GB／T 41574-2022  信息技术 安全技术 公有云中个人信息保护实践指南

GB/T415742022

额外控制措施或指南的文件时，交叉引用本文件中的适用条款可有助于审计人员和业务合 合规性检查。

制措施或指南的文件时，交叉引用本文件中的适用条款可有助于审计人员和业务合作伙伴进行 验查。

个人信息有其固有的生命周期，即从创建和生成，经过存储、处理、使用、传输到最终销毁或 人信息在生命周期中面临不同的风险，但在生命周期的各个阶段保护个人信息仍很重要。 个人信息保护需结合现有的和新的信息系统进行考虑，并进行全生命周期管理

玻璃钢管标准信息技术安全技术 公有云中个人信息保护实践指南

本文件给出了在公有云中实施个人信息保护的控制目标和控制措施，在GB/T22081基础上给出 了公有云个人信息保护指南。 本文件适用于作为个人信息处理者的所有类型和规模的组织，包括公有和私营公司、政府机构和非 营利组织。 本文件也可能适用于作为个人信息控制者的组织。但是，个人信息控制者可能还受额外的个人信 息保护法律法规和义务的约束，而这些法律法规和义务不适用于个人信息处理者。本文件不涵盖此类 额外义务。

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文 件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单)适用于 本文件。 GB/T22081一2016信息技术安全技术信息安全控制实践指南（ISO/IEC27002：2013，IDT） GB/T29246信息技术安全技术信息安全管理体系概述和词汇（GB/T29246一2017 ISO/IEC27000:2016,IDT) GB/T32400信息技术云计算概览与词汇（GB/T32400—2015，ISO/IEC17788：2014，IDT） GB/T35273一2020信息安全技术个人信息安全规范

有能力决定个人信息处理目的、方式等的组织或个人 「来源：GB/T35273—2020.3.4]

有能力决定个人信息处理目的、方式等的组织或个人。 「来源：GB/T35273—2020.3.47

GB/T 415742022

个人信息主体personalinformationprincipal 个人信息所标识或者关联的自然人。 [来源：GB/T35273—2020,3.3]。 3.4 个人信息处理者personalinformationprocessor 代表并根据个人信息控制者的要求处理个人信息的组织或个人。 注：对于处理个人信息而言，个人信息处理者与GB/T35273一2020中9.1提到的“受委托者”履行的义务相同，两 者可以等同使用。 3.5 个人信息处理processingofpersonalinformation 对个人信息执行的操作或操作集。 注：个人信息处理操作包括但不限于收集、存储、变更、恢复、查阅、披露、匿名化、假名化、传播或以其他方式提供、 删除或销毁个人信息。 3.6 公有云服务提供者 public cloud serviceprovider 根据公有云模型提供云服务的参与方。 3.7 数据失陷databreach 导致受保护数据在传输、存储或处理过程中被意外或非法销毁、丢失、变更，以及未经授权披露或访 可的安全危害。 [来源：ISO/IEC27040:2015,3.7]

个人信息主体personalinformationprincipal 个人信息所标识或者关联的自然人。 [来源：GB/T35273—2020,3.3]。 3.4 个人信息处理者 personalinformationprocessor 代表并根据个人信息控制者的要求处理个人信息的组织或个人。 注：对于处理个人信息而言，个人信息处理者与GB/T35273一2020中9.1提到的“受委托者”履行的义务相同，两 者可以等同使用。 3.5 个人信息处理processingofpersonalinformation 对个人信息执行的操作或操作集。 注：个人信息处理操作包括但不限于收集、存储、变更、恢复、查阅、披露、匿名化、假名化、传播或以其他方式提供、 删除或销毁个人信息。 3.6 公有云服务提供者 public cloud serviceprovider 根据公有云模型提供云服务的参与方。 3.7 数据失陷databreach 导致受保护数据在传输、存储或处理过程中被意外或非法销毁、丢失、变更，以及未经授权披露或访 可的安全危害。 [来源：ISO/IEC27040:2015,3.7]

本文件的结构与GB/T22081类似。当无需补充其他信息，GB/T22081中规定的控制目标和控制 措施适用于本文件时，本文件仅给出对GB/T22081相应条款的引用。附录B给出了适用于公有云个 人信息处理者保护个人信息的额外控制措施和相关实现指南。 “公有云个人信息保护实现指南”标题下给出了适用于公有云服务提供者保护个人信息的额外指 南。“公有云个人信息保护其他信息”标题下给出了增强这些额外指南的更多相关信息。 如表1所示，面向特定应用的指南和其他信息包含在GB/T22081定义的控制类别中。本文件的 条款号与GB/T22081中的条款号一致，见表1。 本文件应与GB/T22080结合使用，并将附录B给出的额外控制措施作为实施基于GB/T22080 的信息安全管理体系的组成部分

22081中定义的控制措施所需的特定指南和其

GB/T415742022

表1实现GB/T22081中定义的控制措施所需的特定指南和其他信息在本文件中的位置（续

根据GB/T22081，每一个主要控制类别包括： a）一个控制目标，声明要实现什么； b）一个或多个控制措施，可被用于实现该控制目标。 控制措施的描述结构如下： 控制措施 为满足控制目标，给出了定义特定控制措施的陈述。 公有云个人信息保护实现指南 为支持该控制措施的实现并满足控制目标，提供更详细的信息。该指南不一定完全适用于所有情 况，也不一定满足组织的特定控制要求。因此，可能需要替代的或额外的控制措施，或其他形式的风险 处理方式（例如，规避、转移或接受风险）。 公有云个人信息保护其他信息 提供需要考虑的更多信息。例如，法律方面的考虑和对其他文件的参考

5.1信息安全管理指导

5.1.1信息安全策略

GB/T22081一2016中5.1.1规定的控制措施 、实现指南和其他信息适用。以下特定应用指南 适用。 公有云个人信息保护实现指南 宜通过发表声明增强信息安全策略。该声明应承诺遵守适用的个人信息保护法规，以及公有云 人信息处理者与云服务客户达成的合同条款。

合同协议宜明确划分公有云个人信息处理者、其分包商和云服务客户之间的责任，且在划分责任时 宜考虑所提供的云服务类型（例如，laaS模式、PaaS模式或SaaS模式）。例如，公有云个人信息处理者 提供SaaS、PaaS或IaaS等不同的服务类型时，应用层控制的责任划分也不同。 分包商接受个人信息处理者的再次委托处理个人信息时，个人信息处理者应事先征得个人信息控 制者的授权（见GB/T352732020中9.1）。

公有云个人信息保护其他信息

云服务客户和公有云个人信息处理者之间的合同提供了一种确保公有云个人信息处理者支持和 合性的机制。通过实施本文件和GB/T22081中的相关控制措施，公有云个人信息处理者可能 中要求云服务客户接受独立的符合性审计

5.1.2信息安全策略的评审

B/T220812016中5.1.2规定的控制措施和实

6.1.1信息安全的角色和责任

GB/T22081一2016中6.1.1规定的控制措施、实现指南和其他信息适用。以下特定应 适用

6.1.3与职能机构的联系

6.1.4与特定相关方的联系

GB/T22081一2016中6.1.4规定的控制措施、实现指南和其他信息适用。

6.1.5项目管理中的信息安全

6.2移动设备和远程工作

GB/T22081一2016中6.2规定的自标和内容适用。

GB/T22081一2016中7.1规定的目标和内容适用。

GB/T22081一2016中7.1规定的目标和内容适用

「22081一2016中7.1规定的目标和内容适用

GB/T22081一2016中7.2.1规定的控制措施、实现指南和其他信息适用。

7.2.2信息安全意识、教育和培训

GB/T22081一2016中7.2.2规定的控制措施、实现指南和其他信息适用。以下特定应用指南也 适用。 公有云个人信息保护实现指南 宜采取措施使相关人员，特别是个人信息处理人员，了解违反隐私和安全规则造成的影响，包括对 公有云个人信息处理者的影响（例如，法律后果、业务损失、品牌或声誉损害），对员工的影响（例如，纪律 处分）以及对个人信息主体的影响（例如，身体上、物质上和情感上的后果）。 公有云个人信息保护其他信息 公有云个人信息处理者和云服务客户依据本文件签订合同，宜有助于为违反安全规则的制裁奠定 合同基础。

7.2.3违规处理过程

［220812016中7.2.3规定的控制措施、实现指

7.3任用的终止和变更

GB/T22081一2016中7.3规定的目标和内容适用

GB/T22081一2016中7.3规定的且标和内容适月

GB/T22081一2016中第8章规定的目标和内容适用

9.1访问控制的业务要求

实现。 公有云个人信息保护实现指南 对于云计算参考架构中定义的不同服务类别，云服务客户可能对其控制的云服务用户具有不同的 访问管理权限。在适当的情况下，公有云个人信息处理者宜使云服务客户能够管理其控制的云服务用 户的访问。例如，公有云个人信息处理者向云服务客户提供管理权限去管理或终止用户访问。 注：云服务客户、云服务用户的关系见附录C。

GB/T 415742022

9.2.1用户注册和注销

GB/T22081一2016中9.2.1规定的控制 适用。 公有云个人信息保护实现指南 用户注册和注销程序宜解决用户访问控制受损的情况，例如，口令或其他用户注册数据受损，

9.2.2用户访问供给

9.2.3特许访问权管理

9.2.4用户的秘密鉴别信息管理

9.2.5用户访问权的评审

GB/T22081—2016中9.2.5规定的控

GB/T22081—2016中9.2.5规定的控

9.2.6访问权的移除或调整

B/T22081一2016中9.2.6规定的控制措施、实现指南和其他信息适用。

GB/T22081—2016中9.3规定的目标适用。

9.3.1秘密鉴别信息的使用

9.4系统和应用访问控制

GB/T22081一2016中9.4规定的且标适用。

9.4.1信息访问限制

息访问限制的额外控制措施和指南见B.7.13

9.4.2安全登录规程

GB/T22081一2016中9.4.2规定的控制措施、实现指南和其他信息适用。以下特定应用指南也 适用。 公有云个人信息保护实现指南 需要时，公有云个人信息处理者宜向云服务客户控制下的云服务用户请求的任何账户提供安全登 录程序

GB/T22081一2016中9.4.2规定的控制措旗 适用。 公有云个人信息保护实现指南 需要时，公有云个人信息处理者宜向云服务客户控制下的云服务用户请求的任何账户提供安全登 最程序

9.4.3口令管理系统

GB/T22081一2016中9.4.3规定的控制措施、实现指南和其他信息适用

GB/T22081一2016中9.4.3规定的控制措施、实现指南和其他信息适用

9.4.4特权实用程序的使用

9.4.5程序源代码的访问控制

10.1.1密码控制的使用策略

GB/T 415742022

10.1.2 密钥管理

GB/T22081一2016中11.1规定的且标和内容适用

11.2.1设备安置和保护

11.2.2支持性设施

[11.2.3布织安全

一2016中11.2.3规定的控制措施和实现指南适

GB/T 415742022

GB/T 415742022

2081一2016中11.2.4规定的控制措施和实现指

11.2.5资产的移动

GB/T22081一2016中11.2.5规定的控制措施、实现指南和其他信息适用

11.2.6组织场所外的设备与资产安全

11.2.7设备的安全处置或再利用

GB/T22081一2016中11.2.7规定的控制措施、实现指南和其他信息适用。以下特定应用指南也 适用。 公有云个人信息保护实现指南 出于安全处置或再利用的目的，可能包含个人信息的存储介质宜视为包含个人信息的设备。 注：有关设备安全处置或再利用的额外控制措施和指南见B.7.13。

11.2.8无人值守的用户设备

11.2.9清理桌面和屏幕策略

GB/T22081一2016中11.2.9规定的控制措施、实

12.1运行规程和责任

GB/T22081一2016中12.1规定的目标适用

12.1.1文件化的操作规程

[2.1.2 变更管理

2081一2016中12.1.3规定的控制措施、实现指南

12.1.4开发、测试和运行环境的分离

GB/T22081一2016中12.1.4规定的控制措施、实现指南和其他信息适用。 指南证 适用。 公有云个人信息保护实现指南 出于测试目的使用个人信息时，宜进行风险评估，且宜实施技术措施和组织措施降低已识别的 风险。

GB/T22081一2016中12.1.4规定的控制措施、实现指南和其他信息适用， 适用。 公有云个人信息保护实现指南 出于测试目的使用个人信息时，宜进行风险评估，且宜实施技术措施和组织措施降低已识别的 风险

GB/T220812016中12.3规定的目标适用。

GB/T41574—2022

GB/T22081一2016中12.3.1规定的控制措施、多 应用指南也 适用。 公有云个人信息保护实现指南 基于云计算模型的信息处理系统为异地备份引入了额外或替代机制，以防止数据丢失，并确保数据 处理操作的连续性以及提供在发生破坏性事态后恢复数据处理操作的能力。为了备份和（或）恢复，宜 在不同的物理和（或）逻辑位置上（可以在自身信息处理系统内）创建或维护多个数据副本。 云服务客户可能承担备份和（或）恢复责任，但当公有云个人信息处理者明确向云服务客户提供备 份和恢复服务时，公有云个人信息处理者宜向云服务客户提供其备份和恢复服务的明确信息。 宜制定备份和恢复程序，保证在破坏性事态发生后的规定时间内恢复数据。 宜按规定的频率评审备份和恢复程序。 本文件中适用于分包处理个人信息的控制措施涵盖了使用分包商存储所处理数据复制副本或备份 副本的情况。本文件中的控制措施也涵盖了使用物理介质传输个人信息的情况。 公有云个人信息处理者宜制定策略，以满足信息备份及擦除备份信息中包含的个人信息的其他要 求[例如，合同和（或）法律规定的要求]。

GB/T22081一2016中12.4规定的目标适用

GB/T22081一2016中12.4.1规定的控制措施、实现指南和其他信息适用。以下特定应用指南也 适用。 公有云个人信息保护实现指南 宜建立流程，按规定的周期评审事态日志，识别违规行为并提出补救措施。 在可能的情况下，事态日志宜记录个人信息是否因某个事态而更正（添加、修改或删除），以及由谁 更正。若多个云服务提供者提供云计算参考架构中定义的不同类别的服务，则在实现本文件时可能会 出现不同的角色或共享的角色。 公有云个人信息处理者宜制定关于是否、何时，以及如何向云服务客户提供日志信息的规则。同 时，这些规则宜对云服务客户有效。 若允许云服务客户访问由公有云个人信息处理者控制的日志记录，则公有云个人信息处理者宜确 保云服务客户仅能访问与其相关的活动，而不能访问其他云服务客户的日志记录。

12.4.2日志信息的保护

GB/T22081一2016中12.4.2规定的控制措施、实现指南和其他信息适用。以下特定应用指南也适用。 公有云个人信息保护实现指南 因安全监控和运行诊断等目的而记录的日志信息可能包含个人信息。宜采取诸如控制访间（贝

T22081一2016中12.4.2规定的控制措施、实现指南和其他信息适用。以下特定应用指南也适用。 个人信息保护实现指南 安全监控和运行诊断等目的而记录的日志信息可能包含个人信息。宜采取诸如控制访问（见

9.2.3）的措施，确保日志信息仅用于预期目的

12.4.3管理员和操作员日志

GB/T22081一2016中12.4.3规定的控制措施、实现指南和其他信息适用

12.6技术方面的脆弱性管理

GB/T22081一2016中12.6规定的自标和内容适用

GB/T22081一2016中12.6规定的自标和内容适用。

12.7信息系统审计的考虚

GB/T220812016中12.7规定的目标和内容

T22081—2016中13.1规定的目标和内容适用

GB/T22081—2016中13.2规定的目标适用。

13.2.1信息传输策略和规程

GB/T22081一2016中13.2.1规定的控制措施、实现指南和其他信息适用。以下特定应用指南也适用。 公有云个人信息保护实现指南 使用物理介质传输信息时，宜建立一个系统记录传入传出物理介质的相关信息。这些信息包括物 理介质的类型、被授权的发送方/接收方、日期和时间，以及物理介质的数量。在可能的情况下，宜要求 云服务客户采取额外措施（例如，加密 传输过程中访问数据

13.2.2信息传输协议

GB/T22081一2016中13.2.2规定的控制措施、实现指南和其他信息适用。

13.2.3电子消息发送

GB/T22081一2016中13.2.3规定的控制措施、实现

13.2.4保密或不披塞协议

GB/T22081一2016中13.2.4规定的控制措施、实现指南和其他信息适用。 注：保密或不披露协议的额外控制措施和指南可在B.7.1中找到。

GB/T22081一2016中13.2.4规定的控制措施、实现指南和其他信息适用。 注：保密或不披露协议的额外控制措施和指南可在B.7.1中找到。

14系统获取、开发和维护

GB/T22081—2016中第14章规定的目标和内容适用。

16.1信息安全事件的管理和改进

建设工程标准规范范本GB/T 415742022

GB/T22081一2016中16.1规定的目标适用。以下特定应用指南也适用于本条中所有控制措施的实现。 公有云个人信息保护实现指南 云计算参考架构下，信息安全事件的管理和改进活动中可能存在共享的角色。公有云个人信息处 理者可能需要与云服务客户合作实现本条中的控制措施

16.1.1责任和规程

GB/T22081—2016中16.1.1 指南和具他信息适用。以下特定应用指南证 适用。 公有云个人信息保护实现指南 作为信息安全事件管理过程的一部分，信息安全事件宜触发对公有云个人信息处理者的评审，以确 定是否违规处理了包含个人信息的数据（见B.2.1）。 信息安全事态不宜触发此类评审。信息安全事态是指不会导致未经授权实际访问或极可能访问个人信 息以及存储个人信息的公有云个人信息处理者设备设施的事件。信息安全事态包括但不限于：对防火墙或边 缘服务器的点对点攻击和其他广播攻击、端口扫描、登录尝试失败、拒绝服务攻击和数据包侦听。

16.1.2报告信息安全事态

民政标准GB/T22081一2016中16.1.2规定的控制措施、实现指南和其他