交通運輸行業(yè)標準

交通運輸數(shù)據(jù)安全風險評估指南

（征求意見稿）

編制說明

標準起草組

2024年5月

一、工作簡況

（一）任務來源

根據(jù)《交通運輸部關于下達2023年交通運輸標準化計劃（第二批）的通知》

（交科技函〔2023〕654號）安排，制訂《交通運輸數(shù)據(jù)安全風險評估指南》，

計劃編號為JT2023-117。本標準由交通運輸信息通信及導航標準化技術(shù)委員會

（以下簡稱“標委會”）提出并歸口管理，交通運輸部科學研究院牽頭承擔編制

工作。

（二）主要工作過程

1.研究立項階段

2023年1月～2023年5月，開展標準計劃項目建議研究。通過互聯(lián)網(wǎng)、文

獻數(shù)據(jù)庫、國家政策法規(guī)等途徑獲取文獻資料，了解最新的相關政策法規(guī)和技術(shù)

方法；通過對相關管理單位和部門的走訪調(diào)研，了解行業(yè)內(nèi)外數(shù)據(jù)安全標準化工

作現(xiàn)狀、數(shù)據(jù)安全管理開展情況和標準化需求；通過對數(shù)據(jù)安全相關企業(yè)和廠商

的走訪調(diào)研，了解前沿的數(shù)據(jù)安全技術(shù)；同時收集了國家、其他行業(yè)和地方政府

數(shù)據(jù)安全風險評估相關資料，研究確定標準的整體框架。

2023年6月，召開了標準編制工作方案討論會議，制定了標準編制工作方

案。

2023年7月～2023年9月，起草組基于前期調(diào)研情況，確定了標準的技術(shù)

內(nèi)容、適用范圍和體系框架，編制形成草案初稿，提交標準計劃立項申請。

2023年10月，通過交通運輸部科技司組織的2023年第二批標準制修訂計

劃立項答辯。

2023年12月，標準通過立項審核，交通運輸部正式下達標準編制計劃。

2.起草階段

2023年11月～2024年2月，交通運輸部科學研究院成立標準起草組，起

草組根據(jù)正在制定的國家標準GB/TXXXXX—XXXX《信息安全技術(shù)數(shù)據(jù)安全風險

評估方法》，以及國家和其他行業(yè)與數(shù)據(jù)安全相關的最新法律法規(guī)及標準規(guī)范，

1

結(jié)合我國交通運輸行業(yè)數(shù)據(jù)資源現(xiàn)狀和數(shù)據(jù)安全管理需求，對標準草案中數(shù)據(jù)

安全風險評估原則、評估框架、評估方法、評估啟動條件、評估流程等內(nèi)容進一

步修改完善。

2024年3月～2024年4月，秘書處審核了標準的各項內(nèi)容，提出了有關修

改建議。起草組根據(jù)意見完善了標準內(nèi)容，形成了正式的標準征求意見稿。

（三）標準起草單位、主要起草人員及其所做的具體工作

本標準的起草單位為：交通運輸部科學研究院、中電長城網(wǎng)際系統(tǒng)應用有限

公司、北京中安星云軟件技術(shù)有限公司。

本標準主要起草人為：黃海濤、王濤、尚贊娣、黃莉莉、曹劍東、淡雅靜、

鄭強、鄭金、楊洪路、白紫秀、劉娜、任江、呂曉婷、王思源、張平、郭亞茹、

王娜、吳聰雷。任務分工見表1。

表1標準主要起草人及任務分工

序號姓名單位主要工作

總體負責確定標準編寫的總體思路、框架、內(nèi)容；

負責前期立項申請、組織召開評審會、推進工作

1黃海濤交通運輸部科學研究院

進度；負責標準第1～6章編寫、標準編制說明

編寫等

為標準文檔框架和技術(shù)內(nèi)容提供指導；參與標

2王濤交通運輸部科學研究院

準第5章編寫

3尚贊娣交通運輸部科學研究院對標準框架、思路、文本質(zhì)量等進行審核

為標準文檔框架和技術(shù)內(nèi)容提供指導；參與標

4黃莉莉交通運輸部科學研究院

準第6章編寫

5曹劍東交通運輸部科學研究院對標準文本的質(zhì)量和技術(shù)進行審核

中電長城網(wǎng)際系統(tǒng)應用有限參與標準框架制定，負責標準第7～8章、9.5

6淡雅靜

公司章條編寫

北京中安星云軟件技術(shù)有限組織開展標準文本中涉及技術(shù)工具的調(diào)研；負

7鄭強

公司責標準第9章編寫

8鄭金北京中安星云軟件技術(shù)有限負責標準文本中評估項與風險源關系驗證，技

2

序號姓名單位主要工作

公司術(shù)邏輯分析；負責9.4章條編寫

9楊洪路交通運輸部科學研究院參與標準第7章編寫

10白紫秀交通運輸部科學研究院參與標準第8章編寫

11劉娜交通運輸部科學研究院參與標準第9章編寫

中電長城網(wǎng)際系統(tǒng)應用有限

12任江為標準文檔框架和技術(shù)內(nèi)容提供指導

公司

中電長城網(wǎng)際系統(tǒng)應用有限負責標準文本格式修訂，參與標準9.3章條編

13呂曉婷

公司寫

14王思源交通運輸部科學研究院參與標準9.5章條編寫

15張平交通運輸部科學研究院參與標準附錄編寫

16郭亞茹交通運輸部科學研究院參與標準附錄編寫

17王娜交通運輸部科學研究院參與標準附錄編寫

中電長城網(wǎng)際系統(tǒng)應用有限組織開展標準文本中涉及技術(shù)工具的調(diào)研；參

18吳聰雷

公司與標準9.3章條編寫

二、標準編制原則和確定標準主要內(nèi)容的依據(jù)

（一）編制原則

1.服務應用原則

本標準的制定為交通運輸行業(yè)開展數(shù)據(jù)安全風險評估工作提供指導，幫助

行業(yè)管理部門掌握數(shù)據(jù)安全總體狀況，有效識別數(shù)據(jù)安全管理、數(shù)據(jù)處理活動等

環(huán)節(jié)的數(shù)據(jù)安全風險和違法違規(guī)問題，為進一步健全數(shù)據(jù)安全管理制度和技術(shù)

措施，提高數(shù)據(jù)安全治理能力和防護能力奠定基礎。

2.協(xié)調(diào)性原則

3

本標準的制定參考了國內(nèi)已發(fā)布的數(shù)據(jù)安全相關法律法規(guī)，其中，術(shù)語、部

分技術(shù)內(nèi)容引用了已發(fā)布的GB/T20984—2022《信息安全技術(shù)信息安全風險評

估方法》、TC260-PG-20231A《網(wǎng)絡安全標準實踐指南—網(wǎng)絡數(shù)據(jù)安全風險評估

實施指引》等標準。本標準所提出的核心思想、概念、準則、建議等，均與我國

現(xiàn)行的《中華人民共和國網(wǎng)絡安全法》（2016）、《中華人民共和國數(shù)據(jù)安全法》

（2021）、《中華人民共和國個人信息保護法》（2021）等法律法規(guī)、標準規(guī)范、

政策文件相協(xié)調(diào)。

3.實踐性原則

本標準注重對于風險評估實施的可操作性，通過實踐執(zhí)行了解交通運輸行

業(yè)的數(shù)據(jù)安全風險現(xiàn)狀，為提升交通運輸行業(yè)數(shù)據(jù)安全風險防范能力提供有效

方法措施。

（二）標準主要內(nèi)容的確定依據(jù)

1.范圍

本標準提供了交通運輸數(shù)據(jù)安全風險評估的指導和建議，并給出了交通運

輸數(shù)據(jù)安全風險評估的框架、原則、方法、啟動條件和流程。

本標準適用于交通運輸行業(yè)數(shù)據(jù)處理者及第三方評估機構(gòu)開展數(shù)據(jù)安全風

險評估工作，交通運輸行業(yè)管理部門開展數(shù)據(jù)安全檢查評估工作參照使用。

2.規(guī)范性引用文件

本標準規(guī)范性引用主要參考了以下文件內(nèi)容：

GB/T25069信息安全技術(shù)術(shù)語

3.術(shù)語和定義

本標準新增的術(shù)語及定義包括：交通運輸數(shù)據(jù)、數(shù)據(jù)安全、評估域、數(shù)據(jù)處

理活動、數(shù)據(jù)安全風險、數(shù)據(jù)安全風險評估、合理性、安全措施、業(yè)務、風險源。

GB/T25069界定的術(shù)語和定義適用于本標準。其中，交通運輸數(shù)據(jù)的定義主要

參考了JT/T747.4-2020，評估域的定義主要參考了GB/T37988-2019，數(shù)據(jù)安

全、數(shù)據(jù)處理活動、數(shù)據(jù)安全風險、數(shù)據(jù)安全風險評估、合理性、風險源、安全

4

措施等術(shù)語的定義主要參考了TC260-PG-20231A，業(yè)務的定義主要參考了GB/T

20984。

4.縮略語

本標準給出以下縮略語，分別是：

API：應用程序編程接口(ApplicationProgrammingInterface)

APP：移動互聯(lián)網(wǎng)應用程序（MobileInternetApplication）

DBA：數(shù)據(jù)庫管理員(DatabaseAdministrator)

DDos：分布式拒絕服務攻擊(DistributedDenialofServiceAttack)

IPSec：IP網(wǎng)絡安全性協(xié)議（InternetProtocolSecurity）

PIA：個人信息保護影響評估(PrivacyImpactAssessment)

SQL：結(jié)構(gòu)化查詢語言(StructuredQueryLanguage)

SSL：安全套接字層協(xié)議（SecureSocketsLayer）

SSH：安全外殼協(xié)議（SecureShell）

TLS：傳輸層安全性協(xié)議（TransportLayerSecurity）

5.原則

本標準參考了TC260-PG-20231A《網(wǎng)絡安全標準實踐指南——網(wǎng)絡數(shù)據(jù)安全

風險評估實施指引》和GB/T20984—2022《信息安全技術(shù)信息安全風險評估方

法》，綜合考慮數(shù)據(jù)安全風險評估的實踐特性以及實施過程中的核心元素，給出

了風險評估四項原則，分別是：客觀公正原則、可重復可再現(xiàn)原則、最小影響原

則和保密原則。

6.框架

基于數(shù)據(jù)安全風險評估的基本邏輯，本標準明確整體風險評估工作所包含

的各階段以及各階段之間的邏輯從屬關系，給出風險評估中涉及的主要要素和

內(nèi)容。

本標準參考GB/T37988—2019《信息安全技術(shù)數(shù)據(jù)安全能力成熟度模型》

5

中的“實踐域”原理，提出了“評估域”的概念，具體劃分為數(shù)據(jù)處理活動、數(shù)

據(jù)安全管理、數(shù)據(jù)安全技術(shù)、個人信息保護等四個評估域。起草組從可操作性和

落地性方面，考慮到數(shù)據(jù)處理活動、數(shù)據(jù)安全管理、數(shù)據(jù)安全技術(shù)、個人信息保

護等維度涉及的具體風險評估項、適用方法都不一樣，對于技術(shù)手段運用的程度

也不盡相同，用“評估域”更能體現(xiàn)本標準的特征。

本標準參照GB/TXXXXX—XXXX《信息安全技術(shù)數(shù)據(jù)安全風險評估方法》的

風險程度說明，提出了風險評估不符合項、風險來源、風險描述三者相關聯(lián)的風

險評估結(jié)果，并給出了風險評估結(jié)果與安全風險等級相對應的評價體系。

7.方法

本標準通過前期調(diào)研，以及學習國家相關法律法規(guī)和其他行業(yè)相關政策文

件標準規(guī)范，參考GB/TXXXXX—XXXX《信息安全技術(shù)數(shù)據(jù)安全風險評估方法》，

給出四種風險評估方法，分別是：人員訪談、文檔審核、系統(tǒng)核查和技術(shù)測試。

8.啟動條件

本標準遵循《中華人民共和國數(shù)據(jù)安全法》（2021），參照網(wǎng)絡安全等級保

護的執(zhí)行思路，結(jié)合數(shù)據(jù)安全防護的特性，給出五種風險評估啟動條件，首先，

執(zhí)行相關政策法規(guī)要求，其次，在政策法規(guī)要求發(fā)生變化、數(shù)據(jù)處理活動發(fā)生變

化、數(shù)據(jù)進行高風險活動、數(shù)據(jù)主體發(fā)生變更時，宜開展數(shù)據(jù)安全風險評估工作。

9.流程

按照評估工作的基本流程，結(jié)合本標準風險評估框架的理論體系，風險評估

工作分為四個階段，分別是：風險評估準備、風險評估實施、風險評估分析和評

價、風險評估總結(jié)。

（1）準備

風險評估準備工作，除組建風險評估團隊和制定風險評估方案兩項工作外，

核心是對風險評估對象進行信息調(diào)研，包括評估主體基本情況、數(shù)據(jù)資產(chǎn)基礎情

況、數(shù)據(jù)處理活動情況、個人信息處理情況和現(xiàn)行得數(shù)據(jù)安全措施。

①確定評估對象和實施范圍

參考GB/TXXXXX—XXXX《信息安全技術(shù)數(shù)據(jù)安全風險評估方法》，提出確

6

定風險評估對象和實施范圍應考慮數(shù)據(jù)資產(chǎn)、數(shù)據(jù)處理活動、業(yè)務、信息系統(tǒng)、

人員和內(nèi)外部組織等因素，具體內(nèi)容的確定參照了JT/T747.4和《交通運輸部

辦公廳關于印發(fā)<公路水路交通運輸數(shù)據(jù)分類分級指南>的通知》（交辦科技

〔2022〕44號)。

②制定風險評估方案

根據(jù)確定的風險評估對象和范圍，制定風險評估方案，確定風險評估的內(nèi)容

和方法，包括風險評估流程、實施內(nèi)容、評估準則、使用方法等，以及基本調(diào)研

情況，制定風險評估實施計劃，包括風險評估具體實施進度安排、人員安排、配

套管理等。

③調(diào)研評估對象信息

通過學習網(wǎng)絡安全風險評估實施的具體辦法等實踐指引，參考GB/T

XXXXX—XXXX《信息安全技術(shù)數(shù)據(jù)安全風險評估方法》主要內(nèi)容，本標準以表格

形態(tài)列出需要調(diào)研的信息內(nèi)容。首先對風險評估主體的基本情況進行調(diào)研，包括

行業(yè)類目、數(shù)據(jù)規(guī)模、數(shù)據(jù)范圍等；其次，對數(shù)據(jù)資產(chǎn)基本情況進行調(diào)研，包括

數(shù)據(jù)種類、分級分類情況、數(shù)據(jù)量級等，對具體涉及的數(shù)據(jù)處理活動情況進行調(diào)

研，包括收集、存儲、傳輸、使用和加工、提供、公開和刪除7個環(huán)節(jié)的基本情

況，再對個人信息處理情況進行調(diào)研，包括使用目的、范圍、運用的技術(shù)策略等

基本情況；最后，對現(xiàn)有的安全措施情況做調(diào)研，包括常規(guī)安全檢查工具的使用、

是否出現(xiàn)過重大安全事故等基本情況。

（2）實施

起草組通過對GB/T20984—2022《信息安全技術(shù)信息安全風險評估方法》、

GB/T35273—2020《信息安全技術(shù)個人信息安全規(guī)范》、GB/TXXXXX—XXXX《信

息安全技術(shù)數(shù)據(jù)安全風險評估方法》、TC260-PG-20231A《網(wǎng)絡安全標準實踐指

南——網(wǎng)絡數(shù)據(jù)安全風險評估實施指引》等標準規(guī)范學習，發(fā)現(xiàn)上述文件在風險

評估操作這部分，對于具體的風險評估實踐形式?jīng)]有詳細說明，比如，面對不同

的評估域采用什么樣的風險評估方法，是單一式還是組合式，對于風險評估項的

安全指標如何設定，導致可操作性和落地性不強。

起草組對如何能夠呈現(xiàn)更明確的實踐屬性，對于風險評估內(nèi)容如何能夠清

7

晰明了的進行判定，判定結(jié)果又如何與評價體系進行關聯(lián)等問題，經(jīng)過反復討論

與調(diào)研后，提出具體風險評估內(nèi)容以表格形式呈現(xiàn)，對每個評估域再分成若干子

域，一個評估子域?qū)粡埍砀?，列清風險評估項，明確對應的風險評估方法和

判定條件。

①數(shù)據(jù)處理活動評估域

本標準定義了7個評估子域，風險評估項分布如下：數(shù)據(jù)收集安全評估子

域，17個風險評估項；數(shù)據(jù)存儲安全評估子域，15個風險評估項；數(shù)據(jù)傳輸安

全評估子域，9個風險評估項；數(shù)據(jù)使用和加工安全評估子域，28個風險評估

項；數(shù)據(jù)提供安全評估子域，34個風險評估項；數(shù)據(jù)公開安全評估子域，11個

評估項；數(shù)據(jù)刪除安全評估子域，14個風險評估項。

②數(shù)據(jù)安全管理評估域

本標準定義了6個評估子域，風險評估項分布如下：數(shù)據(jù)安全組織管理評估

子域，7個風險評估項；數(shù)據(jù)安全制度流程評估子域，12個風險評估項；數(shù)據(jù)分

類分級管理評估子域，16個風險評估項；相關人員安全管理評估子域，10個風

險評估項；數(shù)據(jù)合作授權(quán)管理評估子域，16個風險評估項；數(shù)據(jù)安全應急管理

評估子域，7個風險評估項。

③數(shù)據(jù)安全技術(shù)評估域

本標準定義了7個評估子域，風險評估項分布如下：數(shù)據(jù)訪問控制評估子

域，8個風險評估項；數(shù)據(jù)安全監(jiān)測預警評估子域，7個風險評估項；數(shù)據(jù)脫敏

評估子域，5個風險評估項；數(shù)據(jù)防泄露評估子域，3個風險評估項；數(shù)據(jù)接口

安全評估子域，9個風險評估項；數(shù)據(jù)備份與恢復評估子域，5個風險評估項；

數(shù)據(jù)安全審計評估子域，9個風險評估項。

④個人信息保護評估域

本標準定義了5個評估子域，風險評估項分布如下：保護原則評估子域，18

個風險評估項；保護措施評估子域，15個風險評估項；告知同意評估子域，10

個風險評估項；主體權(quán)力評估子域，12個風險評估項；信息處理評估子域，16

個風險評估項。

（3）分析和評價

8

本標準提出風險評估結(jié)果與風險等級綜合分析的評價體系，風險評估結(jié)果

由風險評估不符合項、風險識別和風險分析三元素組成，其識別原理從影響數(shù)據(jù)

保密性、完整性、可用性和數(shù)據(jù)處理合理性角度出發(fā)。依照上述的風險評估實施

結(jié)果，將不符合項一一識別出常見的風險來源，分析其風險類型。分別給出附錄

A和B作為對應參考。

①評估結(jié)果風險分析

本標準中將第9.3章的風險評估實踐結(jié)果，對于不符合項逐條進行對應風

險源識別，以評估域的劃分進行風險內(nèi)容的詳細說明與對應參照，具體分布如下：

數(shù)據(jù)處理活動評估域，48條；數(shù)據(jù)安全管理評估域，26條；數(shù)據(jù)安全技術(shù)評估

域，64條；個人信息保護評估域，31條，風險來源可能導致得風險類型共計歸

納21項。

②風險危害程度分析

本標準參考GB/TXXXXX—XXXX《信息安全技術(shù)數(shù)據(jù)安全風險評估方法》中

對風險等級的說明，在綜合分析數(shù)據(jù)價值、風險隱患嚴重程度的基礎上，將風險

危害程度從低到高分為很低、低、中、高、很高5個級別，并以附錄C對數(shù)據(jù)安

全風險危害程度進行說明。

②風險綜合評價

基于上述風險評估結(jié)果的風險分析，本標準提出包含風險評估不符合項、風

險源識別、風險類型分析和風險危害程度的評價體系，以表格形式進行示例說明。

為了幫助被評估主體更直觀的了解整體風險評估情況，本標準以附錄D給出了

量化評分的計算參考公式

（4）總結(jié)

本標準根據(jù)風險評估分析和評價結(jié)果，對風險評估對象的整體數(shù)據(jù)安全風

險評估情況進行報告編制，主要內(nèi)容包括風險評估發(fā)現(xiàn)的問題、對應的風險描述

及程度、殘余風險分析并給出處置建議。

①編制評估報告

風險評估報告的內(nèi)容由報告概述、風險評估分析及評價、附件三部分組成，

概述部分主要是陳述風險評估主體的基本信息情況，風險評估人員與方案說明，

9

對于風險評估工作的主體內(nèi)容情況，包括四個評估域的具體風險評估結(jié)果；基于

風險評估結(jié)果，結(jié)合風險源識別和風險類型，對風險危害程度進行評價，列出高

等級數(shù)據(jù)安全風險、中等級數(shù)據(jù)安全風險、低等級數(shù)據(jù)安全風險情況，說明高、

中、低風險數(shù)目，填寫“數(shù)據(jù)安全風險綜合評價表”，將風險評估項列表和其他

關鍵記錄文件作為附件，形成完整的數(shù)據(jù)安全風險評估報告。

②殘余風險分析及處置建議

本標準主要是指導交通運輸行業(yè)開展數(shù)據(jù)安全風險評估工作，盡可能全面

的幫助數(shù)據(jù)處理者了解自身存在的數(shù)據(jù)安全風險現(xiàn)狀，對于風險處置不列入本

標準重點表述內(nèi)容，起草組以附錄形式給出了常見的建議措施，供風險評估主體

參考。

10.附錄

本標準共給出了五個附錄，均為資料性，分別是：

附錄A常見風險源，按照數(shù)據(jù)處理活動、數(shù)據(jù)安全管理、數(shù)據(jù)安全技術(shù)和

個人信息保護四個評估域，以表格形式列出常見風險源，共計一百六十九項；

附錄B數(shù)據(jù)安全風險類型，以表格形式列出常見數(shù)據(jù)安全風險類型，共計

歸納二十一項；

附錄C數(shù)據(jù)安全風險危害程度，主要參考GB/TXXXXX—XXXX《信息安全技

術(shù)數(shù)據(jù)安全風險評估方法》，對數(shù)據(jù)安全風險危害程度的五個等級進行描述；

附錄D數(shù)據(jù)安全風險評分方法，參考GB/TXXXXX—XXXX《信息安全技術(shù)數(shù)

據(jù)安全風險評估方法》，對風險量化評分給出計算公式；

附錄E數(shù)據(jù)安全風險常見處置方法，按照數(shù)據(jù)處理活動、數(shù)據(jù)安全管理、

數(shù)據(jù)安全技術(shù)和個人信息保護四個評估域，以表格形式列出常見處置方法，共計

一百七十一項。

三、主要試驗的分析綜述報告、技術(shù)經(jīng)濟論證或預期效

果

10

（一）技術(shù)經(jīng)濟論證

根據(jù)本標準提出的數(shù)據(jù)安全風險評估流程、內(nèi)容和方法，對山東省交通運輸

廳的OA辦公系統(tǒng)、公路水路建設市場綜合服務管理系統(tǒng)、道路客運聯(lián)網(wǎng)售票系

統(tǒng)、超限運輸許可管理系統(tǒng)和重點