GBT35273-2017 个人信息安全事件处置
添加时间：2020-02-11 11:14:42 浏览：
1. 安全事件应急处置和报告
GBT35273-2017标准规定对个人信息控制者的要求包括：
a) 应制定个人信息安全事件应急预案；
b) 应定期（至少每年一次）组织内部相关人员进行应急响应培训和应急演练，使其掌握岗位职责和应急处置策略和规程；
c) 发生个人信息安全事件后，个人信息控制者应根据应急响应预案进行以下处置：
1) 记录事件内容，包括但不限于：发现事件的人员、时间、地点，涉及的个人信息及人数，发生事件的系统名称，对其他互联系统的影响，是否已联系执法机关或有关部门；
2) 评估事件可能造成的影响，并采取必要措施控制事态，消除隐患；
3) 按《国家网络安全事件应急预案》的有关规定及时上报，报告内容包括但不限于：涉及个人信息主体的类型、数量、内容、性质等总体情况，事件可能造成的影响，已采取或将要采取的处置措施，事件处置相关人员的联系方式；
4) 按照本标准2的要求实施安全事件的告知。
d) 根据相关法律法规变化情况，以及事件处置情况，及时更新应急预案。
2. 安全事件告知
GBT35273-2017标准规定对个人信息控制者的要求包括：
a) 应及时将事件相关情况以邮件、信函、电话、推送通知等方式告知受影响的个人信息主体。难以逐一告知个人信息主体时，应采取合理、有效的方式发布与公众有关的警示信息；
b) 告知内容应包括但不限于：
1) 安全事件的内容和影响；
2) 已采取或将要采取的处置措施；
3) 个人信息主体自主防范和降低风险的建议；
4) 针对个人信息主体提供的补救措施；
5) 个人信息保护负责人和个人信息保护工作机构的联系方式。
