信息安全技術個人信息安全 第5部分：風險管理指南

1信息安全技術個人信息安全第5部分：風險管理指南本文件為個人信息安全管理體系構建、實施、運行中實施風險管理提供指導和幫本文件適用于個人信息管理者內關注個人信息安全的各級管理者和員工，及為個人信息安全管理DB21/TXXXX信息安全技術個人信息安全術語DB21/T1628.1信息安全技術個人信息安全第1部分：要求DB21/T1628.2信息安全技術個人信息安全第2部分：實施指南DB21/T1628.4信息安全技術個人信息安全第4部分：文檔管理指南3.13.23.3個人信息安全風險personalinformationsecuri3.43.5發(fā)現(xiàn)、記錄、描述危害個人信息和個人信息主體權益的風險3.62識別風險因素，分析風險因素的危害，判斷風險因素導3.73.83.9風險轉移risktransfer與其它管理體系、或與其它相關組織分擔風3.103.115風險因素a)危險因素：存在可能突發(fā)或瞬時發(fā)生個人信息危害的因素；38)個人信息匿名化后的處理方式等；c)環(huán)境性的：個人信息管理者的運營場所與個人信息安全相關的環(huán)境及個人工作位置與個人信4)相關信息（文檔等）的管理方式；4a)個人信息管理者的運營戰(zhàn)略、管理結構、業(yè)務模式；b)個人信息管理機構的職能；）；）；g)個人信息生命周期內活動、行為相關因素；h)個人信息數(shù)據庫；7.2職責7.3實施b)確定所有相關人員的職責；58.2過程風險評估過程反饋改進風險跟蹤和監(jiān)控<>↓↓↓風險評估過程反饋改進風險跟蹤和監(jiān)控<>↓↓↓<>8.2.2說明62)否則，重新確定風險范圍，進入新的循風險管理應采用PDCA過程管理模式，并持續(xù)改進風險管理過程，如圖2劃、過程8.3.2說明79風險管理計劃b)確定風險管理的范圍；d)確定風險管理策略、方式、方法、資源需求等；e)風險管理前的準備，包括個人信息生命周期關聯(lián)因素的分析、評估f)基于個人信息生命周期的過程管理的風險控制技術及方法、措施等；10.1原則a)個人信息安全相關法規(guī)、標準和本標準的要求；b)個人信息管理者的管理、業(yè)務模式和發(fā)展戰(zhàn)略；10.2風險識別8a)資源依賴度：涉及個人信息的管理、業(yè)務對各c)暫不需專門關注的：資源依賴度相對較低，資源價值較低；在風險管理范圍內，應識別、描述與管理、業(yè)務涉及個人信息部分關聯(lián)的各種資源及相關風險：a)該類資源的詳細信息；b)資源與個人信息的關聯(lián)度；在資源識別中，應注重威脅個人信息生命周期各個環(huán)節(jié)的風識9PISMS構建、實施、運行過程中的風險識別，是體系持續(xù)改進和完善的保證。PISMS安全風險主要a)最高管理者的意志和意識：如果最高管理者僅僅選擇形式，則體系形同虛設；等，應與整體信息安全統(tǒng)一規(guī)劃、設計，并考慮個人信息安全的e)過程改進缺陷：應注意PISMS在d)收集適用性：收集適用、適度的控制，最小收集的二次收集風險等；）：個人信息處理、使用、利用后的處理存在的風險，主要可個人信息收集、處理、使用、利用全過程管理存在的風險，主要可應依據相關標準、法規(guī)，科學、規(guī)范的識別個人信息安全b)應分析風險是如何發(fā)生、以什么方式發(fā)生、發(fā)生位置、發(fā)生原因等；10.3風險分析應定性描述已識別的各類個人信息安全風險，主要應a)風險存在的基礎、環(huán)境、條件及關聯(lián)因素；應定量分析已識別各類個人信息安全風險，主要a)風險發(fā)生的可能性；12345業(yè)務性的風極少涉及個人信息，風險發(fā)生的可能性極小涉及少量個人但發(fā)生的可能存在較大風險且發(fā)生的可能生個人信息安全風險的可能性很大12345管理性的風極少涉及個人涉及部分個人發(fā)生個人信息安信息，風險發(fā)生的可能性極小但發(fā)生的可能存在較大風險且發(fā)生的可能全風險的可能性12345管理性的風相應技術措施相應技術措施相應技術措施未采取或僅采取相對完善，缺存在一般性的陷被使用的可12345環(huán)境性的危在整體環(huán)境或在整體環(huán)境或在整體環(huán)境或在整體環(huán)境或個險或危害因個人工作環(huán)境個人工作環(huán)境個人工作環(huán)境人工作環(huán)境中存素中極少存在個人信息安全隱患，風險發(fā)生中存在部分個人信息安全隱發(fā)生的可能性中存在個人信在較大風險且發(fā)生的可能性在很大的個人信12345行為性的風無行為危員工行為存在員工行為存在員工行為存在員工行為存在很險極少個人信息安全隱患，風險發(fā)生的可能發(fā)生個人信息安全隱患的可發(fā)生的可能性個人信息安全風險且發(fā)生的大的個人信息安風險且發(fā)生的可10.4風險判定a)違背個人信息安全相關法規(guī)、規(guī)范的情況；c)個人信息準確性、完整性和時效性的確定；根據風險分析、風險等級和風險判定原則，可判定風險可能產生的影響。影響可分為3級，如表9123f)應通過技術、管理改進風險應對措施；11.2風險接受原則11.3風險處理方式信息數(shù)據庫的防護、備份容災、應急處理等。風險弱化應c)風險轉移：鑒于在個人信息管理中，風險轉移的復雜性，不宜采用；11.4殘余風險a)可以接受的風險；b)風險評估中遺漏的風險，仍存在發(fā)生的可能性；應在PISMS運行中跟蹤、監(jiān)控殘余風險，及時識別潛存的安全風險，隨時采取相應的應對12.2風險監(jiān)控會發(fā)生變化，風險應對措施是否合理、適宜，是否存在殘余風險風險控制，是易于遺漏的風險管理過程，實施PISMS內審應是保證風險控制的