什么是数据安全风险评估？

一. 评估流程：一个持续的循环

数据安全风险评估不是一个一次性的项目，而应是一个持续的循环过程。其核心流程如下：

阶段一：准备与规划

1. 确定范围：明确评估涵盖哪些业务、系统、应用程序和物理位置。

2. 组建团队：组建一个跨职能团队，包括业务负责人、IT安全、法务合规、数据管理员等。

3. 定义评估方法：确定使用的风险评估标准（如NIST SP 800-30, ISO 27005）和风险等级矩阵（例如：高、中、低）。

阶段二：数据发现与分类

• 数据发现：

• 使用自动化工具（如数据分类扫描器）或人工流程，找出评估范围内存储、处理和传输的所有数据。

• 重点位置：数据库、文件服务器、云存储、终端设备、电子邮件、移动设备等。

• 数据分类与分级：

• 公开：可对外公开的信息。

• 内部：仅限内部使用，泄露不会造成重大影响。

• 机密：泄露会对组织或个体造成实质性损害（如客户资料、财务数据）。

• 绝密：泄露会对组织造成严重或无法挽回的损害（如核心知识产权、国家安全信息）。

• 根据数据的敏感性和价值，将其划分为不同的级别。常见的分类包括：

阶段三：识别威胁与漏洞

• 识别威胁：什么可能对数据造成危害？

• 外部威胁：网络攻击（黑客）、恶意软件（勒索软件）、网络钓鱼。

• 内部威胁：员工无意或恶意的数据泄露、权限滥用。

• 环境威胁：自然灾害、停电、硬件故障。

• 识别漏洞：系统中的哪些弱点可能被威胁利用？

• 技术漏洞：未打补丁的软件、脆弱的配置、弱的访问控制、加密缺失。

• 流程漏洞：缺乏安全培训、不完善的审批流程、无效的应急响应计划。

• 物理漏洞：机房无人看守、未粉碎的敏感文件。

阶段四：分析风险与评级

对每个“数据资产-威胁-漏洞”组合进行分析。

• 可能性：风险事件发生的概率有多大？（例如：低、中、高）

• 影响：如果风险发生，对组织（财务、声誉、运营、合规）造成的损害有多大？（例如：低、中、高）

• 风险等级计算：使用风险矩阵，将可能性和影响相结合，得出风险等级。

• 风险值 = 可能性 × 影响

阶段五：处置风险

根据风险等级制定处置策略。

• 接受：风险在可接受范围内，不采取行动。

• 规避：停止导致风险的活动（例如，关闭不安全的服务）。

• 转移：将风险转移给第三方（例如，购买网络安全保险）。

• 缓解：实施安全控制措施以降低可能性和/或影响（最常用）。例如：

• 对于高风险： 实施多因素认证、加密数据、部署高级威胁检测系统。

• 对于中风险： 加强员工培训、实施严格的访问审批流程。

• 对于低风险： 完善安全策略文档。

阶段六：持续监控与审查

风险环境是动态变化的。必须定期（如每年）或当发生重大变化（如新系统上线、新法规出台）时，重新进行评估。

三. 核心交付物（输出）

评估完成后，应生成以下关键文档：

1. 数据资产清单：包含所有已识别的数据资产及其分类。

2. 数据流图：展示数据如何在系统和组织内流动。

3. 风险登记册：

• 风险描述

• 涉及的数据资产

• 根本原因（威胁与漏洞）

• 风险等级（高/中/低）

• 责任人

• 处置计划与截止日期

• 当前状态