复；d)对运行 关键 业务 的服 务器 采用集 群结 构，有主 备机 制，实 现业 务系 统不 间断 运行；e)在提供 服务 前对 服务 器进 行安全 漏洞 扫描 和渗 透测 试，服 务提 供过 程中 应每 年 至少进 行一 次渗透测试，对 于测 试中 发现 的安全 问题 应及 时修 复；f)数据库 应具 备接 入相 关监 管机构 监管 信息 交互 平台 的能力。7.7 数据删 除 应 符合GB/T 37973-2019 中8.6 要求。8 管理安 全 8.1 信息安 全人 员组 织设 置 应设置 信息 安全 高层 管理 机构、信息 安全 日常 管理 机构、信息 安全 技术 团队 等信息 安全 管理 组织。8.1.1 信息安 全高 层管 理机 构 DB12/T 996 2020 6 信息安 全高层 管理 机构 应由 管理 与服 务机构 的 最高 管理层 组成，负责 决策、监督、推 动整 体信 息安全体系 建设，对 管理 与服 务 机构 及其 所有 发生 活动 负责。8.1.2 信息安 全日 常管 理机 构 信息安 全日常 管理 机构 应由 管理 与服 务 机 构内 部的 各部门 骨干 成员 组成，负 责统一 协调、监 督各 项安全制 度和 策略 在不 同职 责部门 内统 一实 施。8.1.3 信息安 全技 术团 队 信息安 全技术 团 队应 由 管 理与服 务机构 内 部的 技术 人员组 成，负责 生产 环境 安 全和办 公环 境安 全的保障工 作。信息 安全 团队 中技术 人员 应具备 信 息安 全相关 工作 经验。8.2 运维管 理安 全要 求 8.2.1 安全运 维管 理 应 符合GB/T 22239-2019 中8.1.10 要求。在使用 云计 算环境时，应符 合GB/T 22239-2019 中8.2.6、8.2.7 要求。8.2.2 服务器 运维 安全 基线 本项要 求包 括：a)运行在 生产 环境 操作 系统 上的软 件，应统 一由 管理 与 服务机 构内 部的 运维 人员 从可信 环境 下载和安装。对 于通 用软 件和 组件，统一 制定 安全 配置 策略和 规范；b)根据功 能和 安全 级别，应 在 不同 模块 间使 用网 络隔 离或者 虚拟 安全 组进 行隔 离。生 产环 境的 入口 统一使 用堡 垒机 作为 唯一 入口，堡垒 机 应具 备 审计 功能，便于 事后追 踪。核 心系统 对外 应只提供 必须 开放 的端 口，无关端 口 应 全部 关闭。8.2.3 安全漏 洞的 识别 和修 复 本项要 求包 括：a)安全漏 洞的 生命 周期 和漏 洞管理 应符 合GB/T 30276-2013 中 4.5 要求；b)应具备 识别 潜在 的编 码漏 洞 的能 力，应在 投入 生产 或向客 户发 布前 审核 自定 义代码。自 定义 代码审核 应包 括但 不限 于以 下内容：1)应由代 码原 作者 以外 的人 员以及 熟悉 代码 审核 方法 和安全 编码 实践 的人 员审 核代码 变 更；2)代码审 核 应 确保 代码 的开 发符合 安全 编码 指南；3)代码发 布前 应已 经进 行修正 和测 试；4)代码审 查结 果在 发布 前 应 已经由 管理 人员 审核 并批 准。c)应制定 服务 中间 件和 操作 系统漏 洞升 级机 制，一旦 有 操作系 统或 者各 种服 务组 件的 零 日漏 洞 预警，应 及时 进行 安全 预警 和补丁 升级，预 防潜 在的 安全风 险。8.2.4 病毒 查杀 应确保 所有 病毒 查杀 机制 病毒库 保持 为最 新，执行 定期扫 描，生成 检查 日志。8.2.5 应急预 案 DB12/T 996 2020 7 本项要 求包 括：a)应制定 统一 的应 急预 案框 架，包括 但不 限于 应急 事 件分级、启动 应急 预案 条 件、应急 事件 处理流程、应急 组织 及职 责以及 事前 事后 培训 等，事件 分类分 级宜 参 考GB/Z 20986-2007；b)应至少 每季 度开 展 1 次应 急预案 模拟 演练。8.3 员工安 全意 识培 养要 求 8.3.1 全员安 全培 训 管理与 服务 机构 应对 全体 员工 在 入职 初期 和安 全规 则发生 重大 变化 时，实施 培训，包括 但不 限于 信息安全 防护 的基 本方 法和 注意事 项、预防 网络 欺诈 的 技巧、信 息安 全相 关的 法律法 规。8.3.2 开发和 运维 安全 培训 管理与 服务 机构 应对 信息 系统开 发 和 维护 人员 在入 职初期 和安 全规 则发 生重大 变化 时，实施 培训，包括但 不限 于不 同开 发栈 的安全 编码 培训 和安 全运 维培训。8.4 系统供 应链 安全 要求 应按GB/T 36637-2018 实 施 供应链 安全 风险 管理。8.5 安全体 系要 求 本项要 求包 括：a)应符合 网络 安全 等级 保护 第三级；b)应建立 符 合GB/T 22080 标 准的安 全管 理体 系；c)宜通 过PCI DSS 安 全认 证；d)应设置 与信 息安 全监 管机 构及第 三方 安全 服务 提供 商之间 的联 络员，制 定实 施程序。_