GB-T 42437-2023 信息安全技术 数据安全风险评估方法

GB/T42437-2023信息安全技术数据安全风险评估方法前言本标准由国家市场监督管理总局、中国国家标准化管理委员会于2023年正式联合发布，配套数据安全能力成熟度模型、数据安全事件应急响应指南等系列国标同步落地实施，是我国数据安全治理体系中专门规范数据安全风险评估工作的核心国家级方法论标准。本标准归口管理于全国信息安全标准化技术委员会，由国家网络安全与数据安全主管机构、权威科研标准化院所、重点行业数据处理运营单位及专业第三方安全评估机构联合编制，深度契合《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规法定管控要求，针对性补齐全国各类组织机构数据安全风险评估无统一实施方法、无标准化研判规则、无规范化操作流程的行业短板。本标准编制严格遵循依法合规、客观科学、风险导向、全量覆盖、实操落地、持续迭代的核心编制原则，区别于通用网络安全风险评估相关标准，本标准专门聚焦数据全生命周期处理活动专属风险特征，摒弃传统以设备和网络为核心的评估思路，构建以数据资产、数据处理活动、安全防护措施为核心的全新数据专项风险评估体系。本标准明确数据安全风险评估的基础通则、核心要素关联关系、评估实施全流程、专项评估内容、定性与定量结合分析评价方法、评估报告编制及风险整改闭环管理要求，既是各类数据处理者常态化开展自评估、合规自查的法定实操依据，也是第三方专业评估机构开展外部风险评估、监管部门开展行业督导核查的统一合规准绳，所有涉及重要数据、核心数据及大规模个人信息处理的单位，均需严格依照本标准开展常态化数据安全风险评估工作。引言随着我国数字经济深度发展，数据作为核心生产要素的流通共享、融合应用、跨域交互规模持续扩大，各类政务、金融、能源、医疗、交通、互联网等行业数据处理活动日趋复杂，数据泄露、非法篡改、违规滥用、无序流转、跨境违规传输等安全风险隐患持续高发。以往多数组织机构沿用传统网络安全风险评估模式，评估重心侧重网络设备、信息系统硬件防护，忽视数据资产本身安全及全生命周期处理活动合规管控，存在数据资产摸排不清、风险识别精准度不足、风险等级判定标准不一、整改措施针对性不强、评估与治理脱节等突出问题，导致风险评估流于形式，无法有效预判和化解数据安全实质性风险，难以满足法律法规及常态化监管合规要求。为统一全国数据安全风险评估工作的实施口径、核心评估要素、标准化实施流程、风险研判规则及分级评价尺度，规范各类主体数据安全自评估和第三方外部评估执业行为，指导数据处理者精准摸排数据资产底数、全面识别安全威胁与脆弱性、科学研判风险等级、制定针对性风险处置整改策略，构建评估研判、整改加固、复测核验、持续优化的数据安全风险闭环管控体系，特制定本国家标准。本标准立足数据安全核心三性保护要求，兼顾数据安全防护技术性与合规管理规范性，兼顾短期风险排查整改与长期数据安全治理提升，适配各类行业、不同规模、多场景数据处理运营需求，全面夯实我国数据安全风险常态化防控与精细化治理工作根基。1范围本标准系统规定了数据安全风险评估工作的基础术语定义、缩略语规范、评估总体通则、核心评估要素及相互关联关系、数据安全风险评估基础原理、评估全流程实施规范、专项评估核心内容、风险定性定量分析方法、风险综合等级评价规则、风险处置与整改要求、评估报告编制规范及评估工作持续管理等全维度核心内容。本标准聚焦数据全生命周期各类处理活动产生的专属安全风险，围绕数据保密性、完整性、可用性及数据处理活动合法合规性核心保护目标，明确差异化评估实施要求，不替代通用网络安全风险评估工作，专门针对数据资产及数据处理专项风险制定标准化评估实施细则，精准适配数据安全专项风控工作核心需求。本标准适用主体覆盖全国所有行业领域、所有类型的数据处理组织机构，核心适用工作包含三大核心板块，一是各类政务机关、企事业单位、社会组织等数据处理者，开展常态化数据安全自评估、重要数据定期合规评估、数据业务变更专项风险评估、数据对外共享提供及跨境传输前置风险评估等内部风控工作；二是具备合规执业资质的第三方专业评估机构，受委托开展市场化、专业化、规范化外部数据安全风险评估服务工作；三是各级网信、数据安全、网络安全行业监管部门，开展辖区及行业内数据安全风险督导核查、监管专项评估、合规核验检查等监管履职工作。本标准无行业及业务排他性要求，涉密数据安全风险评估可在本标准基础上叠加涉密专项评估规范协同实施。2规范性引用文件下列规范性引用文件为本标准数据安全风险评估工作开展不可或缺的核心配套支撑依据，凡是标注具体发布日期的引用文件，仅对应标注版本内容适用于本标准；凡是未标注具体发布日期的引用文件，其最新有效修订版本及所有后续增补修改单内容均统一适配本标准各项评估实施工作执行要求。核心配套引用文件主要包含数据分类分级相关国家标准、数据安全能力成熟度模型及评估方法、个人信息保护处理规范、网络安全等级保护基础系列标准、网络安全风险评估通用规范、数据安全事件应急响应指南、重要数据识别与备案相关管理标准等国家及行业权威规范。所有参与数据安全风险评估方案编制、现场核查、风险研判、等级评定、整改复核、报告出具相关工作的机构及从业人员，必须同步严格遵循对应引用文件协同开展评估工作，确保全流程评估工作合规统一、尺度一致、衔接顺畅、闭环可控。3术语和定义3.1数据安全风险：指数据在采集、存储、使用、加工、传输、共享、提供、公开、销毁全生命周期处理活动中，因各类安全威胁利用系统及管理脆弱性，导致数据保密性、完整性、可用性遭受破坏，或数据处理活动违反法律法规及合规要求，进而对国家安全、社会公共利益、单位合法权益、公民个人权益造成潜在或实际损害的可能性与危害程度综合结果。3.2数据安全风险评估：指数据处理者或专业评估机构，按照本标准规范流程，通过数据资产摸排、信息全面调研、安全威胁识别、系统脆弱性核查、安全措施有效性核验，结合风险发生可能性及风险影响危害程度综合研判，科学分析数据安全风险大小、精准划定风险等级、明确风险处置优先级、制定整改加固措施的全流程系统性合规评估工作。3.3数据资产：指数据处理者在业务运营过程中依法采集、汇聚、存储、使用、流转的各类结构化、非结构化数据集合，按照重要程度划分为核心重要数据、一般业务数据、个人信息及其他普通数据，是数据安全风险评估的核心基础评估对象。3.4安全威胁：指能够对数据资产及数据处理活动造成安全损害的各类潜在及现实危害来源，包含外部网络攻击、恶意入侵、病毒木马侵袭等外部威胁，以及内部人员违规操作、越权访问、操作失误、内控失效等内部威胁，是触发数据安全风险的外部诱导条件。3.5安全脆弱性：指数据安全管理制度缺失、技术防护措施不足、人员安全能力薄弱、系统配置存在漏洞、运维管理不规范等各类自身防护短板，是安全威胁能够成功利用并引发数据安全事件的内部薄弱环节。3.6安全控制措施：指数据处理者为防范化解数据安全风险、抵御安全威胁、弥补脆弱性短板，配套建设的安全管理体系、技术防护设施、人员管控机制、运维保障措施等各类常态化安全防护管控手段，是降低风险发生概率、减轻风险危害程度的核心支撑条件。4缩略语本标准统一规范数据安全风险评估工作常用专业缩略语适用口径，所有缩略语均对应固定专业释义，全程统一使用、释义唯一，避免评估工作中表述歧义影响风险研判一致性。核心缩略语包含数据保密性、数据完整性、数据可用性基础安全属性简称，重要数据、核心数据、个人信息分类管控简称，自评估、第三方评估评估模式简称，定性评估、定量评估风险分析方法简称等各类专业常用缩略语。所有参与评估工作的人员需严格按照本标准缩略语规范开展评估文档编制、风险记录、报告撰写工作，确保评估全流程专业术语统一、表述规范、对接顺畅。5评估通则5.1评估总体概述。数据安全风险评估工作核心目标是摸清数据资产安全底数、精准识别各类安全风险隐患、科学量化风险等级、明确风险处置优先级、推动风险隐患闭环整改，持续提升数据处理者数据安全风险防控能力和合规治理水平。评估工作需始终坚持以数据资产为核心、以数据处理活动为主线、以风险防控为导向，不脱离实际业务场景、不搞形式化纸面评估，确保评估结果真实反映实际安全现状，整改措施贴合实操、落地可行，切实发挥评估促整改、整改促提升的核心作用。5.2评估核心要素关系。数据安全风险评估包含数据资产、数据处理活动、安全威胁、安全脆弱性、安全控制措施、风险影响后果六大核心基础要素，六大要素相互关联、相互作用、互为依托构成完整风险评估体系。数据资产与数据处理活动是评估核心客体，决定风险保护核心目标与防护重点；安全威胁是风险触发外部条件，决定风险发生诱因；安全脆弱性是风险产生内部短板，决定风险易发性；安全控制措施是风险抵御防护手段，决定风险防控基础能力；风险影响后果是风险发生后的危害结果，决定风险严重等级，所有要素综合研判后方可得出精准风险评价结论。5.3评估基础原理。数据安全风险评估遵循可能性与影响程度双维度综合研判原理，结合安全威胁发生的概率高低、安全脆弱性被利用的难易程度、现有安全控制措施的防护有效性，综合判定风险发生可能性；结合风险发生后对国家安全、社会公共利益、单位及个人权益的危害大小，综合判定风险影响严重程度；通过双维度叠加分析，科学划分不同数据安全风险等级，按照风险等级高低确定优先处置顺序，高风险隐患优先整改、重点管控，中低风险常态化管控、持续优化，实现风险精准分级分类管控。5.4评估适用触发情形。本标准明确必须开展数据安全风险评估和适宜开展评估两类场景，重要数据处理单位每年必须定期开展常态化全面风险评估；数据对外共享、提供、跨境传输前必须开展专项前置风险评估；数据处理架构、业务系统、数据汇聚模式发生重大变更后必须开展变更专项评估；发生数据安全事件后必须开展事后复盘专项评估。适宜开展评估的场景包含新技术新业态应用、单位合并分立重组、数据合作业务拓展等情形，按需开展针对性风险评估，提前预判潜在安全隐患。6评估实施全流程规范6.1评估准备阶段。评估工作正式启动前需完成全方面筹备工作，筑牢评估工作基础。首先明确评估工作范围、评估周期、评估团队分工，界定覆盖的数据资产范围、业务系统边界、数据全生命周期处理环节；其次收集整理数据处理者组织架构、数据分类分级台账、安全管理制度文件、技术防护设备台账、过往安全自查整改记录、数据安全事件处置档案等基础备查资料；结合单位行业特性及数据业务实际，定制专项评估实施方案，明确核查要点、研判规则、工作步骤及人员职责；同步做好评估保密部署、评估人员岗前培训、检测工具调试准备工作，确保评估工作不影响正常业务运营，全程合规有序开展。6.2信息全面调研阶段。评估准备完成后开展全方位信息摸排调研工作，夯实风险评估基础数据支撑。全面摸排数据资产底数，梳理数据全生命周期采集、存储、使用、共享、销毁各环节流转路径，建立完整数据资产清单及分类分级台账；调研数据处理活动业务流程、数据合作对接单位、数据对外流转场景、个人信息处理合规情况；核查现有安全管理架构、制度流程、人员岗位配置、应急管理机制落实情况；核验网络安全防护、数据加密脱敏、访问审计、备份恢复、防泄露管控等技术安全措施部署及运行实效；通过资料核查、现场访谈、实地核查、技术实测相结合的方式，全面摸清数据安全管理及技术防护真实底数，为后续风险识别研判提供精准依据。6.3风险全面识别阶段。基于前期调研摸排结果，开展多维度全方位数据安全风险识别工作。逐项识别各类外部及内部安全威胁来源，梳理威胁发生场景及触发条件；全面排查数据安全管理、技术防护、人员操作、运维管控等各环节安全脆弱性短板，梳理漏洞隐患及管理缺失问题；核查现有安全控制措施有效性，排查防护措施失效、策略配置不当、制度执行流于形式等问题；对照数据全生命周期各处理环节，逐一识别数据泄露、篡改、丢失、滥用、违规流转等各类专项安全风险，形成完整数据安全风险识别清单，明确每项风险对应的风险源、脆弱性、影响数据范围及初步危害情况。6.4风险综合分析评价阶段。风险识别完成后开展定性与定量相结合的综合风险分析评价工作。结合历史安全事件情况、现有防护措施实效、脆弱性修复难度，研判每项风险发生的高低可能性；结合风险涉及数据敏感等级、影响业务范围、对公共利益及个人权益危害程度，研判风险影响严重级别；按照本标准统一研判规则，将风险可能性与影响程度叠加核算，综合划定高风险、中高风险、中风险、低风险四级风险等级；对所有风险按等级排序，明确风险处置优先级，重点标注高危重大风险隐患，形成风险等级综合评价汇总结果。6.5评估总结与整改规划阶段。风险分析评价完成后，汇总所有评估工作情况、风险识别明细、风险等级研判结果，梳理数据安全治理核心短板及突出高危隐患；结合风险等级及业务实际，制定针对性、可落地的风险处置整改规划，明确每项风险整改处置措施、整改责任部门、整改完成时限、整改验收标准，区分立即整改、限期整改、常态化管控三类处置方式；形成完整数据安全风险评估结论，明确整体数据安全风险管控现状、核心薄弱环节及长效治理优化方向，完成评估全流程基础工作。7专项核心评估内容要求7.1数据安全管理体系评估。重点评估数据处理者顶层数据安全治理管理体系建设及落地执行情况，核查是否设立专属数据安全管理机构、明确各级安全管理岗位职责、压实数据安全主体责任；评估数据分类分级管理、数据资产台账管理、人员安全管理、运维变更管理、应急处置管理、考核审计管理等全系列规章制度健全性及实操落地性；核查制度日常执行记录、培训宣贯档案、自查考核台账完整性，排查管理制度缺失、职责划分模糊、制度流于形式、执行监督缺位等管理类脆弱性风险。7.2数据全生命周期处理活动安全评估。围绕数据采集、存储、使用、加工、传输、共享、提供、公开、销毁全生命周期各环节开展专项安全评估。采集环节评估采集合法性、必要性、最小化原则落实情况；存储环节评估加密防护、备份恢复、存储隔离措施落实情况；使用加工环节评估访问权限管控、脱敏处理、操作审计落实情况；传输共享环节评估传输加密、对外审批、合作方安全管控落实情况；销毁环节评估数据彻底删除、介质销毁、销毁留痕管控落实情况，全面排查各环节合规风险及安全防护短板。7.3数据安全技术防护措施评估。专项评估各类数据安全技术防护设施部署及运行实效，核查数据身份鉴别、访问控制、加密脱敏、安全审计、行为监测、防数据泄露、备份恢复、漏洞防护等技术防护措施配置合规性及生效有效性；核查技术防护策略定期优化更新、设备运维巡检、日志留存审计、异常告警处置工作落实情况；排查技术设备策略配置薄弱、防护功能失效、漏洞未及时修复、监测审计不到位等技术类安全风险。7.4个人信息与重要数据专项评估。将个人信息和重要数据作为评估核心重点专项内容，评估个人信息处理告知同意、最小必要、主体权利保障、敏感个人信息专项处理合规性；评估重要数据识别备案、专项防护、定期评估、出境管控等法定要求落实情况；重点排查个人信息违规收集、过度采集、未经同意对外提供、权益保障不到位及重要数据防护措施不足、管控不严等高合规风险隐患。8风险分析与等级评价方法8.1风险发生可能性分析。结合安全威胁活跃程度、脆弱性可利用难度、现有安全防护措施强度、历史同类风险发生频次、人员操作规范程度等多重因素，采用定性描述结合定量统计的方式，将风险发生可能性划分为极高、较高、一般、较低四个层级，客观研判每项数据安全风险实际发生概率，杜绝主观随意判定，确保可能性研判贴合实际工作现状。8.2风险影响程度分析。结合风险涉及数据敏感级别、影响业务核心程度、对国家安全及社会公共利益危害大小、对公民个人权益损害程度、舆情衍生影响范围等核心维度，将风险影响危害程度划分为特别严重、严重、一般、轻微四个层级，精准量化风险发生后的综合危害后果，突出高危核心数据风险从严判定原则。8.3综合风险等级评价。依据风险发生可能性与风险影响程度双维度交叉叠加规则，按照本标准统一评价矩阵核算综合风险等级，由高到低划分为重大高风险、较大中高风险、一般中风险、轻微低风险四个等级。重大高风险隐患必须立即停工整改、专项管控；较大中高风险限期快速整改、重点督导；一般中风险常态化整改优化；轻微低风险常规管控持续监测，实现风险分级精准施策。9风险处置与整改闭环管理9.1差异化风险处置策略。针对不同等级数据安全风险制定差异化处置策略，包含风险规避、风险降低、风险转移、风险接受四类处置方式。重大高风险优先采用风险规避和强力降低措施，立即停止高危数据处理活动，全面加固防护消除隐患；中高风险采用风险降低为主、管控为辅的措施，快速补齐防护短板降低风险等级；一般风险持续优化管控措施稳步压降风险；低风险做好常态化监测管控，按需合理风险接受，严禁高风险隐患长期放任不管。9.2整改实施与复核验收。数据处理者按照风险整改规划逐项落实整改加固工作，补齐管理及技术防护短板，完善制度流程、强化人员培训、优化技术策略、修复安全漏洞；整改完成后评估团队开展整改复核复测工作，核查隐患是否彻底消除、防护措施是