標準編號:	GB/T 35274-2017
中文名稱:	信息安全技術 大數據服務安全能力要求
英文名稱:	Information security technology—Security capability requirements for big data services
中標分類:	L80    數據加密
行業分類:	GB    國家標準
ICS分類:	35.040 35.040    字符集和信息編碼 35.040
發布機構:	中華人民共和國國家質量監督檢驗檢疫總局、中國國家標準化管理委員會
發布日期:	2017-12-29
實施日期:	2018-7-1
標準狀態:	superseded
被新標準替代:	GB/T 35274-2023 信息安全技術 大數據服務安全能力要求
被替代日期:	2024-3-1
翻譯語言:	英文
文件格式:	PDF
中文字符數:	29000 字
翻譯價格(元):	2030.0
交付時間:	付款后 1 個工作日

Codeofchina.com is in charge of this English translation. In case of any doubt about the English translation, the Chinese original shall be considered authoritative. This standard is developed in accordance with the rules given in GB/T 1.1-2009. Attention is drawn to the possibility that some of the elements of this document may be the subject of patent rights. The issuing body of this document shall not be held responsible for identifying any or all such patent rights. This standard was proposed by and is under the jurisdiction of the National Technical Committee on Information Security of Standardization Administration of China (SAC/TC 260). ? Introduction Big data service is a kind of network information service that covers data activities related to the data lifecycle through scalable big data platform at the bottom layer and multiple big data applications at the upper layer, aiming at the data sets with huge quantity, diverse types, fast flow speed, changeable characteristics, etc. Big data service providers shall ensure the secure and reliable operation of big data platform and applications and meet the security objectives of big data services such as confidentiality, integrity and availability. This standard divides the security capabilities of big data service into two levels: general requirements and enhanced requirements. General requirements refer to that big data service providers are capable of resisting or dealing with common threats, controlling the losses of big data services after being damaged within a limited range and degree, and also have the basic incident traceability capability when developing big data services. Enhanced requirements refer to that the big data service providers are capable of actively identifying and preventing potential attacks, effectively dealing with security incidents and controlling their losses to a small extent, and ensuring the effectiveness of security incident tracing as well as the reliability, extendibility and scalability of big data services when the big data service is related to national security or has a greater impact on economic development and social and public interests. The security capability requirements for big data service providers are also different according to the importance of the data carried and the extent and severity of the impact that the big data service may cause when the service is not normally provided or is damaged. Information security technology - Security capability requirements for big data services 1 Scope This standard specifies the organization-related basic security capabilities and data lifecycle-related data service security capabilities that big data service providers shall have. This standard is applicable to the construction of big data service security capabilities by government departments, enterprises and institutions, as well as the review and evaluation on big data service security capabilities of big data service providers by third-party organizations. 2 Normative references The following referenced documents are indispensable for the application of this document. For dated references, only the edition cited applies. For undated references, the latest edition of the referenced document (including any amendments) applies. GB/T 22239-2008 Information security technology - Baseline for classified protection of information system security GB/T 25069-2010 Information security technology - Glossary GB/T 31168-2014 Information security technology - Security capability requirements of cloud computing services GB/T 35273-2017 Information security technology - Personal information security specification GB/T 35295-2017 Information technology - Big data - Terminology 3 Terms and definitions For the purposes of this document, the terms and definitions given in GB/T 25069-2010 and GB/T 35295-2017 as well as the following apply. 3.1 big data the data set that is featured by huge quantity, diverse types, fast flow speed, changeable characteristics, etc., and is difficult to be effectively organized, stored, computed, analyzed and managed by using the traditional data architecture and data processing technology 3.2 data lifecycle an evolution process of data including various survival forms from data generation, through acquisition, transmission, storage, processing (including computing, analysis, visualization, etc.), interchange, and to destruction, etc. 3.3 data service a kind of network information service providing evolution of data survival forms such as data acquisition, transmission, storage, processing (including computing, analysis, visualization, etc.), interchange and destruction 3.4 big data service various data lifecycle-related data services and system services supporting organizations or individuals to collect, store, use and discover the value of big data Note: Big data service generally faces structured, semi-structured and unstructured data services that are massive, heterogeneous and rapidly changing, and is provided through scalable big data platform at the bottom layer and multiple big data applications at the upper layer 3.5 big data application various application systems operating on the big data platform to perform various data lifecycle-related data activities such as data acquisition, transmission, storage, processing (including computing, analysis, visualization, etc.), interchange and destruction and to provide big data services 3.6 big data platform a set of software and hardware with distributed storage and computing technologies to provide access to and processing of big data and to support secure and efficient operation of big data applications, including monitoring the software and hardware infrastructure of big data services such as storage, input/output (I/O), and operation control of big data 3.7 big data service provider organizations that provide big data services through big data platforms and applications 3.8 big data consumer end users and other information technology systems or intelligent sensing devices using big data platforms or applications 3.9 big data system information system including big data consumers, big data service providers, big data applications and big data platforms 3.10 data supply chain a chain-like structure formed by available data resources required for planning, coordinating, operating, controlling and optimizing the data collection, preprocessing, aggregation, interchange, access and other related data activities of big data service providers Note: The goal of the data supply chain is to make the big data service providers deliver all kinds of data and system assets required for big data services to the right big data consumers at the right time and in accordance with the right data service agreement by data activities such as planning, coordination, operating, controlling and optimizing. 3.11 data interchange a process of realizing flow of data resources between different platforms and applications with corresponding technologies according to certain principles so as to meet the needs of transmission and processing of data resources between different platforms or applications 3.12 data sharing a kind of technology allowing different big data consumers to have access to various data resources integrated by big data service and also carry out relevant computing, analysis, visualization and other processing on these data resources through big data service or data interchange technology 3.13 important data data collected and generated by Chinese organizations and individuals within the territory of PRC which do not involve state secrets, but are closely related to national security, economic development and public interests Note: Important data usually refer to the data (including original data and derivative data) collected and generated by various organizations in important industries and fields such as public communication and information services, energy, transportation, water conservancy, finance, public service and e-government in the course of their business activities, which do not involve state secrets, but once leaked, tampered or abused, will adversely affect national security, economic development and social and public interests. 4 Overview 4.1 General requirements Big data service providers shall take necessary security control measures for big data service infrastructure from the perspective of information technology (IT) according to GB/T 31168-2014 and GB/T 22239-2008 to ensure the secure and reliable operation of system services of big data platforms and applications and the business mission of big data services. This standard only specifies the basic security requirements and data service security requirements that the organizations providing big data services through big data platforms and applications shall have: a) Basic security requirements: Big data service providers shall create big data service security policies and procedures, establish system and data asset lists, organizations and personnel positions, and form metadata structures that satisfy big data services, data supply chain structures and data service interface specifications that meet business processes, and basic security capability requirements for big data services that meet the requirements of laws, regulations and related standards through security planning and demand analysis of big data services. b) Data service security requirements: Big data service providers shall form security requirements for data services such as data acquisition, transmission, storage, processing, interchange and destruction according to the data lifecycle-related data activities, so as to reduce security risks related to data lifecycle security management in big data services and ensure the business mission and data security of big data services. Big data service providers shall select the big data service security capability requirements listed herein for construction and evaluation according to the data protection value and types of big data services, and in combination with their own big data service modes, roles, objectives and supporting infrastructure (see Annex A). Note: The data resources involved in big data services may depend on the data services or system services of other organizations, then big data service providers shall stipulate and implement the corresponding security responsibilities of all participants in the supply chain through contracts, agreements or other means, requiring them to have the security protection capability equivalent to that of big data service providers. 4.2 Classification of requirements This standard divides the security capabilities of big data service into general requirements and enhanced requirements. Big data service providers shall follow the following protection requirements according to the importance of the data carried by big data systems and the extent and severity of impact that big data service anomalies may cause:

Foreword II Introduction III 1 Scope 2 Normative references 3 Terms and definitions 4 Overview 4.1 General requirements 4.2 Classification of requirements 5 Basic security requirements 5.1 Policies and procedures 5.2 Data and system assets 5.3 Organization and personnel management 5.4 Service planning and management 5.5 Data supply chain management 5.6 Compliance management 6 Data service security requirements 6.1 Data acquisition 6.2 Data transmission 6.3 Data storage 6.4 Data processing 6.5 Data interchange 6.6 Data destruction Annex A (Informative) Big data service model, user roles and business objectives Bibliography

3 術語和定義 GB/T 25069—2010和GB/T 35295—2017界定的以及下列術語和定義適用于本文件。 3.1 大數據 big data 具有數量巨大、種類多樣、流動速度快、特征多變等特性，并且難以用傳統數據體系結構和數據處理技術進行有效組織、存儲、計算、分析和管理的數據集。 3.2 數據生命周期 data lifecycle 數據從產生，經過數據采集、數據傳輸、數據存儲、數據處理（包括計算、分析、可視化等）、數據交換，直至數據銷毀等各種生存形態的演變過程。 3.3 數據服務 data service 提供數據采集、數據傳輸、數據存儲、數據處理（包括計算、分析、可視化等）、數據交換、數據銷毀等數據生存形態演變的一種網絡信息服務。 3.4 大數據服務 big data service 支撐機構或個人對大數據采集、存儲、使用和數據價值發現等數據生命周期相關的各種數據服務和系統服務。 注：大數據服務一般面對的是海量、異構、快速變化的結構化、半結構化和非結構化數據服務，且通過底層可伸縮的大數據平臺和上層各種大數據應用的系統服務提供。 3.5 大數據應用 big data application 執行數據生命周期相關的數據采集、數據傳輸、數據存儲、數據處理（如計算、分析、可視化等）、數據交換、數據銷毀等數據活動，運行在大數據平臺，并提供大數據服務的各種應用系統。 3.6 大數據平臺 big data platform 采用分布式存儲和計算技術，提供大數據的訪問和處理，支持大數據應用安全高效運行的軟硬件集合，包括監視大數據的存儲、輸入/輸出、操作控制等大數據服務軟硬件基礎設施。 3.7 大數據服務提供者 big data service provider 通過大數據平臺和應用，提供大數據服務的機構。 3.8 大數據使用者 big data consumer 使用大數據平臺或應用的末端用戶、其他信息技術系統或智能感知設備。 3.9 大數據系統 big data system 包括大數據使用者、大數據服務提供者、大數據應用和大數據平臺的信息系統。 3.10 數據供應鏈 data supply chain 對大數據服務提供者的數據采集、數據預處理、數據聚合、數據交換、數據訪問等相關數據活動進行計劃、協調、操作、控制和優化所需的可用數據資源形成的鏈狀結構。 注：數據供應鏈目標是將大數據服務所需的各種數據和系統資產，通過計劃、協調、操作、控制、優化等數據活動，確保大數據服務提供者能在正確的時間，按照正確的數據服務協議送給正確的大數據使用者。 3.11 數據交換 data interchange 為滿足不同平臺或應用間數據資源的傳送和處理需要，依據一定的原則，采取相應的技術，實現不同平臺和應用間數據資源的流動過程。 3.12 數據共享 data sharing 讓不同大數據用戶能夠訪問大數據服務整合的各種數據資源，并通過大數據服務或數據交換技術對這些數據資源進行相關的計算、分析、可視化等處理。 3.13 重要數據 important data 我國機構和個人在境內收集、產生的不涉及國家秘密，但與國家安全、經濟發展以及公共利益密切相關的數據。 注：重要數據通常指公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務等重要行業和領域的各類機構在開展業務活動中收集和產生的，不涉及國家秘密，但一旦泄露、篡改或濫用將會對國家安全、經濟發展和社會公共利益造成不利影響的數據（包括原始數據和衍生數據）。 4 概述 4.1 總體要求 大數據服務提供者應依據GB/T 31168—2014和GB/T 22239—2008，從信息技術（Information Technology，簡稱IT）角度對大數據服務基礎設施采取必要的安全管控措施，保障大數據平臺和應用的系統服務安全可靠地運行和大數據服務的業務使命。本標準只規定了通過大數據平臺和應用，提供大數據服務的機構應具備的基礎安全要求和數據服務安全要求： a） 基礎安全要求：大數據服務提供者要創建大數據服務安全策略和規程，建立系統和數據資產清單、組織和人員崗位，通過對大數據服務的安全規劃和需求分析形成滿足大數據服務的元數據結構、符合業務流程的數據供應鏈結構和數據服務接口規范，以及符合法律法規和相關標準要求的大數據服務基礎安全能力要求。 b） 數據服務安全要求：大數據服務提供者要針對數據生命周期相關的數據活動，形成數據采集、數據傳輸、數據存儲、數據處理、數據交換、數據銷毀等數據服務安全要求，以降低大數據服務中數據生命周期安全管理相關的安全風險，保障大數據服務的業務使命和數據安全。 大數據服務提供者應依據大數據服務的數據保護價值、大數據服務類型，結合自身的大數據服務模式、大數據服務角色、大數據服務目標和支撐大數據服務的基礎設施（參見附錄A），選擇本標準列舉的大數據服務安全能力要求項進行建設和評估。 注：大數據服務涉及的數據資源可能依賴于其他機構的數據服務或系統服務，則大數據服務提供者以合同、協議或其他方式對供應鏈上各參與方的相應安全責任進行規定并予以落實，要求他們具備與大數據服務提供者相當的安全防護能力。 4.2 要求分級 本標準將大數據服務安全能力分為一般要求和增強要求。大數據服務提供者應根據大數據系統所承載數據重要性和大數據服務異常可能造成的影響范圍和嚴重程度，遵循如下保護要求： a） 大數據服務中沒有承載重要數據，且該服務不能正常提供服務或遭受破壞時，對國家經濟發展和社會公共利益影響有限，對國家安全和國計民生沒有影響的，按照一般要求進行安全保護； b） 大數據服務中承載有重要數據，或在不能正常提供服務或遭受破壞時，對國家經濟發展和社會公共利益造成的影響較大，或者會影響國家安全和國計民生的，按照增強要求進行安全保護。 5 基礎安全要求 5.1 策略與規程 5.1.1 一般要求 大數據服務提供者應： a） 制定符合機構大數據服務戰略規劃的安全策略，明確安全方針、安全目標和安全原則。 b） 確保所制定的安全策略覆蓋數據生命周期相關的數據服務和系統服務，內容應包括目的、范圍、崗位、責任、管理層承諾、內外部協調及合規性要求等。 c） 制定安全策略相關的規程，并將安全策略和規程分發至機構大數據服務部門、崗位和人員。 d） 制定并實施與安全策略和規程相適應的大數據平臺和應用安全實施細則，包括外部數據資源整合、數據共享、數據發布等數據供應鏈安全管理細則、合同要求及審核機制。 e） 定期審核和更新大數據服務安全策略和規程。 5.1.2 增強要求 大數據服務提供者應： a） 在組織架構發生重大調整或大數據服務業務發生重大變化時，及時評估安全策略與規程的實施效果，并將效果反饋到安全策略和規程文件的修訂過程中。 b） 對大數據服務安全策略和規程進行體系化的評估，制定大數據服務安全能力提升計劃。 5.2 數據與系統資產 5.2.1 數據資產 5.2.1.1 一般要求 大數據服務提供者應： a） 建立數據資產安全管理規范，明確大數據服務相關數據資產的安全管理目標和安全原則。 b） 建立數據資產分類分級方法和操作指南，以及數據資產分類分級的變更審批流程和機制。 c） 建立數據資產組織和管理模式，制定數據資產登記制度，明確數據資產管理相關方。 d） 建立數據資產清單，明確大數據服務相關數據資產管理范圍和屬性。 e） 定期審核和更新數據資產安全管理相關的安全規范、管理制度等。 5.2.1.2 增強要求 大數據服務提供者應： a） 依據數據資產和數據主體安全分級要求建立相應的標記策略、訪問控制、數據加解密、數據脫敏等安全機制和管控措施。 b） 建立大數據服務所需的機構內外部數據資產的安全治理原則和數據資源整合規范。 c） 建立機構級數據資產管理平臺，實現對數據資產的統一管理。 5.2.2 系統資產 5.2.2.1 一般要求 大數據服務提供者應： a） 建立大數據系統資產安全管理規范，明確系統資產安全管理目標和安全原則。 b） 建立大數據系統資產建設和運營管理制度和機制，明確規劃、設計、采購、開發、運行、維護及報廢等資產管理過程的安全要求。 c） 建立大數據系統資產登記機制，形成大數據服務的系統軟硬件資產清單，明確系統資產安全責任主體及相關方，并及時更新系統資產相關信息。 d） 建立大數據系統資產分類和標記規程，使資產標記易于填寫和依附在相應的系統資產上。 e） 定期審核和更新大數據系統資產管理相關的安全規范、管理制度。 5.2.2.2 增強要求 大數據服務提供者應： a） 建立大數據系統資產管理平臺，具備系統資產統一注冊、管理和使用監控等能力。 b） 建立大數據系統資產更新、運營風險評估和IT系統供應鏈安全審查規程和制度。 5.3 組織和人員管理 5.3.1 組織管理 5.3.1.1 一般要求 大數據服務提供者應： a） 建立大數據服務安全管理組織機構，明確大數據服務安全崗位和崗位用戶職責。 b） 建立大數據服務安全領導小組，指定機構最高管理者或授權代表擔任小組組長，并明確組長責任與權力。 c） 指定大數據服務平臺與應用安全規劃、安全建設、安全運營和系統維護工作的責任部門。 d） 建立機構內部監督管理職能部門，對大數據服務和各用戶操作行為進行安全監督管理。 e） 制定大數據服務安全追責制度，定期對責任部門和安全崗位組織安全檢查，形成檢查報告。 5.3.1.2 增強要求 大數據服務提供者應： a） 建立體系化的大數據服務安全管理機構，機構最高管理人員應作為大數據服務安全領導小組組長，且配備必要的管理人員和技術人員。 b） 設置專職的大數據服務安全崗位，建立規范化的大數據服務安全保護、評估及考核專職隊伍。 5.3.2 人 5.3.2.1 一般要求 大數據服務提供者應： a） 制定大數據服務人力資源安全策略，明確不同崗位人員在數據生命周期各階段數據服務和系統服務相關的工作范疇和安全管控措施。 b） 制定大數據服務人員招聘、錄用、上崗、調崗、離崗、考核、選拔等人員安全管理制度。 c） 在錄用重要崗位人員前對其進行背景調查，確保符合相關的法律，法規、合同和道德要求，并與所有涉及大數據服務崗位人員簽訂安全責任協議。 d） 明確大數據服務重要崗位的兼職和輪崗、權限分離、多人共管等安全管理要求。 e） 建立人員安全責任獎懲管理制度，并按照規定對造成大數據服務損失的人員給予相應的處理，記錄并保存相關信息。 f） 建立第三方人員安全管理制度，對接觸個人信息、重要數據等數據的人員進行審批和登記，并要求簽署保密協議，定期對這些人員行為進行安全審查。 g） 在重要崗位人員調離或終止勞動合同時，與其簽訂保密協議。 5.3.2.2 增強要求 大數據服務提供者應： a） 明確關鍵崗位人員背景調查范圍，定期對關鍵崗位人員進行背景審查。 b） 明確關鍵崗位人員安全能力要求，并確定他們培訓技能考核內容與考核指標，定期對關鍵崗位人員進行審查和能力考核。 5.3.3 角色管理 5.3.3.1 一般要求 大數據服務提供者應： a） 建立大數據服務相關的安全角色，明確安全角色的分配策略和授權范圍。 b） 建立用戶角色及角色權限沖突的定期審查機制，及時更新用戶角色及角色權限授權信息。 c） 明確大數據服務相關重要崗位及其角色安全要求，建立重要崗位角色清單和授權機制。 5.3.3.2 增強要求 大數據服務提供者應： a） 依照大數據系統架構建立分層的角色體系、職責分離等大數據服務安全角色管理機制。 b） 建立用戶應用上下文感知的角色啟動、停用與禁用的動態管理策略、規程和機制。 5.3.4 人員培訓 5.3.4.1 一般要求 大數據服務提供者應： a） 制定大數據服務安全崗位人員的安全培訓計劃，并對培訓計劃定期審核和更新。 b） 制定關鍵崗位轉崗、崗位升級等相應的人員安全培訓計劃，并對培訓計劃定期審核和更新。 c） 按計劃對相關人員開展安全培訓，包括政策、法律、法規、標準等合規性培訓，并對培訓結果進行評價、記錄和歸檔。 5.3.4.2 增強要求 大數據服務提供者應根據不同安全崗位要求，開展大數據服務安全實際操作技能培訓與考核。 5.4 服務規劃與管理 5.4.1 戰略規劃 5.4.1.1 一般要求 大數據服務提供者應： a） 明確機構大數據服務類型、大數據平臺與應用戰略規劃目標，編制大數據服務戰略規劃，確保其安全規劃符合網絡安全法等國家法律法規及網絡安全等級保護等制度相關要求。 b） 依據機構戰略規劃目標，制定大數據服務安全規劃各階段目標、任務和工作重點，并對戰略規劃目標和安全規劃實施過程進行監督與控制。 c） 成立戰略規劃評估小組，負責機構安全規劃評估，確保大數據服務安全策略、安全目標和戰略規劃內容的合規性。 5.4.1.2 增強要求 大數據服務提供者應： a） 建立大數據服務安全規劃動態調整制度，并通過信息化平臺進行管理。 b） 建立大數據服務所涉及數據安全管理綱領性文件，包括但不限于：數據治理、數據質量、元數據，以及平臺與應用安全相關的數據所有權、數據開放與共享等安全策略。 5.4.2 需求分析 5.4.2.1 一般要求 大數據服務提供者應： a） 建立大數據服務安全需求分析的制定流程和評審制度，明確安全需求文檔內容要求。 b） 依據國家法律、法規、標準與主管機構的政策規范要求，分析大數據服務安全合規性需求。 c） 結合機構戰略規劃、大數據服務業務目標和業務特點，分析大數據服務業務安全需求。 d） 識別大數據服務面臨的威脅和自身脆弱性，分析大數據服務安全風險和應對措施需求。 e） 依據機構戰略規劃，明確大數據服務安全需求和安全規劃實施的優先級。 5.4.2.2 增強要求 大數據服務提供者應使用數據驅動分析等方法進行大數據服務安全需求分析，確保大數據服務相關安全需求的有效制定和規范化表達。 5.4.3 元數據安全 5.4.3.1 一般要求 大數據服務提供者應： a） 建立大數據服務相關元數據及其管理規范，如數據域、字段類型、表結構、邏輯存儲和物理存儲結構及管理方式。 b） 建立大數據服務安全架構相應的安全元數據管理規范，如口令策略、權限列表、授權策略。 c） 建立元數據訪問控制策略，明確元數據管理角色及其授權控制機制。 d） 建立元數據操作的審計制度，確保元數據操作的可追溯。 5.4.3.2 增強要求 大數據服務提供者應： a） 具備實現大數據服務元數據統一管理的能力。 b） 依據資產分類分級策略建立元數據安全屬性自動分級機制。 c） 依據元數據安全屬性建立標記策略及標記定義和標記管理機制。 5.5 數據供應鏈管理 5.5.1 數據供應鏈 5.5.1.1 一般要求 大數據服務提供者應： a） 建立數據供應鏈安全管理規范和安全方針，明確數據供應鏈安全目標、原則和范圍。 b） 確保數據供應鏈上下游對數據交換、使用和利用符合法律法規，并有技術保障措施。 c） 明確數據供應鏈上下游責任和義務，確保數據供應鏈相關數據服務真實可用。 d） 通過合作協議方式明確大數據服務數據供應鏈中數據的使用目的、供應方式、保密約定等。 e） 建立數據供應鏈目錄和相關數據源數據字典，明確數據供應鏈的責任部門和人員。 f） 對數據供應鏈上下游的大數據服務提供者和大數據使用者的行為進行合規性審核和分析。 5.5.1.2 增強要求 大數據服務提供者應定期對數據供應鏈上下游數據活動安全風險和數據安全管理能力進行評估。 5.5.2 數據服務接口 5.5.2.1 一般要求 大數據服務提供者應： a） 制定數據服務接口安全控制策略，明確規定使用服務接口的安全限制和安全控制措施，如身份鑒別、授權策略、訪問控制機制、簽名、時間戳、安全協議等。 b） 明確服務接口安全規范，包括接口名稱、接口參數、接口安全要求等，具備對接口不安全輸入參數進行限制或過濾能力，為接口提供異常處理能力。 c） 具備服務接口訪問的審計能力，并能為大數據安全審計提供可配置的數據服務接口。 d） 對大數據平臺與應用內跨安全域間的接口調用采用安全通道、加密傳輸等安全機制。 5.5.2.2 增強要求 大數據服務提供者應建立服務接口安全監管措施，以對接口訪問進行必要的自動化監控和處理。 5.6 合規性管理 5.6.1 個人信息保護 5.6.1.1 一般要求 大數據服務提供者應依據GB/T 35273—2017相關要求，采取必要的技術手段或管控措施，建立符合國家法律法規和相關標準的個人信息保護能力。