一、引言
为贯彻落实《网络安全法》《数据安全法》《个人信息保护法》《上海市数据条例》等法律法规，推动建立我市网络数据安全风险评估机制，提升全市数据安全防护能力和水平，2023年8月至12月，市委网信办会同中国电子技术标准化研究院、上海市信息安全测评认证中心成立试点工作组，组织开展了网络数据安全风险评估试点工作，遴选出一批试点优秀单位和试点优秀案例。
今天分享市水务局试点工作经验，供大家学习参考。
二、试点优秀单位工作经验
从理论到实践：
如何有效执行网络数据安全风险评估
随着《网络安全法》《数据安全法》《个人信息保护法》等法律法规的相继出台，网络和数据安全保护的重要性日益凸显。作为首批试点实施单位，市水务局高度重视此项工作，并成立了局网络数据风险评估小组。该小组由局网信办和局属市供水事务中心相关领导亲自挂帅、全程参与，在严格遵守相关评估指引的基础上充分发挥协作精神、紧密配合，成功完成了本次评估试点工作。
经过此次实践，我们总结了下述有效执行网络数据安全风险评估的经验：
（一）加强前期准备与调研
网络数据安全风险评估是一项系统性、复杂性并存的工作。在开展工作之前，评估小组应精心制定详尽的评估计划与方案，明确评估工作的具体目标与要求，清晰界定评估范围与内容，并细化执行步骤，以确保评估工作既有明确的方向，又有具体的操作指引。其中，为确保评估工作切实、有效执行，评估计划与方案中要将各项工作任务细化分配到个人，并设立执行关键的时间节点；同时，要明确各项任务完成后应提交的交付文件，以确保评估过程的连贯性和规范性。
表1 评估人员职责分配建议表
此外，在调研环节，评估小组应秉持精准与深入并重的原则，对选定的业务、涉及的信息系统与数据内容进行仔细梳理，采用多种调研方法（如现场访谈、文档查验与收集等）相结合的方式，以全面掌握评估范围内的数据安全制度管理制定情况、业务和信息系统基本信息、数据资产与数据处理活动情况、安全防护措施执行现状，做到每项调研内容都有对应的资料支撑，为后续的评估复核提供可追溯性。
（二）加强风险点精细化管理
在调研工作基础上，评估小组应根据标准指南文件（《网络安全标准实践指南——网络数据安全风险评估实施指引》《信息安全技术 数据安全风险评估方法（征求意见稿）》）中的指导内容，针对所选定的评估对象，分别从数据安全管理、数据处理活动、数据安全技术以及个人信息处理4个方面筛选出合理的评估子项，逐一识别选定业务场景下存在的数据安全隐患。其中，为确保评估工作的质量和效率，评估小组应合理安排和监控评估对象的时间和进度，确保每个领域和每个评估项都得到充分的关注。同时，评估小组还应建立详细的评估记录制度，做到每项评估都有对应记录，以便对后续评估结果进行验证。
表2 评估记录示例表
数据安全风险清单的形成是基于评估记录中的未符合内容的细致筛选。在识别出风险点后，评估小组应逐一分析各风险点的产生原因、影响范围和潜在危害，并结合实际情况和技术能力，提出个性化整改建议。这些建议既要考虑技术层面的改进，如加强数据加密、完善访问控制等，又要兼顾管理层面的优化，如完善安全政策、加强员工培训等；不仅要具有理论指导意义，还要注重实际操作可执行性，以确保整改工作能够落地执行并取得实效。
（三）加强技术与业务相协同
在深入进行数据安全风险评估与整改的过程中，我们最大的感触是技术人员与业务人员应紧密合作。由于数据安全往往涉及技术细节和业务逻辑，因此两者之间的协同工作对于确保评估的准确性和有效性具有决定性作用。
在风险识别阶段，技术人员和业务人员需要共同理解和解读评估标准与指南文件。由于双方对于某些技术细节和业务规则可能存在不同的理解，往往会导致在评估过程中产生偏差。为了避免这种偏差，评估小组在识别数据安全风险时，应及时与相关业务系统的管理人员和使用人员进行深入沟通。这种沟通不仅确保了评估标准的一致性，还提高了评估的准确性。
此外，业务人员的参与对于整改建议的提出和实施也至关重要。他们更了解业务需求和流程，因此能够提出更加贴合实际、具有可行性的整改方案。同时，技术人员则可以从技术角度为整改建议提供技术支持和解决方案。这种跨部门的协作模式能确保整改建议的全面性和可执行性。
“掌”握科技鲜闻 （微信搜索techsina或扫描左侧二维码关注）
