1范圍

本指南提出了網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險評估思路、主要工作內(nèi)容、流程

和方法，提出從數(shù)據(jù)安全管理、數(shù)據(jù)處理活動、數(shù)據(jù)安全技術(shù)、個人

信息保護(hù)等方面評估安全風(fēng)險。

本指南適用于指導(dǎo)數(shù)據(jù)處理者自行開展風(fēng)險評估，也可為有關(guān)主

管監(jiān)管部門組織開展數(shù)據(jù)安全檢查評估提供參考。

2術(shù)語定義

2.1網(wǎng)絡(luò)數(shù)據(jù)

一般指通過網(wǎng)絡(luò)收集、存儲、傳輸、處理和產(chǎn)生的各種電子數(shù)據(jù)，

簡稱“數(shù)據(jù)”。

2.2網(wǎng)絡(luò)數(shù)據(jù)處理者

在網(wǎng)絡(luò)數(shù)據(jù)處理活動中自主決定處理目的和處理方式的個人和

組織，以下簡稱“數(shù)據(jù)處理者”。

2.3網(wǎng)絡(luò)數(shù)據(jù)安全

通過采取必要措施，確保網(wǎng)絡(luò)數(shù)據(jù)處于有效保護(hù)和合法利用的狀

態(tài)，以及具備保障持續(xù)安全狀態(tài)的能力，簡稱“數(shù)據(jù)安全”。

2.4網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險評估

對網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù)和數(shù)據(jù)處理活動情況進(jìn)行風(fēng)險評估的過程。

2.5網(wǎng)絡(luò)數(shù)據(jù)處理活動

網(wǎng)絡(luò)數(shù)據(jù)的收集、存儲、使用、加工、傳輸、提供、公開、刪除

等活動。

2.6委托處理

1

網(wǎng)絡(luò)數(shù)據(jù)處理者委托個人、組織按照約定的目的和方式開展的網(wǎng)

絡(luò)數(shù)據(jù)處理活動。

2.7共同處理

兩個及以上的網(wǎng)絡(luò)數(shù)據(jù)處理者共同決定網(wǎng)絡(luò)數(shù)據(jù)的處理目的和

處理方式的網(wǎng)絡(luò)數(shù)據(jù)處理活動。

2.8單獨同意

網(wǎng)絡(luò)數(shù)據(jù)處理者在開展具體網(wǎng)絡(luò)數(shù)據(jù)處理活動時，對每項個人信

息取得個人同意，不包括一次性針對多項個人信息、多種處理活動的

同意。

2.9網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險

由于開展網(wǎng)絡(luò)數(shù)據(jù)處理活動不合理、缺少有效的數(shù)據(jù)安全措施

等，導(dǎo)致數(shù)據(jù)安全事件的發(fā)生及其對國家安全、公共利益或者組織、

個人合法權(quán)益造成的影響。

2.10合理性

數(shù)據(jù)處理活動遵守法律、行政法規(guī)，尊重社會公德和倫理，遵守

商業(yè)道德和職業(yè)道德，誠實守信，不危害國家安全、公共利益，不得

損害個人、組織的合法權(quán)益。

2.11風(fēng)險隱患

可能導(dǎo)致危害數(shù)據(jù)的保密性、完整性、可用性和數(shù)據(jù)處理合理性

等事故的原因、條件、情形或行為。

注：風(fēng)險隱患，既包括安全威脅利用脆弱性可能導(dǎo)致數(shù)據(jù)安全事件的風(fēng)險隱患，也包括

數(shù)據(jù)處理活動不合理操作可能造成違法違規(guī)處理事件的風(fēng)險隱患。

2.12安全措施

2

保護(hù)數(shù)據(jù)資產(chǎn)、抵御安全威脅、減少安全脆弱性、降低數(shù)據(jù)安全

事件的影響，以及打擊信息犯罪而實施的各種實踐、規(guī)程和機(jī)制。

2.13業(yè)務(wù)

組織為實現(xiàn)某項發(fā)展戰(zhàn)略而開展的活動，該活動具有明確的目

標(biāo)，并延續(xù)一段時間。

2.14自動化決策

通過計算機(jī)程序自動分析、評估個人的行為習(xí)慣、興趣愛好或者

經(jīng)濟(jì)、健康、信用狀況等，并進(jìn)行決策的活動。

3風(fēng)險評估概述

3.1評估思路

網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險評估堅持預(yù)防為主、主動發(fā)現(xiàn)、積極防范，對

數(shù)據(jù)處理者數(shù)據(jù)安全保護(hù)和數(shù)據(jù)處理活動進(jìn)行風(fēng)險評估，旨在掌握數(shù)

據(jù)安全總體狀況，發(fā)現(xiàn)數(shù)據(jù)安全隱患，提出數(shù)據(jù)安全管理和技術(shù)防護(hù)

措施建議，提升數(shù)據(jù)安全防攻擊、防破壞、防竊取、防泄露、防濫用

能力。

網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險評估的評估思路如圖1所示。

圖1數(shù)據(jù)安全風(fēng)險評估思路示意圖

3

3.2評估內(nèi)容

網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險評估主要圍繞數(shù)據(jù)安全管理、數(shù)據(jù)處理活動安

全、數(shù)據(jù)安全技術(shù)、個人信息保護(hù)等方面開展。評估內(nèi)容框架如圖2

所示。

圖2數(shù)據(jù)安全風(fēng)險評估內(nèi)容框架

3.3評估流程

數(shù)據(jù)安全風(fēng)險評估流程，主要包括評估準(zhǔn)備、信息調(diào)研、風(fēng)險評

估、綜合分析、評估總結(jié)五個階段，評估實施流程如圖3所示。

4

圖3數(shù)據(jù)安全風(fēng)險評估具體工作及主要產(chǎn)出物

數(shù)據(jù)處理者進(jìn)行自評估時，可依據(jù)本指南進(jìn)行風(fēng)險自查，具體實

施步驟如圖4所示。

圖4數(shù)據(jù)安全風(fēng)險評估（自評估）實施流程

5

有關(guān)部門進(jìn)行檢查評估時，可參考本指南開展檢查工作，具體實

施步驟如圖5所示。

圖5數(shù)據(jù)安全風(fēng)險評估（檢查評估）實施流程

3.4評估手段

開展數(shù)據(jù)安全風(fēng)險評估時，綜合采取下列手段進(jìn)行評估：

a）人員訪談：對相關(guān)人員進(jìn)行訪談，核查制度規(guī)章、防護(hù)措施、

安全責(zé)任落實情況；

b）文檔查驗：查驗安全管理制度、風(fēng)險評估報告、等保測評報

告等有關(guān)材料及制度落實情況的證明材料；

c）安全核查：核查網(wǎng)絡(luò)環(huán)境、數(shù)據(jù)庫和大數(shù)據(jù)平臺等相關(guān)系統(tǒng)

和設(shè)備安全策略、配置、防護(hù)措施情況；

d）技術(shù)測試：應(yīng)用技術(shù)工具、滲透測試等手段查看數(shù)據(jù)資產(chǎn)情

況、檢測防護(hù)措施有效性。

4評估準(zhǔn)備

4.1明確評估目標(biāo)

為落實《數(shù)據(jù)安全法》《個人信息保護(hù)法》等法律法規(guī)要求或安

6

全監(jiān)管需要，對數(shù)據(jù)處理者的數(shù)據(jù)安全管理、數(shù)據(jù)處理活動、數(shù)據(jù)安

全技術(shù)和個人信息保護(hù)情況等進(jìn)行安全評估，發(fā)現(xiàn)存在的安全問題和

風(fēng)險隱患，督促數(shù)據(jù)處理者健全安全制度、改進(jìn)安全措施、堵塞安全

漏洞，進(jìn)一步提高數(shù)據(jù)安全和個人信息保護(hù)能力。

數(shù)據(jù)安全風(fēng)險評估的目標(biāo)，包括但不限于：

a）摸清數(shù)據(jù)種類、規(guī)模、分布等基本情況；

b）摸清數(shù)據(jù)處理活動的情況；

c）發(fā)現(xiàn)可能影響國家安全、公共利益或者個人、組織合法權(quán)益

的數(shù)據(jù)安全問題和風(fēng)險隱患；

d）發(fā)現(xiàn)共享、交易、委托處理、向境外提供重要數(shù)據(jù)等高風(fēng)險

處理活動的數(shù)據(jù)安全問題和風(fēng)險隱患；

e）促進(jìn)完善數(shù)據(jù)安全保護(hù)措施，提升數(shù)據(jù)安全保護(hù)能力。

4.2確定評估范圍

根據(jù)工作需要和評估目標(biāo)，確定數(shù)據(jù)安全風(fēng)險評估的對象、范圍

和邊界，明確評估涉及的數(shù)據(jù)資產(chǎn)、數(shù)據(jù)處理活動、業(yè)務(wù)和信息系統(tǒng)、

人員和內(nèi)外部組織等。

4.3組建評估團(tuán)隊

4.3.1組建檢查評估團(tuán)隊

根據(jù)評估范圍、涉及的行業(yè)特征、專業(yè)需求，選擇具備相關(guān)專業(yè)

能力的評估人員組成評估隊伍。評估隊伍應(yīng)提前完成風(fēng)險評估表格、

文檔、檢測工具等各項準(zhǔn)備工作，并簽署保密協(xié)議。

7

被評估方應(yīng)建立專項工作團(tuán)隊，成員一般包括數(shù)據(jù)安全負(fù)責(zé)人和

安全、法務(wù)、合規(guī)、運維、研發(fā)、業(yè)務(wù)等部門相關(guān)人員。專項工作團(tuán)

隊?wèi)?yīng)按照要求做好人員、設(shè)備、技術(shù)保障等工作，配合開展風(fēng)險評估。

4.3.2組建自評估團(tuán)隊

數(shù)據(jù)處理者自行開展數(shù)據(jù)安全風(fēng)險評估時，可組織業(yè)務(wù)、安全、

法務(wù)、合規(guī)、運維、研發(fā)等相關(guān)部門參與實施，評估組長由數(shù)據(jù)安全

負(fù)責(zé)人或授權(quán)代表擔(dān)任，也可委托第三方專業(yè)技術(shù)機(jī)構(gòu)實施。

4.4開展前期準(zhǔn)備

4.4.1制定工作計劃

評估工作計劃內(nèi)容一般包括工作目的、工作要求、工作內(nèi)容、工

作流程、調(diào)研安排、評估總體進(jìn)度安排等。開展檢查評估時，主管監(jiān)

管部門指導(dǎo)評估隊伍按照工作要求制定評估工作計劃。

4.4.2確定評估依據(jù)

評估依據(jù)包括但不限于：

a）《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個人信息保護(hù)法》等法律，

有關(guān)行政法規(guī)、司法解釋；

b）網(wǎng)信部門及主（監(jiān)）管部門相關(guān)數(shù)據(jù)安全規(guī)章、規(guī)范性文件；

c）地方數(shù)據(jù)安全政策規(guī)定和監(jiān)管要求；

d）數(shù)據(jù)安全相關(guān)國家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)、團(tuán)體標(biāo)準(zhǔn)和地方標(biāo)準(zhǔn)。

開展自評估時，本單位數(shù)據(jù)安全制度規(guī)范可作為評估依據(jù)之一。

4.4.3確定評估內(nèi)容

8

結(jié)合評估目標(biāo)、范圍、依據(jù)，針對被評估方的實際情況，確定被

評估方適用的評估內(nèi)容。

a）數(shù)據(jù)處理者應(yīng)針對數(shù)據(jù)處理活動、數(shù)據(jù)安全管理、數(shù)據(jù)安全

技術(shù)等方面進(jìn)行風(fēng)險評估；

b）涉及處理個人信息的，應(yīng)在a）的基礎(chǔ)上，對個人信息保護(hù)

開展風(fēng)險評估。

開展評估工作過程中，可依據(jù)任務(wù)要求、評估重點、監(jiān)管需要等，

進(jìn)一步完善評估內(nèi)容。

4.4.4建立評估文檔

針對評估目標(biāo)、范圍、依據(jù)和內(nèi)容，準(zhǔn)備風(fēng)險評估調(diào)研表、技術(shù)

測試工具等。

在評估工作開展過程中，應(yīng)對評估工作相關(guān)文件進(jìn)行統(tǒng)一編號，

并規(guī)范管理。

4.5制定評估方案

組織評估隊伍編制風(fēng)險評估工作方案，方案內(nèi)容包括但不限于：

a）評估概述：包括評估目標(biāo)、評估范圍、評估依據(jù)等內(nèi)容；

b）評估內(nèi)容和方法：包括評估內(nèi)容、評估準(zhǔn)則、評估方法和評

估工具等內(nèi)容；

c）評估人員：包括評估隊伍的組織結(jié)構(gòu)、負(fù)責(zé)人、成員、職責(zé)

分工等內(nèi)容；

d）實施計劃：主要包括評估具體實施進(jìn)度安排、人員安排等內(nèi)

容；

9

e）工作要求：包括嚴(yán)格依照評估內(nèi)容及標(biāo)準(zhǔn)規(guī)范，規(guī)范評估行

為，按照盡量不影響被評估方正常工作的原則，制定評估工作應(yīng)急保

障和風(fēng)險規(guī)避措施，并明確告知被評估方評估可能產(chǎn)生的風(fēng)險，嚴(yán)守

工作紀(jì)律和保密要求等內(nèi)容。

評估隊伍可邀請行業(yè)領(lǐng)域和數(shù)據(jù)安全、網(wǎng)絡(luò)安全專家對風(fēng)險評估

方案進(jìn)行評議，重點評議方案內(nèi)容、風(fēng)險管控、保護(hù)措施、可操作性、

技術(shù)可行性等，進(jìn)一步修改完善評估方案后，組織實施風(fēng)險評估工作。

5信息調(diào)研

5.1數(shù)據(jù)處理者調(diào)研

數(shù)據(jù)處理者的基本情況包括但不限于：

a）單位名稱、組織機(jī)構(gòu)代碼、辦公地址、法定代表人信息、人

員規(guī)模、經(jīng)營范圍、數(shù)據(jù)安全負(fù)責(zé)人及其職務(wù)、聯(lián)系方式等基本信息；

b）單位性質(zhì)，例如黨政機(jī)關(guān)、事業(yè)單位、企業(yè)、社會團(tuán)體等；

c）是否屬于特定類型數(shù)據(jù)處理者，例如政務(wù)數(shù)據(jù)處理者、大型

網(wǎng)絡(luò)平臺運營者、關(guān)鍵信息基礎(chǔ)設(shè)施運營者等；

d）所屬行業(yè)領(lǐng)域；

e）業(yè)務(wù)運營地區(qū)，開展數(shù)據(jù)處理活動所在行政區(qū)劃等；

f）主要業(yè)務(wù)范圍、業(yè)務(wù)規(guī)模等；

g）數(shù)據(jù)處理相關(guān)服務(wù)取得行政許可的情況；

h）被評估單位的資本組成和實際控制人情況；

i）是否境外上市或計劃赴境外上市及境外資本參與情況，或以

協(xié)議控制（VIE）架構(gòu)等方式實質(zhì)性境外上市；

10

j）對國家安全、公共利益、公民和組織合法權(quán)益的影響。

5.2業(yè)務(wù)和信息系統(tǒng)調(diào)研

業(yè)務(wù)和信息系統(tǒng)情況包括但不限于：

a）網(wǎng)絡(luò)和信息系統(tǒng)基本情況，包括網(wǎng)絡(luò)規(guī)模、拓?fù)浣Y(jié)構(gòu)、信息

系統(tǒng)等情況和對外連接、運營維護(hù)等情況以及是否為關(guān)鍵信息基礎(chǔ)設(shè)

施等情況；

b）業(yè)務(wù)基本信息，包括業(yè)務(wù)描述、業(yè)務(wù)類型、服務(wù)對象、業(yè)務(wù)

流程、用戶規(guī)模、覆蓋地域、相關(guān)部門等基本信息；

c）業(yè)務(wù)涉及個人信息、重要數(shù)據(jù)或核心數(shù)據(jù)處理情況；

d）業(yè)務(wù)為政務(wù)部門或境外用戶提供服務(wù)情況；

e）信息系統(tǒng)、App和小程序情況，包括系統(tǒng)功能、網(wǎng)絡(luò)安全等

級保護(hù)備案和測評結(jié)論、入口地址、系統(tǒng)連接關(guān)系、數(shù)據(jù)接口、App

及小程序名稱和版本等；

f）接入的外部第三方產(chǎn)品、服務(wù)或SDK的情況，包括名稱、版

本、提供方、使用目的、合同協(xié)議等。

5.3數(shù)據(jù)資產(chǎn)調(diào)研

梳理結(jié)構(gòu)化數(shù)據(jù)資產(chǎn)（如數(shù)據(jù)庫表等）和非結(jié)構(gòu)化數(shù)據(jù)資產(chǎn)（如

圖表文件等），摸清數(shù)據(jù)底數(shù)，輸出數(shù)據(jù)資產(chǎn)清單。涉及范圍包括但

不限于生產(chǎn)環(huán)境、測試環(huán)境、備份存儲環(huán)境、云存儲環(huán)境、個人工作

終端、數(shù)據(jù)采集設(shè)備終端等。調(diào)研內(nèi)容包括但不限于：

a）數(shù)據(jù)資產(chǎn)概況，包括數(shù)據(jù)總量、數(shù)據(jù)資產(chǎn)類型、數(shù)據(jù)庫表和

字段規(guī)模、數(shù)據(jù)量變化情況、境外存儲量、數(shù)據(jù)分布等；

11

b）數(shù)據(jù)分類分級情況，包括分類分級情況、是否符合國家標(biāo)準(zhǔn)

和行業(yè)管理規(guī)范等；

c）個人信息情況，包括個人信息種類、規(guī)模、敏感程度、數(shù)據(jù)

來源、業(yè)務(wù)流轉(zhuǎn)及與信息系統(tǒng)的對應(yīng)關(guān)系等；

d）重要數(shù)據(jù)情況，包括重要數(shù)據(jù)種類、規(guī)模、行業(yè)領(lǐng)域、敏感

程度、數(shù)據(jù)來源、業(yè)務(wù)流轉(zhuǎn)及與信息系統(tǒng)的對應(yīng)關(guān)系等；

e）核心數(shù)據(jù)情況，包括核心數(shù)據(jù)種類、規(guī)模、行業(yè)領(lǐng)域、敏感

程度、數(shù)據(jù)來源、業(yè)務(wù)流轉(zhuǎn)及與信息系統(tǒng)的對應(yīng)關(guān)系等；

f）其他數(shù)據(jù)情況。

5.4數(shù)據(jù)處理活動調(diào)研

被評估方應(yīng)根據(jù)評估范圍繪制數(shù)據(jù)流圖，或編制數(shù)據(jù)處理活動清

單，清晰描述數(shù)據(jù)流轉(zhuǎn)和參與主體情況。

結(jié)合被評估的業(yè)務(wù)、系統(tǒng)和數(shù)據(jù)資產(chǎn)，由被評估方配合評估隊伍

梳理數(shù)據(jù)處理活動清單，摸清數(shù)據(jù)處理活動，內(nèi)容包括但不限于：

a）數(shù)據(jù)收集情況，如數(shù)據(jù)收集渠道、收集方式、數(shù)據(jù)范圍、收

集目的、收集頻率、外部數(shù)據(jù)源、合同協(xié)議、相關(guān)系統(tǒng)，以及在被評

估方外部公共場所安裝圖像采集、個人身份識別設(shè)備的情況等；

b）數(shù)據(jù)存儲情況，如數(shù)據(jù)存儲方式、數(shù)據(jù)中心、存儲系統(tǒng)（如

數(shù)據(jù)庫、大數(shù)據(jù)平臺、云存儲、網(wǎng)盤、存儲介質(zhì)等）、外部存儲機(jī)構(gòu)、

存儲地點、存儲期限、備份冗余策略等；

12

c）數(shù)據(jù)傳輸情況，如數(shù)據(jù)傳輸途徑和方式（如互聯(lián)網(wǎng)、VPN、

物理專線等在線通道情況，采用介質(zhì)等離線傳輸情況）、傳輸協(xié)議、

內(nèi)部數(shù)據(jù)共享、數(shù)據(jù)接口等；

d）數(shù)據(jù)使用和加工情況，如數(shù)據(jù)使用目的、方式、范圍、場景、

算法規(guī)則、相關(guān)系統(tǒng)和部門，數(shù)據(jù)清洗、轉(zhuǎn)換、標(biāo)注等加工情況，應(yīng)

用算法推薦技術(shù)提供互聯(lián)網(wǎng)信息服務(wù)的情況，核心數(shù)據(jù)、重要數(shù)據(jù)或

個人信息委托處理、共同處理的情況等；

e）數(shù)據(jù)提供情況，如數(shù)據(jù)提供（數(shù)據(jù)共享、數(shù)據(jù)交易，因合并、

分立、解散、被宣告破產(chǎn)等原因需要轉(zhuǎn)移數(shù)據(jù)等）的目的、方式、范

圍、數(shù)據(jù)接收方、合同協(xié)議，對外提供的個人信息和重要數(shù)據(jù)的種類、

數(shù)量、范圍、敏感程度、保存期限等；

f）數(shù)據(jù)公開情況，如數(shù)據(jù)公開的目的、方式、對象范圍、受眾

數(shù)量、行業(yè)、組織、地域等；

g）數(shù)據(jù)刪除情況，如數(shù)據(jù)刪除情形、刪除方式、數(shù)據(jù)歸檔、介

質(zhì)銷毀等；

h）數(shù)據(jù)出境情況，是否存在個人信息或重要數(shù)據(jù)出境，如跨境

業(yè)務(wù)、跨境辦公、境外上市、使用境外云服務(wù)或數(shù)據(jù)中心、國際交流

合作等場景的數(shù)據(jù)出境情況。

5.5安全防護(hù)措施調(diào)研

安全防護(hù)措施情況包括但不限于：

a）已開展的等級保護(hù)測評、商用密碼應(yīng)用安全性評估、安全檢

測、風(fēng)險評估、安全認(rèn)證、合規(guī)審計情況；

13

b）數(shù)據(jù)安全管理機(jī)構(gòu)、人員及制度情況；

c）防火墻、入侵檢測、入侵防御等網(wǎng)絡(luò)安全設(shè)備及策略情況；

d）網(wǎng)絡(luò)訪問控制和身份鑒別情況；

e）網(wǎng)絡(luò)安全漏洞管理及修復(fù)情況；

f）VPN等遠(yuǎn)程管理軟件的用戶及管理情況；

g）設(shè)備、系統(tǒng)及用戶的賬號口令管理情況；

h）加密、脫敏、匿名化、去標(biāo)識化等安全技術(shù)應(yīng)用情況；

i）3年內(nèi)發(fā)生的網(wǎng)絡(luò)和數(shù)據(jù)安全事件及處置情況。

6風(fēng)險評估

6.1數(shù)據(jù)安全管理風(fēng)險

6.1.1安全管理制度

6.1.1.1數(shù)據(jù)安全制度體系

針對數(shù)據(jù)安全制度體系建設(shè)情況，應(yīng)重點評估：

a）數(shù)據(jù)安全總體策略、方針、目標(biāo)和原則制定情況；

b）數(shù)據(jù)安全管理工作規(guī)劃或工作方案制定情況；

c）數(shù)據(jù)分類分級、數(shù)據(jù)安全評估、數(shù)據(jù)訪問權(quán)限管理、數(shù)據(jù)全

生命周期管理、數(shù)據(jù)安全應(yīng)急響應(yīng)、數(shù)據(jù)合作方管理、數(shù)據(jù)脫敏、數(shù)

據(jù)加密、數(shù)據(jù)安全審計、數(shù)據(jù)資產(chǎn)管理、大數(shù)據(jù)平臺安全等制度建設(shè)

情況；

d）關(guān)鍵崗位的數(shù)據(jù)安全管理操作規(guī)程建設(shè)情況；

e）制度內(nèi)容與國家和行業(yè)數(shù)據(jù)安全法律法規(guī)和監(jiān)管要求的符合

情況。

14

6.1.1.2數(shù)據(jù)安全制度落實

針對被評估方數(shù)據(jù)安全制度落實情況，應(yīng)重點評估：

a）網(wǎng)絡(luò)安全責(zé)任制、數(shù)據(jù)安全責(zé)任制落實情況，網(wǎng)絡(luò)安全和數(shù)

據(jù)安全事件責(zé)任查處情況；

b）數(shù)據(jù)安全制度的制定、評審、發(fā)布流程建設(shè)情況；

c）數(shù)據(jù)安全制度的定期審核和更新情況；

d）制度發(fā)布范圍是否覆蓋全面，發(fā)布方式是否正規(guī)、有效；

e）數(shù)據(jù)安全制度落實情況，是否具備操作規(guī)程、記錄表單等制

度落實證明材料；

f）制度落實監(jiān)督檢查機(jī)制。

針對重要數(shù)據(jù)處理者，還應(yīng)當(dāng)評估以下內(nèi)容：

a）對數(shù)據(jù)處理活動定期開展數(shù)據(jù)安全風(fēng)險評估的情況；

b）向有關(guān)部門報送評估報告情況，風(fēng)險評估報告至少應(yīng)包含處

理的重要數(shù)據(jù)的種類、數(shù)量，開展數(shù)據(jù)處理活動的情況，面臨的數(shù)據(jù)

安全風(fēng)險及其應(yīng)對措施等。

6.1.2安全組織機(jī)構(gòu)

6.1.2.1數(shù)據(jù)安全組織架構(gòu)

針對被評估方數(shù)據(jù)安全組織架構(gòu)建設(shè)情況，應(yīng)重點評估：

a）數(shù)據(jù)安全管理機(jī)構(gòu)和職能設(shè)置情況；

b）數(shù)據(jù)安全負(fù)責(zé)人和職能設(shè)置情況；

c）單位高層人員參與數(shù)據(jù)安全決策情況；

15

d）對組織內(nèi)部的數(shù)據(jù)安全管理執(zhí)行情況、數(shù)據(jù)操作行為等進(jìn)行

安全監(jiān)督的情況；

e）數(shù)據(jù)安全人員和資源投入情況與組織數(shù)據(jù)安全保護(hù)需求適應(yīng)

性。

6.1.2.2數(shù)據(jù)安全崗位設(shè)置

針對被評估方數(shù)據(jù)安全崗位設(shè)置情況，應(yīng)重點評估：

a）數(shù)據(jù)庫管理員、操作員及安全審計人員、安全運維人員等數(shù)

據(jù)安全關(guān)鍵崗位設(shè)置情況，及職責(zé)分離、專人專崗等原則落實情況；

b）業(yè)務(wù)部門、信息系統(tǒng)建設(shè)部門、信息系統(tǒng)運維部門數(shù)據(jù)安全

人員設(shè)置情況，數(shù)據(jù)安全管理要求執(zhí)行情況；

c）特權(quán)賬戶所有者、關(guān)鍵數(shù)據(jù)處理崗位等數(shù)據(jù)安全關(guān)鍵崗位設(shè)

立雙人雙崗情況。

6.1.3分類分級管理

6.1.3.1數(shù)據(jù)資產(chǎn)管理

針對數(shù)據(jù)資產(chǎn)管理情況，應(yīng)重點評估：

a）數(shù)據(jù)資產(chǎn)臺賬建設(shè)、更新、維護(hù)情況；

b）數(shù)據(jù)資產(chǎn)梳理是否全面，是否能夠覆蓋數(shù)據(jù)庫、大數(shù)據(jù)存儲

組件、云上對象存儲或網(wǎng)盤等存儲工具及辦公計算機(jī)、U盤、光盤等

存儲媒體中的數(shù)據(jù)；

c）通過數(shù)據(jù)資產(chǎn)管理等工具對數(shù)據(jù)資產(chǎn)清單及時更新、維護(hù)的

情況；

16

d）采用技術(shù)手段定期對數(shù)據(jù)資產(chǎn)進(jìn)行掃描的情況，及發(fā)現(xiàn)識別

個人信息、重要數(shù)據(jù)的能力；

e）服務(wù)器、數(shù)據(jù)庫、端口、數(shù)據(jù)資源在互聯(lián)網(wǎng)的暴露及管理情

況；

f）軟硬件資產(chǎn)維護(hù)、報廢、銷毀管理情況等。

6.1.3.2數(shù)據(jù)分類分級制度

針對數(shù)據(jù)分類分級制度建設(shè)情況，應(yīng)重點評估：

a）數(shù)據(jù)分類分級保護(hù)制度建設(shè)情況，是否符合國家、行業(yè)和地

方的數(shù)據(jù)分類分級規(guī)范要求；

b）數(shù)據(jù)分類分級管理情況，及核心數(shù)據(jù)和重要數(shù)據(jù)目錄建立及

維護(hù)情況；

c）是否在相關(guān)制度中明確了數(shù)據(jù)分類管理、分級保護(hù)策略，數(shù)

據(jù)分類分級保護(hù)措施是否落實在數(shù)據(jù)訪問權(quán)限申請、保護(hù)措施部署等

方面；

d）數(shù)據(jù)分類分級變更和審核流程情況；

e）個人信息分類分級管理情況。

6.1.3.3數(shù)據(jù)分類分級保護(hù)

針對數(shù)據(jù)分類分級保護(hù)情況，應(yīng)重點評估：

a）是否對處理的個人信息和重要數(shù)據(jù)進(jìn)行明確標(biāo)識；

b）按照數(shù)據(jù)級別建設(shè)覆蓋全流程數(shù)據(jù)處理活動的安全措施情

況；

17

c）數(shù)據(jù)分類分級打標(biāo)或數(shù)據(jù)資產(chǎn)管理工具建設(shè)情況，是否具有

自動化標(biāo)識能力，是否具有數(shù)據(jù)標(biāo)識結(jié)果發(fā)布、審核等能力；

d）按照相關(guān)重要數(shù)據(jù)目錄或規(guī)定，評估重要數(shù)據(jù)并進(jìn)行重點保

護(hù)的情況；

e）按照相關(guān)核心數(shù)據(jù)目錄或規(guī)定，評估核心數(shù)據(jù)并進(jìn)行嚴(yán)格管

理的情況。

6.1.4人員安全管理

6.1.4.1人員錄用

針對人員錄用情況，應(yīng)重點評估：

a）員工錄用前背景調(diào)查情況；

b）數(shù)據(jù)處理關(guān)鍵崗位人員錄用，對其數(shù)據(jù)安全意識或?qū)I(yè)能力

進(jìn)行考核的情況。

6.1.4.2保密協(xié)議

針對保密協(xié)議簽訂情況，應(yīng)重點評估：

a）員工工作紀(jì)律和工作要求，是否對數(shù)據(jù)安全相關(guān)員工禁止行

為有明確規(guī)定；

b）是否與所有涉及數(shù)據(jù)服務(wù)的人員簽訂安全責(zé)任承諾或保密協(xié)

議，與數(shù)據(jù)安全關(guān)鍵崗位人員簽訂數(shù)據(jù)安全崗位責(zé)任協(xié)議；

c）在重要崗位人員調(diào)離或終止勞動合同前，是否明確并告知其

繼續(xù)履行有關(guān)信息的保密義務(wù)要求，并簽訂保密承諾書。

6.1.4.3轉(zhuǎn)崗離崗

針對人員轉(zhuǎn)崗離崗管理情況，應(yīng)重點評估：

18

a）在人員轉(zhuǎn)崗或離崗時，是否及時終止或變更完成相關(guān)人員數(shù)

據(jù)操作權(quán)限，并明確有關(guān)人員后續(xù)的數(shù)據(jù)保護(hù)管理權(quán)限和保密責(zé)任；

b）對終止勞動合同的人員，是否及時終止并收回其系統(tǒng)權(quán)限及

數(shù)據(jù)權(quán)限，明確告知其繼續(xù)履行有關(guān)信息的保密義務(wù)要求。

6.1.4.4數(shù)據(jù)安全培訓(xùn)

針對人員數(shù)據(jù)安全培訓(xùn)情況，應(yīng)重點評估：

a）數(shù)據(jù)安全培訓(xùn)計劃制定、定期更新情況；

b）對全體人員開展數(shù)據(jù)安全意識教育培訓(xùn)，并保留相關(guān)記錄情

況；

c）是否對數(shù)據(jù)安全崗位人員每年至少進(jìn)行1次數(shù)據(jù)安全專項培

訓(xùn)，對關(guān)鍵崗位人員進(jìn)行定期數(shù)據(jù)安全技能考核情況。

6.1.5合作外包管理

6.1.5.1合作方管理機(jī)制

針對合作方管理機(jī)制建設(shè)情況，應(yīng)重點評估：

a）數(shù)據(jù)合作方安全管理機(jī)制建設(shè)情況，如對合作方或外包服務(wù)

機(jī)構(gòu)的選擇、評價、管理、監(jiān)督機(jī)制；

b）是否對數(shù)據(jù)合作方或外包服務(wù)機(jī)構(gòu)的安全能力進(jìn)行評估；

c）對外包服務(wù)機(jī)構(gòu)、人員履行安全責(zé)任義務(wù)的監(jiān)督檢查情況；

d）外包人員現(xiàn)場服務(wù)安全管理情況；

e）對外包服務(wù)商的技術(shù)依賴程度，對委托處理數(shù)據(jù)的控制和管

理能力。

6.1.5.2合作協(xié)議約束

19

針對合作協(xié)議約束情況，應(yīng)重點評估：

a）服務(wù)合同、承諾及安全保密協(xié)議情況，是否通過合同協(xié)議等

方式對接收、使用本單位數(shù)據(jù)的合作方的數(shù)據(jù)使用行為進(jìn)行約束；

b）是否在合作協(xié)議中明確了數(shù)據(jù)處理目的、方式、范圍，安全

保護(hù)責(zé)任、保密約定及違約責(zé)任和處罰條款等；

c）合同、協(xié)議中，數(shù)據(jù)處理者與合作方、外包服務(wù)商間的數(shù)據(jù)

安全責(zé)任界定情況。

6.1.5.3外包訪問權(quán)限

針對外包訪問權(quán)限管理情況，應(yīng)重點評估：

a）外包人員對數(shù)據(jù)與系統(tǒng)的訪問、修改權(quán)限是否限于最小必要

范圍；

b）能夠在測試環(huán)境下或使用測試數(shù)據(jù)完成的，是否向外包人員

開放了生產(chǎn)環(huán)境權(quán)限或真實數(shù)據(jù)；

c）外包人員數(shù)據(jù)導(dǎo)出操作或數(shù)據(jù)外發(fā)操作的監(jiān)督管理情況；

d）外包人員對敏感數(shù)據(jù)的訪問及操作能否被實時監(jiān)督或監(jiān)測；

e）數(shù)據(jù)外包服務(wù)賬號及訪問權(quán)限管理情況；

f）外包人員遠(yuǎn)程訪問操作系統(tǒng)或數(shù)據(jù)的情況。

6.1.5.4第三方接入與數(shù)據(jù)回收

針對第三方接入與數(shù)據(jù)回收情況，應(yīng)重點評估：

a）是否對合作方接入的系統(tǒng)、使用的技術(shù)工具進(jìn)行了技術(shù)檢測，

避免引入木馬、后門等；

20

b）為完成技術(shù)或服務(wù)目的向合作方提供的數(shù)據(jù)，在合作結(jié)束后

是否進(jìn)行了回收，是否要求合作方對數(shù)據(jù)進(jìn)行刪除；

c）外包服務(wù)到期后，賬號注銷、數(shù)據(jù)回收、數(shù)據(jù)刪除銷毀等管

理情況。

6.1.5.5政務(wù)數(shù)據(jù)委托處理

涉及政務(wù)部門或針對法律、法規(guī)授權(quán)的具有管理公共事務(wù)職能的

組織委托處理政務(wù)數(shù)據(jù)的情形，應(yīng)重點評估：

a）委托他人建設(shè)、維護(hù)電子政務(wù)系統(tǒng)，存儲、加工政務(wù)數(shù)據(jù)，

是否經(jīng)過嚴(yán)格的批準(zhǔn)程序，是否以合同等手段監(jiān)督受托方履行相應(yīng)的

數(shù)據(jù)安全保護(hù)義務(wù)；

b）政務(wù)數(shù)據(jù)受托方依照法律、法規(guī)的規(guī)定和合同約定履行數(shù)據(jù)

安全保護(hù)義務(wù)的情況，是否擅自留存、使用、泄露或者向他人提供政

務(wù)數(shù)據(jù)；

c）支撐電子政務(wù)相關(guān)系統(tǒng)運行的相關(guān)服務(wù)或系統(tǒng)的安全措施，

是否滿足電子政務(wù)系統(tǒng)管理和相關(guān)安全要求。

6.1.6安全應(yīng)急管理

針對安全應(yīng)急管理情況，應(yīng)重點評估：

a）數(shù)據(jù)安全事件應(yīng)急預(yù)案制定和修訂情況，是否定義數(shù)據(jù)安全

事件類型，明確不同類別事件的處置流程和方法；

b）數(shù)據(jù)安全應(yīng)急響應(yīng)及處置機(jī)制建設(shè)情況，發(fā)生數(shù)據(jù)安全事件

時是否立即采取處置措施，是否按照規(guī)定及時告知用戶并向有關(guān)主管

部門報告；

21

c）網(wǎng)絡(luò)和數(shù)據(jù)安全事件應(yīng)急演練情況；

d）數(shù)據(jù)處理活動安全風(fēng)險監(jiān)測情況，發(fā)現(xiàn)數(shù)據(jù)安全缺陷、漏洞

等風(fēng)險時，是否立即采取補救措施；

e）近3年發(fā)生的數(shù)據(jù)安全事件處置、記錄、整改和上報情況；

f）安全事件對個人、其他組織造成危害的，是否將安全事件和

風(fēng)險情況、危害后果、已經(jīng)采取的補救措施等通知利害關(guān)系人，無法

通知的是否采取公告等其他方式告知；

g）面向社會提供服務(wù)的數(shù)據(jù)處理者是否建立便捷的數(shù)據(jù)安全投

訴舉報渠道，以及近3年的數(shù)據(jù)安全投訴舉報處置、記錄和整改情況，

是否存在侵害用戶個人信息合法權(quán)益的情況。

6.1.7開發(fā)運維管理

針對開發(fā)運維管理情況，應(yīng)重點評估：

a）新應(yīng)用開發(fā)審核流程建設(shè)情況，進(jìn)行數(shù)據(jù)處理需求安全合規(guī)

審核情況；

b）開發(fā)程序的修改、更新、發(fā)布的批準(zhǔn)授權(quán)和版本控制流程；

c）工程實施、驗收、交付的安全管理情況；

d）對開發(fā)代碼、測試數(shù)據(jù)的安全管理情況；

e）產(chǎn)品或業(yè)務(wù)上線前進(jìn)行安全評估的情況；

f）開發(fā)測試環(huán)境和實際運行環(huán)境的隔離情況、測試數(shù)據(jù)和測試

結(jié)果的控制情況；

22

g）開發(fā)測試中使用真實個人信息、核心數(shù)據(jù)、重要數(shù)據(jù)情況，

開發(fā)測試前對相關(guān)數(shù)據(jù)進(jìn)行去標(biāo)識化、脫敏處理（測試確需信息除外）

情況；

h）對開發(fā)和運維人員行為的監(jiān)督和審計情況；

i）遠(yuǎn)程運維的審批、管理和安全防護(hù)措施；

j）第三方SDK或開源軟件的中文版運行維護(hù)、二次開發(fā)等技術(shù)

資料完備性。

6.1.8云數(shù)據(jù)安全

被評估對象使用云計算服務(wù)時，應(yīng)重點評估：

a）專有云部署模式下，與云服務(wù)提供商、第三方廠商安全責(zé)任

劃分是否明確、合理；

b）是否明確云數(shù)據(jù)安全責(zé)任劃分邊界，并履行相應(yīng)數(shù)據(jù)安全責(zé)

任，部署與自身業(yè)務(wù)安全需求匹配的安全產(chǎn)品；

c）是否對云服務(wù)商的運維操作行為進(jìn)行安全審計。

被評估對象是云計算服務(wù)提供方時，應(yīng)重點評估：

a）公有云、社區(qū)云等不同類型云平臺間隔離防護(hù)情況；

b）租戶與云、云數(shù)據(jù)中心間數(shù)據(jù)傳輸安全防護(hù)情況；

c）云平臺是否明確約定服務(wù)相關(guān)方數(shù)據(jù)安全保護(hù)角色和職責(zé)；

d）針對不同服務(wù)模式（IaaS、PaaS、SaaS）、部署模式（公有

云、社區(qū)云、私有云等）、產(chǎn)品和服務(wù)，數(shù)據(jù)安全責(zé)任界面劃定情況

及合法合規(guī)性；

e）責(zé)任劃分合理性，是否通過合同協(xié)議等方式，與租戶劃清云

23

數(shù)據(jù)安全責(zé)任邊界，并履行相應(yīng)數(shù)據(jù)安全責(zé)任；

f）發(fā)生數(shù)據(jù)安全風(fēng)險或事件時，為租戶提供事件報告、應(yīng)急處

置等協(xié)同保障措施情況；

g）云上收集租戶數(shù)據(jù)梳理情況，是否包含對重要數(shù)據(jù)、個人信

息等內(nèi)容的梳理，收集方式是否安全合理，是否存在超范圍收集；

h）云上承載用戶個人信息、重要數(shù)據(jù)情況，是否對重要數(shù)據(jù)、

敏感個人信息實施增強(qiáng)的安全防護(hù)；

i）產(chǎn)品安全配置情況，數(shù)據(jù)安全產(chǎn)品、數(shù)據(jù)庫、網(wǎng)絡(luò)等產(chǎn)品的

配置是否合理，產(chǎn)品基線安全配置、默認(rèn)安全配置是否合理，是否存

在數(shù)據(jù)泄露風(fēng)險；

j）第三方組件安全核查、漏洞修復(fù)情況，是否及時對第三方組

件進(jìn)行安全核查、對漏洞更新補丁，是否滿足云服務(wù)商漏洞修復(fù)時間

要求；

k）漏洞更新和推送情況，是否會及時提供補丁推送、跟進(jìn)用戶

漏洞更新等情況；

l）云平臺提供的基礎(chǔ)數(shù)據(jù)安全防護(hù)能力是否能提供有效安全防

護(hù)；

m）是否對用戶使用云產(chǎn)品或服務(wù)的高危操作進(jìn)行顯著提示，明

確說明相關(guān)操作可引發(fā)的安全風(fēng)險；

n）對云上租戶的賬號管理措施的部署情況及安全性；

o）是否設(shè)置保障租戶數(shù)據(jù)安全的相關(guān)制度規(guī)定、安全措施；

p）約定服務(wù)到期、欠費、提前終止等情形下，數(shù)據(jù)返還、刪除

24

等情況；

q）數(shù)據(jù)備份和恢復(fù)機(jī)制是否完善，數(shù)據(jù)備份策略、備份周期、

備份存儲等是否符合安全需要；

r）承載重要數(shù)據(jù)的云平臺，開展數(shù)據(jù)安全風(fēng)險評估工作情況。

6.2數(shù)據(jù)處理活動風(fēng)險

6.2.1數(shù)據(jù)收集

6.2.1.1數(shù)據(jù)收集合法正當(dāng)性

針對數(shù)據(jù)收集合法正當(dāng)性情況，應(yīng)重點評估：

a）數(shù)據(jù)收集的合法性、正當(dāng)性，是否存在竊取、超范圍收集、

未經(jīng)合法授權(quán)收集或者以其他非法方式獲取數(shù)據(jù)的情況，數(shù)據(jù)收集目

的和范圍是否合法；

b）違反法律、行政法規(guī)關(guān)于收集使用數(shù)據(jù)目的、范圍相關(guān)要求，

收集數(shù)據(jù)的情況。

6.2.1.2通過第三方收集數(shù)據(jù)

重點評估從外部機(jī)構(gòu)采集數(shù)據(jù)的安全情況：

a）通過合同協(xié)議等合法方式，約定從外部機(jī)構(gòu)采集的數(shù)據(jù)范圍、

收集方式、使用目的和授權(quán)同意情況；

b）對外部數(shù)據(jù)源和外部收集數(shù)據(jù)進(jìn)行鑒別和記錄的情況；

c）數(shù)據(jù)的真實性及來源的可靠性；

d）對外部數(shù)據(jù)源和外部收集數(shù)據(jù)的合法性、安全性和授權(quán)同意

情況進(jìn)行審核的情況。

6.2.1.3數(shù)據(jù)質(zhì)量控制

25

針對數(shù)據(jù)質(zhì)量控制情況，應(yīng)重點評估：

a）數(shù)據(jù)質(zhì)量管理制度建設(shè)情況，對采集數(shù)據(jù)質(zhì)量和管理措施是

否進(jìn)行明確要求；

b）安全管理和操作規(guī)范對數(shù)據(jù)清洗、轉(zhuǎn)換和加載等行為是否進(jìn)

行明確要求；

c）數(shù)據(jù)質(zhì)量管理和監(jiān)控的情況，對異常數(shù)據(jù)及時告警或更正采

取的手段措施；

d）收集數(shù)據(jù)監(jiān)控、過程記錄等情況，以及安全措施應(yīng)用情況；

e）采用人工檢查、自動檢查或其他技術(shù)手段對數(shù)據(jù)的真實性、

準(zhǔn)確性、完整性校驗情況；

f）對外部數(shù)據(jù)源和外部收集數(shù)據(jù)的真實性和可靠性進(jìn)行鑒別和

校驗的情況。

6.2.1.4收集方式

針對數(shù)據(jù)收集方式，應(yīng)重點評估：

a）采用自動化工具訪問、收集數(shù)據(jù)的，違反法律、行政法規(guī)或

者行業(yè)自律公約情況，侵犯他人知識產(chǎn)權(quán)等合法權(quán)益情況；

b）采用自動化工具收集時，對數(shù)據(jù)收集范圍、數(shù)量和頻率的明

確情況，收集與提供服務(wù)無關(guān)數(shù)據(jù)的情況；

c）采用自動化工具收集數(shù)據(jù)以及該方式對網(wǎng)絡(luò)服務(wù)的性能、功

能帶來的影響情況；

26

d）通過人工方式采集數(shù)據(jù)的，是否對數(shù)據(jù)采集人員嚴(yán)格管理，

要求將采集數(shù)據(jù)直接報送到相關(guān)人員或系統(tǒng)，采集任務(wù)完成后及時刪

除采集人員留存的數(shù)據(jù)。

6.2.1.5數(shù)據(jù)收集設(shè)備及環(huán)境安全

針對數(shù)據(jù)收集設(shè)備及環(huán)境安全情況，應(yīng)重點評估：

a）采集終端數(shù)據(jù)泄露風(fēng)險，檢測采集終端或設(shè)備的安全漏洞，

是否存在數(shù)據(jù)泄露風(fēng)險；

b）人工采集數(shù)據(jù)泄露風(fēng)險，通過人員權(quán)限管控、信息碎片化等

方式，對人工采集數(shù)據(jù)環(huán)境進(jìn)行安全管控情況；

c）客戶端敏感信息留存風(fēng)險，檢測App、Web等客戶端完成相

關(guān)業(yè)務(wù)后，是否及時對緩存數(shù)據(jù)進(jìn)行清理，是否留存敏感個人信息或

重要數(shù)據(jù)。

6.2.2數(shù)據(jù)存儲

6.2.2.1數(shù)據(jù)存儲適當(dāng)性

針對數(shù)據(jù)存儲適當(dāng)性，應(yīng)重點評估：

a）數(shù)據(jù)存儲安全策略和操作規(guī)程的建設(shè)落實情況；

b）存儲位置、期限、方式的適當(dāng)性；

c）永久存儲數(shù)據(jù)類型的必要性；

d）云存儲的安全性。

6.2.2.2邏輯存儲安全

針對邏輯存儲安全情況，應(yīng)重點評估：

27

a）數(shù)據(jù)庫的賬號權(quán)限管理、訪問控制、日志管理、加密管理、

版本升級等方面要求的落實情況；

b）檢測邏輯存儲系統(tǒng)安全漏洞，查看安全漏洞修復(fù)、處置情況；

c）實施限制數(shù)據(jù)庫管理、運維等人員操作行為的安全管理措施

情況；

d）脫敏后的數(shù)據(jù)與可用于恢復(fù)數(shù)據(jù)的信息分開存儲的情況；

e）對敏感個人信息、重要數(shù)據(jù)進(jìn)行加密存儲情況及加密措施有

效性；

f）數(shù)據(jù)存儲在第三方云平臺、數(shù)據(jù)中心等外部區(qū)域的安全管理、

訪問控制情況；

g）根據(jù)安全級別、重要性、量級、使用頻率等因素，對數(shù)據(jù)分

域分級差異化存儲安全管控情況。

6.2.2.3存儲介質(zhì)安全

針對存儲介質(zhì)安全情況，應(yīng)重點評估：

a）存儲介質(zhì)（含移動存儲介質(zhì)，下同）的使用、管理及資產(chǎn)標(biāo)

識情況；

b）存儲介質(zhì)安全管理規(guī)范建設(shè)情況，是否明確對存儲介質(zhì)存儲

數(shù)據(jù)的安全要求；

c）對存儲介質(zhì)進(jìn)行定期或隨機(jī)性安全檢查情況；

d）存儲介質(zhì)訪問和使用行為的記錄和審計情況。

6.2.3數(shù)據(jù)傳輸

6.2.3.1傳輸鏈路安全性

28

針對數(shù)據(jù)傳輸鏈路安全性，應(yīng)重點評估：

a）數(shù)據(jù)傳輸安全策略和操作規(guī)程的建設(shè)落實情況；

b）個人信息和重要數(shù)據(jù)傳輸加密情況及加密措施有效性，是否

選用安全的密碼算法；

c）個人信息和重要數(shù)據(jù)傳輸進(jìn)行完整性保護(hù)情況；

d）數(shù)據(jù)傳輸通道部署身份鑒別、安全配置、密碼算法配置、密

鑰管理等防護(hù)措施情況；

e）數(shù)據(jù)傳輸、接收的記錄和安全審計情況；

f）采取安全傳輸協(xié)議等安全措施情況；

g）數(shù)據(jù)異常傳輸檢測發(fā)現(xiàn)及處置情況。

6.2.3.2傳輸鏈路可靠性

針對數(shù)據(jù)傳輸鏈路的可靠性，應(yīng)重點評估：

a）網(wǎng)絡(luò)傳輸鏈路的可用情況，包括對關(guān)鍵網(wǎng)絡(luò)傳輸鏈路、網(wǎng)絡(luò)

設(shè)備節(jié)點實行冗余建設(shè)，建立容災(zāi)方案和宕機(jī)替代方案等情況；

b）點對點傳輸中是否存在傳輸經(jīng)過第三方、被第三方緩存情況。

6.2.4數(shù)據(jù)使用和加工

6.2.4.1數(shù)據(jù)使用和加工合法性

針對數(shù)據(jù)使用和加工合法性，應(yīng)重點評估：

a）使用和加工數(shù)據(jù)時，遵守法律、行政法規(guī)，尊重社會公德和

倫理，遵守商業(yè)道德和職業(yè)道德等情況；

b）是否存在危害國家安全、公共利益的數(shù)據(jù)使用和加工行為，

損害個人、組織合法權(quán)益的數(shù)據(jù)使用和加工行為；

29

c）是否制作、發(fā)布、復(fù)制、傳播違法信息；

d）應(yīng)用算法推薦技術(shù)提供互聯(lián)網(wǎng)信息服務(wù)的，是否按照《互聯(lián)

網(wǎng)信息服務(wù)算法推薦管理規(guī)定》開展定期審核、評估、驗證數(shù)據(jù)處理

機(jī)制機(jī)理、模型、數(shù)據(jù)和應(yīng)用結(jié)果等相關(guān)工作。

6.2.4.2數(shù)據(jù)正當(dāng)使用

針對數(shù)據(jù)正當(dāng)使用情況，應(yīng)重點評估：

a）數(shù)據(jù)使用加工安全策略和操作規(guī)程的建設(shè)落實情況；

b）數(shù)據(jù)使用是否獲得數(shù)據(jù)提供方、數(shù)據(jù)主體等相關(guān)方授權(quán)；

c）數(shù)據(jù)使用行為與承諾或用戶協(xié)議的一致性；

d）除為實現(xiàn)法定職責(zé)或依法開展數(shù)據(jù)共享等情況外，變更個人

信息使用目的或規(guī)則時，是否以合理明確的方式再次征得用戶明示同

意；

e）開展數(shù)據(jù)處理活動以及研究開發(fā)數(shù)據(jù)新技術(shù)，是否有利于促

進(jìn)經(jīng)濟(jì)社會發(fā)展，增進(jìn)人民福祉，符合社會公德和倫理；

f）使用數(shù)據(jù)開展用戶畫像、信息推送、內(nèi)容呈現(xiàn)等業(yè)務(wù)，造成

用戶受不公平的價格待遇、平臺公共競爭秩序受影響、平臺內(nèi)勞動者

正當(dāng)權(quán)益受損害等風(fēng)險情況；

g）數(shù)據(jù)使用加工目的、方式、范圍，與行政許可、合同授權(quán)等

的一致性；

h）是否存在個人信息和重要數(shù)據(jù)濫用情況。

6.2.4.3數(shù)據(jù)導(dǎo)入導(dǎo)出

針對數(shù)據(jù)導(dǎo)入導(dǎo)出情況，應(yīng)重點評估：

30

a）數(shù)據(jù)導(dǎo)出安全評估和授權(quán)審批流程建設(shè)情況；

b）導(dǎo)入導(dǎo)出審計策略和日志管理機(jī)制建設(shè)情況；

c）是否進(jìn)行嚴(yán)格的導(dǎo)出權(quán)限管理并記錄了完整的導(dǎo)出操作；

d）是否對導(dǎo)出數(shù)據(jù)的存儲介質(zhì)提出了嚴(yán)格的加密、使用、銷毀

要求并進(jìn)行落實；

e）定期對個人信息和重要數(shù)據(jù)導(dǎo)出行為進(jìn)行安全審計情況。

6.2.4.4數(shù)據(jù)處理環(huán)境

針對數(shù)據(jù)處理環(huán)境安全情況，應(yīng)重點評估：

a）數(shù)據(jù)處理環(huán)境設(shè)置身份鑒別、訪問控制、隔離存儲、加密、

脫敏等安全措施情況；

b）大數(shù)據(jù)平臺等處理組件按照基線要求進(jìn)行安全配置、配置核

查情況；

c）處理環(huán)境中的安全漏洞情況，已發(fā)現(xiàn)漏洞的處置情況。

6.2.4.5數(shù)據(jù)使用和加工安全措施

針對數(shù)據(jù)使用和加工安全措施情況，應(yīng)重點評估：

a）在數(shù)據(jù)清洗、轉(zhuǎn)換、建模、分析、挖掘等加工過程中，對數(shù)

據(jù)特別是個人信息和重要數(shù)據(jù)的保護(hù)情況；

b）數(shù)據(jù)防泄漏措施建設(shè)情況；

c）數(shù)據(jù)使用加工過程中采取的數(shù)據(jù)脫敏、水印溯源等安全保護(hù)

措施情況；

d）數(shù)據(jù)訪問與操作行為的最小化授權(quán)、訪問控制、審批等管理

情況；

31

e）數(shù)據(jù)使用權(quán)限管理情況，如是否存在未授權(quán)訪問、超范圍授

權(quán)、權(quán)限未及時收回、特權(quán)賬號設(shè)置不合理等情況；

f）數(shù)據(jù)加工過程中對個人信息、重要數(shù)據(jù)等敏感數(shù)據(jù)的操作行

為記錄、定期審計情況；

g）高風(fēng)險行為審計及回溯工作開展情況；

h）委托加工數(shù)據(jù)的，是否明確約定受托方的安全保護(hù)義務(wù)，并

采取技術(shù)措施或其他約束手段防止受托方非法留存、擴(kuò)散數(shù)據(jù)。

6.2.5數(shù)據(jù)提供

6.2.5.1數(shù)據(jù)提供合法正當(dāng)必要性

針對數(shù)據(jù)提供合法正當(dāng)必要性，應(yīng)重點評估：

a）數(shù)據(jù)對外提供的目的、方式、范圍的合法性、正當(dāng)性、必要

性；

b）數(shù)據(jù)提供的依據(jù)和目的是否合理、明確；

c）數(shù)據(jù)提供是否遵守法律法規(guī)和監(jiān)管政策要求，是否存在非法

買賣、提供他人個人信息或重要數(shù)據(jù)行為；

d）對外提供的個人信息和重要數(shù)據(jù)范圍，是否限于實現(xiàn)處理目

的的最小范圍。

6.2.5.2數(shù)據(jù)提供管理

針對數(shù)據(jù)提供管理情況，應(yīng)重點評估：

a）數(shù)據(jù)提供安全策略和操作規(guī)程的建設(shè)落實情況；

b）數(shù)據(jù)對外提供的審批情況；

32

c）對外提供數(shù)據(jù)前，數(shù)據(jù)安全風(fēng)險評估情況和個人信息保護(hù)影

響評估情況；

d）與接收方簽訂合同協(xié)議情況，是否在合同協(xié)議中明確了處理

數(shù)據(jù)的目的、方式、范圍、數(shù)據(jù)安全保護(hù)措施、安全責(zé)任義務(wù)及罰則；

e）開展共享、交易、委托處理、向境外提供數(shù)據(jù)等高風(fēng)險數(shù)據(jù)

處理活動前的安全評估情況；

f）向境外執(zhí)法機(jī)構(gòu)提供境內(nèi)數(shù)據(jù)的情況；

g）核心數(shù)據(jù)跨主體流動前是否經(jīng)國家數(shù)據(jù)安全工作協(xié)調(diào)機(jī)制評

估和批準(zhǔn)。

6.2.5.3數(shù)據(jù)提供技術(shù)措施

針對數(shù)據(jù)提供技術(shù)措施情況，應(yīng)重點評估：

a）對外提供的敏感數(shù)據(jù)是否進(jìn)行加密及加密有效性；

b）對共享數(shù)據(jù)及數(shù)據(jù)共享過程的監(jiān)控審計情況；

c）對外提供數(shù)據(jù)時采取簽名、添加水印等安全措施情況；

d）跟蹤記錄數(shù)據(jù)流量、接收者信息及處理操作信息情況，記錄

日志是否完備、是否能夠支撐數(shù)據(jù)安全事件溯源；

e）數(shù)據(jù)對外提供的安全保障措施及有效性；

f）多方安全計算、聯(lián)邦學(xué)習(xí)等安全技術(shù)應(yīng)用情況。

6.2.5.4數(shù)據(jù)接收方

針對數(shù)據(jù)接收方情況，應(yīng)重點評估：

a）數(shù)據(jù)接收方的誠信狀況、違法違規(guī)情況、境外政府機(jī)構(gòu)合作

關(guān)系、被中國政府制裁等情況；

33

b）數(shù)據(jù)接收方處理數(shù)據(jù)的目的、方式、范圍等的合法性、正當(dāng)

性、必要性；

c）接收方是否承諾具備保障數(shù)據(jù)安全的管理、技術(shù)措施和能力

并履行責(zé)任義務(wù)；

d）是否考核接收方的數(shù)據(jù)保護(hù)能力，掌握其發(fā)生的歷史網(wǎng)絡(luò)安

全、數(shù)據(jù)安全事件處置情況；

e）對接收方數(shù)據(jù)使用、再轉(zhuǎn)移、對外提供和安全保護(hù)的監(jiān)督情

況。

6.2.5.5數(shù)據(jù)轉(zhuǎn)移安全

針對因兼并、重組、破產(chǎn)等原因向外轉(zhuǎn)移數(shù)據(jù)，或承接其他數(shù)據(jù)

處理者轉(zhuǎn)移數(shù)據(jù)等場景，重點評估：

a）是否向有關(guān)主管部門報告；

b）是否制定數(shù)據(jù)轉(zhuǎn)移方案；

c）接收方數(shù)據(jù)安全保障能力，是否滿足數(shù)據(jù)轉(zhuǎn)移后數(shù)據(jù)接收方

不降低現(xiàn)有數(shù)據(jù)安全保護(hù)水平風(fēng)險；

d）沒有接收方的，對相關(guān)數(shù)據(jù)刪除處理情況。

6.2.5.6數(shù)據(jù)出境安全

針對數(shù)據(jù)出境安全情況，重點評估：

a）數(shù)據(jù)出境場景梳理是否合理、完整，是否覆蓋全部業(yè)務(wù)場景

和產(chǎn)品類別；

b）出境線路梳理是否合理、完整，是否覆蓋公網(wǎng)出境、專線出

境等情形；

34

c）涉及數(shù)據(jù)出境的，按照有關(guān)規(guī)定開展數(shù)據(jù)出境安全評估、個

人信息保護(hù)認(rèn)證、個人信息出境標(biāo)準(zhǔn)合同簽訂的情況；

d）針對公網(wǎng)出境場景，監(jiān)測核查實際出境數(shù)據(jù)是否與申報內(nèi)容

一致。

6.2.6數(shù)據(jù)公開

6.2.6.1數(shù)據(jù)公開適當(dāng)性

針對數(shù)據(jù)公開適當(dāng)性，應(yīng)重點評估：

a）數(shù)據(jù)公開目的、方式、范圍的適當(dāng)性；

b）數(shù)據(jù)公開目的、方式、范圍與行政許可、合同授權(quán)的一致性；

c）公開的數(shù)據(jù)內(nèi)容與法律法規(guī)要求的符合程度；

d）對公開的數(shù)據(jù)進(jìn)行必要的脫敏處理、數(shù)據(jù)水印、防爬取、權(quán)

限控制情況；

e）數(shù)據(jù)公開是否會帶來聚合性風(fēng)險；基于被評估對象的已公開

數(shù)據(jù)，結(jié)合社會經(jīng)驗、自然知識或其他公開信息，嘗試是否可以推斷

出涉密信息、被評估對象其他未曾公開的關(guān)聯(lián)信息，或其他對國家安

全、社會公共利益有影響的信息。

6.2.6.2數(shù)據(jù)公開管理

針對數(shù)據(jù)公開管理情況，應(yīng)重點評估：

a）數(shù)據(jù)公開的安全制度、策略、操作規(guī)程和審核流程的建設(shè)落

實情況；

b）數(shù)據(jù)公開的條件、批準(zhǔn)程序，涉及重大基礎(chǔ)設(shè)施的信息公開

是否經(jīng)過主管部門批準(zhǔn)，涉及個人信息公開是否取得個人單獨同意；

35

c）數(shù)據(jù)公開前的安全評估情況，是否事前評估數(shù)據(jù)公開條件、

環(huán)境、權(quán)限、內(nèi)容等風(fēng)險；

d）因法律法規(guī)、監(jiān)管政策的更新，對不宜公開的已公開數(shù)據(jù)的

處置情況；

e）對公開數(shù)據(jù)的脫敏處理、防爬取、數(shù)字水印等控制措施。

6.2.7數(shù)據(jù)刪除

6.2.7.1數(shù)據(jù)刪除管理

針對數(shù)據(jù)刪除管理情況，應(yīng)重點評估：

a）數(shù)據(jù)刪除流程和審批機(jī)制的建設(shè)落實情況；

b）數(shù)據(jù)刪除安全策略和操作規(guī)程，是否明確數(shù)據(jù)銷毀對象、原

因、銷毀方式和銷毀要求及對應(yīng)操作規(guī)程；

c）是否按照法律法規(guī)、合同約定、隱私政策等及時刪除數(shù)據(jù)；

d）委托第三方進(jìn)行數(shù)據(jù)處理的，是否在委托結(jié)束后監(jiān)督第三方

刪除或返還數(shù)據(jù)；

e）數(shù)據(jù)刪除有效性、徹底性驗證情況，以及可能存在的多副本

同步刪除情況；

f）是否明確數(shù)據(jù)存儲期限，并于存儲期限到期后按期刪除數(shù)據(jù)，

明確不可刪除數(shù)據(jù)的類型及原因；

g）緩存數(shù)據(jù)的刪除情況。

6.2.7.2存儲介質(zhì)銷毀

針對存儲介質(zhì)銷毀情況，應(yīng)重點評估：

a）存儲介質(zhì)銷毀管理制度和審批機(jī)制的建設(shè)落實情況；

36

b）介質(zhì)銷毀策略和操作規(guī)程，是否明確各類介質(zhì)的銷毀流程、

方式和要求；是否依據(jù)存儲內(nèi)容重要性、存儲介質(zhì)使用壽命，明確存

儲介質(zhì)銷毀方法；是否妥善處置銷毀的存儲介質(zhì)；

c）存儲介質(zhì)銷毀過程的監(jiān)控、記錄情況；

d）介質(zhì)銷毀措施有效性，是否對被銷毀的存儲介質(zhì)進(jìn)行數(shù)據(jù)恢

復(fù)驗證。

6.2.8其他

對于人臉、步態(tài)、基因、聲紋、即時通信、快遞物流、網(wǎng)上購物、

網(wǎng)絡(luò)支付服務(wù)、網(wǎng)絡(luò)音視頻、汽車、網(wǎng)絡(luò)預(yù)約汽車服務(wù)等數(shù)據(jù)處理活

動的評估，可參照相應(yīng)國家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)的具體細(xì)化要求評估風(fēng)險。

6.3數(shù)據(jù)安全技術(shù)風(fēng)險

6.3.1網(wǎng)絡(luò)安全防護(hù)

針對網(wǎng)絡(luò)安全防護(hù)情況，應(yīng)重點評估：

a）網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、網(wǎng)絡(luò)區(qū)域劃分、IP地址分配、網(wǎng)絡(luò)帶寬設(shè)置

等網(wǎng)絡(luò)資源管理情況；

b）網(wǎng)絡(luò)隔離、邊界防護(hù)等措施的有效性；

c）安全策略和配置核查情況；

d）身份鑒別、訪問控制、權(quán)限管理情況；

e）安全漏洞發(fā)現(xiàn)及常見漏洞修復(fù)、處置情況；

f）異常流量、惡意代碼和釣魚郵件發(fā)現(xiàn)及處置情況；

g）外部攻擊、內(nèi)部攻擊、新型攻擊的發(fā)現(xiàn)和處置情況；

h）未授權(quán)連接內(nèi)網(wǎng)、外網(wǎng)、無線網(wǎng)等情況；

37

i）通信鏈路、網(wǎng)絡(luò)設(shè)備、計算設(shè)備等關(guān)鍵設(shè)備的冗余情況；

j）對第三方組件進(jìn)行安全核查、修復(fù)、更新的情況；

k）處理重要數(shù)據(jù)、核心數(shù)據(jù)的信息系統(tǒng)，應(yīng)當(dāng)按照有關(guān)規(guī)定滿

足相應(yīng)網(wǎng)絡(luò)安全等級保護(hù)要求；屬于關(guān)鍵信息基礎(chǔ)設(shè)施的，還應(yīng)當(dāng)符

合關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)要求。

6.3.2身份鑒別與訪問控制

6.3.2.1身份鑒別

針對身份鑒別措施情況，應(yīng)重點評估：

a）建立用戶、設(shè)備、應(yīng)用系統(tǒng)的身份鑒別機(jī)制情況，身份標(biāo)識

是否具有唯一性；

b）身份鑒別信息是否具有復(fù)雜度要求并定期更換；

c）是否存在可繞過鑒別機(jī)制的訪問方式；

d）登錄失敗時采取結(jié)束會話、限制非法登錄次數(shù)、設(shè)置抑制時

間和網(wǎng)絡(luò)登錄連接超時自動退出等措施的情況；

e）當(dāng)遠(yuǎn)程管理時，是否采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸

中被竊聽；

f）處理重要數(shù)據(jù)的信息系統(tǒng)，采用口令技術(shù)、密碼技術(shù)、生物

技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對用戶進(jìn)行鑒別的情況。

6.3.2.2訪問控制

針對訪問控制措施情況，應(yīng)重點評估：

a）建立與數(shù)據(jù)類別級別相適應(yīng)的訪問控制機(jī)制情況，是否限定

用戶可訪問數(shù)據(jù)范圍；

38

b）是否在數(shù)據(jù)訪問前設(shè)置身份認(rèn)證等措施，防止數(shù)據(jù)的非授權(quán)

訪問；

c）數(shù)據(jù)訪問權(quán)限與訪問者的身份關(guān)聯(lián)情況；

d）數(shù)據(jù)訪問權(quán)限申請、審批機(jī)制的建設(shè)落實情況；

e）是否以滿足業(yè)務(wù)實際需要的最小化權(quán)限原則進(jìn)行授權(quán)。

6.3.2.3授權(quán)管理

針對授權(quán)情況，應(yīng)重點評估：

a）數(shù)據(jù)權(quán)限授權(quán)審批流程建設(shè)落實情況，是否明確用戶賬號分

配、開通、使用、變更、注銷等安全保障要求，是否對數(shù)據(jù)權(quán)限申請

和變更進(jìn)行審核，是否嚴(yán)格控制管理員權(quán)限賬號數(shù)量；

b）系統(tǒng)管理員、安全管理員、安全審計員等人員角色分離設(shè)置

和權(quán)限管理情況；

c）系統(tǒng)權(quán)限分配表建設(shè)及更新情況，用戶賬號實際權(quán)限是否滿

足最少夠用、職權(quán)分離原則；

d）是否存在與權(quán)限申請審批結(jié)果不一致的情況；

e）是否存在多余、重復(fù)、過期的賬戶和角色；

f）是否存在共享賬戶和角色權(quán)限沖突的情況；

g）是否存在離職人員賬號未及時回收、沉默賬號、權(quán)限違規(guī)變

更等安全問題；

h）數(shù)據(jù)批量復(fù)制、下載、導(dǎo)出、修改、刪除等數(shù)據(jù)敏感操作是

否采取多人審批授權(quán)或操作監(jiān)督，并進(jìn)行日志審計。

6.3.3監(jiān)測預(yù)警

39

針對數(shù)據(jù)安全風(fēng)險監(jiān)測預(yù)警情況，應(yīng)重點評估：

a）安全監(jiān)測預(yù)警和信息報告機(jī)制的建設(shè)落實情況，是否明確對

組織內(nèi)部各類數(shù)據(jù)訪問操作的日志記錄要求、安全監(jiān)控要求；

b）異常行為監(jiān)測指標(biāo)建設(shè)情況，包括IP地址、賬號、數(shù)據(jù)、使

用場景等，對異常行為事件進(jìn)行識別、發(fā)現(xiàn)、跟蹤和監(jiān)控等；

c）對批量傳輸、下載、導(dǎo)出等敏感數(shù)據(jù)操作的安全監(jiān)控和分析

的情況，是否實現(xiàn)對數(shù)據(jù)異常訪問和操作進(jìn)行告警；

d）對數(shù)據(jù)交換網(wǎng)絡(luò)流量進(jìn)行安全監(jiān)控和分析的情況，是否具備

對異常流量和行為進(jìn)行告警的能力；

e）風(fēng)險信息的獲取、分析、研判、通報、處置工作開展情況；

f）數(shù)據(jù)安全缺陷、漏洞等風(fēng)險的監(jiān)測預(yù)警能力建設(shè)情況。

6.3.4數(shù)據(jù)脫敏

針對數(shù)據(jù)脫敏情況，應(yīng)重點評估：

a）數(shù)據(jù)脫敏規(guī)則、脫敏方法和脫敏數(shù)據(jù)的使用限制情況；

b）需要進(jìn)行數(shù)據(jù)脫敏處理的應(yīng)用場景、處理流程及操作記錄情

況；

c）靜態(tài)數(shù)據(jù)脫敏和動態(tài)數(shù)據(jù)脫敏技術(shù)能力建設(shè)情況；

d）開發(fā)測試、人員信息公示等應(yīng)用場景的數(shù)據(jù)脫敏效果驗證情

況；

e）對匿名化或去標(biāo)識化處理的個人信息重新識別出個人信息主

體的風(fēng)險分析情況，是否采取相應(yīng)的保護(hù)措施。

6.3.5數(shù)據(jù)防泄漏

40

針對數(shù)據(jù)防泄漏情況，應(yīng)重點評估：

a）數(shù)據(jù)防泄漏技術(shù)手段部署情況，能否對網(wǎng)絡(luò)、郵件、終端等

關(guān)鍵環(huán)節(jié)進(jìn)行監(jiān)控并報告敏感信息的外發(fā)行為；

b）市場上售賣組織業(yè)務(wù)數(shù)據(jù)的情況，查看是否能通過公開渠道、

開源網(wǎng)站查詢到組織業(yè)務(wù)信息，如代碼、數(shù)據(jù)庫信息等；

c）數(shù)據(jù)防泄漏技術(shù)措施有效性。

6.3.6數(shù)據(jù)接口安全

6.3.6.1對外接口安全

針對對外接口安全情況，應(yīng)重點評估：

a）面向互聯(lián)網(wǎng)及合作方數(shù)據(jù)接口的接口認(rèn)證鑒權(quán)與安全監(jiān)控能

力建設(shè)情況，是否能夠限制違規(guī)接入，是否能對接口調(diào)用進(jìn)行必要的

自動監(jiān)控和處理；

b）API密鑰及密鑰安全存儲措施設(shè)置情況，能否避免密鑰被惡

意搜索或枚舉；

c）不同安全等級系統(tǒng)間、不同區(qū)域間跨系統(tǒng)、跨區(qū)域數(shù)據(jù)流動

的安全控制措施情況。

6.3.6.2接口安全控制

針對數(shù)據(jù)接口安全控制情況，應(yīng)重點評估：

a）接口安全控制策略設(shè)置情況，是否規(guī)定使用數(shù)據(jù)接口的安全

限制和安全控制措施，明確包括接口名稱、接口參數(shù)等內(nèi)容的數(shù)據(jù)接

口安全要求；

b）是否對涉及個人信息和重要數(shù)據(jù)的傳輸接口實施調(diào)用審批；

41

c）是否定期對接口（特別是對外數(shù)據(jù)接口）進(jìn)行清查，清查不

符合要求的接口是否立即關(guān)停；

d）涉及敏感數(shù)據(jù)的接口調(diào)用是否具備安全通道、加密傳輸、時

間戳等安全措施；

e）數(shù)據(jù)接口部署身份鑒別、訪問控制、授權(quán)策略、接口簽名、

安全傳輸協(xié)議等防護(hù)措施情況；

f）對接口類型、名稱、參數(shù)等安全要求規(guī)范情況；

g）與接口調(diào)用方是否明確數(shù)據(jù)的使用目的、供應(yīng)方式、保密約

定及數(shù)據(jù)安全責(zé)任等情況；

h）是否對接口訪問做日志記錄，同時對接口異常事件進(jìn)行告警

通知的情況。

6.3.7數(shù)據(jù)備份恢復(fù)

針對數(shù)據(jù)備份恢復(fù)情況，應(yīng)重點評估：

a）數(shù)據(jù)備份恢復(fù)策略和操作規(guī)程的建設(shè)落實情況；

b）定期開展數(shù)據(jù)備份恢復(fù)工作情況；

c）備份和歸檔數(shù)據(jù)訪問控制措施的有效性；

d）定期采取必要的技術(shù)措施查驗備份和歸檔數(shù)據(jù)完整性和可用

性情況；

e）定期開展災(zāi)難恢復(fù)演練情況。

6.3.8安全審計

6.3.8.1審計執(zhí)行

針對數(shù)據(jù)安全審計執(zhí)行情況，應(yīng)重點評估：

42

a）審計的實施情況；

b）審計策略和要求的合理性、有效性；

c）對數(shù)據(jù)的訪問權(quán)限和實際訪問控制情況進(jìn)行定期審計的情

況，審核用戶實際使用權(quán)限與審批時的目的是否保持一致，并及時清

理已過期的賬號和授權(quán)；

d）特權(quán)用戶安全審計情況。

6.3.8.2日志留存記錄

針對日志留存記錄情況，應(yīng)重點評估：

a）對數(shù)據(jù)授權(quán)訪問、收集、批量復(fù)制、提供、公開、銷毀、數(shù)

據(jù)接口調(diào)用、下載、導(dǎo)出等重點環(huán)節(jié)進(jìn)行日志留存管理情況；

b）日志記錄內(nèi)容，是否包括執(zhí)行時間、操作賬號、處理方式、

授權(quán)情況、IP地址、登錄信息等；

c）日志記錄是否能夠?qū)ψR別和追溯數(shù)據(jù)操作和訪問行為提供支

撐；

d）是否定期對日志進(jìn)行備份，防止數(shù)據(jù)安全事件導(dǎo)致日志被刪

除。

6.3.8.3行為審計

針對數(shù)據(jù)安全行為審計情況，應(yīng)重點評估：

a）對網(wǎng)絡(luò)運維管理活動、用戶行為、網(wǎng)絡(luò)異常行為、網(wǎng)絡(luò)安全

事件等審計情況；

b）對數(shù)據(jù)庫、數(shù)據(jù)接口的訪問和操作行為審計情況；

43

c）對數(shù)據(jù)批量復(fù)制、下載、導(dǎo)出、修改、刪除等高風(fēng)險行為的

審計情況；

d）對個人信息處理活動的合規(guī)審計情況。

6.4個人信息保護(hù)風(fēng)險

6.4.1個人信息處理基本原則

6.4.1.1合法、誠信原則

針對合法、誠信原則遵守情況，應(yīng)重點評估：

a）通過誤導(dǎo)、欺詐、脅迫等方式處理個人信息的情況；

b）非法收集、使用、加工、傳輸他人個人信息的情況；

c）非法買賣、提供或者公開他人個人信息的情況；

d）是否從事危害國家安全、公共利益的個人信息處理活動；

e）個人信息處理活動是否具備《個人信息保護(hù)法》規(guī)定的合法

性事由；

f）是否存在隱瞞產(chǎn)品或服務(wù)所收集個人信息功能的情況。

6.4.1.2正當(dāng)、必要原則

針對正當(dāng)、必要原則遵守情況，應(yīng)重點評估：

a）處理個人信息是否具有明確、合理的目的；

b）處理個人信息是否與處理目的直接相關(guān)，是否采取對個人權(quán)

益影響最小的方式；

c）收集個人信息是否限于實現(xiàn)處理目的的最小范圍，如最少類

型、最低頻次等；是否存在過度收集個人信息行為；

44

d）是否以個人不同意處理其個人信息或者撤回同意為由，拒絕

提供產(chǎn)品或者服務(wù)，或者干擾個人正常使用服務(wù)，處理個人信息屬于

提供產(chǎn)品或者服務(wù)所必需的除外。

6.4.2個人信息告知

針對個人信息告知情況，應(yīng)重點評估：

a）在處理個人信息前，是否以顯著方式、清晰易懂的語言真實、

準(zhǔn)確、完整地公開個人信息處理規(guī)則；

b）是否告知個人信息處理者的名稱或姓名、聯(lián)系方式，有法律、

行政法規(guī)規(guī)定應(yīng)當(dāng)保密或者不需要告知的情形除外；

c）個人信息處理規(guī)則是否告知個人信息的處理目的、處理方式，

處理的個人信息種類、保存期限；

d）個人信息處理規(guī)則是否告知個人行使《個人信息保護(hù)法》規(guī)

定權(quán)利的方式和程序；

e）告知事項發(fā)生變更的，是否將變更部分告知個人；

f）個人信息處理規(guī)則是否便于查閱和保存；

g）緊急情況下為保護(hù)自然人的生命健康和財產(chǎn)安全無法及時向

個人告知的，個人信息處理者是否在緊急情況消除后及時告知。

6.4.3個人信息同意

針對個人信息同意情況，應(yīng)重點評估：

a）處理個人信息前是否取得個人同意，同意是否由個人在充分

知情的前提下自愿、明確作出，法律規(guī)定的例外情形除外；

45

b）基于個人同意處理個人信息的，個人信息處理者是否提供便

捷的撤回同意的方式，個人是否有權(quán)撤回其同意，個人撤回同意是否

不影響撤回前基于個人同意已進(jìn)行的個人信息處理活動的效力；

c）個人信息的處理目的、處理方式和處理的個人信息種類發(fā)生

變更的，是否重新取得個人同意。

6.4.4個人信息處理

6.4.4.1個人信息保存

針對個人信息保存情況，應(yīng)重點評估：

a）個人信息的保存期限是否為實現(xiàn)處理目的所必要的最短時

間，法律、行政法規(guī)另有規(guī)定除外；

b）是否將個人生物識別信息與個人身份信息分開存儲。

6.4.4.2個人信息共同處理

對于兩個以上的個人信息處理者共同決定個人信息的處理目的

和處理方式的，重點評估：

是否約定各自的權(quán)利和義務(wù)，約定是否不影響個人向任一個人信

息處理者行使權(quán)利。

6.4.4.3個人信息委托處理

針對個人信息委托處理情況，應(yīng)重點評估：

a）是否與受托人約定委托處理的目的、期限、處理方式、個人

信息的種類、保護(hù)措施以及雙方的權(quán)利和義務(wù)等，是否對受托人的個

人信息處理活動進(jìn)行監(jiān)督；

46

b）個人信息受托人是否按照約定處理個人信息，是否超出約定

的處理目的、處理方式等處理個人信息；

c）委托合同不生效、無效、被撤銷或者終止的，受托人是否將

個人信息返還個人信息處理者或者予以刪除，是否違規(guī)保留個人信

息；

d）未經(jīng)個人信息處理者同意，受托人是否轉(zhuǎn)委托他人處理個人

信息。

6.4.4.4個人信息轉(zhuǎn)移

因合并、分立、解散、被宣告破產(chǎn)等原因需要轉(zhuǎn)移個人信息的，

重點評估：

a）是否向個人告知接收方的名稱或者姓名和聯(lián)系方式；

b）接收方是否繼續(xù)履行個人信息處理者的義務(wù)；

c）接收方變更原先的處理目的、處理方式的，是否重新取得個

人同意。

6.4.4.5向他人提供個人信息

向他人提供個人信息的，應(yīng)重點評估：

a）是否向個人告知接收方的名稱或者姓名、聯(lián)系方式、處理目

的、處理方式和個人信息的種類；

b）是否取得個人的單獨同意；

c）接收方是否在上述處理目的、處理方式和個人信息的種類等

范圍內(nèi)處理個人信息；如接收方變更原先的處理目的、處理方式的，

是否重新取得個人同意。

47

6.4.4.6自動化決策

針對自動化決策情況，應(yīng)重點評估：

a）是否保證決策的透明度和結(jié)果公平、公正，是否對個人實行

不合理的差別待遇；

b）通過自動化決策方式向個人進(jìn)行信息推送、商業(yè)營銷等，是

否同時提供不針對其個人特征的選項，或者向個人提供便捷的拒絕方

式；

c）是否明確對自動化決策方式予以說明。

6.4.4.7個人信息公開

針對個人信息公開情況，應(yīng)重點評估：

a）個人信息公開是否取得個人單獨同意；

b）是否在合理的范圍內(nèi)處理個人自行公開或者其他已經(jīng)合法公

開的個人信息，個人明確拒絕的除外；

c）處理已公開的個人信息，對個人權(quán)益有重大影響的，是否取

得個人同意。

6.4.5敏感個人信息處理

6.4.5.1通用規(guī)則

針對敏感個人信息處理規(guī)則，應(yīng)重點評估：

a）敏感個人信息處理是否具有特定的目的和充分的必要性，是

否對敏感個人信息采取嚴(yán)格保護(hù)措施；

b）處理敏感個人信息是否取得個人的單獨同意；

48

c）法律、行政法規(guī)規(guī)定處理敏感個人信息應(yīng)當(dāng)取得書面同意的，

是否取得個人的書面同意；

d）處理敏感個人信息是否向個人告知處理敏感個人信息的必要

性以及對個人權(quán)益的影響；

e）處理不滿14周歲未成年人個人信息的，是否取得未成年人的

父母或者其他監(jiān)護(hù)人的同意，是否制定專門的未成年人個人信息處理

規(guī)則；

f）是否遵守法律、行政法規(guī)對處理敏感個人信息規(guī)定，取得相

關(guān)行政許可或者作出其他限制。

6.4.5.2人臉識別數(shù)據(jù)安全

針對人臉識別數(shù)據(jù)安全情況，應(yīng)重點評估：

a）在公共場所安裝圖像采集、個人身份識別設(shè)備，是否為維護(hù)

公共安全所必需，是否遵守國家有關(guān)規(guī)定，并設(shè)置顯著的提示標(biāo)識；

b）所收集的個人圖像、身份識別信息，是否只用于維護(hù)公共安

全的目的，未用于其他目的，取得個人單獨同意的除外；

c）開展業(yè)務(wù)活動時是否限定使用人臉識別技術(shù)作為身份鑒別的

唯一方式，并且當(dāng)用戶拒絕人臉識別方式時，是否頻繁申請授權(quán)干擾

用戶正常使用；

d）完成身份鑒別后，應(yīng)及時刪除身份鑒別過程中收集、使用的

人臉相關(guān)數(shù)據(jù)，通過以單獨操作注冊預(yù)留的、且僅用于比對的生物特

征模板除外；

e）是否滿足人臉識別有關(guān)政策規(guī)定。

49

6.4.6個人信息主體權(quán)利

6.4.6.1個人信息的查閱、復(fù)制、可攜帶

針對個人信息的查閱、復(fù)制、可攜帶等主體權(quán)利保障情況，應(yīng)重

點評估：

a）個人信息處理者是否為個人提供查閱其個人信息的途徑，是

否可以及時提供個人信息查閱；

b）是否為個人提供復(fù)制其個人信息的途徑，是否可以及時提供

個人信息復(fù)制；

c）個人請求將個人信息轉(zhuǎn)移至其指定的個人信息處理者，符合

國家網(wǎng)信部門規(guī)定條件的，個人信息處理者是否提供轉(zhuǎn)移的方法。

6.4.6.2個人信息的更正、補充

針對個人信息的更正、補充等主體權(quán)利保障情況，應(yīng)重點評估：

a）個人信息處理者是否為個人提供請求個人信息更正、補充的

途徑；

b）個人請求更正、補充其個人信息的，個人信息處理者是否對

其個人信息予以核實，是否及時更正、補充。

6.4.6.3個人信息的刪除

針對個人信息的刪除等主體權(quán)利保障情況，應(yīng)重點評估有以下情

形的，個人信息處理者是否主動刪除個人信息：

a）個人信息處理目的已實現(xiàn)、無法實現(xiàn)或者為實現(xiàn)處理目的不

再必要時；

50

b）個人信息處理者停止提供產(chǎn)品或者服務(wù)，或者保存期限已屆

滿；

c）個人撤回同意；

d）個人信息處理者違反法律、行政法規(guī)或者違反約定處理個人

信息。

針對法律、行政法規(guī)規(guī)定的保存期限未屆滿，或者刪除個人信息

從技術(shù)上難以實現(xiàn)的，重點評估個人信息處理者是否停止除存儲和采

取必要的安全保護(hù)措施之外的處理。

6.4.6.4其他個人信息權(quán)利

針對個人信息主體權(quán)利保障情況，還應(yīng)重點評估：

a）個人信息處理者是否為個人提供對其個人信息處理規(guī)則進(jìn)行

解釋說明的途徑；

b）通過自動化決策方式作出對個人權(quán)益有重大影響的決定，是

否為個人提供解釋說明的途徑，個人是否有權(quán)拒絕個人信息處理者僅

通過自動化決策的方式作出決定；

c）自然人死亡的，其近親屬為了自身的合法、正當(dāng)利益，是否

可以對死者相關(guān)個人信息進(jìn)行查閱、復(fù)制、更正、刪除等，死者生前

另有安排的除外；

d）是否建立便捷的個人行使權(quán)利的申請受理和處理機(jī)制，拒絕

個人行使權(quán)利請求的，是否說明理由。

6.4.7個人信息安全義務(wù)

6.4.7.1個人信息保護(hù)措施

51

針對個人信息保護(hù)措施部署情況，應(yīng)重點評估：

a）個人信息保護(hù)內(nèi)部管理制度和操作規(guī)程的建設(shè)落實情況；

b）對個人信息分類管理實施情況及效果；

c）加密、去標(biāo)識化等安全技術(shù)措施應(yīng)用情況；

d）是否合理確定個人信息處理的操作權(quán)限；

e）個人信息安全事件應(yīng)急預(yù)案制定及組織實施情況；

f）是否在展示、委托處理、提供、公開等環(huán)節(jié)，對個人信息直

接標(biāo)識符進(jìn)行去標(biāo)識化處理；

g）是否定期對其處理個人信息遵守法律、行政法規(guī)的情況進(jìn)行

合規(guī)審計。

6.4.7.2個人信息保護(hù)負(fù)責(zé)人

針對個人信息保護(hù)負(fù)責(zé)人設(shè)置情況，應(yīng)重點評估：

a）處理個人信息達(dá)到國家網(wǎng)信部門規(guī)定數(shù)量的個人信息處理者

的個人信息保護(hù)負(fù)責(zé)人設(shè)置情況，能否負(fù)責(zé)對個人信息處理活動以及

采取的保護(hù)措施等進(jìn)行監(jiān)督；

b）是否公開個人信息保護(hù)負(fù)責(zé)人的聯(lián)系方式，是否將個人信息

保護(hù)負(fù)責(zé)人的姓名、聯(lián)系方式等報送網(wǎng)信部門。

6.4.7.3個人信息保護(hù)影響評估

針對個人信息保護(hù)影響評估開展情況，應(yīng)重點評估：

a）是否在處理敏感個人信息、利用個人信息進(jìn)行自動化決策、

委托處理個人信息、向其他個人信息處理者提供個人信息、公開個人

信息、向境外提供個人信息前進(jìn)行個人信息保護(hù)影響評估；