佛系随性笔记，记录最好的自己

2024年了，已经是数字化时代，数据已成为各行各业的核心资产，其安全问题备受关注。数据安全风险评估作为保障数据安全的重要手段，对于识别、分析和应对数据安全风险具有至关重要的作用。我将以通俗易懂的方式，给各位老师详细介绍数据安全风险评估的相关内容。

01

—

数据安全风险评估的重要性

现在，技术进步得飞快，数据变得超级重要，就像金子一样宝贵。但是，这"宝贝"也有麻烦，比如数据可能会被坏人偷走、会被改得乱七八糟，或者不小心就没了。这些事情要是发生了，企业和个人得赔大钱，更严重的是，可能连国家的安全、社会的安宁和大家的共同利益都受影响。

不过别担心，有办法滴！数据安全风险评估就像是数据安全的定期体检，对于管数据的人来说特别重要。它能帮我们彻底摸清数据的安全家底，找出门缝里可能钻进来的风险，这样就能有的放矢，制定出专门的保护策略。定期做这个评估，就像是给数据打疫苗，能让我们第一时间发现新冒出来的坏家伙，减少它们搞破坏的机会和威力。这样一来，数据就能更安全、更稳定地被用起来，对咱们的公司或是机构来说，就像是加固了城墙，让咱们在竞争中更有底气，走得更远。

02

—

数据安全风险评估的基本概念

（一）数据安全风险

数据安全风险，说白了，就是数据在用的过程中可能会遇到的麻烦事，以及这些麻烦事可能带来的坏影响。这些麻烦事可能涉及到国家的大事、大家的共同利益，或者是某个单位、个人的正当权益。就像是数据世界里的“地雷”，如果不小心，就可能踩到，造成损失。所以，我们要小心防范，确保数据的安全。

（二）数据安全风险评估

数据安全风险评估就像是给数据安全做一次全面体检。这个过程包括几个重要的步骤：先收集信息，就像是问诊，了解数据的使用情况；然后找风险，看看哪里可能出问题；接着分析这些风险，评估它们可能带来的危害有多大；最后，根据评估结果，制定出预防和应对的计划。通过这一系列步骤，我们能清楚地知道数据安全的状况，然后有的放矢地采取措施，保护数据安全。就像是提前打预防针，让数据更安全。（详细见下文数据安全风险评估的实施流程）

03

—

数据安全风险评估的要素关系

数据安全风险评估的要素关系-图1

数据安全风险评估涉及多个要素，它们之间相互关联、相互影响。这些要素主要包括数据、数据处理活动、业务、信息系统、安全措施和风险源。

数据是核心要素，具有价值属性，其价值的高低会影响数据安全风险的危害程度。
数据处理活动是对数据进行收集、存储、使用、加工、传输、提供、公开、删除等操作的过程，也是数据安全风险评估的主要对象。
业务依赖数据实现其目标，业务的开展需要数据的支持，同时也会对数据安全产生影响。
信息系统是数据处理活动的载体，为业务提供支撑，它包含了多个数据处理活动。
安全措施用于保护数据安全，降低风险源发生的可能性。
风险源是可能导致数据安全风险的各种因素，如安全威胁、脆弱性、问题或隐患等。

04

—

数据安全风险评估的分析原理

数据安全风险评估的分析原理-图2

数据安全风险评估主要围绕数据处理者的数据和数据处理活动，从保密性、完整性、可用性和数据处理合理性四个方面进行分析。

1、首先，通过信息调研收集与数据安全相关的各种信息，包括数据处理者的基本情况、业务和信息系统情况、数据资产情况、数据处理活动情况以及安全防护措施情况等。

2、然后，基于信息调研的结果，从数据安全管理、数据处理活动安全、数据安全技术和个人信息保护等多个角度进行风险识别，找出可能存在的风险源。

3、接着，对识别出的风险进行分析，包括风险归类、危害程度分析和发生可能性分析。风险归类是根据风险源可能引发的风险类型对其进行分类；危害程度分析综合考虑数据的价值、重要性、规模、种类以及数据处理的目的、方式、范围等因素，评估风险对国家安全、公共利益或组织、个人合法权益造成的危害程度；发生可能性分析则考虑风险源发生频率、安全措施的有效性和完备性以及风险源关联性等因素，评估风险发生的可能性。

4、最后，根据风险危害程度和发生可能性的分析结果，对数据安全风险进行评价，确定风险等级，并形成数据安全风险清单。

05

—

数据安全风险评估的实施流程

数据安全风险评估-图3

数据安全风险评估的实施流程包括评估准备、信息调研、风险识别、风险分析与评价以及评估总结五个阶段。

（一）评估准备阶段

1、确定评估目标：明确评估的目的和范围，例如了解数据安全状况、发现潜在风险、满足监管要求等。

2、确定评估范围：根据评估目标，确定需要评估的数据资产、数据处理活动、业务和信息系统等范围。

3、组建评估团队：由具备相关专业知识和技能的人员组成评估团队，包括业务人员、安全专家、技术人员等。

4、开展前期准备：制定评估工作计划，收集相关资料和信息，确定评估依据和方法，建立过程文档。

5、制定评估方案：详细描述评估的目标、范围、内容、方法、人员分工、时间安排以及风险控制措施等。

（二）信息调研阶段

在这个阶段，我们需要全面了解数据处理者的情况，包括数据处理者的基本信息、业务和信息系统情况、数据资产情况、数据处理活动情况以及安全防护措施情况等。

1、数据处理者调研：收集数据处理者的单位名称、组织机构代码、办公地址、法定代表人信息、人员规模、经营范围、数据安全负责人及其联系方式等基本信息，同时了解单位性质、所属行业领域、业务运营地区、主要业务范围等情况。

2、业务和应用系统调研：调研业务的描述、类型、服务对象、业务流程、用户规模、覆盖地域等基本信息，以及信息系统的网络规模、拓扑结构、对外连接、运营维护情况、是否为关键信息基础设施等情况。此外，还需要了解业务涉及个人信息、重要数据或核心数据处理的情况，信息系统、App 和小程序的功能、网络安全等级保护备案和测评结论等情况，数据中心和使用云平台的情况，以及接入的外部第三方产品、服务或 SDK 的情况。

3、数据资产调研：梳理数据资产，包括结构化和非结构化数据资产，摸清数据的类型、范围、规模、形态、存储分布、元数据等情况，以及数据的分类分级情况、个人信息情况、重要数据情况和核心数据情况等。

4、数据生命周期调研：针对评估对象和范围，梳理数据处理活动清单，了解数据收集、存储、传输、使用和加工、提供、公开、删除等各个环节的情况，包括渠道、方式、目的、频率、范围、相关系统、合同协议、安全措施等方面的信息，以及数据出境情况。

5、安全防护措施调研：调研已有的安全防护措施情况，包括等级保护测评、商用密码应用安全性评估、安全检测、风险评估、安全认证、合规审计等工作的开展情况及发现问题的整改情况，数据安全管理组织、人员及制度情况，网络安全设备及策略情况，身份鉴别与访问控制情况，网络安全漏洞管理及修复情况，远程管理软件的用户及管理情况，账号口令管理情况，加密、脱敏、去标识化等安全技术应用情况，以及近三年内发生的网络和数据安全事件、攻击威胁情况等。

（三）风险识别阶段

风险识别是数据安全风险评估的关键环节，通过对数据安全管理、数据处理活动、数据安全技术和个人信息保护等方面进行评估，发现可能存在的数据安全问题和风险隐患。

1、已开展测评工作结论分析：分析被评估方已开展的相关测评工作结论，包括检测评估工作的名称、要求来源、有效性、内容和结果、开展情况等。评估人员应在分析评估结果真实性和有效性的基础上视情采纳。

2、数据安全管理风险识别：从数据安全管理制度、安全组织机构、分类分级管理、合作外包管理、安全威胁和应急管理、开发运维管理、云数据安全等方面识别风险，检查是否存在制度不完善、组织架构不健全、分类分级不准确、合作外包管理不规范、安全威胁应对不力、应急管理不到位、开发运维过程中存在安全漏洞以及云数据安全措施不足等问题。

3、数据处理活动安全风险识别：对数据收集、存储、传输、使用和加工、提供、公开、销毁等各个环节进行安全风险识别。

确保数据安全，就像给数据的“生命旅程”每个环节都装上“安全锁”。我们得检查：

数据收集：看收集数据是不是合法合理，第三方收集数据安全不，数据质量咋样，收集方式和设备环境安全不。
数据存储：评估存储方式合适不，数据在系统里和存储设备上的安全。
数据传输：分析数据在路上的安全，确保传输链路可靠。
数据使用和加工：检查使用和加工数据合法合理不，数据进出安全，处理环境安全，还有安全措施管用不。
数据提供：关注提供数据合法必要不，管理措施和技术措施咋样，数据接收方安全，数据转移过程安全不。
数据公开：评估公开数据是不是合适，管理得咋样。
数据删除：确保数据删除和存储设备销毁安全。

简而言之，就是要确保数据从收集到销毁的每个环节都安全可靠，就像是给数据的“生命旅程”每个站点都设了“安全检查站”，确保数据安全无虞。

4、数据安全技术风险识别：从网络安全防护、身份鉴别与访问控制、检测预警、数据脱敏、数据防泄漏、数据接口安全、数据备份与恢复、安全审计等方面识别技术风险，检查是否存在网络安全防护措施不足、身份鉴别与访问控制机制不完善、检测预警能力不够、数据脱敏和防泄漏措施不到位、数据接口存在安全漏洞、数据备份与恢复不及时以及安全审计不全面等问题。

5、个人信息保护风险识别：如果评估涉及个人信息处理，还需要从个人信息处理基本原则、告知同意、处理过程、敏感个人信息处理、个人信息主体权利、个人信息安全义务、投诉举报以及大型网络平台个人信息保护等方面识别风险，确保个人信息的收集、使用、存储和处理符合法律法规和标准规范的要求，保障个人信息主体的合法权益。

（四）风险分析与评价阶段

在风险识别的基础上，对识别出的风险进行分析和评价，确定风险的等级和影响程度。

1、风险分析：从影响数据保密性、完整性、可用性和数据处理合理性的角度，分析各项风险源可能引发的数据安全风险，以及风险危害程度和发生的可能性。对于多项数据安全问题可能造成同样风险的情况，可以合并进行分析。

2、风险归类：根据风险源可能引发的安全风险，按照风险类型对风险源进行归类，参考下图给出的典型数据安全风险类别，如数据泄露风险、数据篡改风险、数据破坏风险、数据丢失风险等。

风险类型-图4

3、风险危害程度分析：综合考虑数据的价值、重要性、规模、种类以及数据处理的目的、方式、范围等因素，将风险危害程度分为很低、低、中、高、很高 5 个级别。例如，直接危害国家安全重点领域的数据安全风险危害程度为很高；对单个行业领域发展造成一般危害的数据安全风险危害程度为中。

危害程度等级-图5

4、风险发生可能性分析：考虑风险源发生频率、安全措施有效性和完备性、风险源关联性等因素，将风险发生可能性分为低、中、高 3 个级别。例如，数据安全措施比较到位、完备，被评估对象或同类组织很少发生相关风险源的数据安全风险发生可能性为低；涉及违法违规行为、缺少数据安全措施或安全措施有效性较弱的数据安全风险发生可能性为高。

风险发生可能性-图6

5、风险评价：基于风险危害程度和发生可能性的分析结果，对数据安全风险进行综合评价，确定风险等级。风险评价结果分为重大安全风险、高安全风险、中安全风险、低安全风险和轻微安全风险。例如，可能直接影响国家安全的数据安全风险为重大安全风险；可能直接对企业合法权益造成较为严重影响的数据安全风险为中安全风险。

（五）评估总结阶段

评估总结是数据安全风险评估的最后一个阶段，主要包括编制评估报告、提出风险处置建议和进行残余风险分析。

1、编制评估报告：评估团队根据评估情况编制数据安全风险评估报告，报告应准确、清晰地描述评估活动的主要内容，包括评估概述、工作情况、信息调研情况、风险识别、风险分析与评价、整改建议、数据安全风险源清单等，并附上必要的证据或记录。对于涉及重要数据、个人信息、核心数据的情况，应详细列出处理的数据种类、数量、开展数据处理活动的情况、面临的数据安全风险及其应对措施等。

2、风险处置建议：评估人员结合实际情况，对发现的数据安全风险提出处置建议，如停止收集某些类型的数据、预处理阶段销毁数据、缩小处理范围、缩短存储期限、采取额外的技术措施、加强人员培训、匿名化、完善管理制度、采用其他数据处理技术、补充签署协议、修订隐私条款等。被评估方应根据建议制定数据安全风险处置方案，限期完成整改。

3、残余风险分析：评估人员根据数据处理者决定的风险处置措施，结合风险识别和评估方法，预判措施的有效性和残余风险，形成记录。被评估方完成整改后，评估方可视情开展数据安全风险复评工作，重点分析风险处置后的残余风险以及采取额外控制措施可能导致的次生风险等。

06

—

数据安全风险评估的应用场景

数据安全风险评估在各个领域都有着广泛的应用，以下是一些常见的应用场景（不代表所有）：

数据安全风险评估的应用场景-图7

（一）企业领域

企业可以通过数据安全风险评估，全面了解自身数据安全状况，发现潜在的风险隐患，制定相应的安全策略和措施，提升数据安全保护能力。例如，在企业进行重要数据共享、交易、委托处理或向境外提供前，进行数据安全风险评估，确保数据处理活动的合规性和安全性；针对企业内部的高风险数据处理活动，如涉及大量个人信息或重要数据的业务流程，开展定期的风险评估，及时发现并解决安全问题。

（二）关键基础设施领域

关键信息基础设施是国家经济社会运行的神经中枢，其安全至关重要。数据安全风险评估可以帮助关键信息基础设施运营者识别和评估可能面临的数据安全风险，加强安全防护措施，提高应对网络攻击和数据安全事件的能力。例如，对电力、交通、金融、医疗等关键领域的信息系统进行数据安全风险评估，保障关键信息基础设施的稳定运行。

（三）政务领域

政务数据涉及国家机密和公共利益，加强政务数据安全管理是政府部门的重要职责。通过数据安全风险评估，政府部门可以了解政务数据在采集、存储、使用、共享和公开等环节的安全状况，发现存在的问题和风险，采取有效措施加以防范和整改，确保政务数据的安全可靠。

（四）个人信息保护领域

随着个人信息保护意识的不断提高，数据安全风险评估在个人信息保护领域的应用也越来越广泛。在处理个人信息时，需要进行数据安全风险评估，确保个人信息处理活动符合法律法规和标准规范的要求，保护个人信息主体的合法权益。同时，监管部门可以利用数据安全风险评估结果，加强对个人信息处理活动的监督管理，打击违法违规行为。

（五）行业监管与合规

行业主管部门可以依据数据安全风险评估标准，对所属行业的数据处理者进行检查评估，督促其落实数据安全责任，加强数据安全管理，保障行业数据安全。同时，数据安全风险评估也有助于企业满足相关法律法规和监管要求，避免因数据安全问题而受到处罚。

07

—

数据安全风险评估的总结

数据安全风险评估是保障数据安全的重要举措，旨在看数据在处理过程中是不是安全。

我们会从好多方面来检查，像是数据是怎么管理的、数据处理的各个环节安不安全、用的技术能不能保护好数据，还有个人信息有没有保护好。

通过仔细调查，我们弄清楚了数据的各种情况，找到了可能会出问题的地方，比如说管理规定有没有漏洞呀，处理数据的时候会不会被人偷走或者改掉呀，技术手段能不能挡住坏人呀，还有个人信息有没有被乱用呀等等。

然后我们分析这些问题会带来多大的麻烦，把风险分成不同的等级。

这次评估让我们知道了数据安全风险评估真的很重要，它能帮企业和组织找到数据安全的问题，然后想办法解决，让数据更安全。也能让监管部门更好地管理，保护大家的数据不被坏人利用。

以后，我们还要继续好好做数据安全风险评估，让方法更厉害，流程更清楚，检查得更准确，这样才能在越来越复杂的网络世界里保护好我们的数据。

深圳

注释：如有失误，望批评指正！

后面会写下Windows和liunx的应急响应技巧、容器、还有一些网络安全、数据安全。

后台输入“Windows应急响应手册、linux应急响应手册、数据安全政策、数据安全治理、电力、工业、金融、0731”有相关资料可供下载！