1 范围

      本标准规定了通过数据交易服务机构进行数据交易服务的安全要求，包括数据交易参与方、交易对象和交易过程的安全要求。

      本标准适用于数据交易服务机构进行安全自评估，也可供第三方测评机构对数据交易服务机构进行安全评估时参考。

2 规范性引用文件

      下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

      GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求

      GB/T 25069-2010 信息安全技术 术语

      GB/T 35273-2017 信息安全技术 个人信息安全规范

      GB/T 35274-2017 信息安全技术 大数据服务安全能力要求

      GB/T 36343-2018 信息技术 数据交易服务平台 交易数据描述

      GB/T 37988-2019 信息安全技术 数据安全能力成熟度模型

3 术语和定义

      GB/T 25069-2010和GB/T 36343-2018界定的以及下列术语和定义适用于本文件。

3.1

      数据交易 data transaction

      数据供方和需方之间以数据商品作为交易对象，进行的以货币或货币等价物交换数据商品的行为。

      注1：数据商品包括用于交易的原始数据或加工处理后的数据衍生产品。

      注2：数据交易包括以大数据或其衍生品作为数据商品的数据交易，也包括以传统数据或其衍生品作为数据商品的数据交易。

3.2

      数据供方 data supplier

      数据交易中提供数据的组织机构。

3.3

      数据需方 data acquirer

      数据交易中购买和使用数据的组织机构。

3.4

      数据交易服务 data transaction service

      帮助数据供方和需方完成数据交易的活动。

3.5

      数据交易服务机构 data transaction service provider

      为数据供需双方提供数据交易服务的组织机构。

3.6

      数据交易服务平台 data transaction service platform

      为数据交易提供各项服务的信息化平台。

3.7

      在线数据交付 online data delivery

      数据供方通过网络向数据需方交付数据的模式。

3.8

      离线数据交付 offline data delivery

      数据供需双方在达成数据交易协议后，由数据供方通过离线方式将数据从供方提供给需方的交付模式。

3.9

      托管数据交易 custodian data delivery

      数据供需双方在达成数据交易协议后，由供方将数据拷贝到数据交易服务机构指定的数据托管服务平台，需方在数据托管服务平台内使用数据，数据不发生转移的交付模式。

3.10

      数据交易过程 data exchanging process

      数据供需双方依托数据交易服务平台针对具体的数据交易对象，进行的一次完整和具体的数据交易行为。

      注：数据交易过程一般分为交易申请、交易磋商、交易实施和交易结束等环节。

3.11

      重要数据 important data

      我国机构和个人在境内收集、产生的不涉及国家秘密，但与国家安全、经济发展以及公共利益密切相关的数据。

      注：重要数据通常指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域的各类机构在开展业务活动中收集和产生的，不涉及国家秘密，但一旦泄露、篡改或滥用将会对国家安全、经济发展和社会公共利益造成不利影响的数据（包括原始数据和衍生数据）。

      ［GB/T 35274-2017，定义3.13］

4 安全概述

4.1 参考框架

      数据交易是供需双方对原始数据或加工处理后的数据依照交易过程进行的活动。通过数据交易服务机构进行的数据交易服务参考框架如图1所示。数据交易涉及数据供方、数据需方和数据交易服务机构。数据交易服务机构依托数据交易服务平台，为数据供需双方提供数据交易服务。从数据交易服务机构角度出发，数据交易过程一般包括交易申请、交易磋商、交易实施和交易结束四个环节。常见的数据交付模式包括在线模式、离线模式和托管模式。

图1 数据交易服务参考框架

4.2 数据交易安全原则

      数据交易应遵循以下原则：

      a）合法合规原则：数据交易应遵守我国关于数据安全管理的相关法律法规，尊重社会公德，不得损害国家利益、社会公共利益和他人合法权益。

      b）主体责任共担原则：数据供需双方及数据交易服务机构对数据交易后果负责，共同确保数据交易的安全。

      c）数据安全防护原则：数据交易服务机构应采取数据安全保护、检测和响应等措施，防止数据丢失、损毁、泄露和篡改，确保数据安全。

      d) 个人信息保护原则：数据供需双方和数据交易服务机构应采取个人信息安全保护技术和管理措施，避免个人信息的非法收集、非法获取、非法出售、滥用、泄露等安全风险，切实保护个人权益。

      e）交易过程可控原则：应确保数据交易参与方的真实可信、交易对象合法、数据交付过程可控和交易的非否认性，做到安全事件可追溯、安全风险可防范。

5 数据交易参与方安全要求

5.1 数据供方安全要求

      数据交易服务机构应确保数据供方满足以下要求：

      a）为一年内无重大数据类违法违规记录的合法组织机构。

      b）完成在数据交易服务机构的注册，并经数据交易服务机构审核通过，才允许参与数据交易业务。

      c）数据供方应证明其具备向数据需方安全交付数据的能力。

      d）向数据交易服务机构提供书面的安全承诺，内容包括但不限于：交易数据来源合法性证明材料、交易数据满足法律法规和政策要求、对交易数据质量评估说明、遵守数据交易安全原则、愿意接受数据交易服务机构安全监督、愿意对数据流通后果负责等。

      e）遵守数据交易服务机构的安全管理制度和流程。

5.2 数据需方安全要求

      数据交易服务机构应确保数据需方满足以下要求：

以上为标准部分内容，也可点击下方链接下载标准原文：

下载地址：《GB/T 37932-2019 信息安全技术 数据交易服务安全要求》