《智慧城市数据账户资源共享应用规范》标准文本.docx

ICS35.020CCSA16DB4403深圳市地方标准DB4403TXXX-XXXX智慧城市数据账户资源共享应用规范App1.icationspecificationforresourcesharingofdataaccountforsmartcity（送审稿）XXXX-XX-XX发布XXXX-XX-XX实施深圳市市场监督管理局发布智慧城市数据账户资源共享应用规范1范困本文件规定了智怒城市中数据账户资源应用框架、数据账户相关方及业务活动、数据账户关键业务流程、数据账户资源共享应用空求及安全要求本文件适用于在啊杷城市中以公共机构、企业、个人为实体的数据账户及其相关业务活动，管理及共享应用.其他类型数据账户可参考使用.2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.其中.注日期的引用文件.仅该H期对应的版木适刖J本文件；不注H期的引用文件，其G新版木（包括所有的修改单）Jiff1.J-*文件.GBZTGB/TGB/TGBZTGBZTGB/TGB/TGBZTSF/Z34960.5信息技术服务治理第5部分:数据治理规范35273352713797339477379884I1.7943697<5息安全技术数据安全技术信息安全技术信息安全技术信息安全技术信息安全技术数据安全技术个人信息安全规范大数据服务安全能力要求大数据安全管理指南政务信息共享数据安全技术要求数擀安全能力成熟度模型同络数据处理安全要求数据分类分缎规则J1.）O100oO1电子数据司法饕定通用实他规范DBH/T2133政务公开目录编制指南D1M403/T271公共数据安全要求DBP103/T278公共茶珈信息数据兀煜范GDZW0031广东行政务侑息资源目录编制指南3术语和定义卜列术语和定义适用于本文件.公共机构PUb1.iCinstitutions全部或者部分使用财政性资金的国家机关、平业单位和团体组织，GB/T366742018,3.1企业enterprise共同承担确塞使命、H标和目的，以提供产品或服务等输出的一个或笠个加织,?i：包括诸如广义企业，成拟企业等相关鞅.含.来源：GB/T20529.12006,3.1DB4403TXX-202X3.3个人persona1.以电子或者其他方式记录的己识别或者可识别的自然人，注：包括中国境外.中国境内'中国国睛、非中国国IS等各类自步人.3.4数据0K户dataaccount智魅城市中以公共机构（3.I）、企业（3.2）、个人（3.3）等为实体对象,按业务视角分类方式典集目录和数据，为政附、企业和社会公众等的应用场景提供数据服务，所形成的全生命周期、全视角范阳内数据和信息的集合.3.5公共机构数据账户pubIicinstitutionsdataaccount以公共机构（3.1）为实体的数据账户（3.4,在公共管理和服务机构依法般职或提供公共股务过程中产生、处理的公共机构全生命周期、全视角的国内数据和信息的集合.3.6企业数据账户enterprisedataaccount以企业（3.2）为实体的数据账户（3.I）.在企业、经营、注铜、信用、专利、著作.社保缴纳、公枳金诚纳、咕税、商业行为等（且不限于上述事项）企业全生命周期、全视角范国内所形成的数据和信息的集合.3.7个人数据账户persona1.dataaccount以个人（3.3）为实体的数据账户（3.4）,在出生、教育、就业、始烟、购房、股车、投资、公枳金、保险、生育、医疗、退休、养老、周世等（且不限于上述事项）个人全生命周期.全视向公用内所形成的数据和信息的集合.3.8其他类型数据照户Otherdataaccount除公共机构数据账户（3.5）、企业数招张户（3.6）、个人数1«账户（3.7）之外,以其他类型实体为对象构徨的数据账户.3.9数据资源dataresource作为资源看待的.只有业务网件,用于支持实现数据喋户各相关方业务目标,服务于业务场景的数据.来源:GB/T42150-2023.3.1,有一改3.10数据账户主体dataaccountsubject开设或入$E数据账户（3.4）后.享有数据被保护的权利.可对自己的数据进行访问、更正、刮除、拒绝、限制等活动的相关方.3.11数据提供方dataprovider大数据参考体系结构中的一种避辑功能构件,它将新的数据或信息引入大数据系统.注：数据提供方-依乜括公共机构、企业'个人.电子政务.公共事业、互联网等.3.12数据应用方datauser存证监管包括对数据账户的主体存证、关系存证、费产存证以及活动存证等的监管.5.9.8安全合规监管安全监管包括对数据账户数据安全、同络安全、系统安全'应用安全、用户安全等的监管.以及数据应用服务的技术和管理措施等的监管,合规监管包括对数据账户主体合规、数据内容合规、数据来源合Mi、数据全生命周期合规等的监首.6数据账户关键业务流程61业务活动总体要求数据账户关键业务流程是指数据账户的开设/入驻、数据资源H录创建、故据供给及数据资源H录挂接、数据应用、数据账户注销等全生命周期的业务活动，如图3所示.数据账户业务活动应满足以F要求：a）数据账户的开设/入驻：基于数据账户主体的自愿和授权，数据账户主体行权选择是否开通数据账户,以及选择数据联户的类型,范惕和内容：b）数据账户数据资源目录创隹：应基于业务需求和应用场景进行：c）数楙账户数据供给：满足完整性、准确性和时效性等数甥历fit要求：数擀账户主体具有查看、修改、删除、祚充和更新数据账户中数据的权限，并可对数据进行备份和恢安：d）数据资源H录挂接：供给的数据与数据账户中的标准数据H录进行对齐M配，形成分类对应关系1e数据账户数据应用I遵守数据账户的授权规则，数据账户主体的权控制数据账户中数据的访间、使用、共型和交易，以及撤带、变更和终止等的授权：D数据账户注得：不再使用的数据账户及时进行清理和错毁，数据账户主体有权申请注错数据味户并选择数据账户的注销方式和范的。S3数据账户业务流程图62数据账户开设及入驻6.2.1程述数据账户的开设/入驻是指数据账户主体通过数据账户平台，按照数据账户的类型、苞附和内容,选择数据来M，进行数据账户的注册和开通的过程.622数据账户开设公共机构/企业/个人/其他类型实体（以下简称“各类实体”）据账户开设流程如图4所示。各类实体在数提账户平台发起数据账户的开设活动，由数据账户平台形成各类实体数据账户,各类实体和数据账户平台签订授权协议，由数据账户平台返回开设成功的怡思并建立各类实体数据账户.图4数据赚户开设流程6.2 3数据账户入驻数据账户相关方入驻流程如图5所示。由需要入驻数据账户的相关方在数据账户平台发起数据账户入驻请求，由数据照户者理方对相关方进行资格审杳,相关方资格符合要求时,通过数据姝户平台签订BUK租务协议弁入驻数据账户：共中数据提供方应提供合法合规采集数据的相关佐证.公共数招统由深圳市数据共享交换相关平台供给，相关方资格不符合要求的可在具备条件后重新发起旅户入驻请求“图5数据账户相关方入驻流程6.3 锹据供给和数据资源目录挂接数据账户数据供给及数据资源目录挂接流程见图6.由数据原户管理方通过数据姝户平台接入数据提供方的已授权数招,并。数抠R户的数抠标准进行比对比对通过后进行数据的核验或认证,核险或认证通过后,按的定将数树存入数据咪户平台或以接口等方式提供数IK供给服务数抠败户管理方应在数据账户平台进行数据资源编目,上架后形成数据账户基础目录.64鼓抠账户数枢目录创耀各类实体开设数据账户后，可经数据账户平台授权后使用数据账户的制础数据H录或在效据账户中自定义数据目录.6.5 数据应用数据账户数据应用及服务流程见图7.由数据应用方在数据账户平台发起数据应用请求,由数据账户昔理方时数据应用方进行费侦审杳.数据应用方的资质审查通过后由数据账户主体在数据账户平台进行数据应用授权,授权通过后由收据账户管理方在数据账户平台发起数楙的核险或认证.由第三方机构进行核验或认证.通过核验或认证后的数擀对外进行数据应用.核照或认证不通过的数据电新进入数据供给环节.应符合以下瞿求Ia）数据应用方应提交详细的数据戕户主体资料,包括各类实体的数据账户主体身份认证付息Ib）数据账户管理方负责发起数据核验或认证.肺保数据的真实性、准期性和完整性IC）第三方机构应对数据账户主体的身份进行的证，鱼带对数据内容、数据来源、数据处理迸行检我.确保收据喋户应用的安全性和有效性.图7数据账户数据应用流程66数据账户注梢数据账户注销流程见图8。由数据账户主体在数据账户平台提出账户注销申请，由数据账户管理方审核注销小谙，注销小诂通过审核后，由数据应用方进行业务的清理，同时数据提供方停止数据供给眼务，数据户管理方或数据应用方根据数据账户主体要求和授权进行数据的转存、删除或错毁.数据的枷除或第!S应符合GB/T35274和GBJT37973中的现定，由数据账户管理方对数据户主体的账户进行注花.图8数据账户注销流程7数据账户资源共享应用要求7.1 概述数据账户主体基于数据空间开发利用环境及数描账户平台的授权等傕力支持，按数抠账户贲源共享应用要求进行数据的融合应用,根据数据账户宽源的构成情况，将他，Itr数据账户资源中最核心的数据共享应用要求进行明确.按公共数据、企业数据和个人数据等的不I可开发利用方式，结合数据的共享、开放、授权运营、交易等应用场景开展.7.2 数据共享应用基本要求7.2.1目的和范围应明确数据共享应用的目的、范用以及可能存在的风险，酒席界定可共享数据的类型、数据段以及共享条件,数据共享应用全流程操作应可审计,数据可潮敞“7.2.2授权数据应在授权后进行共享应用，井可被查行、修改或删除，数据在共享应用过程中应可控，任何电位和个人不应擅自使用或传播共享数据，72.3数据安全和障私保护DB4403TXX-202X数据共享应用应遵守相关的法律法规和船私保护要求，针对核心、垂耍、一般三个媛别的数据通过数擀的加密.访问控制'脱收脱密、安全等保存储'审计监控等措施防止数据祓善法使用、箧改或玳露.724鼓抠质JB数据在共享应用过程中应建立统一的数据标准和格式，并进行核实和校验，满足数据的一致性、腐确性、完整性、及时性等数据质尻要求.7.2.5监督和管理应建立骰据共享应用的监督和钟理机制,对数据共军应用过程迸行监拽和评估，并对共享数据的质盘和安全性进行定期检杳和评估,对违规行为进行处罚和纠正，以隔保数据共享应用的合规性和行效性.72.6锹据共享应用协议应具有明确的数据共享应用流程，通过协议进行数据的共享应用，明题各方的权利、义务和贵任，协议应涵Sfe数据的使用范用'期限、保密义务'通的员任等内容.并建立数据共享应用的申请、审枇、使用、反惭等机制。7.3锹据共享应用典型场景及要求7.3.1 概述数据账户资源共享应用场景主要包括无偿应用和有偿应用场景.7.32基本要求7.3.2.1无镌应用场景7.3.2.1.1无偿应用场景适用于公共数据应用于公共治理、公益事业等场垠，以及企业和个人等数据账户主体之间无偿提供数据使用等相关业务,可通过数据英享和开放等方式.实现数据账户资源的具体应用.7.3.2.1.2数据共享可包括公共机构之间.企业、个人以及其他类型数据喋户主体之间的数抠共享等活动.7.3.21.3数据开放可包括公共机构向企业、个人或其他类型数抠账户主体的数据开放，以及企业、个人及其他类"数据账户主体向其他主体的数据开放等活动.7.3.2.2有镁应用场景7.3.2.2.1行偿应用场景适用于公共数据应用于产业发展、行业发展等场景，或企业、个人及其他类型数据账户主体向其他主体有偿提供收据服务等场景.可通过数据授权运营和数楙交易等方式.实现数据账户资源的市场化应用.7.3.2.2.2数据授权运营可包恬公共机构以及企业、个人或具他类组数据眯户主体按程序依法授权企业、个人或其他类怨数据味户主体，对授权的公共数据等进行加工处理,开发形成数据产M和视务井行偿提供应用等活动.7.3.22.3数据交场可包括数据账户中数据的供例W方之间以数据产品作为交易标的，进行的以货币或货币等价物交换数据使用权和市场化流通等活动“7.3.2.3场景应用要求7.3.23.1数据账户平台应支持数据联户主体发起数据账户费源应用场景，并授权数据提供方提供数据给数据应用方使用.7.3.2.3.2数据喋户平台应支持数据应用方发起数据账户费源应用场损.数期应用方可通过查阅透数据账户共享整合的综合性数据目录,向数据账户管理方和数据账户主体发出数据使用申请，数据联户主体Ur根据需求授权数据提供方提供数据给数据应用力使用.7.3 3数据共享场景数擀共享应符合包恬但不限于以下要求：a）可通过按口调用方式或主动适型方式进行：b）按不同场景建立场景数据模型，描述不同场景涉及的数据：c）满足完整性、一致性、准确性、时效性、可追溯性、W女性等数据质量管理瞿求：d）接受共享方能对共享的数据进行解析和处理：e）制定数据共享服务协议,对数据获取流程'权利、义务等迸行说明.7.4 4数据开放场景数据开放应符合包括但不限于以下要求：a）支持不I可的开放类型及形式：b）支持编制全址葩理数据目录及开放数据目录：C）支持对数据目录的安全合规审饯及数据融合的风险预判；d）支持数据目录的定期动态更新及维护：e）支持公共数据“原始数据不出域、数据可用不可见”以及通过算法模型获取结果数据等方式：f）支持数据开放过程中的数据脱敏、安全域环境：g）支持数据开放的条件审核及协议签订；h）支持数据开放过程的监测、预警及应急处跟，7.4.5 数据授权运营场景当符合行政级别和类别要求的公共机构.以及企业、个人等类型数据味户主体.按程序依法授权法人或者非法人组织，对授权的公共数据、企业数据和个人数据等进行加工处理，开发形成数据产品和服务并进行运管时.数据的授权运管应符合包括但不限于以下要求：a）遵的统一性、安全性、可追溯、可审计性、协同性、社会性等原则：b）按照受理申请、评审遴选、协议签订、运曾评价、运营终止等授权运营全流程进行：C）支持编制全Ift基础数据H录及授权运酋数据目录；（I）支持对数据目录的安全合规审筏及数抠融合的风险预判：e）支持数据目录的定期动态更新及维护If）支轿公共数据“原始数据不出域、数据可用不可见”以及通过算法模型获取结果数据等方式：g）支持数据授权运营过程中的数据脱境、安全域环境：h）界定明确的运莒产品类型及计价方式：i）建立授权运营安全保障体系。7.4.6 数据交易场景数据交易应符合包括但不限尸以下要求：n）支持数据来的的确认、使用范恸的界定、流通过程的可追溯及安全风险防范：b）支持数据质量、数抠安全及合规、数据应用场景的管理：c）支持数据的算法、算力资源的配定bW度：DB4403TXX-202Xd）支持交易过程15息的记录和保存：e）支持交融过程中为各主体的行为管理；f）支持数据的可信交与环境，可对交与迸行追溯、风险识别及合规检;测：8）支持对交易过程防攻击、防泄漏、防制取的监测、值警、控制和应急处跣:h）支持对交易环境里要泵统和数据峰的容灾备份：i）支持不同交易环境网络系统的等欲保护措施.7.5 数抠裱户相关方要求7.5.5 数据提供方数据提供方共享应用要求如雇a）应具得数据的持有权和/或使用权，并获得数据账户资源共享应刖的权限；b）应按照数据账户的目录要求提供数据：c）应提供数据纠错处理能力.加更正数据错误、补足数据丢失等.7.5.6 数据赚户主体数据账户主体扶享应用要求如下：a）应提供数据共享应用过程中的认证和授权,如数据供给授权、数据使用授权等：b）应提供数据授权使用过程的监控记录.加授权日志、报表等：c）应刈数据提供方提供的数据进行合规性验证，如是否配M授权同意规则、数据使用范围'目的等；d）应根据数据授权情况定期审核更新数据账户目录：C）应提供多种数据加工和开发方式，如联合计。、多方安全计口、数据元件、联邦计算、可信执行环境等:f）应对无条件共享的公共数据提供多种接入能力，如数据集、数据接口、数据辉衣等.7.43数娓账户管理方数据账户管理方共享应用要求如下：a）应建立数据共享管理机制,如申请、审批和反侬!等：b）应对数据账户主体提供授权和运营管理功能.如提出申请、词用数据、数抠舟城审核、撤回授权等；c）的支持对授权和运营全旅程的监控.保证授权和运营记录可追溯：d）应提供对数据应用力提出的数据衢求申请管理功能，如数据使用申请，数据加工申请等：e）应提供数据账户使用场景的审核功能，如用数单位、所33数据、共享模式.被止时间等，7.4.4数娓应用方数楙应用方共享应用要求如下：a）应根据数据账户管理方审核通过的场景使用数据；b）应提供安全可控的开发环境，如数据使用控制、开发环境拄制等C）应对开发后的数据产品提供合规性审2T,如是否有携带原始数据、个人信息收底数据、数据产品是否可反向识别原始数据等：d）应对审核通过的数抠产出提供安全封装,如数字水印、接口熔断限流、词用存证等.745第三方应按照鉴定标准和流程，对共享应用的数据进行鉴定，包括数据的来源、收集方式、处理过程等，确保数据的真实性和完整性.数据账户主体、管理方或应用方对盥定结果存在争议时.第1方位负责处理争议并提供解决方案.8安全要求8.1相关方安全81.1数据账户主体数据账户主体对数据账户进行目录管理，授权管理.账户管理、数据管理等业务时，应符合GB/T35273、GB/T37973和GB/T39477的要求.8.1.2数据账户管理方数据麻户管理方对数据赎户进行账户皆理、侦Ift甘理、接入管理、应用钟理、资源管理、安全管理、存证管理、合规管理并提供数据服务时.应提供相应的安全技术保障,并符合GB/T35273、GB/T37973和GB/T39477的要求。8.1.3数据应用方数据应用力应按国家相关法律法规要求进行数据应用管理，制定安全笆理制度实施安全技术防护措施.并符合GB/T35273.GBZT37973和GB/T39477的要求.814第三方第三方参与数据姝户和相关信息系统建设、锥护.涉及数据处理的,应当经过严格的批准程序，明确工作规范和标准，建立事前审核、事中身痕、小后迫潮机制,预防、发现、处置各类数据安全风险1.¾患.受委托的第三方应当按照法律法规规定和合同的定植行安全保护义务.不得超出授权范用拄门留存'使用、泄露或者向他人提供数据“8.2管理安全1 .2.1目录管理数据账户管理方迸行基础目录管理和自定义目录管理时应满足以下要求：a）按照数据分类分级要求形成数据资源目录；b）目录发布共享时进行身份饕别与审核,保证目录的规箱性和准确性Ic蛙子H录中数据爱源的安全影响分析，对数据资源H录建立分级安全管理饿略，保障数据味户在管理过程中数据资源的保密性和完整性：（I）对H录管理操作进行授权审计。8 .2.2授权管理数据账户主体根据授权进行数据的提供或使用，井应涌足以下要求：a）明确授权的苞国和目的，保留授权记录：b）来用技术措强防止数据被未授权使用或访问；c）对敏弊数据的使用应经过二次授权，并进行授权审计.DB4403TXX-202X数据账户管理方为数据账户主体进行数据的乐集、直看、校核.修改、M除、扑充和更新,在对故据账户进行符份和铁复时应提供安全保障措施,除应满足GB/T35274、GB/T37973,DB4403/T271中的规定外.还应满足以下要求：a）在数据管理过程进行安全审计，b）根据数据分类分级要求对数据账户内数据进行定期数据备份，对地将数据进行加密在铸并来用签名技术防止各份数据被套改：c）数据慢笈过程中进行数据的完整性校验：d）数据在名份等操作过程中迸行相关操作的H志记录.9 .2.4账户管理数据账户管理方对数据账户的注册、注销、角色和权限等进行笆理时，应涌足以F要求：a）对数据户的管理全过程进行安全审计：b）对数据账户的管理进行授权与身份签别：c）对数据眩户的管理行为形成操作FI志并进行行为审计：d）日志记录和审计报告至少保存6个月.825接入管理数据账户管理方对数据提供方以及数据应用方进行数据的接入管理，包括数据第II、数据接入、故据调度、数据质量稽核等,应满足以下要求：a）提供标掂化的数据接11,对接口规范、接"标掂、接口安全进行标准化定义；b）数据接入后对数据费产的变化、访问行为、数据流向、数据坦感程度变化等进行记录与安全审计：C）数据接入后建立数据规则、行为模型或饺略模里等M配检衣机：H，对异常使用数据行为及时发现并告警制止：d数据接入满足授权与身份格别安全要求，授权接入过程相关操作满足安全审计要求.10 2.6应用管理数据账户管理方应制定应用安全管理制度并实施安全技术防护指施.对数据账户的使用、开发和应用场景进行管理,经授权网意后遵循以小必要原则进行数据的狭取、开发和陶用.827监督管理数据账户管理方应基干GB/T35273、GB/T37973和GR/T39477的要求而数据来源、数据版收、数据账户及使用、存证、安全、授权等进行监停管理.并制定安全管理制度、实班安全技术防护措施.