《核能領(lǐng)域數(shù)據(jù)安全風(fēng)險(xiǎn)評估方法》

T/CNEA

團(tuán)體標(biāo)準(zhǔn)

T/CNEA***-****

核能領(lǐng)域數(shù)據(jù)安全風(fēng)險(xiǎn)評估方法

Riskassessmentmethodfordatasecurityfornuclearenergyfield

（征求意見稿）

20XX—XX—XX發(fā)布20XX—XX—XX實(shí)施

中國核能行業(yè)協(xié)會發(fā)布

T/CNEA***-****

1范圍

本文件提出了核能領(lǐng)域數(shù)據(jù)安全風(fēng)險(xiǎn)評估的基本要求、實(shí)施流程、評估內(nèi)容、評估方法及評估結(jié)果

判定準(zhǔn)則，明確了數(shù)據(jù)安全風(fēng)險(xiǎn)評估各階段的實(shí)施要點(diǎn)和工作方法。

本文件適用于指導(dǎo)核能領(lǐng)域網(wǎng)絡(luò)運(yùn)營者開展數(shù)據(jù)處理活動的安全風(fēng)險(xiǎn)評估工作，并為監(jiān)管機(jī)構(gòu)或第

三方安全評估機(jī)構(gòu)等單位開展核能領(lǐng)域數(shù)據(jù)安全評估工作提供參考。

注：涉及國家秘密的數(shù)據(jù)和軍事數(shù)據(jù)不適用于本文件。開展涉及個人信息的數(shù)據(jù)處理活動，還應(yīng)當(dāng)遵守有關(guān)法律、

行政法規(guī)的規(guī)定。

2規(guī)范性引用文件

下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，

僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本

文件。

GB/T25069—2022信息安全技術(shù)術(shù)語

3術(shù)語和定義、縮略詞

3.1術(shù)語和定義

GB/T25069-2022界定的以及下列術(shù)語和定義適用于本文件。

3.1.1

數(shù)據(jù)data

任何以電子或者其他方式對信息的記錄。

[來源:數(shù)據(jù)安全法，第三條]

3.1.2

網(wǎng)絡(luò)數(shù)據(jù)networkdata

通過網(wǎng)絡(luò)收集、存儲、傳輸、處理和產(chǎn)生的各種電子數(shù)據(jù)。

注：本文件中評估的數(shù)據(jù)類型限定為網(wǎng)絡(luò)數(shù)據(jù)。

[來源:網(wǎng)絡(luò)安全法，第七十六條]

3.1.3

網(wǎng)絡(luò)運(yùn)營者networkoperator

網(wǎng)絡(luò)的所有者、管理者和網(wǎng)絡(luò)服務(wù)提供者

[來源:網(wǎng)絡(luò)安全法，第七十六條]

3.1.4

數(shù)據(jù)安全datasecurity

通過采取必要措施，確保數(shù)據(jù)處于有效保護(hù)和合法利用的狀態(tài)，以及具備保障持續(xù)安全狀態(tài)的能力。

[來源:數(shù)據(jù)安全法，第三條]

2

T/CNEA***-****

3.1.5

數(shù)據(jù)處理活動dataprocessingactivities

數(shù)據(jù)的收集、存儲、使用和加工、傳輸、提供、公開、交易、出境、銷毀等活動。

[來源:數(shù)據(jù)安全法，第三條，有修改：增加“交易、出境、銷毀”]

3.1.6

合理性rationality

數(shù)據(jù)處理活動遵守法律、法規(guī)，尊重社會公德和倫理，遵守商業(yè)道德和職業(yè)道德，誠實(shí)守信，不危

害國家安全、公共利益，不得損害組織的合法權(quán)益。

[來源:數(shù)據(jù)安全法，第八條，有修改]

3.1.7

數(shù)據(jù)安全風(fēng)險(xiǎn)datasecurityrisk

由于開展數(shù)據(jù)處理活動不合理、缺少有效的數(shù)據(jù)安全措施等，導(dǎo)致數(shù)據(jù)安全事件的發(fā)生及其對國家

安全、公共利益或者組織合法權(quán)益造成的影響。

3.1.8

數(shù)據(jù)安全風(fēng)險(xiǎn)評估datasecurityriskassessment

對數(shù)據(jù)和數(shù)據(jù)處理活動的安全風(fēng)險(xiǎn)和違法違規(guī)問題進(jìn)行檢測評估的過程。

3.1.9

安全措施securitymeasure

保護(hù)數(shù)據(jù)和數(shù)據(jù)處理活動、抵御數(shù)據(jù)安全風(fēng)險(xiǎn)事件而實(shí)施的各種安全管理和技術(shù)實(shí)踐、規(guī)程和機(jī)制。

3.1.10

業(yè)務(wù)business

組織為實(shí)現(xiàn)某項(xiàng)發(fā)展戰(zhàn)略而開展的運(yùn)營活動，該活動具有明確的目標(biāo)，并延續(xù)一段時間。

3.1.11

風(fēng)險(xiǎn)源risksource

可能導(dǎo)致危害數(shù)據(jù)和數(shù)據(jù)處理的保密性、完整性、可用性和合理性等不希望事故的原因、條件、情

形或行為。

注:風(fēng)險(xiǎn)源，既包括安全威脅利用脆弱性可能導(dǎo)致數(shù)據(jù)安全事件的風(fēng)險(xiǎn)源(簡稱為“數(shù)據(jù)安全風(fēng)險(xiǎn)源”)，也包括數(shù)

據(jù)處理活動不合理操作可能造成違法違規(guī)處理事件的風(fēng)險(xiǎn)源(簡稱為“違法違規(guī)處理風(fēng)險(xiǎn)源”)。

3.1.12

重要數(shù)據(jù)importantdata

一旦泄露可能直接影響國家安全、公共安全、經(jīng)濟(jì)安全和社會穩(wěn)定的數(shù)據(jù)。

注：重要數(shù)據(jù)包括未公開的政府信息,數(shù)量達(dá)到一定規(guī)模的基因、地理、礦產(chǎn)信息等,原則上不包括個人信息、企業(yè)

內(nèi)部經(jīng)營管理信息等。

[來源:GB/T41479—2022信息安全技術(shù)網(wǎng)絡(luò)數(shù)據(jù)處理安全要求，3.9]

3.1.13

3

T/CNEA***-****

核能領(lǐng)域nuclearenergyfield

涉及核能、核技術(shù)科研及應(yīng)用的相關(guān)領(lǐng)域。覆蓋鈾礦冶、核燃料、核電、核工程建設(shè)、裝備制造、

后處理、核技術(shù)科研、核技術(shù)應(yīng)用、核環(huán)保等核科技工業(yè)全產(chǎn)業(yè)鏈，包含研發(fā)設(shè)計(jì)、工程建造安裝、運(yùn)

營、退役等全周期業(yè)務(wù)流程。

3.1.14

數(shù)據(jù)處理者dataprocessor

在數(shù)據(jù)處理活動中自主決定處理目的和處理方式的獨(dú)立法人單位。

3.1.15

數(shù)據(jù)交易datatransaction

數(shù)據(jù)供方和需方之間以數(shù)據(jù)商品作為交易對象，進(jìn)行的以貨幣或貨幣等價(jià)物交換數(shù)據(jù)商品的行為。

注1：數(shù)據(jù)商品包括用于交易的原始數(shù)據(jù)或加工處理后的數(shù)據(jù)衍生產(chǎn)品。

注2：數(shù)據(jù)交易包括以大數(shù)據(jù)或其衍生品作為數(shù)據(jù)商品的數(shù)據(jù)交易，也包括以傳統(tǒng)數(shù)據(jù)或其衍生品作為數(shù)據(jù)商品的、

數(shù)據(jù)交易。

[來源:GB/T37932-2019信息安全技術(shù)數(shù)據(jù)交易服務(wù)安全要求，3.1]

3.1.16

數(shù)據(jù)出境dataexport

數(shù)據(jù)處理者向境外提供在中華人民共和國境內(nèi)運(yùn)營中收集和產(chǎn)生的重要數(shù)據(jù)和個人信息。

[來源:數(shù)據(jù)出境安全評估辦法，第二條，有修改]

3.2縮略語

下列縮略語適用于本文件。

API：應(yīng)用程序編程接口（ApplicationProgrammingInterface）

SDK：軟件開發(fā)工具包（SoftwareDevelopmentKit）

SaaS：軟件服務(wù)（SoftwareasaService）

OA：辦公自動化（OfficeAutomation）

4核能領(lǐng)域風(fēng)險(xiǎn)評估基本要求與流程

4.1評估適用對象

4.1.1通用評估對象

核能數(shù)據(jù)擁有方、核能數(shù)據(jù)處理方，視為核能領(lǐng)域數(shù)據(jù)安全評估對象。

4.1.2重點(diǎn)評估對象

符合以下情形之一的，視為核能領(lǐng)域數(shù)據(jù)安全重點(diǎn)評估對象：

a)重要數(shù)據(jù)或核心數(shù)據(jù)處理者；

b)關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者；

c)大型數(shù)據(jù)平臺運(yùn)營者；

4

T/CNEA***-****

d)赴境外上市的數(shù)據(jù)處理者；

e)網(wǎng)絡(luò)安全等級保護(hù)三級及以上運(yùn)營者；

f)其他法律法規(guī)或有關(guān)部門規(guī)定的重點(diǎn)評估對象。

4.2評估觸發(fā)場景

4.2.1周期性評估

通用評估對象應(yīng)每三年至少開展一次核能領(lǐng)域數(shù)據(jù)安全風(fēng)險(xiǎn)評估工作，重點(diǎn)評估對象應(yīng)每年至少開

展一次核能領(lǐng)域數(shù)據(jù)安全風(fēng)險(xiǎn)評估工作。

4.2.2觸發(fā)性評估

符合以下情形之一的，需結(jié)合實(shí)際情況觸發(fā)核能領(lǐng)域數(shù)據(jù)安全風(fēng)險(xiǎn)評估工作：

a)核能領(lǐng)域的數(shù)據(jù)處理者在重要數(shù)據(jù)獲取、共享、交易、委托處理或向境外提供前，應(yīng)開展數(shù)

據(jù)安全風(fēng)險(xiǎn)評估。

b)核能領(lǐng)域的數(shù)據(jù)處理者開展高風(fēng)險(xiǎn)數(shù)據(jù)處理活動前，宜開展數(shù)據(jù)安全風(fēng)險(xiǎn)評估，高風(fēng)險(xiǎn)數(shù)據(jù)

處理活動包括但不限于:

1)重要數(shù)據(jù)處理者合并、分立、解散、被宣告破產(chǎn)進(jìn)行數(shù)據(jù)轉(zhuǎn)移;

2)承載重要數(shù)據(jù)處理活動的信息系統(tǒng)發(fā)生架構(gòu)調(diào)整、下線等重大變更;

3)基于不同業(yè)務(wù)目的的數(shù)據(jù)匯聚融合;

4)新技術(shù)應(yīng)用可能帶來數(shù)據(jù)安全風(fēng)險(xiǎn)的;

5)法律法規(guī)或有關(guān)部門規(guī)定要評估的情形;

6)其他可能直接危害國家安全、公共利益或者大量組織合法權(quán)益的數(shù)據(jù)處理活動。

c)對于已經(jīng)評估過數(shù)據(jù)安全風(fēng)險(xiǎn)評估的數(shù)據(jù)處理活動，當(dāng)數(shù)據(jù)范圍、數(shù)據(jù)處理活動、環(huán)境、相

關(guān)方等發(fā)生重大變更時，需重新開展數(shù)據(jù)安全風(fēng)險(xiǎn)評估。

d)核能領(lǐng)域重要系統(tǒng)上線前，可根據(jù)實(shí)際需要開展數(shù)據(jù)安全風(fēng)險(xiǎn)評估。

e)國家及行業(yè)主管部門的相關(guān)要求發(fā)生變化時，或在業(yè)務(wù)模式、信息系統(tǒng)、運(yùn)行環(huán)境發(fā)生重大

變更時，或發(fā)生重大數(shù)據(jù)安全事件時，應(yīng)開展數(shù)據(jù)安全風(fēng)險(xiǎn)評估。

4.3事前報(bào)批與風(fēng)險(xiǎn)評估報(bào)送

4.3.1事前報(bào)批

根據(jù)數(shù)據(jù)處理者開展高風(fēng)險(xiǎn)數(shù)據(jù)處理活動前做的數(shù)據(jù)安全風(fēng)險(xiǎn)評估結(jié)果，在降低風(fēng)險(xiǎn)的措施缺失、

處理可能導(dǎo)致高風(fēng)險(xiǎn)的情況下，數(shù)據(jù)處理者在進(jìn)行數(shù)據(jù)處理活動前，應(yīng)當(dāng)向有關(guān)主管部門進(jìn)行事前報(bào)批。

4.3.2風(fēng)險(xiǎn)評估報(bào)送

重要數(shù)據(jù)、核心數(shù)據(jù)的處理者應(yīng)當(dāng)按照規(guī)定對其數(shù)據(jù)處理活動定期開展風(fēng)險(xiǎn)評估，并向有關(guān)主管部

門報(bào)送數(shù)據(jù)安全風(fēng)險(xiǎn)評估報(bào)告。

4.3.3信息提供

在事前咨詢（咨詢模版參考附錄B.2）與風(fēng)險(xiǎn)評估報(bào)告報(bào)送（報(bào)送模版按照有關(guān)主管部門要求）時，

數(shù)據(jù)處理者應(yīng)提供下列信息：

a)涉及的數(shù)據(jù)處理相關(guān)方信息與各自責(zé)任說明；

b)擬進(jìn)行或已經(jīng)進(jìn)行的數(shù)據(jù)處理的目的和方式；

c)重要數(shù)據(jù)或核心數(shù)據(jù)的處理者應(yīng)明確數(shù)據(jù)安全負(fù)責(zé)人，并提供其聯(lián)系方式，非重要數(shù)據(jù)處理者，

提供數(shù)據(jù)安全接口人聯(lián)系方式；

5

T/CNEA***-****

d)數(shù)據(jù)安全風(fēng)險(xiǎn)評估報(bào)告，其中涉及重要數(shù)據(jù)處理的安全風(fēng)險(xiǎn)評估報(bào)告應(yīng)當(dāng)包括處理的重要數(shù)據(jù)

的種類、數(shù)量，開展數(shù)據(jù)處理活動的情況，面臨的數(shù)據(jù)安全風(fēng)險(xiǎn)及其應(yīng)對措施等；

e)監(jiān)管機(jī)構(gòu)要求的其他信息。

4.4評估實(shí)施流程

數(shù)據(jù)安全風(fēng)險(xiǎn)評估實(shí)施流程，主要包括評估準(zhǔn)備、數(shù)據(jù)和數(shù)據(jù)處理活動識別、風(fēng)險(xiǎn)源識別、風(fēng)險(xiǎn)分

析、評估總結(jié)五個階段，如圖1所示:

a)評估準(zhǔn)備:是數(shù)據(jù)安全風(fēng)險(xiǎn)評估的初始預(yù)備階段，在評估實(shí)施前應(yīng)完成評估準(zhǔn)備工作，輸出數(shù)

據(jù)安全風(fēng)險(xiǎn)評估工作方案、前期調(diào)研表單等;

b)要素識別:識別可能影響數(shù)據(jù)安全風(fēng)險(xiǎn)的要素，包括識別數(shù)據(jù)處理者的基本情況、業(yè)務(wù)和信

息系統(tǒng)、數(shù)據(jù)資產(chǎn)、數(shù)據(jù)處理活動、數(shù)據(jù)安全防護(hù)措施。掌握數(shù)據(jù)處理者、業(yè)務(wù)和信息系統(tǒng)

基本情況，摸排涉及的數(shù)據(jù)資產(chǎn)和數(shù)據(jù)處理活動，厘清之間的關(guān)系，了解采取的數(shù)據(jù)安全防

護(hù)措施情況。輸出要素識別清單等，具備條件的，可繪制數(shù)據(jù)流圖。

c)風(fēng)險(xiǎn)識別:基于要素識別情況，通過對數(shù)據(jù)安全管理、數(shù)據(jù)處理活動、數(shù)據(jù)安全技術(shù)等方面

進(jìn)行評估，識別可能存在的風(fēng)險(xiǎn)源，掌握被評估對象或同行業(yè)相關(guān)數(shù)據(jù)安全事件歷史發(fā)生情

況，識別現(xiàn)有安全措施完備性并對其有效性進(jìn)行驗(yàn)證，從而發(fā)現(xiàn)可能存在的數(shù)據(jù)泄露、篡改、

破壞、不合理處理等數(shù)據(jù)安全風(fēng)險(xiǎn)，形成風(fēng)險(xiǎn)評估記錄文檔、技術(shù)評估報(bào)告等。

注：風(fēng)險(xiǎn)源，包括安全威脅利用脆弱性可能導(dǎo)致數(shù)據(jù)安全事件的情形，和數(shù)據(jù)處理活動不合理可能造成的風(fēng)險(xiǎn)隱

患等。

d)安全分析:主要在要素識別和風(fēng)險(xiǎn)識別的基礎(chǔ)上，進(jìn)行數(shù)據(jù)安全分析，輸出數(shù)據(jù)安全風(fēng)險(xiǎn)清

單;

e)評估總結(jié):主要用于編制數(shù)據(jù)安全風(fēng)險(xiǎn)評估報(bào)告，提出風(fēng)險(xiǎn)處置建議，分析殘余風(fēng)險(xiǎn)、風(fēng)險(xiǎn)評

估后評價(jià)。

風(fēng)險(xiǎn)溝通和評估過程文檔管理貫穿于整個風(fēng)險(xiǎn)評估過程。風(fēng)險(xiǎn)評估工作是持續(xù)性的活動，當(dāng)被評估

對象的政策環(huán)境、外部威脅環(huán)境、業(yè)務(wù)目標(biāo)、安全目標(biāo)等發(fā)生變化時，應(yīng)重新開展風(fēng)險(xiǎn)評估。

圖1數(shù)據(jù)安全風(fēng)險(xiǎn)評估實(shí)施流程圖

4.5評估內(nèi)容框架

6

T/CNEA***-****

在要素識別的基礎(chǔ)上，數(shù)據(jù)安全風(fēng)險(xiǎn)評估主要圍繞數(shù)據(jù)處理活動、數(shù)據(jù)安全管理、數(shù)據(jù)安全技術(shù)等

方面開展，評估內(nèi)容框架如圖2所示。

圖2數(shù)據(jù)安全風(fēng)險(xiǎn)評估內(nèi)容框架圖

5核能領(lǐng)域數(shù)據(jù)安全風(fēng)險(xiǎn)評估實(shí)施

5.1評估準(zhǔn)備

5.1.1確定評估目標(biāo)

明確數(shù)據(jù)安全風(fēng)險(xiǎn)評估的目標(biāo)，常見目標(biāo)包括但不限于:

a)對核能領(lǐng)域數(shù)據(jù)處理者的數(shù)據(jù)和數(shù)據(jù)處理活動進(jìn)行全面安全評估，了解處理的數(shù)據(jù)及開展數(shù)

據(jù)處理活動的情況，發(fā)現(xiàn)存在的數(shù)據(jù)安全風(fēng)險(xiǎn)和違法違規(guī)問題，及時防范數(shù)據(jù)安全風(fēng)險(xiǎn)；

b)對重要數(shù)據(jù)處理活動定期開展風(fēng)險(xiǎn)評估，了解處理的重要數(shù)據(jù)的種類、數(shù)量、分布及開展數(shù)

據(jù)處理活動的情況，對面臨的數(shù)據(jù)安全風(fēng)險(xiǎn)及其應(yīng)對措施進(jìn)行評估；

c)對開展共享、交易、委托處理、向境外提供重要數(shù)據(jù)的活動進(jìn)行數(shù)據(jù)安全風(fēng)險(xiǎn)評估，發(fā)現(xiàn)對

外提供重要數(shù)據(jù)可能存在的數(shù)據(jù)安全風(fēng)險(xiǎn)和問題；

d)在開展可能直接影響國家安全、公共利益或者大量組織合法權(quán)益的數(shù)據(jù)處理活動前開展數(shù)據(jù)

安全風(fēng)險(xiǎn)評估，發(fā)現(xiàn)可能存在數(shù)據(jù)安全風(fēng)險(xiǎn)和違法違規(guī)問題；

e)根據(jù)數(shù)據(jù)安全事件和監(jiān)管需求，由國家、行業(yè)或地方主管監(jiān)管部門組織開展數(shù)據(jù)安全評估檢

查，發(fā)現(xiàn)數(shù)據(jù)安全風(fēng)險(xiǎn)和問題。

5.1.2確定評估范圍

根據(jù)評估目標(biāo)確定數(shù)據(jù)安全風(fēng)險(xiǎn)評估的對象、范圍和邊界，明確評估涉及的數(shù)據(jù)資產(chǎn)、數(shù)據(jù)處理活

動、業(yè)務(wù)、信息系統(tǒng)、人員和內(nèi)外部組織等。

數(shù)據(jù)安全風(fēng)險(xiǎn)評估工作主要圍繞數(shù)據(jù)和數(shù)據(jù)處理活動開展，評估范圍可能是組織全部的數(shù)據(jù)及數(shù)據(jù)

處理活動相關(guān)的各類資產(chǎn)和部門，也可能是某個獨(dú)立的業(yè)務(wù)、信息系統(tǒng)、數(shù)據(jù)資產(chǎn)、數(shù)據(jù)處理活動或部

門等。

評估范圍應(yīng)至少包含評估對象開展數(shù)據(jù)處理活動所涉及的最高等級數(shù)據(jù)，以供判斷該評估對象的數(shù)

據(jù)安全風(fēng)險(xiǎn)等級全貌。

7

T/CNEA***-****

核能領(lǐng)域數(shù)據(jù)安全重點(diǎn)評估對象，需增強(qiáng)評估要求，評估范圍應(yīng)包括但不限于以下內(nèi)容：

a)涉及的評估對象應(yīng)包括核能領(lǐng)域核心、重要數(shù)據(jù)處理者，及其與總包方、監(jiān)理方、施工方和

其他技術(shù)和服務(wù)提供單位工作中收集、產(chǎn)生和處理的數(shù)據(jù)；

b)涉及的數(shù)據(jù)應(yīng)包括結(jié)構(gòu)化數(shù)據(jù)和非結(jié)構(gòu)化數(shù)據(jù)。數(shù)據(jù)存儲介質(zhì)應(yīng)包含但不限于磁盤、光盤、

磁帶等電子存儲，數(shù)據(jù)存儲方式包含但不限于本地存儲、私有云及互聯(lián)網(wǎng)公有云存儲等；

c)涉及的數(shù)據(jù)處理活動包括核能領(lǐng)域項(xiàng)目規(guī)劃設(shè)計(jì)、調(diào)研選址、工程建設(shè)和施工、設(shè)備制造和

安裝、系統(tǒng)和設(shè)備調(diào)試、移交接產(chǎn)、運(yùn)營期信息系統(tǒng)運(yùn)行、安全生產(chǎn)及經(jīng)營管理數(shù)據(jù)處理等；

d)涉及的信息系統(tǒng)包括自有及使用其他單位提供的管理類信息系統(tǒng)、生產(chǎn)控制系統(tǒng)、網(wǎng)絡(luò)和信

息化工具軟件，管理類信息系統(tǒng)如各類OA系統(tǒng)、ERP系統(tǒng)、工程管理系統(tǒng)等，生產(chǎn)控制系

統(tǒng)包括核電廠電力監(jiān)控系統(tǒng)、核應(yīng)急系統(tǒng)等。

5.1.3組建評估團(tuán)隊(duì)

根據(jù)評估目標(biāo)和評估范圍，組建數(shù)據(jù)安全風(fēng)險(xiǎn)評估團(tuán)隊(duì)，由評估管理單位、評估方、被評估方等相

關(guān)人員組成，必要時也可邀請有經(jīng)驗(yàn)的數(shù)據(jù)安全專家組成專家組。

a)被評估方通常由組織的數(shù)據(jù)安全負(fù)責(zé)人和安全、法務(wù)、合規(guī)、運(yùn)維、研發(fā)、業(yè)務(wù)、數(shù)據(jù)、風(fēng)

險(xiǎn)等部門相關(guān)人員組成；

b)如需選擇第三方評估機(jī)構(gòu)，應(yīng)按照有關(guān)規(guī)定或標(biāo)準(zhǔn)選擇滿足數(shù)據(jù)安全評估機(jī)構(gòu)能力要求的評

估機(jī)構(gòu)；

c)評估團(tuán)隊(duì)?wèi)?yīng)做好評估前的表格、文檔、評估工具等各項(xiàng)準(zhǔn)備工作，并按照需求簽署保密協(xié)議，

評估團(tuán)隊(duì)在檢查評估中獲取的信息，只能用于評估工作和實(shí)施數(shù)據(jù)安全保護(hù)。

核能領(lǐng)域數(shù)據(jù)安全重點(diǎn)評估對象，需增強(qiáng)評估要求，組建評估團(tuán)隊(duì)?wèi)?yīng)包括但不限于以下內(nèi)容：

a)根據(jù)評估目標(biāo)和評估范圍，數(shù)據(jù)安全風(fēng)險(xiǎn)評估團(tuán)隊(duì)，應(yīng)由核能領(lǐng)域數(shù)據(jù)安全重點(diǎn)評估對象組織包

括本單位、上級公司網(wǎng)絡(luò)安全、數(shù)據(jù)安全團(tuán)隊(duì)、同行、相關(guān)協(xié)會、及其總包方、監(jiān)理方、施工方

和其他技術(shù)和服務(wù)提供單位有經(jīng)驗(yàn)的數(shù)據(jù)安全專家組成，必要時也可邀請當(dāng)?shù)毓?、行業(yè)主管部

委及有經(jīng)驗(yàn)的數(shù)據(jù)安全專家組參與；

b)評估團(tuán)隊(duì)?wèi)?yīng)包含被評估對象所在單位的數(shù)據(jù)安全管理人員和負(fù)責(zé)人員、網(wǎng)絡(luò)安全和信息化專業(yè)人

員、生產(chǎn)控制系統(tǒng)相關(guān)專業(yè)人員、安全管理人員以及相關(guān)的法務(wù)、合規(guī)、業(yè)務(wù)等部門人員，以及

與上述人員工作有密切數(shù)據(jù)往來的總包方、監(jiān)理方、施工方和其他技術(shù)和服務(wù)人員；

c)如需選擇第三方評估機(jī)構(gòu)，應(yīng)按照有關(guān)規(guī)定或標(biāo)準(zhǔn)選擇滿足數(shù)據(jù)安全評估機(jī)構(gòu)能力要求的評估機(jī)

構(gòu)，評估機(jī)構(gòu)應(yīng)該具備能源、電力或核能領(lǐng)域工作相關(guān)評估經(jīng)驗(yàn)；

d)評估團(tuán)隊(duì)人員應(yīng)不少于5人，外部成員應(yīng)不少于60%，評估組長應(yīng)由外部成員擔(dān)任。

5.1.4制定評估方案

根據(jù)評估目標(biāo)、評估范圍和調(diào)研情況，明確數(shù)據(jù)安全風(fēng)險(xiǎn)評估的評估依據(jù)、評估內(nèi)容和評價(jià)準(zhǔn)則，

制定評估方案。

a)確定評估依據(jù)。針對評估目標(biāo)和范圍確定評估依據(jù)，常見評估依據(jù)包括但不限于:

1)數(shù)據(jù)安全法律、行政法規(guī)、司法解釋，如《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》等；

2)國家網(wǎng)信部門、公安機(jī)關(guān)、安全部門等有關(guān)部門的數(shù)據(jù)安全部門規(guī)章、規(guī)范性文件；

3)核能領(lǐng)域主管部門的數(shù)據(jù)安全部門規(guī)章、規(guī)范性文件，如國家發(fā)改委《電力監(jiān)控系統(tǒng)安

全防護(hù)規(guī)定》、國家能源局《電力監(jiān)控系統(tǒng)安全防護(hù)總體方案》、《核電廠網(wǎng)絡(luò)安全技術(shù)

政策》、《能源行業(yè)數(shù)據(jù)分類分級標(biāo)準(zhǔn)規(guī)范》、《能源領(lǐng)域數(shù)據(jù)安全管理辦法》等；

4)地方區(qū)域的數(shù)據(jù)安全政策規(guī)定和監(jiān)管要求，如《福建省大數(shù)據(jù)發(fā)展條例》、《廣東省公共

數(shù)據(jù)管理辦法》、《山東省大數(shù)據(jù)發(fā)展促進(jìn)條例》、《遼寧省大數(shù)據(jù)發(fā)展應(yīng)用條例》等涉及

的地方區(qū)域；

8

T/CNEA***-****

5)現(xiàn)行數(shù)據(jù)安全國家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)、地方標(biāo)準(zhǔn)和團(tuán)體標(biāo)準(zhǔn)等，如《信息安全技術(shù)大數(shù)

據(jù)安全管理指南》、《信息安全技術(shù)重要數(shù)據(jù)識別指南》（征求意見稿）、《信息安全技術(shù)

網(wǎng)絡(luò)數(shù)據(jù)分類分級要求》（征求意見稿）等；

6)被評估方的監(jiān)管單位、上級單位或本單位的數(shù)據(jù)安全、網(wǎng)絡(luò)安全等相關(guān)安全要求。

b)確定評估內(nèi)容。結(jié)合評估目標(biāo)和評估依據(jù)，確定核能領(lǐng)域被評估對象適用的數(shù)據(jù)安全評估內(nèi)

容，明確核心數(shù)據(jù)和重要數(shù)據(jù)的范圍，評估內(nèi)容應(yīng)包括但不限于組織與人員、制度與政策、

信息系統(tǒng)、數(shù)據(jù)對象、數(shù)據(jù)安全相關(guān)的文化、宣傳、培訓(xùn)等外部環(huán)境等。

c)確定評價(jià)準(zhǔn)則。綜合考慮評估的目標(biāo)、范圍、依據(jù)等因素，制定適合于核能領(lǐng)域評估對象的

的風(fēng)險(xiǎn)評價(jià)準(zhǔn)則等。

d)制定評估方案。編制數(shù)據(jù)安全風(fēng)險(xiǎn)評估工作方案并獲得評估管理方的支持、認(rèn)可，方案包括

但不限于評估概述、評估內(nèi)容和方法、評估人員、工作計(jì)劃、調(diào)研評估準(zhǔn)備清單等內(nèi)容。調(diào)

研準(zhǔn)備清單參照附錄B，包括B.1項(xiàng)目相關(guān)方聯(lián)系表、B.2資料收集清單、B.3評估準(zhǔn)備事項(xiàng)。

5.2要素識別

5.2.1數(shù)據(jù)處理者識別

對被評估的數(shù)據(jù)處理者基本情況進(jìn)行調(diào)研，調(diào)研內(nèi)容應(yīng)包括但不限于：

a)單位名稱、組織機(jī)構(gòu)代碼、辦公地址、法人信息、人員規(guī)模、經(jīng)營范圍、數(shù)據(jù)安全負(fù)責(zé)人及

其職務(wù)、聯(lián)系方式等基本信息；

b)單位性質(zhì)，例如企業(yè)、事業(yè)單位、社會團(tuán)體、互聯(lián)網(wǎng)平臺運(yùn)營者、關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者

等；

c)所屬核能領(lǐng)域和業(yè)務(wù)運(yùn)營歸屬地，開展數(shù)據(jù)處理活動所在國家和地區(qū)等。

5.2.2業(yè)務(wù)和信息系統(tǒng)識別

對被評估的業(yè)務(wù)和信息系統(tǒng)基本情況進(jìn)行調(diào)研，調(diào)研內(nèi)容應(yīng)包括但不限于：

a)網(wǎng)絡(luò)和信息系統(tǒng)基本情況，包括網(wǎng)絡(luò)規(guī)模、拓?fù)浣Y(jié)構(gòu)、信息系統(tǒng)等情況和對外連接、運(yùn)營維

護(hù)等情況以及是否為關(guān)鍵信息基礎(chǔ)設(shè)施等情況；

b)業(yè)務(wù)基本信息，包括業(yè)務(wù)描述、業(yè)務(wù)類型、服務(wù)對象、業(yè)務(wù)流程、用戶規(guī)模等基本信息；

c)業(yè)務(wù)是否涉及重要數(shù)據(jù)或核心數(shù)據(jù)處理；

d)識別業(yè)務(wù)的信息系統(tǒng)、App和小程序情況；

e)數(shù)據(jù)中心和使用云平臺情況；

f)識別業(yè)務(wù)接入的外部第三方產(chǎn)品、服務(wù)或SDK的情況，包括名稱、版本、提供方、使用目的、

合同協(xié)議等。

核能領(lǐng)域數(shù)據(jù)安全重點(diǎn)評估對象，需增強(qiáng)評估要求，業(yè)務(wù)和信息系統(tǒng)基本情況調(diào)研內(nèi)容應(yīng)包括但不

限于：

a)業(yè)務(wù)范圍：被評估對象在核能領(lǐng)域項(xiàng)目設(shè)計(jì)、施工、調(diào)試、監(jiān)理，及運(yùn)營生產(chǎn)核心、生產(chǎn)支

持、生產(chǎn)監(jiān)督、經(jīng)營管理、網(wǎng)絡(luò)和信息化工具軟件等相關(guān)的信息系統(tǒng)，以及系統(tǒng)數(shù)據(jù)存儲和

處理情況，并判斷是否涉及重要數(shù)據(jù)或核心數(shù)據(jù)處理，如涉及需要說明處理情況；

b)上述業(yè)務(wù)范圍內(nèi)自有或使用第三方提供的信息系統(tǒng)、App和小程序、工具軟件、SaaS應(yīng)用等，

如OA、工程管理系統(tǒng)、財(cái)務(wù)系統(tǒng)、設(shè)備管理系統(tǒng)、移交接產(chǎn)系統(tǒng)、設(shè)計(jì)管理系統(tǒng)、調(diào)試系統(tǒng)

等；

c)上述業(yè)務(wù)范圍內(nèi)的系統(tǒng)與其他系統(tǒng)的接口情況。

9

T/CNEA***-****

5.2.3數(shù)據(jù)資產(chǎn)識別

針對被評估的業(yè)務(wù)和信息系統(tǒng)，梳理結(jié)構(gòu)化數(shù)據(jù)資產(chǎn)（如數(shù)據(jù)庫表等）和非結(jié)構(gòu)化數(shù)據(jù)資產(chǎn)（如圖

標(biāo)文件等），摸清數(shù)據(jù)底數(shù)，輸出數(shù)據(jù)資產(chǎn)清單。涉及范圍包括但不限于生產(chǎn)環(huán)境、測試環(huán)境、備份存

儲環(huán)境、云存儲環(huán)境、個人工作終端、數(shù)據(jù)采集設(shè)備終端等收集和產(chǎn)生的數(shù)據(jù)。識別內(nèi)容包括但不限于：

a)識別結(jié)構(gòu)化和非結(jié)構(gòu)化數(shù)據(jù)資產(chǎn)清單；

b)識別數(shù)據(jù)分類分級情況，包括數(shù)據(jù)分類分級規(guī)則、數(shù)據(jù)類別、數(shù)據(jù)級別、重要數(shù)據(jù)和核心數(shù)

據(jù)目錄情況等；

c)識別重要數(shù)據(jù)、核心數(shù)據(jù)在業(yè)務(wù)領(lǐng)域、組織、部門和信息系統(tǒng)的分布情況，如數(shù)據(jù)種類、數(shù)

據(jù)量、歸口管理部門、歸口管理人員等、數(shù)據(jù)存儲位置、外送上報(bào)等；

核能領(lǐng)域數(shù)據(jù)安全重點(diǎn)評估對象，需增強(qiáng)評估要求，數(shù)據(jù)范圍應(yīng)包括但不限于：設(shè)計(jì)數(shù)據(jù)、施工數(shù)

據(jù)、設(shè)備數(shù)據(jù)、移交接產(chǎn)數(shù)據(jù)、調(diào)試數(shù)據(jù)，業(yè)務(wù)系統(tǒng)數(shù)據(jù)和信息化管理工具軟件數(shù)據(jù)、生產(chǎn)管理和經(jīng)營

管理數(shù)據(jù)、核心數(shù)據(jù)、重要數(shù)據(jù)和一般數(shù)據(jù)、內(nèi)部數(shù)據(jù)和外部數(shù)據(jù)、以及交易數(shù)據(jù)、主數(shù)據(jù)、指標(biāo)數(shù)據(jù)、

日志數(shù)據(jù)、元數(shù)據(jù)和參考與引用數(shù)據(jù)等。

5.2.4數(shù)據(jù)處理活動識別

針對被評估的業(yè)務(wù)或數(shù)據(jù)，識別開展的數(shù)據(jù)處理活動情況，輸出數(shù)據(jù)處理情況清單。識別內(nèi)容包括

但不限于：

a)數(shù)據(jù)收集情況，如數(shù)據(jù)收集渠道、收集方式、數(shù)據(jù)范圍、收集目的、收集頻率、外部數(shù)據(jù)源、

相關(guān)系統(tǒng)，以及在被評估方外部公共場所安裝圖像采集、個人身份識別設(shè)備的情況等；

b)數(shù)據(jù)存儲情況，如數(shù)據(jù)存儲方式、數(shù)據(jù)中心、存儲系統(tǒng)（如數(shù)據(jù)庫、大數(shù)據(jù)平臺、云存儲、

網(wǎng)盤、存儲介質(zhì)等）、外部存儲機(jī)構(gòu)、存儲地點(diǎn)、存儲期限、備份冗余策略等；

c)數(shù)據(jù)使用和加工情況，如數(shù)據(jù)使用和加工目的、方式、范圍、場景、算法規(guī)則、相關(guān)系統(tǒng)和

部門，數(shù)據(jù)清洗、轉(zhuǎn)換、標(biāo)注等加工情況，核心數(shù)據(jù)、重要數(shù)據(jù)或個人信息委托處理、共同

處理的情況等；

d)數(shù)據(jù)傳輸情況，如數(shù)據(jù)傳輸途徑和方式（如互聯(lián)網(wǎng)、VPN、物理專線等在線通道情況，或采用

介質(zhì)等離線傳輸情況）、傳輸協(xié)議、內(nèi)部數(shù)據(jù)共享、數(shù)據(jù)接口等；

e)數(shù)據(jù)提供情況，如數(shù)據(jù)提供的目的、方式、范圍、數(shù)據(jù)接收方、合同協(xié)議、對外提供的個人

信息和重要數(shù)據(jù)的種類、數(shù)量、范圍、敏感程度、保存期限等；

f)數(shù)據(jù)公開情況，如數(shù)據(jù)公開目的、方式、對象范圍、受眾數(shù)量、組織、地域等；

g)數(shù)據(jù)交易情況，如數(shù)據(jù)交易參與方、交易對象、數(shù)據(jù)商品、數(shù)據(jù)確權(quán)定價(jià)、數(shù)據(jù)交易服務(wù)機(jī)

構(gòu)和交易過程等；

h)數(shù)據(jù)出境情況，如是否存在個人或重要數(shù)據(jù)出境，如跨境業(yè)務(wù)、跨境辦公、境外上市、使用

境外云服務(wù)或數(shù)據(jù)中心、國際交流合作等場景的數(shù)據(jù)出境情況；

i)數(shù)據(jù)銷毀情況，如數(shù)據(jù)銷毀情形、銷毀方式、數(shù)據(jù)歸檔、介質(zhì)銷毀等。

5.2.5安全防護(hù)措施識別

識別安全防護(hù)措施情況，包括但不限于：

a)數(shù)據(jù)安全管理組織、人員及制度情況；

b)數(shù)據(jù)資產(chǎn)及分類分級管理情況；

c)防火墻、入侵檢測、入侵防御等網(wǎng)絡(luò)安全設(shè)備及策略情況；

d)訪問控制和身份鑒別情況；

e)網(wǎng)絡(luò)安全漏洞管理及修復(fù)情況；

f)VPN等遠(yuǎn)程管理軟件的用戶及管理情況；

10

T/CNEA***-****

g)設(shè)備、系統(tǒng)及用戶的賬號或口令管理情況；

h)加密、脫敏、匿名化、去標(biāo)識化等安全技術(shù)應(yīng)用情況。

5.3風(fēng)險(xiǎn)識別

5.3.1概述

數(shù)據(jù)安全風(fēng)險(xiǎn)識別，主要圍繞數(shù)據(jù)安全措施、數(shù)據(jù)安全風(fēng)險(xiǎn)源和不合理處理數(shù)據(jù)風(fēng)險(xiǎn)源，通過對數(shù)

據(jù)安全管理、數(shù)據(jù)處理活動、數(shù)據(jù)安全技術(shù)、個人信息保護(hù)等方面進(jìn)行評估，發(fā)現(xiàn)可能存在的數(shù)據(jù)安全

問題和風(fēng)險(xiǎn)隱患。具體實(shí)施時可按照以下步驟開展：

a）如果被評估方已開展過相關(guān)的評估工作，應(yīng)先對已開展的評估工作結(jié)論進(jìn)行分析；

b）數(shù)據(jù)處理者均應(yīng)針對數(shù)據(jù)處理活動、數(shù)據(jù)安全管理與數(shù)據(jù)安全技術(shù)三方面內(nèi)容進(jìn)行風(fēng)險(xiǎn)評估；

c）梳理各評估項(xiàng)的評估結(jié)果和發(fā)現(xiàn)的風(fēng)險(xiǎn)問題，輸出數(shù)據(jù)安全風(fēng)險(xiǎn)評估記錄。

5.3.2已開展評估工作結(jié)論分析

被評估方應(yīng)當(dāng)按照國家法律法規(guī)、強(qiáng)制性國家標(biāo)準(zhǔn)等文件要求，通過有關(guān)評估。在開展風(fēng)險(xiǎn)評估時，

應(yīng)記錄被評估方應(yīng)開展的評估工作及實(shí)際開展情況，主要包括：

a)數(shù)據(jù)處理活動涉及應(yīng)開展評估工作名稱、要求來源等基本情況；

b)已開展評估工作有效性（指是否由有資質(zhì)機(jī)構(gòu)，按照正常程序開展）；

c)評估內(nèi)容和結(jié)果，及評估工作開展情況；

已開展評估工作情況應(yīng)由被評估方提供證明材料，評估人員通過訪談、檢查、測試等方式驗(yàn)證證明

材料真實(shí)性、有效性。

若評估對象未實(shí)施或通過國家法律法規(guī)、強(qiáng)制性國家標(biāo)準(zhǔn)等文件要求的評估工作，如網(wǎng)絡(luò)安全等級

保護(hù)測評、云計(jì)算服務(wù)安全評估、互聯(lián)網(wǎng)信息服務(wù)算法推薦安全評估、數(shù)據(jù)出境安全評估等，則判定存

在未按要求開展評估工作的安全風(fēng)險(xiǎn)。

5.4安全分析

根據(jù)數(shù)據(jù)安全風(fēng)險(xiǎn)識別評估的評估結(jié)果，對評估對象當(dāng)前數(shù)據(jù)安全現(xiàn)狀、所面臨的數(shù)據(jù)安全問題，

按嚴(yán)重程度及主要安全風(fēng)險(xiǎn)情況等進(jìn)行分析，安全風(fēng)險(xiǎn)等級劃分標(biāo)準(zhǔn)見9.1，并提出相應(yīng)改進(jìn)建議。數(shù)

據(jù)安全評估牽頭部門就以上評估結(jié)果、安全分析及安全建議等情況組織本機(jī)構(gòu)內(nèi)部審核和確認(rèn)工作，并

會同評估團(tuán)隊(duì)各參與方形成最終安全分析結(jié)論。

5.5評估總結(jié)

5.5.1編制評估報(bào)告

對評估結(jié)果進(jìn)行分析總結(jié)，編制數(shù)據(jù)安全風(fēng)險(xiǎn)評估報(bào)告(報(bào)告模板參見附錄C.1)。評估報(bào)告的內(nèi)容

應(yīng)包括但不限于以下內(nèi)容：

a)評估報(bào)送單位真實(shí)性承諾；

b)單位評估工作組織情況、評估時間安排情況、參與人員情況；

c)評估概述，包括評估目的及依據(jù)，評估對象和范圍，評估結(jié)論概要；

d)被評估方基本信息，業(yè)務(wù)、信息系統(tǒng)情況；

e)已開展安全評估結(jié)果分析；

f)數(shù)據(jù)處理活動安全風(fēng)險(xiǎn)識別。包括數(shù)據(jù)收集、存儲、傳輸、使用和加工、提供、公開、刪除

等方面安全風(fēng)險(xiǎn)識別情況；

g)數(shù)據(jù)安全管理風(fēng)險(xiǎn)識別，包括數(shù)據(jù)安全制度流程、組織管理、分類分級、人員安全管理、數(shù)

據(jù)合作方管理、數(shù)據(jù)安全應(yīng)急、數(shù)據(jù)安全投訴舉報(bào)等方面風(fēng)險(xiǎn)識別情況；

11

T/CNEA***-****

h)數(shù)據(jù)安全技術(shù)風(fēng)險(xiǎn)識別，包括身份鑒別與訪問控制、數(shù)據(jù)安全監(jiān)控與審計(jì)、數(shù)據(jù)脫敏、數(shù)據(jù)

防泄漏、數(shù)據(jù)接口安全等技術(shù)安全風(fēng)險(xiǎn)識別情況，及相關(guān)技術(shù)手段完備性、有效性；

i)安全分析，基于數(shù)據(jù)資產(chǎn)及處理活動，結(jié)合評估情況，對評估對象當(dāng)前數(shù)據(jù)安全現(xiàn)狀、所面

臨的數(shù)據(jù)安全問題，按嚴(yán)重程度及主要安全風(fēng)險(xiǎn)情況等進(jìn)行分析，說明安全問題數(shù)目，填寫“核

能領(lǐng)域數(shù)據(jù)安全問題清單”(清單模版參考附件B.3)；

j)風(fēng)險(xiǎn)處置情況，依據(jù)不同評估方式風(fēng)險(xiǎn)處置要求，說明風(fēng)險(xiǎn)處置情況；

k)數(shù)據(jù)安全風(fēng)險(xiǎn)評估過程的關(guān)鍵記錄和證據(jù)，應(yīng)在附錄中列出。若不方便在附錄中完整列出，

應(yīng)在附錄中列出證據(jù)關(guān)鍵信息和序號，在提交評估報(bào)告時作為附件一并提交。涉及重要數(shù)據(jù)

的，應(yīng)當(dāng)詳細(xì)列出處理的重要數(shù)據(jù)的種類、數(shù)量，開展數(shù)據(jù)處理活動的情況，面臨的數(shù)據(jù)安

全風(fēng)險(xiǎn)及其應(yīng)對措施等。

5.5.2風(fēng)險(xiǎn)處置建議

評估人員結(jié)合實(shí)際情況，對發(fā)現(xiàn)的數(shù)據(jù)安全風(fēng)險(xiǎn)提出處置建議，酌情指導(dǎo)數(shù)據(jù)處理者整改。數(shù)據(jù)處

理者按照組織的風(fēng)險(xiǎn)接受規(guī)則，制定相應(yīng)的數(shù)據(jù)安全風(fēng)險(xiǎn)處置方案。常見數(shù)據(jù)安全風(fēng)險(xiǎn)處置措施包括不

限于以下選項(xiàng)：

a)停止收集某些類型的數(shù)據(jù)；

b)預(yù)處理階段對某些類型數(shù)據(jù)進(jìn)行銷毀；

c)縮小處理范圍；

d)縮短存儲期限；

e)采取額外的技術(shù)措施；

f)加強(qiáng)對應(yīng)數(shù)據(jù)處理活動崗位人員培訓(xùn)；。

g)匿名化、去標(biāo)識化；

h)完善管理制度；

i)采用其他數(shù)據(jù)處理技術(shù)；

j)補(bǔ)充簽署協(xié)議（針對數(shù)據(jù)轉(zhuǎn)移）；

k)修訂隱私條款。

5.5.3殘余風(fēng)險(xiǎn)分析

評估人員根據(jù)數(shù)據(jù)處理者決定的風(fēng)險(xiǎn)處置措施，結(jié)合風(fēng)險(xiǎn)識別和評估方法，預(yù)判措施有效性和殘余

風(fēng)險(xiǎn)，形成記錄。

5.5.4風(fēng)險(xiǎn)評估后評價(jià)

風(fēng)險(xiǎn)評估后評價(jià)是在被評估方完成殘余風(fēng)險(xiǎn)處置后，由評估方對風(fēng)險(xiǎn)處置結(jié)果的跟蹤、評價(jià)、總結(jié)

經(jīng)驗(yàn)，并反饋到數(shù)據(jù)安全風(fēng)險(xiǎn)評估相關(guān)方、促進(jìn)評估方和被評估方數(shù)據(jù)安全風(fēng)險(xiǎn)評估活動效果持續(xù)提升、

結(jié)束本次數(shù)據(jù)安全風(fēng)險(xiǎn)評估活動的閉環(huán)管理機(jī)制。

6數(shù)據(jù)處理活動風(fēng)險(xiǎn)評估

依據(jù)核能領(lǐng)域數(shù)據(jù)分類分級規(guī)范與方法，梳理生產(chǎn)與管理業(yè)務(wù)數(shù)據(jù)流，并結(jié)合數(shù)據(jù)資產(chǎn)清單及數(shù)據(jù)

分級情況，對業(yè)務(wù)必須最小數(shù)據(jù)集、生命周期各環(huán)節(jié)的數(shù)據(jù)處理活動安全合規(guī)情況進(jìn)行分析和判斷，對

數(shù)據(jù)生命周期各環(huán)節(jié)數(shù)據(jù)安全保護(hù)措施的落地情況及其有效性進(jìn)行驗(yàn)證。

數(shù)據(jù)處理活動風(fēng)險(xiǎn)評估內(nèi)容見表1。

表1數(shù)據(jù)處理活動風(fēng)險(xiǎn)評估內(nèi)容

12

T/CNEA***-****

序號風(fēng)險(xiǎn)識別類別風(fēng)險(xiǎn)識別說明重點(diǎn)評估內(nèi)容結(jié)果判定

1.是否存在竊取或者以其他非法方式收集數(shù)

據(jù)的情況。

2.數(shù)據(jù)收集活動是否得到合法授權(quán)。

3.是否在法律、行政法規(guī)規(guī)定的目的和范圍

內(nèi)收集數(shù)據(jù)。

4.是否通過合同協(xié)議等方式，約定從外部機(jī)

構(gòu)收集的數(shù)據(jù)范圍、收集方式、使用目的、

授權(quán)同意和安全措施等內(nèi)容。

5.是否對外部數(shù)據(jù)源和外部收集數(shù)據(jù)進(jìn)行鑒

別和記錄。

6.是否存在從非法、假冒的外部數(shù)據(jù)源收集

數(shù)據(jù)收集安全風(fēng)險(xiǎn)識偽造、不真實(shí)數(shù)據(jù)風(fēng)險(xiǎn)。

別，主要從數(shù)據(jù)收集合7.是否對外部數(shù)據(jù)源和外部收集數(shù)據(jù)的合法結(jié)果評價(jià):

法正當(dāng)性、間接收集數(shù)性、安全性和授權(quán)同意情況進(jìn)行審核。符合:滿足左列第1

據(jù)安全、自動收集數(shù)據(jù)8.是否制定數(shù)據(jù)質(zhì)量管理制度，明確數(shù)據(jù)質(zhì)至14項(xiàng)。

安全、數(shù)據(jù)質(zhì)量管理等量管理要求?；痉希簼M足左列第

1.數(shù)據(jù)收集安全

方面進(jìn)行評估，發(fā)現(xiàn)可9.是否明確了關(guān)于數(shù)據(jù)清洗、轉(zhuǎn)換和加載等1至14項(xiàng)中的至少12

能存在的數(shù)據(jù)收集安全行為的安全要求。項(xiàng)；

風(fēng)險(xiǎn)和違法違規(guī)問題，10.是否建立數(shù)據(jù)質(zhì)量監(jiān)控措施，對異常數(shù)據(jù)不符合:不滿足左列超

掌握數(shù)據(jù)安全防護(hù)措施及時告警或更正。過2項(xiàng)。

部署情況。11.是否能夠?qū)κ占瘮?shù)據(jù)真實(shí)性、準(zhǔn)確性、安

全性進(jìn)行校驗(yàn)。

12.使用系統(tǒng)批量采集數(shù)據(jù)時，是否采用摘

要、消息認(rèn)證碼、數(shù)字簽名等密碼技術(shù)確

保采集過程數(shù)據(jù)的完整性。

13.是否進(jìn)行日志記錄，并采取技術(shù)措施確

保數(shù)據(jù)來源的可追溯性。

14.采集重要核心數(shù)據(jù)時，是否結(jié)合口令密

碼、設(shè)備指紋、設(shè)備物理位置、網(wǎng)絡(luò)接

入方式、設(shè)備風(fēng)險(xiǎn)情況等多種因素對數(shù)

據(jù)采集設(shè)備或系統(tǒng)的真實(shí)性進(jìn)行增強(qiáng)驗(yàn)

證。

1.是否根據(jù)相應(yīng)的數(shù)據(jù)類別和級別采取相應(yīng)

結(jié)果評價(jià):

數(shù)據(jù)存儲安全風(fēng)險(xiǎn)識的存儲方式和安全措施，如加密存儲、去

符合:滿足左列第1

別，主要從邏輯存儲安標(biāo)識化存儲等。

至10項(xiàng)。

全、存儲介質(zhì)安全等方2.是否對數(shù)據(jù)處理活動涉及到的系統(tǒng)進(jìn)行安

基本符合：滿足左列第

面進(jìn)行評估，發(fā)現(xiàn)可能全防護(hù)，能夠具備網(wǎng)絡(luò)攻擊等事件的防護(hù)

2.數(shù)據(jù)存儲安全10項(xiàng)，以及第1至9

存在的數(shù)據(jù)存儲安全風(fēng)能力。

項(xiàng)中的至少7項(xiàng)。

險(xiǎn)和違法違規(guī)問題，掌3.是否對數(shù)據(jù)存儲系統(tǒng)配置掃描工具，定期

不符合:不滿足左列第

握數(shù)據(jù)安全防護(hù)措施部對主要數(shù)據(jù)存儲系統(tǒng)的安全配置進(jìn)行掃

1至9中的多項(xiàng)，或不

署情況。描，以保證其符合安全基線要求。

滿足左列第10項(xiàng)。

4.是否對數(shù)據(jù)存儲系統(tǒng)進(jìn)行訪問權(quán)限管理，

13

T/CNEA***-****

根據(jù)數(shù)據(jù)的類別和級別以及訪問人員應(yīng)用

的角色進(jìn)行權(quán)限的分配和管理。

5.是否對存儲介質(zhì)的訪問和使用行為進(jìn)行記

錄和審計(jì)。

6.是否對存儲介質(zhì)的性能進(jìn)行監(jiān)控，包括存

儲介質(zhì)的使用歷史、性能指標(biāo)、或損壞情

況，對超過安全閾值的存儲介質(zhì)進(jìn)行預(yù)警。

7.保存數(shù)據(jù)的信息系統(tǒng)，其網(wǎng)絡(luò)安全建設(shè)及

監(jiān)督管理是否滿足網(wǎng)絡(luò)安全等級保護(hù)相應(yīng)

要求。

8.是否對數(shù)據(jù)存儲區(qū)域進(jìn)行規(guī)劃，并對不同

區(qū)域之間的數(shù)據(jù)流動進(jìn)行安全管控。

9.是否對生產(chǎn)數(shù)據(jù)采取實(shí)時備份與異步備

份、增量備份與完全備份的方式，提供本

地?cái)?shù)據(jù)備份與恢復(fù)功能。

10.是否將我國境內(nèi)產(chǎn)生的核能領(lǐng)域數(shù)據(jù)存儲

在我國境內(nèi)（國家及行業(yè)主管部門另有規(guī)

定的除外）。

1.是否在數(shù)據(jù)通信兩端采取身份鑒別機(jī)制，

確保數(shù)據(jù)傳輸?shù)筋A(yù)期目標(biāo)。

2.數(shù)據(jù)傳輸已使用安全的密碼算法，無MD5、

DES-CBC、SHA1等不安全的算法不安全算

法應(yīng)用

數(shù)據(jù)傳輸安全風(fēng)險(xiǎn)識

3.是否具備數(shù)據(jù)傳輸雙方抗抵賴性、數(shù)據(jù)完

別，主要從數(shù)據(jù)傳輸過結(jié)果評價(jià):

整性校驗(yàn)措施

程中通信雙方身份識符合:滿足左列第1

4.是否根據(jù)國家相關(guān)法律法規(guī)中關(guān)于數(shù)據(jù)傳

別、數(shù)據(jù)傳輸雙方的抗至6項(xiàng)。

輸?shù)南嚓P(guān)要求設(shè)計(jì)相應(yīng)的數(shù)據(jù)傳輸策略，

抵賴性、數(shù)據(jù)的保密性、基本符合：滿足左列的

保證數(shù)據(jù)傳輸?shù)暮侠硇浴?/p>

完整性及可用性保護(hù)、1至3項(xiàng)

3.數(shù)據(jù)傳輸安全5.是否依據(jù)數(shù)據(jù)分類分級結(jié)果制定不同級別

數(shù)據(jù)傳輸安全策略等方不符合:不滿足左列第

數(shù)據(jù)的傳輸安全策略。

面進(jìn)行評估，發(fā)現(xiàn)可能1至6項(xiàng)中的多項(xiàng)或

6.是否建立對傳輸加密算法配置、變更、管

存在的數(shù)據(jù)傳輸安全風(fēng)不滿足1、2項(xiàng)。

理等操作過程的審核和監(jiān)管機(jī)制。

險(xiǎn)和違法違規(guī)問題，掌

7.是否具備數(shù)據(jù)傳輸安全策略有效性審計(jì)措

握數(shù)據(jù)安全防護(hù)措施部

施，當(dāng)發(fā)生策略失效的情況時，能夠及時

署情況。

向管理員提供告警或提示。

8.是否對重要數(shù)據(jù)的傳輸行為進(jìn)行記錄和審

計(jì)。

9.是否對數(shù)據(jù)傳輸、接收行為的記錄和審計(jì)

情況進(jìn)行定期檢查。

數(shù)據(jù)使用和加工安全風(fēng)1.是否對待加工數(shù)據(jù)的來源可靠性、合規(guī)性結(jié)果評價(jià):

數(shù)據(jù)使用和加險(xiǎn)識別，主要從數(shù)據(jù)來以及待加工數(shù)據(jù)的范圍和等級進(jìn)行確認(rèn)，符合:滿足左列第1

4.

工安全源合法性、數(shù)據(jù)正當(dāng)使保證數(shù)據(jù)的來源可靠、合規(guī)、數(shù)據(jù)的范圍至7項(xiàng)。

用、數(shù)據(jù)導(dǎo)入導(dǎo)出安全、及等級在本次處理的范圍內(nèi)基本符合：滿足左列的

14

T/CNEA***-****

數(shù)據(jù)處理環(huán)境安全、數(shù)2.是否在數(shù)據(jù)使用和加工過程中對敏感數(shù)據(jù)1至3項(xiàng)

據(jù)加工安全及數(shù)據(jù)加工進(jìn)行脫敏處理。不符合:不滿足左列第

過程監(jiān)督等方面進(jìn)行評3.是否對數(shù)據(jù)導(dǎo)入導(dǎo)出的終端設(shè)備、用戶或1至7項(xiàng)中的多項(xiàng)或

估，發(fā)現(xiàn)可能存在的數(shù)服務(wù)組件執(zhí)行有效的訪問控制，以確保其不滿足1、2項(xiàng)。

據(jù)使用和加工安全風(fēng)險(xiǎn)身份的真實(shí)性和合法性，并對相關(guān)行為導(dǎo)

和違法違規(guī)問題，掌握入導(dǎo)出行為進(jìn)行定期審計(jì)。

數(shù)據(jù)安全防護(hù)措施部署4.是否建立數(shù)據(jù)使用和加工的安全管理制

情況度，不限于數(shù)據(jù)使用正當(dāng)性、數(shù)據(jù)資源申

請、數(shù)據(jù)導(dǎo)出、數(shù)據(jù)分析需求等制度流程。

5.是否建立不同級別的數(shù)據(jù)權(quán)限申請審批流

程，確保數(shù)據(jù)正當(dāng)使用。

6.是否記錄并保存數(shù)據(jù)使用過程中對重要數(shù)

據(jù)的操作行為。

7.是否對數(shù)據(jù)加工過程進(jìn)行必要的監(jiān)督和檢

查，確保加工過程的數(shù)據(jù)安全性

1.數(shù)據(jù)提供過程中，不存在未采取保護(hù)措施

或保護(hù)措施不足，造成數(shù)據(jù)的破壞、泄露

或篡改的情況。

2.數(shù)據(jù)提供過程中，不存在未根據(jù)國家或行

業(yè)有關(guān)要求進(jìn)行分類分級管理的情況。

3.數(shù)據(jù)提供過程中，不存在未按要求進(jìn)行審

批的情況。

4.數(shù)據(jù)提供方和接收方，在提供前已簽署數(shù)

據(jù)提供協(xié)議，明確相關(guān)方安全責(zé)任等情況

數(shù)據(jù)提供安全風(fēng)險(xiǎn)識結(jié)果評價(jià):

（對于有關(guān)監(jiān)管部門照行業(yè)監(jiān)管要求統(tǒng)一

別，主要從數(shù)據(jù)提供合完全符合:滿足左列第

執(zhí)行）。

法正當(dāng)必要、數(shù)據(jù)提供1至11項(xiàng)。

5.在數(shù)據(jù)提供前，對接收方的數(shù)據(jù)安全能力

安全管理、數(shù)據(jù)提供安基本符合：至少滿足左

進(jìn)行調(diào)查評估。

全技術(shù)、數(shù)據(jù)接收方安列第1、2、3、4、6、8、

5.數(shù)據(jù)提供安全6.數(shù)據(jù)提供協(xié)議中明確提供的范圍、使用方

全等方面進(jìn)行評估，發(fā)等6項(xiàng)

式、時限、用途以及相應(yīng)的安全保護(hù)措施、

現(xiàn)可能存在的數(shù)據(jù)提供不符合:不滿足左列1、

違約責(zé)任。

安全風(fēng)險(xiǎn)和違法違規(guī)問2、3、4、6、8、9等6

7.針對數(shù)據(jù)提供相關(guān)安全事件制定應(yīng)急響應(yīng)

題，掌握數(shù)據(jù)安全防護(hù)項(xiàng)中的1項(xiàng)或者多項(xiàng)。

預(yù)案。

措施部署情況

8.不存在未經(jīng)授權(quán)將數(shù)據(jù)提供給組織外或非

授權(quán)場景業(yè)務(wù)的情況。

9.不存在提供超時、超量、超數(shù)據(jù)類型向數(shù)

據(jù)接收方提供合同約定外數(shù)據(jù)的情況。

10.實(shí)施數(shù)據(jù)提供行為記錄、抗抵賴等措施。

11.如存在數(shù)據(jù)公開需求，則應(yīng)建立數(shù)據(jù)公開

的相關(guān)技術(shù)工具（如：數(shù)據(jù)發(fā)布系統(tǒng)），

能夠?qū)_數(shù)據(jù)登記、用戶注冊等進(jìn)行驗(yàn)

證。

6.數(shù)據(jù)公開安全數(shù)據(jù)公開安全風(fēng)險(xiǎn)識1.對核行業(yè)監(jiān)管部門明確規(guī)定需要保密的內(nèi)結(jié)果評價(jià):

15

T/CNEA***-****

別，主要從數(shù)據(jù)公開安容不得進(jìn)行公開。完全符合:滿足左列第

全管理、敏感信息公開2.制定數(shù)據(jù)公開管理制度和操作