大數(shù)據(jù)安全評估與測評技術(shù)

大數(shù)據(jù)安全評估與測評技術(shù)全球數(shù)據(jù)安全政策匯總數(shù)據(jù)安全法律法規(guī)《工業(yè)數(shù)據(jù)安全評估指南（草案）》《數(shù)據(jù)出境安全評估辦法》《工業(yè)領(lǐng)域重要數(shù)據(jù)和核心數(shù)據(jù)識別規(guī)則（草案）》《工業(yè)領(lǐng)域重要數(shù)據(jù)和核心數(shù)據(jù)識別規(guī)則（草案）》《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法（試行）》《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法（試行）》中華人民共和國數(shù)據(jù)安全法中華人民共和國數(shù)據(jù)安全法-重要條款總結(jié)中華人民共和國個人信息保護(hù)法網(wǎng)絡(luò)數(shù)據(jù)安全管理條例（征求意見稿）網(wǎng)絡(luò)數(shù)據(jù)分類分級要求（征求意見稿）第二章數(shù)據(jù)分類分級管理第四章數(shù)據(jù)安全監(jiān)測預(yù)警與應(yīng)急管理日志留存第二章數(shù)據(jù)分類分級管理第四章數(shù)據(jù)安全監(jiān)測預(yù)警與應(yīng)急管理日志留存2022年12月，文件再次公開征求意見：新增無線電數(shù)據(jù)、個人信息保護(hù)相關(guān)要求。第一章總則第三章數(shù)據(jù)全生命周期安全管理第三章數(shù)據(jù)全生命周期安全管理第五章數(shù)據(jù)安全檢測、認(rèn)證、評估管理第六章監(jiān)督檢查第六章監(jiān)督檢查第七章法律責(zé)任工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法（試行）?安全檢測與認(rèn)證：鼓勵、引導(dǎo)具有相應(yīng)資質(zhì)的機(jī)構(gòu)，依據(jù)相關(guān)標(biāo)準(zhǔn)開展行業(yè)數(shù)據(jù)安全檢測、認(rèn)證工作；?安全評估：?工業(yè)和信息化部：制定評估機(jī)構(gòu)管理制度和規(guī)范，指導(dǎo)評估機(jī)構(gòu)開展數(shù)據(jù)安全風(fēng)險評估、合規(guī)評估、能力評估、出境評估等工作；?地方工業(yè)和信息化主管部門、通信管理局和無線電管理機(jī)構(gòu)：組織開展本地區(qū)數(shù)據(jù)評估工作；?工業(yè)和信息化領(lǐng)域重要數(shù)據(jù)和核心數(shù)據(jù)處理者：自行或委托第三方評估機(jī)構(gòu)，每年至少開展一次安全評估，及時整改風(fēng)險問題，并報送評估報告。行業(yè)（領(lǐng)域）督促指導(dǎo)下級單位和信息化主管部門地方通信管理局地方通信管理局地方無線電管理機(jī)構(gòu)地方無線電管理機(jī)構(gòu)1未公開的政務(wù)數(shù)據(jù)情報數(shù)據(jù)和執(zhí)法司1未公開的政務(wù)數(shù)據(jù)情報數(shù)據(jù)和執(zhí)法司5達(dá)到國家有關(guān)部門規(guī)定的規(guī)?；蛘呔鹊幕颉⒌乩?、礦產(chǎn)、氣象等人口與健康、自然資源與環(huán)境國家基礎(chǔ)3國家法律、行政法規(guī)、部門規(guī)章明確規(guī)定需要保護(hù)或者控制傳播的國家經(jīng)濟(jì)運行數(shù)據(jù)、重要行業(yè)業(yè)務(wù)數(shù)據(jù)、統(tǒng)計數(shù)4能源交通、水防科技工業(yè)、海關(guān)、稅務(wù)等重點行業(yè)和領(lǐng)域安全生產(chǎn)運行的數(shù)據(jù)，關(guān)鍵系統(tǒng)組件、設(shè)備供應(yīng)鏈數(shù)6國家基礎(chǔ)設(shè)施、7其他可能影響國家政治、國土、軍事、經(jīng)濟(jì)、文化、社會、科技、生態(tài)、資源、核設(shè)施、海外利益、生物、太空、極地深海等《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例（征求意見稿）》第七十三條（四核心數(shù)據(jù)是指關(guān)系國家安全、國家經(jīng)濟(jì)命脈、重要民生和重大公共利益等的數(shù)據(jù)；第七十三條（三重要數(shù)據(jù)是指一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，可能危害國家安全、公共利益的數(shù)據(jù)。22出口管制數(shù)據(jù)，出口管制物項涉及的核心技術(shù)、設(shè)計方案、生產(chǎn)工藝等相關(guān)的數(shù)電子信息、人工智能等領(lǐng)域?qū)野踩?、?jīng)濟(jì)競爭實力有直接影響的科學(xué)技術(shù)成重要數(shù)據(jù)識別規(guī)則重要數(shù)據(jù)描述格式《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例（征求意見稿）》第三十二條：企業(yè)開展數(shù)據(jù)安全評估市級網(wǎng)信部門于1月31日前提報上一年度數(shù)據(jù)安全評估報告評估認(rèn)為可能危害國家安全、經(jīng)濟(jì)發(fā)展和公共利益，數(shù)據(jù)處理者不得共享、交易、委托處理、向基于風(fēng)險控制的數(shù)據(jù)安全管理體系基于風(fēng)險控制的思想是建立自我持續(xù)改進(jìn)和發(fā)展的數(shù)據(jù)安全管理體系，使用合理成本投入達(dá)到可接受的數(shù)據(jù)安全目標(biāo)。保護(hù)數(shù)據(jù)資產(chǎn)，將安全事件的損失和影響降到可接受程度。資產(chǎn)所在系統(tǒng)安全，數(shù)據(jù)安全風(fēng)險評估資產(chǎn)所在系統(tǒng)安全，數(shù)據(jù)安全風(fēng)險評估在原有信息安全風(fēng)險評估理論基礎(chǔ)上，更多關(guān)注于數(shù)據(jù)資產(chǎn)本身的安全性，呈現(xiàn)出圍繞數(shù)據(jù)資產(chǎn)、強(qiáng)調(diào)數(shù)據(jù)應(yīng)用場景的特點。其核心是對潛在風(fēng)險進(jìn)行發(fā)現(xiàn)，包括數(shù)據(jù)資產(chǎn)類型識別、處理活動合規(guī)點識別、已有合規(guī)措施識別、數(shù)據(jù)價值識別、已有技術(shù)安全措施識別、脆弱性識別、威脅識別等。數(shù)據(jù)安全風(fēng)險評估能夠幫助企業(yè)發(fā)現(xiàn)自身數(shù)據(jù)安全問題和短板，明確數(shù)據(jù)安全保護(hù)需求，為建設(shè)數(shù)據(jù)安全管理和技術(shù)手段指明方向。評估過程關(guān)注數(shù)據(jù)所在應(yīng)用場景，文檔查驗查驗安全管理制度、風(fēng)險評估報告、等保測評報告等有關(guān)材料及制度落實情況的證明材料技術(shù)測試應(yīng)用技術(shù)工具、滲透測試等手段查看數(shù)據(jù)資產(chǎn)情況、檢測防護(hù)措施有效性數(shù)據(jù)安全風(fēng)險評估-評估手段文檔查驗查驗安全管理制度、風(fēng)險評估報告、等保測評報告等有關(guān)材料及制度落實情況的證明材料技術(shù)測試應(yīng)用技術(shù)工具、滲透測試等手段查看數(shù)據(jù)資產(chǎn)情況、檢測防護(hù)措施有效性人員訪談對相關(guān)人員訪談，核查制度規(guī)章、防護(hù)措施、安全責(zé)任落實情況安全核查核查網(wǎng)絡(luò)環(huán)境、數(shù)據(jù)庫和大數(shù)據(jù)平臺等相關(guān)系統(tǒng)和設(shè)備安全策略、配置、防護(hù)措施情況數(shù)據(jù)安全風(fēng)險評估技術(shù)靜態(tài)分析符號執(zhí)行污點分析模糊測試機(jī)器學(xué)習(xí)通過符號表達(dá)式來模擬程序?qū)⑼獠康妮斎霐?shù)據(jù)標(biāo)記為污通過向目標(biāo)系統(tǒng)構(gòu)建非常規(guī)執(zhí)行，根據(jù)不同的分支條件點，通過跟蹤和污點數(shù)據(jù)相輸入數(shù)據(jù)，通過不斷的變異收集路徑約束信息，求解出關(guān)的信息流向，監(jiān)測他們是和調(diào)整，在執(zhí)行過程中監(jiān)控否會影響某些關(guān)鍵的程序操目標(biāo)程序的異常行為來發(fā)現(xiàn)不斷沿著不同分支進(jìn)行路徑建立大數(shù)據(jù)安全評估法建立數(shù)據(jù)質(zhì)量管理；?數(shù)據(jù)傳輸階段：數(shù)據(jù)傳輸加密、網(wǎng)絡(luò)可用性管理；?數(shù)據(jù)存儲階段：存儲媒體安全、邏輯存儲安全、數(shù)據(jù)備份和恢復(fù)；?數(shù)據(jù)處理階段：數(shù)據(jù)脫敏、數(shù)據(jù)分析安全、數(shù)據(jù)正當(dāng)使用、數(shù)據(jù)處理環(huán)境安全、數(shù)據(jù)導(dǎo)入導(dǎo)出安全；?數(shù)據(jù)交換階段：數(shù)據(jù)共享安全、數(shù)據(jù)發(fā)布安全、數(shù)據(jù)接口安全；?數(shù)據(jù)銷毀階段：數(shù)據(jù)銷毀處置、存儲媒體銷毀處置；在數(shù)據(jù)通用過程中，加強(qiáng)數(shù)據(jù)安全策略、組織和人員管理、數(shù)安全、元數(shù)據(jù)安全、終端數(shù)據(jù)安全、監(jiān)控與內(nèi)部審計、鑒別與訪最小授權(quán)、賬號及時回收、行為內(nèi)部審計、定期賬號稽核等方式控制；?數(shù)據(jù)使用過程的訪問權(quán)限管理：建議批量操作審批、高敏感數(shù)據(jù)訪問審批、批量操作和高敏感數(shù)據(jù)訪問的指定設(shè)備、地點、訪問過程內(nèi)部審計記試訪問模糊化、訪問行為定期稽核等方式控制；?數(shù)據(jù)共享（提?。?quán)限管理：通過最小共享和泛化、共享（提?。徟?、最小使用范圍、責(zé)任傳遞、定期稽核等方式控制；?定期權(quán)限稽核：主要通過數(shù)據(jù)安全的合規(guī)性檢查、操作監(jiān)管或稽核、數(shù)據(jù)訪問賬號和權(quán)限的監(jiān)管與稽核、業(yè)務(wù)單位和運維的數(shù)據(jù)訪問過程的合法核、日志風(fēng)險分析與數(shù)據(jù)安全性測試等方式控制；?數(shù)據(jù)存儲管理：通過涉密數(shù)據(jù)存儲的網(wǎng)絡(luò)區(qū)隔、敏感數(shù)據(jù)存儲加密、備份訪問?建立風(fēng)險差距矩陣：明確數(shù)據(jù)流的業(yè)務(wù)目的、涉及系統(tǒng)和業(yè)務(wù)流程的數(shù)據(jù)安全、保密和合規(guī)要求；?執(zhí)行安全威脅建模：識別數(shù)據(jù)流的機(jī)密數(shù)據(jù)所需跨越的信任邊界，應(yīng)對數(shù)據(jù)安全性、策略、流程或?qū)嵤┮蟮目赡茏兓?分析數(shù)據(jù)安全風(fēng)險：針對現(xiàn)有數(shù)據(jù)安全的保護(hù)控制、技術(shù)和行為進(jìn)行風(fēng)險/差距分析，識別現(xiàn)有保護(hù)措施未能解決的威脅，評估相關(guān)風(fēng)險；?確定風(fēng)險消除措施：列出使各項風(fēng)險達(dá)到可接受水平所需額外控制措施、技術(shù)和活動，評估每項風(fēng)險成本/收益，決定是否以及如何降低、轉(zhuǎn)移確定風(fēng)險；?評估消除措施有效性：如存在不可接受風(fēng)險，審查前述結(jié)果并重新啟動整個風(fēng)險評估周期數(shù)據(jù)安全風(fēng)險評估框架數(shù)據(jù)安全管理數(shù)據(jù)安全管理數(shù)據(jù)安全技術(shù)數(shù)據(jù)處理活動安全個人信息保護(hù)數(shù)據(jù)安全風(fēng)險評估的基礎(chǔ)-數(shù)據(jù)資產(chǎn)識別數(shù)據(jù)資產(chǎn)識別是一個“摸清家底”的過程，從而建立企業(yè)數(shù)據(jù)資產(chǎn)臺賬，掌握數(shù)據(jù)重要程度，是風(fēng)險評估的基礎(chǔ)，也是數(shù)據(jù)分類分級管理的基礎(chǔ)。數(shù)據(jù)資產(chǎn)評估數(shù)據(jù)資產(chǎn)評估大數(shù)據(jù)時代在應(yīng)用場景中分析數(shù)據(jù)安全風(fēng)險評估的主線-數(shù)據(jù)應(yīng)用場景大數(shù)據(jù)時代在應(yīng)用場景中分析數(shù)據(jù)應(yīng)用場景與數(shù)據(jù)生命周期息息相關(guān)，不僅包括數(shù)據(jù)收集/產(chǎn)生、傳輸、存儲等過程，還包括數(shù)據(jù)調(diào)取、加工分析、外發(fā)等處理活動。每個數(shù)據(jù)類型都對應(yīng)著多個數(shù)據(jù)應(yīng)用場景，隨之而來潛在的安全風(fēng)險和合規(guī)風(fēng)險。數(shù)據(jù)授權(quán)數(shù)據(jù)授權(quán)數(shù)據(jù)流向數(shù)據(jù)流向風(fēng)險評估輸出數(shù)據(jù)安全風(fēng)險評估結(jié)果支撐數(shù)據(jù)安全分類分級管理風(fēng)險評估輸出根據(jù)數(shù)據(jù)安全風(fēng)險評估結(jié)果，針對每一個數(shù)據(jù)安全風(fēng)險，結(jié)合被影響的數(shù)據(jù)資產(chǎn)重要程度，選擇適當(dāng)?shù)臄?shù)據(jù)安全控制措施，實現(xiàn)數(shù)據(jù)分類分級管理與保護(hù)。風(fēng)險風(fēng)險評估環(huán)節(jié)數(shù)據(jù)安全風(fēng)險得到有效控制數(shù)據(jù)安全風(fēng)險得到有效控制數(shù)據(jù)安全風(fēng)險評估-評估方式數(shù)據(jù)處理者可根據(jù)相關(guān)法律法規(guī)及相應(yīng)標(biāo)準(zhǔn)自行開展評估工作。第三方評估數(shù)據(jù)處理者委托第三方具有數(shù)據(jù)安全測評服務(wù)資質(zhì)的機(jī)構(gòu)進(jìn)行評估工作。分析總結(jié)綜合分析數(shù)據(jù)安全風(fēng)險評估實施步驟-評估流程分析總結(jié)綜合分析信息調(diào)研風(fēng)險識別數(shù)據(jù)安全風(fēng)險評估-具體工作和主要產(chǎn)出物數(shù)據(jù)安全風(fēng)險評估實施步驟涵蓋評估準(zhǔn)備、信息調(diào)研、風(fēng)險識別（數(shù)據(jù)應(yīng)用場景識別、數(shù)據(jù)威脅識別、脆弱性識別、已有安全措施識別）綜合分析和評估總結(jié)5大步驟。最終分別輸出數(shù)據(jù)資產(chǎn)清單、數(shù)據(jù)應(yīng)用場景分析報告、數(shù)據(jù)威脅報告、脆弱性報告和風(fēng)險分析報告。數(shù)據(jù)安全風(fēng)險評估實施步驟-數(shù)據(jù)應(yīng)用場景識別數(shù)據(jù)應(yīng)用場景識別包括業(yè)務(wù)流程或使用流程、相關(guān)數(shù)據(jù)活動、參與主體。數(shù)據(jù)應(yīng)用場景包括主業(yè)務(wù)調(diào)用數(shù)據(jù)的場景、數(shù)據(jù)被其數(shù)據(jù)應(yīng)用場景包括主業(yè)務(wù)調(diào)用數(shù)據(jù)的場景、數(shù)據(jù)被其統(tǒng)調(diào)取的場景、對組織外部提供數(shù)據(jù)的場景（合作工訪問數(shù)據(jù)的場景、第三方服務(wù)人員訪問數(shù)據(jù)數(shù)據(jù)活動包括但不限于數(shù)據(jù)提取、數(shù)據(jù)獲取、數(shù)據(jù)整數(shù)據(jù)活動包括但不限于數(shù)據(jù)提取、數(shù)據(jù)獲取、數(shù)據(jù)整數(shù)據(jù)安全風(fēng)險評估實施步驟-數(shù)據(jù)威脅識別主要分析數(shù)據(jù)在應(yīng)用場景流轉(zhuǎn)過程中，可能影響數(shù)據(jù)機(jī)密性、完整性、可用性及可控性的威脅類型，并進(jìn)一步分析其屬性，包括攻擊動機(jī)、攻擊能力、威脅發(fā)生概率，并對其屬性進(jìn)行賦能數(shù)據(jù)威脅報告數(shù)據(jù)威脅報告通過分析脆弱性對數(shù)據(jù)機(jī)密性、完整性、可用性、可控性影響，判斷對數(shù)據(jù)影響的嚴(yán)重程度。脆弱性識別所采用的方法主要有：問卷調(diào)查、工具檢測、人工核查、文檔查閱、通過分析脆弱性對數(shù)據(jù)機(jī)密性、完整性、可用性、可控性影響，判斷對數(shù)據(jù)影響的嚴(yán)重程度。脆弱性識別所采用的方法主要有：問卷調(diào)查、工具檢測、人工核查、文檔查閱、脆弱性報告技術(shù)脆弱性物理環(huán)境從機(jī)房場地、機(jī)房防火、機(jī)房供配電、機(jī)房防靜電、機(jī)房接地與防雷、電磁防護(hù)、通信線路的保護(hù)、機(jī)房區(qū)域防護(hù)、機(jī)房設(shè)備管理等方面進(jìn)行識別網(wǎng)絡(luò)結(jié)構(gòu)從網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計、邊界防護(hù)、外部訪問控制策略、內(nèi)部訪問控制策略、網(wǎng)絡(luò)設(shè)備安全配置等方面進(jìn)行識別系統(tǒng)軟件從補(bǔ)丁安裝、物理保護(hù)、用戶賬號、口令策略、資源共享、事件審計、訪問控制、新系統(tǒng)配置、注冊表加固、網(wǎng)絡(luò)安全、系統(tǒng)管理等方面進(jìn)行識別應(yīng)用中間件從協(xié)議安全、交易完整性、數(shù)據(jù)完整性等方面進(jìn)行識別應(yīng)用系統(tǒng)從審計機(jī)制、審計存儲、訪問控制策略、數(shù)據(jù)完整性、通信、鑒別機(jī)制、密碼保護(hù)等方面進(jìn)行識別管理脆弱性技術(shù)管理從物理和環(huán)境安全、通信與操作管理、訪問控制、系統(tǒng)開發(fā)與維護(hù)、業(yè)務(wù)連續(xù)性等方面進(jìn)行識別組織管理從安全策略、組織安全、資產(chǎn)分類與控制、人員安全、符合性等方面進(jìn)行識別已有安全措施分析報告數(shù)據(jù)安全風(fēng)險評估實施步驟-已有安全措施識別已有安全措施分析報告預(yù)防性安全措施可以降低數(shù)據(jù)威脅，利用脆弱性導(dǎo)致安全事件發(fā)生的可能性，如威脅情報系統(tǒng)、數(shù)據(jù)安全審計、數(shù)據(jù)安全風(fēng)險評估等。保護(hù)性安全措施可以減少因安全事件發(fā)生后對數(shù)據(jù)、業(yè)務(wù)或組織造成的影響。數(shù)據(jù)安全風(fēng)險評估實施步驟-數(shù)據(jù)威脅與脆弱性的關(guān)系物理環(huán)境變化/自然災(zāi)害/硬件故障云計算等第二方平臺缺乏安全保障機(jī)制，人員或其他業(yè)務(wù)系統(tǒng)訪問權(quán)限粒度太粗、訪問在數(shù)據(jù)庫服務(wù)器、文件服務(wù)器、員工終端等存儲系統(tǒng)上執(zhí)行后門、病毒、木馬、蠕蟲、竊聽軟件、謀軟件等惡意工數(shù)據(jù)失效或業(yè)務(wù)關(guān)閉后，遺留了敏感數(shù)據(jù)仍然可以被訪問或數(shù)據(jù)銷毀不徹底，可被技術(shù)性恢復(fù);內(nèi)部員工或第三方合作權(quán)獲取;關(guān)鍵崗位員工被收買竊取數(shù)據(jù)，安全意識培訓(xùn)機(jī)制、考核機(jī)制、數(shù)據(jù)行為審核手段、審計監(jiān)控措施存在漏對第三方合作機(jī)構(gòu)缺少協(xié)議或數(shù)據(jù)安全相關(guān)條 數(shù)據(jù)安全風(fēng)險評估實施步驟-風(fēng)險分析 評估后果–輸入：應(yīng)用場景內(nèi)已識別的相關(guān)事件情景，包括威脅、脆弱點、數(shù)據(jù)資產(chǎn)、已有和計劃的控制措施。–活動：應(yīng)用場景中脆弱性與具體安全措施關(guān)聯(lián)分析后，判斷脆弱性可利用程度和脆弱性對數(shù)據(jù)資產(chǎn)影響的嚴(yán)重程度；根據(jù)脆弱性對數(shù)據(jù)影響嚴(yán)重程度及數(shù)據(jù)重要程度計算安全事件后果。評估事件可能性–輸入：應(yīng)用場景內(nèi)已識別的相關(guān)事件情景，包括威脅、暴露的脆弱點、現(xiàn)有和計劃的控制措施數(shù)據(jù)。–活動：根據(jù)應(yīng)用場景中數(shù)據(jù)威脅與脆弱性利用關(guān)系，結(jié)合數(shù)據(jù)威脅發(fā)生可能性與脆弱性可利用性判斷安全事件發(fā)生的可能性。估算風(fēng)險級別–活動：根據(jù)應(yīng)用場景中安全事件發(fā)生的可能性以及安全事件后果，判斷風(fēng)險值。脆弱性可利用性脆弱性可利用性數(shù)據(jù)安全風(fēng)險評估實施步驟-殘余風(fēng)險評估被評估組織按照風(fēng)險安全整改建議全部或部分實施整改工作后，對仍然存在的安全風(fēng)險進(jìn)行識別、控制和管理的降低風(fēng)險定期開展降低風(fēng)險增加管控措施依據(jù)組織的風(fēng)險評估準(zhǔn)則進(jìn)行殘余風(fēng)險評估，判斷是否已經(jīng)將至可接受水平 ,為風(fēng)險管理提供輸入。殘余風(fēng)險仍處于不可接受的風(fēng)險范圍內(nèi)，則應(yīng)由管理層依據(jù)風(fēng)險接受原則考慮是否接受此類風(fēng)險或增加更多的風(fēng)險控制措施。應(yīng)定期開展殘余風(fēng)險再評估，評估結(jié)果應(yīng)作為風(fēng)險管理重要輸入。數(shù)據(jù)安全合規(guī)評估行業(yè)實踐數(shù)據(jù)分類