数据访问管理策略

---

本政策取代之前名为“数据管理指南”的版本，修订日期：2024年4月24日（由CSIS治理）

目的及概述

大学数据是与波士顿大学的活动相关的信息，由波士顿大学创建、维护或处理。大学数据是一项至关重要的资产，必须提供给有合法管理需要的员工。但是，大学政策禁止将大学数据用于未经批准的大学用途以外的任何用途，在许多情况下，法律也禁止使用大学数据。

本文档定义了与管理大学数据访问相关的角色和职责，以满足Scope部分中定义的标准。

范围

本政策适用于访问由大学或代表大学的一方维护的被分类为机密或限制使用的大学数据，以下称为“主题数据”。

本政策不适用于：

• 属于大学社区成员个人财产的数据或记录、澳门威尼斯人注册网站研究数据、或由个别员工或附属机构创建和/或保存供其使用的数据；
• 已去识别的大学数据，可根据数据受托人的决定将其分类为内部数据或公共数据（见下文）；
• 大学在法律上被迫提供信息的情况；
• 分类为内部或公共的数据。对这些数据类型的访问由创建、维护或处理这些数据类型的办公室自行决定；和
• 使用了一组更严格的策略和过程的数据，例如HIPAA数据。

官方角色和职责

A.数据执行官

数据执行人员是创建、维护或处理主题数据的大学部门的执行人员或负责人。数据执行人员负责批准对主题数据的访问，但可将该责任委托给数据受托人。数据执行员负责建立共享主题数据的标准。

资料执行主任须确保其所属部门每年获提醒这项政策。

数据执行人可以指定至少两名但不超过四名的数据受托人，协助批准访问请求和进行访问审查。资料执行员负责确保资料受托人接受资讯保安提供的有关训练。

B.大学领导和技术提供者

大学领导是任何需要访问主题数据或代表数据执行人员维护记录的部门的管理。技术供应商是大学领导层的一个子集，其单位提供电子应用程序和系统，以实现学科数据的使用和存储。

大学领导层负责根据需要任命部门安全管理员，以满足本政策的要求。大学领导有责任确保他们的单位了解并遵守这一政策。

大学领导和技术提供者负责根据需要任命数据保管人（见下文F节），以满足本政策的要求。他们有责任确保保管人了解他们在本政策下的责任。

C.数据受托人

资料受托人负责：

• 确保和监控主体数据的准确性、完整性和隐私性；
• 准许或拒绝查阅有关资料；
• 执行定期审核，以确保对主题数据访问的批准保持有效和适当。

数据受托人负责审查访问主题数据的请求，并在三个工作日内作出回应。批准所需的元素在批准文档部分中进行了描述。数据受托人应根据数据执行人员制定的指导方针和符合大学政策和适用法律的计划，仅向对主题数据有明显合法行政需要的个人、项目开发人员或项目团队授予访问主题数据的权限。数据受托人应在满足请求者需要的最短时间内，仅批准对最少数量的主题数据的访问。如果适用于技术，数据受托人可以指定访问类型（只读、读写）。

数据受托人可以为某些角色创建预先批准，以便他们愿意访问数据。出生权特权是指在身份和访问管理政策中定义的个人帐户首次创建或分配特定从属关系（例如“学生”、“澳门威尼斯人注册网站”）时授予的授权。当个人被分配特定从属关系时，自动授予访问权限就是预先批准的一个例子。预批准的任何限制应清楚地形成文件，并传达给适当的数据保管人（见下文F节）和信息安全。数据受托人和信息安全部门应定期审查这些特权。

对于项目开发人员和项目团队提出的请求，数据受托人还必须确认开发人员或团队正在与信息安全部门协调。只有信息安全部门才能决定解决方案是否符合最低安全标准，且该决定由信息安全部门自行决定。数据受托人可要求信息安全部门确认此评估已完成，以及确定了哪些风险（如果有的话）。数据受托人不应对提议的解决方案的安全性进行自己的评估，但可以指定要求，特别是澳门威尼斯人注册访问控制的要求。

在数据受托人批准请求者对主体数据的访问后，对系统或主体数据呈现方式的更改必须由信息安全审查，但除非信息安全要求，否则不需要数据受托人重新批准。

数据受托人应每年进行不少于一次的审核，以确保访问主题数据的批准仍然有效和适当。

数据受托人负责审查对Subject Data的访问请求，以及数据是保留在原始数据源中还是复制到新的存储库中。对复制到新存储库的主题数据的访问仍然在原始数据受托人的管辖范围内。

D.部门安全管理员（DSA）

需要访问主题数据的任何部门的大学领导可以指定最多四名部门安全管理员（dsa）。dsa将作为大学部门和信息安全部门之间的联络人，并监督部门层面的数据安全责任。新的DSA经理应确保新的DSA接受信息安全部门的适当培训。DSA职责包括：

• 确定部门需要存储或访问集中维护的主题数据源和应用程序；
• 沟通访问中央财务、人力资源系统（例如SAP）和学生信息系统（例如Mainframe）的请求。在提交访问请求之前，DSA将与请求者的经理确认请求者有合法的行政理由需要访问主题数据；
• 对查阅清单进行定期审查（每年不少于一次，并在可能的情况下进行），并在不再需要时要求删除对“受试者数据”的查阅；和
• 在任何未经授权的披露、修改或丢失主题数据的情况下，与信息安全部门进行沟通。

e .个人

个人可以在获得适当的数据受托人授权的情况下访问、使用或存储主题数据。授权请求应通过请求者的数据安全管理员（DSA）进行。获资料受托人授权查阅、使用或储存“主题资料”的个人，必须以符合经批准的大学用途的方式使用资料。除非作为访问请求的一部分得到明确授权，否则个人无权与未经批准访问相同数据的其他人共享主题数据。个人必须使用符合适当数据类型的最低安全标准的设备访问主题数据（参见数据分类政策），并遵循数据受托人施加的任何指示或限制。如果个人被授权向外部供应商提供信息，则个人必须与信息安全部门合作，以确保供应商符合最低安全标准。

F.数据保管人

大学领导层或使用或存储主题数据机制的技术提供者应指定数据保管人。数据保管人主要负责维护主题数据访问控制的准确性。保管人经理负责在员工交接时进行职责交接。

数据保管人的职责包括：

• 协助个人、项目开发人员和项目团队确定如何最好地访问他们工作所需的主题数据；
• 在资料受托人批准的情况下提供查阅资料的机会，并保留有关批准的记录；
• 在DSA、数据受托人、数据执行人员或请求者向其报告的人员提出请求时，取消对主题数据的访问权限；和
• 支持数据受托人和dsa定期审查访问列表，并在不再需要时删除对主题数据的访问。

G.资讯保安

资讯保安的职责包括：

• 根据总法律顾问办公室的建议，沟通影响大学领导层、技术提供商、数据执行人员、数据受托人、dsa和/或数据保管人职责的法律变化；
• 在公共服务和信息安全治理委员会的适当投入和批准下，维护和发布数据管理和保护标准；
• 向数据执行人员、数据受托人、数据保管人和dsa提供与遵守本政策相关的培训；
• 对数据受托人及数据保障机构的名单进行年度审计，以确保确定合适的个人；
• 维护DSA职责清单；
• 协助处理dsa的访问请求；
• 协助个人、项目开发人员和项目团队提交访问主题数据的请求；
• 协助与使用或存储主题数据的第三方供应商进行谈判，以确保达成最低标准；
• 对任何未经授权披露、修改或丢失主题数据的报告作出回应。

H.应用开发

IS&T通过其应用程序开发或其他小组，可以开发使用或存储主题数据的新方法（每个都称为“项目”）。应要求，数据受托人可授权项目团队为该项目的目的访问主题数据。此授权不授予单个项目开发人员或项目团队成员对主题数据的访问权限。除非资料受托人另行批准，否则主题资料的个人最终用户必须如上文第(E)款所述获得批准。

如果第三方将代表大学创建、维护或处理与项目有关的主题数据，则必须在项目开发人员或项目团队向数据受托人提出的请求中明确说明。项目开发人员或项目团队必须要求第三方证明遵守数据类型的最低安全标准，并同意遵守数据受托人施加的限制。

批准文件

• 在合理的情况下，批准访问“主题数据”的请求应包含以下信息：
• 批准该项要求的资料受托人或执行人员的姓名及头衔
• 批准日期
• 被授权访问主题数据的个人或项目开发人员或团队
• 已获批准的大学用途
• 对如何访问或使用数据的任何显式许可或限制
• 申请人是否获授权复制“主题资料”
• 授权访问的时间段。发展项目的准入时间应该是有限的。

查阅要求上诉

要求人可就资料受托人拒绝查阅有关资料一事向资料执行主任提出上诉。

识别数据执行人员或受托人

如果您需要协助识别数据执行人员或数据受托人，请联系您的数据安全局或信息安全部门。在IS&T网站（“TechWeb”）上保存了一份数据受托人名单。

角色关系的参考图像

为了帮助理解在官方角色和职责中定义的角色之间的关系，提供了以下图表。

重要的

不遵守数据保护标准可能会对个人、组织或波士顿大学造成伤害。未经授权或不可接受地使用大学数据，包括未能遵守这些标准，构成违反大学政策，并可能使用户撤销使用大学数据或信息技术的特权或纪律处分，直至并包括终止雇用。

 

---