XXX系統重要數據一、評估報告摘要 4 42.1.評估背景 42.2.評估依據 42.3.評估原則 2.4.評估內容 62.5.評估流程 2.6.評估方法 2.8.實施計劃 三、評估對象范圍 3.1.2.系統架構圖 3.2.重要數據種類數量 3.3.重要數據處理場景 4.1.合規性評估 4.1.2.基線要求差異分析 4.2.安全風險分析 274.2.1.風險源識別 274.2.2.安全影響分析 五、數據安全風險分析與評價 5.1.數據安全風險分析 5.2.數據安全風險評價 5.2.2.風險發生可能性評價 315.2.3.安全風險等級評價 5.3.數據安全風險清單 3 347.2.殘余風險分析 34承載網絡環境施a.處理重要數據的網絡環境是否為內部網絡，如果為互聯網等非內部網絡環境，將面臨更高的威脅。處理重要數據的網絡環境在網管域，為內部網絡b.處理重要數據的信息系統是否與其他系統隔離，是否與其他系統存在數據交互，交互方式是否為網絡接口，是否配備接口安全保障措施，如身份驗證、流量監控、數據加密。c.重要數據處理過程中是否實施嚴格的身份鑒的身份鑒別、訪問控制、權限管理。防護設備，配置了嚴格的安全防護測策略，實現對網絡攻擊、入侵、木馬病毒等的攔截防護。處理重要數據的信息系統邊界墻、入侵檢測等，配置了嚴格的安全防護測策略，實現對網絡攻護e.是否監測和記錄網絡運行狀態，是否標記、分析重要數據流轉狀態，及時發現重要數據異常流量和違規使用等情況。部署了檢測系統，監測和記錄網異常流量和違規使用等理重要數據的系統和終端，實現對網絡、藍牙、USB、郵件等多渠道的重要數據泄露監測預警與攔截處置。部署了數據防泄漏系統，全面覆蓋處理重要數據的系統和終端，實現對網絡、藍牙、USB、郵件等多渠道的重要數據泄露監測要數據安全，加密方式是否安全有效。采用https,sftp等傳輸加密，數據加密存儲等新和安全加固。每月定期對處理重要數據的信息系統進行安全檢查、評估、滲和安全加固i.是否對存儲重要數據的介質進行加強管理，實嚴格留存使用記錄。嚴格落實存儲重要數據的介質管理要求，禁止非相關人員接j.是否對重要數據進行定期備份與恢復，備份方式是否安全可靠是否實現異地容災備份，保障數據可用性。重要數據進行定期備份與恢復，配備重要數據銷毀技術手段，如消磁技術等，確保重要數據銷毀后的不可恢復。1.是否制定了數據安全審計策略，明確審計方法、內容、流程等要求，實現對重要數據收集、存儲、傳輸、使用、提供、公開、銷毀等環節的實時審計，并對異常操作進行預警。據全生命周期實時審計。管理制度和處理流程合作方管理、應急響應等相關管理要求。b.是否對數據授權訪問、批量復制、使用加工、出境、銷毀等重點環節進行日志留存，留存時間是否不少于6個月，涉及出境環節日志記錄是否留存3年以上。進行日志留存，留存時間大于6個月，不涉及出境。c.是否建立重要數據安全風險監測報送機制，及時發現、識別和上報重要數據安全風險。建立了重要數據安全風險監測重要數據安全風險。d.是否建立重要數據應急響應機制，制定應急預案和處置流程，定期開展應急演練。建立了重要數據應急響應機制，制定應急預案和處置流程，定期開展應急演練。參與人員a.是否設立數據管理機構，明確內部重要數據設立數據管理機構明確內部重處理關鍵崗位、職責以及任職要求，負責履行重要數據安全管理義務。數據安全相關培訓和考核，確保其有相應的數據安全保護專業知識和技能。知識和技能。c.是否與重要數據處理關鍵崗位從業人員簽訂保密協議，并進行背景審查。員簽訂保密協議，并進行背景審查。d.是否建立重要數據安全事件處罰問責機制。建立了重要數據安全事件處罰問責機制。e.是否建立重要數據第三方管理制度，形成第督管理。建立了重要數據第三方管理制理f.是否與涉及處重要數據的第三方簽署數據安務。涉及處重要數據的第三方簽署方處理使用重要數據的目的、方式、范圍、留存期限、超期處理的方式、再轉移限制、安全保障措施以及相應的貴任義務定期對第三方履行合同或協議的情況進行檢查、審計，確保其嚴格執行合同約定業務特點勢a.業務對重要數據處理的依賴性。事件。3年內未發生過數據安全事件c.重要數據保護相關執法監管動態。工信部通過每年考核進行監督過行政處罰、通報批評或約談。3年內遭受網絡攻擊均已攔截，示信息。公開發布的警示信息。(2)風險源識別標準處理重要數據的信息系統與其他系統有大量數據交互，或處于互聯網壞境中，或采取的安全保護措施薄弱，無法有效保障重要數據安全。缺乏重要數據安全管理制度，基本未對重要數據處理流程進行監未對接觸到重要數據的相關人員進行約束管理，或未與參與處相關協議/合同，未對第三方處理重要數據的行為進行任何約束，或要數據的情形。威脅引發的相關安全事件已被重要數據處理者發現，或已收到相關主警報或通知，或3年內處理重要數據的信息系統遭受過大量網絡攻擊。處理重要數據的信息系統與其他系統有較多交互，或采取的安全保護措施較為薄高重要數據安金管理制度不夠全面，無法有效對重要數據處理活動進行全生命周期管理。對接觸到重要數據的相關人員的約束不足、管理松散、權限分配不合重要數據的第三方簽訂相關協議/合同條款設置不合理、全面，無法三方處理重要數據的行為。3年內發生過威脅引發的重要數據相關安全事件，或收到過險預警信息，或3年內處理重要數據的信息系統遭受過較多的網絡攻擊。處理重要數據的信息系統與其他系統僅存在較少的交互情況的接口安全管控措施。采取的安全保護措施基本完中重要數據安全管理制度基本全面，基本實現對重要數據處理活動進行全生命周期管理，僅部分管理要求尚不完善。對接觸到重要數據的相關人員的約束較為充分、權限分配較為合理。據的第三方簽訂的相關協議/合同條款設置基本合理、全面，基本可以數據的行為進行約束，但尚未對第三方協議/合同履行情況進行檢真實有效掌握第三方協議/合同履行情況。3年內未發生過威脅引發的重要數據相關安全事件。3年內處過較少的網絡攻擊。處理重要數據的信息系統與其他系統不存在交互情況，或僅對其進行了嚴格的安全審批管理，并留存記錄。采取的安全保護措施完備。低重要數據安全管理制度完備，實現對重要數據處理活動進行全生命明確、全面。對接觸到重要數據的相關人員的約束充分、權限分配合理。與參與處方簽訂相關協議/合同條款設置合理、全面，可以實現對第三方處理有效約束，且定期對第三方協議/合同履行情況進行檢查、審計或評握第三方協議/合同履行情況。從未發生過威脅引發的重要數據相關安全事件。3年內處理重受或僅遭受過極少的網絡攻擊，且攻擊危險程度較低。為識別數據安全風險，數據安全風險評估內容，既包括涉及數據處理者、業務和信息系統架如圖4所示。重要風險識別風險識別安全影響分析圖4數據安全風險評估內容框架圖重要數據安全風險評估流程重要數據安全風險評估流程合法正當性評估是重要數據映射安全風險分析否基線要求差異性理確定評估對象范圍是否接受風險處置否是數據安全風險姓名單位/部門計劃時間配合人員數據項名數量(條)網絡規劃域網絡規□紙質文件□電子文檔□音視頻□圖片□數據庫表口其口直接收集口統計分析產生□系統運維產生□業務運營產生口其他：網絡運行維護網絡與據析析展戰略規劃與重大決策域域信領域出口管制物項相關數據國家科技計劃等活動產生的網絡規劃域網絡規□是：(填寫接收方所在國家和地區)口否口存儲□大數據口加工□其□直接對外提供查詢□提供個性化服務、開展營銷口進行市場調研、宏觀分析、報告□對外直接提供(如出售、委托、共享)口分析結果對外提供□為政府部門提供□其他：口否網絡運行維護據據網絡與析規劃與重大決策出口管域相關數據國家科技計劃等活動產生的四、數據安全風險識別估得處理的情形。門要求，對經營分析系統中產生的重要數據估公益事業等。評估經營分析系統中活動目的和場景，其目的保障數據安全，以便估數據處理活動場景，評估處理的重要數據種類、數量、頻率是否為開展業務所必需。評估經營分析系統的評估說明1.基分類分級1、已開展數據資產梳理，并形成數據資產分類分級清單，并定期更新。2、對數據的分類與分級正確，符合集團信安統一要求。成重要數據清單。安全保護1、針對不同級別的數據資產，限管理已制定本單位賬號及權限管臺系統的用戶賬號分配、開保障要求，以及賬號操作的審批要求和操作流程等。1、建立了平臺系統權限分配系統不存在沉默賬號。符合最小權限原則。(抽查)3、平臺系統權限表中超級管理員權限賬號數量合理。(數量統計，原則只能為1個)1、賬號權限分配表中安全管理人員、使用人員、審計人員的角色實現了角色分離設置。處理數據的由數據安全管理責任部門或數據安全責任人訪問控制1、系統配置了口令復雜度策略。2、系統配置了賬號鎖定策略，數進行限制。3、系統對口令遺忘的申請和口令重置流程無業務邏輯設錄。4、賬號口令及加密密鑰已加密存儲。1、涉及數據重大操作的(如數據批量復制、傳輸、處理、開發共享和銷毀等)觸發金庫模式。(抽查)日志審計記錄。日志管理已制定日志留存管理相關制度，明確日志記錄范圍、規范、留存時間、訪問控制要求等。日志記錄1、對數據授權訪問、批量復口調用等重點環節實施網絡日志留存管理，日志記錄至少理方式、授權情況、IP地址、登錄信息等。2、日志留存時間滿足6個月要求。日志備份已定期對日志進行備份。日志操作權限控制限制日志訪問操作權限。日志審計制度及審內容、實施周期、結果規范、且審計權限與系統管理權限、定期形成數據安全審計報告以及問題改進跟蹤記錄。(至少每半年形成一份)1.4合理合作方臺賬方企業名稱、合作業務或系更新。1、已與合作方全量簽訂服務合同和數據安全保密協議。及項目參與員工可接觸到的數據處理相關平臺系統范圍，以及數據使用權限、內容、范圍及用途(應符合最小化原則),合作方數據安全責任、后數據刪除要求，合作方違約責任和處罰等內容。3、業務合作結束后，督促第三方依照合同約定及時關閉數據接口，刪除數據。急響應1、制定了數據安全應急預案，失)、數據濫用、數據被篡改、數據被損毀、數據違規使用等。件等級。1、典型事件場景至少每年開展一次演練。一次演練。1、如發生數據安全事件，進告。2、發生大規模用戶個人信息告知用戶。育培訓制定教育培訓計劃案。開展教育培訓1、教育培訓教材滿足培訓要求。培訓人員進行考核評定，培訓內容、培訓范圍、學時等滿足數據安全教育培訓要求。生命周期評估采集規則1、制定了內部數據采集實施道、數據格式、采集流程和采集方式。業務系統執行數據采集進行合規審查，留存審查記錄。3、利用外部數據源采集數據時，對外部數據來源進行合法性確認，并要求提供方說明了體授權同意的范圍。正當1、用戶協議有明確告知，公布數據收集、使用規則以明確數據采集目的用途。2、經營或者服務場所、網站、則，告知用戶收集、使用信息的目的、方式和范圍，留存信息的期限，并獲得個人信息主體同意。原則1、明確了數據收集時的最小必要原則。品/服務的業務功能有直接關聯。1、制定了數據傳輸的相關制則。2、根據業務流程、職責界面、合理劃分網絡系統安全域。不同數據傳輸場景，明確數據傳輸安全策略和操作規程。出境的場景、類別、數量級、頻率、接收方等進行梳理匯總形成清單。(如有出境業務)1、明確核心數據處理活動有段，數據存儲介質安全策略和管理規定。密協議。移動介質1、對接入數據存儲相關平臺系統接入移動存儲介質有嚴格的審核機制。2、將數據下載到本地終端的行為有審批和日志記錄。1、制定了數據備份操作規程周期、備份方式、備份地點、數據恢復性驗證機制等內容。2、定期對數據進行備份。驗證備份數據的有效性。據使用1、已明確區分不同目的下(如開發測試、數據分析等)數據使用審批流程。2、已明確區分不同目的下(如開發測試、數據分析等)數據使用脫敏處理規則。1、處理個人信息時采用了脫敏手段，消除明確身份指向性，避免精確定位到特定個人。2、因業務需求，改變個人信息使用目的或改變個人信息使用規則時，再次征得用戶明示同意。據開放1、建立了數據對外開放共享的審核制度文件。出需求和授權范圍。簽訂合作協議，在合作協議中明確了對數據的使用目的、供應方式、保密約定等。信息主體告知共享個人信息的目的、接收方情況等，并征不能復原的除外)。建立數據銷毀與刪除管理制和規程。1、建立了數據銷毀審批機制，設置了銷毀相關監督角色，明確要求數據批量銷毀采用多2、執行數據銷毀有審批記錄。3、執行批量數據銷毀采用了多人操作模式。個人信息1、提供了個人信息刪除申請2、按要求及時刪除個人信息估估據識別資產掃描1、配備數據資產掃描工具且2、定期開展數據資產掃描。能力，定期對數據處理場景中審計能力能力的平臺系統，具備數據操作權限配置、異常操作告警與處置等核心功能。1、業務或系統已接入審計平臺，或有相關接入計劃和方案。2、數據操作審計內容和平臺據防泄露漏能力1、涉及存儲、處理個人敏感信息和重要數據的有關平臺系統部署數據防泄漏產品/系統。點終端及網絡納入數據防泄3、防泄漏產品/系統具備對網作行為預警攔截?？诎踩嫦蚧ヂ摼W及合作方開放的日志記錄涉及個人信息和重要數據的審批記錄和接口日志。日志審計人信息保護息采取去標識化、關鍵字段加密安全存儲措施。在跨安全域或者通過互聯網傳輸個人敏感信息時采用了相應的加密措施。1、對用戶端前臺界面展示的理。擇。及金庫控覆蓋范圍管控場景1、所有敏感數據操作場景均場景清單形成管理臺賬，至少每半年進行一次全量的更新2、金庫場景新增或刪除有審批記錄。關系和審批的1、金庫申請填寫有合理的業務需求，審批嚴格。授權時長不超過1小時。3、金庫申請審批有完整的日志記錄。(2)差異性分析證明材料(1)分類分級(2)權限管理(3)安全審計(4)合作方管理(5)應急響應(6)教育培訓(1)數據采集(2)數據存儲(3)數據使用(4)數據開放共享(5)數據銷毀4.2.安全風險分析4.2.1.風險源識別(1)風險源識別內容網絡環境和管理制度和低高中低√√√√低高中√低√√√數據使用中高中低√√√√高中低√√√√低高中√低√√√低高中低√√√√低高中低√√√√評估團隊在進行安全影響分析時候，可按照以下順序開展述可能影響國家安全的5個維度的對應關系。考《信息安全技術網絡數據分類分級要求》,從數據分級角度衡量數據價值，數據級別越高高、極高5個級別。各級別數據安全風險危害程度描述如下表所示。高一旦數據安全風險發生，可能