一、背景在实际参与相关工作的过程中我接触到的考核内容既包括用户个人信息保护、数据安全风险评估、数据全生命周期管理、数据对外提供等管理要求也包括日志审计、风险监测、态势感知、API安全、个人信息违规收集检测等技术安全工作。同时部分数据安全工作的推进与央巡整改要求相关。相关工作并不是简单完成一次检查而是围绕制度建设、责任落实、风险治理、技术防护、检查整改等方面持续推进。因此可以把整个工作理解为整改要求 → 制度建设 → 责任落实 → 风险识别 → 技术防护 → 检查发现 → 整改复核 → 考核验证二、从央巡整改看数据安全工作的整体要求央巡整改相关工作中数据安全建设并不是单一的技术建设而是从管理、人员、风险、技术、重点场景和监督整改多个方面推进。整体可以划分为六个方面数据安全管理制度建设数据安全责任和人员管理数据安全风险治理与运营数据安全技术防护能力建设API及第三方数据安全治理问题排查、整改和监督问责这几个方面实际上覆盖了数据安全工作的主要管理链路。三、数据安全管理制度建设制度是数据安全工作的基础。央巡整改相关工作首先关注数据安全管理制度是否完善包括数据安全管理制度个人信息保护管理制度商用密码管理制度。总部根据集团相关要求完善制度并组织各单位进行宣贯和落实各单位进一步结合自身实际完善本单位管理办法明确责任和执行要求。这里需要注意的是制度建设并不是最终目的。实际检查时还需要进一步判断制度有没有落到具体业务和系统中。因此后续的责任落实、风险评估、日志审计、技术防护以及问题整改实际上都是制度落地的具体体现。四、关键岗位和人员责任数据安全不仅是技术部门的工作还涉及大量数据处理人员。相关工作要求根据数据处理关键岗位认定标准对数据管理人员、数据操作人员等关键岗位进行梳理形成关键岗位人员清单并签订数据安全从业承诺书。同时推进关键岗位轮岗和监督管理。在人员能力方面还需要开展数据安全普法培训个人信息保护培训风险警示教育数据安全技能竞赛数据安全蓝军建设数据安全对抗性检测相关工作。因此这部分可以理解为明确谁负责数据 → 明确谁能够操作数据 → 明确岗位责任 → 提升人员安全能力五、数据安全风险评估与风险治理数据安全风险评估是整个数据安全工作的核心环节之一。相关工作要求组织各单位梳理数据安全风险评估清单和计划推进风险评估开展同时对评估报告质量进行抽查并督促风险整改。实际工作中一次风险评估通常不是最终结果而是风险治理的起点评估对象梳理 → 风险识别 → 风险分析 → 风险整改 → 整改复核因此考核时除了查看有没有评估报告还需要关注评估对象是否完整评估是否按计划开展风险是否得到识别风险是否形成整改措施整改是否按期完成。六、日志审计与数据安全运营数据安全风险不能只依赖一次性检查发现还需要通过持续运营进行监测。相关工作包括1. 数据安全日志审计依据数据安全操作日志审计原则开展数据安全日志审计并形成常态化机制。实际关注的是谁访问了数据、进行了什么操作、什么时候操作、是否存在异常行为。通过日志审计可以进一步发现异常访问、违规操作等风险。2. 数据安全事件应急演练各单位需要建立数据安全事件应急处置预案并制定演练计划通过典型数据安全事件开展应急演练。演练的目的不是单纯完成一次演练记录而是验证发生数据安全事件后是否知道怎么发现、怎么处置、怎么协同。3. 数据安全风险信息共享通过风险报送和共享机制对数据安全风险进行统一梳理和报送使风险信息能够在不同单位之间进行协同。七、重点场景数据安全治理央巡整改相关工作还特别关注具体业务场景。例如制卡、短信业务运营和服务等场景需要落实数据安全管理要求。相关检查包括操作日志留存定期日志审计风险及异常操作核查问题清单管理整改闭环。这类工作让我认识到数据安全管理不能只停留在制度层面。同样的数据安全要求放到不同业务场景中需要结合具体的数据流转、操作人员和系统功能进行落实。八、数据安全技术防护能力除了管理制度和风险评估央巡整改相关工作还涉及数据安全技术能力建设。主要包括数据访问控制数据加密数据脱敏数据安全风险监测重要系统风险监测数据安全态势感知。其中重要网络与信息系统需要加强敏感数据安全风险监测能力对风险进行监测、预警和处置。同时推进数据安全态势感知能力建设实现数据安全风险的采集、分析和持续运营。从技术角度看这些能力解决的是发现数据 → 发现异常 → 分析风险 → 进行处置九、APP、小程序及个人信息违规收集检测个人信息保护也是数据安全治理的重要组成部分。相关工作要求通过软件供应链安全管理平台对APP小程序网站涉及的SDK违规收集和使用个人信息情况进行检测并开展常态化分析和处置。这里的检查重点已经从单纯查看隐私政策进一步延伸到实际有没有违规收集和使用个人信息。因此个人信息保护检查通常需要结合隐私政策 权限申请 实际数据采集 SDK行为进行综合判断。这也是个人信息保护工作从“制度合规”向“实际行为验证”延伸的一种体现。十、API资产梳理与API数据安全API是互联网暴露面中非常重要的一类数据访问入口。相关工作首先要求对网站、公众号、APP等互联网暴露面的API进行全面梳理重点关注传输重要数据和敏感数据的API。形成API资产风险台账并明确API数据安全责任。在资产梳理完成后还需要开展技术检测API资产梳理 → 风险台账 → 技术检测 → 风险发现 → 整改技术检测可以通过本地或远程方式对API资产及其数据安全情况进行检测发现潜在风险隐患。因此API安全工作不能只理解为“扫描接口”前提还是要先知道有哪些API、谁负责、传输什么数据、哪些API存在安全风险。十一、“四方”数据安全责任与账号权限在涉及“四方”人员和单位的场景中重点关注的是责任和权限。相关工作要求梳理“四方”单位、人员及权限清单并签订数据安全责任书或承诺书明确各方责任边界。同时开展“四方”人员账号权限清查重点关注数据访问权限高权限账号闲置账号账号实际使用情况。特别是短信系统等重点场景需要加强“四方”人员账号风险治理。这部分实际上解决的是两个问题谁可以访问数据以及为什么这个人可以访问这些数据十二、用户个人信息保护常态化治理在网信安考核中个人信息保护还会进一步体现为常态化管理。主要关注定期检查和通报批量导出审批个人信息保护提示批量导出“银行模式”系统平台操作日志个人信息保护培训责任台账风险治理有效率风险按期整改率APP专项通报APP定期评估APP问题整改。其中批量导出、日志审计和APP整改都是比较典型的检查场景。例如批量导出不仅要看有没有审批还需要关注实际操作是否经过授权日志不仅要看有没有记录还需要关注涉及个人信息的操作是否可以单独查询以及日志保存时间。十三、网信安考核中的数据安全风险检查经过前面的工作后最终会落实到网信安考核。考核内容覆盖用户个人信息保护重点检查个人信息保护治理、APP评估、批量导出、日志、培训、责任台账和风险整改。数据安全风险评估重点检查评估是否按要求开展是否覆盖重要数据、核心数据及一定比例的一般数据是否完成风险研判和整改。数据安全管理关注重要数据识别备案、应急保障以及数据安全风险监测处置。数据全生命周期安全关注重要数据管理、登记、审批、标记、加密、脱敏、访问控制和容灾备份等措施。数据对外提供关注重要数据、核心数据等对外提供前的风险评估、审查及安全管理要求。风险整改关注发现的风险是否在规定期限内完成有效整改。数据安全培训关注数据安全技术和管理人员培训以及关键岗位警示教育。十四、从检查到整改形成闭环把前面的工作串起来可以看到一个比较完整的数据安全管理闭环制度建设 ↓ 责任落实 ↓ 资产和数据识别 ↓ 风险评估 ↓ 技术检测与风险监测 ↓ 发现安全问题 ↓ 形成问题清单 ↓ 明确责任和整改措施 ↓ 按期整改 ↓ 复核验证 ↓ 监督问责 ↓ 网信安考核验证其中“整改”并不是最后一步。对于前期已经发现的问题还需要开展“回头看”通过远程或现场检查复核整改情况、安全责任以及工作落实情况。对于屡查屡犯或者整改不到位的问题还需要进一步采取通报、督办、约谈、问责等措施。因此整个体系最终形成发现问题—整改问题—验证整改—防止重复发生的闭环。十五、我的理解通过参与相关工作我对网信安考核的理解也从最开始的“按照考核表逐项核对”逐渐转变为从数据安全管理体系的角度看问题。很多看起来独立的考核项实际上是相互关联的。例如API安全需要先进行资产梳理再进行风险检测和整改个人信息保护需要从制度、APP检测、权限、实际采集、日志和风险整改多个环节进行管理数据安全风险评估不是形成报告就结束而是需要推动风险整改并进行复核日志审计既是技术能力也是后续风险追溯和检查的重要证据央巡整改关注的是问题是否真正解决而网信安考核则进一步验证相关安全管理要求是否落实。因此我理解的网信安考核并不是单纯的“检查和扣分”而是通过考核指标反向验证企业数据安全管理体系是否真正运行起来。最终形成的核心闭环可以概括为有制度、有责任、有评估、有检测、有监测、有整改、有复核。这也是参与相关工作的过程中对数据安全管理从“具体检查项”逐步形成的整体认识。
一、背景在实际参与相关工作的过程中我接触到的考核内容既包括用户个人信息保护、数据安全风险评估、数据全生命周期管理、数据对外提供等管理要求也包括日志审计、风险监测、态势感知、API安全、个人信息违规收集检测等技术安全工作。同时部分数据安全工作的推进与央巡整改要求相关。相关工作并不是简单完成一次检查而是围绕制度建设、责任落实、风险治理、技术防护、检查整改等方面持续推进。因此可以把整个工作理解为整改要求 → 制度建设 → 责任落实 → 风险识别 → 技术防护 → 检查发现 → 整改复核 → 考核验证二、从央巡整改看数据安全工作的整体要求央巡整改相关工作中数据安全建设并不是单一的技术建设而是从管理、人员、风险、技术、重点场景和监督整改多个方面推进。整体可以划分为六个方面数据安全管理制度建设数据安全责任和人员管理数据安全风险治理与运营数据安全技术防护能力建设API及第三方数据安全治理问题排查、整改和监督问责这几个方面实际上覆盖了数据安全工作的主要管理链路。三、数据安全管理制度建设制度是数据安全工作的基础。央巡整改相关工作首先关注数据安全管理制度是否完善包括数据安全管理制度个人信息保护管理制度商用密码管理制度。总部根据集团相关要求完善制度并组织各单位进行宣贯和落实各单位进一步结合自身实际完善本单位管理办法明确责任和执行要求。这里需要注意的是制度建设并不是最终目的。实际检查时还需要进一步判断制度有没有落到具体业务和系统中。因此后续的责任落实、风险评估、日志审计、技术防护以及问题整改实际上都是制度落地的具体体现。四、关键岗位和人员责任数据安全不仅是技术部门的工作还涉及大量数据处理人员。相关工作要求根据数据处理关键岗位认定标准对数据管理人员、数据操作人员等关键岗位进行梳理形成关键岗位人员清单并签订数据安全从业承诺书。同时推进关键岗位轮岗和监督管理。在人员能力方面还需要开展数据安全普法培训个人信息保护培训风险警示教育数据安全技能竞赛数据安全蓝军建设数据安全对抗性检测相关工作。因此这部分可以理解为明确谁负责数据 → 明确谁能够操作数据 → 明确岗位责任 → 提升人员安全能力五、数据安全风险评估与风险治理数据安全风险评估是整个数据安全工作的核心环节之一。相关工作要求组织各单位梳理数据安全风险评估清单和计划推进风险评估开展同时对评估报告质量进行抽查并督促风险整改。实际工作中一次风险评估通常不是最终结果而是风险治理的起点评估对象梳理 → 风险识别 → 风险分析 → 风险整改 → 整改复核因此考核时除了查看有没有评估报告还需要关注评估对象是否完整评估是否按计划开展风险是否得到识别风险是否形成整改措施整改是否按期完成。六、日志审计与数据安全运营数据安全风险不能只依赖一次性检查发现还需要通过持续运营进行监测。相关工作包括1. 数据安全日志审计依据数据安全操作日志审计原则开展数据安全日志审计并形成常态化机制。实际关注的是谁访问了数据、进行了什么操作、什么时候操作、是否存在异常行为。通过日志审计可以进一步发现异常访问、违规操作等风险。2. 数据安全事件应急演练各单位需要建立数据安全事件应急处置预案并制定演练计划通过典型数据安全事件开展应急演练。演练的目的不是单纯完成一次演练记录而是验证发生数据安全事件后是否知道怎么发现、怎么处置、怎么协同。3. 数据安全风险信息共享通过风险报送和共享机制对数据安全风险进行统一梳理和报送使风险信息能够在不同单位之间进行协同。七、重点场景数据安全治理央巡整改相关工作还特别关注具体业务场景。例如制卡、短信业务运营和服务等场景需要落实数据安全管理要求。相关检查包括操作日志留存定期日志审计风险及异常操作核查问题清单管理整改闭环。这类工作让我认识到数据安全管理不能只停留在制度层面。同样的数据安全要求放到不同业务场景中需要结合具体的数据流转、操作人员和系统功能进行落实。八、数据安全技术防护能力除了管理制度和风险评估央巡整改相关工作还涉及数据安全技术能力建设。主要包括数据访问控制数据加密数据脱敏数据安全风险监测重要系统风险监测数据安全态势感知。其中重要网络与信息系统需要加强敏感数据安全风险监测能力对风险进行监测、预警和处置。同时推进数据安全态势感知能力建设实现数据安全风险的采集、分析和持续运营。从技术角度看这些能力解决的是发现数据 → 发现异常 → 分析风险 → 进行处置九、APP、小程序及个人信息违规收集检测个人信息保护也是数据安全治理的重要组成部分。相关工作要求通过软件供应链安全管理平台对APP小程序网站涉及的SDK违规收集和使用个人信息情况进行检测并开展常态化分析和处置。这里的检查重点已经从单纯查看隐私政策进一步延伸到实际有没有违规收集和使用个人信息。因此个人信息保护检查通常需要结合隐私政策 权限申请 实际数据采集 SDK行为进行综合判断。这也是个人信息保护工作从“制度合规”向“实际行为验证”延伸的一种体现。十、API资产梳理与API数据安全API是互联网暴露面中非常重要的一类数据访问入口。相关工作首先要求对网站、公众号、APP等互联网暴露面的API进行全面梳理重点关注传输重要数据和敏感数据的API。形成API资产风险台账并明确API数据安全责任。在资产梳理完成后还需要开展技术检测API资产梳理 → 风险台账 → 技术检测 → 风险发现 → 整改技术检测可以通过本地或远程方式对API资产及其数据安全情况进行检测发现潜在风险隐患。因此API安全工作不能只理解为“扫描接口”前提还是要先知道有哪些API、谁负责、传输什么数据、哪些API存在安全风险。十一、“四方”数据安全责任与账号权限在涉及“四方”人员和单位的场景中重点关注的是责任和权限。相关工作要求梳理“四方”单位、人员及权限清单并签订数据安全责任书或承诺书明确各方责任边界。同时开展“四方”人员账号权限清查重点关注数据访问权限高权限账号闲置账号账号实际使用情况。特别是短信系统等重点场景需要加强“四方”人员账号风险治理。这部分实际上解决的是两个问题谁可以访问数据以及为什么这个人可以访问这些数据十二、用户个人信息保护常态化治理在网信安考核中个人信息保护还会进一步体现为常态化管理。主要关注定期检查和通报批量导出审批个人信息保护提示批量导出“银行模式”系统平台操作日志个人信息保护培训责任台账风险治理有效率风险按期整改率APP专项通报APP定期评估APP问题整改。其中批量导出、日志审计和APP整改都是比较典型的检查场景。例如批量导出不仅要看有没有审批还需要关注实际操作是否经过授权日志不仅要看有没有记录还需要关注涉及个人信息的操作是否可以单独查询以及日志保存时间。十三、网信安考核中的数据安全风险检查经过前面的工作后最终会落实到网信安考核。考核内容覆盖用户个人信息保护重点检查个人信息保护治理、APP评估、批量导出、日志、培训、责任台账和风险整改。数据安全风险评估重点检查评估是否按要求开展是否覆盖重要数据、核心数据及一定比例的一般数据是否完成风险研判和整改。数据安全管理关注重要数据识别备案、应急保障以及数据安全风险监测处置。数据全生命周期安全关注重要数据管理、登记、审批、标记、加密、脱敏、访问控制和容灾备份等措施。数据对外提供关注重要数据、核心数据等对外提供前的风险评估、审查及安全管理要求。风险整改关注发现的风险是否在规定期限内完成有效整改。数据安全培训关注数据安全技术和管理人员培训以及关键岗位警示教育。十四、从检查到整改形成闭环把前面的工作串起来可以看到一个比较完整的数据安全管理闭环制度建设 ↓ 责任落实 ↓ 资产和数据识别 ↓ 风险评估 ↓ 技术检测与风险监测 ↓ 发现安全问题 ↓ 形成问题清单 ↓ 明确责任和整改措施 ↓ 按期整改 ↓ 复核验证 ↓ 监督问责 ↓ 网信安考核验证其中“整改”并不是最后一步。对于前期已经发现的问题还需要开展“回头看”通过远程或现场检查复核整改情况、安全责任以及工作落实情况。对于屡查屡犯或者整改不到位的问题还需要进一步采取通报、督办、约谈、问责等措施。因此整个体系最终形成发现问题—整改问题—验证整改—防止重复发生的闭环。十五、我的理解通过参与相关工作我对网信安考核的理解也从最开始的“按照考核表逐项核对”逐渐转变为从数据安全管理体系的角度看问题。很多看起来独立的考核项实际上是相互关联的。例如API安全需要先进行资产梳理再进行风险检测和整改个人信息保护需要从制度、APP检测、权限、实际采集、日志和风险整改多个环节进行管理数据安全风险评估不是形成报告就结束而是需要推动风险整改并进行复核日志审计既是技术能力也是后续风险追溯和检查的重要证据央巡整改关注的是问题是否真正解决而网信安考核则进一步验证相关安全管理要求是否落实。因此我理解的网信安考核并不是单纯的“检查和扣分”而是通过考核指标反向验证企业数据安全管理体系是否真正运行起来。最终形成的核心闭环可以概括为有制度、有责任、有评估、有检测、有监测、有整改、有复核。这也是参与相关工作的过程中对数据安全管理从“具体检查项”逐步形成的整体认识。
