法律法规、监管条例、政府机构关系

个人信息数据使用审计

备案：市级网信部门、企业、人员、数据、基本信息

工信部

使用：正当竞争（数据开发利用顶层设计方案、利用规则及制度规范）

采集数据网络服务风险

委托处理

监督审计：我方自行合规审计、第三方审计、我方监管第三方

数据收集审计

审计

信息系统网络监测

组织建设：管理机构、负责人、计划/预案、风险检测、评估、教育培训

数据存储安全管理

分类分级：建立分类分级制度、确定重要数据目录/清单；

账户角色划分（管理操作审计）

指导/标准/细则

GB/T 35273-2017个人信息安全规范GB/T 39335-2020个人信息安全影响评估指南

蓝城兄弟自行检查

管理类检查项11个

《数据安全法》

网信办

访问控制权限最小化

技术类     7类    共31个项目 

传输

信息系统边界防护

评估

个人生物识别信息原始图像删除

访问控制时间最小化

个人识别信息/身份信息分开存储

对第三方行为审计

收集

网络数据安全管理条例

2021年11月14日  征求意见

传输个人信息接口清单

个人信息存储期限最小化清单

对第三方技术监测

投诉举报：建立举报渠道、公布负责人、联系方式、披露投诉情况；

使用

数据采集：数据采集规范、个人信息采集清单

教育培训：培训计划、定期宣传培训

个人信息去标识化

审计日志备份180天

数据安全合规-CheckList

管理类（11类）：组织建设、备案、制度规范、教育培训、监督审计、国家审查、投诉举报、应急响应、分类分级、数据采集、数据使用；技术类：待补充

制度规范（外部）：平台规则、隐私政策、算法策略披露、个人信息处理

应用安全检查

国家法律

存储

防病毒/防入侵

个人信息安全影响评估

个人信息自动化审计系统

数据安全管理办法

2021年9月30日 征求意见

敏感信息加密存储

数据处理标识化

其他参考

DSMM 数据安全能力成熟度模型

数据备份和恢复

信息安全风险评估

敏感信息传输加密

制度规范（内部）：数安管理、分类分级、教育培训、事件应急、第三方

个人敏感信息访问最小化

《个保法》

卓信 9项制度自查

1. 组织建设及人员管理2. 资产及分类分级管理办法3. 权限审批办法4. 安全审计规范5. 合作方数据安全管理6. 安全人员培训管理制度7. 安全投诉举报管理规范8. 安全应急预案9. 安全合规性自评估管理办法

信息系统网络隔离

数据自动化采集工具

《网安法》

数据收集日志

数据出境安全评估办法

2021年10月29日  征求意见

国家审查：《国家安全审查》、《网络安全审查》