大數據安全評估與測評技術全球數據安全政策匯總數據安全法律法規《工業數據安全評估指南（草案）》《數據出境安全評估辦法》《工業領域重要數據和核心數據識別規則（草案）》《工業領域重要數據和核心數據識別規則（草案）》《工業和信息化領域數據安全管理辦法（試行）》《工業和信息化領域數據安全管理辦法（試行）》中華人民共和國數據安全法中華人民共和國數據安全法-重要條款總結中華人民共和國個人信息保護法網絡數據安全管理條例（征求意見稿）網絡數據分類分級要求（征求意見稿）第二章數據分類分級管理第四章數據安全監測預警與應急管理日志留存第二章數據分類分級管理第四章數據安全監測預警與應急管理日志留存2022年12月，文件再次公開征求意見：新增無線電數據、個人信息保護相關要求。第一章總則第三章數據全生命周期安全管理第三章數據全生命周期安全管理第五章數據安全檢測、認證、評估管理第六章監督檢查第六章監督檢查第七章法律責任工業和信息化領域數據安全管理辦法（試行）?安全檢測與認證：鼓勵、引導具有相應資質的機構，依據相關標準開展行業數據安全檢測、認證工作；?安全評估：?工業和信息化部：制定評估機構管理制度和規范，指導評估機構開展數據安全風險評估、合規評估、能力評估、出境評估等工作；?地方工業和信息化主管部門、通信管理局和無線電管理機構：組織開展本地區數據評估工作；?工業和信息化領域重要數據和核心數據處理者：自行或委托第三方評估機構，每年至少開展一次安全評估，及時整改風險問題，并報送評估報告。行業（領域）督促指導下級單位和信息化主管部門地方通信管理局地方通信管理局地方無線電管理機構地方無線電管理機構1未公開的政務數據情報數據和執法司1未公開的政務數據情報數據和執法司5達到國家有關部門規定的規模或者精度的基因、地理、礦產、氣象等人口與健康、自然資源與環境國家基礎3國家法律、行政法規、部門規章明確規定需要保護或者控制傳播的國家經濟運行數據、重要行業業務數據、統計數4能源交通、水防科技工業、海關、稅務等重點行業和領域安全生產運行的數據，關鍵系統組件、設備供應鏈數6國家基礎設施、7其他可能影響國家政治、國土、軍事、經濟、文化、社會、科技、生態、資源、核設施、海外利益、生物、太空、極地深海等《網絡數據安全管理條例（征求意見稿）》第七十三條（四核心數據是指關系國家安全、國家經濟命脈、重要民生和重大公共利益等的數據；第七十三條（三重要數據是指一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，可能危害國家安全、公共利益的數據。22出口管制數據，出口管制物項涉及的核心技術、設計方案、生產工藝等相關的數電子信息、人工智能等領域對國家安全、經濟競爭實力有直接影響的科學技術成重要數據識別規則重要數據描述格式《網絡數據安全管理條例（征求意見稿）》第三十二條：企業開展數據安全評估市級網信部門于1月31日前提報上一年度數據安全評估報告評估認為可能危害國家安全、經濟發展和公共利益，數據處理者不得共享、交易、委托處理、向基于風險控制的數據安全管理體系基于風險控制的思想是建立自我持續改進和發展的數據安全管理體系，使用合理成本投入達到可接受的數據安全目標。保護數據資產，將安全事件的損失和影響降到可接受程度。資產所在系統安全，數據安全風險評估資產所在系統安全，數據安全風險評估在原有信息安全風險評估理論基礎上，更多關注于數據資產本身的安全性，呈現出圍繞數據資產、強調數據應用場景的特點。其核心是對潛在風險進行發現，包括數據資產類型識別、處理活動合規點識別、已有合規措施識別、數據價值識別、已有技術安全措施識別、脆弱性識別、威脅識別等。數據安全風險評估能夠幫助企業發現自身數據安全問題和短板，明確數據安全保護需求，為建設數據安全管理和技術手段指明方向。評估過程關注數據所在應用場景，文檔查驗查驗安全管理制度、風險評估報告、等保測評報告等有關材料及制度落實情況的證明材料技術測試應用技術工具、滲透測試等手段查看數據資產情況、檢測防護措施有效性數據安全風險評估-評估手段文檔查驗查驗安全管理制度、風險評估報告、等保測評報告等有關材料及制度落實情況的證明材料技術測試應用技術工具、滲透測試等手段查看數據資產情況、檢測防護措施有效性人員訪談對相關人員訪談，核查制度規章、防護措施、安全責任落實情況安全核查核查網絡環境、數據庫和大數據平臺等相關系統和設備安全策略、配置、防護措施情況數據安全風險評估技術靜態分析符號執行污點分析模糊測試機器學習通過符號表達式來模擬程序將外部的輸入數據標記為污通過向目標系統構建非常規執行，根據不同的分支條件點，通過跟蹤和污點數據相輸入數據，通過不斷的變異收集路徑約束信息，求解出關的信息流向，監測他們是和調整，在執行過程中監控否會影響某些關鍵的程序操目標程序的異常行為來發現不斷沿著不同分支進行路徑建立大數據安全評估法建立數據質量管理；?數據傳輸階段：數據傳輸加密、網絡可用性管理；?數據存儲階段：存儲媒體安全、邏輯存儲安全、數據備份和恢復；?數據處理階段：數據脫敏、數據分析安全、數據正當使用、數據處理環境安全、數據導入導出安全；?數據交換階段：數據共享安全、數據發布安全、數據接口安全；?數據銷毀階段：數據銷毀處置、存儲媒體銷毀處置；在數據通用過程中，加強數據安全策略、組織和人員管理、數安全、元數據安全、終端數據安全、監控與內部審計、鑒別與訪最小授權、賬號及時回收、行為內部審計、定期賬號稽核等方式控制；?數據使用過程的訪問權限管理：建議批量操作審批、高敏感數據訪問審批、批量操作和高敏感數據訪問的指定設備、地點、訪問過程內部審計記試訪問模糊化、訪問行為定期稽核等方式控制；?數據共享（提取）權限管理：通過最小共享和泛化、共享（提取）審批、最小使用范圍、責任傳遞、定期稽核等方式控制；?定期權限稽核：主要通過數據安全的合規性檢查、操作監管或稽核、數據訪問賬號和權限的監管與稽核、業務單位和運維的數據訪問過程的合法核、日志風險分析與數據安全性測試等方式控制；?數據存儲管理：通過涉密數據存儲的網絡區隔、敏感數據存儲加密、備份訪問?建立風險差距矩陣：明確數據流的業務目的、涉及系統和業務流程的數據安全、保密和合規要求；?執行安全威脅建模：識別數據流的機密數據所需跨越的信任邊界，應對數據安全性、策略、流程或實施要求的可能變化；?分析數據安全風險：針對現有數據安全的保護控制、技術和行為進行風險/差距分析，識別現有保護措施未能解決的威脅，評估相關風險；?確定風險消除措施：列出使各項風險達到可接受水平所需額外控制措施、技術和活動，評估每項風險成本/收益，決定是否以及如何降低、轉移確定風險；?評估消除措施有效性：如存在不可接受風險，審查前述結果并重新啟動整個風險評估周期數據安全風險評估框架數據安全管理數據安全管理數據安全技術數據處理活動安全個人信息保護數據安全風險評估的基礎-數據資產識別數據資產識別是一個“摸清家底”的過程，從而建立企業數據資產臺賬，掌握數據重要程度，是風險評估的基礎，也是數據分類分級管理的基礎。數據資產評估數據資產評估大數據時代在應用場景中分析數據安全風險評估的主線-數據應用場景大數據時代在應用場景中分析數據應用場景與數據生命周期息息相關，不僅包括數據收集/產生、傳輸、存儲等過程，還包括數據調取、加工分析、外發等處理活動。每個數據類型都對應著多個數據應用場景，隨之而來潛在的安全風險和合規風險。數據授權數據授權數據流向數據流向風險評估輸出數據安全風險評估結果支撐數據安全分類分級管理風險評估輸出根據數據安全風險評估結果，針對每一個數據安全風險，結合被影響的數據資產重要程度，選擇適當的數據安全控制措施，實現數據分類分級管理與保護。風險風險評估環節數據安全風險得到有效控制數據安全風險得到有效控制數據安全風險評估-評估方式數據處理者可根據相關法律法規及相應標準自行開展評估工作。第三方評估數據處理者委托第三方具有數據安全測評服務資質的機構進行評估工作。分析總結綜合分析數據安全風險評估實施步驟-評估流程分析總結綜合分析信息調研風險識別數據安全風險評估-具體工作和主要產出物數據安全風險評估實施步驟涵蓋評估準備、信息調研、風險識別（數據應用場景識別、數據威脅識別、脆弱性識別、已有安全措施識別）綜合分析和評估總結5大步驟。最終分別輸出數據資產清單、數據應用場景分析報告、數據威脅報告、脆弱性報告和風險分析報告。數據安全風險評估實施步驟-數據應用場景識別數據應用場景識別包括業務流程或使用流程、相關數據活動、參與主體。數據應用場景包括主業務調用數據的場景、數據被其數據應用場景包括主業務調用數據的場景、數據被其統調取的場景、對組織外部提供數據的場景（合作工訪問數據的場景、第三方服務人員訪問數據數據活動包括但不限于數據提取、數據獲取、數據整數據活動包括但不限于數據提取、數據獲取、數據整數據安全風險評估實施步驟-數據威脅識別主要分析數據在應用場景流轉過程中，可能影響數據機密性、完整性、可用性及可控性的威脅類型，并進一步分析其屬性，包括攻擊動機、攻擊能力、威脅發生概率，并對其屬性進行賦能數據威脅報告數據威脅報告通過分析脆弱性對數據機密性、完整性、可用性、可控性影響，判斷對數據影響的嚴重程度。脆弱性識別所采用的方法主要有：問卷調查、工具檢測、人工核查、文檔查閱、通過分析脆弱性對數據機密性、完整性、可用性、可控性影響，判斷對數據影響的嚴重程度。脆弱性識別所采用的方法主要有：問卷調查、工具檢測、人工核查、文檔查閱、脆弱性報告技術脆弱性物理環境從機房場地、機房防火、機房供配電、機房防靜電、機房接地與防雷、電磁防護、通信線路的保護、機房區域防護、機房設備管理等方面進行識別網絡結構從網絡結構設計、邊界防護、外部訪問控制策略、內部訪問控制策略、網絡設備安全配置等方面進行識別系統軟件從補丁安裝、物理保護、用戶賬號、口令策略、資源共享、事件審計、訪問控制、新系統配置、注冊表加固、網絡安全、系統管理等方面進行識別應用中間件從協議安全、交易完整性、數據完整性等方面進行識別應用系統從審計機制、審計存儲、訪問控制策略、數據完整性、通信、鑒別機制、密碼保護等方面進行識別管理脆弱性技術管理從物理和環境安全、通信與操作管理、訪問控制、系統開發與維護、業務連續性等方面進行識別組織管理從安全策略、組織安全、資產分類與控制、人員安全、符合性等方面進行識別已有安全措施分析報告數據安全風險評估實施步驟-已有安全措施識別已有安全措施分析報告預防性安全措施可以降低數據威脅，利用脆弱性導致安全事件發生的可能性，如威脅情報系統、數據安全審計、數據安全風險評估等。保護性安全措施可以減少因安全事件發生后對數據、業務或組織造成的影響。數據安全風險評估實施步驟-數據威脅與脆弱性的關系物理環境變化/自然災害/硬件故障云計算等第二方平臺缺乏安全保障機制，人員或其他業務系統訪問權限粒度太粗、訪問在數據庫服務器、文件服務器、員工終端等存儲系統上執行后門、病毒、木馬、蠕蟲、竊聽軟件、謀軟件等惡意工數據失效或業務關閉后，遺留了敏感數據仍然可以被訪問或數據銷毀不徹底，可被技術性恢復;內部員工或第三方合作權獲取;關鍵崗位員工被收買竊取數據，安全意識培訓機制、考核機制、數據行為審核手段、審計監控措施存在漏對第三方合作機構缺少協議或數據安全相關條 數據安全風險評估實施步驟-風險分析 評估后果–輸入：應用場景內已識別的相關事件情景，包括威脅、脆弱點、數據資產、已有和計劃的控制措施。–活動：應用場景中脆弱性與具體安全措施關聯分析后，判斷脆弱性可利用程度和脆弱性對數據資產影響的嚴重程度；根據脆弱性對數據影響嚴重程度及數據重要程度計算安全事件后果。評估事件可能性–輸入：應用場景內已識別的相關事件情景，包括威脅、暴露的脆弱點、現有和計劃的控制措施數據。–活動：根據應用場景中數據威脅與脆弱性利用關系，結合數據威脅發生可能性與脆弱性可利用性判斷安全事件發生的可能性。估算風險級別–活動：根據應用場景中安全事件發生的可能性以及安全事件后果，判斷風險值。脆弱性可利用性脆弱性可利用性數據安全風險評估實施步驟-殘余風險評估被評估組織按照風險安全整改建議全部或部分實施整改工作后，對仍然存在的安全風險進行識別、控制和管理的降低風險定期開展降低風險增加管控措施依據組織的風險評估準則進行殘余風險評估，判斷是否已經將至可接受水平 ,為風險管理提供輸入。殘余風險仍處于不可接受的風險范圍內，則應由管理層依據風險接受原則考慮是否接受此類風險或增加更多的風險控制措施。應定期開展殘余風險再評估，評估結果應作為風險管理重要輸入。數據安全合規評估行業實踐數據分類