Page 187 - 铁路运输与安全管理
P. 187
第七章 铁路安全管理
（二）隐私保护基础
隐私保护或者说个人信息安全，是数据安全中的重要组成部分，但又与其他
数据防护存在差别，《个人信息保护法》细化了隐私保护的侧重点并规范了个人
信息的收集处理原则，对保护个人信息权益、规范个人信息处理活动、促进个人
信息合理利用具有重要作用。隐私保护从技术角度看，可以采用安全架构 5A 方
法论，5A 表示身份认证（Authentication）、授权（Authorization）、访问控制
（Accesscontrol）、可审计（Auditable）和资产保护（Assetprotection），主要是
对保护个人信息所运用的如脱敏、匿名、差分隐私保护等技术。隐私保护从管理
角度看，虽然也采用数据生命周期管理，但有别于传统数据管理。个人数据收集，
应以自愿为原则，收集过程需得到数据主体同意；个人信息使用，应建立最小化
授权访问控制策略，当使用范围超出收集时向用户明示的范围时，应再次征得用
户同意；当个人信息控制者违反约定使用范围、披露个人信息时，用户有权要求
删除；应向用户提供撤回授权和注销账户的方法，用户进行相应操作后，不可再
收集、使用其个人信息，并做删除个人信息或匿名化处理。
三、铁路数据安全与隐私统一保护策略
铁路行业不断推进数字化转型，而网络空间的隐私以数据为载体，铁路关键
数据及旅客信息的防护成为网络安全的重点，以数据为中心将数据安全与隐私保
护统一管理，研究统一的数据安全全生命周期管理策略，对铁路信息化和智能化
发展具有重要的安全保障意义。
（一）统一数据安全管理策略
根据铁路数据安全管理需求分析与数据安全管理分析，研究设计以数据为中
心，从数据安全战略管理、数据安全组织管理和数据安全风险管理 3 个管理维度，
提出铁路敏感信息和个人隐私的统一数据安全管理策略。数据安全战略管理：转
变防护思路，从数据收集 / 产生到数据销毁的数据安全全生命周期角度出发，动
态保障数据安全，同时，检测数据安全战略的部署和实施效果。数据安全组织管
理：承接数据保护的相关职责，持续加强铁路重要数据和文件的流转管控，重视
旅客隐私信息的保护，防止敏感信息泄露。数据安全风险管理：建立数据安全风
险评估体系。
175
