九、云服務經營者應嚴格遵守國家網絡數據保護和用戶個人信息保護有關規定,建立健全數據管理制度,確保網絡數據和用戶個人信息安全。
(一)應制定用戶個人信息收集和使用規則,并向用戶公布。
(二)落實網絡數據安全和用戶個人信息安全防護標準要求,完善網絡數據和用戶信息的防竊密、防篡改和數據備份等安全防護措施。
(三)在用戶終止使用服務后,應停止對用戶個人信息的收集和使用。
(四)面向境內用戶提供服務,應將服務設施和網絡數據存放于境內,跨境實施運維及數據流動應符合國家有關規定。
(五)出現用戶數據泄漏事件,應當及時告知用戶,并立即采取有效補救措施,向電信管理機構報告。
(六)若停止服務,應至少提前三個月向電信主管部門報告,向全體用戶公告,并為用戶保存數據提供必要的便利。
十、云服務經營者應按照安全生產相關規定和要求,建立健全運行安全管理制度,確保云服務相關設施和系統安全、可靠、平穩運行。
(一)建立運行維護崗位責任制,明確相關崗位職責,落實責任人。
(二)加強對所屬重要設施、系統和業務平臺設備的檢測和巡查,協同基礎電信企業加強網絡傳輸線路的安全維護。
(三)對重要設備、業務系統和數據進行備份,保障云服務的可用性及業務連續性。
(四)遇突發業務服務中斷事故,要按照相關規定和預案妥善處理,盡快恢復服務并及時向電信管理機構報告。
十一、云服務經營者應按照電信管理機構要求,配備與業務規模相適應的網絡信息安全專職管理人員,建立完善網絡信息安全管理、新技術新業務安全評估、重大事件應急處置等制度,配套建設網絡信息安全保障技術手段并落實“同步規劃、同步建設、同步運行”要求。
十二、云服務經營者應遵守《通信網絡安全防護管理辦法》等規定,按照《云計算服務安全能力要求》、《公有云服務安全防護要求》等標準,嚴格落實云服務平臺數據安全、應用安全、虛擬化平臺安全、主機安全等防護措施,不斷完善防護技術手段,強化虛擬化、多租戶場景的針對性保護,提升網絡安全防護水平和應急處置能力。
十三、鼓勵第三方組織開展云服務經營者服務能力、服務質量、可信度、網絡與信息安全等評測認證活動,定期向社會公布相關結果,引導云服務經營者加強內部管理,提升服務質量和誠信水平。
各級電信管理機構要督促云服務經營者按照上述要求開展自查自糾,并對落實情況進行監督檢查,督促存在問題的云服務經營者及時整改,依法處理各類違法違規行為,將處理結果納入企業信譽管理檔案,并向社會公示。
特此通知。
工業和信息化部
2016年x月x日