信息安全技术个人信息安全 第5部分：风险管理指南

1信息安全技术个人信息安全第5部分：风险管理指南本文件为个人信息安全管理体系构建、实施、运行中实施风险管理提供指导和帮本文件适用于个人信息管理者内关注个人信息安全的各级管理者和员工，及为个人信息安全管理DB21/TXXXX信息安全技术个人信息安全术语DB21/T1628.1信息安全技术个人信息安全第1部分：要求DB21/T1628.2信息安全技术个人信息安全第2部分：实施指南DB21/T1628.4信息安全技术个人信息安全第4部分：文档管理指南3.13.23.3个人信息安全风险personalinformationsecuri3.43.5发现、记录、描述危害个人信息和个人信息主体权益的风险3.62识别风险因素，分析风险因素的危害，判断风险因素导3.73.83.9风险转移risktransfer与其它管理体系、或与其它相关组织分担风3.103.115风险因素a)危险因素：存在可能突发或瞬时发生个人信息危害的因素；38)个人信息匿名化后的处理方式等；c)环境性的：个人信息管理者的运营场所与个人信息安全相关的环境及个人工作位置与个人信4)相关信息（文档等）的管理方式；4a)个人信息管理者的运营战略、管理结构、业务模式；b)个人信息管理机构的职能；）；）；g)个人信息生命周期内活动、行为相关因素；h)个人信息数据库；7.2职责7.3实施b)确定所有相关人员的职责；58.2过程风险评估过程反馈改进风险跟踪和监控<>↓↓↓风险评估过程反馈改进风险跟踪和监控<>↓↓↓<>8.2.2说明62)否则，重新确定风险范围，进入新的循风险管理应采用PDCA过程管理模式，并持续改进风险管理过程，如图2划、过程8.3.2说明79风险管理计划b)确定风险管理的范围；d)确定风险管理策略、方式、方法、资源需求等；e)风险管理前的准备，包括个人信息生命周期关联因素的分析、评估f)基于个人信息生命周期的过程管理的风险控制技术及方法、措施等；10.1原则a)个人信息安全相关法规、标准和本标准的要求；b)个人信息管理者的管理、业务模式和发展战略；10.2风险识别8a)资源依赖度：涉及个人信息的管理、业务对各c)暂不需专门关注的：资源依赖度相对较低，资源价值较低；在风险管理范围内，应识别、描述与管理、业务涉及个人信息部分关联的各种资源及相关风险：a)该类资源的详细信息；b)资源与个人信息的关联度；在资源识别中，应注重威胁个人信息生命周期各个环节的风识9PISMS构建、实施、运行过程中的风险识别，是体系持续改进和完善的保证。PISMS安全风险主要a)最高管理者的意志和意识：如果最高管理者仅仅选择形式，则体系形同虚设；等，应与整体信息安全统一规划、设计，并考虑个人信息安全的e)过程改进缺陷：应注意PISMS在d)收集适用性：收集适用、适度的控制，最小收集的二次收集风险等；）：个人信息处理、使用、利用后的处理存在的风险，主要可个人信息收集、处理、使用、利用全过程管理存在的风险，主要可应依据相关标准、法规，科学、规范的识别个人信息安全b)应分析风险是如何发生、以什么方式发生、发生位置、发生原因等；10.3风险分析应定性描述已识别的各类个人信息安全风险，主要应a)风险存在的基础、环境、条件及关联因素；应定量分析已识别各类个人信息安全风险，主要a)风险发生的可能性；12345业务性的风极少涉及个人信息，风险发生的可能性极小涉及少量个人但发生的可能存在较大风险且发生的可能生个人信息安全风险的可能性很大12345管理性的风极少涉及个人涉及部分个人发生个人信息安信息，风险发生的可能性极小但发生的可能存在较大风险且发生的可能全风险的可能性12345管理性的风相应技术措施相应技术措施相应技术措施未采取或仅采取相对完善，缺存在一般性的陷被使用的可12345环境性的危在整体环境或在整体环境或在整体环境或在整体环境或个险或危害因个人工作环境个人工作环境个人工作环境人工作环境中存素中极少存在个人信息安全隐患，风险发生中存在部分个人信息安全隐发生的可能性中存在个人信在较大风险且发生的可能性在很大的个人信12345行为性的风无行为危员工行为存在员工行为存在员工行为存在员工行为存在很险极少个人信息安全隐患，风险发生的可能发生个人信息安全隐患的可发生的可能性个人信息安全风险且发生的大的个人信息安风险且发生的可10.4风险判定a)违背个人信息安全相关法规、规范的情况；c)个人信息准确性、完整性和时效性的确定；根据风险分析、风险等级和风险判定原则，可判定风险可能产生的影响。影响可分为3级，如表9123f)应通过技术、管理改进风险应对措施；11.2风险接受原则11.3风险处理方式信息数据库的防护、备份容灾、应急处理等。风险弱化应c)风险转移：鉴于在个人信息管理中，风险转移的复杂性，不宜采用；11.4残余风险a)可以接受的风险；b)风险评估中遗漏的风险，仍存在发生的可能性；应在PISMS运行中跟踪、监控残余风险，及时识别潜存的安全风险，随时采取相应的应对12.2风险监控会发生变化，风险应对措施是否合理、适宜，是否存在残余风险风险控制，是易于遗漏的风险管理过程，实施PISMS内审应是保证风险控制的