数据安全事件频发，企业应如何开展数据安全风险评估？
整体背景
在数字经济浪潮的推动下，数据总量呈爆炸式增长，数据价值凸显、流通场景复杂多样，数据安全风险日益严峻。
从国家层面来看，近年来国家针对数据安全制定了一系列安全法律和法规，对各行业的数据安全提出了更高的要求。近日，国家数据局等17部门联合印发《“数据要素×”三年行动计划（2024—2026年）》，数据安全又一次在顶层设计规划层面受到高度重视。
从企业层面来看，频发的数据安全事件为各行业敲响了警钟，为进一步应对风险和挑战，数据安全风险评估工作必不可少。通过数据安全风险评估，帮助企业梳理数据资产情况及数据流转情况，全面分析存在的脆弱性和安全威胁，识别数据安全风险，满足国家法律法规及行业监管要求，保护数据安全。
企业现状及挑战
数据资产难梳理：企业拥有海量的结构化、非结构化、半结构化等多种形式的数据存在模式，数据难以梳理，重要数据难以明确区分。
数据流转不明确：企业信息系统规模大、数量多，在其中流转的数据量巨大且错综复杂，导致企业不能清晰地明确自身数据流转情况及数据流向。
数据安全管理体系缺失：企业数据安全管理制度缺失，组织架构不清晰，岗位职责不明确，人员数据安全意识薄弱。
数据安全措施不完善：部分企业数据安全技术措施不够完善，可能会导致数据处于不安全的状态。
安全攻击频繁：黑客、勒索病毒、突发的数据泄露事件持续上升，造成企业经济和业务损失及客户信任度下降。
数据安全风险评估咨询服务
网御星云数据安全风险评估咨询服务，帮助企业识别数据安全风险，并提供相应的整改和消除措施，从而确保企业数据安全。传统信息安全评估的对象是整个信息系统，包括硬件、软件、网络、人员和政策等多个方面。而网御星云数据安全风险评估咨询服务主要关注数据本身，更侧重于特定的数据集或数据类别以及数据应用场景，涵盖数据的全生命周期。其目的是解决在数据处理、存储和传输等过程中可能出现的风险和漏洞。
同时，网御星云数据安全风险评估咨询服务符合国家法律法规、相关标准和行业政策，从基础性评估要点、数据生命周期评估要点及技术能力评估要点等角度出发分析企业的合规性，以确保数据安全风险评估符合国家要求。
网御星云数据安全风险评估咨询服务通过评估方法、明确评估内容、制定评估流程以及明确相应的风险要素，以保障数据安全风险评估得以顺利进行，确保数据安全风险评估的准确性、可靠性和有效性，为企业的数据安全保驾护航。
1.合规参考
国家法律：
《中华人民共和国网络安全法》
《中华人民共和国数据安全法》
《中华人民共和国个人信息保护法》
行政法规：
《关键信息基础设施安全保护条例》
《网络数据安全管理条例（征求意见稿）》
《“十四五”数字经济发展规划》
《互联网信息服务管理办法》
《科学数据管理办法》
相关标准：
《网络安全标准实践指南—网络数据安全风险评估实施指引》
《信息安全技术 数据安全风险评估方法（征求意见稿）》
《信息安全技术 数据安全能力成熟度模型》(GB/T37988-2019)
《信息安全技术 信息安全风险评估规范》(GB/T20984-2007 )
《信息安全技术 网络数据处理安全要求》(GB/T41479-2022)
行业政策：
《电信网和互联网数据安全风险评估实施方法》
《电信网和互联网数据安全评估规范》
《电信网和互联网数据安全通用要求》
《金融数据安全数据生命周期安全规范》
《金融数据安全数据安全评估规范》
2.数据安全风险评估内容
网御星云数据安全风险评估咨询服务内容基于数据收集、数据存储、数据使用、数据加工、数据传输、数据提供、数据公开等处理活动，分为评估准备、综合调研、合规及风险识别、综合分析、评估总结五个模块，具体内容如下图所示。
数据安全风险评估内容图
3.数据安全风险要素
数据安全风险评估涉及数据、数据处理活动、业务、信息系统、安全措施、风险源等基本要素，要素间关系如下所示：
·数据是核心要素，具有数据价值等属性，数据价值将影响数据安全风险的危害程度。数据和数据处理活动是数据安全风险评估的评估对象。
·数据处理者运营业务，业务依赖数据实现。业务需要依托信息系统的支撑，可能涉及一个或多个信息系统。信息系统包含多个数据处理活动，信息系统是数据的载体。
·数据在流转过程中涉及一个或多个数据处理活动，数据处理活动应遵循数据安全法律法规要求。
·安全措施用于保护数据安全，能降低数据安全风险源发生的可能性。数据和数据处理活动作为评估对象，可能存在风险源，风险源可能引发数据安全风险，数据安全风险将对数据和数据处理活动有潜在影响。
数据安全风险要素关系图
4.数据安全风险评估流程
通过对数据资产和数据处理活动中要素的梳理，结合已有合规措施，完成数据安全合法合规性分析。再通过数据资产价值、处理活动脆弱性和威胁识别等要素的识别，结合已有技术安全措施，完成技术脆弱性和威胁分析，形成数据安全事件分析报告。综合数据安全合法合规分析和数据安全事件分析报告，最终形成数据安全风险值。
数据安全风险评估流程图
5.具体实施
数据安全风险评估的具体实施分为评估准备、综合调研、合规识别、风险识别、综合分析、评估总结六个阶段。
评估准备阶段主要是通过同客户沟通，确定评估目标、明确评估范围并组建评估团队等前期准备工作，制定数据安全风险评估工作计划及相应整体评估方案，为后续评估奠定基础。具体内容包括确定评估目标和范围、组建评估团队、制定工作计划、制定评估方案、开展初步调研等。
综合调研阶段主要是对客户数据资产、数据处理活动、信息系统、安全防护措施展开调研，输出数据资产清单、资产赋值列表、数据处理活动清单、数据流图、组织架构图、制度清单等一系列调研结果。具体内容包括数据资产调研、业务系统调研、数据处理活动调研、组织及制度调研等。
合规识别阶段主要是针对客户现状，参考相关规范标准以及个人信息安全保护要求，从多角度进行对标，发现客户的合规差距，形成对照标准规范要求的差距分析表。具体内容包括识别合规性等。
风险识别阶段主要是采用多种手段从管理、技术等方面开展风险识别，形成识别结果。具体内容包括识别威胁和脆弱性、识别已有安全措施等。
综合分析阶段主要是基于识别结果，整体考虑数据价值、风险严重程度、已有安全措施等因素，输出数据安全风险列表、数据安全问题清单、整改建议列表。具体内容包括合规性分析、安全风险分析、梳理安全问题清单、提出整改意见等。
评估总结主要是对数据安全风险评估各阶段交付物内容总结、分析，形成《数据安全风险评估报告》和《风险整改计划》。具体内容包括编制综合风险评估报告、确认安全风险处置措施等。
- - - - - - - - - - - - - - -
数字化浪潮席卷全球，围绕数据产生的风险与威胁源源不断，对企业而言，尽早开展相应的评估、有针对性地做好安全风险处置才是良策。网御星云数据安全风险评估咨询服务可以帮助企业全面了解其数据资产情况、数据安全状况和合规性程度，识别并评估数据安全风险，采取相应的防范措施和策略，确保数据的安全性和可用性，将数据资产被威胁和损害的程度降到最低，保护企业数据的安全。
