数据安全重要数据风险评估报告

风险评估报告 4 42.1.评估背景 42.2.评估依据 42.3.评估原则 2.4.评估内容 62.5.评估流程 2.6.评估方法 2.7.人员组成 2.8.实施计划 三、评估对象范围 3.1.支撑信息系统描述 3.1.1.系统功能概述 3.1.2.系统架构图 3.2.重要数据种类数量 3.3.重要数据处理场景 4.1.合规性评估 4.1.1.合法正当性评估 4.1.2.基线要求差异分析 4.2.安全风险分析 274.2.1.风险源识别 274.2.2.安全影响分析 5.1.数据安全风险分析 5.2.1.风险危害程度评价 5.2.2.风险发生可能性评价 5.2.3.安全风险等级评价 5.3.数据安全风险清单 347.2.残余风险分析……………一、评估报告摘要二、评估方案概述●《电信领域数据安全保护指南(征求意见)》●《电信领域重要数据风险评估指南(征求意见)》存在引发图1数据安全风险评估要素关系b)数据在处理过程中涉及一个或多个数据处理活动，数据处理活动应遵循数据安全法律c)数据安全措施用于保障数据和数据处理活动安全，安全措施能降低数据安全风险发生e)业务和信息系统均涉及数据和数据处理活动，信g)风险源、安全措施和数据价值共同影响数据安全风险，安全措施与风险发生可能性成南(试行)》关于重要数据的保护要求，结合重要数据处理活动的具体场景，选取适当的基线网络环境施a.处理重要数据的网络环境是否为内部网络，如果为互联网等非内部网络环境，将面临更高的威胁。处理重要数据的网络环境在网管域，为内部网络b.处理重要数据的信息系统是否与其他系统隔离，是否与其他系统存在数据交互，交互方式是否为网络接口，是否配备接口安全保障措施，如身份验证、流量监控、数据加密。c.重要数据处理过程中是否实施严格的身份鉴的身份鉴别、访问控制、权限管理。d·处理重要数据的信息系统边界是否部署安全防护设备，配置了严格的安全防护测策略，实现对网络攻击、入侵、木马病毒等的拦截防护。处理重要数据的信息系统边界墙、入侵检测等，配置了严格的安全防护测策略，实现对网络攻护e.是否监测和记录网络运行状态，是否标记、分析重要数据流转状态，及时发现重要数据异常流量和违规使用等情况。部署了检测系统，监测和记录网理重要数据的系统和终端，实现对网络、蓝牙、USB、邮件等多渠道的重要数据泄露监测预警与部署了数据防泄漏系统，全面覆盖处理重要数据的系统和终端，实现对网络、蓝牙、USB、邮件等多渠道的重要数据泄露监测g·是否采用加密传输、加密存储等方式保障重要数据安全，加密方式是否安全有效。每月定期对处理重要数据的信息系统进行安全检查、评估、渗和安全加固i.是否对存储重要数据的介质进行加强管理，实严格留存使用记录。严格落实存储重要数据的介质管理要求，禁止非相关人员接j.是否对重要数据进行定期备份与恢复，备份方式是否安全可靠是否实现异地容灾备份，保障数据可用性。重要数据进行定期备份与恢复，配备重要数据销毁技术手段，如消磁技术等，确保重要数据销毁后的不可恢复。法、内容、流程等要求，实现对重要数据收集、存储、传输、使用、提供、公开、销毁等环据全生命周期实时审计。管理制度程合作方管理、应急响应等相关管理要求。b.是否对数据授权访问、批量复制、使用加工、出境、销毁等重点环节进行日志留存，留存时间是否不少于6个月，涉及出境环节日志记录是否留存3年以上进行日志留存，留存时间大于6个月，不涉及出境。c.是否建立重要数据安全风险监测报送机制，及时发现、识别和上报重要数据安全风险。建立了重要数据安全风险监测重要数据安全风险。d.是否建立重要数据应急响应机制，制定应急预案和处置流程，定期开展应急演练。建立了重要数据应急响应机制，制定应急预案和处置流程，定期参与人员a.是否设立数据管理机构，明确内部重要数据处理关键岗位、职责以及任职要求，负责履行重设立数据管理机构明确内部重要数据安全管理义务。全管理义务。数据安全相关培训和考核，确保其有相应的数据安全保护专业知识和技能。知识和技能。c.是否与重要数据处理关键岗位从业人员签订保密协议，并进行背景审查。员签订保密协议，并进行背景审查。d.是否建立重要数据安全事件处罚问责机建立了重要数据安全事件处罚问责机制。e.是否建立重要数据第三方管理制度，形成第建立了重要数据第三方管理制理f.是否与涉及处重要数据的第三方签署数据安务。涉及处重要数据的第三方签署的方式、再转移限制、安全保障定期对第三方履行合同或协议的情况进行检查、审计，确保其严格执行合同约定业务特点势事件。3年内未发生过数据安全事件c.重要数据保护相关执法监管动态。工信部通过每年考核进行监督过行政处罚、通报批评或约谈。d·相关业务系统3年内遭受网络攻击的情况。3年内遭受网络攻击均已拦截，e·重要数据处理者1年内收到或公开发布的警公开发布的警示信息。处理重要数据的信息系统与其他系统有大量数据交互，或处于互联网坏境中，或采取的安全保护措施薄弱，无法有效保障重要数据安全。缺乏重要数据安全管理制度，基本未对重要数据处理流程进行监未对接触到重要数据的相关人员进行约束管理，或未与参与处相关协议/合同，未对第三方处理重要数据的行为进行任何约束，或要数据的情形。威胁引发的相关安全事件已被重要数据处理者发现，或已收到相关主警报或通知，或3年内处理重要数据的信息系统遭受过大量网络攻处理重要数据的信息系统与其他系统有较多交互，或采取的安全保护措施较为薄高重要数据安金管理制度不够全面，无法有效对重要数据处理活动进行全生命周期管理。对接触到重要数据的相关人员的约束不足、管理松散、权限分配不合重要数据的第三方签订相关协议/合同条款设置不合理、全面，无法三方处理重要数据的行为。3年内发生过威胁引发的重要数据相关安全事件，或收到过险预警信息，或3年内处理重要数据的信息系统遭受过较多的网络攻击。处理重要数据的信息系统与其他系统仅存在较少的交互情况的接口安全管控措施。采取的安全保护措施基本完中重要数据安全管理制度基本全面，基本实现对重要数据处理活动进行全生命周期管理，仅部分管理要求尚不完善。对接触到重要数据的相关人员的约束较为充分、权限分配较为合理。据的第三方签订的相关协议/合同条款设置基本合理、全面，基本可以数据的行为进行约束，但尚未对第三方协议/合同履行情况进行检真实有效掌握第三方协议/合同履行情况。3年内未发生过威胁引发的重要数据相关安全事件。3年内处过较少的网络攻击。处理重要数据的信息系统与其他系统不存在交互情况，或仅对其进行了严格的安全审批管理，并留存记录。采取的安全保护措施完备。低重要数据安全管理制度完备，实现对重要数据处理活动进行全生命明确、全面。对接触到重要数据的相关人员的约束充分、权限分配合理。与参与处方签订相关协议/合同条款设置合理、全面，可以实现对第三方处理有效约束，且定期对第三方协议/合同履行情况进行检查、审计或评从未发生过威胁引发的重要数据相关安全事件。3年内处理重要受或仅遭受过极少的网络攻击，且攻击危险程度较低数据安全管理、数据安全技术、个人信息保护、重要数据处理等方面的评估内容，评估内容框架如图4所示。重要数据处理风险识别风险识别安全影响分析全急安应图4数据安全风险评估内容框架图重要数据安全风险评估流程重要数据安全风险评估流程否否分析理风险是是b)围绕待评估的数据和数据处理活动，通过对数据处理活动、数据安全管理、数据安全d)从数据价值、风险源严重程度等方面，综合评价风险可能对国家安全、公共利益或者姓名单位/部门计划时间配合人员数据项名数量(条)网络规划域网络规口纸质文件口电子文档口音视频口图片口数据库表口其口直接收集□统计分析产生口系统运维产生口业务运营产生网络运行维护网络与据析规划与策域出口管据国家科技计划等活动产生的网络规划域网络规□是：(填所在国家和地区)口否口存储口大数据口加工口其□直接对外提供查询□提供个性化服务、开展营销□进行市场调研、宏观分析、报告□对外直接提供(如出售、委托、共享)口分析结果对外提供口为政府部门提供口其他：口否网络运行维护据网络与析规划与策出口管域据国家科技计划等活动产生的估得处理的情形。门要求，对经营分析系统中产生的重要数据估公益事业等。评估经营分析系统中活动目的和场景，其目的保障数据安全，以便估数据处理活动场景，评估处理的重要数据种类、评估经营分析系统的评估说明1.基分类分级1、已开展数据资产梳理，并2、对数据的分类与分级正确，符合集团信安统一要求。成重要数据清单。安全保护1、针对不同级别的数据资产，1.2权限管理已制定本单位账号及权限管台系统的用户账号分配、开保障要求，以及账号操作的审批要求和操作流程等。1、建立了平台系统权限分配3、平台系统权限表中超级管理员权限账号数量合理。(数量统计，原则只能为1个)1、账号权限分配表中安全管理人员、使用人员、审计人员的角色实现了角色分离设置。责任部门或数据安全责任人访问控制1、系统配置了口令复杂度策略。2、系统配置了账号锁定策略，3、系统对口令遗忘的申请和口令重置流程无业务逻辑设录。4、账号口令及加密密钥已加密存储。1、涉及数据重大操作的(如数据批量复制、传输、处理、开发共享和销毁等)触发金库日志审计记录。1.3安日志管理已制定日志留存管理相关制度，明确日志记录范围、规范、留存时间、访问控制要求等。日志记录1、对数据授权访问、批量复口调用等重点环节实施网络日志留存管理，日志记录至少理方式、授权情况、IP地址、2、日志留存时间满足6个月日志备份已定期对日志进行备份。日志操作权限控制限制日志访问操作权限。日志审计制度及审1、已制定数据安全审计制度，内容、实施周期、结果规范、问题整改跟踪等要求。且审计权限与系统管理权限、定期形成数据安全审计报告以及问题改进跟踪记录。(至少每半年形成一份)1.4合理合作方台账方企业名称、合作业务或系1、已与合作方全量签订服务合同和数据安全保密协议。及项目参与员工可接触到的数据处理相关平台系统范围以及数据使用权限、内容、范围及用途(应符合最小化原则),合作方数据安全责任、后数据删除要求，合作方违约责任和处罚等内容3、业务合作结束后，督促第三方依照合同约定及时关闭急响应1、制定了数据安全应急预案，失)、数据滥用、数据被篡改、数据被损毁、数据违规使用等。件等级。1、典型事件场景至少每年开1、如发生数据安全事件，进告。2、发生大规模用户个人信息育培训制定教育培训计划案。开展教育培训1、教育培训教材满足培训要求。培训人员进行考核评定，培训内容、培训范围、学时等满足数据安全教育培训要求。采集规则1、制定了内部数据采集实施集方式。合规审查，留存审查记录。3、利用外部数据源采集数据时，对外部数据来源进行合法性确认，并要求提供方说明了体授权同意的范围正当1、用户协议有明确告知，公布数据收集、使用规则以明确数据采集目的用途。2、经营或者服务场所、网站、则，告知用户收集、使用信息的目的、方式和范围，留存信息的期限，并获得个人信息主体同意。原则1、明确了数据收集时的最小必要原则。品/服务的业务功能有直接关联。1、制定了数据传输的相关制则。2、根据业务流程、职责界面、网络部署、安全风险等情况合理划分网络系统安全域。不同数据传输场景，明确数据传输安全策略和操作规程。出境的场景、类别、数量级、频率、接收方等进行梳理汇总1、明确核心数据处理活动有段，数据存储介质安全策略和密协议。移动介质1、对接入数据存储相关平台格的审核机制。2、将数据下载到本地终端的行为有审批和日志记录。1、制定了数据备份操作规程周期、备份方式、备份地点、数据恢复性验证机制等内容。2、定期对数据进行备份。验证备份数据的有效性。据使用1、已明确区分不同目的下(如使用审批流程。2、已明确区分不同目的下(如使用脱敏处理规则1、处理个人信息时采用了脱敏手段，消除明确身份指向人。2、因业务需求，改变个人信息使用目的或改变个人信息使用规则时，再次征得用户明示同意。1、建立了数据对外开放共享的审核制度文件。签订合作协议，在合作协议中明确了对数据的使用目的、供信息主体告知共享个人信息的目的、接收方情况等，并征建立数据销毁与删除管理制和规程。1、建立了数据销毁审批机制，设置了销毁相关监督角色，明确要求数据批量销毁采用多个人信息1、提供了个人信息删除申请2、按要求及时删除个人信息(如涉及)。估据识别资产扫描1、配备数据资产扫描工具且能识别个人敏感信息2、定期开展数据资产扫描。能力，定期对数据处理场景中审计能力能力的平台系统，具备数据操作权限配置、异常操作告警与1、业务或系统已接入审计平台，或有相关接入计划和方案。2、数据操作审计内容和平台露漏能力1、涉及存储、处理个人敏感信息和重要数据的有关平台系统部署数据防泄漏产品/系统。点终端及网络纳入数据防泄3、防泄漏产品/系统具备对网作行为预警拦截。口安全面向互联网及合作方开放的日志记录涉及个人信息和重要数据的审批记录和接口日志。日志审计人信息保护息采取去标识化、关键字段加密安全存储措施。在跨安全域或者通过互联网传输个人敏感信息时采用了相应的加密措施。1、对用户端前台界面展示的理。择。围系统已纳入4A管控。管控场景1、所有敏感数据操作场景均场景清单形成管理台账，至少维护。2、金库场景新增或删除有审批记录。关系和审批的1、金库申请填写有合理的业3、金库申请审批有完整的日志记录a.基础性评估(1)分类分级(2)权限管理(4)合作方管理(5)应急响应(6)教育培训(4)数据开放共享可能性相关的要素归纳为以下4个方面：存时间是否不少于6个月，涉及出境环节日志记录是否留存3年以上。c.是否建立重要数据安全风险监测报送机制g.是否定期对第三方履行合同或协议的情况进b.重要数据处理者3年内是否曾发生过数据安全事件。d.相关业务系统3年内遭受网络攻击的情况。网络环境和管理制度和低高中低√√√√低高中√低√√√数据使用中高中低√√√√高中低√√√√低高中√低√√√低高中低√√√√低高中低√√√√述可能影响国家安全的5个维度的对应关系。考《信息安全技术网络数据分类分级要求》,从数据分级角度衡量数据价值，数据级别越高高、极高5个级别。各级别数据安全风险危害程度描述如下表所示。一旦数据安