数据安全作战地图（数据安全风险评估）.pdf

数据安全作战地图数据安全风险评估基础认知具体工作主要产出信息调研组织开展数据安全相关调研工作，识别数据处理者、业务和信息系统、数据处理活动、数据资产、安全措施等相关要素业务和信息系统调研数据处理活动调研安全防护措施调研数据处理者情况调研数据资产调研数据处理活动清单数据处理者基本情况数据资产清单数据流图及安全措施情况业务清单及信息系统清单风险识别发现并认识风险，主要包括对资产价值、数据处理活动、合法合规性、数据威胁、数据脆弱性以及已有安全措施等要素的识别数据处理活动识别关键业务场景识别合法合规性识别数据资产价值识别已有安全措施识别数据威胁识别数据脆弱性识别安全核查记录人员访谈记录文档查阅记录技术检测报告评估总结依据风险评价中风险值的分布及等级情况，明确风险评估结果内容，并指导完成风险处置措施执行数据安全风险处置风险评估报告形成风险评估报告风险处置计划综合分析确定风险水平。通过采取适当的方法与工具，得出企业所面临的数据安全风险可能性以及数据安全事件发生对组织的影响度风险分析与评价判断确认数据安全风险值梳理问题清单提出具体整改意见整改建议问题清单评估准备从国家法律法规、行业监管、业务需求等相关要求出发，全面制定风险评估方案确定评估范围组件评估团队制定评估方案制定实施计划确定评估目标开展前期工作评估方案项目实施计划调研表数据安全风险评估：指的是基于数据资产，对开展数据处理活动的情况、面临的数据安全风险及其应对措施等进行识别和评估，这是帮助组织/企业全面认识数据安全现状的重要手段数据安全风险评估工作的顺利开展与进行，需要专业性、经验的传承与应用；企业明确具体的风险评估方法后，要借鉴和参照行业经验或国家相关法律法规要求，执行具体的风险评估操作数据安全风险评估既包括合法合规性风险，也包括脆弱性、威胁、技术安全性风险；组织/企业进行数据安全风险评估具体流程包括：评估准备、信息调研、风险识别、综合分析及评估总结 5 个阶段合理使用辅助数据安全风险评估工具，能够最大化的减轻企业在数据安全风险评估中的实施工作量和成本，企业可以基于对数据安全风险评估的工作量、投入成本、展示效果等因素的考虑，确定满足风险评估需求的工具企业通过数据安全风险评估，最终得到企业风险评估结果；依据风险评价等级并结合企业生产经营的实际业务情况，制定后续的数据安全风险管控策略/定义/实施方法实施要点/评估要素/评估手段/评估流程/风险评估对象数据风险通常来源于业务数据流通过程，评估对象指的是业务场景下所涉及的数据处理活动数据收集数据存储数据使用数据加工数据删除数据公开数据提供数据传输风险评估范围主要围绕数据安全管理、数据处理活动、数据安全技术、个人信息保护等方面开展风险评估工作数据处理活动数据传输数据加工数据存储制度流程应急管理组织架构数据安全管理数据脱敏监测预警接口安全数据安全技术告知同意保护义务主体权利个人信息保护内部办公生产测试运维管理中转处理数据流入组织视角主机视角业务视角数据流出端口汇聚挖掘加工分析数据服务后台管理系统服务接口数据接口客户端数据库对外业务系统合作伙伴内部管理系统互联网用户业务数据/评估工具/实施流程/结果成效/实践价值痛点难点应用案例数据安全风险不是静态的，组织/企业需要定期开展数据安全风险评估工作，帮助发现数据安全方面的缺陷和威胁，并降低风险；同时，也是依法依规主动满足数据安全要求的必要手段4大价值满足数据安全法、个人信息保护法、数据出境安全评估办法等相关监管合规要求，建立持续性合规评估机制，避免法律遵从性风险合规基于企业数据安全风险评估的结果，帮助企业合理规划、制定数据风险管控策略，为形成可持续的数据安全治理建设方案提供重要依据建设能够为数据安全、网络安全等安全设备联动提供监控指标或监测策略，如：行为类的监测策略、风险类的监测策略联动为数据交易、数据共享、委托处理等数据处理活动提供安全证明，保障企业业务安全、合规得开展保障人员访谈对相关人员进行访谈，核查制度规章，防护措施，安全责任落实情况安全核查核查网络环境、数据库和大数据平台等相关系统和设备安全策略、配置、防护措施等文档查验查验安全管理制度、风险评估报告、等保测评报告等有关材料及制度的落实情况技术测试应用技术工具、渗透测试等手段查看数据资产情况，检查防护措施有效性4 大手段扫描类工具应用层流量分析对业务应用层流量进行监测分析，识别应用间数据流量，分析敏感数据传输行为全流量分析全面探测主机之间的传输流量，深度关联应用、数据库、人员的敏感数据操作，识别数据处理场景，检测安全风险风险评估表通过静态表格的形式，内置各类安全合规要求，评估安全现状，记录相关证据信息，最终得出安全评估结果在线评估工具通过线上评估系统，要求被评估方填写相关材料，自动化搜集评估所需的各类信息并展现评估结果与信息安全风险评估的区别业务处理活动梳理数据识别影子资产发现3大挑战业务处理活动梳理是风险评估的基础，也关系到评估结果是否准确及完整。不同企业业务千差万别，评估人员需要快速了解业务流程从而识别关键的数据处理活动，此外还要协调产品、研发、运维等多方人员参与，这需要前期项目充分沟通与人员组织“影子资产”一直以来都是困扰企业做好数据资产梳理工作的难点问题，企业需要借助高效的工具实现数据资产信息的快速梳理；当然工具并不是万能的，前期的资产排查工作仍需要运维、业务方甚至安全团队的参与不同行业有着不同的数据类型，使得部分数据标签难以通过自动化工具高效识别；同时，并非所有企业元数据管理工作都做得很到位，数据不能有效识别会影响风险评估工作的开展，高效、准确的识别数据，在风险评估过程中是非常重要的环节某互联网公司全量业务 120 套系统数据安全风险评估业务视图主机视图资产清单组件类型厂商分布数据视图数据类型数据量级数据分布账号视图账号清单分属应用权限管控数据访问通过结合主机视图、数据视图、账号视图 3 种视图形成完整的业务视图，即清晰掌握企业当前业务系统中包含的主机资源，数据资源，账号资源IT 资产信息数据资产信息应用资产信息人员账号信息1、基础信息收集4、数据处理活动3、数据流转过程2、数据分类分级数据发现分类分级等级：一般数据运维数据A类等级：重要数据个人身份数据B类等级：机密数据行业发展数据C类重要数据识别业务经营数据个人信息标签行业数据识别合作伙伴信息数据源增量数据运营分级结果运营分类策略运营存量数据运营识别策略运营持续维护运营打标识别数据分类数据分级做好数据分类分级工作。依旧相关法律法规及行业标准规范全面识别企业数据资产，按照标准完成数据的分类和分级，形成数据分类分级结果清单统一目标，做好部门协调基于数据流转图梳理，识别数据处理活动，形成数据处理活动清单，并进一步判断数据的细分场景，明确数据的场景化安全要求存储使用公开提供加工传输收集个人主体收集外部机构收集本地存储境外存储内部传输跨域传输跨境传输加工分析汇聚融合数据转让委托处理公开披露数据访问开发测试数据导出数据共享数据展示/背景需求/数据安全法与个人信息保护法相继出台施行，用户个人信息安全日益受到关注与重视，数据安全部结合自身安全需要和监管合规响应，计划开展个人信息数据资产梳理与个人信息安全合规评估工作/项目目标/STEP 1 数据分类分级 STEP 3 基于数据流转图，识别数据处理活动识别、梳理业务数据流动链路，从角色、系统、场景、环境等多要素关联分析数据流转情况，输出数据流转图 STEP 2 识别数据流转安全人员运维人员科研人员分析人员访问调用财务人员财务审计系统企业资产数据更新维护数据采集资产清单公开披露委托处理监管上报境内-境外生产-测试内网-外网数据外发数据打印开发测试数据库存储数据上云C 端用户合作伙伴境外存储汇聚分析收集存储使用传输加工提供公开合规评估组织评估企业在组织建设方面的合规差距，包括决策层、管理层、执行层制度评估企业在数据收集、数据使用、应急响应等制度方面的合规差距风险评估数据存储评估是否采用与数据等级相匹配的保护手段；发现是否有违规数据存储和驻留数据使用梳理企业业务场景中对敏感数据的访问和操作，量化评估数据行为的风险情况数据公开梳理企业对外开放的敏感数据接口，评估并分析其对应的数据暴露面风险/数据安全风险自评估指南/风险评估对象，要素及侧重点的异同以数据为中心，对伴随业务流动的动态数据进行风险评估，此外需要结合业务场景对“数据种类/级别、处理目的、相关方角色”等要素进行评估，同时要考虑对国家安全、公共利益、个人权益等方面的安全风险影响数据安全风险评估信息安全风险评估主要关注系统存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，并提出有针对性的抵御威胁的防护对策和整改措施，以防范和化解风险信息安全风险评估偏向于对系统、平台等静态资产的风险识别、量化和评估，不具备业务强相关性信息安全风险评估业务关联度及对业务理解要求异同数据具有强业务逻辑关联性，数据的安全风险更多来源于使用、流通过程，对风险的量化评价需要评估人员对业务有深入的理解;此外，数据安全风险评估过程会引入相关法律法规要求的检查，对业务合规要求极高数据安全风险评估前期调研资产梳理与分级数据应用调研分析数据安全风险评估评估总结数据安全基本情况调研业务流程图及数据流梳理制定访谈与检查作业指导书输出数据资产清单制定分类分级标准制定检查评估表数据应用现状分析制定风险检查评估表形成数据安全差距分析报告输出风险评估报告制定风险缓释方案实施数据分类分级数据安全左移1、沉淀数据安全评估要点，为进一步开展数据安全左移提供帮助满足合规要求2、完成全量业务资产数据安全评估3、为个人信息保护认证、数据安全管理能力认证等相关安全证书提供参考依据4、完善数据安全相关管理文档、制度流程明确建设规则安全策略沉淀5、从账号安全、应用安全、系统安全以及外部攻击面管理为安全部门提供风险监测依据，沉淀 70+数据安全监测策略6、以评估结果为导向，帮助企业明确未来 2 年的数据安全建设计划HTTPHTTPHTTP梳理敏感个人信息并分级调研数据应用现状分析安全合规差距，输出风险缓释措施持续改进资产扫描类工具通过主动扫描的方式发现企业内部数据服务资产，自动梳理与评估对象有关的数据数据库文件服务应用终端漏洞检测类工具基于漏洞探测规则，对操作系统、数据库系统、网络协议等进行安全脆弱性检测，快速进行安全漏洞发掘探测弱口令信息泄露REC 漏洞数据识别类工具扫描探测待评估系统多种类型数据资产，识别个人信息、行业数据、重要数据等数据类型，检测数据保护能力个人信息行业数据重要数据流量分析类工具自动化评估工具