为贯彻落实《网络安全法》《数据安全法》《个人信息保护法》《上海市数据条例》等法律法规，推动建立我市网络数据安全风险评估机制，提升全市数据安全防护能力和水平，2023年8月至12月，市委网信办会同中国电子技术标准化研究院、上海市信息安全测评认证中心成立试点工作组，组织开展了网络数据安全风险评估试点工作，遴选出一批试点优秀单位和试点优秀案例。
今天分享杨浦区大数据中心、杨浦区委网信办试点优秀案例——《风险评估的多重技术验证及应用》。
本案例围绕杨浦区大数据中心的“家庭医生”“信易贷”两个场景，探索运用全面验证再评估、全面分析再细化、全面复盘再梳理的“三全”工作法对两个场景下的数据安全管理、数据处理活动安全、数据安全技术、个人信息保护等方面开展风险评估，阐述了通过数据安全风险评估优化工作流程，整合技术工具等方式，多重验证数据安全管理、技术措施落实情况。在此次风险评估工作中所形成的“三全”工作法对此类场景的风险评估具有一定参考意义，同时对整体评估工作流程也具有借鉴意义。
风险评估的多重技术验证及应用
（节选）
1、总体评估情况
杨浦区大数据中心通过数字化转型、体系化建设有效支撑了区域数据的安全流通与高效利用。杨浦区大数据中心针对数据安全风险已采取并具备相应的安全机制，参照相关国家标准、地方规定、行业规范，建立了相对完善的数据安全管理体系，遵循最小化原则处理数据，具备相对完善的网络数据安全技术能力，对于数据生命周期各阶段有技术管控措施，有明确的个人信息安全管理规范。
本次对“家庭医生”“信易贷”两个应用场景的数据安全管理体系、数据处理活动安全、数据安全技术、个人信息保护等方面开展风险评估和分析。在评估过程中，沉淀了数据安全风险评估经验，有助于同类场景进行快速核验，为后续其他数据业务场景、区数据安全检查提供有效技术支撑，并根据实际需求，结合定期进行风险评估“发现问题、解决问题”的方式，推进“以评促改、以评促建”。
1）全面验证再评估
本次风险评估工作通过对技术工具的整合、利用数据安全的技术工具以及多重验证目前数据安全管理、技术措施落实情况，并沉淀输出技术验证文档若干份。
本次评估优化了工作流程，通过技术工具的多重验证，对应用场景的信息调研进行了更为准确和客观的评估，解决了以往风险评估工作中过度依赖问卷调研、主观性强且效率较低的问题。
例一：通过已有的分类分级技术工具快速完成数据的打标工作，提高自动化程度。通过已部署的分类分级工具，自动化梳理两类场景中的分类分级情况，并将每次梳理完的结果进行学习、复用，不断提高工具的准确度和自动化程度。
图1 “家庭医生”数据分类分级扫描结果（一）
图2 “家庭医生”数据分类分级扫描结果（二）
图4 “信易贷”数据分类分级扫描结果（二）
在本次试点工作中，对于数据安全风险识别进行了四个大类的系统性调研，涵盖数据安全管理、数据处理活动、数据安全技术、个人信息处理，主要包括：风险调研问题、核查记录流程、用户权限进行系统的梳理。
例二：通过探索采用权限探测脚本的方式，更客观地检查了目前高权限账号的情况。通过脚本方式进行技术验证的结果，可以验证目前在用户权限管理上较为严格，权限账号也仅有查询权限，此控制行为可有效预防特权账号的删库、拖库等行为的发生。（表1为展示内容）
表1 数据库用户高权限列表
例三：通过利用已有的安全监测工具，直观地呈现场景中的接口访问情况，比传统通过应用逐个梳理的方式效率有明显提升，并且能够更加直观呈现每个接口的访问行为，一方面有助于安全运维人员去判断接口访问行为中，是否涉及到撞库、爆破等恶意行为，也为后续的接口的权限管控、审计溯源提供技术能力支撑，如下图所示：
图5 API安全监测扫描结果
例四：对于数据安全可能产生的风险，仅通过人为检查可能会产生风险排查纰漏情况，但通过利用已有的数据安全风险分析监测工具，也能更有效且实时常态化进行风险指标监控。
对应用场景的访问身份进行详细梳理通过对应指标的分析和统计，可以记录访问情况，查看访问的身份是否存在高危、敏感操作，并对这些行为的执行情况进行详细梳理，为后续工作提供技术支撑依据，如下图所示：
图6 数据安全风险分析监测扫描结果
2）全面分析再细化
初步建立网络数据安全风险评估模型，通过对场景常见核验问题进行了进一步细化，整个评估工作中评估风险细项：398项，筛选提出不适用项：102项，简化了后续开展数据风险评估工作的难度，也通过此次试点工作的经验积累整理数据安全核查清单，输出了核验问题50项。不仅有助于同类场景进行快速的核验验证，也为支撑本单位其他场景、区数据安全检查提供参考经验，缩短调研实践，提高效率。
3）全面复盘再梳理
除上述2个典型场景的数据安全能力评估，通过本次试点工作的开展，也总结梳理了整个风险评估工作的工作流程，沉淀了相关的风险评估的工作手册。将归集、治理、加工数据的处理活动中常见的安全风险项和问题清单，参照合规指引沉淀了相对标准的数据安全问题调研清单并进行优先级的标注。也将本次评估工作中涉及到的用户权限探测脚本、数据库基线检查脚本内置在了检查工具中，为后续杨浦区开展数据安全检查工作提供技术支撑和实践经验。
图7 数据安全问题调研清单示例
图8 数据安全问题调研新增流程
图9 数据库权限探测示例
目前方法要点如下：
1）整个风险评估工作中，将问题调研和技术工具的验证结合起来。仅通过问卷调研的方式得到的评估结果，存在评估周期长、过于主观等问题，所以要充分利用已有的工具，对数据资产台账、分类分级情况、数据权限情况等进行二次验证。
2）有效筛选进行评估的问题，提高评估效率。本次试点工作中，依照严格的评估标准，共计调研风险问题项：398项，但在实际调研过程中，有102项都是不涉及杨浦区大数据中心的实际情况，所以在组织多方人员进行问卷访谈之前，需要由对组织情况有一定了解的人员对问题调研项进行初筛，确保评估工作开展的有效性。
3）在数据安全的建设中，建立健全的数据安全管理制度，明确数据安全的指导原则、责任分配和操作流程可以更有效的保障数据全生命周期活动中的规范。
4）在人员管理方面，严格实施人员管理措施，特别是对特权账户和外包服务人员的管理，确保只有授权人员才能访问敏感数据。同时，随着业务、数据资产变化，进行定期的策略调优，如数据库审计、数据运营平台等安全设备来增强数据安全技术监控与防护能力。
5）通过定期风险评估方式，一方面提高参与人员的数据安全意识；另一面通过持续监控和定期进行数据安全评估、培训和演练，及时发现安全威胁和漏洞，提高相关人员的安全意识和应急处理能力。
试点工作中总结出的经验规律主要有以下4点：
1）对于数据安全风险评估工作，需要进行全方位的考虑。从物理安全、网络安全到应用层面的安全，每个层面都不可忽视，任何一个环节的风险隐患没有及时发现，都会引起数据安全问题，所以数据安全风险评估工作一定要综合考虑整体环境、处理活动中会碰到的管理、技术、流程等风险。
2）数据安全是一个动态的过程，需要不断地监测、评估和调整策略。对于数据安全风险，既需要组织具备常态化的风险威胁监测，也需定期组织第三方来进行检查评估整体情况，对已有的安全措施进行更新和升级。
3）数据安全责任的明确至关重要。特别是在像大数据中心这样的公共数据处理单位，涉及到了多方参与的环境中，如何明确各方的责任和义务，是保障数据安全的关键的一环。只有通过不断的评估、改进、优化、迭代、闭环，才能保障杨浦区大数据中心形成更安全的数据流通枢纽，为公共数据更安全地共享互通、利用效能提供高效支撑。
4）数据安全需要通过建立健全的管理制度和流程来保障数据安全。随着国家行业层面制度不断进行更新和完善，组织和系统也应根据国家要求及行业要求及时进行制度的更新和完善，确保数据操作环节合法合规，保障系统业务数据可持续性发展。
来源：网信上海