YDT 3801-2020 电信网和互联网数据安全风险评估实施方法

YDT 3801-2020 电信网和互联网数据安全风险评估实施方法。本标准适用于电信网和互联网组织开展数据安全风险自评估工作，同时适用于第三方专业测评机构开展数据安全风险评估工作。

电信网和互联网 数据安全风险评估实施方法

• YD/T 3801-2020
• 1.范围
  • 电信网和互联网数据安全风险评估的基本原则、基本要素、各要素之间的关系、实施流程、风险分析模型与方法
  • 适用于电信网和互联网组织开展数据安全风险评估
• 2.规范性引用文件
  • GB/T 20984-2007 信息安全技术 信息安全风险评估规范
  • ISO GUIDE 73: 2009 风险管理 词汇表 （Risk Management - Vocabulary）
• 3.术语和定义
  • ISO GUIDE 73: 2009，GB/T 20984-2007 中界定的及以下的
  • 3.1 风险评估
    • 风险识别、分析和风险评价的全过程
  • 3.2 风险识别
    • 发现、认识和描述风险的过程
  • 3.3 风险分析
    • 理解风险的本质和确定风险水平的过程
  • 3.4 风险评价
    • 将风险分析结果与风险准则进行比较，以确定风险和/或其大小是否可接受或可容忍的过程
  • 3.5 数据可控性
    • 组织对外传输、共享的数据具有控制能力，对数据接收方组织的数据保护能力可衡量，对接收方接收数据后的活动及其再转移行为可约束、可监控、可撤销。
• 4.数据安全风险评估概述
  • 4.1 数据安全风险评估原则
    • 4.1.1 关键数据原则
      • 重要程度较高的数据资产作为评估工作的核心
      • 重要数据涉及的各类应用场景作为评估的重点
    • 4.1.2 场景依赖原则
      • 数据安全风险评估工作依赖数据所涉及的各应用场景
      • 被评估数据的安全风险与其应用场景强相关
      • 首先要梳理数据所涉及的应用场景
      • 然后在场景梳理的基础上分析各主体及主体间的活动可能存在的安全风险
    • 4.1.3 可控性原则
      • a. 风险评估服务的可控性
        • 人员被认可、明确工作内容、支持和配合
      • b. 人员与信息可控性
        • 保密协议
        • 过程数据和结果数据严格管理，不得泄露
      • c. 过程可控性
        • 项目管理要求
          • 成立实施团队、项目组长负责制，达到项目过程可控
      • d. 工具可控性
        • 评估工具应实现通告被组织，获得认可
      • e. 对业务影响可控
        • 管理层、工具技术层，降低影响
        • 应急备份
        • 避开业务高峰时间
  • 4.2 风险评估各要素之间的关系
    • 
    • 方框：基本要素
    • 椭圆：要素相关属性
    • 风险要素和数据之间关系
      • a. 业务战略的实现对数据资产具有依赖性，依赖程度越高，要求其风险越小；
      • b. 数据资产重要程度级别越高，面临的威胁可能就越大；
      • c. 数据资产流转于各业务应用场景；
      • d. 应用场景中存在脆弱性越多则数据安全风险越大；
      • e. 脆弱性包括未被满足的安全需求，数据威胁利用脆弱性危害数据资产；
      • f. 数据安全风险是由数据威胁引发的，威胁越多，风险也大，可能演变成安全事件；
      • g. 安全措施可削弱脆弱性，降低风险；
      • h. 安全措施可抵御数据威胁，降低风险；
      • i. 安全需求可通过安全措施得到满足，需结合数据资产重要程度考虑实施成本；
      • j. 风险的存在及风险的认识导出安全需求；
      • k. 残余风险有些是风险控制不当或无效，需要加强才可控制的风险；有些事综合考虑了安全成本与效益后不去控制的风险；
      • l. 残余风险应密切监视，它可能会在将来诱发安全事件。
  • 4.3 风险评估原理
    • a. 风险识别阶段
      • 识别数据资产、数据应用场景、数据威胁、威胁发生可能性、脆弱性、安全措施 ，判断脆弱性可利用程度和脆弱性对数据资产影响的严重程度。
    • b. 风险分析阶段
      • 1. 根据数据威胁与脆弱性利用关系，结合数据威胁发生可能性与脆弱性可利用性判断安全事件发生的可能性；
      • 2. 根据脆弱性影响严重程度及数据重要程度计算安全事件影响严重程度；
      • 3. 根据安全事件发生的可能性以及安全事件影响严重程度，判断风险值。
    • c. 风险评价阶段
      • 根据风险接受准则判断风险是否可以接受。
      • 
  • 4.4 数据安全风险评估流程
    • 
• 5.数据安全风险评估实施
  • 5.1 评估准备工作
    • 5.1.1 确定评估目标
    • 5.1.2 确定评估范围
    • 5.1.3 组建评估团队
      • 管理层、法务、安全、相关业务骨干、技术和管理等人员
    • 5.1.4 组织数据安全相关工作调研
      • a. 组织架构、职责、人员配备情况
      • b. 制度、流程
      • c. 网络拓扑、安全域划分
      • d. 其它
      • 采取问卷调查、访谈、资料查阅等方式进行
    • 5.1.5 确定评估依据
      • a. 适用的法律、行政法规、司法解释
      • b. 电信主管部门、国家网信部门、公安机关等的部门规章、规范性文件
      • c. 国际标准、国家标准、行业标准
      • d. 被评估组织的数据安全、信息安全等安全要求
  • 5.2 数据资产识别
    • 5.2.1 数据调研
      • 识别业务涉及的数据资产
      • 输出数据资产清单
        • 包括数据类型、数据所在位置等内容
    • 5.2.2 数据重要程度分析与赋值
      • a. 对生产业务造成的影响
      • b. 导致的财务损失
        • 直接损失
        • 恢复成本
      • c. 声誉影响
        • 客户信任度、客户流失率、公司形象、行业声誉、社会认同感等
    • 5.2.3 确定待评估的数据资产范围
  • 5.3 数据应用场景识别
    • 业务流程、相关数据活动、参与主机
    • 数据活动
      • 数据提取、获取、整合、分析、结果存储、数据下载、外发、展示等
    • 流程各环节参与主体
      • 人员、内外部系统、内外部接口等
    • 输出数据应用场景分析报告和系统资产清单
  • 5.4 数据威胁识别
    • 5.4.1 概述
      • 输出数据威胁报告
      • 分析数据再应用场景流转过程可能影响数据机密性、完整性、可用性和可用性的威胁类型。
    • 5.4.2 数据威胁分类
      • 数据采集
        • 恶意代码注入
        • 数据无效写入
        • 数据污染
        • 数据分类分级或标记错误
      • 数据传输
        • 数据窃取
        • 网络监听
        • 数据篡改
      • 数据存储
        • 数据破坏
        • 数据篡改
        • 数据分类或标记错误
        • 数据窃取
        • 恶意代码执行
        • 数据不可控
      • 数据共享
        • 共享数据未脱敏
        • 共享权限混乱
        • 数据过度获取
        • 数据不可控
      • 数据处理
        • 注入攻击
        • 数据抵赖
        • 使用权限混乱
        • 数据过度获取
        • 数据不可控
        • 敏感元数据未脱敏使用
      • 数据销毁
        • 数据到期未销毁
        • 数据未正确销毁
    • 5.4.3 数据威胁属性分析与赋值
      • 5.4.3.1 概述
        • 威胁要素属性报告卡数据威胁动机、能力及频率
      • 5.4.3.2 数据威胁动机及其能力
        • 非人为
          • 自然灾害
          • 环境因素
          • 技术局限性
        • 人为
          • 非恶意行为
          • 内部恶意员工
          • 独立黑客
          • 有组织的攻击者
            • 国内外竞争者
            • 犯罪团伙
            • 恐怖组织
          • 外国政府
        • 等级
          • 威胁动机 1~5级
          • 威胁能力 1~5级
      • 5.4.3.3 数据威胁的频率
        • a. 以往安全事件报告中出现过的威胁及其频率统计
        • b. 检测及日志分析发现的
        • c. 监测数据发现的
        • d. 近一两年国际组织发布的社会或特定行业的威胁及其频率统计、威胁预警
        • 数据威胁频率等级
          • 1~5级
      • 5.4.3.4 数据威胁发生的可能性综合考虑数据威胁的动机、能力、频率等因素
        • 1~5级
  • 5.5 脆弱性识别
    • 5.5.1 概述
      • 输出
        • 脆弱性报告
    • 5.5.2 脆弱性分类
      • 技术脆弱性
        • 物理环境
        • 网络结构
        • 系统软件
        • 应用中间件
        • 应用系统
      • 管理脆弱性
        • 技术管理
        • 组织管理
    • 5.5.3 脆弱性属性分析与赋值
      • 5.5.3.1 概述
        • 熟悉包括脆弱性可利用性、影响严重程度
      • 5.5.3.2 脆弱性可利用性
        • a. 访问路径
        • b. 访问复杂性
        • c. 权限要求
        • d. 用户交互
        • 注：部署了预防性安全措施，可视具体情况调整脆弱性的可利用性
      • 5.5.3.3 脆弱性影响严重程度
        • a. 机密性影响
          • 完全泄密、部分泄密、不泄密3个值进行度量
        • b. 完整性影响
          • 完全修改、部分修改、不能修改3个值进行度量
        • c. 可用性影响
          • 完全不可用、部分可用、可用性不受影响3个值进行度量
        • d. 可控性影响
          • 完全不可控、部分可控、可控性不受影响3个值进行度量
        • 分级
          • 1~5级
        • 注：部署了预防性安全措施，可视具体情况调整脆弱性对数据的影响严重程度
  • 5.6 已有安全措施识别
    • 输出
      • 安全措施分析报告
    • 预防性措施
      • 威胁情报系统、入侵检测系统
    • 保护性措施
      • 减少因安全事件发生后对数据、业务或组织造成的影响
  • 5.7 数据安全威胁与脆弱性利用分析
    • 脆弱性能被威胁成功利用，才能形成风险
  • 5.8 风险分析与评价
    • 5.8.1 概述
      • 输出
        • 风险评估报告文档
    • 5.8.2 风险分析模型
      • 
      • a. 结合数据威胁发生可能性与脆弱性可利用性确定安全事件发生的可能性
      • b. 根据脆弱性严重程度及其数据重要程度确定安全事件影响严重程度
      • c. 更具安全事件发生的可能性以及安全事件严重程度，确定被评估数据资产在该应用场景的风险
      • d. 综合数据资产在各应用场景中风险，确定数据资产的风险
    • 5.8.3 风险计算
      • 5.8.3.1 计算安全事件发生的可能性
        • 安全事件发生的可能性=L(数据威胁发生的可能性，脆弱性可利用性)=L(T, Va)
      • 5.8.3.2 计算安全事件一旦发生的影响
        • 安全事件的损失=F(数据重要程度，脆弱性影响严重程度)=F(d, Vb)
      • 5.8.3.3 计算风险值
        • 风险值=R(安全事件发生可能性，安全事件影响)=R(L(t, Va), F(d, Vb))=R(D, T, V, C)
      • 5.8.3.4 计算数据资产面临的风险值
        • 数据资产风险值=Rd(R1, R2， ... , Rn)
        • 计算方法
          • 定量计算
            • 矩阵法、相乘法
          • 定性计算
    • 5.8.4 风险结果评价
      • 数据资产风险等级划分
        • 1~5级
    • 5.8.5 风险评估报告
      • a. 简介
        • 目的、范围、数据主体
      • b. 风险评估方法
        • 简单介绍风险评估采用的方法
        • 参与者
          • 如风险评估小组成员
        • 信息搜集的技术
          • 如工具、调查表
        • 风险测量准则的描述
          • 如风险矩阵
      • c. 风险评估的数据资产
        • 访问、数据样例
      • d. 数据应用场景描述
        • 描述系统的情况，包括软硬件、系统界面、用户和数据
        • 提供系统之间的图表或系统输入输出流程图以描述本次风险评估的范围
      • e. 识别出的数据威胁列表，数据威胁评价
      • f. 识别出的脆弱性列表以及相关的已有安全措施列表、脆弱性可利用性与脆弱性影响严重程度评价
      • g. 风险评估结果
        • 观察发现的风险列表
          • 数量及简单描述
          • 威胁源及对应脆弱点的讨论
        • 发生可能性的讨论及评价影响分析的讨论及评价风险的等级
        • 可降低风险的推荐的控制措施
      • h. 总结
        • 观察发现的风险的总和
        • 风险的概述及相应的风险等级
        • 应对风险的控制措施及建议及说明
        • 指导风险降低过程中控制措施的实施
• 6.风险处置
  • 风险接受准则
  • 风险处置措施的制定应考虑
    • a. 合规需求
      • 符合相关法律法规需求
    • b. 业务需求
      • 保证组织业务的完整运行
    • c. 组织建设
      • 考虑是否设立数据安全保护组织
    • d. 制度流程
      • 必要的制度和规范的流程是保障人员执行数据安全要求的要素之一
    • e. 工具
      • 信息系统、加密算法、工具等
    • f. 人员
      • 通过照片或培训的方式提升人员数据安全保障能力
  • 风险处置措施参考形式
    • a. 控制风险
      • 将风险降低到可以接受的等级
    • b. 转嫁风险
      • 购买保险、外包
    • c. 避免风险
      • 远离风险环境或采取与风险环境相隔离的措施
    • d. 接受风险
• 7.残余风险评估
  • 残余风险处理是风险评估活动的延续
  • 残余风险评估实施应遵循
    • a. 依据组织的风险评估准则判断是否已经降至可接受水平
    • b. 不可接受的风险依据风险接受原则考虑接受或增加风险控制措施
    • c. 定期开展残余风险再评估，评估结果作为风险管理的重要输入
• 附录
  • 附录A
    • 法律
    • 行政法规
    • 部门规章
    • 规范性文件
    • 司法解释
    • 国家标准
    • 行业标准
  • 附录B
    • 数据应用场景中的业务流程或使用流程举例
  • 附录C
    • 数据威胁与脆弱性利用关系示例
• 参考文献