在《数据安全法》中，数据安全风险评估是一项重要工作。根据TC260的《网络安全标准实践指南-网络数据安全风险评估实施指引》和国标委正在征求意见的《信息安全技术 数据安全风险评估方法》，可以了解和掌握数据安全风险评估的具体方法。风险分析是风险评估的重要环节，虽然在《信息安全技术 数据安全风险评估方法》中的附录B中给出了数据安全风险量化分析与评价方法，但并没有实际举例参考。本文将主要探讨数据安全风险评估工作中的风险分析环节，并通过举例的方式，实际落地执行风险分析过程，并得出风险结论。

1. 数据安全风险分析

数据安全风险分析主要是通过资产识别、脆弱性识别以及威胁识别分别计算出威胁造成损失的严重程度以及安全事件发生的可能性，然后利用损失严重程度与事件发生可能性这两个值计算得到风险值，最后将风险值赋予对应的风险等级。如下图所示：

数据安全风险分析需要结合数据生命周期和数据应用场景开展。数据安全风险不会独立存在，它需要通过数据流转的业务场景和数据本身的生命周期来识别，因此我们对数据资产的安全风险评估会被转化为数据资产的脆弱性被威胁利用所造成损失的严重程度和该损失发生的可能性，并计算出风险值，进而评价风险的等级。

2. 数据安全风险分析实操举例

以我所在公司的某某预约业务场景中预约申请流程的预约单数据存储所面临的数据泄露风险举例。通过对预约的这个业务场景进行梳理，可知预约单数据中包含了预约单号、姓名、电话、身份证号、预约产品、规格、预约日期、支付费用等字段。这些字段信息都会涉及到后台的数据存储，并且可能存储在不同的数据库和表中。如果数据存储的安全管控做得不好，就可能造成数据泄露，尤其是预约单内还包含了敏感个人信息，问题就会变得更严重。因此所有数据存储都要根据其重要程度，建立不同层次的安全保护策略，以降低数据泄露的风险。

直接上实例说明：

比如在风险评估工作中，经调研发现公司的数据库运维人员可以通过堡垒机访问数据库，并且拥有数据导入和导出的权限，而数据库运维人员的办公电脑又可以访问互联网，这种情况就存在数据泄露风险。

威胁识别：数据库运维人员可通过堡垒机从数据库中导出数据后向外部发送。

脆弱性识别：公司缺乏数据外发的安全控制。

根据《信息安全技术 数据安全风险评估方法》中附录B给出的数据安全风险量化分析与评价方法，我将通过矩阵法的方式，计算得出此项数据泄露风险的风险值，并确定对应的风险等级。

2.1. 计算数据泄露事件发生的可能性

威胁值及脆弱性严重程度的赋值用1到4的整数表示。由于预约单数据内涉及个人敏感数据，所以数据价值较高。但是数据库运维人员的个人素质也较高，清楚我国刑法、网络安全法、数据安全法和个人信息保护法等相关法律法规，并且在入职时也和公司签署了保密协议，在以往的工作中也未曾发生过类似事件，所以经过评估分析，数据泄露事件的威胁值赋值为3，脆弱性可被利用难易程度赋值为3。

安全事件发生可能性矩阵：

根据矩阵对照查询得出数据泄露安全事件发生的可能性为12。如下表所示，得出安全事件发生的可能性等级为：4。

2.2. 计算数据泄露事件损失的严重程度

资产价值及脆弱性影响程度的赋值用1到4的整数表示。根据GB/T43697-2024《数据安全技术 数据分类分级规则》，在分级要素识别和数据影响分析的基础上，确定公司的数据资产属于一般数据。并参考附录H一般数据分级参考，根据H.1将公司的一般数据分为4个级别。再根据H.4最低参考级别的要求，在一般数据分4级框架下，敏感个人信息不低于4级。预约单数据包含个人敏感信息，所以资产价值赋值为4，属于一般数据的最高级别。经上诉评估分析，脆弱性影响程度赋值为4，资产价值赋值为4。

安全事件损失矩阵：

根据矩阵对照查询得出数据泄露事件损失的严重程度为16。如下表所示，得出安全事件损失的严重程度等级为：5。

2.3. 计算数据泄露事件的风险值

通过对数据泄露事件发生的可能性和损失的严重程度的计算，可以得出安全事件发生的可能性等级为4，安全事件损失的严重程度等级为5。

风险矩阵：

根据矩阵对照查询得出风险值为24。如下表所示，得出风险值为5。

2.4. 风险列表

根据上述举例的风险分析方法，得出在预约申请业务流程中数据库运维人员可通过堡垒机从数据库中导出数据后向外部发送的威胁事件的风险值及其风险等级，如下表所示：

3. 风险评价

基于风险分析以及实际情况，对上诉数据库运维人员可通过堡垒机从数据库中导出数据后向外部发送的数据泄露风险进行评价。得出风险等级为：很高。

风险等级划分表，如下：

注：关于矩阵计算法的风险分析值各公司可自行制定，本文使用矩阵仅供参考。

4A评测 - 免责申明

本站提供的一切软件、教程和内容信息仅限用于学习和研究目的。

不得将上述内容用于商业或者非法用途，否则一切后果请用户自负。

本站信息来自网络，版权争议与本站无关。您必须在下载后的24个小时之内，从您的电脑或手机中彻底删除上述内容。

如果您喜欢该程序，请支持正版，购买注册，得到更好的正版服务。如有侵权请邮件与我们联系处理。敬请谅解！

程序来源网络，不确保不包含木马病毒等危险内容，请在确保安全的情况下或使用虚拟机使用。

侵权违规投诉邮箱：4ablog168#gmail.com（#换成@）