专家分享｜如何把握数据安全风险评估工作开展的对象、范围、方法，以提升评估的有效性？

数据风险全知道

近年来，数据安全相关法律法规频繁出台，其中，非常明确的原则是国家统筹发展和安全，坚持促进数据开发利用与保障数据安全并重的原则，而要达成这一目标，开展数据安全风险评估已成为不可或缺的环节。《中华人民共和国数据安全法》中就提到建立数据安全风险评估的协作和统一管理机制，明确指出“重要数据处理者应对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告”。随着以数据要素流通为核心的数字经济的快速发展，数据安全风险评估将逐渐成为一种常规性保障机制从而成为组织的“刚需”，如何做好、做对“数据安全风险评估”成为了合规实务工作的重中之重。

针对上述难点，CCIA数据安全工作委员会于近日组织各方专家进行了研讨。

“业务场景”角度更适合数据安全风险评估的评估对象。通常步骤如下：一是明确需评估的业务场景，二是明确业务场景所涉及的数据处理生命周期（很多场景仅涉及部分生命周期），三是明确所涉及生命周期相关的系统、平台（如果已经做过信息安全风险评估，则可以复用评估结论），然后开展评估工作。

使用“数据地图”等方式明确评估对象，其实就是明确数据处理涉及的生命周期的一种方法，也可以依赖“数据地图”等方式建立数据处理生命周期与数据应用场景的关联矩阵，以便于开展数据安全管理工作。组织如已建立完整的“数据地图”，便可从业务场景角度筛选“数据地图”中需要评估的“区域”，实现评估对象的识别。

数据处理生命周期的区分虽然还存在一些模糊地带，但还是可以帮助理解评估的逻辑、范围，比如，如果“数据收集安全”是最近的合规工作重点，则可以将所有收集阶段相关数据处理活动纳入评估；如果关注“数据分类分级”的落地情况，则需要重点关注存储阶段相关的安全措施。

数据处理生命周期能够对应业务的逻辑、安全的策略，数据流动的现状等等，同时与现有常用的安全标准、面对的检测评估工作等有所衔接。比如涉及到传输阶段，就能与“传输加密”等要求快速对应。

数据安全风险评估中，需要关注不同种类数据所面临威胁、脆弱性、影响程度、影响范围的不同，除了关注个人信息、重要数据等法律法规所区分的数据种类/级别，还应关注因行业、领域不同产生的不同种类的数据，如公共数据、工控数据、金融数据、医疗数据、汽车数据等。

数据安全风险评估时，需要关注的数据属性应当更全面，比如“电子数据 or 非电子数据”，“数据库or 电子文档格式”，数据粒度、量级、数据主体的特点等等，这些要素可能与脆弱性识别有关联。

“数权”问题，如所有权，处理权，调用权，监管权等，会因为不同的业务场景、汇集场景、流通场景导致多权交叉等问题，可能为数据影响范围、影响程度等方面的分析带来复杂性。同时，可以创新的角度探索“如何使用数据安全风险评估结果来帮助明确“数权”问题”的方法。

数据安全风险评估可暂不考虑“信息内容安全”方面的因素，除非法律法规、标准等另有规定或要求。

辅助数据安全风险评估的工具形式包括不限于表单、模板、知识库、软件、设备、平台等，组织可以通过考虑数据安全风险评估的工作量、连续性、场景相似性、投入成本、展示效果等因素，确定满足当前需求的工具形式，以及后续的工具完善计划。

资产识别类工具通常包括：数据资产识别工具，即从（内部）网络或数据库、文件服务器、终端等扫描嗅探，自动梳理与评估对象有关的数据种类，数据流；元数据管理工具，数据分级分类工具、数据标识工具等也能用于支撑评估工作。

威胁分析类工具：主要依赖于对网络设备、安全设备等的安全事件分析，如IDS/IPS、日志审计工具、数据防泄漏（DLP），SOC平台、态势感知平台等。

脆弱性发现类工具主要包括：漏洞扫描工具，渗透测试工具，API风险监测工具，事件溯源工具，管理制度落实情况的检查表单等。 

组织使用的一些其他系统、平台可能会在数据安全风险评估过程中发挥作用，提供安全措施已经落实的证明，比如合同管理系统，供应商管理系统，人力资源管理系统（如员工岗位协议），密码服务平台，运维管理平台，应急保障平台，业务合规管理平台（如下发监管要求）。

等级保护测评、商用密码应用安全性评估、App安全认证，ISO 27001，ISO 27018等，信息安全风险评估报告，审计报告、尽调报告等成熟的检测、认证、评估成果，对数据安全风险评估中的脆弱性、已有安全措施的识别有显著帮助。可以对其中的结果进行复用从而减少工作量，但需要注意已有成果的时效性、与评估对象的一致性。

主管、监管部门发布的法规、规章、指导性文件等，对数据资产敏感程度的认定，影响范围、程度的分析有重要参考价值。行业组织、社会团体、专业机构发布的报告、资讯，对威胁识别、脆弱性发现有帮助。

数据安全风险评估的结果理应侧重于某个数据处理活动的风险等级，如果数据的影响范围较多（国家、公共利益、组织、个人等），也可根据不同的影响面得出各自的风险等级；如果评估的数据处理活动较多，则可采用列表、清单等方式对每个数据处理活动的风险评估进行展示。

从客户需求出发，希望得出整个业务的合规水平（或者是业务整体的风险等级）也是常见的现象，对不同数据处理活动的风险等级进行汇总分析的方式较多，但需向客户说明汇总分析的利与弊并与客户达成一致。如采取不同权重相加的方式时，与客户商议并确定具体的权重值。

数据安全风险等级的评判思路应当参考相应的标准（国家标准、国际标准、行业标准等），计算方式可以进行具体的设计，但计算方式宜予以固化，以便于评估人员能够尽可能维持评判尺度的一致性，也有助于对风险评估结果态势变化进行分析。

数据安全风险评估报告的核心内容包括：数据的种类/级别、数量、涉及的业务（开展数据处理活动的情况）、涉及的角色、已采取的安全措施、风险分析过程、评估结果、风险处理措施等。其中，对业务的说明需要突出业务的特点，明确数据处理目的、处理方式、处理范围等。此外，对于评估依据、评估方法、评估周期等工作层面的介绍也可包含在评估报告内。

数据安全风险评估报告中，风险分析过程和评估结果的部分，可根据数据安全风险评估的主要目的来进一步确定，如开展的是重要数据安全风险评估，则可侧重于对国家安全、公共利益等方面的影响和风险。

组织应当关注数据安全风险评估报告上报主管部门的路径、报送的文件格式，并关注有关要求、模板的更新情况；对于涉及到与态势展示相关的数据，需尽可能采取一致的标准进行报送。