工业领域-电信领域-数据安全风险评估规范

这是一篇关于工业领域 电信领域 数据安全风险评估规范的思维导图，主要内容包括：1.组建评估团队，2.确定评估范围，3.制定评估方案，4.实施风险评估，5.形成评估报告。

工业领域 & 电信领域 数据安全风险评估规范

• 1.组建评估团队
  • 不少于5名专业评估人员
  • 4+1
    • 1名评估团队组长、4名评估团队成员
    • 其中至少4人，取得工业和信息化领域数据安全风险评估相关技能评价证书
  • 包括组织管理、业务运营、技术保障、安全合规等人员组成
• 2.确定评估范围
  • 评估范围
    • 全部重要数据和核心数据
    • 一定比例的一般数据
      • 抽样原则：
        • 选择具有代表性的
        • 类型应该互补，覆盖主要类型和各数据处理活动
        • 数据载体尽量不重复
        • 数量不少于3条
  • 方式：发放《数据安全风险评估调研表》
    • 远程指导方式；发放调查表格、电话沟通
    • 线下方式：现场调研、会议
  • 附录：数据类别
    • 工业领域 （6大类）
      • 研发设计数据
      • 生产制造数据
      • 经营管理数据
      • 运行维护数据
      • 平台运营数据
      • 应用服务数据
    • 电信领域 （8大类）
      • 网络规划运维数据域
      • 安全保障数据域
      • 经济运行与业务发展数据域
      • 关键技术成果数据域
      • 业务运营数据域
      • 管理数据域
      • 用户数据域
      • 其他数据域
  • 《数据处理情况表》
    • 数据项名
    • 数据类型
    • 数据级别
    • 数据数量
    • 数据处理活动
    • 处理目的
    • 数据处理方式
    • 处理频率
    • 是否涉及数据出境
    • 涉及信息系统名称
    • 附图
      • 数据处理主体（直角矩形）
      • 数据处理活动（圆角矩形）
      • 数据处理方式（各操作下的黑色文字）
      • 数据流转路径（带箭头实线）
  • 《评估环境图》
    • 体现各评估工具的接入点
    • 避免体现网络拓扑等敏感内容，或采取脱敏方式绘制
• 3.制定评估方案
  • 《评估方案》包括（6部分）
    • 评估范围
    • 评估依据
    • 评估团队基本信息
    • 工作计划
    • 使用的评估工具情况
    • 保障条件
  • 风险评估方法（4个）
    • 人员访谈
    • 人工核验
    • 工具测试
    • 评估数据安全保障措施的有效性
    • 资料查验
      • 评估数据安全管理相关制度文件是否符合标准要求
  • 评估原则（7个）
    • 规范性原则
    • 客观公正原则
    • 可复现原则
    • 可控性原则
    • 完备性原则
    • 最小影响原则
    • 保密性原则
• 4.实施风险评估
  • 4.1.数据处理活动分析
    • 《数据处理活动分析表》
      • 识别数据处理者所有一般数据、重要数据和核心数据处理活动
      • 各处理活动所对应的
        • 数据名称
        • 类别
        • 级别
        • 规模
        • 处理目的和方式
        • 使用范围
        • 涉及的接收方及数据载体情况
  • 4.2.合规性评估
    • 4.2.1.正当必要性评估
      • 查验数据处理活动所涉及的
        • 业务说明
        • 需求分析
        • 合同协议
        • 监管文件
      • 实现以下目的下的最小范围 (7个方面)
        • 合法开展业务
        • 配合政府机构工作
        • 合法开展科学研究
        • 合法开展新闻报道
        • 履行合同义务
        • 保障公民合法权益
        • 履行法律法规所规定的义务
      • 结果：满足/不满足
      • 正当必要性评估不满足，则合规性评估结果为不通过
    • 4.2.2.基础性安全评估
      • 工业领域（10个方面）
        • 记忆方式： - 4 个 基本相同 - 3 对 1 - 1 对 2 - 工业领域 2 个 新增 - 电信领域 1 个 例外
        • 1.安全管理制度
          • 一般数据
            • 《数据全生命周期安全管理制度》
        • 2.组织机构
          • 一般数据
            • 设置数据安全管理相关部门和岗位职责
          • 重要数据和核心数据
            • 重要数据和核心数据：数据安全工作体系
              • 数据安全管理责任部门
              • 职能管理部门
                • 采购
                • 法务
                • 审计
                • 人力
                • 财务
              • 业务部门
                • 研发设计
                • 生产制造
                • 运营维护
                • 销售营销
            • 数据安全岗位职责相关文档
              • 数据安全授权审批事项
              • 审批部门
              • 审批人
        • 3.人员保障
          • 一般数据
            • 配备数据安全管理人员
            • 开展数据安全教育与技能培训
          • 重要数据和核心数据
            • 数据安全负责人
            • 关键岗位人员
              • 能获知重要数据和核心数据内容的人员
            • 数据安全责任书
              • 数据安全岗位职责
              • 义务
              • 处罚措施
              • 注意事项
        • 4.数据分类分级
          • 一般数据
            • 数据资产梳理
              • 安全管理目标和原则
              • 维护和使用责任
              • 梳理手段
              • 梳理方式
              • 梳理周期
              • 《数据资产清单》
                • 数据资产分布
                • 迁移
                • 资产异常
            • 《数据分类分级管理制度》
              • 数据分类分级管理数据范围
              • 数据分类分级原则
              • 数据分类分级策略
              • 管控技术措施
              • 《数据分类分级清单》
                • 业务需求
                • 数据来源
                • 用途
          • 重要数据和核心数据
            • 《重要数据和核心数据目录》
        • 5.权限管理
          • 一般数据
            • 《权限管理制度》
              • 数据处理平台及系统账号
                • 分配
                • 开通
                • 使用
                • 注销
                • 数据处理平台或系统账号管理机制
              • 合理分配数据处理权限
                • 业务需求
                • 安全保护策略
                • 最小授权原则
            • 定期对权限分配情况进行复核
            • 不能存在
              • 默认账号
              • 测试账号
              • 未注销账号
          • 重要数据和核心数据
            • 重要数据和核心数据审批
              • 涉及处理重要数据和核心数据
              • 授权特定人员超权限处理数据
              • 实施重大操作
                • 如数据批量复制、公开、销毁
        • 6.系统与设备安全管理
          • 一般数据
            • 数据载体的安全配置
              • 《安全配置清单》
              • 定期开展配置审计
                • 《配置核对表》
            • 安装最新版补丁程序
            • 《身份认证相关管理制度》
              • 涉及的数据载体
                • 工控系统
                • 数据库
                • 信息系统
            • 定期更新口令
              • 默认口令
              • 弱口令
          • 重要数据和核心数据
            • 重要数据和核心数据的数据载体
              • 多因素认证方式
        • 7.供应链数据安全管理
          • 一般数据
            • 供应链数据安全风险控制措施
            • 查阅数据处理者
              • 管理资料
              • 服务合同
              • 安全协议
            • 选择供应链服务商
              • 资质条件
              • 业务合法性
              • 数据安全保护能力
            • 规范数据
              • 使用权限
              • 内容
              • 范围
              • 用途
        • 8.日志留存和审计
          • 一般数据
            • 全生命周期的日志留存管理
              • 除了“出境”的7个
            • 日志记录信息
              • 操作时间
              • 操作地点
              • 操作人员
              • 操作账号及权限
              • 处理方式
            • 日志记录保存时间
              • 不低于6个月
            • 数据安全审计措施
              • 数据处理者内部权限控制
              • 数据处理者数据流动跟踪情况
              • 数据安全事件
              • 数据安全防护措施有效性
            • 定期开展数据安全审计
              • 发现的问题及时整改
        • 9.监控预警、信息共享与应急处置
          • 一般数据
            • 数据安全风险检测预警与应急管理机制
            • 安全风险及安全事件
              • 数据泄露
              • 违规传输
              • 流量异常
              • 建设数据安全风险监测能力
            • 发生数据安全事件时
              • 数据安全事件应急预案
                • 与行业监管部门的应急预案进行衔接
              • 应急演练计划
              • 演练记录
            • 数据安全事件应急处置记录、报送记录
              • 上报本地区行业监管部门
                • 较大及以上安全事件
                • 涉及重要数据和核心数据的安全风险
              • 告知用户
        • 10.安全评估
          • 重要数据和核心数据
            • 每年至少开展一次安全风险评估
            • 触发时机（这些过程前）
              • 收购或资产剥离
              • 重大流程或系统变更
              • 新业务上线
              • 数据迁移
              • 数据出境
              • 数据提供
              • 委托处理
      • 电信领域（8个方面）
        • 1.组织保障
          • 一般数据
            • 《数据安全岗位人员名单》
            • 《数据安全制度文档》
          • 重要数据和核心数据
            • 数据安全工作体系
              • 覆盖相关部门、明确责任分工
              • 数据安全管理机构
                • 至少配备1名数据安全专职人员
              • 相关执行部门
                • 至少配备1名数据安全责任人
            • 关键岗位
              • 法定代表人或者主要负责人
                • 数据安全第一责任人
              • 分管数据安全的成员
                • 直接责任人
              • 相关岗位人员
                • 签订数据安全责任书或保密协议
                  • 岗位职责
                  • 相关义务
                  • 处罚措施
                  • 注意事项
        • 2.数据分类分级
          • 一般数据
            • 《数据分类分级管理制度》
              • 数据分类分级管理范围
              • 数据分类分级原则、标准
              • 变更流程
            • 资产梳理（和工业领域雷同）
          • 重要数据和核心数据
            • 形成重要数据和核心数据目录
            • 备案内容发生重大变化时
              • 3个月内履行备案变更手续
        • 3.权限管理
          • 一般数据
            • 工作机制
              • 内部登记、审批
            • 审批流程和操作要求
              • 账号权限分配
              • 开通
              • 使用
              • 变更
              • 注销
            • 涉及授权特定人员超权限处理数据的
              • 多人审批授权或操作监督
            • 数据高风险操作
              • 批量复制
              • 批量传输
              • 批量销毁
              • 多人审批授权或操作监督
            • 定期更新相关系统《权限分配表》
            • 账号安全管理措施
              • 口令复杂度策略
                • 长度不少于8位
                • 大写字母、小写字母、数字及特殊字符至少3种的组合
                • 与用户名无相关性
              • 账号锁定策略
                • 口令输入尝试次数限制
              • 严格管理口令遗忘的申请和重置流程
          • 重要数据和核心数据
            • 精细化配置数据访问处理权限
              • 访问主体精确到用户
              • 访问对象精确到文件或数据库表
            • 身份认证和权限控制
              • 基于IP、MAC地址、服务路径
            • 限制非正常登录次数、场景
            • 长时间无操作自动退出
            • 口令鉴别信息
              • 口令加密
              • 时间戳
              • 防止重放性攻击
            • 不存在绕过账号登录的安全漏洞或越权漏洞
        • 4.日志留存
          • 一般数据
            • 日志管理制度要求
              • 日志记录范围
              • 留存时间
              • 日志备份要求
              • 日志审计职责划分
              • 人员配备与审计频度
            • 保存时间
              • 不少于6个月
            • 日志审计制度
              • 结合场景明确审计策略
              • 审计目的
              • 审计对象
              • 审计内容
              • 审计操作规程
              • 审计频度
              • 审计结果
              • 审计问题整改跟踪
            • 日志审计报告
              • 操作时间
              • 操作主体
              • 操作类型
              • 操作对象
              • 操作结果
              • 审计问题
              • 改进方案
              • 异常情况处置记录
          • 重要数据和核心数据
            • 日志审计平台
              • 数据处理活动全量纳入审计范围
            • 高风险操作的日志备份
              • 批量复制
              • 批量传输
              • 批量销毁
            • 日志记录
              • 操作时间
              • 操作账号
              • 处理方式
              • 授权情况
              • 操作对象
              • 数据量级
              • 具体操作语句
            • 日志审计制度规范
              • 每半年重要数据形成审计报告
              • 每季度核心数据形成审计报告
        • 5.风险监测预警
          • 一般数据
            • 风险监测预警相关制度文件
              • 明确负责部门
              • 明确
                • 目的
                • 方式
                • 内容
                • 操作规程
                • 频度
            • 定期开展风险监测预警
              • 数据资产
              • 数据处理活动
              • 网络与系统设备
              • 数据处理账号
              • 内外部数据流动
              • 实施监测巡查
              • 对异常流动等行为
                • 进行排查预警与处置
            • 可能造成较大及以上安全事件的风险
              • 向本地区行业监管部门报告
        • 6.应急处置
          • 一般数据
            • 充分考虑数据安全事件业务场景
              • 数据泄露（丢失）
              • 数据被篡改
              • 数据被损毁
              • 数据违规使用
            • 至少每年开展一次演练
            • 每年向本地区行业监管部门报告数据安全事件处置情况（未发生的无需上报）
          • 重要数据和核心数据
            • 发生安全事件时立即报告
        • 7.安全评估
          • 一般数据
            • 内容（6个方面）是否完善
              • 数据处理者基本情况
              • 评估团队基本情况
              • 数据处理活动分析
              • 合规性评估
              • 安全风险分析
              • 评估结论及应对措施
            • 评估工作中发现的问题
              • 分析并明确问题所关联的风险
              • 明确处理处置计划及对应的改进措施
              • 是否实际整改或改进
              • 对整改措施的有效性进行复核
          • 重要数据和核心数据
            • 至少每年开展一次数据安全风险评估
        • 8.教育培训
          • 一般数据
            • 年度培训时长不少于10学时
          • 重要数据和核心数据
            • 年度培训时长不少于20学时
    • 4.2.3.数据全生命周期评估
      • 工业领域（11个方面）：
        • 记忆方式：8 + 3
        • 收集
          • 一般数据
            • 原则
              • 合法正当
              • 目的明确
              • 最小够用
          • 重要数据
            • 避免出现超范围数据收集活动
              • 来源
              • 时间
              • 类型
              • 数量
              • 频度
              • 流向
            • 所涉及的
              • 软硬件工具
              • 设备
              • 系统
              • 平台
              • 接口
              • 收集技术
              • 测试、认证、鉴权
          • 核心数据
            • 实时监控能力
            • 发现异常时及时终止
            • 可溯源
        • 存储
          • 一般数据
            • 确有安全防护需求的数据
              • 加密技术
              • 数字签名
              • 校验
              • 实现存储数据的
                • 保密性
                • 完整性
                • 可用性
            • 数据备份
          • 重要数据
            • 采用身份鉴别和访问控制机制
            • 必须采用
              • 校验技术
              • 加密技术
              • 数字签名
            • 存储系统是否直接通过公共信息网络访问
            • 数据备份管理
              • 备份方式
              • 备份周期
              • 备份介质的种类
            • 定期
              • 备份
              • 开展恢复测试
          • 核心数据
            • 存储设备进行硬件冗余
              • 历史数据库
              • 时序数据库
              • 实时数据库
            • 实时监控能力
            • 发现异常时及时终止
            • 可溯源
        • 使用和加工
          • 一般数据
            • 利用数据进行自动化决策时，保证
              • 决策的透明度
              • 结果的公平合理
          • 重要数据
            • 要有授权和验证措施
            • 使用加工过程记录
              • 数据获取方式
              • 访问接口
              • 授权机制
              • 处理结果安全
            • 使用加工的环境安全情况
              • 恶意代码检测
              • 身份鉴别
              • 访问控制
            • 不影响数据加工与分析的情况下，对数据脱敏后再处理
          • 核心数据
            • 实时监控能力
            • 发现异常时及时终止
            • 可溯源
        • 传输
          • 一般数据
            • 根据传输的数据
              • 类型
              • 级别
              • 应用场景
              • 制定安全策略
            • 相关技术手段
              • 密码技术
              • 数据脱敏
              • 校验技术
              • 安全传输通道
              • 安全传输协议
          • 重要数据
            • 必要时采用单向隔离传输
            • 具备数据传输异常检测技术能力
              • 进行监测并实时告警
              • 遭破坏时及时采取恢复措施
            • 数据迁移不影响业务应用的连续性
          • 核心数据
            • 实时监控能力
            • 发现异常时及时终止
            • 可溯源
            • 采用技术手段实现数据传输的
              • 真实性
              • 不可抵赖性
              • 可控性
        • 提供
          • 一般数据
            • 明确数据提供的
              • 范围
              • 类别
              • 条件
              • 程序
          • 重要数据
            • 数据获取方
              • 签订数据安全协议
              • 评估数据安全保护能力
            • 数据上云过程中开展数据安全监测
            • 数据提供过程中
              • 数据脱敏
              • 数据标注
              • 数据水印
          • 核心数据
            • 事先向本地区行业监管部门提出申请
        • 公开
          • 一般数据
            • 公开披露前
              • 对国家安全、公共利益产生的影响进行分析研判
          • 确保重要数据公开安全
            • 数据脱敏
            • 数据水印
        • 销毁
          • 一般数据
            • 明确数据销毁
              • 对象
              • 规则
              • 流程
              • 技术
            • 对销毁活动进行记录和留存
          • 重要数据
            • 实现物理销毁存储介质
            • 缓存数据进行完全清除
            • 更新重要数据目录备案
          • 核心数据
            • 更新核心数据目录备案
        • 出境
          • 一般数据
            • 是否存在数据出境
              • 必要时结合工具监测手段进行分析
          • 重要数据
            • 出境安全评估
            • 向本地区行业监管部门提出申请
            • 对出境行为、内容开展安全监测
        • 转移
          • 一般数据
            • 通知数据转以后受影响的用户
          • 重要数据
            • 转移时能及时向本地区行业监管部门更新备案
          • 核心数据
            • 事先向本地区行业监管部门提出申请
        • 委托处理
          • 一般数据
            • 明确委托方与受托方的数据安全责任和义务
          • 重要数据
            • 受托方的数据安全保护能力、资质进行评估或核实
          • 核心数据
            • 事先向本地区行业监管部门提出申请
        • 跨主体处理数据
          • 核心数据
            • 处理方式中
              • 数据传输
              • 提供
              • 转移
              • 委托处理
              • 向本地区行业监管部门提出申请
            • 全流程监控、审计、存证
              • 数据溯源系统
              • 审计系统
      • 电信领域（8个方面）
        • 收集
          • 一般数据
            • 合法、正当原则
            • 明确
              • 收集渠道
              • 数据格式
              • 收集流程和收集方式
              • 存储期限
            • 涉及个人信息
              • 公开透明原则
              • 将收集规则以通俗易懂、简单明了的文字向用户明示并获得授权
          • 重要数据和核心数据
            • 签署协议、承诺书
              • 明确数据合作
                • 范围
                • 目的
                • 方式
                • 以及双方应承担的安全责任
            • 根据数据安全级别采取安全措施
              • 防火墙
              • 入侵检测系统
              • 入侵防御系统
              • 白名单接入控制
            • 技术能力完备
              • 接入用户身份认证和访问控制
                • 采用至少两种以上方法
                  • 口令鉴别
                  • 生物鉴别
                  • 图片验证码
                  • 短信验证码
                  • 证书鉴别
              • 口令复杂度策略
                • 长度不少于8位
                • 大写字母、小写字母、数字及特殊字符至少3种以上组合
                • 用户名、字符顺序无相关性
              • 账号锁定策略
                • 输入尝试次数限制
              • 严格管理口令遗忘的申请和重置流程
            • 数据收集记录
              • 数据收集来源
              • 时间
              • 类型
              • 数量
              • 频度
              • 流向
        • 存储
          • 一般数据
            • 差异化安全存储措施
              • 加密
              • 访问控制
          • 重要数据和核心数据
            • 数据容灾备份
              • 周期
              • 备份方式
              • 备份地点
            • 安全防护措施
              • 校验技术
              • 密码技术
            • 定期开展数据恢复性测试
            • 备份数据
              • 有效性
              • 可用性
              • 检查和恢复验证
            • 数据存储介质管理制度
              • 明确数据存储介质（云存储形态和终端存储形态）
                • 获取
                • 使用
                • 维护
                • 升级
                • 标记
                • 销毁
                • 的流程和审批记录要求
              • 明确数据存储介质
                • 获取渠道
                • 格式化规程
                • 资产标识规程
        • 使用加工
          • 一般数据
            • 数据使用加工管理制度
              • 数据使用和分析处理的目的和范围
                • 相关法律法规有没有要求
              • 数据使用安全策略、操作规程
                • 结合数据分级保护原则
              • 数据使用审批流程
              • 数据使用结果发布
              • 安全保护规则
              • 人员岗位职责
            • 导出的数据类型及数量
              • 当前处理活动场景所必需的最小数据集
          • 重要数据和核心数据
            • 数据使用安全管控要求
              • 账号身份管理原则
                • 数据安全管理人员
                • 数据使用人员
                • 日志审计人员
                • 角色进行分离设置
                  • 职责所需的最小数据使用权限
              • 身份凭证保护
              • 最小授权原则
              • 数据权限默认设置
              • 权限申请和审批
                • 授权特定人员超权限处理数据
                  • 数据安全责任人进行审批
              • 及时清除测试账号、默认账号
            • 数据脱敏处理管理
              • 明确数据脱敏规则及方法
              • 脱敏数据可恢复性进行安全评估
                • 有问题的进行安全加固
              • 使用脱敏的数据开展业务系统的开发测试
        • 传输
          • 一般数据
            • 数据传输相关制度
              • 明确网络安全域划分策略
              • 不同网络区域间数据传输安全保护规则
                • 访问控制
                • 加密
            • 安全防护技术措施
              • 不同网络安全域之间，如校验
          • 重要数据和核心数据
            • 跨主体或使用互联网传输
              • 进行前置审批
            • 数据加密制度，根据传输数据级别
              • 数据加密
              • 数据签名
              • 散列
            • 数据传输安全措施
              • 校验技术
              • 密码技术
              • 安全传输通道
              • 安全传输协议
            • 数据接口安全规范
              • 安全限制
              • 安全控制措施
                • 访问控制
                • 签名
                • 安全通道
                • 传输加密
                • 时间戳
                • 跨安全域的
            • 定期更新 安全接口清单
              • 接口名称
              • 接口参数
              • 对端业务系统
              • 接口方式
            • 接口安全监测能力
              • 通过MAC地址、IP地址或端口号绑定等方式限制非授权或违规设备接入
        • 提供
          • 一般数据
            • 区分数据提供场景
              • 安全策略
              • 操作规程
            • 明确数据提供
              • 范围
              • 类别
              • 条件
              • 程序
            • 定期更新 数据提供清单
              • 获取方数据处理者名称
              • 联系人信息
              • 提供形式
              • 期限
              • 涉及的业务或系统
              • 数据安全保护措施
            • 数据提供服务合同或协议
              • 数据范围
              • 使用权限
              • 用途
              • 明确数据获取方的数据安全保护责任
          • 重要数据和核心数据
            • 签署数据安全协议
              • 核验数据获取方资质能力
              • 核验数据获取方数据安全保护能力
              • 明确双方数据安全保护责任
            • 数据提供相关记录
              • 是否进行脱敏处理
              • 无法脱敏的
                • 校验技术
                • 密码技术
                • 安全传输通道
                • 安全传输协议
              • 跨主体提供核心数据
                • 评估安全风险
                • 本地区行业监管部门审查后，报工业和信息化部
        • 出境
          • 一般数据
            • 数据出境活动清单、数据出境安全评估报告
              • 评估内容
                • 数据出境的规模
                • 范围
                • 种类
                • 敏感程度
                • 数据出境活动带来的风险
                  • 国家安全
                  • 公共利益
                  • 个人或者组织合法权益
            • 向国家网信部门申报数据出境安全评估
            • 与境外获取方签订的合同等
              • 约定数据安全保护责任义务
              • 境外获取方承诺承担的责任义务
              • 履行责任义务的管理和技术措施、能力
              • 建立通畅的个人信息权益维护渠道
              • 采取加密等技术措施保障出境安全
        • 公开
          • 一般数据
            • 明确数据公开
              • 范围
              • 类别
              • 条件
              • 流程
            • 可能对国家安全、公共利益产生影响的数据，不得公开
            • 区分数据公开场景
              • 安全策略
              • 操作规程
            • 数据公开前开展数据安全风险评估
          • 重要数据和核心数据
            • 区分数据公开场景
            • 建立重要数据公开脱敏机制
              • 采用静态脱敏等措施
        • 销毁
          • 一般数据
            • 数据销毁制度文件
              • 销毁对象
              • 销毁原因
                • 数据业务下线
                • 用户退出服务
                • 节点失效
                • 过多备份
                • 数据试用结束
                • 数据超出保存期限
              • 销毁流程
              • 数据销毁技术处理策略
            • 数据销毁工具
              • 针对不同类型存储介质，提供不同销毁措施
                • 闪存
                • 移动硬盘
                • 固态硬盘
                • 硬盘
                • 磁带
                • 光盘
              • 如，针对用户注销服务、存储介质维护需要带出机房等场景
                • 多遍覆盖
                • 删除密钥
                • 执行固件擦除命令
                • 安全数据删除方式
              • 如，介质报废等场景
                • 高压击穿
                • 消磁
                • 粉碎
                • 物理损毁手段
            • 数据销毁工作记录
              • 所涉及的资源进行回收
                • 账号
                • 物理资源
                • 云资源
                • 系统存储空间
                • 数据共享途径
              • 对销毁过程进行记录
          • 重要数据和核心数据
            • 设置销毁相关监督角色
              • 监督操作过程
            • 数据销毁的操作审批机制
              • 多人操作模式
              • 限制单人拥有完整操作权限
            • 备案内容发生变化的
              • 履行备案变更手续
            • 不得以任何理由、任何方式进行恢复
    • 每项评估结果
      • 符合：1
      • 部分符合：0.5
      • 不符合：0
      • 不适用：不计算得分
    • 结果：通过/不通过
      • 分数线：≥0.7
    • 合规性评估不通过，风险源识别结果为高
  • 4.3.安全风险分析
    • 4.3.1.风险源识别
      • 工业领域
        • 人员
          • 管理漏洞
            • 是否配备数据安全管理人员
            • 权限管理是否严格
            • 关键岗位人员背景审查
            • 有效手段约束非法活动
              • 非法盗取
              • 非法转移
              • 非法出境
          • 能力漏洞
            • 政策法规理解到位
            • 正确使用数据安全防护技术工具
        • 载体
          • 安全漏洞
            • 已知且未修复的
            • 弱口令、默认口令
            • 非必要端口
            • 未知漏洞、后门
          • 运维漏洞
            • 远程运维
            • 运维外包
          • 安全保护措施
            • 传统网络安全措施
              • 入侵检测
              • 木马病毒查杀
              • 防火墙
              • 网闸
              • 备份机
            • 移动数据载体登记、携带外出审批
        • 操作
          • 数据处理流程、方法是否安全规范
            • 安全技术手段
              • 分类分级标识
              • 加密
              • 脱敏
              • 水印
              • 防泄漏
            • 身份鉴别
              • 访问、使用、删除等操作时
            • 重要数据和核心数据内部审批
              • 批量导入导出
              • 拷贝
              • 交换共享
              • 交易
              • 上云
              • 出境
            • 重要数据和核心数据全流程行为记录、标记
        • 环境
          • 接口环境是否存在漏洞
            • 未鉴权、未认证接口
            • 重要数据和核心数据
              • 对应接口实时监测
          • 网络环境是否安全
            • 网络环境隔离
              • 数据类型
              • 级别
              • 业务模式
              • 进行合理划分
            • 核心网络设备是否存在漏洞
      • 电信领域
        • 网络环境和技术措施
          • 处理数据的网络环境
          • 信息系统部署位置
          • 安全防护策略及设备
          • 运行状态监测记录
          • 数据泄露监测预警与拦截处置
          • 检查评估及渗透测试
          • 数据识别
          • 数据加密
          • 介质管理
          • 数据备份与恢复
          • 销毁管理
          • 日志审计
          • 可能性级别
            • 注意： 一般数据 / 重要数据、核心数据 ？ 互联网 / 内网 ？ 不符合 / 部分符合 ？ 高危 / 中危 ？ 分界线：1 3 5
            • 高：(满足一条即可判定) 1.合规性评估中，技术措施相关评估项存在 3个及以上不符合的 或 5个及以上部分符合的；或技术检测 发现高危风险 或 5个及以上中危风险； 2.无法有效、准确识别出重要数据、核心数据的； 3.存在重要数据核心数据未加密存储传输的（经验证无法完成数据加密的除外）
            • 中：(满足一条即可判定) 1.处理重要数据、核心数据的信息系统，与5个及以上的信息系统存在交互，各项技术能力充分； 2.处理重要数据、核心数据的信息系统，处于内部网络环境中，与5个以内信息系统存在交互，但存在小部分技术手段能力不充分的问题；合规性评估中，技术措施相关评估项存在 3个以下不符合的 或 3个及以上5个以下部分符合的；或技术检测 发现1个及以上，5个以内中危风险； 3.处理一般数据的信息系统，与5个及以上信息系统存在交互，仅存在小部分技术手段能力不充分的问题；合规性评估中，技术措施相关评估项存在 3个以下不符合的 或 3个及以上5个以下部分符合的；或技术检测 发现5个以内中危风险；
            • 低：(满足一条即可判定) 1.处理重要数据、核心数据的信息系统，处于内部网络环境中，与5个以内信息系统存在交互，各项技术能力充分； 2.处理一般数据的信息系统，各项技术能力充分； 3.处理一般数据的信息系统，处于内部网络环境中，与5个以内信息系统存在交互，但存在小部分技术手段能力不充分的问题；合规性评估中，技术措施相关评估项存在 3个以下不符合的 或 3个及以上5个以下部分符合 的；或技术检测 发现5个以内中危风险；
        • 管理制度和处理流程
          • 数据安全管理制度建设
          • 重点环节日志留存
          • 数据安全风险监测报送
          • 数据安全事件应急响应
          • 内部审批登记机制建立
          • 可能性级别
            • 高：(满足一条即可判定) 1.存在1个及以上重要环节、重点场景数据安全管理制度要求缺失；合规性评估中，管理措施相关评估项 存在3个及以上不符合的或5个及以上部分符合的 2.未对重点环节进行日志留存 3.未建立数据安全风险报送监测机制 4.未建立内部审批和登记工作机制
            • 中：(满足一条即可判定) 1.合规性评估中，管理措施相关评估项 存在3个以内不符合的或2个以上5个以内部分符合的 2.重点环节进行日志留存不满足法律规范要求 3.建立数据安全风险报送监测机制，数据安全风险识别准确率不足70%（＜70%） 4.建立内部审批和登记工作机制，但留存不完整
            • 低：(需全部满足) 全部完善
        • 参与人员和获取方管理
          • 数据安全管理机构设立
          • 人员培训和考核
          • 人员职责明确
          • 人员权限管理
          • 数据获取方管理
          • 可能性级别
            • 没有什么量化指标，感觉没有考点
        • 安全态势
          • 曾经发生过数据安全事件情况
          • 受到数据安全监管处罚情况
          • 收到数据安全风险预警信息情况
          • 可能性级别
            • 高：(满足一条即可判定) 1. 2年内发生3次以上较大数据安全事件，或发生1次及以上重大及以上数据安全事件 2. 1年内收到过电信主管部门发出的数据安全监管处罚
            • 中：(满足一条即可判定) 1. 2年内发生过不超过2次较大数据安全事件 2. 1年内收到过电信主管部门发出的重要数据、核心数据相关风险预警信息
            • 低：(需全部满足) 1. 2年内未发生过较大及以上数据安全事件
      • 结果：高/中/低
    • 4.3.2.安全影响分析
      • 工业领域
        • 国土安全
          • 高度威胁
          • 较高威胁
          • 一般威胁
        • 经济安全
          • 重大经济决策泄露，巨大波动
          • 直接影响宏观经济运行，较大变动
          • 严重影响市场经济运行秩序
        • 网络安全
          • 全国范围工业互联网
          • 多个省份工业互联网
          • 一个省份工业互联网
        • 社会安全
          • “特别重大”、特别严重危害
          • “严重影响”
          • “一定影响”
        • 科技安全
          • 严重影响、工业领域尖端技术数据外泄
          • 较大影响、工业领域先进技术数据外泄
          • 影响、工业领域重要科学技术的研发进程
      • 电信领域
        • 国土安全
          • 核心网络设施和信息系统的高精度位置信息、带精确坐标的实时影像数据泄露
          • 重要网络设施和信息系统的高精度位置信息、带精确坐标的实时影像数据被外方掌握
          • 重要网络设施和信息系统的高精度位置信息、带精确坐标的实时影像数据泄露，但未被外方掌握
        • 经济安全
          • 全国整体GDP下降超1%
          • 多个省或电信领域整体GDP下降超1%
          • 多个省或电信领域整体GDP下降不足1%
        • 网络安全
          • 全国范围、1亿以上个人信息
          • 多个省、1千万以上个人信息
          • 一个省、1百万以上个人信息
        • 社会安全
          • 全国范围群众恐慌、社会动荡
          • 多个省群众恐慌、社会动荡
          • 一个省群众恐慌、社会动荡
        • 科技安全
          • 国际领先科学技术成果数据外泄
          • 我国出口管制物项相关技术数据被外方掌握
          • 我国出口管制物项技术数据外泄、未被外方掌握
      • 结果：特别严重/严重/一般
    • 综合风险研判
      • 记忆方式：记住极高和低的形状，剩下的补
      • 安全风险等级判定矩阵
      • 结果：极高/高/中/低
• 5.形成评估报告
  • 评估结果
    • 每类数据（一般、重要、核心）的算术平均值A、B、C
      • 极高：0
      • 高：0.1
      • 中：0.65
      • 低：1
    • 综合数据安全风险评估得分S
      • 一般数据A：10/10/100
      • 重要数据B：27/90/0
      • 核心数据C：63/0/0
    • 结果：优/良/中/差
      • 分数线：≥90/80/65
  • 《评估报告》包括两部分
    • 《数据安全风险评估报告》包括（6个方面）
      • 数据处理者基本情况
      • 评估团队基本情况
      • 数据处理活动分析
      • 合规性评估
      • 安全风险分析
      • 评估结论及应对措施
    • 《佐证材料》（佐证材料子册）
      • 脱敏处理
      • 每行排版单张图片
      • 可复用的，可不再重复粘贴
    • 编号规则统一为：IITDSRA-[评估机构名缩写]-[被评估单位缩写]-[报告出具日期:YYYY.MM.DD]
    • 一式3份，被评估单位2份，评估机构1份。
  • 盖章要求
    • 《评估报告》
      • 首页评估机构处
      • 声明页评估机构名称处
      • 报告概要中评估结论处
      • 骑缝处
    • 《佐证材料》
      • 首页评估机构处
      • 骑缝处
  • 排版要求
    • 跨页表格设置重复标题行
  • “前次评估情况”
    • 前次评估的时间
    • 形式
    • 评估结果

《工业和信息化领域数据安全管理办法（试行）》

• 一、总则
  • 立法目的与依据
    • 目的
      • 规范工业和信息化领域数据处理活动，加强数据安全管理，保障数据安全，促进数据开发利用，保护个人、组织的合法权益，维护国家安全和发展利益
    • 依据
      • 《中华人民共和国数据安全法》
      • 《中华人民共和国网络安全法》
      • 《中华人民共和国个人信息保护法》
      • 《中华人民共和国国家安全法》
      • 《中华人民共和国民法典》
  • 适用范围
    • 适用于在中华人民共和国境内开展的工业和信息化领域数据处理活动及其安全监管
  • 相关定义
    • 工业、电信、无线电数据
      • 工业数据
        • 工业各行业各领域在研发设计、生产制造、经营管理、运行维护、平台运营等过程中产生和收集的数据
      • 电信数据
        • 在电信业务经营活动中产生和收集的数据
      • 无线电数据
        • 在开展无线电业务活动过程中产生和收集的无线电频率、台（站）等电波参数数据
    • 数据处理者
      • 数据处理活动中自主决定处理目的、处理方式的工业企业、软件和信息技术服务企业、取得电信业务经营许可证的电信业务经营者和无线电频率、台（站）使用单位等工业和信息化领域各类主体
      • 工业数据处理者、电信数据处理者、无线电数据处理者
  • 行业监管部门
    • 工业和信息化部
    • 地方工业和信息化主管部门
  • 鼓励与支持
    • 鼓励数据开发利用和数据安全技术研究，支持推广数据安全产品和服务，培育数据安全企业、研究和服务机构，发展数据安全产业，提升数据安全保障能力，促进数据的创新应用。
• 二、数据分类分级管理
  • 工业和信息化领域数据分类类别
    • 包括但不限于研发数据、生产运行数据、管理数据、运维数据、业务服务数据等
  • 数据分级
    • 一般数据
      • 对公共利益或者个人、组织合法权益造成较小影响，社会负面影响小
    • 重要数据
      • 对政治、国土、军事、经济、文化、社会、科技、电磁、网络、生态、资源、核安全等构成威胁
      • 影响海外利益、生 物、太空、极地、深海、人工智能等与国家安全相关的重点领域；
    • 核心数据
      • 对政治、国土、军事、经济、文化、社会、科技、电磁、网络、生态、资源、核安全等构成严重威胁
      • 严重影响海外利益、生物、太空、极地、深海、人工智能等与国家安全相关的重点领域；
  • 备案要求
    • 备案内容
      • 数据来源
      • 类别
      • 级别
      • 规模
      • 载体
      • 处理目的和方式
      • 适用范围
      • 责任主体
      • 对外共享
      • 跨境传输
      • 安全保护措施
      • 不包括数据内容本身
    • 审核流程
      • 地方行业监管部门应当在数据处理者提交备案申请的 20工作日内 完成审核工作
      • 不予备案的应当及时反馈备案申请人并说明理由，备案申请人应当在收到反馈情况后的15个工作日内 再次提交备案申请。
    • 变更手续
      • 备案内容发生重大变化的，工业和信息化领域数据处理者应当在发生变化的3个月内履行备案变更手续。
      • 重大变化是指某类重要数据和核心数据规模（数据条目数量或者存储总量等）变化30％以上
• 三、数据全生命周期安全管理
  • 数据处理者，负安全主体责任
    • 制度建设
      • 考点：数据处理者应当建立健全全生命周期数据安全管理制度，制定覆盖数据收集、存储、使用、加工、传输、提供、公开、销毁等各环节的分级防护要求和操作规程。
    • 人员管理
      • 考点：配备数据安全管理人员，明确数据安全管理岗位职责，对涉及数据处理的人员进行安全培训和教育，提高人员数据安全意识和技能。
    • 权限管理
      • 按照最小授权原则，合理确定数据处理人员的数据访问权限，严格人员权限管理，防止数据被非法访问、篡改、泄露等。
    • 应急管理
      • 制定数据安全应急预案，定期组织开展应急演练，及时处置数据安全事件，降低事件造成的损失和影响。
    • 重要数据和核心数据处理者
      • 数据安全第一责任人：本单位法定代表人或主要负责人
      • 直接责任人：领导团队中分管数据安全的成员
      • 关键岗位人员：签署数据安全责任书
        • 数据安全岗位职责
        • 义务
        • 处罚措施
        • 注意事项
      • 建立内部登记、审批等工作机制
  • 各阶段安全要求
    • 收集
      • 遵循合法、正当的原则
      • 记录数据收集的来源、时间、类型、数量、频度、流向等信息
    • 存储
      • 存储重要数据和核心数据的
        • 采用校验技术、密码技术进行安全存储
        • 实施数据容灾备份和存储介质安全管理
        • 定期开展数据恢复测试
    • 使用加工
      • 利用数据进行自动化决策时，应当保证决策的透明度和结果的公平合理
      • 对重要数据和核心数据的使用加工，应当加强访问控制，确保数据使用加工过程安全可控
      • 经营电信业务的数据处理者利用数据开展增值电信业务的，应当依法取得电信业务经营许可
    • 传输
      • 传输重要数据和核心数据的
        • 应当采取校验技术、密码技术、安全传输通道或者安全传输协议等措施
    • 提供
      • 提供重要数据和核心数据的
        • 对数据获取方数据安全保护能力进行核验
        • 采取必要的安全保护措施
    • 公开
      • 在数据公开前，应当对数据公开可能对国家安全、公共利益产生的影响进行分析研判
      • 对于可能造成重大影响的数据公开，应当报经有关主管部门批准。
    • 销毁
      • 建立数据销毁管理制度，明确数据销毁对象、规则、流程和技术等要求，对销毁活动进行记录和留存
      • 个人、组织按照法律规定、合同约定等请求销毁的，数据处理者应当销毁相应数据
      • 对重要数据和核心数据的销毁
        • 应当采用安全可靠的技术手段，确保数据销毁后无法恢复
        • 及时向所在地工业和信息化主管部门更新重要数据和核心数据目录备案
  • 特殊情况处理
    • 数据出境
      • 向境外提供重要数据和核心数据的
        • 境内收集和产生的重要数据和核心数据，法律、行政法规有境 内存储要求的，应当在境内存储
        • 确需向境外提供的， 应当依法依规进行数据出境安全评估
      • 非经工业和信息化部批准，数据处理者不得向外国工业、电信、无线电执法机构提供存储于境内的工业和信息化领域数据
    • 数据转移
      • 应当明确数据转移方案
      • 通过电话、短信、邮件、公告等方式通知受影响用户
      • 涉及重要数据和核心数据备案内容发生变化的，应当履行备案变更手续
    • 委托处理
      • 应当通过签订合同协议等方式，明确委托方与受托方的数据安全责任和义务
      • 委托处理重要数据和核心数据的，应当对受托方的数据安全保护能力、资质进行核验
    • 跨主体处理
      • 跨主体提供、转移、委托处理核心数据的
        • 应当评估安全风险，采取必要的安全保护措施，并由本地区行业监管部门审查后报工业和信息化部
  • 日志管理
    • 日志记录应当包括操作时间、操作地点、操作人员、操作账号及权限、处理方式等信息
    • 记录保存期限不少于6个月
• 四、数据安全监测预警与应急管理
  • 制度建立
    • 数据安全风险监测机制
    • 数据安全风险信息上报和共享机制
    • 工业和信息化领域数据安全事件应急预案
  • 在数据安全事件发生后
    • 应当按照应急预案，及时开展应急处置
    • 涉及重要数据和核心数据的安全事件，第一时间向本地区行业监管部门报告
    • 事件处置完成后在规定期限内形成总结报告，每年向本地区行业监管部门报告数据安全事件处置情况
    • 对发生的可能损害用户合法权益的数据安全事件，应当及时告知用户，并提供减轻危害措施
• 五、检测、认证、评估管理
  • 工业和信息化领域重要数据和核心数据处理者应当自行或委托第三方评估机构，每年对其数据处理活动至少开展一次风险评估，
• 六、监督检查
• 七、法律责任
• 八、附则
  • 本办法自 2023年1月1日 起施行

《工业和信息化领域数据安全风险评估实施细则（试行）》

• 依据
  • 《中华人民共和国数据安全法》
  • 《中华人民共和国网络安全法》
  • 《工业和信息化领域数据安全管理办法（试行）》
• 目的
  • 为引导工业和信息化领域数据处理者规范开展数据安全风险评估工作，提升数据安全管理水平，维护国家安全和发展利益
• 适用范围
  • 适用于对中华人民共和国境内工业和信息化领域重要数据和核心数据处理者数据处理活动开展的数据安全风险评估。
• 评估原则
  • 重要数据和核心数据处理者按照及时、客观、 有效的原则开展数据安全风险评估，形成真实、完整、准确的评估报告，并对评估结果负责。
• 重点评估以下内容
  • 数据处理目的、方式、范围
    • 是否合法、正当、必要
  • 数据安全管理制度、流程策略的制定和落实情况
  • 数据安全组织架构、岗位配备和职责履行情况
  • 数据安全技术防护能力建设及应用情况
  • 数据处理活动相关人员
    • 是否熟悉数据安全相关政策法规
    • 是否具备数据安全知识技能
    • 是否接受数据安全相关教育培训
  • 安全影响分析
    • 发生数据遭到篡改、破坏、泄露、丢失或者被非法获取、非法利用等安全事件，对国家安全、公共利益的影响范围、程度等风险；
  • 跨主体处理数据
    • 涉及数据提供、委托处理、转移的，数据获取方或受托方的安全保障能力、责任义务约束和履行情况；
  • 数据出境
    • 涉及国家法律法规中规定需要申报的数据出境安全评估情形，履行数据出境安全评估要求情况。
• 评估周期
  • 重要数据和核心数据处理者每年至少开展一次数据安全风险评估
  • 评估结果有效期为一年，以评估报告首次出具日期计算
• 评估报告组成（和前面的略有不同）
  • 数据处理者基本情况
  • 评估团队基本情况
  • 重要数据的种类和数量
  • 开展数据处理活动的情况
  • 数据安全风险评估环境
  • 这里新提出来的
  • 数据处理活动分析
  • 合规性评估
  • 安全风险分析
  • 评估结论及应对措施
• 数据发生变化
  • 应当及时对发生变化及其影响的部分开展风险评估
  • 下列情况之一，视为“数据发生变化”
    • 新增跨主体提供、委托处理、转移核心数据的
    • 重要数据、核心数据安全状态发生变化对数据安全造成不利影响的，包括但不限于数据处理目的、方式、适用范围和安全制度策略等发生重大调整的
    • 发生涉及重要数据、核心数据的安全事件的
    • 重要数据和核心数据目录备案内容发生重大变化的
    • 行业监管部门要求进行评估的其他情形
• 时间节点
  • 重要数据和核心数据处理者应当在评估工作完成后的 10个工作日 内，向本地区行业监管部门报送评估报告。
  • 地方行业监管部门于 12月25日 前，将本地区本年度评估报告接收和审核情况报送工业和信息化部。
  • 涉及跨主体提供、转移、委托处理核心数据的，地方行业监管部门应当在数据处理者提交评估报告的 20个工作日 内完成审查，并报工业和信息化部按照国家有关规定进行复核
• 评估机构的义务
  • （一）对评估工作中知悉的国家秘密、重要数据和核心 数据的目录与内容、商业秘密、个人隐私，以及与数据处理者签署的保密协议中约定的保密信息等严格保密
  • （二）严格按照国家法律法规、行业监管部门有关规定以及评估标准，公正、独立地开展评估并出具评估报告，全面、准确、客观地反映重要数据和核心数据处理者的数据安全风险状况，提供务实有效的风险整改建议措施
  • （三）除重要数据和核心数据处理者书面同意或者法律、行政法规另有规定外，不得向其他组织或个人提供评估中收集掌握的相关信息
• 保密义务
  • 行业监管部门及委托支撑机构的工作人员对在履行职责中知悉的国家秘密、商业秘密、个人信息、评估工作信息等，负有保密义务
• 施行日期
  • 本细则自 2024年6月1日 起施行。