DB3212_T1117—2022_政务数据安全风险评估规范_泰州市 .docxVIP

ICS35.020CCSL70

DB3212

泰 州 市 地 方 标 准

DB3212/T1117—2022

政务数据安全风险评估规范

GovernmentDataSecurityRiskAssessmentSpecification

DB3212/T1117—2022

前 言

本文件按照GB/T1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起草。

本文件由泰州市大数据管理局提出。本文件由泰州市大数据管理局归口。本文件起草单位：泰州市大数据管理局、泰州市标准化院。

本文件主要起草人：陈书剑、王小冬、孙慧、刘小芳、赵文涛、梁鑫晨、许鑫、施驰乐、吴薇、陈蓝生、张婧娴、李海鹏、郭健、王友成。

DB3212/T1117—2022

政务数据安全风险评估规范

1 范围

本文件提供了政务数据安全风险评估的评估原则、风险评估框架及流程、风险评估实施等要求。本文件适用于政务数据安全的风险评估。

2 规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T20984 信息安全技术信息安全风险评估方法GB/T25069 信息安全技术术语

GB/T37973 信息安全技术大数据安全管理指南DB32/T3421基础地理信息安全系统安全风险评估规范

3 术语和定义

下列术语和定义适用于本文件。

DB3212/T1117—2022

a) 安全保障性原则。不应因风险评估造成基础地理信息数据的泄露、篡改和删除，保障数据的安全性；

b) 人员可控性原则。所有参与评估人员应签署保密协议，以保证项目信息的安全；

c) 信息可控性原则。评估方应对工作过程数据和结果数据严格管理，未经授权不得泄露给任何单位和个人；

d) 过程可控性原则。按照项目管理要求，成立风险评估项目实施团队，并实行项目组长负责制，达到项目过程的可控；

e) 工具可控性原则。评估人员所使用的评估工具应事先告知用户，并在评估实施前获得被评估方的许可。

5 风险评估框架及流程

5.1 风险要素关系

风险评估中基本要素的关系如图1所示。风险评估基本要素包括资产、威胁、脆弱性和安全措施,并基于以上要素开展风险评估。

DB3212/T1117—2022

DB3212/T1117—2022

6.1 评估准备

组织实施风险评估是一种战略性的考虑，其结果将受到组织规划、业务、业务流程、安全需求、系统规模和结构等方面的影响。因此，在风险评估实施前应准备以下工作。

a) 在考虑风险评估的工作形式、在生命周期中所处阶段和被评估单位的安全评估需求的基础上，确定风险评估目标。附录A给出了评估对象生命周期各阶段的风险评估内容，附录B给出了风险评估的工作形式描述。

b) 确定风险评估的对象、范围和边界。

c) 组建评估团队、明确评估工具。附录C给出了风险评估的工具。d) 开展前期调研。

e) 确定评估依据。

f) 建立风险评价准则：组织应在考虑国家法律法规要求及行业背景和特点的基础上，建立风险评价准则，以实现对风险的控制与管理。

风险评价准则应满足以下要求：

1）符合组织的安全策略或安全需求；2）满足利益相关方的期望；

3）符合组织业务价值。建立风险评价准则的目的包括但不限于：1）对风险评估的结果进行等级化处理；2）能实现对不同风险的直观比较；

3）能确定组织后期的风险控制策略。g）制定评估方案。

h）评估方案需得到主管单位的支持和批准。

6.2 评估实施

DB3212/T1117—2022

表1 系统资产识别表

识别内容 示例

信息系统：信息系统是指由计算机硬件、计算机软件、网络和通信设备等组成的，并按照一定的应用目标和规则进行信息处理或过程控制的系统。典型的信息系统如门户网站、业务系统、云计算平台、工业控制系统等数据资源：数据是指任何以电子或者非电子形式对信息的记录。数据资源是指具有或预期具有价值的

分类 数据集。在进行数据资源风险评估时，应将数据活动及其关联的数据平台进行整体评估。数据活动包括数据采集、数据传输、数据存储、数据处理、数据交换、数据销毁等通信网络：通信网络是指以数据通信为目的，按照特定的规则和策略，将数据处理结点、网络设备设施互连起来的一种网络。将通信网络作为独立评估对象时，一般是指电信网、广播电视传输网和行业或单位的专用通信网等以承载通信为目的的网络

承载类别：系统资产承载业务信息采集、传输、存储、处理、交换、销毁过程中的一个或多个环节关业务承载性联程