数据安全风险识别方法、安全风险评估报告模板.pdfVIP

T/CSASXXXX—2025

附录A

（规范性）

数据安全风险识别方法

本附录给出了常见的数据安全风险识别方法，在数据安全风险识别时候可参考表A.1的内容。

表A.1重点评估内容

检查项检查点检查类别检查方法

1)访谈相关人员，询问企业已收集哪些用户个人电子信息，

访谈了解收集目的;

文档检查2)检查用户协议内容中，是否包含收集用户个人电子信息

信息采集合正当、明确的目的;

法正当1)检查系统存储了哪些用户个人电子信息，并与收集目的

比对看是否合理、一致;

登陆检查

2)查看业务系统获取用户同意的方式方法，是否是主动勾

选。

1）通过访谈形式获悉企业收集用户个人电子信息的类别及

访谈字段;

2）通过访谈形式了解企业收集用户个人电子信息的手段;

信息采集最1)对于涉及到用户信息收集系统，新建测试账号，在注册，

小化原则使用过程中通过代理抓包测试，分析系统收集用户信息字

安全测试段;

用户个2)与用户协议中告知部分的收集目的进行对比验证，查验

人信息是否只收集最少信息字段;

收集1)在采集外部客户、合作伙伴等相关方的数据的过程中，

文档检查

是否明确采集数据的目的和用途;

1)访谈相关人员，询问企业收集用户个人电子信息的方式、

类别、留存期限及保护措施等;

2)检查用户协议内容中，对于收集用户个人电子信息的部

分，是否明确告知如下事项:

a)收集用户个人电子信息的目的、方式、类别和留存时限:

信息采集目

b）用户个人电子信息的使用范围，包括披露或向其他组织

的用途访谈

和机构提供其用户个人电子信息的范围;

文档检查

c)用户个人电子信息的保护措施;

d)提供用户个人电子信息后可能存在的风险;

e)不提供用户个人电子信息可能出现的后果

f)用户个人电子信息管理者的名称、地址、联系方式等信