重磅！国家标准《信息安全技术数据安全风险评估方法》（征求意见稿）发布

数据安全风险评估，主要针对数据处理者的数据和数据处理活动进行风险评估，旨在掌握数据安全总体状况，发现存在的数据处理不合理、缺少有效的数据安全措施等风险隐患，为进一步健全数据安全管理制度和技术措施，提高数据安全治理能力奠定基础。 本标准给出了数据安全风险评估的基本概念、要素关系、分析原理、实施流程、评估内容、分析与评价方法等，明确了数据安全风险评估各阶段的实施要点和工作方法。适用于指导数据处理者、第三方评估机构开展数据安全风险评估，也可供有关主管监管部门实施数据安全检查评估时参考。本标准为支撑《数据安全法》第十八条、第三十条对数据安全风险评估相关规定落实，贯彻《个人信息保护法》《网络数据安全管理条例（征求意见稿）》有关要求，建设数据安全风险评估的协作和统一管理机制，发现国家、重点行业领域和地方区域的数据安全风险，理清数据安全建设方向，针对性提升我国数据安全能力水平。 本文件提出了数据安全风险评估的基本概念、要素关系、分析原理、实施流程、评估内容，明确了数据安全风险评估各阶段的实施要点和工作方法，包括：1) 评估要素间关系； 2) 风险分析原理； 3) 评估适用情形； 4) 评估实施流程； 5) 评估内容框架； 6) 评估方法； 7) 数据安全风险评估准备； 8) 数据和数据处理活动识别； 9) 数据安全风险识别； 10) 数据安全风险分析与评价； 11) 评估总结； 12) 数据安全风险评估报告模板。数据安全风险评估，主要围绕数据和数据处理活动，聚焦可能影响数据的保密性、完整性、可用性和数据处理合理性的安全风险，掌握数据安全总体状况，发现数据安全隐患，提出数据安全管理和技术防护措施建议，提升数据安全防攻击、防破坏、防窃取、防泄露、防滥用能力。首先通过信息调研识别数据处理者、业务和信息系统、数据资产、数据处理活动、安全措施等相关要素，然后从数据安全管理、数据处理活动、数据安全技术、个人信息保护等方面识别风险隐患，最后梳理风险源清单，分析数据安全风险、视情评价风险，并给出整改建议。