數(shù)據(jù)安全重要數(shù)據(jù)風險評估報告

XXX系統(tǒng)重要數(shù)據(jù)風險評估報告所屬部門：XXX公司XX部受評系統(tǒng)：XX系統(tǒng)完成時間：2022年XX月XX日一、評估報告摘要 二、評估方案概述 2.1.評估背景 42.2.評估依據(jù) 42.3.評估原則 52.4.評估內容 62.5.評估流程 2.6.評估方法 2.7.人員組成 2.8.實施計劃 三、評估對象范圍 3.1.支撐信息系統(tǒng)描述 3.1.1.系統(tǒng)功能概述 3.1.2.系統(tǒng)架構圖 3.2.重要數(shù)據(jù)種類數(shù)量 3.3.重要數(shù)據(jù)處理場景 四、數(shù)據(jù)安全風險識別 4.1.合規(guī)性評估 4.1.1.合法正當性評估 4.1.2.基線要求差異分析 4.2.安全風險分析 274.2.1.風險源識別 274.2.2.安全影響分析 30五、數(shù)據(jù)安全風險分析與評價 5.1.數(shù)據(jù)安全風險分析 305.2.數(shù)據(jù)安全風險評價 5.2.1.風險危害程度評價 5.2.2.風險發(fā)生可能性評價 5.2.3.安全風險等級評價 325.3.數(shù)據(jù)安全風險清單 33六、風險評估計算 七、風險評估結論 7.1.風險處置建議 347.2.殘余風險分析..........................................................................................................................................34一、評估報告摘要為履行《網(wǎng)絡安全法》、《數(shù)據(jù)安全法》關于重要數(shù)據(jù)安全管理的要求，確保企業(yè)重要數(shù)據(jù)安全管理工作合法合規(guī)，依據(jù)《電信領域重要數(shù)據(jù)風險評估指南》通過訪談、檢查、測試等方式，對本系統(tǒng)涉及的重要數(shù)據(jù)處理活動開展了安全風險評估工作。評估發(fā)現(xiàn)本系統(tǒng)涉及的重要數(shù)據(jù)處理活動，處理重要數(shù)據(jù)的目的、范圍、方式均合法、正當、必要；綜合分析數(shù)據(jù)安全事件發(fā)生的可能性等級以及對國家、經(jīng)濟、網(wǎng)絡、社會、科技安全影響程度兩個方面的因數(shù)，研判得出本系統(tǒng)涉及的重要數(shù)據(jù)處理活動安全風險等級為：低風本系統(tǒng)涉及重要數(shù)據(jù)處理活動的網(wǎng)絡環(huán)境和技術措施、管理制度和處理流程、參與人員和第三方管理、業(yè)務特點和安全態(tài)勢目前均處于可控狀態(tài)，可有效降低重要數(shù)據(jù)泄露、損毀等風險。但跨域數(shù)據(jù)傳輸方面仍存在不足,尚需進一步改進。二、評估方案概述2.1.評估背景近年來數(shù)據(jù)泄露事件頻發(fā)，危害公民權益和生命財產(chǎn)安全，更對國家安全、社會經(jīng)濟和公共秩序造成嚴重影響。針對重要數(shù)據(jù)安全，國家“十四五”規(guī)劃強調保障國家數(shù)據(jù)安全加強個人信息保護，建立數(shù)據(jù)資源產(chǎn)權、交易流通、跨境傳輸和安全保護等基礎制度和標準規(guī)范，推動數(shù)據(jù)資源開發(fā)利用。在法律法規(guī)方面國家已出臺《網(wǎng)絡安全法》、《數(shù)據(jù)安全法》等一系列法律法規(guī)。同時為確保數(shù)據(jù)安全工作落實到位，工信部在《省級基礎電信企業(yè)網(wǎng)絡與信息安全工作考核要點與評分標準》對電信領域企業(yè)重要數(shù)據(jù)安全管提出了監(jiān)管要求。為履行《網(wǎng)絡安全法》、《數(shù)據(jù)安全法》要求的社會責任，進一步加強重要數(shù)據(jù)安全管理工作，提高數(shù)據(jù)安全保護水平，確保企業(yè)重要數(shù)據(jù)安全管理工作合法合規(guī)，根據(jù)工信部監(jiān)管要求以及《電信領域重要數(shù)據(jù)風險評估指南》，特組織開展了本次重要數(shù)據(jù)安全風險評估工作。2.2.評估依據(jù).《中華人民共和國網(wǎng)絡安全法》.《中華人民共和國數(shù)據(jù)安全法》.《網(wǎng)絡安全等級保護基本要求》GB/T22239-2019.《電信網(wǎng)和互聯(lián)網(wǎng)數(shù)據(jù)安全通用要求》YD/T3802-2020.《電信領域重要數(shù)據(jù)和核心數(shù)據(jù)識別指南(試行)》.《電信領域數(shù)據(jù)安全保護指南（征求意見）》.《電信領域重要數(shù)據(jù)風險評估指南（征求意見）》2.3.評估原則電信領域重要數(shù)據(jù)風險評估堅持定期評估與持續(xù)監(jiān)督相結合，風險評估與結果報備相結合，按照有關法律、行政法規(guī)規(guī)定，參照有關國家標準、行業(yè)標準要求，遵循公正、客觀、有效的原則開展重要數(shù)據(jù)風險評估，保障重要數(shù)據(jù)安全，促進數(shù)據(jù)依法有序流動。數(shù)據(jù)安全風險評估，旨在掌握數(shù)據(jù)安全總體狀況，發(fā)現(xiàn)存在的數(shù)據(jù)安全風險和違法違規(guī)問題，為進一步健全數(shù)據(jù)安全管理制度和技術措施，提高數(shù)據(jù)安全治理能力奠定基礎。數(shù)據(jù)安全風險評估涉及數(shù)據(jù)、數(shù)據(jù)處理活動、業(yè)務、安全措施、數(shù)據(jù)安全風險等基本要素，要素間關系如圖1所示。圖1數(shù)據(jù)安全風險評估要素關系開展數(shù)據(jù)安全風險評估應充分考慮要素間關系。各要素關系說明如下：a)數(shù)據(jù)是核心要素，具有數(shù)據(jù)價值等屬性，數(shù)據(jù)價值將影響數(shù)據(jù)安全風險的危害程度。b)數(shù)據(jù)在處理過程中涉及一個或多個數(shù)據(jù)處理活動，數(shù)據(jù)處理活動應遵循數(shù)據(jù)安全法律法規(guī)要求。c)數(shù)據(jù)安全措施用于保障數(shù)據(jù)和數(shù)據(jù)處理活動安全，安全措施能降低數(shù)據(jù)安全風險發(fā)生的可能性。d)業(yè)務可能涉及一個或多個信息系統(tǒng)，業(yè)務需要依托信息系統(tǒng)的支撐。e)業(yè)務和信息系統(tǒng)均涉及數(shù)據(jù)和數(shù)據(jù)處理活動，信息系統(tǒng)是數(shù)據(jù)的載體，數(shù)據(jù)可在不同業(yè)務、信息系統(tǒng)間流轉。f)數(shù)據(jù)處理活動可能存在風險源，風險源可能引發(fā)數(shù)據(jù)安全風險。g)風險源、安全措施和數(shù)據(jù)價值共同影響數(shù)據(jù)安全風險，安全措施與風險發(fā)生可能性成負相關，數(shù)據(jù)價值與風險造成的危害正相關，風險源與風險發(fā)生可能性、風險造成的危害均有h)數(shù)據(jù)安全風險將對數(shù)據(jù)和數(shù)據(jù)處理活動產(chǎn)生潛在影響。2.4.評估內容本次重要數(shù)據(jù)風險評估內容主要包括：合規(guī)性評估、安全風險分析。2.4.1.合規(guī)性評估在研判重要數(shù)據(jù)處理活動安全風險前，評估組將開展合規(guī)性評估，包括合法正當性評估和基線要求差異性分析2個方面。>合法正當性評估合法性評估：梳理國家相關法律、行政法規(guī)及電信主管部門要求，結合重要數(shù)據(jù)處理活動場景，評估是否存在法律、行政法規(guī)明令禁止或電信主管部門認定不得處理的情形。正當性評估：分析重要數(shù)據(jù)處理活動的目的和場景，評估處理活動是否具備正當理由，正當理由包括但不限于：開展業(yè)務、科學研究、執(zhí)法調查、新聞報道、公益事業(yè)等。必要性評估：根據(jù)業(yè)務的主要功能、實現(xiàn)方式及所涉及的重要數(shù)據(jù)處理活動場景，評估處理的重要數(shù)據(jù)種類、數(shù)量、頻率是否為開展業(yè)務所必需。>基線要求差異性分析梳理法律、行政法規(guī)中重要數(shù)據(jù)安全保護相關基線要求。參照《電信領域數(shù)據(jù)安全保護指南（試行）》關于重要數(shù)據(jù)的保護要求，結合重要數(shù)據(jù)處理活動的具體場景，選取適當?shù)幕€要求，進行差異性分析，評估數(shù)據(jù)處理活動已采取的安全措施是否滿足相關法律、行政法規(guī)要求?；€要求分為數(shù)據(jù)安全通用性管理基線要求、數(shù)據(jù)安全通用性技術能力基線要求和數(shù)據(jù)安全全生命周期基線要求。2.4.2.安全風險分析在完成合規(guī)性評估后，評估團隊將進一步對重要數(shù)據(jù)處理活動的安全風險進行分析研判，并及時開展風險處置，確保安全風險可控。風險研判的主要因素包括風險源識別和安全影響分析兩個方面，在此基礎上形成重要數(shù)據(jù)風險評估報告。.風險源識別(1)風險源要素識別類別識別要素識別結果網(wǎng)絡環(huán)境和技術措施a.處理重要數(shù)據(jù)的網(wǎng)絡環(huán)境是否為內部網(wǎng)絡，如果為互聯(lián)網(wǎng)等非內部網(wǎng)絡環(huán)境，將面臨更高的威處理重要數(shù)據(jù)的網(wǎng)絡環(huán)境在網(wǎng)管域，為內部網(wǎng)絡b.處理重要數(shù)據(jù)的信息系統(tǒng)是否與其他系統(tǒng)隔離，是否與其他系統(tǒng)存在數(shù)據(jù)交互，交互方式是否為網(wǎng)絡接口，是否配備接口安全保障措施，如身份驗證、流量監(jiān)控、數(shù)據(jù)加密。配備接口安全保障措施，身份驗證、流量監(jiān)控、數(shù)據(jù)加密等措施c.重要數(shù)據(jù)處理過程中是否實施嚴格的身份鑒別、訪問控制、權限管理等。重要數(shù)據(jù)處理過程中實施嚴格的身份鑒別、訪問控制、權限管d·處理重要數(shù)據(jù)的信息系統(tǒng)邊界是否部署安全防護設備，配置了嚴格的安全防護測策略，實現(xiàn)對網(wǎng)絡攻擊、入侵、木馬病毒等的攔截防護。處理重要數(shù)據(jù)的信息系統(tǒng)邊界部署常見安全防護設備，防火墻、入侵檢測等，配置了嚴格的安全防護測策略，實現(xiàn)對網(wǎng)絡攻擊、入侵、木馬病毒等的攔截防護e．是否監(jiān)測和記錄網(wǎng)絡運行狀態(tài)，是否標記、分析重要數(shù)據(jù)流轉狀態(tài)，及時發(fā)現(xiàn)重要數(shù)據(jù)異常流量和違規(guī)使用等情況。部署了檢測系統(tǒng)，監(jiān)測和記錄網(wǎng)絡運行狀態(tài)，標記、分析重要數(shù)據(jù)流轉狀態(tài)，及時發(fā)現(xiàn)重要數(shù)據(jù)異常流量和違規(guī)使用等f·是否配備數(shù)據(jù)防泄漏技術能力，全面覆蓋處理重要數(shù)據(jù)的系統(tǒng)和終端，實現(xiàn)對網(wǎng)絡、藍牙、USB、郵件等多渠道的重要數(shù)據(jù)泄露監(jiān)測預警與攔截處置。部署了數(shù)據(jù)防泄漏系統(tǒng)，全面覆蓋處理重要數(shù)據(jù)的系統(tǒng)和終端，實現(xiàn)對網(wǎng)絡、藍牙、USB、郵件等多渠道的重要數(shù)據(jù)泄露監(jiān)測預警與攔截處置g·是否采用加密傳輸、加密存儲等方式保障重要數(shù)據(jù)安全，加密方式是否安全有效。加密方式滿足安全要求，對重要數(shù)據(jù)加密存儲等h.是否定期對處理重要數(shù)據(jù)的信息系統(tǒng)進行安全檢查、評估、滲透測試等，并及時進行補丁更新和安全加固。每月定期對處理重要數(shù)據(jù)的信息系統(tǒng)進行安全檢查、評估、滲透測試等，并及時進行補丁更新和安全加固i.是否對存儲重要數(shù)據(jù)的介質進行加強管理，實施多級權限審批管理，禁止非相關人員接觸，并嚴格留存使用記錄。嚴格落實存儲重要數(shù)據(jù)的介質管理要求，禁止非相關人員接觸，并嚴格留存使用記錄j.是否對重要數(shù)據(jù)進行定期備份與恢復，備份方式是否安全可靠是否實現(xiàn)異地容災備份，保障數(shù)據(jù)可用性。重要數(shù)據(jù)進行定期備份與恢復，備份方式是滿足安全要求k.是否配備重要數(shù)據(jù)銷毀技術手段，確保重要數(shù)據(jù)銷毀后的不可恢復。配備重要數(shù)據(jù)銷毀技術手段，如消磁技術等，確保重要數(shù)據(jù)銷毀后的不可恢復。l．是否制定了數(shù)據(jù)安全審計策略，明確審計方法、內容、流程等要求，實現(xiàn)對重要數(shù)據(jù)收集、存儲、傳輸、使用、提供、公開、銷毀等環(huán)節(jié)的實時審計，并對異常操作進行預警。制定相關數(shù)據(jù)安全審計策略，數(shù)據(jù)全生命周期實時審計。管理制度和處理流程a．是否建立完備的重要數(shù)據(jù)管理制度，覆蓋數(shù)據(jù)全生命周期，明確重要數(shù)據(jù)目錄備案、風險評估、權限管理、日志管理、安全審計、風險監(jiān)測、合作方管理、應急響應等相關管理要求。建立了重要數(shù)據(jù)管理制度，覆蓋數(shù)據(jù)全生命周期，明確重要數(shù)據(jù)合作方管理、應急響應等相關管理要求b．是否對數(shù)據(jù)授權訪問、批量復制、使用加工、出境、銷毀等重點環(huán)節(jié)進行日志留存，留存時間是否不少于6個月，涉及出境環(huán)節(jié)日志記錄是否對數(shù)據(jù)授權訪問、批量復制、使用加工、出境、銷毀等重點環(huán)節(jié)進行日志留存，留存時間大于6個月，不涉及出境。c．是否建立重要數(shù)據(jù)安全風險監(jiān)測報送機制，及時發(fā)現(xiàn)、識別和上報重要數(shù)據(jù)安全風險。建立了重要數(shù)據(jù)安全風險監(jiān)測報送機制，能發(fā)現(xiàn)、識別和上報重要數(shù)據(jù)安全風險。d．是否建立重要數(shù)據(jù)應急響應機制，制定應急預案和處置流程，定期開展應急演練。建立了重要數(shù)據(jù)應急響應機制，制定應急預案和處置流程，定期開展應急演練。參與人員和第三方a．是否設立數(shù)據(jù)管理機構，明確內部重要數(shù)據(jù)處理關鍵崗位、職責以及任職要求，負責履行重設立數(shù)據(jù)管理機構明確內部重要數(shù)據(jù)處理關鍵崗位、職責以及要數(shù)據(jù)安全管理義務。任職要求，負責履行重要數(shù)據(jù)安全管理義務。b．是否對重要數(shù)據(jù)處理關鍵崗位從業(yè)人員進行數(shù)據(jù)安全相關培訓和考核，確保其有相應的數(shù)據(jù)安全保護專業(yè)知識和技能。每年兩次關鍵崗位從業(yè)人員進行數(shù)據(jù)安全相關培訓和考核，保其有相應的數(shù)據(jù)安全保護專業(yè)知識和技能。c．是否與重要數(shù)據(jù)處理關鍵崗位從業(yè)人員簽訂保密協(xié)議，并進行背景審查。重要數(shù)據(jù)處理關鍵崗位從業(yè)人員簽訂保密協(xié)議，并進行背景審d．是否建立重要數(shù)據(jù)安全事件處罰問責機制。建立了重要數(shù)據(jù)安全事件處罰問責機制。e．是否建立重要數(shù)據(jù)第三方管理制度，形成第三方管理臺賬，加強對第三方數(shù)據(jù)使用情況的監(jiān)督管理。建立了重要數(shù)據(jù)第三方管理制度，形成第三方管理臺賬加強對第三方數(shù)據(jù)使用情況的監(jiān)督管理f．是否與涉及處重要數(shù)據(jù)的第三方簽署數(shù)據(jù)安全合同或協(xié)議，明確第三方處理使用重要數(shù)據(jù)的目的、方式、范圍、留存期限、超期處理的方式、再轉移限制、安全保障措施以及相應的貴任義涉及處重要數(shù)據(jù)的第三方簽署數(shù)據(jù)安全合同或協(xié)議，包括第三方處理使用重要數(shù)據(jù)的目的、方式、范圍、留存期限、超期處理的方式、再轉移限制、安全保障措施以及相應的貴任義務g．是否定期對第三方履行合同或協(xié)議的情況進行檢查、審計，確保其嚴格執(zhí)行合同約定。定期對第三方履行合同或協(xié)議的情況進行檢查、審計，確保其嚴格執(zhí)行合同約定業(yè)務特點和安全態(tài)勢a.業(yè)務對重要數(shù)據(jù)處理的依賴性。本業(yè)務對重要數(shù)據(jù)處理的依賴性高b.重要數(shù)據(jù)處理者3年內是否曾發(fā)生過數(shù)據(jù)安全事件。3年內未發(fā)生過數(shù)據(jù)安全事件c.重要數(shù)據(jù)保護相關執(zhí)法監(jiān)管動態(tài)。工信部通過每年考核進行監(jiān)督檢查，本業(yè)務系統(tǒng)截止目前未受過行政處罰、通報批評或約談。d·相關業(yè)務系統(tǒng)3年內遭受網(wǎng)絡攻擊的情況。3年內遭受網(wǎng)絡攻擊均已攔截，未發(fā)生安全事件e·重要數(shù)據(jù)處理者1年內收到或公開發(fā)布的警示信息。重要數(shù)據(jù)處理者1年內未收到或公開發(fā)布的警示信息。(2)風險源識別標準對以上因素進行充分了解后,評估團隊參考以下識別標準,對各重要數(shù)據(jù)處理場景安全事件發(fā)生的可能性進行判斷：可能性描述可能性等級處理重要數(shù)據(jù)的信息系統(tǒng)與其他系統(tǒng)有大量數(shù)據(jù)交互，或處于互聯(lián)網(wǎng)壞境中，或采取的安全保護措施薄弱，無法有效保障重要數(shù)據(jù)安全。極高缺乏重要數(shù)據(jù)安全管理制度，基本未對重要數(shù)據(jù)處理流程進行監(jiān)管。未對接觸到重要數(shù)據(jù)的相關人員進行約束管理，或未與參與處理重要數(shù)據(jù)的第三方簽訂相關協(xié)議/合同，未對第三方處理重要數(shù)據(jù)的行為進行任何約束，或已出現(xiàn)第三方濫用重要數(shù)據(jù)的情形。威脅引發(fā)的相關安全事件已被重要數(shù)據(jù)處理者發(fā)現(xiàn)，或已收到相關主管部門發(fā)出的風險警報或通知，或3年內處理重要數(shù)據(jù)的信息系統(tǒng)遭受過大量網(wǎng)絡攻擊。處理重要數(shù)據(jù)的信息系統(tǒng)與其他系統(tǒng)有較多交互，或采取的安全保護措施較為薄弱。高重要數(shù)據(jù)安金管理制度不夠全面，無法有效對重要數(shù)據(jù)處理活動進行全生命周期管理。對接觸到重要數(shù)據(jù)的相關人員的約束不足、管理松散、權限分配不合理，或與參與處理重要數(shù)據(jù)的第三方簽訂相關協(xié)議/合同條款設置不合理、全面，無法充分、有效地約束第三方處理重要數(shù)據(jù)的行為。3年內發(fā)生過威脅引發(fā)的重要數(shù)據(jù)相關安全事件，或收到過相關專業(yè)機構發(fā)出的相關風險預警信息，或3年內處理重要數(shù)據(jù)的信息系統(tǒng)遭受過較多的網(wǎng)絡攻擊。處理重要數(shù)據(jù)的信息系統(tǒng)與其他系統(tǒng)僅存在較少的交互情況，且相關接口均進行了完善的接口安全管控措施。采取的安全保護措施基本完善。中重要數(shù)據(jù)安全管理制度基本全面，基本實現(xiàn)對重要數(shù)據(jù)處理活動進行全生命周期管理，僅部分管理要求尚不完善。對接觸到重要數(shù)據(jù)的相關人員的約束較為充分、權限分配較為合理。與參與處理重要數(shù)據(jù)的第三方簽訂的相關協(xié)議/合同條款設置基本合理、全面，基本可以對第三方處理重要數(shù)據(jù)的行為進行約束，但尚未對第三方協(xié)議/合同履行情況進行檢查、審計或評估，無法真實有效掌握第三方協(xié)議/合同履行情況。3年內未發(fā)生過威脅引發(fā)的重要數(shù)據(jù)相關安全事件。3年內處理重要數(shù)據(jù)的信息系統(tǒng)遭受過較少的網(wǎng)絡攻擊。處理重要數(shù)據(jù)的信息系統(tǒng)與其他系統(tǒng)不存在交互情況，或僅存在少量離線交互行為，且對其進行了嚴格的安全審批管理，并留存記錄。采取的安全保護措施完備。低重要數(shù)據(jù)安全管理制度完備，實現(xiàn)對重要數(shù)據(jù)處理活動進行全生命周期管理，管理要求明確、全面。對接觸到重要數(shù)據(jù)的相關人員的約束充分、權限分配合理。與參與處理重要數(shù)據(jù)的第三方簽訂相關協(xié)議/合同條款設置合理、全面，可以實現(xiàn)對第三方處理重要數(shù)據(jù)的活動進行有效約束，且定期對第三方協(xié)議/合同履行情況進行檢查、審計或評估，可以真實有效掌握第三方協(xié)議/合同履行情況。從未發(fā)生過威脅引發(fā)的重要數(shù)據(jù)相關安全事件。3年內處理重要數(shù)據(jù)的信息系統(tǒng)從未遭受或僅遭受過極少的網(wǎng)絡攻擊，且攻擊危險程度較低。為識別數(shù)據(jù)安全風險，數(shù)據(jù)安全風險評估內容，既包括涉及數(shù)據(jù)處理者、業(yè)務和信息系統(tǒng)的基本情況調研，也包括處理的數(shù)據(jù)、開展的數(shù)據(jù)處理活動情況識別，還包括數(shù)據(jù)處理活動、數(shù)據(jù)安全管理、數(shù)據(jù)安全技術、個人信息保護、重要數(shù)據(jù)處理等方面的評估內容，評估內容框圖4數(shù)據(jù)安全風險評估內容框架圖2.5.評估流程針對本次重要數(shù)據(jù)安全風險評估，評估團隊按照如下流程開展工作：圖2數(shù)據(jù)安全風險評估實施流程圖2.6.評估方法本次安全評估主要從人員訪談、資料核查、技術手段核查三個方面開展：(1)人員訪談評估人員與系統(tǒng)負責人進行面對面訪談，檢查其是否明確知曉相關安全管控要求，并結合現(xiàn)場檢查，核實其落實情況，并做記錄。(2)資料核查現(xiàn)場稽核本次數(shù)據(jù)安全評估所涉及的管理制度、建設方案、操作審批單、審批日志等電子或紙質資料，并做記錄。(3)技術手段核查針對本次檢查的系統(tǒng)和平臺，現(xiàn)場檢查其各種技術手段的落實情況，包括4A、金庫模式、敏感數(shù)據(jù)模糊化手段等實施情況，并做記錄。數(shù)據(jù)安全風險評估，主要圍繞數(shù)據(jù)處理者的數(shù)據(jù)和數(shù)據(jù)處理活動，對可能影響數(shù)據(jù)保密性、完整性、可用性和數(shù)據(jù)處理活動合理性的安全風險進行分析和評價。數(shù)據(jù)安全風險分析主要涉及數(shù)據(jù)、數(shù)據(jù)處理活動、風險事件三個基本要素，數(shù)據(jù)安全風險分析的主要內容包括：a)識別處理的數(shù)據(jù)、開展的數(shù)據(jù)處理活動情況，并對數(shù)據(jù)的價值進行分析；b)圍繞待評估的數(shù)據(jù)和數(shù)據(jù)處理活動，通過對數(shù)據(jù)處理活動、數(shù)據(jù)安全管理、數(shù)據(jù)安全技術、個人信息保護、重要數(shù)據(jù)處理安全等方面進行評估，識別可能存在的風險源，識別現(xiàn)有安全措施并對其有效性進行驗證，從而發(fā)現(xiàn)可能存在的數(shù)據(jù)泄露、篡改、破壞、違法違規(guī)處理等數(shù)據(jù)安全風險；注：風險源識別，包括識別安全威脅利用脆弱性可能導致數(shù)據(jù)安全事件的情形，和數(shù)據(jù)處理活動不合理操作可能造成違法違規(guī)處理事件的情形。c)對風險源的嚴重程度和發(fā)生可能性、安全措施的完備性和有效性等進行分析；d)從數(shù)據(jù)價值、風險源嚴重程度等方面，綜合評價風險可能對國家安全、公共利益或者個人、組織合法權益造成的危害程度；e)從風險源發(fā)生的可能性、安全措施有效性和完備性等方面，綜合評價風險發(fā)生的可能f)根據(jù)風險危害程度和風險發(fā)生可能性，對數(shù)據(jù)安全風險進行評價。圖3數(shù)據(jù)安全風險分析原理圖2.7.人員組成本次重要數(shù)據(jù)安全風險評估人員主要由專業(yè)第三方數(shù)據(jù)安全公司、被測單位數(shù)據(jù)安全管理員、重要數(shù)據(jù)相關系統(tǒng)管理人員等組成。姓名單位/部門職務職責分工2.8.實施計劃工作事項計劃時間責任人配合人員評估準備評估實施評估總結三、評估對象范圍3.1.支撐信息系統(tǒng)描述3.1.1.系統(tǒng)功能概述3.1.2.系統(tǒng)架構圖3.2.重要數(shù)據(jù)種類數(shù)量類別子類別數(shù)據(jù)項名稱數(shù)據(jù)載體數(shù)量（條）數(shù)據(jù)來源數(shù)據(jù)精度數(shù)據(jù)項詳細描述規(guī)劃運維數(shù)據(jù)域網(wǎng)絡規(guī)劃建設□紙質文件□電子文檔□音視頻□數(shù)據(jù)庫表□直接收集□統(tǒng)計分析產(chǎn)生□系統(tǒng)運維產(chǎn)生□業(yè)務運營產(chǎn)生網(wǎng)絡運行維護保障網(wǎng)絡與數(shù)據(jù)安域數(shù)據(jù)全保障物理安全保障應急通信保障經(jīng)濟運行務發(fā)展數(shù)據(jù)域統(tǒng)計分析業(yè)務發(fā)展戰(zhàn)略規(guī)劃與重大決策關鍵技術成果數(shù)據(jù)域涉及電信領域制物項相關數(shù)據(jù)重大科技成果技計劃等活動產(chǎn)生的先進技術數(shù)據(jù)3.3.重要數(shù)據(jù)處理場景類別子類別是否涉及數(shù)據(jù)出境數(shù)據(jù)處理使用方式數(shù)據(jù)處理使用目的數(shù)據(jù)處理頻率是否涉及數(shù)據(jù)跨主體流動情況規(guī)劃運維數(shù)據(jù)域網(wǎng)絡規(guī)劃建設寫接收方所在國家和地區(qū))□大數(shù)據(jù)分析□直接對外提供查詢□提供個性化服務、開展營銷□進行市場調研、宏觀分析、報告產(chǎn)出等□對外直接提供（如出售、委托、共享）□分析結果對外提供□為政府部門提供方名稱)網(wǎng)絡運行維護保障域數(shù)據(jù)網(wǎng)絡與數(shù)據(jù)安全保障物理安全保障應急通信保障經(jīng)濟運行務發(fā)展數(shù)據(jù)域統(tǒng)計分析業(yè)務發(fā)展戰(zhàn)略規(guī)劃與重大決策關鍵技術成果涉及電信領域數(shù)據(jù)域制物項相關數(shù)據(jù)重大科技成果技計劃等活動產(chǎn)生的先進技術數(shù)據(jù)四、數(shù)據(jù)安全風險識別4.1.合規(guī)性評估4.1.1.合法正當性評估評估項評估要點評估詳情評估結論合法性評估梳理國家相關法律、行政法規(guī)及電信主管部門要求，結合重要數(shù)據(jù)處理活動場景，評估是否存在法律、行政法規(guī)明令禁止或電信主管部門認定不得處理的情形。參考國家相關法律、行政法規(guī)及電信主管部門要求，對經(jīng)營分析系統(tǒng)中產(chǎn)生的重要數(shù)據(jù)處理活動場景評估正當性評估分析重要數(shù)據(jù)處理活動的目的和場景，評估處理活動是否具備正當理由，正當理由包括但不限于：開展業(yè)務、科學研究、執(zhí)法調查、新聞報道、公益事業(yè)等。評估經(jīng)營分析系統(tǒng)中產(chǎn)生的重要數(shù)據(jù)處理活動目的和場景，其目的保障數(shù)據(jù)安全，以便于業(yè)務良好持續(xù)開展必要性評估根據(jù)業(yè)務的主要功能、實現(xiàn)方式及所涉及的重要數(shù)據(jù)處理活動場景，評估處理的重要數(shù)據(jù)種類、數(shù)量、頻率是否為開展業(yè)務所必需。評估經(jīng)營分析系統(tǒng)的主要功能、實現(xiàn)方式及所涉及的重要數(shù)據(jù)處理活動場景，對重要數(shù)據(jù)種類、數(shù)量、頻率進行評估4.1.2.基線要求差異分析(1)差異性分析矩陣具體差異性分析詳情如下：評估大類評估項評估子項判定標準評估說明評估結果礎性評估類分級數(shù)據(jù)資產(chǎn)分類分級清單1、已開展數(shù)據(jù)資產(chǎn)梳理，并形成數(shù)據(jù)資產(chǎn)分類分級清單，并定期更新。2、對數(shù)據(jù)的分類與分級正確，符合集團信安統(tǒng)一要求。重要數(shù)據(jù)清單已在數(shù)據(jù)資產(chǎn)清單的基礎上，根據(jù)重要數(shù)據(jù)的定義，梳理形成重要數(shù)據(jù)清單。安全保護措施1、針對不同級別的數(shù)據(jù)資產(chǎn)，進行差異化的安全保障。2、針對重要數(shù)據(jù)境內存儲，數(shù)據(jù)出境時開展安全評估。限管理賬號管理制度已制定本單位賬號及權限管理制度，明確數(shù)據(jù)處理活動平臺系統(tǒng)的用戶賬號分配、開通、使用、變更、注銷等安全保障要求，以及賬號操作的審批要求和操作流程等。賬號授權1、建立了平臺系統(tǒng)權限分配表，對離職人員的賬號和權限及時回收；賬號權限開通或變更有申請、審批記錄，業(yè)務或系統(tǒng)不存在沉默賬號。2、賬號權限分配合理配置，符合最小權限原則。（抽查）3、平臺系統(tǒng)權限表中超級管理員權限賬號數(shù)量合理。（數(shù)量統(tǒng)計，原則只能為1個）權責分離1、賬號權限分配表中安全管理人員、使用人員、審計人員的角色實現(xiàn)了角色分離設置。2、涉及授權特定人員超權限處理數(shù)據(jù)的由數(shù)據(jù)安全管理責任部門或數(shù)據(jù)安全責任人進行審批并記錄。訪問控制1、系統(tǒng)配置了口令復雜度策2、系統(tǒng)配置了賬號鎖定策略，對系統(tǒng)賬號口令輸入嘗試次數(shù)進行限制。3、系統(tǒng)對口令遺忘的申請和重置流程實施嚴格管理，確?？诹钪刂昧鞒虩o業(yè)務邏輯設計缺陷，并留存申請和重置記4、賬號口令及加密密鑰已加密存儲。重大操作1、涉及數(shù)據(jù)重大操作的（如數(shù)據(jù)批量復制、傳輸、處理、開發(fā)共享和銷毀等）觸發(fā)金庫模式。（抽查）2、涉及數(shù)據(jù)重大操作的，有日志審計記錄。全審計制度已制定日志留存管理相關制度，明確日志記錄范圍、規(guī)范、留存時間、訪問控制要求等。1、對數(shù)據(jù)授權訪問、批量復制、開放共享、銷毀及數(shù)據(jù)接口調用等重點環(huán)節(jié)實施網(wǎng)絡日志留存管理，日志記錄至少包括執(zhí)行時間、操作賬號、處理方式、授權情況、IP地址、登錄信息等。2、日志留存時間滿足6個月要求。已定期對日志進行備份。權限控制限制日志訪問操作權限。制度及審計員配備1、已制定數(shù)據(jù)安全審計制度，制度中明確了審計對象、審計內容、實施周期、結果規(guī)范、問題整改跟蹤等要求。2、已配備日志安全審計員，且審計權限與系統(tǒng)管理權限、策略管理權限分立設置。安全審計定期形成數(shù)據(jù)安全審計報告以及問題改進跟蹤記錄。（至少每半年形成一份）作方管理合作方臺賬梳理形成合作方清單（含合作方企業(yè)名稱、合作業(yè)務或系統(tǒng)、合作形式、合作期限、合作方聯(lián)系人等信息），并定期更新。合同及保密協(xié)議1、已與合作方全量簽訂服務合同和數(shù)據(jù)安全保密協(xié)議。2、保密協(xié)議內容覆蓋合作方及項目參與員工可接觸到的數(shù)據(jù)處理相關平臺系統(tǒng)范圍，以及數(shù)據(jù)使用權限、內容、范圍及用途（應符合最小化原則合作方數(shù)據(jù)安全責任、保障措施配備情況（保障措施不得低于本企業(yè)），合作結束后數(shù)據(jù)刪除要求，合作方違約責任和處罰等內容。3、業(yè)務合作結束后，督促第三方依照合同約定及時關閉數(shù)據(jù)接口，刪除數(shù)據(jù)。急響應應急預案1、制定了數(shù)據(jù)安全應急預案，且場景涵蓋了數(shù)據(jù)泄露（丟失）、數(shù)據(jù)濫用、數(shù)據(jù)被篡改、數(shù)據(jù)被損毀、數(shù)據(jù)違規(guī)使用2、應急預案中已劃分安全事件等級。應急演練1、典型事件場景至少每年開展一次演練。2、核心系統(tǒng)至少每兩年開展一次演練。應急處置1、如發(fā)生數(shù)據(jù)安全事件，進行處置、總結并向主管部門報2、發(fā)生大規(guī)模用戶個人信息泄露時，采取合理、有效方式告知用戶。3、發(fā)生數(shù)據(jù)安全事件后，形成事件調查記錄和總結報告。育培訓制定教育培訓計劃制定有完整的培訓計劃及方開展教育培訓1、教育培訓教材滿足培訓要2、數(shù)據(jù)安全管理培訓每年培訓時長不少于10學時，并對培訓人員進行考核評定，培訓內容、培訓范圍、學時等滿足數(shù)據(jù)安全教育培訓要求。據(jù)全生命周期評估據(jù)采集采集規(guī)則1、制定了內部數(shù)據(jù)采集實施規(guī)范相關文件，并可以指導業(yè)務管理部門規(guī)范數(shù)據(jù)采集渠道、數(shù)據(jù)格式、采集流程和采集方式。2、定期根據(jù)數(shù)據(jù)采集規(guī)范對業(yè)務系統(tǒng)執(zhí)行數(shù)據(jù)采集進行合規(guī)審查，留存審查記錄。3、利用外部數(shù)據(jù)源采集數(shù)據(jù)時，對外部數(shù)據(jù)來源進行合法性確認，并要求提供方說明了個人信息來源與個人信息主體授權同意的范圍。采集合法1、用戶協(xié)議有明確告知，公布數(shù)據(jù)收集、使用規(guī)則以明確數(shù)據(jù)采集目的用途。2、經(jīng)營或者服務場所、網(wǎng)站、APP等公布數(shù)據(jù)收集、使用規(guī)則，告知用戶收集、使用信息的目的、方式和范圍，留存信息的期限，并獲得個人信息主體同意。最小必要1、明確了數(shù)據(jù)收集時的最小必要原則。2、實際收集情況與業(yè)務功能要求一致，收集數(shù)據(jù)與實現(xiàn)產(chǎn)品/服務的業(yè)務功能有直接關據(jù)傳輸傳輸安全策略1、制定了數(shù)據(jù)傳輸?shù)南嚓P制度，制度明確了安全域劃分規(guī)2、根據(jù)業(yè)務流程、職責界面、網(wǎng)絡部署、安全風險等情況，合理劃分網(wǎng)絡系統(tǒng)安全域。3、數(shù)據(jù)傳輸安全策略相關規(guī)范區(qū)分安全域內、安全域間等不同數(shù)據(jù)傳輸場景，明確數(shù)據(jù)傳輸安全策略和操作規(guī)程。數(shù)據(jù)出境業(yè)務對涉及個人信息和重要數(shù)據(jù)出境的場景、類別、數(shù)量級、頻率、接收方等進行梳理匯總形成清單。（如有出境業(yè)務）據(jù)存儲存儲規(guī)范1、明確核心數(shù)據(jù)處理活動有關平臺系統(tǒng)數(shù)據(jù)存儲保護手段，數(shù)據(jù)存儲介質安全策略和管理規(guī)定。2、系統(tǒng)支撐運維人員簽訂保密協(xié)議。移動介質1、對接入數(shù)據(jù)存儲相關平臺系統(tǒng)接入移動存儲介質有嚴格的審核機制。2、將數(shù)據(jù)下載到本地終端的行為有審批和日志記錄。數(shù)據(jù)備份1、制定了數(shù)據(jù)備份操作規(guī)程相關規(guī)范文件，包括數(shù)據(jù)備份周期、備份方式、備份地點、數(shù)據(jù)恢復性驗證機制等內容。2、定期對數(shù)據(jù)進行備份。3、開展數(shù)據(jù)備份恢復演練，驗證備份數(shù)據(jù)的有效性。據(jù)使用使用規(guī)范1、已明確區(qū)分不同目的下（如開發(fā)測試、數(shù)據(jù)分析等）數(shù)據(jù)使用審批流程。2、已明確區(qū)分不同目的下（如開發(fā)測試、數(shù)據(jù)分析等）數(shù)據(jù)使用脫敏處理規(guī)則。數(shù)據(jù)處理1、處理個人信息時采用了脫敏手段，消除明確身份指向性，避免精確定位到特定個2、因業(yè)務需求，改變個人信息使用目的或改變個人信息使用規(guī)則時，再次征得用戶明示同意。據(jù)開放共享共享審核1、建立了數(shù)據(jù)對外開放共享的審核制度文件。2、數(shù)據(jù)對外開放共享，留存共享申請、審核記錄，沒有超出需求和授權范圍。共享溯源數(shù)據(jù)對外開放共享留存共享數(shù)據(jù)日志，具備溯源能力。合作協(xié)議與數(shù)據(jù)開放共享接口調用方簽訂合作協(xié)議，在合作協(xié)議中明確了對數(shù)據(jù)的使用目的、供應方式、保密約定等。主體授權共享個人信息時，事先向個人信息主體告知共享個人信息的目的、接收方情況等，并征得個人信息主體授權同意（經(jīng)過處理無法識別特定個人且不能復原的除外）。據(jù)銷毀銷毀制度建立數(shù)據(jù)銷毀與刪除管理制度、機制，明確數(shù)據(jù)銷毀與刪除的對象、原因（如數(shù)據(jù)業(yè)務下線、用戶退出服務、節(jié)點失超出數(shù)據(jù)保存期限等）和流程、存儲介質的銷毀處理策略和規(guī)程。銷毀審批1、建立了數(shù)據(jù)銷毀審批機制，設置了銷毀相關監(jiān)督角色，明確要求數(shù)據(jù)批量銷毀采用多人操作模式。2、執(zhí)行數(shù)據(jù)銷毀有審批記錄。3、執(zhí)行批量數(shù)據(jù)銷毀采用了多人操作模式。個人信息刪除1、提供了個人信息刪除申請方式。2、按要求及時刪除個人信息（如涉及）。術能估據(jù)識別資產(chǎn)掃描1、配備數(shù)據(jù)資產(chǎn)掃描工具且能識別個人敏感信息。2、定期開展數(shù)據(jù)資產(chǎn)掃描。脫敏驗證具備對數(shù)據(jù)脫敏效果的驗證能力，定期對數(shù)據(jù)處理場景中數(shù)據(jù)脫敏的有效性和合規(guī)性進行驗證。作審計審計能力規(guī)劃建設了自動化操作審計能力的平臺系統(tǒng)，具備數(shù)據(jù)操作權限配置、異常操作告警與處置等核心功能。1、業(yè)務或系統(tǒng)已接入審計平臺，或有相關接入計劃和方2、數(shù)據(jù)操作審計內容和平臺系統(tǒng)權限分配表作為系統(tǒng)策略進行配置。據(jù)防泄露數(shù)據(jù)防泄漏能力1、涉及存儲、處理個人敏感信息和重要數(shù)據(jù)的有關平臺系統(tǒng)部署數(shù)據(jù)防泄漏產(chǎn)品/系2、已將重點業(yè)務或系統(tǒng)、重點終端及網(wǎng)絡納入數(shù)據(jù)防泄露保護范圍。3、防泄漏產(chǎn)品/系統(tǒng)具備對網(wǎng)絡、郵件、FTP、USB等多種數(shù)據(jù)導入導出渠道進行實時監(jiān)控的能力，可實現(xiàn)異常數(shù)據(jù)操作行為預警攔截。接口安全面向互聯(lián)網(wǎng)及合作方開放的數(shù)據(jù)接口具備接口認證鑒權與安全監(jiān)控能力。涉及個人信息和重要數(shù)據(jù)的傳輸接口進行調用審批，留存審批記錄和接口日志。定期開展接口日志審計。人信息保護安全存儲對授權收集到的個人敏感信息采取去標識化、關鍵字段加密安全存儲措施。安全傳輸在跨安全域或者通過互聯(lián)網(wǎng)傳輸個人敏感信息時采用了相應的加密措施。安全展示1、對用戶端前臺界面展示的敏感信息采用了去標識化處2、查看完整個人敏感信息，必須通過身份驗證或主動選及金庫4A集中管控覆蓋范圍系統(tǒng)已納入4A管控。管控場景1、所有敏感數(shù)據(jù)操作場景均納入金庫管控，梳理金庫管控場景清單形成管理臺賬，至少每半年進行一次全量的更新維護。2、金庫場景新增或刪除有審批記錄。金庫審批審批關系滿足上述要求。關系金庫申請和審批的規(guī)范性1、金庫申請?zhí)顚懹泻侠淼臉I(yè)務需求，審批嚴格。2、金庫授權為時長授權的，授權時長不超過1小時。3、金庫申請審批有完整的日志記錄。(2)差異性分析證明材料a.基礎性評估4.2.安全風險分析4.2.1.風險源識別(1)風險源識別內容為進一步簡化重要數(shù)據(jù)安全事件發(fā)生可能性等級的分析過程，將與重要數(shù)據(jù)安全事件發(fā)生可能性相關的要素歸納為以下4個方面∶①網(wǎng)絡環(huán)境和技術措施評估時應關注的要素包括但不限于：a.處理重要數(shù)據(jù)的網(wǎng)絡環(huán)境是否為內部網(wǎng)絡，如果為互聯(lián)網(wǎng)等非內部網(wǎng)絡環(huán)境，將面臨更高的威脅。b.處理重要數(shù)據(jù)的信息系統(tǒng)是否與其他系統(tǒng)隔離，是否與其他系統(tǒng)存在數(shù)據(jù)交互，交互方式是否為網(wǎng)絡接口，是否配備接口安全保障措施，如身份驗證、流量監(jiān)控、數(shù)據(jù)加密等。c.重要數(shù)據(jù)處理過程中是否實施嚴格的身份鑒別、訪問控制、權限管理等。②管理制度和處理流程a.是否建立完備的重要數(shù)據(jù)管理制度，覆蓋數(shù)據(jù)全生命周期，明確重要數(shù)據(jù)目錄備案、風險評估、權限管理、日志管理、安全審計、風險監(jiān)測、合作方管理、應急響應等相關管理要求。b.是否對數(shù)據(jù)授權訪問、批量復制、使用加工、出境、銷毀等重點環(huán)節(jié)進行日志留存，留存時間是否不少于6個月，涉及出境環(huán)節(jié)日志記錄是否留存3年以上。c.是否建立重要數(shù)據(jù)安全風險監(jiān)測報送機制，及時發(fā)現(xiàn)、識別和上報重要數(shù)據(jù)安全風險。d.是否建立重要數(shù)據(jù)應急響應機制，制定應急預案和處置流程，定期開展應急演練。③參與人員和第三方管理a.是否設立數(shù)據(jù)管理機構，明確內部重要數(shù)據(jù)處理關鍵崗位、職責以及任職要求，負責履行重要數(shù)據(jù)安全管理義務。b.是否對重要數(shù)據(jù)處理關鍵崗位從業(yè)人員進行數(shù)據(jù)安全相關培訓和考核，確保其有相應的數(shù)據(jù)安全保護專業(yè)知識和技能。c.是否與重要數(shù)據(jù)處理關鍵崗位從業(yè)人員簽訂保密協(xié)議，并進行背景審查。d.是否建立重要數(shù)據(jù)安全事件處罰問責機制。e.是否建立重要數(shù)據(jù)第三方管理制度，形成第三方管理臺賬，加強對第三方數(shù)據(jù)使用情況的監(jiān)督管理。f.是否與涉及處理重要數(shù)據(jù)的第三方簽署數(shù)據(jù)安全合同或協(xié)議，明確第三方處理使用重要數(shù)據(jù)的目的、方式、范圍、留存期限、超期處理的方式、再轉移限制、安全保障措施以及相應的責任義務。g.是否定期對第三方履行合同或協(xié)議的情況進行檢查、審計，確保其嚴格執(zhí)行合同約定。④業(yè)務特點和安全態(tài)勢a.業(yè)務對重要數(shù)據(jù)處理的依賴性。b.重要數(shù)據(jù)處理者3年內是否曾發(fā)生過數(shù)據(jù)安全事件。c.重要數(shù)據(jù)保護相關執(zhí)法監(jiān)管動態(tài)。d.相關業(yè)務系統(tǒng)3年內遭受網(wǎng)絡攻擊的情況。e.重要數(shù)據(jù)處理者1年內收到或公開發(fā)布的警示信息。(2)風險源識別結果重要數(shù)據(jù)處理活動可能性等級風險來源可能性等分析結果網(wǎng)絡環(huán)境和技術措施管理制度和處理流程參與人員和第三方管理業(yè)務特點和安全態(tài)勢數(shù)據(jù)收集極高低高中低√√√√數(shù)據(jù)存儲極高低高中√低√√√數(shù)據(jù)使用極高中高中低√√√√數(shù)據(jù)加工極高高中低√√√√數(shù)據(jù)傳輸極高低高中√低√√√數(shù)據(jù)提供極高低高中低√√√√數(shù)據(jù)公開極高低高中低√√√√4.2.2.安全影響分析①影響國土安全。例如重要數(shù)據(jù)處理活動是否會導致其他國家掌握我國防建設、軍事部署、關鍵設施建設等情況，進而影響我領土安全和主權完整。②影響經(jīng)濟安全。例如重要數(shù)據(jù)處理活動是否會導致我國重要經(jīng)濟數(shù)據(jù)外泄，致使我國經(jīng)濟利益遭受巨大損失，引發(fā)金融風險。③影響網(wǎng)絡安全。例如重要數(shù)據(jù)處理活動是否會導致我國電信和互聯(lián)網(wǎng)等公共服務中斷運行或主要功能故障、重要數(shù)據(jù)泄露，對我國網(wǎng)絡穩(wěn)定運行造成巨大危害和損失。④影響社會安全。例如重要數(shù)據(jù)處理活動是否會導致我國公共利益遭受巨大危害或對我國政治穩(wěn)定產(chǎn)生重大影響。⑤影響科技安全。例如重要數(shù)據(jù)處理活動是否會導致我國先進技術數(shù)據(jù)外泄，影響我國在該領域的國際領先地位。評估團隊在進行安全影響分析時候，可按照以下順序開展①重要數(shù)據(jù)屬性分析，主要根據(jù)重要數(shù)據(jù)的種類、數(shù)量、重要程度等基本屬性，分析與上述可能影響國家安全的5個維度的對應關系。②重要數(shù)據(jù)處理活動特點分析，根據(jù)重要數(shù)據(jù)處理活動的具體方式、范圍等，分析重要數(shù)據(jù)處理活動對國家安全的影響程度的影響，例如向境外提供重要數(shù)據(jù)可能會增加對國家安全影響的程度。五、數(shù)據(jù)安全風險分析與評價5.1.數(shù)據(jù)安全風險分析數(shù)據(jù)安全風險分析，在數(shù)據(jù)安全風險識別的基礎上，分析數(shù)據(jù)、數(shù)據(jù)處理活動、數(shù)據(jù)安全風險源、數(shù)據(jù)安全措施之間的關系，并從影響數(shù)據(jù)保密性、完整性、可用性和數(shù)據(jù)處理合理性角度分析各項風險源或問題可能帶來的數(shù)據(jù)安全風險，形成初步的數(shù)據(jù)安全風險清單。初步風險清單，至少應針對各項風險源或問題，列出風險類別、風險源或問題描述、風險描述、已采取的安全措施、涉及的數(shù)據(jù)、涉及的數(shù)據(jù)處理活動、評估情況描述等內容。5.2.數(shù)據(jù)安全風險評價5.2.1.風險危害程度評價風險危害程度評價，主要從數(shù)據(jù)安全風險一旦發(fā)生，可能對國家安全、公共利益或者個人、組織合法權益造成的危害程度進行評價。風險危害程度評價，主要考慮數(shù)據(jù)價值、風險源嚴重程度兩個因素，其中數(shù)據(jù)價值主要參考《信息安全技術網(wǎng)絡數(shù)據(jù)分類分級要求》，從數(shù)據(jù)分級角度衡量數(shù)據(jù)價值，數(shù)據(jù)級別越高代表數(shù)據(jù)價值越高。風險源嚴重程度，主要考慮不同風險類型對數(shù)據(jù)、數(shù)據(jù)處理活動帶來的損害程度，例如違法違規(guī)處理類風險的嚴重程度可能比數(shù)據(jù)安全風險的嚴重程度高。在綜合分析數(shù)據(jù)價值、風險源嚴重程度的基礎上，將風險危害程度從低到高分為低、中等、高、極高5個級別。各級別數(shù)據(jù)安全風險危害程度描述如下表所示。表1數(shù)據(jù)安全風險危害程度等級數(shù)據(jù)安全風險危害程度描述極高一旦數(shù)據(jù)安全風險發(fā)生，對國民經(jīng)濟命脈、重要民生和重大公共利益造成損害。例如核心數(shù)據(jù)等。高一旦數(shù)據(jù)安全風險發(fā)生，可能直接危害國家安全、經(jīng)濟運行、社會穩(wěn)定、公共健康和安全。例如重要數(shù)據(jù)、超過100萬人的個人信息等。一旦數(shù)據(jù)安全風險發(fā)生，可能對組織或個人的合法權益造成嚴重危害。例如敏感個人信息、組織知識產(chǎn)權和商業(yè)秘密等。低一旦數(shù)據(jù)安全風險發(fā)生，可能對組織或個人的合法權益造成中等危害。例如個人信息等。5.2.2.風險發(fā)生可能性評價風險發(fā)生可能性評價，主要考慮風險源發(fā)生的可能性、安全措施有效性和完備性等因素。其中，風險源發(fā)生可能性，可從歷史風險源事件發(fā)生頻率等角度去衡量；安全措施有效性、完備性，主要衡量數(shù)據(jù)安全措施是否能有效、全面的防范全流程數(shù)據(jù)處理活動各階段的數(shù)據(jù)安全風險。在綜合分析風險源發(fā)生可能性、安全措施有效性和完備性的基礎上，將數(shù)據(jù)安全風險發(fā)生的可能性從低到高分為低、中、高3個級別，等級越高代表風險越可能發(fā)生，如表所示。表2風險發(fā)生可能性等級參考等級風險發(fā)生可能性描述高缺少數(shù)據(jù)安全安全措施或安全措施有效性較弱，風險源發(fā)生可能性高（例如出現(xiàn)頻率高、在大多數(shù)情況下幾乎不可避免、可以證實經(jīng)常發(fā)生過）中有一定數(shù)據(jù)安全安全措施，但有效性不足，風險源發(fā)生可能性一般（例如出現(xiàn)頻率中等，在某種情況下可能發(fā)生，或被證實曾經(jīng)發(fā)生過）低數(shù)據(jù)安全措施有效、完備，風險源發(fā)生可能性低（例如幾乎不可能發(fā)生，或僅可能在非