《信息安全技術(shù) 數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估方法》

GB/TXXXXX—XXXX

信息安全技術(shù)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估方法

1范圍

本文件給出了數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估的基本概念、要素關(guān)系、分析原理、實(shí)施流程、評(píng)估內(nèi)容、分析與

評(píng)價(jià)方法等，明確了數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估各階段的實(shí)施要點(diǎn)和工作方法。

本文件適用于指導(dǎo)數(shù)據(jù)處理者、第三方評(píng)估機(jī)構(gòu)開(kāi)展數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估，也可供有關(guān)主管監(jiān)管部門(mén)

實(shí)施數(shù)據(jù)安全檢查評(píng)估時(shí)參考。

2規(guī)范性引用文件

下列文件中的內(nèi)容通過(guò)文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，

僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本

文件。

GB/T35273—2020信息安全技術(shù)個(gè)人信息安全規(guī)范

GB/T25069—2022信息安全技術(shù)術(shù)語(yǔ)

GB/T20984—2022信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估方法

GB/TAAAA—XXXX信息安全技術(shù)數(shù)據(jù)分類(lèi)分級(jí)規(guī)則

TC260-PG-20231A網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估實(shí)施指引

3術(shù)語(yǔ)和定義

GB/T25069-2022界定的以及下列術(shù)語(yǔ)和定義適用于本文件。

3.1

數(shù)據(jù)data

任何以電子或者其他方式對(duì)信息的記錄。

3.2

數(shù)據(jù)安全datasecurity

通過(guò)采取必要措施，確保數(shù)據(jù)處于有效保護(hù)和合法利用的狀態(tài)，以及具備保障持續(xù)安全狀態(tài)的能力。

3.3

數(shù)據(jù)處理活動(dòng)dataprocessingactivities

數(shù)據(jù)收集、存儲(chǔ)、使用、加工、傳輸、提供、公開(kāi)、刪除等活動(dòng)。

3.4

1

GB/TXXXXX—XXXX

合理性rationality

數(shù)據(jù)處理遵守法律、行政法規(guī)要求，尊重社會(huì)公德和倫理道德，符合網(wǎng)絡(luò)安全和數(shù)據(jù)安全常識(shí)道理。

3.5

數(shù)據(jù)安全風(fēng)險(xiǎn)datasecurityrisk

數(shù)據(jù)安全事件的發(fā)生可能性及其對(duì)國(guó)家安全、公共利益或者組織、個(gè)人合法權(quán)益造成的影響。

3.6

數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估datasecurityriskassessment

對(duì)數(shù)據(jù)和數(shù)據(jù)處理活動(dòng)安全進(jìn)行信息調(diào)研、風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)價(jià)的整個(gè)過(guò)程。

3.7

業(yè)務(wù)business

組織為實(shí)現(xiàn)某項(xiàng)發(fā)展規(guī)劃而開(kāi)展的運(yùn)營(yíng)活動(dòng)。

注：該活動(dòng)具有明確的目標(biāo)，并延續(xù)一段時(shí)間。

[來(lái)源：GB/T20984-2022,3.1.4]

3.8

風(fēng)險(xiǎn)源risksource

可能導(dǎo)致危害數(shù)據(jù)的保密性、完整性、可用性和數(shù)據(jù)處理合理性等事件的威脅、脆弱性、問(wèn)題、隱

患等，也稱(chēng)“風(fēng)險(xiǎn)隱患”。

注：風(fēng)險(xiǎn)隱患，既包括安全威脅利用脆弱性可能導(dǎo)致數(shù)據(jù)安全事件的風(fēng)險(xiǎn)隱患，也包括數(shù)據(jù)處理活動(dòng)不合理操作可

能造成違法違規(guī)處理事件的風(fēng)險(xiǎn)隱患。

3.9

自評(píng)估self-assessment

由數(shù)據(jù)處理者自身發(fā)起，組成機(jī)構(gòu)內(nèi)部評(píng)估小組或委托第三方評(píng)估機(jī)構(gòu)，依據(jù)有關(guān)政策法規(guī)與標(biāo)準(zhǔn)，

對(duì)評(píng)估對(duì)象的數(shù)據(jù)安全風(fēng)險(xiǎn)進(jìn)行評(píng)估的活動(dòng)。

[來(lái)源：GB/T20984-2022,3.1.8，有修改]

3.10

檢查評(píng)估inspectionandassessment

由數(shù)據(jù)處理者的上級(jí)主管部門(mén)、業(yè)務(wù)主管部門(mén)或國(guó)家有關(guān)主管（監(jiān)管）部門(mén)發(fā)起的，依據(jù)有關(guān)政策

法規(guī)與標(biāo)準(zhǔn)，對(duì)評(píng)估對(duì)象的數(shù)據(jù)安全風(fēng)險(xiǎn)進(jìn)行的評(píng)估活動(dòng)。

[來(lái)源：GB/T20984-2022,3.1.9，有修改]

4縮略語(yǔ)

2

GB/TXXXXX—XXXX

下列縮略語(yǔ)適用于本文件。

API：應(yīng)用程序編程接口（ApplicationProgrammingInterface）

App：移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序（MobileInternetApplication）

SDK：軟件開(kāi)發(fā)工具包（SoftwareDevelopmentKit）

5通則

5.1概述

數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估，主要圍繞數(shù)據(jù)和數(shù)據(jù)處理活動(dòng)，聚焦可能影響數(shù)據(jù)的保密性、完整性、可用性

和數(shù)據(jù)處理合理性的安全風(fēng)險(xiǎn)，掌握數(shù)據(jù)安全總體狀況，發(fā)現(xiàn)數(shù)據(jù)安全隱患，提出數(shù)據(jù)安全管理和技術(shù)

防護(hù)措施建議，提升數(shù)據(jù)安全防攻擊、防破壞、防竊取、防泄露、防濫用能力。首先通過(guò)信息調(diào)研識(shí)別

數(shù)據(jù)處理者、業(yè)務(wù)和信息系統(tǒng)、數(shù)據(jù)資產(chǎn)、數(shù)據(jù)處理活動(dòng)、安全措施等相關(guān)要素，然后從數(shù)據(jù)安全管理、

數(shù)據(jù)處理活動(dòng)、數(shù)據(jù)安全技術(shù)、個(gè)人信息保護(hù)等方面識(shí)別風(fēng)險(xiǎn)隱患，最后梳理風(fēng)險(xiǎn)源清單，分析數(shù)據(jù)安

全風(fēng)險(xiǎn)、視情評(píng)價(jià)風(fēng)險(xiǎn)，并給出整改建議。

5.2風(fēng)險(xiǎn)要素關(guān)系

數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估涉及數(shù)據(jù)、數(shù)據(jù)處理活動(dòng)、業(yè)務(wù)、信息系統(tǒng)、安全措施、風(fēng)險(xiǎn)源等基本要素，要

素間關(guān)系如圖1所示。

圖1數(shù)據(jù)安全風(fēng)險(xiǎn)要素關(guān)系

開(kāi)展數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估應(yīng)充分考慮要素間關(guān)系。各要素關(guān)系說(shuō)明如下：

a)數(shù)據(jù)是核心要素，具有數(shù)據(jù)價(jià)值等屬性，數(shù)據(jù)價(jià)值將影響數(shù)據(jù)安全風(fēng)險(xiǎn)的危害程度。

b)數(shù)據(jù)和數(shù)據(jù)處理活動(dòng)是數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估的評(píng)估對(duì)象。

c)數(shù)據(jù)處理者運(yùn)營(yíng)業(yè)務(wù)，業(yè)務(wù)依賴數(shù)據(jù)實(shí)現(xiàn)。

d)業(yè)務(wù)需要依托信息系統(tǒng)的支撐，可能涉及一個(gè)或多個(gè)信息系統(tǒng)。

e)信息系統(tǒng)包含多個(gè)數(shù)據(jù)處理活動(dòng)，信息系統(tǒng)是數(shù)據(jù)的載體。

f)數(shù)據(jù)在流轉(zhuǎn)過(guò)程中涉及一個(gè)或多個(gè)數(shù)據(jù)處理活動(dòng)，數(shù)據(jù)處理活動(dòng)應(yīng)遵循數(shù)據(jù)安全法律法規(guī)要求。

g)安全措施用于保護(hù)數(shù)據(jù)安全，能降低數(shù)據(jù)安全風(fēng)險(xiǎn)源發(fā)生的可能性。

h)數(shù)據(jù)和數(shù)據(jù)處理活動(dòng)作為評(píng)估對(duì)象，可能存在風(fēng)險(xiǎn)源，風(fēng)險(xiǎn)源可能引發(fā)數(shù)據(jù)安全風(fēng)險(xiǎn)，數(shù)據(jù)安

全風(fēng)險(xiǎn)將對(duì)數(shù)據(jù)和數(shù)據(jù)處理活動(dòng)有潛在影響。

3

GB/TXXXXX—XXXX

5.3風(fēng)險(xiǎn)分析原理

數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估，主要圍繞數(shù)據(jù)處理者的數(shù)據(jù)和數(shù)據(jù)處理活動(dòng)，對(duì)可能影響數(shù)據(jù)保密性、完整性、

可用性和數(shù)據(jù)處理合理性的安全風(fēng)險(xiǎn)進(jìn)行分析和評(píng)價(jià)。數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估原理如圖2所示。

圖2數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估原理圖

數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估主要包括信息調(diào)研、風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)分析與評(píng)價(jià)等，數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估的主要內(nèi)

容包括：

a)信息調(diào)研：對(duì)可能影響數(shù)據(jù)安全風(fēng)險(xiǎn)的要素的情況調(diào)研，包括數(shù)據(jù)處理者、業(yè)務(wù)和信息系統(tǒng)、

數(shù)據(jù)資產(chǎn)、數(shù)據(jù)處理活動(dòng)、數(shù)據(jù)安全防護(hù)措施。掌握數(shù)據(jù)處理者、業(yè)務(wù)和信息系統(tǒng)基本情況，

梳理涉及的數(shù)據(jù)資產(chǎn)和數(shù)據(jù)處理活動(dòng)，了解采取的數(shù)據(jù)安全防護(hù)措施情況，掌握被評(píng)估對(duì)象或

同行業(yè)相關(guān)數(shù)據(jù)安全事件歷史發(fā)生情況。

b)風(fēng)險(xiǎn)識(shí)別：基于信息調(diào)研情況，從數(shù)據(jù)安全管理、數(shù)據(jù)處理活動(dòng)安全、數(shù)據(jù)安全技術(shù)、個(gè)人信

息保護(hù)等方面進(jìn)行數(shù)據(jù)安全風(fēng)險(xiǎn)識(shí)別，識(shí)別評(píng)估對(duì)象現(xiàn)有安全措施完備性并對(duì)其有效性進(jìn)行驗(yàn)

證，識(shí)別可能存在的風(fēng)險(xiǎn)源。

c)風(fēng)險(xiǎn)分析與評(píng)價(jià)：通過(guò)分析風(fēng)險(xiǎn)類(lèi)型、風(fēng)險(xiǎn)危害程度和可能性，評(píng)價(jià)風(fēng)險(xiǎn)等級(jí)。

注：TC260-PG-20231A《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估實(shí)施指引》第7章綜合分析，與本文件

第9章風(fēng)險(xiǎn)分析和評(píng)價(jià)兼容，本文件給出了更詳細(xì)的風(fēng)險(xiǎn)分析和評(píng)價(jià)方法。

1)數(shù)據(jù)安全風(fēng)險(xiǎn)分析，包括數(shù)據(jù)安全風(fēng)險(xiǎn)歸類(lèi)（9.2.2）、風(fēng)險(xiǎn)危害程度分析（9.2.3）、風(fēng)險(xiǎn)

發(fā)生可能性分析（9.2.4）。

2)風(fēng)險(xiǎn)歸類(lèi)分析，結(jié)合風(fēng)險(xiǎn)源可能引發(fā)的風(fēng)險(xiǎn)類(lèi)型，對(duì)風(fēng)險(xiǎn)源進(jìn)行歸類(lèi)。

3)風(fēng)險(xiǎn)危害程度分析，從數(shù)據(jù)價(jià)值、數(shù)據(jù)重要性、風(fēng)險(xiǎn)源危害程度等方面，綜合評(píng)價(jià)風(fēng)險(xiǎn)可

能對(duì)國(guó)家安全、公共利益或者個(gè)人、組織合法權(quán)益造成的危害程度。

4)風(fēng)險(xiǎn)發(fā)生可能性，從風(fēng)險(xiǎn)源發(fā)生頻率、安全措施有效性和完備性、風(fēng)險(xiǎn)源關(guān)聯(lián)性等方面，

綜合評(píng)價(jià)風(fēng)險(xiǎn)發(fā)生的可能性。

5)風(fēng)險(xiǎn)評(píng)價(jià)過(guò)程，一般根據(jù)風(fēng)險(xiǎn)危害程度和風(fēng)險(xiǎn)發(fā)生可能性評(píng)價(jià)數(shù)據(jù)安全風(fēng)險(xiǎn)，得到數(shù)據(jù)安

全風(fēng)險(xiǎn)級(jí)別，梳理形成數(shù)據(jù)安全風(fēng)險(xiǎn)清單。

在數(shù)據(jù)安全分析和評(píng)價(jià)中，數(shù)據(jù)安全風(fēng)險(xiǎn)危害程度分析、風(fēng)險(xiǎn)發(fā)生可能性分析、數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)價(jià)

等步驟可選，如不執(zhí)行上述步驟，可結(jié)合風(fēng)險(xiǎn)源清單和風(fēng)險(xiǎn)歸類(lèi)分析結(jié)果得到數(shù)據(jù)安全風(fēng)險(xiǎn)清單。

5.4評(píng)估適用情形

適用于以下情形之一的數(shù)據(jù)處理者，可結(jié)合實(shí)際情況開(kāi)展數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估：

4

GB/TXXXXX—XXXX

a)重要數(shù)據(jù)處理者、關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者、處理100萬(wàn)人以上個(gè)人信息的個(gè)人信息處理者、

大型互聯(lián)網(wǎng)平臺(tái)運(yùn)營(yíng)者、赴境外上市的數(shù)據(jù)處理者、黨政機(jī)關(guān)、網(wǎng)絡(luò)安全等級(jí)保護(hù)三級(jí)及以上

運(yùn)營(yíng)者，應(yīng)每年開(kāi)展一次數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估。

b)數(shù)據(jù)處理者在重要數(shù)據(jù)共享、交易、委托處理或向境外提供前，應(yīng)開(kāi)展數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估。

c)數(shù)據(jù)處理者開(kāi)展高風(fēng)險(xiǎn)數(shù)據(jù)處理活動(dòng)前，宜開(kāi)展數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估，高風(fēng)險(xiǎn)數(shù)據(jù)處理活動(dòng)包括

但不限于：

1)重要數(shù)據(jù)和個(gè)人信息處理者合并、分立、解散、被宣告破產(chǎn)進(jìn)行數(shù)據(jù)轉(zhuǎn)移。

2)承載重要數(shù)據(jù)處理活動(dòng)的信息系統(tǒng)發(fā)生架構(gòu)調(diào)整、下線等重大變更。

3)數(shù)據(jù)處理者利用生物特征進(jìn)行個(gè)人身份認(rèn)證。

4)基于不同業(yè)務(wù)目的的數(shù)據(jù)匯聚融合。

5)委托處理、向他人提供未成年人、老年人數(shù)據(jù)。

6)新技術(shù)應(yīng)用可能帶來(lái)數(shù)據(jù)安全風(fēng)險(xiǎn)的。

7)法律法規(guī)或有關(guān)部門(mén)規(guī)定要評(píng)估的情形。

8)其他可能直接危害國(guó)家安全、公共利益或者大量個(gè)人、組織合法權(quán)益的數(shù)據(jù)處理活動(dòng)。

d)對(duì)于已經(jīng)評(píng)估過(guò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估的數(shù)據(jù)處理活動(dòng)，當(dāng)數(shù)據(jù)范圍、數(shù)據(jù)處理活動(dòng)、環(huán)境、相關(guān)

方等發(fā)生重大變更時(shí)，需重新開(kāi)展數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估。

e)重要系統(tǒng)上線前，可根據(jù)實(shí)際需要開(kāi)展數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估。

f)當(dāng)被評(píng)估對(duì)象的政策環(huán)境、外部威脅環(huán)境、業(yè)務(wù)目標(biāo)、安全目標(biāo)等發(fā)生重大變化時(shí)，應(yīng)重新開(kāi)

展風(fēng)險(xiǎn)評(píng)估。

5.5評(píng)估實(shí)施流程

數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估流程，主要包括評(píng)估準(zhǔn)備、信息調(diào)研、風(fēng)險(xiǎn)識(shí)別、綜合分析、評(píng)估總結(jié)五個(gè)階段，

如圖3所示：

注：應(yīng)依據(jù)TC260-PG-20231A《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估實(shí)施指引》3.3進(jìn)行數(shù)據(jù)安全風(fēng)

險(xiǎn)自評(píng)估、第三方評(píng)估及檢查評(píng)估，與本文件給出的評(píng)估實(shí)施流程一致。

a)評(píng)估準(zhǔn)備：是數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估的初始預(yù)備階段，在評(píng)估實(shí)施前應(yīng)完成評(píng)估準(zhǔn)備工作。形成調(diào)

研表、數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估方案等。

b)信息調(diào)研：主要用于識(shí)別數(shù)據(jù)處理者的基本情況，厘清其與業(yè)務(wù)和信息系統(tǒng)的關(guān)系，處理的數(shù)

據(jù)和開(kāi)展的數(shù)據(jù)處理活動(dòng)情況，采取的數(shù)據(jù)安全防護(hù)措施。形成數(shù)據(jù)處理者基本情況、業(yè)務(wù)清

單、信息系統(tǒng)清單、數(shù)據(jù)資產(chǎn)清單、數(shù)據(jù)處理活動(dòng)清單、安全措施情況等，具備條件的，可繪

制數(shù)據(jù)流圖。

c)風(fēng)險(xiǎn)識(shí)別：針對(duì)各個(gè)評(píng)估對(duì)象，從數(shù)據(jù)安全管理、數(shù)據(jù)處理活動(dòng)、數(shù)據(jù)安全技術(shù)、個(gè)人信息保

護(hù)等方面，通過(guò)多種評(píng)估手段識(shí)別可能存在的數(shù)據(jù)安全風(fēng)險(xiǎn)隱患。形成文檔查閱記錄文檔、人

員訪談?dòng)涗浳臋n、安全核查記錄文檔、技術(shù)檢測(cè)報(bào)告等。

d)風(fēng)險(xiǎn)分析與評(píng)價(jià)：在風(fēng)險(xiǎn)識(shí)別基礎(chǔ)上開(kāi)展風(fēng)險(xiǎn)分析，并視情對(duì)風(fēng)險(xiǎn)進(jìn)行評(píng)價(jià)，最后提出整改建

議。形成數(shù)據(jù)安全風(fēng)險(xiǎn)源清單、數(shù)據(jù)安全風(fēng)險(xiǎn)列表、整改建議等。

e)評(píng)估總結(jié)：編制數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估報(bào)告，開(kāi)展風(fēng)險(xiǎn)處置。

5

GB/TXXXXX—XXXX

圖3數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估實(shí)施流程圖

5.6評(píng)估內(nèi)容框架

數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估，在信息調(diào)研基礎(chǔ)上，圍繞數(shù)據(jù)安全管理、數(shù)據(jù)處理活動(dòng)安全、數(shù)據(jù)安全技術(shù)、

個(gè)人信息保護(hù)等方面開(kāi)展評(píng)估。評(píng)估內(nèi)容框架如圖4所示。評(píng)估項(xiàng)可參考第8章。

6

GB/TXXXXX—XXXX

圖4數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估內(nèi)容框架圖

5.7評(píng)估手段

開(kāi)展數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估時(shí)，綜合采取下列手段進(jìn)行評(píng)估：

a)人員訪談：對(duì)相關(guān)人員進(jìn)行訪談，核查制度規(guī)章、防護(hù)措施、安全責(zé)任落實(shí)情況。

b)文檔查驗(yàn)：查驗(yàn)安全管理制度、風(fēng)險(xiǎn)評(píng)估報(bào)告、等保測(cè)評(píng)報(bào)告等有關(guān)材料及制度落實(shí)情況的證

明材料。

c)安全核查：核查網(wǎng)絡(luò)環(huán)境、數(shù)據(jù)庫(kù)和大數(shù)據(jù)平臺(tái)等相關(guān)系統(tǒng)和設(shè)備安全策略、配置、防護(hù)措施

情況。

d)技術(shù)測(cè)試：應(yīng)用技術(shù)工具、滲透測(cè)試等手段查看數(shù)據(jù)資產(chǎn)情況、檢測(cè)防護(hù)措施有效性。

6數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估準(zhǔn)備

6.1確定評(píng)估目標(biāo)

數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估的目標(biāo)包括但不限于：

a）摸清數(shù)據(jù)種類(lèi)、規(guī)模、分布等基本情況；

b）摸清數(shù)據(jù)處理活動(dòng)的情況；

c）發(fā)現(xiàn)可能影響國(guó)家安全、公共利益或者個(gè)人、組織合法權(quán)益的數(shù)據(jù)安全問(wèn)題和風(fēng)險(xiǎn)；

d）發(fā)現(xiàn)共享、交易、委托處理、向境外提供重要數(shù)據(jù)等處理活動(dòng)的數(shù)據(jù)安全問(wèn)題和風(fēng)險(xiǎn)；

e）促進(jìn)完善數(shù)據(jù)安全保護(hù)措施，提升數(shù)據(jù)安全保護(hù)能力。

6.2確定評(píng)估范圍

根據(jù)工作需要和評(píng)估目標(biāo)，確定數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估的對(duì)象、范圍和邊界，明確評(píng)估涉及的數(shù)據(jù)資產(chǎn)、

數(shù)據(jù)處理活動(dòng)、業(yè)務(wù)和信息系統(tǒng)、人員和內(nèi)外部組織等。數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估聚焦數(shù)據(jù)和數(shù)據(jù)處理活動(dòng)，

7

GB/TXXXXX—XXXX

評(píng)估范圍可以是某個(gè)單獨(dú)的業(yè)務(wù)、信息系統(tǒng)、部門(mén)涉及的數(shù)據(jù)和數(shù)據(jù)處理活動(dòng)，可以是組織全部數(shù)據(jù)和

數(shù)據(jù)處理活動(dòng)。

當(dāng)選取組織全部數(shù)據(jù)和數(shù)據(jù)處理活動(dòng)作為評(píng)估范圍時(shí)，可根據(jù)需要采取“全面摸排、重點(diǎn)評(píng)估”的原

則，按步驟確定評(píng)估范圍：

a）全面摸排被評(píng)估方的數(shù)據(jù)安全整體情況，摸清其數(shù)據(jù)資產(chǎn)、數(shù)據(jù)處理活動(dòng)、數(shù)據(jù)分類(lèi)分級(jí)等情

況。

b）結(jié)合數(shù)據(jù)分類(lèi)分級(jí)選擇重點(diǎn)評(píng)估對(duì)象，將涉及個(gè)人信息、重要數(shù)據(jù)、核心數(shù)據(jù)的所有數(shù)據(jù)處理

活動(dòng)，以及抽樣選擇的其他典型一般數(shù)據(jù)的處理活動(dòng)作為重點(diǎn)評(píng)估對(duì)象開(kāi)展評(píng)估。

c）如果組織未開(kāi)展數(shù)據(jù)分類(lèi)分級(jí)工作，也可結(jié)合業(yè)務(wù)、信息系統(tǒng)的重要性和敏感性，選擇核心業(yè)

務(wù)或重要信息系統(tǒng)的數(shù)據(jù)和數(shù)據(jù)處理活動(dòng)作為重點(diǎn)評(píng)估對(duì)象開(kāi)展評(píng)估。

當(dāng)選取某個(gè)單獨(dú)的業(yè)務(wù)、信息系統(tǒng)、部門(mén)涉及的數(shù)據(jù)和數(shù)據(jù)處理活動(dòng)進(jìn)行評(píng)估時(shí)，可參考上述方法

確定評(píng)估范圍?？梢赃x擇重點(diǎn)評(píng)估對(duì)象，也可以將涉及的全部數(shù)據(jù)和數(shù)據(jù)處理活動(dòng)納入評(píng)估范圍。

6.3組建評(píng)估團(tuán)隊(duì)

數(shù)據(jù)處理者自行或委托第三方專(zhuān)業(yè)技術(shù)機(jī)構(gòu)開(kāi)展數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估時(shí)，可組織業(yè)務(wù)、安全、法務(wù)、

合規(guī)、運(yùn)維、研發(fā)等相關(guān)部門(mén)參與實(shí)施，評(píng)估組長(zhǎng)由數(shù)據(jù)安全負(fù)責(zé)人或授權(quán)代表?yè)?dān)任，也可委托第三方

專(zhuān)業(yè)技術(shù)機(jī)構(gòu)實(shí)施。第三方機(jī)構(gòu)在評(píng)估中獲取的信息只能用于評(píng)估目的，未經(jīng)授權(quán)不應(yīng)泄露、出售或者

非法向他人提供。

主管監(jiān)管部門(mén)開(kāi)展檢查評(píng)估時(shí)，可根據(jù)評(píng)估范圍、涉及的行業(yè)特征、專(zhuān)業(yè)需求，選擇具備相關(guān)專(zhuān)業(yè)

能力的評(píng)估人員組成評(píng)估隊(duì)伍。評(píng)估隊(duì)伍應(yīng)提前完成風(fēng)險(xiǎn)評(píng)估文檔、檢測(cè)工具等各項(xiàng)準(zhǔn)備工作，并簽署

保密協(xié)議。評(píng)估隊(duì)伍在檢查評(píng)估中獲取的信息，只能用于檢查任務(wù)目的和實(shí)施數(shù)據(jù)安全保護(hù)。被評(píng)估方

應(yīng)建立專(zhuān)項(xiàng)工作團(tuán)隊(duì)，成員一般包括數(shù)據(jù)安全負(fù)責(zé)人和安全、法務(wù)、合規(guī)、運(yùn)維、研發(fā)、業(yè)務(wù)、數(shù)據(jù)、

風(fēng)險(xiǎn)等部門(mén)相關(guān)人員。專(zhuān)項(xiàng)工作團(tuán)隊(duì)?wèi)?yīng)按照要求做好人員、設(shè)備、技術(shù)保障等工作，配合開(kāi)展風(fēng)險(xiǎn)評(píng)估。

6.4開(kāi)展前期準(zhǔn)備

開(kāi)展數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估前期準(zhǔn)備時(shí)，應(yīng)根據(jù)評(píng)估目標(biāo)、評(píng)估范圍和調(diào)研情況，制定工作計(jì)劃、確定

評(píng)估依據(jù)、確定評(píng)估內(nèi)容、建立評(píng)估文檔：

a)制定工作計(jì)劃。評(píng)估工作計(jì)劃內(nèi)容一般包括工作目的、工作要求、工作內(nèi)容、工作流程、調(diào)研

安排、評(píng)估總體進(jìn)度安排等。開(kāi)展檢查評(píng)估時(shí)，主管監(jiān)管部門(mén)指導(dǎo)評(píng)估團(tuán)隊(duì)按照工作要求制定

評(píng)估工作計(jì)劃。

b)確定評(píng)估依據(jù)。針對(duì)評(píng)估目標(biāo)和范圍確定評(píng)估依據(jù)，常見(jiàn)評(píng)估依據(jù)包括但不限于：

1)《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》等法律，有關(guān)行政法規(guī)、司法解釋。

2)網(wǎng)信部門(mén)及主（監(jiān)）管部門(mén)相關(guān)數(shù)據(jù)安全規(guī)章、規(guī)范性文件。

3)地方數(shù)據(jù)安全政策規(guī)定和監(jiān)管要求。

4)數(shù)據(jù)安全相關(guān)國(guó)家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)等。

5)開(kāi)展自評(píng)估時(shí)，本單位數(shù)據(jù)安全制度規(guī)范可作為評(píng)估依據(jù)之一。

c)確定評(píng)估內(nèi)容。結(jié)合評(píng)估目標(biāo)、范圍、依據(jù)，針對(duì)被評(píng)估方的實(shí)際情況，確定被評(píng)估方每個(gè)評(píng)

估對(duì)象適用的評(píng)估內(nèi)容：

1)數(shù)據(jù)處理者應(yīng)針對(duì)數(shù)據(jù)處理活動(dòng)、數(shù)據(jù)安全管理、數(shù)據(jù)安全技術(shù)等方面進(jìn)行風(fēng)險(xiǎn)評(píng)估。

2)涉及處理個(gè)人信息的，應(yīng)在1）的基礎(chǔ)上，對(duì)個(gè)人信息保護(hù)開(kāi)展風(fēng)險(xiǎn)評(píng)估。

3)開(kāi)展評(píng)估工作過(guò)程中，可根據(jù)任務(wù)要求、評(píng)估重點(diǎn)、監(jiān)管需要、評(píng)估依據(jù)等，進(jìn)一步完善

評(píng)估內(nèi)容。

8

GB/TXXXXX—XXXX

d)建立評(píng)估文檔。針對(duì)評(píng)估目標(biāo)、范圍、依據(jù)和內(nèi)容，準(zhǔn)備風(fēng)險(xiǎn)評(píng)估調(diào)研表、技術(shù)測(cè)試工具等。

在評(píng)估工作開(kāi)展過(guò)程中，應(yīng)對(duì)評(píng)估工作相關(guān)文件進(jìn)行統(tǒng)一編號(hào)，并規(guī)范管理。

6.5制定評(píng)估方案

評(píng)估團(tuán)隊(duì)編制數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估工作方案并獲得評(píng)估管理方的支持、認(rèn)可，方案內(nèi)容包括但不限于：

a)評(píng)估概述：包括評(píng)估目標(biāo)、評(píng)估依據(jù)等內(nèi)容；

b)評(píng)估范圍：包括評(píng)估對(duì)象選擇方法、評(píng)估對(duì)象描述、評(píng)估范圍等；

c)評(píng)估內(nèi)容和方法：包括評(píng)估內(nèi)容、評(píng)估準(zhǔn)則、評(píng)估方法等內(nèi)容；

d)評(píng)估人員：包括評(píng)估團(tuán)隊(duì)的組織結(jié)構(gòu)、負(fù)責(zé)人、成員、職責(zé)分工等內(nèi)容；

e)實(shí)施計(jì)劃：包括時(shí)間進(jìn)度安排、人員安排等內(nèi)容；

f)工作要求：包括評(píng)估工作要求、被評(píng)估方保障條件等內(nèi)容，工作要求如嚴(yán)格依照評(píng)估內(nèi)容及標(biāo)

準(zhǔn)規(guī)范，規(guī)范評(píng)估行為，按照盡量不影響被評(píng)估方正常工作的原則，制定評(píng)估工作應(yīng)急保障和風(fēng)險(xiǎn)

規(guī)避措施，明確告知被評(píng)估方評(píng)估可能產(chǎn)生的風(fēng)險(xiǎn)，嚴(yán)守工作紀(jì)律和保密要求等；

g)測(cè)試方案：開(kāi)展技術(shù)測(cè)試前應(yīng)明確測(cè)試方案，包括采用的技術(shù)工具、測(cè)試內(nèi)容、測(cè)試環(huán)境、應(yīng)

急措施等，測(cè)試方應(yīng)向被測(cè)方明示測(cè)試可能涉及的安全風(fēng)險(xiǎn)，雙方就測(cè)試方案達(dá)成共識(shí)，檢查評(píng)估

時(shí)應(yīng)提前向有關(guān)部門(mén)報(bào)備；

評(píng)估團(tuán)隊(duì)可邀請(qǐng)行業(yè)領(lǐng)域相關(guān)數(shù)據(jù)安全、網(wǎng)絡(luò)安全專(zhuān)家對(duì)評(píng)估方案進(jìn)行評(píng)議，重點(diǎn)審核方案內(nèi)容、

風(fēng)險(xiǎn)管控、保護(hù)措施、可操作性、技術(shù)可行性等，進(jìn)一步修改完善評(píng)估方案后，組織實(shí)施風(fēng)險(xiǎn)評(píng)估工作。

7信息調(diào)研

7.1數(shù)據(jù)處理者調(diào)研

數(shù)據(jù)處理者的基本情況包括但不限于：

a)單位名稱(chēng)、組織機(jī)構(gòu)代碼、辦公地址、法定代表人信息、人員規(guī)模、經(jīng)營(yíng)范圍、數(shù)據(jù)安全負(fù)責(zé)

人及其職務(wù)、聯(lián)系方式等基本信息。

b)單位性質(zhì)，例如黨政機(jī)關(guān)、事業(yè)單位、企業(yè)、社會(huì)團(tuán)體等。

c)是否屬于特定類(lèi)型數(shù)據(jù)處理者，例如政務(wù)數(shù)據(jù)處理者、大型網(wǎng)絡(luò)平臺(tái)運(yùn)營(yíng)者、關(guān)鍵信息基礎(chǔ)設(shè)

施運(yùn)營(yíng)者等。

d)所屬行業(yè)領(lǐng)域。

e)業(yè)務(wù)運(yùn)營(yíng)地區(qū)，開(kāi)展數(shù)據(jù)處理活動(dòng)所在國(guó)家和地區(qū)等。

f)主要業(yè)務(wù)范圍、業(yè)務(wù)規(guī)模等。

g)數(shù)據(jù)處理相關(guān)服務(wù)取得行政許可的情況。

h)被評(píng)估單位的資本組成和實(shí)際控制人情況。

i)是否境外上市或計(jì)劃赴境外上市及境外資本參與情況，或以協(xié)議控制（VIE）架構(gòu)等方式實(shí)質(zhì)

性境外上市。

7.2業(yè)務(wù)和信息系統(tǒng)調(diào)研

業(yè)務(wù)和信息系統(tǒng)情況包括但不限于：

a)網(wǎng)絡(luò)和信息系統(tǒng)基本情況，包括網(wǎng)絡(luò)規(guī)模、拓?fù)浣Y(jié)構(gòu)、信息系統(tǒng)等情況和對(duì)外連接、運(yùn)營(yíng)維護(hù)

等情況以及是否為關(guān)鍵信息基礎(chǔ)設(shè)施等情況。

b)業(yè)務(wù)基本信息，包括業(yè)務(wù)描述、業(yè)務(wù)類(lèi)型、服務(wù)對(duì)象、業(yè)務(wù)流程、用戶規(guī)模、覆蓋地域、相關(guān)

部門(mén)等基本信息。

9

GB/TXXXXX—XXXX

c)業(yè)務(wù)涉及個(gè)人信息、重要數(shù)據(jù)或核心數(shù)據(jù)處理情況。

d)業(yè)務(wù)為政務(wù)部門(mén)或境外用戶提供服務(wù)情況。

e)信息系統(tǒng)、App和小程序情況，包括系統(tǒng)功能、網(wǎng)絡(luò)安全等級(jí)保護(hù)備案和測(cè)評(píng)結(jié)論、入口地址、

系統(tǒng)連接關(guān)系、數(shù)據(jù)接口、App及小程序名稱(chēng)和版本等。

f)數(shù)據(jù)中心和使用云平臺(tái)情況。

g)接入的外部第三方產(chǎn)品、服務(wù)或SDK的情況，包括名稱(chēng)、版本、提供方、使用目的、合同協(xié)

議等。

7.3數(shù)據(jù)資產(chǎn)調(diào)研

梳理結(jié)構(gòu)化數(shù)據(jù)資產(chǎn)（如數(shù)據(jù)庫(kù)表等）和非結(jié)構(gòu)化數(shù)據(jù)資產(chǎn)（如圖表文件等），摸清數(shù)據(jù)底數(shù)，輸

出數(shù)據(jù)資產(chǎn)清單。涉及范圍包括但不限于生產(chǎn)環(huán)境、測(cè)試環(huán)境、備份存儲(chǔ)環(huán)境、云存儲(chǔ)環(huán)境、個(gè)人工作

終端、數(shù)據(jù)采集設(shè)備終端等收集和產(chǎn)生的數(shù)據(jù)。調(diào)研內(nèi)容包括但不限于：

a)數(shù)據(jù)資產(chǎn)情況，包括數(shù)據(jù)資產(chǎn)類(lèi)型、數(shù)據(jù)范圍、數(shù)據(jù)規(guī)模、數(shù)據(jù)形態(tài)、數(shù)據(jù)存儲(chǔ)分布、元數(shù)據(jù)

等。

b)數(shù)據(jù)分類(lèi)分級(jí)情況，包括數(shù)據(jù)分類(lèi)分級(jí)規(guī)則、數(shù)據(jù)類(lèi)別、數(shù)據(jù)級(jí)別、重要數(shù)據(jù)和核心數(shù)據(jù)目錄

情況等。

c)個(gè)人信息情況，包括個(gè)人信息種類(lèi)、規(guī)模、敏感程度、數(shù)據(jù)來(lái)源、業(yè)務(wù)流轉(zhuǎn)及與信息系統(tǒng)的對(duì)

應(yīng)關(guān)系等。

d)重要數(shù)據(jù)情況，包括重要數(shù)據(jù)種類(lèi)、規(guī)模、行業(yè)領(lǐng)域、敏感程度、數(shù)據(jù)來(lái)源、業(yè)務(wù)流轉(zhuǎn)及與信

息系統(tǒng)的對(duì)應(yīng)關(guān)系等。

e)核心數(shù)據(jù)情況，包括核心數(shù)據(jù)種類(lèi)、規(guī)模、行業(yè)領(lǐng)域、敏感程度、數(shù)據(jù)來(lái)源、業(yè)務(wù)流轉(zhuǎn)及與信

息系統(tǒng)的對(duì)應(yīng)關(guān)系等。

f)其他一般數(shù)據(jù)情況。

7.4數(shù)據(jù)處理活動(dòng)調(diào)研

針對(duì)評(píng)估對(duì)象和范圍，梳理數(shù)據(jù)處理活動(dòng)清單，驗(yàn)證或繪制數(shù)據(jù)流圖。數(shù)據(jù)流圖應(yīng)描述數(shù)據(jù)流轉(zhuǎn)各

環(huán)節(jié)經(jīng)過(guò)的相關(guān)方、信息系統(tǒng)，以及每個(gè)流動(dòng)環(huán)節(jié)涉及的數(shù)據(jù)類(lèi)型等。調(diào)研內(nèi)容包括但不限于：

a)數(shù)據(jù)收集情況，如數(shù)據(jù)收集渠道、收集方式、數(shù)據(jù)范圍、收集目的、收集頻率、外部數(shù)據(jù)源、

合同協(xié)議、相關(guān)系統(tǒng)，以及在被評(píng)估方外部公共場(chǎng)所安裝圖像采集、個(gè)人身份識(shí)別設(shè)備的情況

等。

b)數(shù)據(jù)存儲(chǔ)情況，如數(shù)據(jù)存儲(chǔ)方式、數(shù)據(jù)中心、存儲(chǔ)系統(tǒng)（如數(shù)據(jù)庫(kù)、大數(shù)據(jù)平臺(tái)、云存儲(chǔ)、網(wǎng)

盤(pán)、存儲(chǔ)介質(zhì)等）、外部存儲(chǔ)機(jī)構(gòu)、存儲(chǔ)地點(diǎn)、存儲(chǔ)期限、備份冗余策略等。

c)數(shù)據(jù)傳輸情況，如數(shù)據(jù)傳輸途徑和方式（如互聯(lián)網(wǎng)、VPN、物理專(zhuān)線等在線通道情況，采用介

質(zhì)等離線傳輸情況）、傳輸協(xié)議、內(nèi)部數(shù)據(jù)共享、數(shù)據(jù)接口等。

d)數(shù)據(jù)使用和加工情況，如數(shù)據(jù)使用目的、方式、范圍、場(chǎng)景、算法規(guī)則、相關(guān)系統(tǒng)和部門(mén)，數(shù)

據(jù)清洗、轉(zhuǎn)換、標(biāo)注等加工情況，應(yīng)用算法推薦技術(shù)提供互聯(lián)網(wǎng)信息服務(wù)的情況，核心數(shù)據(jù)、

重要數(shù)據(jù)或個(gè)人信息委托處理、共同處理的情況等。

e)數(shù)據(jù)提供情況，如數(shù)據(jù)提供（數(shù)據(jù)共享、數(shù)據(jù)交易，因合并、分立、解散、被宣告破產(chǎn)等原因

需要轉(zhuǎn)移數(shù)據(jù)等）的目的、方式、范圍、數(shù)據(jù)接收方、合同協(xié)議，對(duì)外提供的個(gè)人信息和重要

數(shù)據(jù)的種類(lèi)、數(shù)量、范圍、敏感程度、保存期限等。

f)數(shù)據(jù)公開(kāi)情況，如數(shù)據(jù)公開(kāi)的目的、方式、對(duì)象范圍、受眾數(shù)量、行業(yè)、組織、地域等。

g)數(shù)據(jù)刪除情況，如數(shù)據(jù)刪除情形、刪除方式、數(shù)據(jù)歸檔、介質(zhì)銷(xiāo)毀等。

h)數(shù)據(jù)出境情況，是否存在個(gè)人信息或重要數(shù)據(jù)出境，如跨境業(yè)務(wù)、跨境辦公、境外上市、使用

10

GB/TXXXXX—XXXX

境外云服務(wù)或數(shù)據(jù)中心、國(guó)際交流合作等場(chǎng)景的數(shù)據(jù)出境情況。

7.5安全防護(hù)措施識(shí)別

調(diào)研已有安全措施情況，包括但不限于：

a)已開(kāi)展的等級(jí)保護(hù)測(cè)評(píng)、商用密碼應(yīng)用安全性評(píng)估、安全檢測(cè)、風(fēng)險(xiǎn)評(píng)估、安全認(rèn)證、合規(guī)審

計(jì)情況，及發(fā)現(xiàn)問(wèn)題的整改情況。

b)數(shù)據(jù)安全管理組織、人員及制度情況。

c)防火墻、入侵檢測(cè)、入侵防御等網(wǎng)絡(luò)安全設(shè)備及策略情況。

d)身份鑒別與訪問(wèn)控制情況。

e)網(wǎng)絡(luò)安全漏洞管理及修復(fù)情況。

f)VPN等遠(yuǎn)程管理軟件的用戶及管理情況。

g)設(shè)備、系統(tǒng)及用戶的賬號(hào)口令管理情況。

h)加密、脫敏、去標(biāo)識(shí)化等安全技術(shù)應(yīng)用情況。

i)3年內(nèi)發(fā)生的網(wǎng)絡(luò)和數(shù)據(jù)安全事件、攻擊威脅情況。

1)事件名稱(chēng)、數(shù)據(jù)類(lèi)型和數(shù)量、發(fā)生原因、級(jí)別、處置措施、整改措施等，重大事件需提供

事件調(diào)查評(píng)估報(bào)告。

2)近3年發(fā)生的數(shù)據(jù)安全事件處置、記錄、整改和上報(bào)情況。

3)實(shí)際環(huán)境中通過(guò)檢測(cè)工具、監(jiān)測(cè)系統(tǒng)、日志審計(jì)等發(fā)現(xiàn)的威脅。

4)近期公開(kāi)發(fā)布的社會(huì)或特定行業(yè)威脅事件、威脅預(yù)警。

5)其他可能面臨的數(shù)據(jù)泄露、竊取、篡改、破壞/損毀、丟失、濫用、非法獲取、非法利用、

非法提供等安全威脅。

8風(fēng)險(xiǎn)識(shí)別

8.1通則

針對(duì)數(shù)據(jù)安全風(fēng)險(xiǎn)源和不合理處理數(shù)據(jù)風(fēng)險(xiǎn)源，通過(guò)對(duì)數(shù)據(jù)安全管理、數(shù)據(jù)處理活動(dòng)、數(shù)據(jù)安全技

術(shù)、個(gè)人信息保護(hù)等方面進(jìn)行評(píng)估，發(fā)現(xiàn)可能存在的數(shù)據(jù)安全問(wèn)題和風(fēng)險(xiǎn)隱患。具體實(shí)施時(shí)可按照以下

步驟開(kāi)展：

a）如果被評(píng)估方已開(kāi)展過(guò)相關(guān)的測(cè)評(píng)工作，應(yīng)先對(duì)已開(kāi)展的測(cè)評(píng)工作結(jié)論進(jìn)行分析。

b）針對(duì)被評(píng)估對(duì)象的特點(diǎn)，選擇適用的評(píng)估內(nèi)容進(jìn)行評(píng)估，評(píng)估內(nèi)容選擇方法如下：

1)數(shù)據(jù)處理者均應(yīng)識(shí)別數(shù)據(jù)處理活動(dòng)（見(jiàn)8.3）、數(shù)據(jù)安全管理（見(jiàn)8.4）、數(shù)據(jù)安全技術(shù)（見(jiàn)

8.5）等風(fēng)險(xiǎn)情況。

2)個(gè)人信息處理者還應(yīng)在1）的基礎(chǔ)上，識(shí)別個(gè)人信息保護(hù)風(fēng)險(xiǎn)情況（見(jiàn)8.6）。

c）被評(píng)估對(duì)象涉及數(shù)據(jù)出境的，應(yīng)按照國(guó)家相關(guān)法規(guī)、國(guó)家標(biāo)準(zhǔn)要求進(jìn)行數(shù)據(jù)出境相關(guān)評(píng)估、認(rèn)

證、備案等工作，若存在未按要求開(kāi)展相關(guān)工作的，直接判定存在安全風(fēng)險(xiǎn)，并結(jié)合第9章進(jìn)

行風(fēng)險(xiǎn)分析與評(píng)價(jià)。

d）梳理各評(píng)估項(xiàng)的評(píng)估結(jié)果和發(fā)現(xiàn)的風(fēng)險(xiǎn)源，輸出數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估記錄。

8.2已開(kāi)展測(cè)評(píng)工作結(jié)論分析

針對(duì)各個(gè)評(píng)估對(duì)象，從數(shù)據(jù)安全管理、數(shù)據(jù)處理活動(dòng)、數(shù)據(jù)安全技術(shù)、個(gè)人信息保護(hù)等方面，通過(guò)

多種評(píng)估手段識(shí)別可能存在的數(shù)據(jù)安全風(fēng)險(xiǎn)隱患。

11

GB/TXXXXX—XXXX

被評(píng)估方應(yīng)當(dāng)按照國(guó)家法律法規(guī)、強(qiáng)制性國(guó)家標(biāo)準(zhǔn)等文件要求，通過(guò)有關(guān)檢測(cè)評(píng)估。在開(kāi)展風(fēng)險(xiǎn)評(píng)

估時(shí)，應(yīng)記錄被評(píng)估方應(yīng)開(kāi)展的檢測(cè)評(píng)估工作及實(shí)際開(kāi)展情況，主要包括：

a)數(shù)據(jù)處理活動(dòng)涉及應(yīng)開(kāi)展檢測(cè)評(píng)估工作名稱(chēng)、要求來(lái)源等基本情況。

b)已開(kāi)展檢測(cè)評(píng)估工作有效性（指是否由有資質(zhì)機(jī)構(gòu)，按照正常程序開(kāi)展）。

c)檢測(cè)評(píng)估內(nèi)容和結(jié)果，及檢測(cè)評(píng)估工作開(kāi)展情況。

已開(kāi)展檢測(cè)評(píng)估工作情況應(yīng)由被評(píng)估方提供證明材料，評(píng)估人員可在分析評(píng)估結(jié)果真實(shí)性、有效性

的基礎(chǔ)上視情采納。

若評(píng)估對(duì)象未實(shí)施或通過(guò)國(guó)家法律法規(guī)、強(qiáng)制性國(guó)家標(biāo)準(zhǔn)等文件要求的檢測(cè)評(píng)估工作，如網(wǎng)絡(luò)安全

等級(jí)保護(hù)測(cè)評(píng)、云計(jì)算服務(wù)安全評(píng)估、互聯(lián)網(wǎng)信息服務(wù)算法推薦安全評(píng)估、數(shù)據(jù)出境安全評(píng)估等，則判

定存在未按要求開(kāi)展檢測(cè)評(píng)估工作的安全風(fēng)險(xiǎn)。

8.3數(shù)據(jù)安全管理

應(yīng)從數(shù)據(jù)安全管理制度、安全組織機(jī)構(gòu)、分類(lèi)分級(jí)管理、合作外包管理、安全威脅和應(yīng)急管理、開(kāi)

發(fā)運(yùn)維管理、云數(shù)據(jù)安全等方面識(shí)別數(shù)據(jù)安全管理風(fēng)險(xiǎn)。

注：應(yīng)依據(jù)TC260-PG-20231A《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估實(shí)施指引》6.1進(jìn)行數(shù)據(jù)安全管

理風(fēng)險(xiǎn)識(shí)別。

8.4數(shù)據(jù)處理活動(dòng)安全

應(yīng)從以下方面識(shí)別數(shù)據(jù)處理活動(dòng)安全風(fēng)險(xiǎn)：

a)數(shù)據(jù)收集安全風(fēng)險(xiǎn)識(shí)別：主要從數(shù)據(jù)收集合法正當(dāng)性、通過(guò)第三方收集數(shù)據(jù)安全、數(shù)據(jù)質(zhì)量控

制、數(shù)據(jù)收集方式、數(shù)據(jù)收集設(shè)備及環(huán)境安全等方面進(jìn)行風(fēng)險(xiǎn)識(shí)別。

注1：應(yīng)依據(jù)TC260-PG-20231A《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估實(shí)施指引》6.2.1進(jìn)行數(shù)據(jù)收

集安全風(fēng)險(xiǎn)識(shí)別。

b)數(shù)據(jù)存儲(chǔ)安全風(fēng)險(xiǎn)識(shí)別：主要從數(shù)據(jù)存儲(chǔ)適當(dāng)性、邏輯存儲(chǔ)安全、存儲(chǔ)介質(zhì)安全等方面進(jìn)行風(fēng)

險(xiǎn)識(shí)別。

注2：應(yīng)依據(jù)TC260-PG-20231A《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估實(shí)施指引》6.2.2進(jìn)行數(shù)據(jù)存

儲(chǔ)安全風(fēng)險(xiǎn)識(shí)別。

c)數(shù)據(jù)傳輸安全風(fēng)險(xiǎn)識(shí)別：主要從傳輸鏈路安全性、傳輸鏈路可靠性等方面進(jìn)行風(fēng)險(xiǎn)識(shí)別。

注3：應(yīng)依據(jù)TC260-PG-20231A《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估實(shí)施指引》6.2.3進(jìn)行數(shù)據(jù)傳

輸安全風(fēng)險(xiǎn)識(shí)別。

d)數(shù)據(jù)使用和加工安全風(fēng)險(xiǎn)識(shí)別：主要從數(shù)據(jù)使用和加工合法性、數(shù)據(jù)正當(dāng)使用、數(shù)據(jù)導(dǎo)入導(dǎo)出、

數(shù)據(jù)處理環(huán)境、數(shù)據(jù)使用和加工安全措施等方面進(jìn)行風(fēng)險(xiǎn)識(shí)別。

注4：應(yīng)依據(jù)TC260-PG-20231A《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估實(shí)施指引》6.2.4進(jìn)行數(shù)據(jù)使

用和加工安全風(fēng)險(xiǎn)識(shí)別。

e)數(shù)據(jù)提供安全風(fēng)險(xiǎn)識(shí)別：主要從數(shù)據(jù)提供合法正當(dāng)必要性、數(shù)據(jù)提供管理、數(shù)據(jù)提供技術(shù)措施、

數(shù)據(jù)接收方、數(shù)據(jù)轉(zhuǎn)移安全、數(shù)據(jù)出境安全等方面進(jìn)行風(fēng)險(xiǎn)識(shí)別。

注5：應(yīng)依據(jù)TC260-PG-20231A《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估實(shí)施指引》6.2.5進(jìn)行數(shù)據(jù)提

供安全風(fēng)險(xiǎn)識(shí)別。

f)數(shù)據(jù)公開(kāi)安全風(fēng)險(xiǎn)識(shí)別：主要從數(shù)據(jù)公開(kāi)適當(dāng)性、數(shù)據(jù)公開(kāi)管理等方面進(jìn)行風(fēng)險(xiǎn)識(shí)別。

注6：應(yīng)依據(jù)TC260-PG-20231A《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估實(shí)施指引》6.2.6進(jìn)行數(shù)據(jù)公

開(kāi)安全風(fēng)險(xiǎn)識(shí)別。

g)數(shù)據(jù)刪除安全風(fēng)險(xiǎn)識(shí)別：主要從數(shù)據(jù)刪除管理、存儲(chǔ)介質(zhì)銷(xiāo)毀等方面進(jìn)行風(fēng)險(xiǎn)識(shí)別。

12

GB/TXXXXX—XXXX

注7：應(yīng)依據(jù)TC260-PG-20231A《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估實(shí)施指引》6.2.7進(jìn)行數(shù)據(jù)刪

除安全風(fēng)險(xiǎn)識(shí)別。

h)其他數(shù)據(jù)處理活動(dòng)安全風(fēng)險(xiǎn)識(shí)別：主要針對(duì)即時(shí)通信、快遞物流、網(wǎng)上購(gòu)物、網(wǎng)絡(luò)支付、網(wǎng)絡(luò)

音視頻、汽車(chē)、網(wǎng)絡(luò)預(yù)約汽車(chē)服務(wù)等數(shù)據(jù)處理活動(dòng)進(jìn)行風(fēng)險(xiǎn)識(shí)別。

注8：應(yīng)依據(jù)TC260-PG-20231A《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估實(shí)施指引》6.2.8進(jìn)行數(shù)據(jù)安

全風(fēng)險(xiǎn)識(shí)別。

8.5數(shù)據(jù)安全技術(shù)

應(yīng)從網(wǎng)絡(luò)安全防護(hù)、身份鑒別與訪問(wèn)控制、檢測(cè)預(yù)警、數(shù)據(jù)脫敏、數(shù)據(jù)防泄漏、數(shù)據(jù)接口安全、數(shù)

據(jù)備份與恢復(fù)、安全審計(jì)等方面識(shí)別數(shù)據(jù)安全技術(shù)風(fēng)險(xiǎn)。

注：應(yīng)依據(jù)TC260-PG-20231A《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估實(shí)施指引》6.3進(jìn)行數(shù)據(jù)安全技

術(shù)風(fēng)險(xiǎn)識(shí)別。

8.6個(gè)人信息保護(hù)

如被評(píng)估范圍涉及個(gè)人信息處理，還應(yīng)從個(gè)人信息處理基本原則、個(gè)人信息告知同意、個(gè)人信息處

理、敏感個(gè)人信息處理、個(gè)人信息主體權(quán)利、個(gè)人信息安全義務(wù)、個(gè)人信息投訴舉報(bào)、大型網(wǎng)絡(luò)平臺(tái)個(gè)

人信息保護(hù)等方面識(shí)別個(gè)人信息保護(hù)風(fēng)險(xiǎn)?？梢暻椴杉{（部分）個(gè)人信息保護(hù)影響評(píng)估工作結(jié)論，也可

依據(jù)GB/T39335識(shí)別個(gè)人信息保護(hù)風(fēng)險(xiǎn)。

注：應(yīng)依據(jù)TC260-PG-20231A《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估實(shí)施指引》6.4進(jìn)行個(gè)人信息保

護(hù)風(fēng)險(xiǎn)識(shí)別。

9風(fēng)險(xiǎn)分析與評(píng)價(jià)

9.1通則

在風(fēng)險(xiǎn)識(shí)別基礎(chǔ)上，應(yīng)按照9.2.1梳理得出數(shù)據(jù)安全風(fēng)險(xiǎn)源清單，分析可能存在的數(shù)據(jù)安全風(fēng)險(xiǎn)（常

見(jiàn)風(fēng)險(xiǎn)可參考附錄A），應(yīng)按照9.2和9.3進(jìn)行風(fēng)險(xiǎn)分析和評(píng)價(jià)。其中，所有評(píng)估過(guò)程均應(yīng)按照9.2.1、

9.2.2梳理風(fēng)險(xiǎn)源清單、對(duì)風(fēng)險(xiǎn)歸類(lèi)，可結(jié)合實(shí)際需要，視情開(kāi)展風(fēng)險(xiǎn)發(fā)生后的影響分析、風(fēng)險(xiǎn)發(fā)生可

能性分析、風(fēng)險(xiǎn)評(píng)價(jià)。

結(jié)合數(shù)據(jù)資產(chǎn)和數(shù)據(jù)處理活動(dòng)清單，針對(duì)每個(gè)評(píng)估對(duì)象的各個(gè)評(píng)估項(xiàng)評(píng)估情況，梳理存在的風(fēng)險(xiǎn)隱

患，形成數(shù)據(jù)安全風(fēng)險(xiǎn)源清單。

注：應(yīng)依據(jù)TC260-PG-20231A《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估實(shí)施指引》7.1梳理數(shù)據(jù)安全問(wèn)

題清單，其所稱(chēng)問(wèn)題清單與本文件所稱(chēng)風(fēng)險(xiǎn)源清單一致。

9.2數(shù)據(jù)安全風(fēng)險(xiǎn)分析

9.2.1風(fēng)險(xiǎn)分析

數(shù)據(jù)安全風(fēng)險(xiǎn)分析，主要從影響數(shù)據(jù)保密性、完整性、可用性和數(shù)據(jù)處理合理性角度分析各項(xiàng)風(fēng)險(xiǎn)

源可能引發(fā)的數(shù)據(jù)安全風(fēng)險(xiǎn)，及風(fēng)險(xiǎn)危害程度和發(fā)生的可能性。

如多項(xiàng)數(shù)據(jù)安全問(wèn)題可能造成同樣數(shù)據(jù)安全風(fēng)險(xiǎn)，可以將其與其他問(wèn)題合并進(jìn)行風(fēng)險(xiǎn)分析。

9.2.2風(fēng)險(xiǎn)歸類(lèi)

根據(jù)9.1形成的數(shù)據(jù)安全風(fēng)險(xiǎn)源清單，分析數(shù)據(jù)安全風(fēng)險(xiǎn)源可能引發(fā)的安全風(fēng)險(xiǎn)，按照風(fēng)險(xiǎn)類(lèi)型對(duì)

風(fēng)險(xiǎn)源歸類(lèi)，典型數(shù)據(jù)安全風(fēng)險(xiǎn)類(lèi)別見(jiàn)附錄A。

13

GB/TXXXXX—XXXX

9.2.3風(fēng)險(xiǎn)危害程度分析

風(fēng)險(xiǎn)危害程度分析，主要分析數(shù)據(jù)的價(jià)值、重要性、規(guī)模、種類(lèi)，以及數(shù)據(jù)處理目的、方式、范圍

等要素，綜合評(píng)估數(shù)據(jù)安全風(fēng)險(xiǎn)一旦發(fā)生，對(duì)國(guó)家安全、經(jīng)濟(jì)運(yùn)行、社會(huì)秩序、公共利益或者個(gè)人、組

織合法權(quán)益造成的危害程度。風(fēng)險(xiǎn)危害程度從低到高可分為很低、低、中、高、很高5個(gè)級(jí)別。風(fēng)險(xiǎn)危

害程度分析遵循就高從嚴(yán)、整體分析原則，如果該風(fēng)險(xiǎn)涉及多個(gè)數(shù)據(jù)資產(chǎn)，應(yīng)進(jìn)行累加判斷，將涉及數(shù)

據(jù)的風(fēng)險(xiǎn)按照最高危害等級(jí)判斷。風(fēng)險(xiǎn)危害程度評(píng)價(jià)，主要考慮數(shù)據(jù)價(jià)值、數(shù)據(jù)重要性、風(fēng)險(xiǎn)源嚴(yán)重程

度三個(gè)因素，分析方法如下：

a)數(shù)據(jù)價(jià)值主要從數(shù)據(jù)資產(chǎn)的經(jīng)濟(jì)效益、業(yè)務(wù)效益、投入成本計(jì)量等方面分析。

b)數(shù)據(jù)重要性主要從數(shù)據(jù)分級(jí)角度衡量，數(shù)據(jù)級(jí)別越高代表數(shù)據(jù)重要性越高，數(shù)據(jù)安全級(jí)別可參

考《信息安全技術(shù)數(shù)據(jù)分類(lèi)分級(jí)規(guī)則》確定。個(gè)人信息規(guī)模和數(shù)據(jù)敏感程度可以作為數(shù)據(jù)重

要性判斷的衡量因素。

c)風(fēng)險(xiǎn)源嚴(yán)重程度，主要考慮風(fēng)險(xiǎn)源對(duì)數(shù)據(jù)處理者帶來(lái)的危害程度。

數(shù)據(jù)安全風(fēng)險(xiǎn)危害程度的判斷標(biāo)準(zhǔn)如表1所示。

表1數(shù)據(jù)安全風(fēng)險(xiǎn)危害程度等級(jí)參考

影響對(duì)象危害程度參考說(shuō)明

很高直接危害國(guó)家安全重點(diǎn)領(lǐng)域，如政治安全。

關(guān)系國(guó)家安全重點(diǎn)領(lǐng)域，或者對(duì)國(guó)土、軍事、經(jīng)濟(jì)、文化、社會(huì)、科技、電磁空間、網(wǎng)

高絡(luò)、生態(tài)、資源、核、海外利益、太空、極地、深海、生物、人工智能等任一領(lǐng)域國(guó)家

國(guó)家安全

安全造成嚴(yán)重威脅。

對(duì)國(guó)土、軍事、經(jīng)濟(jì)、文化、社會(huì)、科技、電磁空間、網(wǎng)絡(luò)、生態(tài)、資源、核、海外利

中

益、太空、極地、深海、生物、人工智能等任一領(lǐng)域國(guó)家安全造成威脅。

1.直接影響涉及國(guó)家安全的行業(yè)、支柱產(chǎn)業(yè)和高新技術(shù)產(chǎn)業(yè)中的重要骨干企業(yè)、提供重

要公共產(chǎn)品的行業(yè)、重大基礎(chǔ)設(shè)施和重要礦產(chǎn)資源行業(yè)等關(guān)系國(guó)民經(jīng)濟(jì)命脈行業(yè)的運(yùn)行

和發(fā)展。

2.關(guān)系國(guó)民經(jīng)濟(jì)命脈，嚴(yán)重危害對(duì)社會(huì)經(jīng)濟(jì)發(fā)展具有重大影響的行業(yè)領(lǐng)域、部門(mén)、企業(yè)、

很高資源、區(qū)域等的生產(chǎn)運(yùn)營(yíng)和經(jīng)濟(jì)利益。

3.對(duì)一個(gè)或多個(gè)行業(yè)領(lǐng)域的發(fā)展態(tài)勢(shì)、業(yè)務(wù)經(jīng)營(yíng)、技術(shù)進(jìn)步、產(chǎn)業(yè)生態(tài)造成特別嚴(yán)重危

害，如對(duì)核心業(yè)務(wù)造成重大損害，導(dǎo)致大面積業(yè)務(wù)中斷、大量業(yè)務(wù)處理能力喪失等。

4.對(duì)一個(gè)或多個(gè)?。ㄗ灾螀^(qū)、直轄市）的經(jīng)濟(jì)運(yùn)行造成特別嚴(yán)重影響，例如導(dǎo)致大范圍

停工停產(chǎn)、大規(guī)?；A(chǔ)設(shè)施長(zhǎng)時(shí)間中斷運(yùn)行等。

經(jīng)濟(jì)運(yùn)行1.直接影響宏觀經(jīng)濟(jì)運(yùn)行狀況和發(fā)展趨勢(shì)，如社會(huì)總供給和總需求、國(guó)民經(jīng)濟(jì)總值和增

長(zhǎng)速度、國(guó)民經(jīng)濟(jì)主要比例關(guān)系、物價(jià)總水平、勞動(dòng)就業(yè)總水平與失業(yè)率、貨幣發(fā)行總

規(guī)模與增長(zhǎng)速度、進(jìn)出口貿(mào)易總規(guī)模與變動(dòng)等。

高

2.直接影響一個(gè)或多個(gè)地級(jí)市、行業(yè)內(nèi)多個(gè)企業(yè)或大規(guī)模用戶，對(duì)行業(yè)發(fā)展態(tài)勢(shì)、技術(shù)

進(jìn)步和產(chǎn)業(yè)生態(tài)等造成嚴(yán)重影響，或者直接影響行業(yè)領(lǐng)域核心競(jìng)爭(zhēng)力、核心業(yè)務(wù)運(yùn)行、

關(guān)鍵產(chǎn)業(yè)鏈、核心供應(yīng)鏈等。

1.對(duì)單個(gè)行業(yè)領(lǐng)域發(fā)展、業(yè)務(wù)經(jīng)營(yíng)、技術(shù)進(jìn)步、產(chǎn)業(yè)生態(tài)等造成一般危害，如受影響的

用戶和企業(yè)數(shù)量較小、生產(chǎn)生活區(qū)域范圍較小、持續(xù)時(shí)間較短、社會(huì)負(fù)面影響較小。

中

2.對(duì)單個(gè)行業(yè)領(lǐng)域的經(jīng)濟(jì)運(yùn)行秩序造成一般危害，如市場(chǎng)準(zhǔn)入、市場(chǎng)行為、市場(chǎng)結(jié)構(gòu)、

商品銷(xiāo)售、交換關(guān)系、生產(chǎn)經(jīng)營(yíng)秩序等。

社會(huì)秩序很高1.關(guān)系重要民生，直接影響人民群眾重要民生保障的事項(xiàng)、物資、工程或項(xiàng)目等。

14

GB/TXXXXX—XXXX

影響對(duì)象危害程度參考說(shuō)明

2.直接導(dǎo)致特別重大突發(fā)事件、特別重大群體性事件、暴力恐怖活動(dòng)等，引起一個(gè)或多

個(gè)省（自治區(qū)、直轄市）大部分地區(qū)的社會(huì)恐慌，嚴(yán)重影響社會(huì)正常運(yùn)行。

1.直接導(dǎo)致重大突發(fā)事件、重大群體性事件等，影響一個(gè)或多個(gè)地市大部分地區(qū)的社會(huì)

穩(wěn)定。

高2.嚴(yán)重影響人民群眾的日常生活秩序。

3.嚴(yán)重影響各級(jí)政務(wù)部門(mén)履行公共管理和服務(wù)職能。

4.嚴(yán)重影響法治和社會(huì)倫理道德規(guī)范。

1.對(duì)人民群眾的日常生活秩序造成一般影響。

2.直接影響企事業(yè)單位、社會(huì)團(tuán)體的生產(chǎn)秩序、經(jīng)營(yíng)秩序、教學(xué)科研秩序、醫(yī)療衛(wèi)生秩

中

序。

3.直接影響公共場(chǎng)所的活動(dòng)秩序、公共交通秩序。

1.關(guān)系重大公共利益，導(dǎo)致一個(gè)或多個(gè)?。ㄗ灾螀^(qū)、直轄市）大部分地區(qū)的社會(huì)公共資

源供應(yīng)長(zhǎng)期、大面積癱瘓，大范圍社會(huì)成員（如1000萬(wàn)人以上）無(wú)法使用公共設(shè)施、獲

取公開(kāi)數(shù)據(jù)資源、接受公共服務(wù)。

很高2.可能導(dǎo)致特別重大網(wǎng)絡(luò)安全和數(shù)據(jù)安全事件，或者導(dǎo)致特別重大事故級(jí)別的安全生產(chǎn)

事故，對(duì)公共利益造成特別嚴(yán)重影響，社會(huì)負(fù)面影響大。

3.可能導(dǎo)致特別重大突發(fā)公共衛(wèi)生事件（Ⅰ級(jí)），造成社會(huì)公眾健康特別嚴(yán)重?fù)p害的重

大傳染病疫情、群體性不明原因疾病、重大食物和職業(yè)中毒等嚴(yán)重影響公眾健康的事件。

公共利益

1.直接危害公共健康和安全，如嚴(yán)重影響疫情防控、傳染病的預(yù)防監(jiān)控和治療等。

2.可能導(dǎo)致重大突發(fā)公共衛(wèi)生事件（Ⅱ級(jí)），造成社會(huì)公眾健康嚴(yán)重?fù)p害的重大傳染病

高疫情、群體性不明原因疾病、重大食物和職業(yè)中毒等嚴(yán)重影響公眾健康的事件。

3.導(dǎo)致一個(gè)或多個(gè)地市大部分地區(qū)的社會(huì)公共資源供應(yīng)較長(zhǎng)期中斷，較大范圍社會(huì)成員

（如100萬(wàn)人以上）無(wú)法使用公共設(shè)施、獲取公開(kāi)數(shù)據(jù)資源、接受公共服務(wù)。

對(duì)公共利益產(chǎn)生一般危害，影響小范圍社會(huì)成員使用公共設(shè)施、獲取公開(kāi)數(shù)據(jù)資源、接

中

受公共服務(wù)等。

可能導(dǎo)致組織遭到監(jiān)管部門(mén)嚴(yán)重處罰（包括取消經(jīng)營(yíng)資格、長(zhǎng)期暫停相關(guān)業(yè)務(wù)等），或

中者影響重要/關(guān)鍵業(yè)務(wù)無(wú)法正常開(kāi)展的情況，造成重大經(jīng)濟(jì)或技術(shù)損失，嚴(yán)重破壞機(jī)構(gòu)

聲譽(yù)，企業(yè)面臨破產(chǎn)。

組織權(quán)益可能導(dǎo)致組織遭到監(jiān)管部門(mén)處罰（包括一段時(shí)間內(nèi)暫停經(jīng)營(yíng)資格或業(yè)務(wù)等），或者影響

低

部分業(yè)務(wù)無(wú)法正常開(kāi)展的情況，造成較大經(jīng)濟(jì)或技術(shù)損失，破壞機(jī)構(gòu)聲譽(yù)。

可能導(dǎo)致個(gè)別訴訟事件，或在某一時(shí)間造成部分業(yè)務(wù)中斷，使組織的經(jīng)濟(jì)利益、聲譽(yù)、

很低

技術(shù)等輕微受損。

個(gè)人信息主體可能會(huì)遭受重大的、不可消除的、可能無(wú)法克服的影響，容易導(dǎo)致自然人

中的人格尊嚴(yán)受到侵害或者人身、財(cái)產(chǎn)安全受到危害。如遭受無(wú)法承擔(dān)的債務(wù)、失去工作

能力、導(dǎo)致長(zhǎng)期的心理或生理疾病、導(dǎo)致死亡等。

個(gè)人信息主體可能遭受較大影響，個(gè)人信息主體克服難度高，消除影響代價(jià)較大。如遭

個(gè)人權(quán)益

低受詐騙、資金被盜用、被銀行列入黑名單、信用評(píng)分受損、名譽(yù)受損、造成歧視、被解

雇、被法院傳喚、健康狀況惡化等。

個(gè)人信息主體可能會(huì)遭受困擾，但尚可以克服。如付出額外成本、無(wú)法使用應(yīng)提供的服

很低

務(wù)、造成誤解、產(chǎn)生害怕和緊張的情緒、導(dǎo)致較小的生理疾病等。

注：數(shù)據(jù)處理者可根據(jù)數(shù)據(jù)對(duì)自身的價(jià)值、重要性，結(jié)合風(fēng)險(xiǎn)源嚴(yán)重程度，將僅影響組織權(quán)益、個(gè)人權(quán)益等

15

GB/TXXXXX—XXXX

影響對(duì)象危害程度參考說(shuō)明

的風(fēng)險(xiǎn)危害程度自行定為或調(diào)整為“很高”“高”等級(jí)別，及時(shí)進(jìn)行風(fēng)險(xiǎn)處置。

9.2.4風(fēng)險(xiǎn)發(fā)生可能性分析

風(fēng)險(xiǎn)發(fā)生可能性分析，主要考慮風(fēng)險(xiǎn)源發(fā)生頻率、安全措施有效性和完備性、風(fēng)險(xiǎn)源關(guān)聯(lián)性等因素。

分析方法如下：

a)風(fēng)險(xiǎn)源發(fā)生頻率，可從被評(píng)估對(duì)象發(fā)生相關(guān)數(shù)據(jù)安全事件的次數(shù)及頻率、同行業(yè)或業(yè)務(wù)模式相

似的單位發(fā)生相關(guān)數(shù)據(jù)安全事件的次數(shù)及頻率、相似數(shù)據(jù)安全事件發(fā)生次數(shù)及頻率、輕微安全

問(wèn)題累計(jì)發(fā)生次數(shù)等方面，綜合分析同類(lèi)風(fēng)險(xiǎn)源發(fā)生可能性。一般風(fēng)險(xiǎn)源或安全事件發(fā)生頻率

越高，風(fēng)險(xiǎn)發(fā)生可能性越高。

b)安全措施有效性、完備性，主要通過(guò)識(shí)別數(shù)據(jù)安全措施應(yīng)對(duì)風(fēng)險(xiǎn)源的有效性、全面性等。核心

數(shù)據(jù)、重要數(shù)據(jù)及相關(guān)數(shù)據(jù)處理活動(dòng)，需采取更嚴(yán)格的安全防護(hù)措施才能降低風(fēng)險(xiǎn)發(fā)生可能性。

c)風(fēng)險(xiǎn)源關(guān)聯(lián)性，主要通過(guò)風(fēng)險(xiǎn)源清單關(guān)聯(lián)分析，發(fā)現(xiàn)多個(gè)風(fēng)險(xiǎn)源組合后可能引發(fā)數(shù)據(jù)安全風(fēng)險(xiǎn)，

則將其與其他風(fēng)險(xiǎn)源合并分析，綜合判斷風(fēng)險(xiǎn)發(fā)生可能性。

在綜合分析風(fēng)險(xiǎn)源發(fā)生頻率、安全措施有效性和完備性、風(fēng)險(xiǎn)源關(guān)聯(lián)性的基礎(chǔ)上，將數(shù)據(jù)安全風(fēng)險(xiǎn)

發(fā)生的可能性從低到高分為低、中、高3個(gè)級(jí)別，如表2所示。等級(jí)越高代表措施完備性、有效性越低，

風(fēng)險(xiǎn)越可能發(fā)生。如需進(jìn)行定量分析，可參考附錄B.2。

表2風(fēng)險(xiǎn)發(fā)生可能性等級(jí)參考

等級(jí)風(fēng)險(xiǎn)發(fā)生可能性描述

涉及違法違規(guī)行為、缺少數(shù)據(jù)安全措施或安全措施有效性較弱，被評(píng)估對(duì)象或同類(lèi)組織多次高頻發(fā)生相關(guān)風(fēng)

高險(xiǎn)源，或容易與其他風(fēng)險(xiǎn)源結(jié)合引發(fā)風(fēng)險(xiǎn)，風(fēng)險(xiǎn)隱患發(fā)生可能性高（例如出現(xiàn)頻率高、在大多數(shù)情況下幾乎

不可避免、可以證實(shí)經(jīng)常發(fā)生過(guò)）。

有一定數(shù)據(jù)安全措施，但有效性不足，被評(píng)估對(duì)象或同類(lèi)組織發(fā)生相關(guān)風(fēng)險(xiǎn)源，或有一定概率與其他風(fēng)險(xiǎn)源

中

結(jié)合引發(fā)風(fēng)險(xiǎn)，風(fēng)險(xiǎn)隱患發(fā)生可能性一般（例如出現(xiàn)頻率中等，在某種情況下可能發(fā)生，或被證實(shí)曾經(jīng)發(fā)生）。

數(shù)據(jù)安全措施比較到位、完備，被評(píng)估對(duì)象或同類(lèi)組織很少發(fā)生相關(guān)風(fēng)險(xiǎn)源，或很難與其他風(fēng)險(xiǎn)源結(jié)合引發(fā)

低

風(fēng)險(xiǎn)，風(fēng)險(xiǎn)隱患發(fā)生可能性低（例如幾乎不可能發(fā)生，或僅可能在非常罕見(jiàn)和例外的情況下發(fā)生）。

9.3數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)價(jià)

可基于實(shí)際情況，視情對(duì)數(shù)據(jù)安全風(fēng)險(xiǎn)進(jìn)行評(píng)價(jià)。風(fēng)險(xiǎn)評(píng)價(jià)一般結(jié)合評(píng)估對(duì)象實(shí)際情況，基于9.2.3

和9.2.4的分析結(jié)果，綜合風(fēng)險(xiǎn)危害程度及風(fēng)險(xiǎn)發(fā)生可能性對(duì)安全風(fēng)險(xiǎn)進(jìn)行綜合評(píng)價(jià)。

數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)價(jià)結(jié)果包括：

a）重大安全風(fēng)險(xiǎn)：一般指可能直接影響國(guó)家安全的數(shù)據(jù)安全風(fēng)險(xiǎn)。

b）高安全風(fēng)險(xiǎn)：一般指可能直接影響經(jīng)濟(jì)運(yùn)行、社會(huì)穩(wěn)定、公共健康安全，以及較為廣泛的公眾

權(quán)益，或?qū)?guó)家安全造成間接影響的數(shù)據(jù)安全風(fēng)險(xiǎn)。

c）中安全風(fēng)險(xiǎn)：一般指可能直接對(duì)企業(yè)合法權(quán)益造成較為嚴(yán)重的影響，或直接對(duì)自然人的人格尊

嚴(yán)受到嚴(yán)重侵害或者人身、財(cái)產(chǎn)安全受到嚴(yán)重危害，或?qū)?jīng)濟(jì)運(yùn)行、社會(huì)穩(wěn)定、公眾利益造成

較為嚴(yán)重間接影響的數(shù)據(jù)安全風(fēng)險(xiǎn)。

d）低安全風(fēng)險(xiǎn)：一般指可能直接對(duì)企業(yè)合法權(quán)益造成一般影響，或直接對(duì)自然人的人格尊嚴(yán)受到

侵害或者人身、財(cái)產(chǎn)安全受到危害，或?qū)ι鐣?huì)、公眾權(quán)益有一定或較小影響的數(shù)據(jù)安全風(fēng)險(xiǎn)。

e）輕微安全風(fēng)險(xiǎn)：一般指可能直接對(duì)企業(yè)合法權(quán)益造成一般或較小影響，或?qū)ψ匀蝗巳烁褡饑?yán)、

人身安全、財(cái)產(chǎn)安全不造成侵害或僅產(chǎn)生較輕微的危害，或?qū)π》秶慕M織或公民個(gè)體權(quán)益造

16

GB/TXXXXX—XXXX

成影響的數(shù)據(jù)安全風(fēng)險(xiǎn)。

數(shù)據(jù)處理者可根據(jù)自身情況，將僅影響組織權(quán)益、個(gè)人權(quán)益等的風(fēng)險(xiǎn)自行定為或調(diào)整為“重大”“高”

等級(jí)別，及時(shí)進(jìn)行風(fēng)險(xiǎn)處置。本文件提出了定性和定量評(píng)價(jià)風(fēng)險(xiǎn)的方法，表3提供了一種風(fēng)險(xiǎn)等級(jí)定性

評(píng)價(jià)方法，如需獲得風(fēng)險(xiǎn)定量評(píng)價(jià)結(jié)果，可參考附錄B.3進(jìn)行風(fēng)險(xiǎn)評(píng)價(jià)。

表3數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)價(jià)矩陣

危害程度很高高中低很低

可能性

高重大安全風(fēng)險(xiǎn)重大安全風(fēng)險(xiǎn)中安全風(fēng)險(xiǎn)低安全風(fēng)險(xiǎn)輕微安全風(fēng)險(xiǎn)

中重大安全風(fēng)險(xiǎn)高安全風(fēng)險(xiǎn)低安全風(fēng)險(xiǎn)低安全風(fēng)險(xiǎn)輕微安全風(fēng)險(xiǎn)

低中安全風(fēng)險(xiǎn)中安全風(fēng)險(xiǎn)輕微安全風(fēng)險(xiǎn)輕微安全風(fēng)險(xiǎn)輕微安全風(fēng)險(xiǎn)

9.4數(shù)據(jù)安全風(fēng)險(xiǎn)清單

針對(duì)各項(xiàng)數(shù)據(jù)安全風(fēng)險(xiǎn)完成風(fēng)險(xiǎn)評(píng)價(jià)后，整理各項(xiàng)風(fēng)險(xiǎn)評(píng)估結(jié)果，在9.1的初步風(fēng)險(xiǎn)清單基礎(chǔ)上形

成數(shù)據(jù)安全風(fēng)險(xiǎn)清單（如表4所示），列出各項(xiàng)風(fēng)險(xiǎn)的風(fēng)險(xiǎn)等級(jí)、危害程度、發(fā)生可能性等。

表4數(shù)據(jù)安全風(fēng)險(xiǎn)清單

序風(fēng)險(xiǎn)類(lèi)風(fēng)險(xiǎn)風(fēng)險(xiǎn)源風(fēng)險(xiǎn)危害風(fēng)險(xiǎn)發(fā)生的風(fēng)險(xiǎn)等涉及的數(shù)據(jù)涉及的數(shù)據(jù)處評(píng)估情況

號(hào)型源描述程度可能性級(jí)及類(lèi)型理活動(dòng)描述

10評(píng)估總結(jié)

10.1編制評(píng)估報(bào)告

根據(jù)評(píng)估情況，評(píng)估團(tuán)隊(duì)編制數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估報(bào)告（報(bào)告模板參見(jiàn)附錄C）。評(píng)估報(bào)告應(yīng)準(zhǔn)確、

清晰地描述評(píng)估活動(dòng)的主要內(nèi)容（并附必要的證據(jù)或記錄），提出可操作性的整改措施對(duì)策建議。風(fēng)險(xiǎn)

評(píng)估報(bào)告的內(nèi)容包括：

a)評(píng)估概述，包括評(píng)估目的及依據(jù)，評(píng)估對(duì)象和范圍，評(píng)估結(jié)論等。

b)評(píng)估工作情況，包括評(píng)估人員、評(píng)估時(shí)間安排、評(píng)估工具和環(huán)境情況等。

c)信息調(diào)研情況，包括數(shù)據(jù)處理者、業(yè)務(wù)和信息系統(tǒng)、數(shù)據(jù)資產(chǎn)、數(shù)據(jù)處理活動(dòng)、安全措施等情

況，形成的數(shù)據(jù)資產(chǎn)清單、數(shù)據(jù)處理活動(dòng)清單、數(shù)據(jù)流圖等文件可視情放在報(bào)告正文或附件中。

d)數(shù)據(jù)安全風(fēng)險(xiǎn)識(shí)別，包括數(shù)據(jù)安全管理、數(shù)據(jù)處理活動(dòng)、數(shù)據(jù)安全技術(shù)、個(gè)人信息保護(hù)等方面

識(shí)別的風(fēng)險(xiǎn)源情況。

e)風(fēng)險(xiǎn)分析與評(píng)價(jià)，對(duì)數(shù)據(jù)安全問(wèn)題可能帶來(lái)的安全風(fēng)險(xiǎn)進(jìn)行綜合分析，視情對(duì)風(fēng)險(xiǎn)進(jìn)行評(píng)價(jià)。

f)整改建議，針對(duì)發(fā)現(xiàn)的數(shù)據(jù)安全問(wèn)題或風(fēng)險(xiǎn)，提出整改措施或風(fēng)險(xiǎn)處置建議。

g)數(shù)據(jù)安全風(fēng)險(xiǎn)源清單，列出完整的數(shù)據(jù)安全風(fēng)險(xiǎn)源清單，并附上關(guān)鍵記錄和證據(jù)，若證據(jù)無(wú)法

在附錄中完整列出，應(yīng)列出證據(jù)關(guān)鍵信息和序號(hào)，在提交評(píng)估報(bào)告時(shí)作為附件提交。

h)涉及重要數(shù)據(jù)、個(gè)人信息、核心數(shù)據(jù)的，應(yīng)當(dāng)詳細(xì)列出處理的數(shù)據(jù)種類(lèi)、數(shù)量（不包括數(shù)據(jù)內(nèi)

容本身），開(kāi)展數(shù)據(jù)處理活動(dòng)的情況，面臨的數(shù)據(jù)安全風(fēng)險(xiǎn)及其應(yīng)對(duì)措施等。

i)委托第三方機(jī)構(gòu)開(kāi)展評(píng)估或檢查評(píng)估的，評(píng)估報(bào)告應(yīng)由評(píng)估組長(zhǎng)、審核人簽字，并加蓋評(píng)估機(jī)

構(gòu)公章。

17

GB/TXXXXX—XXXX

10.2風(fēng)險(xiǎn)處置建議

評(píng)估人員結(jié)合實(shí)際情況，對(duì)發(fā)現(xiàn)的數(shù)據(jù)安全風(fēng)險(xiǎn)提出處置建議，酌情指導(dǎo)數(shù)據(jù)處理者整改。被評(píng)估

方應(yīng)制定數(shù)據(jù)安全風(fēng)險(xiǎn)處置方案，限期完成整改，無(wú)法及時(shí)完成整改的，應(yīng)采取臨時(shí)安全措施，防止數(shù)

據(jù)安全事件發(fā)生。常見(jiàn)數(shù)據(jù)安全風(fēng)險(xiǎn)處置措施包括不限于以下選項(xiàng)：

a)停止收集某些類(lèi)型的數(shù)據(jù)。

b)預(yù)處理階段對(duì)某些類(lèi)型數(shù)據(jù)進(jìn)行銷(xiāo)毀。

c)縮小處理范圍。

d)縮短存儲(chǔ)期限。

e)采取額外的技術(shù)措施。

f)加強(qiáng)對(duì)應(yīng)數(shù)據(jù)處理活動(dòng)崗位人員培訓(xùn)。

g)匿名化、去標(biāo)識(shí)化。

h)完善管理制度。

i)采用其他數(shù)據(jù)處理技術(shù)。

j)補(bǔ)充簽署協(xié)議（針對(duì)數(shù)據(jù)轉(zhuǎn)移）。

k)修訂隱私條款。

10.3殘余風(fēng)險(xiǎn)分析

評(píng)估人員根據(jù)數(shù)據(jù)處理者決定的風(fēng)險(xiǎn)處置措施，結(jié)合風(fēng)險(xiǎn)識(shí)別和評(píng)估方法，預(yù)判措施有效性和殘余

風(fēng)險(xiǎn)，形成記錄。被評(píng)估方完成整改后，評(píng)估方可視情開(kāi)展數(shù)據(jù)安全風(fēng)險(xiǎn)復(fù)評(píng)工作，復(fù)評(píng)時(shí)可重點(diǎn)分析

風(fēng)險(xiǎn)處置后的殘余風(fēng)險(xiǎn)，以及采取額外控制措施可能導(dǎo)致的次生風(fēng)險(xiǎn)等。

18

GB/TXXXXX—XXXX

附錄A

（規(guī)范性）

典型數(shù)據(jù)安全風(fēng)險(xiǎn)類(lèi)別

本附錄給出了常見(jiàn)數(shù)據(jù)安全風(fēng)險(xiǎn)類(lèi)別，如數(shù)據(jù)泄露風(fēng)險(xiǎn)、數(shù)據(jù)篡改風(fēng)險(xiǎn)、數(shù)據(jù)破壞風(fēng)險(xiǎn)、數(shù)據(jù)丟失

風(fēng)險(xiǎn)等，如表A.1所示。

表A.1典型數(shù)據(jù)安全風(fēng)險(xiǎn)類(lèi)別示例

序號(hào)風(fēng)險(xiǎn)類(lèi)別描述

由于數(shù)據(jù)竊取、爬取、脫庫(kù)、撞庫(kù)等安全威脅，或者缺乏有效的安全措施、人員操作

數(shù)據(jù)泄露風(fēng)險(xiǎn)

1失誤或有意盜取等，導(dǎo)致數(shù)據(jù)泄露、惡意竊取、未授權(quán)訪問(wèn)等影響數(shù)據(jù)保密性的風(fēng)險(xiǎn)。

由于數(shù)據(jù)注入、中間人攻擊等安全威脅，或者缺乏有效的安全措施、人員有意或無(wú)意

數(shù)據(jù)篡改風(fēng)險(xiǎn)

2操作等，導(dǎo)致數(shù)據(jù)被未授權(quán)篡改等影響數(shù)據(jù)完整性的風(fēng)險(xiǎn)。

由于拒絕服務(wù)攻擊、自然災(zāi)害、嵌入惡意代碼、數(shù)據(jù)污染、設(shè)備故障等安全威脅，或

3數(shù)據(jù)破壞風(fēng)險(xiǎn)者缺乏有效的安全措施、人員有意或無(wú)意操作等，導(dǎo)致數(shù)據(jù)被破壞、毀損、數(shù)據(jù)質(zhì)量

下降等影響數(shù)據(jù)可用性的風(fēng)險(xiǎn)。

由于數(shù)據(jù)過(guò)載、軟硬件故障、備份失效、鏈路過(guò)載等問(wèn)題，或者缺乏有效的安全措施、

數(shù)據(jù)丟失風(fēng)險(xiǎn)

4人員有意或無(wú)意操作等，導(dǎo)致數(shù)據(jù)丟失、難以恢復(fù)等安全風(fēng)險(xiǎn)。

由于缺乏授權(quán)訪問(wèn)控制、權(quán)限管控等有效的安全管控措施、人員有意或無(wú)意操作等，

數(shù)據(jù)濫用風(fēng)險(xiǎn)

5導(dǎo)致數(shù)據(jù)被未授權(quán)或超出授權(quán)范圍使用、加工的風(fēng)險(xiǎn)。

由于數(shù)據(jù)源欺騙、深度偽造等安全威脅，或者缺乏有效的安全措施、人員有意或無(wú)意

數(shù)據(jù)偽造風(fēng)險(xiǎn)

6操作等，導(dǎo)致數(shù)據(jù)或數(shù)據(jù)源被偽造、數(shù)據(jù)主體被仿冒等安全風(fēng)險(xiǎn)。

違反法律、行政法規(guī)等有關(guān)規(guī)定，非法或違規(guī)獲取、收集數(shù)據(jù)的風(fēng)險(xiǎn)。

7違法違規(guī)獲取數(shù)據(jù)

違反法律、行政法規(guī)等有關(guān)規(guī)定，非法或違規(guī)向他人出售、交易數(shù)據(jù)的風(fēng)險(xiǎn)。

8違法違規(guī)出售數(shù)據(jù)

違反法律、行政法規(guī)等有關(guān)規(guī)定，非法或違規(guī)留存數(shù)據(jù)的風(fēng)險(xiǎn)，如逾期留存、違規(guī)境

違法違規(guī)保存數(shù)據(jù)

9外存儲(chǔ)等。

違反法律、行政法規(guī)等有關(guān)規(guī)定，非法或違規(guī)使用、加工、委托處理數(shù)據(jù)的風(fēng)險(xiǎn)。

10違法違規(guī)利用數(shù)據(jù)

違反法律、行政法規(guī)等有關(guān)規(guī)定，非法或違規(guī)向他人提供、共享、交換、轉(zhuǎn)移數(shù)據(jù)的

違法違規(guī)提供數(shù)據(jù)

11風(fēng)險(xiǎn)。