2023網絡數據安全風險評估實施指引

網絡數據安全風險評估實施指引2023IVIV目錄前言 I技術支持單位 II范圍 1術語定義 1風險評估概述 3評估思路 3評估內容 3評估流程 4評估手段 6評估準備 6明確評估目標 7確定評估范圍 7組建評估團隊 8開展前期準備 9制定評估方案 10信息調研 11數據處理者調研 11業(yè)務和信息系統(tǒng)調研 12數據資產調研 12數據處理活動調研 13安全措施調研 14風險識別 15數據安全管理 15數據處理活動 26數據安全技術 38個人信息保護 45綜合分析 56梳理問題清單 56風險分析與評價 57提出整改建議 57評估總結 57評估報告 57風險處置 59附錄A典型數據安全風險類別 60附錄B評估報告模板 62PAGEPAGE61范圍本指南給出了網絡數據安全風險評估思路、工作流程和評估內術語定義網絡數據通過網絡處理和產生的各種電子數據，簡稱“數據”。數據處理者在數據處理活動中自主決定處理目的和處理方式的個人和組織。數據安全通過采取必要措施，確保數據處于有效保護和合法利用的狀態(tài)，以及具備保障持續(xù)安全狀態(tài)的能力。數據處理活動網絡數據安全風險評估共同處理兩個以上的數據處理者共同決定數據的處理目的和處理方式的數據處理活動。注：兩個以上含兩個。數據安全風險數據安全事件的發(fā)生可能性及其對國家安全、公共利益或者組織、個人合法權益造成的影響。合理性數據處理遵守法律、行政法規(guī)要求，尊重社會公德和倫理道德，符合網絡安全和數據安全常識道理。風險隱患注：風險隱患，既包括安全威脅利用脆弱性可能導致數據安全事件的風險隱患，也包括數據處理活動不合理操作可能造成違法違規(guī)處理事件的風險隱患。業(yè)務組織為實現某項發(fā)展規(guī)劃而開展的運營活動。[來源：GB/T20984-2022,3.1.4]自評估評估的活動。檢查評估由數據處理者的上級主管部門、業(yè)務主管部門或國家有關主管風險評估概述評估思路評估內容1圖1數據安全風險評估內容框架評估流程2圖2數據安全風險評估流程及主要產出物3圖3自評估實施流程4圖4檢查評估實施流程評估手段開展數據安全風險評估時，綜合采取下列手段進行評估：文檔查驗：查驗安全管理制度、風險評估報告、等保測評報安全核查：核查網絡環(huán)境、數據庫和大數據平臺等相關系統(tǒng)技術測試：應用技術工具、滲透測試等手段查看數據資產情評估準備明確評估目標數據安全風險評估的目標，包括但不限于：a）摸清數據種類、規(guī)模、分布等基本情況；b）摸清數據處理活動的情況；發(fā)現可能影響國家安全、公共利益或者個人、組織合法權益發(fā)現共享、交易、委托處理、向境外提供重要數據等處理活確定評估范圍”組建評估團隊組建檢查評估團隊組建自評估團隊開展前期準備制定工作計劃確定評估依據評估依據包括但不限于：（d）數據安全相關國家標準、行業(yè)標準等。開展自評估時，本單位數據安全制度規(guī)范可作為評估依據之一。確定評估內容涉及處理個人信息的，應在a）開展評估工作過程中，可根據任務要求、評估重點、監(jiān)管需要、評估依據等，進一步完善評估內容。建立評估文檔制定評估方案組織評估隊伍編制風險評估工作方案，方案內容包括但不限于：評估范圍：包括評估對象選擇方法、評估對象描述、評估范評估內容和方法：包括評估內容、評估準則、評估方法等內容；評估人員：包括評估隊伍的組織結構、負責人、成員、職責測試方案：開展技術測試前應明確測試方案，包括采用的技信息調研數據處理者調研數據處理者的基本情況包括但不限于：單位名稱、組織機構代碼、辦公地址、法定代表人信息、人網絡平臺運營者、關鍵信息基礎設施運營者等；g）數據處理相關服務取得行政許可的情況；h）被評估單位的資本組成和實際控制人情況；i）是否境外上市或計劃赴境外上市及境外資本參與情況，或以協(xié)議控制（VIE）架構等方式實質性境外上市。業(yè)務和信息系統(tǒng)調研業(yè)務和信息系統(tǒng)情況包括但不限于：網絡和信息系統(tǒng)基本情況，包括網絡規(guī)模、拓撲結構、信息業(yè)務基本信息，包括業(yè)務描述、業(yè)務類型、服務對象、業(yè)務信息系統(tǒng)、App和小程序情況，包括系統(tǒng)功能、網絡安全等AppSDK數據資產調研（（如數據資產情況，包括數據資產類型、數據范圍、數據規(guī)模、數據分類分級情況，包括數據分類分級規(guī)則、數據類別、數個人信息情況，包括個人信息種類、規(guī)模、敏感程度、數據重要數據情況，包括重要數據種類、規(guī)模、行業(yè)領域、敏感核心數據情況，包括核心數據種類、規(guī)模、行業(yè)領域、敏感數據處理活動調研數據收集情況，如數據收集渠道、收集方式、數據范圍、收數據存儲情況，如數據存儲方式、數據中心、存儲系統(tǒng)（如數據傳輸情況，如數據傳輸途徑和方式（如互聯(lián)網、VPN、）（數據公開情況，如數據公開的目的、方式、對象范圍、受眾數據刪除情況，如數據刪除情形、刪除方式、數據歸檔、介數據出境情況，是否存在個人信息或重要數據出境，如跨境安全措施調研調研已有安全措施情況，包括但不限于：已開展的等級保護測評、商用密碼應用安全性評估、安全檢VPNi）33/損毀、丟失、風險識別數據安全管理安全管理制度數據安全制度體系針對數據安全制度體系建設情況，應重點評估：a）數據安全總體策略、方針、目標和原則制定情況；b）數據安全管理工作規(guī)劃或工作方案制定情況；數據分類分級、數據安全評估、數據訪問權限管理、數據全制度內容與國家和行業(yè)數據安全法律法規(guī)和監(jiān)管要求的符合數據安全制度落實針對被評估方數據安全制度落實情況，應重點評估：網絡安全責任制、數據安全責任制落實情況，網絡安全和數d）度落實證明材料；f）制度落實監(jiān)督檢查機制。針對重要數據處理者，還應當評估以下內容：向有關部門報送評估報告情況，風險評估報告至少應包含處安全風險及其應對措施等。安全組織機構數據安全組織架構針對被評估方數據安全組織架構建設情況，應重點評估：a）數據安全管理機構和職能設置情況；b）數據安全負責人和職能設置情況；對組織內部的數據安全管理執(zhí)行情況、數據操作行為等進行數據安全人員和資源投入情況與組織數據安全保護需求適應性。數據安全崗位設置針對被評估方數據安全崗位設置情況，應重點評估：數據庫管理員、操作員及安全審計人員、安全運維人員、數業(yè)務部門、信息系統(tǒng)建設部門、信息系統(tǒng)運維部門數據安全特權賬戶所有者、關鍵數據處理崗位等數據安全關鍵崗位設分類分級管理數據資產管理針對數據資產管理情況，應重點評估：數據資產梳理是否全面，是否能夠覆蓋數據庫、大數據存儲U存儲介質中的數據；通過數據資產管理等工具對數據資產清單及時更新、維護的采用技術手段定期對數據資產進行掃描的情況，及發(fā)現識別數據分類分級制度針對數據分類分級制度建設情況，應重點評估：數據分類分級保護制度建設情況，是否符合國家、行業(yè)和地數據分類分級管理情況，及核心數據和重要數據目錄建立及是否在相關制度中明確了數據分類管理、分級保護策略，數數據分類分級保護針對數據分類分級保護情況，應重點評估：按照數據級別建設覆蓋全流程數據處理活動的安全措施情況；數據分類分級標識或數據資產管理工具建設情況，是否具有按照相關重要數據目錄或規(guī)定，評估重要數據并進行重點保按照相關核心數據目錄或規(guī)定，評估核心數據并進行嚴格管人員安全管理人員錄用針對人員錄用情況，應重點評估：數據處理關鍵崗位人員錄用，對其數據安全意識或專業(yè)能力保密協(xié)議針對保密協(xié)議簽訂情況，應重點評估：員工工作紀律和工作要求中是否明確規(guī)定員工禁止的數據安是否與所有涉及數據服務的人員簽訂安全責任承諾或保密協(xié)在重要崗位人員調離或終止勞動合同前，是否明確并告知其繼續(xù)履行有關信息的保密義務要求，并簽訂保密承諾書。轉崗離崗針對人員轉崗離崗管理情況，應重點評估：在人員轉崗或離崗時，是否及時終止或變更完成相關人員數對終止勞動合同的人員，是否及時終止并收回其系統(tǒng)權限及數據安全培訓針對人員數據安全培訓情況，應重點評估：1次數據安全專項培合作外包管理合作方管理機制針對合作方管理機制建設情況，應重點評估：數據合作方安全管理機制建設情況，如對合作方或外包服務e）對外包服務商的技術依賴程度，對委托處理數據的控制和管理能力。合作協(xié)議約束針對合作協(xié)議約束情況，應重點評估：服務合同、承諾及安全保密協(xié)議情況，是否通過合同協(xié)議等是否在合作協(xié)議中明確了數據處理目的、方式、范圍，安全合同、協(xié)議中，數據處理者與合作方、外包服務商間的數據外包人員訪問權限針對外包人員訪問權限管理情況，應重點評估：外包人員對數據與系統(tǒng)的訪問、修改權限是否限于最小必要能夠在測試環(huán)境下或使用測試數據完成的，是否向外包人員f）外包人員遠程訪問操作系統(tǒng)或數據的情況。第三方接入與數據回收針對第三方接入與數據回收情況，應重點評估：為完成技術或服務目的向合作方提供的數據，在合作結束后外包服務到期后，賬號注銷、數據回收、數據刪除銷毀等管為完成技術或服務目的向合作方提供的系統(tǒng)權限和接口，在政務數據委托處理委托他人建設、維護電子政務系統(tǒng)，存儲、加工政務數據，政務數據受托方依照法律、法規(guī)的規(guī)定和合同約定履行數據支撐電子政務相關系統(tǒng)運行的相關服務或系統(tǒng)的安全措施，安全威脅和應急管理安全威脅和事件識別安全威脅和安全事件情況，包括但不限于：31年通過安全工具、日志審計、安全測評、合規(guī)自查等發(fā)預警。安全應急管理針對數據安全應急管理情況，重點評估：數據安全事件應急預案制定和修訂情況，是否定義數據安全數據安全應急響應及處置機制建設情況，發(fā)生數據安全事件數據處理活動安全風險監(jiān)測情況，發(fā)現數據安全缺陷、漏洞安全事件對個人、其他組織造成危害的，是否將安全事件和面向社會提供服務的數據處理者是否建立便捷的數據安全相3開發(fā)運維管理針對開發(fā)運維管理情況，應重點評估：新應用開發(fā)審核流程建設情況，進行數據處理需求安全合規(guī)d）對開發(fā)代碼、測試數據的安全管理情況；e）產品或業(yè)務上線前進行安全評估的情況；開發(fā)測試環(huán)境和實際運行環(huán)境的隔離情況、測試數據和測試開發(fā)測試中使用真實個人信息、核心數據、重要數據情況，（）j）第三方SDK或開源軟件的運行維護、二次開發(fā)等技術資料完備性。云數據安全被評估對象使用云計算服務時，應重點評估：云服務提供者、第三方廠商、云租戶的安全責任劃分和落實云上承載用戶個人信息、重要數據、核心數據情況，是否對被評估對象是云計算服務提供者時，應重點評估：針對不同服務模式、部署模式、產品和服務，云平臺對相關發(fā)生數據安全風險或事件時，為租戶提供事件報告、應急處收集租戶數據情況，是否識別重要數據、個人信息，收集方i）云產品漏洞更新和推送情況，是否會及時提供補丁推送、跟進用戶漏洞更新等情況；j）云平臺提供的基礎安全防護能力情況；k）云產品對用戶高風險操作的提示情況；l）對云租戶的身份管理和訪問控制情況；約定服務到期、欠費、提前終止等情形下，云數據刪除和個r）云安全管理中心管控情況；s）云數據遷移安全保障情況；t）云平臺數據出境安全情況。數據處理活動數據收集數據收集合法正當性針對數據收集合法正當性情況，應重點評估：數據收集的合法性、正當性，是否存在竊取、超范圍收集、通過第三方收集數據重點評估從外部機構收集數據的安全情況：d）對外部收集數據的合法性、安全性和授權同意情況進行審核的情況。數據質量控制針對數據質量控制情況，應重點評估：數據質量管理制度建設情況，對收集數據質量和管理措施是安全管理和操作規(guī)范對數據清洗、轉換和加載等行為是否進數據質量管理和監(jiān)控的情況，對異常數據及時告警或更正采準確性、完整性校驗情況。數據收集方式針對數據收集方式，應重點評估：采用自動化工具訪問、收集數據的，違反法律、行政法規(guī)、采用自動化工具收集時，對數據收集范圍的明確情況，收集采用自動化工具收集數據以及該方式對網絡服務的性能、功通過人工方式采集數據的，是否對數據采集人員嚴格管理，數據收集設備及環(huán)境安全針對數據收集設備及環(huán)境安全情況，應重點評估：檢測數據收集終端或設備的安全漏洞，是否存在數據泄露風險；人工采集數據泄露風險，通過人員權限管控、信息碎片化等客戶端敏感信息留存風險，檢測App、等客戶端完成相數據存儲數據存儲適當性針對數據存儲適當性，應重點評估：a）數據存儲安全策略和操作規(guī)程的建設落實情況；b）存儲位置、期限、方式的適當性；c）永久存儲數據類型的必要性。邏輯存儲安全針對邏輯存儲安全情況，應重點評估：數據庫的賬號權限管理、訪問控制、日志管理、加密管理、情況；d）效性；根據安全級別、重要性、量級、使用頻率等因素，對數據分存儲介質安全針對存儲介質安全情況，應重點評估：存儲介質（含移動存儲介質，下同）的使用、管理及資產標存儲介質安全管理規(guī)范建設情況，是否明確對存儲介質存儲數據傳輸傳輸鏈路安全性針對數據傳輸鏈路安全性，應重點評估：敏感個人信息和重要數據傳輸加密情況及加密措施有效性，數據傳輸通道部署身份鑒別、安全配置、密碼算法配置、密制定數據跨組織傳輸管理規(guī)則，及跨組織數據傳輸安全技術傳輸鏈路可靠性針對數據傳輸鏈路的可靠性，應重點評估：網絡傳輸鏈路的可用情況，包括對關鍵網絡傳輸鏈路、網絡數據使用和加工數據使用和加工合法性針對數據使用和加工合法性，應重點評估：使用和加工數據時，遵守法律、行政法規(guī)，尊重社會公德和是否存在危害國家安全、公共利益的數據使用和加工行為，應用算法推薦技術、深度合成技術提供互聯(lián)網信息服務、生成式AI技術提供服務的，是否按照《互聯(lián)網信息服務算法推薦管理數據正當使用針對數據正當使用情況，應重點評估：開展數據處理活動以及研究開發(fā)數據新技術，是否有利于促使用數據開展用戶畫像、信息推送、內容呈現等業(yè)務，造成數據使用加工目的、方式、范圍，與行政許可、合同授權等數據導入導出針對數據導入導出情況，應重點評估：a）數據導出安全評估和授權審批流程建設情況；b）導入導出審計策略和日志管理機制建設情況；c）導出權限管理、導出操作記錄情況；數據處理環(huán)境針對數據處理環(huán)境安全情況，應重點評估：數據處理環(huán)境設置身份鑒別、訪問控制、隔離存儲、加密、大數據平臺等處理組件按照基線要求進行安全配置、配置核數據使用和加工安全措施針對數據使用和加工安全措施情況，應重點評估：在數據清洗、轉換、建模、分析、挖掘等加工過程中，對數數據使用加工過程中采取的數據脫敏、水印溯源等安全保護數據訪問與操作行為的最小化授權、訪問控制、審批等管理數據使用權限管理情況，如是否存在未授權訪問、超范圍授數據加工過程中對個人信息、重要數據等敏感數據的操作行委托加工數據的，是否明確約定受托方的安全保護義務，并數據提供數據提供合法正當必要性針對數據提供合法正當必要性，應重點評估：數據對外提供的目的、方式、范圍的合法性、正當性、必要性；數據提供是否遵守法律法規(guī)和監(jiān)管政策要求，是否存在非法對外提供的個人信息和重要數據范圍，是否限于實現處理目數據提供管理針對數據提供管理情況，應重點評估：a）數據提供安全策略和操作規(guī)程的建設落實情況；b）數據對外提供的審批情況；對外提供數據前，數據安全風險評估情況和個人信息保護影簽訂合同協(xié)議情況，是否在合同協(xié)議中明確了處理數據的目開展共享、交易、委托處理、向境外提供數據等高風險數據h）核心數據跨主體流動前是否經過國家有關部門評估。數據提供技術措施針對數據提供技術措施情況，應重點評估：a）對外提供的敏感數據是否進行加密及加密有效性；b）對所提供數據及數據提供過程的監(jiān)控審計情況；跟蹤記錄數據流量、接收者信息及處理操作信息情況，記錄數據接收方針對數據接收方情況，應重點評估：數據接收方處理數據的目的、方式、范圍等的合法性、正當接收方是否承諾具備保障數據安全的管理、技術措施和能力是否考核接收方的數據保護能力，掌握其發(fā)生的歷史網絡安對接收方數據使用、再轉移、對外提供和安全保護的監(jiān)督情況。數據轉移安全a）是否向有關主管部門報告；b）是否制定數據轉移方案；接收方數據安全保障能力，是否滿足數據轉移后數據接收方數據出境安全針對數據出境安全情況，重點評估：數據出境場景梳理是否合理、完整，是否覆蓋全部業(yè)務場景出境線路梳理是否合理、完整，是否覆蓋公網出境、專線出涉及數據出境的，按照有關規(guī)定開展數據出境安全評估、個針對公網出境場景，監(jiān)測核查實際出境數據是否與申報內容數據公開數據公開適當性針對數據公開適當性，應重點評估：對公開的數據進行必要的脫敏處理、數據水印、防爬取、權數據公開是否會帶來聚合性風險；基于被評估對象的已公開數據公開管理針對數據公開管理情況，應重點評估：數據公開的安全制度、策略、操作規(guī)程和審核流程的建設落數據公開的條件、批準程序，涉及重大基礎設施的信息公開數據公開前的安全評估情況，是否事前評估數據公開條件、因法律法規(guī)、監(jiān)管政策的更新，對不宜公開的已公開數據的數據刪除數據刪除管理針對數據刪除管理情況，應重點評估：數據刪除安全策略和操作規(guī)程，是否明確數據銷毀對象、原刪除或返還數據；數據刪除有效性、徹底性驗證情況，以及可能存在的多副本存儲介質銷毀針對存儲介質銷毀情況，應重點評估：介質銷毀策略和操作規(guī)程，是否明確各類介質的銷毀流程、介質銷毀措施有效性，是否對被銷毀的存儲介質進行數據恢其他數據安全技術網絡安全防護針對網絡安全防護情況，應重點評估：IP地址分配、網絡帶寬設置i）通信鏈路、網絡設備、計算設備等關鍵設備的冗余情況；j）對第三方組件進行安全核查、修復、更新的情況；服務器、數據庫、端口、數據資源在互聯(lián)網的暴露及管理情況；處理重要數據、核心數據的信息系統(tǒng)，應當按照有關規(guī)定滿身份鑒別與訪問控制身份鑒別針對身份鑒別措施情況，應重點評估：建立用戶、設備、應用系統(tǒng)的身份鑒別機制情況，身份標識登錄失敗時采取結束會話、限制非法登錄次數、設置抑制時當遠程管理時，是否采取必要措施防止鑒別信息在網絡傳輸處理重要數據的信息系統(tǒng)，采用口令技術、密碼技術、生物訪問控制針對數據訪問控制措施情況，應重點評估：建立與數據類別級別相適應的訪問控制機制情況，是否限定是否在數據訪問前設置身份認證等措施，防止數據的非授權授權管理數據權限授權審批流程建設落實情況，是否明確用戶賬號分系統(tǒng)管理員、安全管理員、安全審計員等人員角色分離設置系統(tǒng)權限分配表建設及更新情況，用戶賬號實際權限是否滿是否存在離職人員賬號未及時回收、沉默賬號、權限違規(guī)變數據批量復制、下載、導出、修改、刪除等數據敏感操作是監(jiān)測預警針對數據安全風險監(jiān)測預警情況，應重點評估：安全監(jiān)測預警和信息報告機制的建設落實情況，是否明確對IP對批量傳輸、下載、導出等敏感數據操作的安全監(jiān)控和分析對數據交換網絡流量進行安全監(jiān)控和分析的情況，是否具備數據脫敏針對數據脫敏情況，應重點評估：需要進行數據脫敏處理的應用場景、處理流程及操作記錄情況；開發(fā)測試、人員信息公示等應用場景的數據脫敏效果驗證情況；對匿名化或去標識化處理的個人信息重新識別出個人信息主數據防泄漏針對數據防泄漏情況，應重點評估：數據防泄漏技術手段部署情況，能否對網絡、郵件、終端等數據接口安全對外接口安全針對對外接口安全情況，應重點評估：面向互聯(lián)網及合作方數據接口的接口認證鑒權與安全監(jiān)控能API密鑰及密鑰安全存儲措施設置情況，能否避免密鑰被惡不同安全等級系統(tǒng)間、不同區(qū)域間跨系統(tǒng)、跨區(qū)域數據流動接口安全控制針對數據接口安全控制情況，應重點評估：接口安全控制策略設置情況，是否規(guī)定使用數據接口的安全符合要求的接口是否立即關停；涉及敏感數據的接口調用是否具備安全通道、加密傳輸、時數據接口部署身份鑒別、訪問控制、授權策略、接口簽名、與接口調用方是否明確數據的使用目的、供應方式、保密約是否對接口訪問做日志記錄，同時對接口異常事件進行告警數據備份恢復針對數據備份恢復情況，應重點評估：定期采取必要的技術措施查驗備份和歸檔數據完整性和可用安全審計審計執(zhí)行針對數據安全審計執(zhí)行情況，應重點評估：對數據的訪問權限和實際訪問控制情況進行定期審計的情日志留存記錄針對日志留存記錄情況，應重點評估：對數據授權訪問、收集、批量復制、提供、公開、銷毀、數日志記錄內容，是否包括執(zhí)行時間、操作賬號、處理方式、IP日志記錄是否能夠對識別和追溯數據操作和訪問行為提供支撐；是否定期對日志進行備份，防止數據安全事件導致日志被刪除；日志保存期限是否符合法律法規(guī)要求，如網絡日志是否保存行為審計針對數據安全行為審計情況，應重點評估：對網絡運維管理活動、用戶行為、網絡異常行為、網絡安全對數據批量復制、下載、導出、修改、刪除等高風險行為的個人信息保護個人信息處理基本原則合法、誠信原則針對合法、誠信原則遵守情況，應重點評估：a）通過誤導、欺詐、脅迫等方式處理個人信息的情況；b）非法收集、使用、加工、存儲、傳輸個人信息的情況；c）非法買賣、提供或者公開他人個人信息的情況；d）性事由；移動互聯(lián)網應用（App、SDK、小程序等）是否存在違法正當、必要原則針對正當、必要原則遵守情況，應重點評估：處理個人信息是否與處理目的直接相關，是否采取對個人權收集個人信息是否限于實現處理目的的最小范圍，如最少類是否以個人不同意處理其個人信息或者撤回同意為由，拒絕個人信息告知針對個人信息告知情況，應重點評估：個人信息處理規(guī)則是否告知個人行使《個人信息保護法》規(guī)g）緊急情況下為保護自然人的生命健康和財產安全無法及時向個人告知的，個人信息處理者是否在緊急情況消除后及時告知。個人信息同意針對個人信息同意情況，應重點評估：處理個人信息前是否取得個人同意，同意是否由個人在充分基于個人同意處理個人信息的，個人信息處理者是否提供便個人信息的處理目的、處理方式和處理的個人信息種類發(fā)生個人信息處理個人信息保存針對個人信息保存情況，應重點評估：個人信息的保存期限是否為實現處理目的所必要的最短時個人信息共同處理對于兩個以上的個人信息處理者共同決定個人信息的處理目的和處理方式的，重點評估：個人信息委托處理針對個人信息委托處理情況，應重點評估：是否與受托人約定委托處理的目的、期限、處理方式、個人個人信息受托人是否按照約定處理個人信息，是否超出約定委托合同不生效、無效、被撤銷或者終止的，受托人是否將個人信息返還個人信息處理者或者予以刪除，是否違規(guī)保留個人信息；未經個人信息處理者同意，受托人是否轉委托他人處理個人個人信息轉移因合并、分立、解散、被宣告破產等原因需要轉移個人信息的，重點評估：a）是否向個人告知接收方的名稱或者姓名和聯(lián)系方式；b）接收方是否繼續(xù)履行個人信息處理者的義務；c）接收方變更原先的處理目的、處理方式的，是否重新取得個人同意。向他人提供個人信息向他人提供個人信息的，應重點評估：是否向個人告知接收方的名稱或者姓名、聯(lián)系方式、處理目接收方是否在上述處理目的、處理方式和個人信息的種類等自動化決策針對自動化決策情況，應重點評估：是否保證決策的透明度和結果公平、公正，是否對個人實行通過自動化決策方式向個人進行信息推送、商業(yè)營銷等，是對應用算法推薦技術提供互聯(lián)網信息服務的情形，是否以顯個人信息公開針對個人信息公開情況，應重點評估：是否在合理的范圍內處理個人自行公開或者其他已經合法公處理已公開的個人信息，對個人權益有重大影響的，是否取敏感個人信息處理通用規(guī)則針對敏感個人信息處理規(guī)則，應重點評估：敏感個人信息處理是否具有特定的目的和充分的必要性，是處理敏感個人信息是否向個人告知處理敏感個人信息的必要14生物特征識別信息安全針對人臉識別數據安全情況，應重點評估：在公共場所安裝圖像采集、個人身份識別設備，是否為維護所收集的個人圖像、身份識別信息，是否只用于維護公共安開展業(yè)務活動時是否限定使用人臉識別技術作為身份鑒別的完成身份鑒別后，應及時刪除身份鑒別過程中收集、使用的個人信息主體權利個人信息的查閱、復制、可攜帶個人信息處理者是否為個人提供查閱其個人信息的途徑，是是否為個人提供復制其個人信息的途徑，是否可以及時提供個人請求將個人信息轉移至其指定的個人信息處理者，符合國家網信部門規(guī)定條件的，個人信息處理者是否提供轉移的方法。個人信息的更正、補充針對個人信息的更正、補充等主體權利保障情況，應重點評估：個人信息處理者是否為個人提供請求個人信息更正、補充的個人請求更正、補充其個人信息的，個人信息處理者是否對個人信息處理目的已實現、無法實現或者為實現處理目的不個人信息處理者停止提供產品或者服務，或者保存期限已屆滿；個人信息處理者違反法律、行政法規(guī)或者違反約定處理個人其他個人信息權利針對個人信息主體權利保障情況，還應重點評估：個人信息處理者是否為個人提供對其個人信息處理規(guī)則進行通過自動化決策方式作出對個人權益有重大影響的決定，是自然人死亡的，其近親屬為了自身的合法、正當利益，是否是否建立便捷的個人行使權利的申請受理和處理機制，拒絕個人信息安全義務個人信息保護措施針對個人信息保護措施部署情況，應重點評估：a）個人信息保護內部管理制度和操作規(guī)程的建設落實情況；b）對個人信息分類管理實施情況及效果；c）加密、去標識化等安全技術措施應用情況；d）是否合理確定個人信息處理的操作權限；是否在展示、公開等環(huán)節(jié)，對個人信息直接標識符進行去標是否定期對其處理個人信息遵守法律、行政法規(guī)的情況進行個人信息保護負責人針對個人信息保護負責人設置情況，應重點評估：處理個人信息達到國家網信部門規(guī)定數量的個人信息處理者是否公開個人信息保護負責人的聯(lián)系方式，是否將個人信息個人信息保護影響評估針對個人信息保護影響評估開展情況，應重點評估：是否在處理敏感個人信息、利用個人信息進行自動化決策、是否對個人信息處理情況進行記錄，個人信息保護影響評估個人信息安全應急針對個人信息安全應急措施部署情況，應重點評估：發(fā)生或者可能發(fā)生個人信息泄露、篡改、丟失時，是否立即個人信息安全事件是否通知所涉及個人并報告有關部門，事個人信息投訴舉報針對個人信息投訴舉報情況，應重點評估：對違反個人信息保護相關規(guī)定行為的投訴舉報渠道建設情大型網絡平臺個人信息保護針對大型網絡平臺個人信息保護情況，應重點評估：是否按照國家規(guī)定建立健全個人信息保護合規(guī)制度體系，是否成立主要由外部成員組成的獨立機構對個人信息保護情況進行監(jiān)督；是否遵循公開、公平、公正的原則，制定平臺規(guī)則，明確平臺內產品或者服務提供者處理個人信息的規(guī)范和保護個人信息的義務；是否對嚴重違反法律、行政法規(guī)處理個人信息的平臺內的產綜合分析梳理問題清單問題項：可參考第六章三級標題（6.x.x），列出數據安全問問題描述：對所列數據安全問題項的具體情況展開描述，包風險分析與評價7.1注1：風險評價可針對分析出的每一項風險給出風險評價等級，也可針對每個評估對象給出對應的風險評價等級。注2：風險造成的影響可結合數據價值、安全問題嚴重程度等因素判斷；風險發(fā)生的可能性可結合現有安全措施有效性和完備性、歷史事件發(fā)生情況等因素判斷。提出整改建議評估總結評估報告根據評估情況，評估隊伍編制網絡數據安全風險評估報告（報告模板參見附錄B）。評估報告應準確、清晰地描述評估活動的主要內容（并附必要的證據或記錄），提出可操作性的整改措施對策建議。風險評估報告的內容包括：評估概述，包括評估目的及依據，評估對象和范圍，評估結評估工作情況，包括評估人員、評估時間安排、評估工具和信息調研情況，包括數據處理者、業(yè)務和信息系統(tǒng)、數據資數據安全風險識別，包括數據安全管理、數據處理活動、數風險綜合分析，對數據安全問題可能帶來的安全風險進行綜整改建議，針對發(fā)現的數據安全問題或風險，提出整改措施數據安全問題清單，列出完整的數據安全問題清單，并附上涉及重要數據、個人信息、核心數據的，應當詳細列出處理委托第三方機構開展評估或檢查評估的，評估報告應由評估組長、審核人簽字，并加蓋評估機構公章。風險處置附錄A典型數據安全風險類別改風險、數據破壞風險、數據丟失風險等，如表A.1表A.1典型數據安全風險類別示例序號風險類別描述1數據泄露風險由于數據竊取、爬取、脫庫、撞庫等安全威脅，或者缺乏有效的安全措施、人員操作失誤或有意盜取等，導致數據泄露、惡意竊取、未授權訪問等影響數據保密性的風險。2數據篡改風險由于數據注入、中間人攻擊等安全威脅，或者缺乏有效的安全措施、人員有意或無意操作等，導致數據被未授權篡改等影響數據完整性的風險。3數據破壞風險由于拒絕服務攻擊、自然災害、嵌入惡意代碼、數據污染、設備故障等安全威脅，或者缺乏有效的安毀損、數據質量下降等影響數據可用性的風險。4數據丟失風險意操作等，導致數據丟失、難以恢復等安全風險。5數據濫用風險由于缺乏授權訪問控制、權限管控等有效的安全管控措施、人員有意或無意操作等，導致數據被未授權或超出授權范圍使用、加工的風險。6數據偽造風險據或數據源被偽造、數據主體被仿冒等安全風險。7違法違規(guī)獲取數據收集數據的風險。8違法違規(guī)出售數據違反法律、行政法規(guī)等有關規(guī)定，非法或違規(guī)向他人出售、交易數據的風險。9違法違規(guī)保存數據違反法律、行政法規(guī)等有關規(guī)定，非法或違規(guī)