数字安全 | 数据安全风险识别常见手段

数据安全认证是指由专业技术验证机构基于客观的标准和程序，对认证对象的安全保护能力进行评估和认定，并为符合认证要求的对象颁发认证证书的机制。目前数据安全领域（含个人信息保护）已相继颁布数据安全管理认证、个人信息保护认证、移动互联网应用程序（App）安全认证等认证服务。

《网络安全法》第十七条提出“鼓励有关企业、机构开展网络安全认证、检测和风险评估等安全服务”，第二十六条提出“开展网络安全认证、检测、风险评估等活动”；《数据安全法》第十八条提出“国家促进数据安全检测评估、认证等服务的发展，支持数据安全检测评估、认证等专业机构依法开展服务活动”；《个人信息保护法》第六十二条提出“支持有关机构开展个人信息保护评估、认证工作”。

数据安全认证实施流程主要包括认证委托、技术验证、现场审核、认证结果评价和批准以及获证后监督等环节，如图3所示。

图3 数据安全认证实施流程

个人信息保护合规审计是指对个人信息处理者的个人信息处理活动是否符合个人信息保护相关法律法规、标准规范以及内部政策等要求进行审查和评估的活动。

《个人信息保护法》第五十四条提出“个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计”；《网络数据安全管理条例》第二十七条提出“网络数据处理者应当定期自行或者委托专业机构对其处理个人信息遵守法律、行政法规的情况进行合规审计”；《个人信息保护合规审计管理办法》（征求意见稿）第四条提出“处理超过100万人个人信息的个人信息处理者，应当每年至少开展一次个人信息保护合规审计；其他个人信息处理者应当每二年至少开展一次个人信息保护合规审计”。

审计准备阶段包括建立审计组、编制审计计划和审计方案，并与被审计方沟通审计进度和安排；审计实施阶段指审计人员现场收集审计证据，并形成审计记录、审计底稿，确认审计发现；审计报告阶段指审计人员根据审计实施情况编制审计报告；问题整改与跟踪阶段是指被审计方对审计发现问题进行整改并持续跟踪，以确保整改措施有效执行。

图4 个人信息保护合规审计实施流程

综上所述，无论是开展数据安全风险评估、数据安全认证还是个人信息保护合规审计，都是发现数据安全和个人信息保护风险的重要手段，有助于提升数据处理者的数据安全保护能力和整体数据安全防护水平。