數(shù)據(jù)安全檢查測(cè)評(píng)報(bào)告

數(shù)據(jù)平安檢查測(cè)評(píng)報(bào)告受評(píng)單位：受評(píng)業(yè)務(wù)：委托單位：完成時(shí)間：評(píng)估單位：〔蓋章〕工程根本情況工程背景公司介紹。鑒于此，為落實(shí)國(guó)家法律法規(guī)對(duì)于數(shù)據(jù)平安出境的相關(guān)合規(guī)要求，提高數(shù)據(jù)平安出境保護(hù)水平，公司特組織開(kāi)展了本次數(shù)據(jù)平安檢查測(cè)評(píng)工作。評(píng)估目的起止時(shí)間本次檢查測(cè)評(píng)工作起止時(shí)間為20XX年XX月XX日至20XX年XX月XX日。組織情況XX公司檢查測(cè)評(píng)小組人員：姓名職責(zé)評(píng)估小組負(fù)責(zé)人自評(píng)估小組第三方參與人員：工程組職責(zé)實(shí)施流程評(píng)估準(zhǔn)備階段：2022年11月15日－12月28日，根據(jù)檢查測(cè)評(píng)工作需要，XX公司成立評(píng)估團(tuán)隊(duì)，制定數(shù)據(jù)檢查測(cè)評(píng)工作方案，按合同約定選配實(shí)施人員，做好評(píng)估前的裝備調(diào)配、技術(shù)準(zhǔn)備和平安保密教育等工作，并簽訂保密協(xié)議及相關(guān)授權(quán)。評(píng)估調(diào)研階段：2022年12月29日－2023年1月29日，評(píng)估團(tuán)隊(duì)依據(jù)數(shù)據(jù)檢查測(cè)評(píng)工作方案，開(kāi)展現(xiàn)場(chǎng)調(diào)研工作，收集、調(diào)閱根底設(shè)施、硬件、軟件、網(wǎng)絡(luò)、管理和信息系統(tǒng)、管理機(jī)制等相關(guān)材料，并與XX公司相關(guān)部門(mén)及人員進(jìn)行交流對(duì)接，分析研究評(píng)估對(duì)象數(shù)據(jù)的數(shù)據(jù)業(yè)務(wù)使用場(chǎng)景、網(wǎng)絡(luò)與信息系統(tǒng)平安現(xiàn)狀，以及涉及數(shù)據(jù)平安技術(shù)體系、數(shù)據(jù)平安管理體系、數(shù)據(jù)平安運(yùn)營(yíng)體系的運(yùn)行情況。評(píng)估實(shí)施階段：2023年2月1日－2023年2月20日，評(píng)估人員開(kāi)展現(xiàn)場(chǎng)技術(shù)檢測(cè)與數(shù)據(jù)采集工作，完成數(shù)據(jù)全生命周期梳理、數(shù)據(jù)平安風(fēng)險(xiǎn)評(píng)估和已有數(shù)據(jù)保護(hù)措施的有效性驗(yàn)證。綜合分析階段：2023年2月21日－2023年2月28日，評(píng)估人員通過(guò)對(duì)評(píng)估階段采集到的根底數(shù)據(jù)進(jìn)行梳理，綜合評(píng)估涉及數(shù)據(jù)出境場(chǎng)景風(fēng)險(xiǎn)，并與XX公司相關(guān)人員進(jìn)行核實(shí)和確認(rèn)，形成數(shù)據(jù)檢查測(cè)評(píng)報(bào)告。實(shí)施方式本次數(shù)據(jù)檢查測(cè)評(píng)主要從人員訪談、資料核查、技術(shù)手段核查三個(gè)方面開(kāi)展：〔1〕人員訪談評(píng)估人員與業(yè)務(wù)負(fù)責(zé)人進(jìn)行面對(duì)面訪談，檢查其是否明確知曉相關(guān)平安管控要求，并結(jié)合現(xiàn)場(chǎng)檢查，核實(shí)其落實(shí)情況，并做記錄。〔2〕資料核查現(xiàn)場(chǎng)稽核本次數(shù)據(jù)出境評(píng)估所涉及的管理制度、建設(shè)方案、操作審批單、審批日志等電子或紙質(zhì)資料，并做記錄?！?〕技術(shù)手段核查評(píng)估團(tuán)隊(duì)通過(guò)人工或自動(dòng)化平安測(cè)試工具進(jìn)行技術(shù)測(cè)試，獲得數(shù)據(jù)出境處理活動(dòng)、平安保障能力等相關(guān)信息，并進(jìn)行分析，以便取得證據(jù)的過(guò)程。檢查測(cè)評(píng)范圍業(yè)務(wù)名稱XX系統(tǒng)業(yè)務(wù)功能介紹數(shù)據(jù)種類數(shù)量數(shù)據(jù)項(xiàng)名稱數(shù)據(jù)級(jí)別數(shù)據(jù)載體數(shù)據(jù)來(lái)源數(shù)量(GB)電子化數(shù)據(jù)數(shù)量(條)非電子化數(shù)據(jù)覆蓋類型覆蓋占比數(shù)據(jù)精度數(shù)據(jù)項(xiàng)詳細(xì)描述數(shù)據(jù)處理場(chǎng)景數(shù)據(jù)處理活動(dòng)處理活動(dòng)目的是否涉及算法自動(dòng)化處理是否涉及出境是否對(duì)外共享共享接收方名稱共享方式是否涉及跨主體流動(dòng)是否為涉外數(shù)據(jù)檢查測(cè)評(píng)內(nèi)容平安管理體系測(cè)評(píng)數(shù)據(jù)分類分級(jí)審計(jì)操作權(quán)限管理審計(jì)日志記錄平安審計(jì)合作方管理審計(jì)應(yīng)急演練審計(jì)投訴舉報(bào)機(jī)制審計(jì)數(shù)據(jù)平安體系測(cè)評(píng)數(shù)據(jù)采集審計(jì)數(shù)據(jù)傳輸審計(jì)數(shù)據(jù)存儲(chǔ)審計(jì)數(shù)據(jù)使用審計(jì)數(shù)據(jù)刪除審計(jì)數(shù)據(jù)銷(xiāo)毀審計(jì)技術(shù)能力體系測(cè)評(píng)邊界管控訪問(wèn)控制平安監(jiān)測(cè)平安審計(jì)平安檢查應(yīng)急響應(yīng)與事件處置風(fēng)險(xiǎn)分析體系測(cè)評(píng)風(fēng)險(xiǎn)源要素識(shí)別類別識(shí)別要素識(shí)別結(jié)果網(wǎng)絡(luò)環(huán)境和技術(shù)措施a.處理數(shù)據(jù)的網(wǎng)絡(luò)環(huán)境是否為內(nèi)部網(wǎng)絡(luò)，如果為互聯(lián)網(wǎng)等非內(nèi)部網(wǎng)絡(luò)環(huán)境，將面臨更高的威脅。b.處理數(shù)據(jù)的信息系統(tǒng)是否與其他系統(tǒng)隔離，是否與其他系統(tǒng)存在數(shù)據(jù)交互，交互方式是否為網(wǎng)絡(luò)接口，是否配備接口平安保障措施，如身份驗(yàn)證、流量監(jiān)控、數(shù)據(jù)加密。c.數(shù)據(jù)處理過(guò)程中是否實(shí)施嚴(yán)格的身份鑒別、訪問(wèn)控制、權(quán)限管理等。d.處理數(shù)據(jù)的信息系統(tǒng)邊界是否部署平安防護(hù)設(shè)備，配置了嚴(yán)格的平安防護(hù)測(cè)策略，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)攻擊、入侵、木馬病毒等的攔截防護(hù)。e．是否監(jiān)測(cè)和記錄網(wǎng)絡(luò)運(yùn)行狀態(tài)，是否標(biāo)記、分析數(shù)據(jù)流轉(zhuǎn)狀態(tài)，及時(shí)發(fā)現(xiàn)數(shù)據(jù)異常流量和違規(guī)使用等情況。f·是否配備數(shù)據(jù)防泄漏技術(shù)能力，全面覆蓋處理數(shù)據(jù)的系統(tǒng)和終端，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)、藍(lán)牙、USB、郵件等多渠道的數(shù)據(jù)泄露監(jiān)測(cè)預(yù)警與攔截處置。g.是否采用加密傳輸、加密存儲(chǔ)等方式保障數(shù)據(jù)平安，加密方式是否平安有效。h.是否認(rèn)期對(duì)處理數(shù)據(jù)的信息系統(tǒng)進(jìn)行平安檢查、評(píng)估、滲透測(cè)試等，并及時(shí)進(jìn)行補(bǔ)丁更新和平安加固。i.是否對(duì)存儲(chǔ)數(shù)據(jù)的介質(zhì)進(jìn)行加強(qiáng)管理，實(shí)施多級(jí)權(quán)限審批管理，禁止非相關(guān)人員接觸，并嚴(yán)格留存使用記錄。j.是否對(duì)數(shù)據(jù)進(jìn)行定期備份與恢復(fù)，備份方式是否平安可靠是否實(shí)現(xiàn)異地容災(zāi)備份，保障數(shù)據(jù)可用性。k.是否配備數(shù)據(jù)銷(xiāo)毀技術(shù)手段，確保數(shù)據(jù)銷(xiāo)毀后的不可恢復(fù)。l．是否制定了數(shù)據(jù)平安審計(jì)謀略，明確審計(jì)方法、內(nèi)容、流程等要求，實(shí)現(xiàn)對(duì)數(shù)據(jù)收集、存儲(chǔ)、傳輸、使用、提供、公開(kāi)、銷(xiāo)毀等環(huán)節(jié)的實(shí)時(shí)審計(jì)，并對(duì)異常操作進(jìn)行預(yù)警。管理制度和處理流程a．是否建立完備的數(shù)據(jù)管理制度，覆蓋數(shù)據(jù)全生命周期，明確數(shù)據(jù)目錄備案、風(fēng)險(xiǎn)評(píng)估、權(quán)限管理、日志管理、平安審計(jì)、風(fēng)險(xiǎn)監(jiān)測(cè)、合作方管理、應(yīng)急響應(yīng)等相關(guān)管理要求。b．是否對(duì)數(shù)據(jù)授權(quán)訪問(wèn)、批量復(fù)制、使用加工、出境、銷(xiāo)毀等重點(diǎn)環(huán)節(jié)進(jìn)行日志留存，留存時(shí)間是否不少于6個(gè)月，涉及出境環(huán)節(jié)日志記錄是否留存3年以上。c．是否建立數(shù)據(jù)平安風(fēng)險(xiǎn)監(jiān)測(cè)報(bào)送機(jī)制，及時(shí)發(fā)現(xiàn)、識(shí)別和上報(bào)數(shù)據(jù)平安風(fēng)險(xiǎn)。d．是否建立數(shù)據(jù)應(yīng)急響應(yīng)機(jī)制，制定應(yīng)急預(yù)案和處置流程，定期開(kāi)展應(yīng)急演練。參與人員和第三方管理a．是否設(shè)立數(shù)據(jù)管理機(jī)構(gòu)，明確內(nèi)部數(shù)據(jù)處理關(guān)鍵崗位、職責(zé)以及任職要求，負(fù)責(zé)履行數(shù)據(jù)平安管理義務(wù)。b．是否對(duì)數(shù)據(jù)處理關(guān)鍵崗位從業(yè)人員進(jìn)行數(shù)據(jù)平安相關(guān)培訓(xùn)和考核，確保其有相應(yīng)的數(shù)據(jù)平安保護(hù)專業(yè)知識(shí)和技能。c．是否與數(shù)據(jù)處理關(guān)鍵崗位從業(yè)人員簽訂保密協(xié)議，并進(jìn)行背景審查。d．是否建立數(shù)據(jù)平安事件處分問(wèn)責(zé)機(jī)制。e．是否建立數(shù)據(jù)第三方管理制度，形成第三方管理臺(tái)賬，加強(qiáng)對(duì)第三方數(shù)據(jù)使用情況的監(jiān)督管理。f．是否與涉及處數(shù)據(jù)的第三方簽署數(shù)據(jù)平安合同或協(xié)議，明確第三方處理使用數(shù)據(jù)的目的、方式、范圍、留存期限、超期處理的方式、再轉(zhuǎn)移限制、平安保障措施以及相應(yīng)的貴任義務(wù)。g．是否認(rèn)期對(duì)第三方履行合同或協(xié)議的情況進(jìn)行檢查、審計(jì)，確保其嚴(yán)格執(zhí)行合同約定。業(yè)務(wù)特點(diǎn)和平安態(tài)勢(shì)a.業(yè)務(wù)對(duì)數(shù)據(jù)處理的依賴性。b.數(shù)據(jù)處理者3年內(nèi)是否曾發(fā)生過(guò)數(shù)據(jù)平安事件。c.數(shù)據(jù)保護(hù)相關(guān)執(zhí)法監(jiān)管動(dòng)態(tài)。d.相關(guān)業(yè)務(wù)系統(tǒng)3年內(nèi)遭受網(wǎng)絡(luò)攻擊的情況。e.數(shù)據(jù)處理者1年內(nèi)收到或公開(kāi)發(fā)布的警示信息。風(fēng)險(xiǎn)源識(shí)別標(biāo)準(zhǔn)對(duì)以上因素進(jìn)行充分了解后,評(píng)估團(tuán)隊(duì)參考以下識(shí)別標(biāo)準(zhǔn),對(duì)各數(shù)據(jù)處理場(chǎng)景平安事件發(fā)生的可能性進(jìn)行判斷：可能性描述可能性等級(jí)處理數(shù)據(jù)的信息系統(tǒng)與其他系統(tǒng)有大量數(shù)據(jù)交互，或處于互聯(lián)網(wǎng)壞境中，或采取的平安保護(hù)措施薄弱，無(wú)法有效保障數(shù)據(jù)平安。極高缺乏數(shù)據(jù)平安管理制度，根本未對(duì)數(shù)據(jù)處理流程進(jìn)行監(jiān)管。未對(duì)接觸到數(shù)據(jù)的相關(guān)人員進(jìn)行約束管理，或未與參與處理數(shù)據(jù)的第三方簽訂相關(guān)協(xié)議/合同，未對(duì)第三方處理數(shù)據(jù)的行為進(jìn)行任何約束，或已出現(xiàn)第三方濫用數(shù)據(jù)的情形。威脅引發(fā)的相關(guān)平安事件已被數(shù)據(jù)處理者發(fā)現(xiàn)，或已收到相關(guān)主管部門(mén)發(fā)出的風(fēng)險(xiǎn)警報(bào)或通知，或3年內(nèi)處理數(shù)據(jù)的信息系統(tǒng)遭受過(guò)大量網(wǎng)絡(luò)攻擊。處理數(shù)據(jù)的信息系統(tǒng)與其他系統(tǒng)有較多交互，或采取的平安保護(hù)措施較為薄弱。高數(shù)據(jù)安金管理制度不夠全面，無(wú)法有效對(duì)數(shù)據(jù)處理活動(dòng)進(jìn)行全生命周期管理。對(duì)接觸到數(shù)據(jù)的相關(guān)人員的約束缺乏、管理松散、權(quán)限分配不合理，或與參與處理數(shù)據(jù)的第三方簽訂相關(guān)協(xié)議/合同條款設(shè)置不合理、全面，無(wú)法充分、有效地約束第三方處理數(shù)據(jù)的行為。3年內(nèi)發(fā)生過(guò)威脅引發(fā)的數(shù)據(jù)相關(guān)平安事件，或收到過(guò)相關(guān)專業(yè)機(jī)構(gòu)發(fā)出的相關(guān)風(fēng)險(xiǎn)預(yù)警信息，或3年內(nèi)處理數(shù)據(jù)的信息系統(tǒng)遭受過(guò)較多的網(wǎng)絡(luò)攻擊。處理數(shù)據(jù)的信息系統(tǒng)與其他系統(tǒng)僅存在較少的交互情況，且相關(guān)接口均進(jìn)行了完善的接口平安管控措施。采取的平安保護(hù)措施根本完善。中數(shù)據(jù)平安管理制度根本全面，根本實(shí)現(xiàn)對(duì)數(shù)據(jù)處理活動(dòng)進(jìn)行全生命周期管理，僅局部管理要求尚不完善。對(duì)接觸到數(shù)據(jù)的相關(guān)人員的約束較為充分、權(quán)限分配較為合理。與參與處理數(shù)據(jù)的第三方簽訂的相關(guān)協(xié)議/合同條款設(shè)置根本合理、全面，根本可以對(duì)第三方處理數(shù)據(jù)的行為進(jìn)行約束，但尚未對(duì)第三方協(xié)議/合同履行情況進(jìn)行檢查、審計(jì)或評(píng)估，無(wú)法真實(shí)有效掌握第三方協(xié)議/合同履行情況。3年內(nèi)未發(fā)生過(guò)威脅引發(fā)的數(shù)據(jù)相關(guān)平安事件。3年內(nèi)處理數(shù)據(jù)的信息系統(tǒng)遭受過(guò)較少的網(wǎng)絡(luò)攻擊。處理數(shù)據(jù)的信息系統(tǒng)與其他系統(tǒng)不存在交互情況，或僅存在少量離線交互行為，且對(duì)其進(jìn)行了嚴(yán)格的平安審批管理，并留存記錄。采取的平安保護(hù)措施完備。低數(shù)據(jù)平安管理制度完備，實(shí)現(xiàn)對(duì)數(shù)據(jù)處理活動(dòng)進(jìn)行全生命周期管理，管理要求明確、全面。對(duì)接觸到數(shù)據(jù)的相關(guān)人員的約束充分、權(quán)限分配合理。與參與處理數(shù)據(jù)的第三方簽訂相關(guān)協(xié)議/合同條款設(shè)置合理、全面，可以實(shí)現(xiàn)對(duì)第三方處理數(shù)據(jù)的活動(dòng)進(jìn)行有效約束，且定期對(duì)第三方協(xié)議/合同履行情況進(jìn)行檢查、審計(jì)或評(píng)估，可以真實(shí)有效掌握第三方協(xié)議/合同履行情況。從未發(fā)生過(guò)威脅引發(fā)的數(shù)據(jù)相關(guān)平安事件。3年內(nèi)處理數(shù)據(jù)的信息系統(tǒng)從未遭受或僅遭受過(guò)極少的網(wǎng)絡(luò)攻擊，且攻擊危險(xiǎn)程度較低。風(fēng)險(xiǎn)源識(shí)別結(jié)果數(shù)據(jù)處理活動(dòng)可能性等級(jí)風(fēng)險(xiǎn)來(lái)源可能性等分析結(jié)果網(wǎng)絡(luò)環(huán)境和技術(shù)措施管理制度和處理流程參與人員和第三方管理業(yè)務(wù)特點(diǎn)和平安態(tài)勢(shì)XX數(shù)據(jù)極高 高中低√√√√脆弱性識(shí)別分析測(cè)評(píng)脆弱性是數(shù)據(jù)應(yīng)用場(chǎng)景自身存在的，如沒(méi)有被數(shù)據(jù)威脅利用，脆弱性本身不會(huì)對(duì)數(shù)據(jù)資產(chǎn)造成損害。如數(shù)據(jù)應(yīng)用場(chǎng)景中涉及的信息系統(tǒng)，如存儲(chǔ)系統(tǒng)、業(yè)務(wù)系統(tǒng)足夠健壯，數(shù)據(jù)威脅難以導(dǎo)致平安事件的發(fā)生。也就是說(shuō)，數(shù)據(jù)威脅是通過(guò)利用應(yīng)用場(chǎng)景中存在的脆弱性，才可能造成數(shù)據(jù)機(jī)密性、完整性、可用性、可控性的損害。相反，如果威脅沒(méi)有對(duì)應(yīng)的脆弱性，也不會(huì)導(dǎo)致風(fēng)險(xiǎn)。因此，組織一般通過(guò)盡可能消減數(shù)據(jù)應(yīng)用場(chǎng)景的脆弱性，來(lái)阻止或消減數(shù)據(jù)威脅造成的影響，所以脆弱性識(shí)別是數(shù)據(jù)平安風(fēng)險(xiǎn)分析中最重要的一個(gè)環(huán)節(jié)。脆弱性識(shí)別所采用的方法主要有：?jiǎn)柧碚{(diào)查、工具檢測(cè)、人工核查、文檔查閱、滲透性測(cè)試等。脆弱性識(shí)別脆弱性可從技術(shù)和管理兩個(gè)方面進(jìn)行審視。技術(shù)脆弱性涉及IT環(huán)境的物理層、網(wǎng)絡(luò)層、系統(tǒng)層、應(yīng)用層等各個(gè)層面的平安問(wèn)題或隱患。管理脆弱性又可分為技術(shù)管理脆弱性和組織管理脆弱性兩方面，前者與具體技術(shù)活動(dòng)相關(guān)，后者與管理環(huán)境相關(guān)。根據(jù)《YD/T3801-2020電信網(wǎng)和互聯(lián)網(wǎng)數(shù)據(jù)平安風(fēng)險(xiǎn)評(píng)估實(shí)施方法》，提供了一種脆弱性識(shí)別內(nèi)容的參考。類型識(shí)別對(duì)象識(shí)別內(nèi)容技術(shù)脆弱性物理環(huán)境從機(jī)房場(chǎng)地、機(jī)房防火、機(jī)房供配電、機(jī)房防靜電、機(jī)房接地與防雷、電磁防護(hù)、通信線路的保護(hù)、機(jī)房區(qū)域防護(hù)、機(jī)房設(shè)備管理等方面進(jìn)行識(shí)別網(wǎng)絡(luò)結(jié)構(gòu)從網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)、邊界保護(hù)、外部訪問(wèn)控制策略、內(nèi)部訪問(wèn)控制策略、網(wǎng)絡(luò)設(shè)備平安配置等方面進(jìn)行識(shí)別系統(tǒng)軟件從補(bǔ)丁安裝、物理保護(hù)、用戶賬號(hào)、口令策略、資源共享、事件審計(jì)、訪問(wèn)控制、新系統(tǒng)配置、注冊(cè)表加固、網(wǎng)絡(luò)平安、系統(tǒng)管理等方面進(jìn)行識(shí)別應(yīng)用中間件從協(xié)議平安、交易完整性、數(shù)據(jù)完整性等方面進(jìn)行識(shí)別應(yīng)用系統(tǒng)從審計(jì)機(jī)制、審計(jì)存儲(chǔ)、訪問(wèn)控制策略、數(shù)據(jù)完整性、通信、鑒別機(jī)制、密碼保護(hù)等方面進(jìn)行識(shí)別管理脆弱性技術(shù)管理從物理和環(huán)境平安、通信與操作管理、訪問(wèn)控制、系統(tǒng)開(kāi)發(fā)與維護(hù)、業(yè)務(wù)連續(xù)性等方面進(jìn)行識(shí)別組織管理從平安策略、組織平安、資產(chǎn)分類與控制、人員平安、符合性等方面進(jìn)行識(shí)別表格SEQ表格\*ARABIC18脆弱性識(shí)別內(nèi)容脆弱性屬性分析與賦值脆弱性可利用性脆弱性可利用性跟訪問(wèn)路徑、訪問(wèn)復(fù)雜性、權(quán)限要求、用戶交互有關(guān)，可利用性分5級(jí)，等級(jí)1-5級(jí)，分別對(duì)應(yīng)很低、低、中等、高、很高。訪問(wèn)路徑。該特征反映了脆弱性被利用的路徑，包括：物理訪問(wèn)，本地訪問(wèn)，鄰近網(wǎng)絡(luò)訪問(wèn)，遠(yuǎn)程網(wǎng)絡(luò)訪問(wèn)。訪問(wèn)復(fù)雜性。該特征反映了攻擊者能訪問(wèn)目標(biāo)系統(tǒng)時(shí)利用脆弱性的難易程度，可用高、中、低3個(gè)值進(jìn)行度量。權(quán)限要求。該特征反映了攻擊者為了利用脆弱性需要通過(guò)目標(biāo)系統(tǒng)鑒別的要求，可用無(wú)、低、高進(jìn)行度量。用戶交互。該特征從攻擊行為利用脆弱性時(shí)是否需要用戶交互的條件反映了脆弱性利用的難易程度，可用不需要和需要2個(gè)值進(jìn)行度量。注：組織或企業(yè)可能已部署了預(yù)防性平安措施，可視具體情況調(diào)整脆弱性的可利用性。脆弱性可利用性等級(jí)標(biāo)識(shí)定義5很高數(shù)據(jù)訪問(wèn)權(quán)限低，脆弱性利用難度低，利用方式簡(jiǎn)單4高數(shù)據(jù)訪問(wèn)權(quán)限不高，脆弱性利用難度不高，利用方式不復(fù)雜3中數(shù)據(jù)訪問(wèn)權(quán)限高，脆弱性利用難度高，利用方式復(fù)雜2低數(shù)據(jù)訪問(wèn)權(quán)限較高，脆弱性利用難度較高，利用方式較復(fù)雜1很低數(shù)據(jù)訪問(wèn)權(quán)限非常高，脆弱性利用難度非常高，利用方式非常復(fù)雜表格SEQ表格\*ARABIC19脆弱性可利用性脆弱性可利用性脆弱性對(duì)數(shù)據(jù)的影響嚴(yán)重程度等級(jí)標(biāo)識(shí)定義5很高如果被威脅利用，將對(duì)數(shù)據(jù)機(jī)密性、完整性、可用性和可控性造成完全損害。4高如果被威脅利用，將對(duì)數(shù)據(jù)機(jī)密性、完整性、可用性和可控性造成重大損害。3中如果被威脅利用，將對(duì)數(shù)據(jù)機(jī)密性、完整性、可用性和可控性造成一般損害。2低如果被威脅利用，將對(duì)數(shù)據(jù)機(jī)密性、完整性、可用性和可控性造成較小損害。1很低如果被威脅利用，將對(duì)數(shù)據(jù)機(jī)密性、完整性、可用性和可控性造成的損害可以忽略。表格SEQ表格\*ARABIC20脆弱性對(duì)數(shù)據(jù)的影響嚴(yán)重程度脆弱性可利用性本次風(fēng)險(xiǎn)評(píng)估對(duì)數(shù)據(jù)脆弱性分析結(jié)果如下：序號(hào)數(shù)據(jù)類型應(yīng)用場(chǎng)景應(yīng)用系統(tǒng)名稱脆弱性信息脆弱性賦值類型分類子類名稱可利用性數(shù)據(jù)影響程度1個(gè)人信息業(yè)務(wù)技術(shù)脆弱性物理環(huán)境脆弱性電力電磁防護(hù)電力電磁防護(hù)不完善332Xx3表格SEQ表格\*ARABIC21數(shù)據(jù)脆弱性分析結(jié)果檢查測(cè)評(píng)結(jié)果及整改建議通過(guò)對(duì)XX系統(tǒng)平安管理體系評(píng)估、數(shù)據(jù)平安體系評(píng)估、技術(shù)能力體系評(píng)估、風(fēng)險(xiǎn)分析體系評(píng)估共四大項(xiàng)檢查測(cè)評(píng)后，分析認(rèn)為系統(tǒng)數(shù)據(jù)平安管理機(jī)制及平安保障措施不甚完善，存在的問(wèn)題如下所示：序號(hào)問(wèn)題項(xiàng)問(wèn)題內(nèi)容整改建議1數(shù)據(jù)分類分級(jí)方面企業(yè)未說(shuō)明業(yè)務(wù)數(shù)據(jù)分類分級(jí)情況；未說(shuō)明業(yè)務(wù)涉及重要數(shù)據(jù)情況。建議企業(yè)制定數(shù)據(jù)平安分類分級(jí)制度；建議企業(yè)梳理重要數(shù)據(jù)資產(chǎn)清單。2操作權(quán)限管理方面〔1〕未說(shuō)明敏感數(shù)據(jù)操作權(quán)限?！?〕建議企業(yè)完善敏感數(shù)據(jù)操作權(quán)限管理。3日志記錄方面〔1〕未對(duì)數(shù)據(jù)轉(zhuǎn)采集、轉(zhuǎn)移等操作進(jìn)行日志記錄?！?〕建議企業(yè)對(duì)數(shù)據(jù)轉(zhuǎn)采集、轉(zhuǎn)移等操作進(jìn)行日志記錄。4平安審計(jì)方面未制定日志數(shù)據(jù)管理與平安審計(jì)標(biāo)準(zhǔn)；未說(shuō)明是否有平安審計(jì)報(bào)告。建議企業(yè)制定日志數(shù)據(jù)管理與平安審計(jì)標(biāo)準(zhǔn)；建議企業(yè)定期輸出平安審計(jì)報(bào)告。5合作方管理方面合同內(nèi)未明確雙方數(shù)據(jù)平安的責(zé)任；未在業(yè)務(wù)合作結(jié)束后催促業(yè)務(wù)合作方依照合同內(nèi)容及時(shí)刪除數(shù)據(jù)建議企業(yè)在于合作方簽訂合同時(shí)，在合同內(nèi)明確雙方數(shù)據(jù)平安的責(zé)任；建議企業(yè)在業(yè)務(wù)合作結(jié)束后催促業(yè)務(wù)合作方依照合同內(nèi)容及時(shí)刪除數(shù)據(jù)。6舉報(bào)投訴處理方面〔1〕目前未明確由哪個(gè)部門(mén)負(fù)責(zé)受理數(shù)據(jù)平安和隱私保護(hù)相關(guān)投訴和舉報(bào)?！?〕建議企業(yè)明確部門(mén)負(fù)責(zé)受理數(shù)據(jù)平安和隱私保護(hù)相關(guān)投訴和舉報(bào)。7數(shù)據(jù)采集方面未指定的部門(mén)或人員負(fù)責(zé)數(shù)據(jù)采集;未在訪談前開(kāi)展過(guò)數(shù)據(jù)平安影響評(píng)估；未對(duì)外部機(jī)構(gòu)的數(shù)據(jù)采集來(lái)源進(jìn)行調(diào)研了解，同時(shí)不了解其數(shù)據(jù)采集的范圍和頻度。建議指定部門(mén)或人員負(fù)責(zé)數(shù)據(jù)采集，在采集數(shù)據(jù)前開(kāi)展過(guò)數(shù)據(jù)平安影響評(píng)估；建議在數(shù)據(jù)采集前對(duì)外部機(jī)構(gòu)的數(shù)據(jù)采集來(lái)源進(jìn)行調(diào)研了解，并明確其數(shù)據(jù)采集的范圍和頻度。8數(shù)據(jù)存儲(chǔ)方面未說(shuō)明移動(dòng)介質(zhì)接入標(biāo)準(zhǔn)；未對(duì)數(shù)據(jù)生命周期過(guò)程進(jìn)行日志記錄。建議企業(yè)完善移動(dòng)介質(zhì)接入標(biāo)準(zhǔn)；建議企業(yè)對(duì)數(shù)據(jù)生命周期過(guò)程進(jìn)行日志記錄。9數(shù)據(jù)傳輸方面〔1〕未采用數(shù)字簽名、時(shí)間戳等方式，確保數(shù)據(jù)傳輸?shù)目沟仲囆??！?〕建議在數(shù)據(jù)傳輸方面采用數(shù)字簽名、時(shí)間戳等方式，確保數(shù)據(jù)傳輸?shù)目沟仲囆浴?0數(shù)據(jù)使用方面〔1〕未明確數(shù)據(jù)訪問(wèn)的相關(guān)賬戶以及對(duì)應(yīng)的權(quán)限審核時(shí)間?！?〕建議明確數(shù)據(jù)訪問(wèn)的相關(guān)賬戶以及對(duì)應(yīng)的權(quán)限審核時(shí)間。11數(shù)據(jù)開(kāi)放共享方面未說(shuō)明對(duì)外開(kāi)放共享審核機(jī)制；未制度數(shù)據(jù)溯源的策略和機(jī)制。建議企業(yè)完善對(duì)外開(kāi)放共享審核機(jī)制；建議企業(yè)制度數(shù)據(jù)溯源的策略和機(jī)制。12邊界管控方面〔1〕未采用API防護(hù)技術(shù)。〔1〕建議采用API防護(hù)技術(shù)。13訪問(wèn)控制方面〔1〕經(jīng)核查，未實(shí)現(xiàn)三權(quán)別離，未實(shí)現(xiàn)職責(zé)別離?！?〕建議實(shí)現(xiàn)三權(quán)別離，建議實(shí)現(xiàn)職責(zé)別離。14平安監(jiān)測(cè)方面未制度數(shù)據(jù)溯源的策略和機(jī)制；無(wú)溯源數(shù)據(jù)的平安存儲(chǔ)、分析使用等相關(guān)文檔；未對(duì)外部數(shù)據(jù)來(lái)源進(jìn)行合法性驗(yàn)證和標(biāo)識(shí)；未建立數(shù)據(jù)資產(chǎn)地圖；未建立