数据保安标准(DSS)

上次审查:2022年10月6日
最后修改日期:2022年10月6日

介绍
安全性和遵从性正在进行中, 大学的关键任务业务流程，是大学社区所有成员的义务的一个组成部分. 本标准中包含的数据安全措施旨在针对当前和快速变化的威胁环境提供数据弹性，并为解决外部合规性法规奠定坚实的基础, 法律和合同.

此策略适用于任何访问, 使用, 或控制大学的计算机和数据资源, 包括, 但不限于, 教师, 管理员, 工作人员, 研究人员, 学生, 代表大学工作的人员, 客人, 承包商, 咨询顾问, 游客, 和/或由附属机构和组织授权的个人.
政策概述
作为员工在大学工作职责的一部分，员工有权访问所有数据, 基于“最小必要”的原则.数据安全标准定义了必须应用于策略IT 13中定义的数据类型的最低安全要求.10.051 - 数据分类. 一些数据元素, 比如信用卡号和受保护的健康信息, 在外部标准中是否定义了受监管的数据和附加的安全要求. 与gdp相关的数据也需要提高认识和监督. 此外，访问和使用大学数据由IT 13涵盖.10.050 -院校数据管理政策.
政策过程
此策略概述了保护公共数据的安全措施, 内部, 保密, 和限制. 参见政策IT 13.10.051 -数据分类.
1. 处理要求公共 Data
  1. 访问控制: 一般来说，公众都可以获得被列为公共的数据. 使用, 访问, 或更改公开资料，只要向公众公布不会伤害大学或个别社区成员，便不受限制. 公众有使用公开数据的隐含许可.
  2. 保护: 公共数据将受到保护，防止未经授权的修改或滥用(完整性). 适用的系统安全标准将对存储, 过程, 或传送公众资料.
  3. 共享:公共数据可以自由共享和公开发布，而无需获得数据管理员的许可.
  4. 保留: 公共 data may be stored for as long as necessary; there are no policies governing the retention of public data.
  5. 事件通知: 如果存在潜在的安全事件，可能使公共数据处于未经授权修改的风险中, 必须通知信息安全办公室(ISO)
2. 处理要求内部 Data
  1. 访问控制: 对内部数据的访问必须以最低权限为基础.
  2. 保护:内部数据不需要加密，除非特别要求. 适用的系统安全标准将对存储, 过程, 或传输内部数据.
  3. 共享: 内部数据可以在大学员工之间共享. 它可以根据业务需要和批准提供给非大学实体.
  4. 保留: 内部数据只应存储在完成文档化业务流程所需的时间内. 参见大学政策风险.10.025 -记录管理.
  5. 事件通知: 如果存在潜在的安全事件，可能使内部数据处于未经授权访问的风险中, 必须通知信息安全办公室(ISO).
3. 处理要求保密 Data
  1. 标签: 无特殊要求. 有些文件应该标注为“机密”.”
  2. 访问控制: 必须在最低权限的基础上提供对机密数据的访问. 除非业务流程需要，否则不应允许任何人或系统访问数据. 当需要访问时，数据管理员必须授予使用数据的权限.
  3. 保护:机密资料必须加密并妥善处理. 适用的系统安全标准将对存储, 过程, 或传送机密资料.
  4. 共享: 机密数据可以根据数据管理员批准的定义良好的业务流程在大学员工之间共享. 它只能根据定义良好的业务流程并在数据管理员的许可下公开发布.
  5. 保留: 机密数据只应存储在完成文档化业务流程所需的时间内. 参见大学政策风险.10.025 -记录管理.
  6. 事件通知: 如果存在潜在的安全事件，可能将机密数据置于未经授权访问的风险中, 必须通知大学信息安全办公室.
4. 处理要求限制 Data
  1. 标签: 必须注明“限用?.”
    1. 采集:需要同时满足以下条件才能采集:
    2. The data is not available from another authoritative source; and
    3. The data is required by a business 过程; and
    4. Permission has been granted to collect the data from the appropriate data steward; or if the data is requested by the University Office of General Counsel in response to litigation.
  2. 访问控制: 个人必须在最低权限的基础上被授予访问受限数据的权限. 除非需要记录业务流程，否则任何人或系统不得访问数据. 当需要访问时，数据管理员必须授予使用数据的权限.
  3. 访问审计: 应该为包含受限制数据的文件启用访问审计.
  4. 共享: 只能由数据管理员授予对受限制数据的访问权限. 任何个人不得与数据管理员未给予其访问权限的另一个人共享受限制的数据.
  5. 闲置的访问: 可用于访问受限制数据的设备必须在一段时间不活动后自动锁定, 使用屏保密码, 自动注销, 或者类似的控制.
  6. 保护:
    1. 传输—限制数据在传输过程中必须加密，加密方法必须满足以下要求.
      1. 加密算法列在FIPS 140-2附录A中，即批准的安全功能列表.
      2. 加密密钥长度符合长度的最佳实践, 考虑到当前的计算机处理能力.
      3. 必须验证传输的源和目的.
    2. 存储-受限数据必须使用鲁棒加密, 给定当前计算机处理能力的公开密码算法和合理的密钥长度. 密钥必须安全存储, 并且必须以最小权限为基础提供对它们的访问(参见ISO 11568正规赌博十大平台排行保护密钥的建议). 如果使用单向哈希而不是可逆加密，则必须使用加盐哈希.
      1. 使用不同于系统登录时使用的密钥或密码加密包含受限制数据的文件.
      2. 加密存储在数据库中的数据.
      3. 除了归档和数据库加密, 对包含高风险数据的所有工作站和便携式设备实施全磁盘加密.
  7. 适用的系统安全标准将对存储, 过程, 或传输受限制的数据
  8. 保留: 受限制的数据只应存储在完成文档化业务流程所需的时间内. 看到大学政策风险1.10.025 – 记录管理.
  9. 破坏: 当不再需要受限制数据时, 它应该被适用的政策摧毁, 使用抵抗数据恢复尝试的方法，如加密数据破坏实用程序, 现场物理设备销毁, 或naid认证的数据销毁服务.
  10. 事件通知: 如果存在潜在的安全事件，可能将受限制的数据置于未经授权访问的风险中, 必须通知大学信息安全办公室. 另请参阅 大学政策及资讯科技2.30.064 – 数据泄露协议.
5. 为了安全, 隐私, 监管方面的原因, 那些创造, 管理, 或者存储研究数据必须特别适应其分类和适当的安全措施. 归类为机密或限制的研究数据必须存储在大学控制的设备和系统中, 不是个人设备或个人获得的服务. 适当的大学单位必须审查数据共享协议. 研究人员必须确保数据是安全的，并且只有那些被批准访问的人才能使用.
6. 特别是在欧盟工作或旅行时, 必须高度关注受《正规赌博十大平台排行》(GDPR)影响的数据. 应特别注意人体实验研究(即, 正规赌博十大平台排行已识别或可识别个人的研究). Anonymization of the data is preferred; pseudonymization presents a greater risk, 虽然这是可以接受的. 适当的大学数据管理员或研究项目的个人首席研究员应该建议共享数据.
定义

数据保安标准(DSS)

信息技术

联络资讯科技