《信息安全技术 个人信息安全 第5部分：风险管理指南》.pdfVIP

信息安全技术个人信息安全第5部分：风险管理指南

1范围

本文件为个人信息安全管理体系构建、实施、运行中实施风险管理提供指导和帮助。

本文件适用于个人信息管理者内关注个人信息安全的各级管理者和员工，及为个人信息安全管理

体系构建、实施和运行提供支持的相关组织。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，

仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本

文件。

DB21/TXXXX信息安全技术个人信息安全术语

DB21/T1628.1信息安全技术个人信息安全第1部分：要求

DB21/T1628.2信息安全技术个人信息安全第2部分：实施指南

DB21/T1628.4信息安全技术个人信息安全第4部分：文档管理指南

3术语和定义

DB21/TXXXX界定的以及下列术语和定义适用于本文件。

风险risk

从事某项特定活动中存在的不确定性对活动目标的影响。

资源resources

信息、信息系统、生产、服务、人员、信誉等有价值的资产。

个人信息安全风险personalinformationsecurityrisk

个人信息收集、存储、管理、处理、使用、利用等存在导致安全事件发生并产生相应影响的缺陷和

漏洞。

注1：本文件所指“风险”均为“个人信息安全风险”。

风险管理riskmanagement

评估各种可能危害个人信息和个人信息主体权益的风险，采取适当的措施有效处置风险。以最小的

经济代价，实现最大安全保障的科学管理方法。

风险识别riskidentification

发现、记录、描述危害个人信息和个人信息主体权益的风险因素的过程。

风险评估riskassessment

1

识别风险因素，分析风险因素的危害，判断风险因素导致安全事件的可能性和可能产生的影响。

风险规避riskavoidance

采取有效的管理、技术措施，或更改风险管理计划，消除风险或风险发生的条件。

风险弱化riskmitigation

采取有效的管理、技术措施，将风险和可能的影响降低到可以接受的水平。

风险转移risktransfer

与其它管理体系、或与其它相关组织分担风险损失和影响。

风险接受riskacceptance

可接受的风险损失和影响。

残余风险residualrisk

实施风险管理，采取安全措施后，仍然可能存在的风险。

4要求

本文件遵循DB21/T1628.1确立的个人信息管理原则和要求，亦遵循DB21/T1628.2确立的实施

细则，重点描述和指导个人信息安全管理体系构建、实施、运行中个人信息安全风险的评估、处理、监

控和持续的过程改进。

实施个人信息安全风险管理，应同时使用DB21/T1628.1、DB21/T1628.2和本文件，并参照DB21/T

1628系列其它标准。

5风险因素

个人信息安全风险因素主要包括：

a)危险因素：存在可能突发或瞬时发生个人信息危害的因素；

b)危害因素：逐渐累积形成个人信息危害的因素等。

示例1：危险因素的示例：

1)自然灾害；

2)载有个人信息的介质突然丢失；

3)IT设施突然受到攻击等。

危险因素分为可以预测的和不可预知的，可预测的应有必要的预防措施；不可预测的应有应急机制。

注1：注：危险因素和危害因素是相对的，在一定条件下可能转化。当弱化个人信息安全管理时，危害因素逐渐累积，

可能转变为危险因素；如果重视个人信息安全管理，则有可能规避、弱化可能存在的危险因素，并逐步降低风

险等级，直至消弭。

示例2：危害因素的示例：

1)个人信息管理缺陷；

2)个人信息匿名化缺陷；

3)个人信息安全管理缺陷等。

2

6风险类别

根据危险或危害因素分类，便于识别和分析个人信息安全风险。按照风险发生