ICS35030

CCSL.80

中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)

GB/T45577—2025

數(shù)據(jù)安全技術(shù)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估方法

Datasecuritytechnology—Riskassessmentmethodfordatasecurity

2025-04-25發(fā)布2025-11-01實(shí)施

國(guó)家市場(chǎng)監(jiān)督管理總局發(fā)布

國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)

GB/T45577—2025

目次

前言

…………………………Ⅲ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術(shù)語和定義

3………………1

縮略語

4……………………2

通則

5………………………3

概述

5.1…………………3

數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估要素關(guān)系

5.2………………………3

數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估原理

5.3……………4

數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估適用情形

5.4………………………5

數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估實(shí)施流程

5.5………………………5

數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估內(nèi)容框架

5.6………………………6

數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估手段

5.7……………7

數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估準(zhǔn)備

6…………………7

確定評(píng)估目標(biāo)

6.1………………………7

確定評(píng)估范圍

6.2………………………8

組建評(píng)估團(tuán)隊(duì)

6.3………………………8

開展前期準(zhǔn)備

6.4………………………8

制定評(píng)估方案

6.5………………………9

信息調(diào)研

7…………………9

數(shù)據(jù)處理者調(diào)研

7.1……………………9

業(yè)務(wù)和信息系統(tǒng)調(diào)研

7.2………………10

數(shù)據(jù)資產(chǎn)調(diào)研

7.3………………………10

數(shù)據(jù)處理活動(dòng)調(diào)研

7.4…………………10

安全防護(hù)措施調(diào)研

7.5…………………11

風(fēng)險(xiǎn)識(shí)別

8…………………11

通則

8.1…………………11

已開展測(cè)評(píng)情況分析

8.2………………12

數(shù)據(jù)安全管理

8.3………………………12

數(shù)據(jù)處理活動(dòng)安全

8.4…………………12

數(shù)據(jù)安全技術(shù)

8.5………………………13

個(gè)人信息保護(hù)

8.6………………………13

風(fēng)險(xiǎn)分析與評(píng)價(jià)

9…………………………14

Ⅰ

GB/T45577—2025

通則

9.1…………………14

數(shù)據(jù)安全風(fēng)險(xiǎn)分析

9.2…………………14

數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)價(jià)

9.3…………………16

形成數(shù)據(jù)安全風(fēng)險(xiǎn)清單

9.4……………17

評(píng)估總結(jié)

10………………17

編制評(píng)估報(bào)告

10.1……………………17

風(fēng)險(xiǎn)處置建議

10.2……………………18

殘余風(fēng)險(xiǎn)分析

10.3……………………18

附錄規(guī)范性數(shù)據(jù)安全風(fēng)險(xiǎn)識(shí)別內(nèi)容

A()………………19

數(shù)據(jù)安全管理

A.1……………………19

數(shù)據(jù)處理活動(dòng)

A.2……………………24

數(shù)據(jù)安全技術(shù)

A.3……………………30

個(gè)人信息保護(hù)

A.4……………………34

附錄資料性典型數(shù)據(jù)安全風(fēng)險(xiǎn)類型

B()………………39

附錄資料性數(shù)據(jù)安全風(fēng)險(xiǎn)分析參考

C()………………41

數(shù)據(jù)安全風(fēng)險(xiǎn)危害程度分析參考

C.1…………………41

數(shù)據(jù)安全風(fēng)險(xiǎn)發(fā)生可能性分析參考

C.2………………43

附錄資料性數(shù)據(jù)安全風(fēng)險(xiǎn)量化分析與評(píng)價(jià)方法

D()…………………45

數(shù)據(jù)安全風(fēng)險(xiǎn)危害程度量化分析方法

D.1……………45

數(shù)據(jù)安全風(fēng)險(xiǎn)發(fā)生可能性量化分析方法

D.2…………45

數(shù)據(jù)安全風(fēng)險(xiǎn)量化評(píng)價(jià)方法

D.3………………………45

附錄資料性數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估報(bào)告模板

E()…………46

參考文獻(xiàn)

……………………49

Ⅱ

GB/T45577—2025

前言

本文件按照標(biāo)準(zhǔn)化工作導(dǎo)則第部分標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則的規(guī)定

GB/T1.1—2020《1:》

起草

。

請(qǐng)注意本文件的某些內(nèi)容可能涉及專利本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別專利的責(zé)任

。。

本文件由全國(guó)網(wǎng)絡(luò)安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)提出并歸口

(SAC/TC260)。

本文件起草單位中國(guó)電子技術(shù)標(biāo)準(zhǔn)化研究院國(guó)家信息技術(shù)安全研究中心國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急

:、、

技術(shù)處理協(xié)調(diào)中心國(guó)家工業(yè)信息安全發(fā)展研究中心中央網(wǎng)信辦數(shù)據(jù)與技術(shù)保障中心中國(guó)信息安全

、、、

測(cè)評(píng)中心國(guó)家信息中心中國(guó)科學(xué)院信息工程研究所公安部第三研究所北京市政務(wù)信息安全保障中

、、、、

心中國(guó)網(wǎng)絡(luò)安全審查認(rèn)證和市場(chǎng)監(jiān)管大數(shù)據(jù)中心中國(guó)科學(xué)技術(shù)大學(xué)中國(guó)科學(xué)院軟件研究所阿里云

、、、、

計(jì)算有限公司北京快手科技有限公司螞蟻科技集團(tuán)股份有限公司華為技術(shù)有限公司

、、、。

本文件主要起草人楊建軍姚相振張宇光胡影陳琦楊韜林星辰陳特盧磊林志強(qiáng)姜松浩

:、、、、、、、、、、、

上官曉麗任英杰朱雪峰晏慧李敏趙冉劉曦澤李曄陳靜徐峰王暉王得福都婧馬英張妍

、、、、、、、、、、、、、、、

蘇艷芳李媛程瑜琦左曉棟張立武宋璟孫勇王昕白曉媛邵萌蘇丹李海東張明天高晨濤

、、、、、、、、、、、、、。

Ⅲ

GB/T45577—2025

數(shù)據(jù)安全技術(shù)數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估方法

1范圍

本文件描述了數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估的基本概念要素關(guān)系分析原理給出了數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估的實(shí)

、、,

施流程評(píng)估內(nèi)容分析評(píng)價(jià)方法等

、、。

本文件適用于指導(dǎo)數(shù)據(jù)處理者第三方評(píng)估機(jī)構(gòu)開展數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估也可供有關(guān)主管監(jiān)管部門

、,

實(shí)施數(shù)據(jù)安全檢查評(píng)估時(shí)參考

。

2規(guī)范性引用文件

下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款其中注日期的引用文

。,

件僅該日期對(duì)應(yīng)的版本適用于本文件不注日期的引用文件其最新版本包括所有的修改單適用于

,;,()

本文件

。

信息安全技術(shù)術(shù)語

GB/T25069—2022

數(shù)據(jù)安全技術(shù)數(shù)據(jù)分類分級(jí)規(guī)則

GB/T43697—2024

3術(shù)語和定義

界定的以及下列術(shù)語和定義適用于本文件

GB/T25069—2022。

31

.

數(shù)據(jù)data

任何以電子或者其他方式對(duì)信息的記錄

。

32

.

數(shù)據(jù)安全datasecurity