蕪湖人社×美創科技，人社局資料安全管理制度與資料分類分級建設

2021年以來，國家、行業監管單位先後陸續頒佈 了包括《資料安全法》在內多部重要資料安全法規和規範指引，資料安全和隱私保護的頂層監管合規框架日趨完善。

人力資源與社會保障資訊系統涉及多個部門及多種業務，資料型別複雜，價值密度最大、資訊含量豐富、且與公民的切身利益息息相關， 進一步提升資料安全保護，構建適應數字化時代的資料安全防護體系，成為各級人力資源和社會保障部門的重要課題。

• 中央網路安全和資訊化委員會印發《“十四五”國家資訊化規劃》，要求建立資料分類分級管理制度和個人資訊保護認證制度，強化資料安全風險評估、監測預警、檢測認證和應急處置，加強對重要資料、企業商業秘密和個人資訊的保護，規範對未成年人個人資訊的使用；

  
  

• 人力資源社會保障部發布的《人力資源和社會保障事業發展“十四五”規劃》也明確提出“推動人力資源和社會保障系統“全資料共享、全服務上網、 全業務用卡”的同時，提升資訊保安保障能力。

在此背景下，蕪湖市人社局（下簡稱：蕪湖人社）積極落實國家和監管部門要求，將資料安全管理現狀進行全面對標， 並攜手美創科技開展資料安全管理制度、資料資產盤點與分類分級建設工作 ，為進一步資料安全建設夯實基礎。

0 1

專案背景

目前，蕪湖人社已建設了一整套基於等級保護三級的安全合規防禦體系。一方面滿足了國家的安全監管要求，另一方面使得整個蕪湖人社的網路安全防護體系達到一個新的高度。但相對於網路安全建設，

資料安全建設工作尚存在以下問題：

• 資料安全管理制度尚不完善： 目前蕪湖市人社局已具備完善的網路安全管理建設制度，但是缺乏完善健全的的資料安全管理制度，導致資料安全建設工作缺乏有效落實和嚴格執行的基礎，需要明確日常操作規範，包括業務人員、內部管理員、第三方代維人員;

  
  

• 資料資產未經全面梳理： 尚不能全面掌握資料資產使用場景，容易發生資料管理孤島，造成敏感資訊無有效管理無鉅細審計的風險。

  
  

• 資料資產未經敏感識別： 無法掌握資料敏感程度及分佈，在使用過程中容易造成敏感資料被非必要訪問和檢視。

02

實施路徑

結合蕪湖人社現狀，美創科技根據人社資料不同的屬性和業務處理目標，開展第一期資料安全建設： 資料安全管理制度建設、資料分類分級建設。

0 1

資料安全管理制度

規範管理，制度先行。根據《資料安全法》“第三章資料安全制度“相關要求，同時結合使用者實際業務場景需求， 幫助使用者建立了6個資料安全管理制度 ， 指導約束蕪湖人社在開展資料安全建設工作時，相關人員的資料安全保護工作的責任和義務,賦予管理人員監督管理職責,強化資料安全要求、為各資料安全責任單位日常安全管理工作提供主要依據：

• 《資料安全管理制度》

• 《資料分類分級指南》

• 《資料採集與傳輸規範》

• 《資料儲存與使用規範》

• 《資料共享與交換規範》

• 《資料安全人員管理制度》

02

資料分類分級建設

釐清資產，心中有數，圍繞蕪湖人社社保卡資訊庫、社保迴流庫、人才庫三大核心資料庫，以“暗資料發現和分類分級工具 + 諮詢服務”相結合的方式進行開展實施，實現以分類分級為基礎對資料進行差異化的管理和防護，具體包括：

資料資源全面梳理：對機構內部資料資源進行梳理，發現“暗資料”，形成資源清單；

確定分類分級策略：在國家、行業標準基礎上，綜合自身資料特徵，確定分類分級策略；

資料分類：基於分類分級策略，對梳理後的資料進行分類；

資料分級：基於分類分級策略，對分類後的資料進行分級；

落地及長期運營：根據實際需求完成分類分級標籤落地，並及時更新分類分級策略。

一級分類結果：

• 業務資料

• 組織機構資料

• 技術管理資料

• 業務資訊資料
  

二級分類結果：

• 社會保險的資料

• 就業、失業與創業資料

• 人事人才資料

• 系統管理資訊

• 基本資訊

• 勞動關係資料
  

• 個人自然資訊

   .......

三級分類結果：

• 資訊資產管理資訊

• 登記資訊

• 職工養老資訊（含自謀職業）

• 就業基本資訊
  

按照客戶資料敏感等級共劃分了4個敏感等級：

一級	不敏感
二級	低敏感
三級	較敏感
四級	敏感

針對蕪湖人社內部的社保卡資訊庫、社保迴流庫、人才庫三個系統核心資料庫的分類分級專案涉及到的資料具體情況如下：

• 社保卡資訊庫：社保卡資訊庫17098個欄位

• 社保迴流庫：社保迴流庫1821個欄位

• 人才資料庫business：6740個欄位

• 人才資料庫BSPLATFORM7：2700個欄位

• 人才資料庫website：3001個欄位

• 人才資料庫dzzz：1527個欄位

  
  

03

專案收益

透過資料安全管理制度和資料分類分級專案建設，蕪湖人社獲得以下專案收益：

透過對蕪湖人社三大庫的分類分級建設， 對人社資料全面摸底、排查，理清人社資料資產型別、數量量級、資產分佈、資料流向、許可權分配，建立敏感資料資產臺賬，輸出資料資源目錄和資料訪問許可權目錄。透過對人社資料重要性進行分類分級，對資料資源目錄的類別和權重進行標記，形成重要資料資產目錄，為後續制定和落實分級保護策略提供資料支撐。

透過資料安全管理制度建設，健全完善了蕪湖人社的資料安全管理制度，為後面的資料安全建設提供了指導依據，和相關的規範流程，奠定了整個蕪湖人社的資料安全基礎工作。同時滿足《資料安全法》等合規性要求。另一方面明確了在開展資料安全建設的過程中，資料安全管理崗位職責和人員能力要求，規範資料日常運維和安全運營的操作流程，提升資料安全執行保障能力，形成資料安全長效機制。