数据安全能力成熟度评估基本要求、等级判定方法、描述与GP、等级评估流程和模型使用方法.pdfVIP

GB/TXXXXX—XXXX

附录A

附录A（规范性附录）数据安全能力成熟度评估基本要求

A.1评估目的与方式

数据安全能力成熟度评估用于识别组织数据安全能力所处的发展阶段，分析能力短板，为组织持

续改进数据安全能力提供依据。评估可由组织自行开展，也可由第三方协助开展。评估以组织能力状

态及其发展水平为评价重点，不以逐项判断组织是否符合规定要求为目的。

A.2评估对象

评估对象为组织在确定范围内形成的数据安全能力。组织的数据安全能力通过30个过程域进行评

价，并结合相关组织单元、数据处理活动、业务系统、技术环境和管理实践进行验证。开展验证时，

应明确验证对象范围及有关数据处理活动。验证对象的界定应满足如下要求：

a）评估范围覆盖性。数据安全能力成熟度的评估对象，应对评估范围内的数据处理活动有典

型、普遍的代表作用：

1）当评估范围为组织机构整体时，评估范围应至少包含组织机构与重要数据、核心数据有

关的数据处理活动，与组织主营业务有关的数据处理活动，以及数据安全风险较高的数

据处理活动。宜覆盖所有数据处理活动，不能覆盖全部时，可开展