企业数据安全风险评估手册（最新版）.docxVIP

企业数据安全风险评估手册（最新版）

本手册依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《信息安全技术数据安全风险评估方法》GB/T39477-2020、《信息安全技术数据分类分级指南》GB/T28452-2022相关要求编制，适用于所有从事数据处理活动的全类型企业，覆盖总部及下属所有分公司、子公司、驻外办事处的数据资产全生命周期评估工作。常规状态下企业每12个月至少完成1次全量数据安全风险评估，发生重大数据泄露事件后7日内必须启动专项评估，新上线数据处理系统正式投入使用前10个工作日必须完成上线前预评估。本手册所有条款为强制性执行要求，无特殊情况不得调整执行标准。

第一章评估工作组织与权责划分

一、评估工作专班组建要求

1.专班人员构成

企业开展正式数据安全风险评估前，必须组建不少于5人的专属评估工作专班，人员覆盖数据管理岗、IT运维岗、法务合规岗、业务运营岗、第三方安全技术岗5类岗位，其中第三方安全技术岗人员占比不得低于20%，避免自审自评出现的结果偏差问题。专班所有人员不得同时兼任涉事数据系统的日常运维管理岗位，确保评估过程的独立性。

2.专班人员资质要求

专班参与人员需持有CISP-DSG数据安全治理专业证书或者近2年内完成不少于40学时的数据安全合规专项培训，近3年无信息安全领域违法从业记录，无涉及数据泄露的相关