网络数据安全风险评估丨(5)上海数据集团有限公司：《源于试点，行于实践——数据安全风险评估探索与创新》|数据安全法|上海市_新浪科技

一、引言

为贯彻落实《网络安全法》《数据安全法》《个人信息保护法》《上海市数据条例》等法律法规，推动建立我市网络数据安全风险评估机制，提升全市数据安全防护能力和水平，2023年8月至12月，市委网信办会同中国电子技术标准化研究院、上海市信息安全测评认证中心成立试点工作组，组织开展了网络数据安全风险评估试点工作，遴选出一批试点优秀单位和试点优秀案例。

今天分享上海数据集团有限公司试点工作经验，供大家学习参考。

二、试点优秀单位工作经验

源于试点，行于实践——数据安全风险评估探索与创新

上海数据集团有限公司（以下简称“数据集团”）是以数据为核心业务的具有功能保障属性的市场竞争类市属一级国企。作为上海市公共数据授权运营主体和城市一体化大数据资源基础治理的支撑主体，以推进数据要素市场建设、激发数据要素潜能、保障数据安全为战略使命，以促进公共数据、社会数据、个人数据融合开发利用为主责主业，聚焦数字产业化、产业数字化和推动数据产业生态发展，践行“数据治理体系共建者、数据资源体系开拓者、数字经济发展引领者、数字政府建设推动者、国际数据合作先行者”的责任担当，致力于成为世界一流的数据要素型企业。数据集团积极参与并认真落实本次网络数据安全风险评估试点工作，从评估准备、信息调研、风险识别、风险分析和评价、评估总结等方面均积累了实践经验，主要包括以下四个方面：

（一）设定数据安全风险评估目标：以评促建，以改促优

数据集团高度重视安全管理，将数据安全作为业务发展的重要基石。安全建设方面，数据集团遵循“技术为基、管理为要、制度为体、文化为魂”工作原则，按照“1+6+X”（1个体系、6大模块、X项任务）总体架构，重点围绕组织、制度、技术、机制、文化、能力等，有序推进数据安全建设。实施落地上，数据集团将网络数据安全风险评估试点工作作为能力提升的重要契机，主动响应、积极参加试点，明确了“以评促建，以改促优”的两大要求，设定了“治理风险、提升能力、共享经验”三大目标：

1、治理风险

通过试点工作充分识别、及早发现潜在的数据安全隐患，更加主动地防范、治理和管控数据安全风险。

2、提升能力

通过试点工作有效驱动、有力带动数据业务部门、关键人员、核心系统的安全协同能力，提高数据业务的安全运营能力。

3、共享经验

通过试点工作充分积累、细致总结实践经验，探索可复制、可推广的方法工具，助力助推行业整体数据安全水平提升。

（二）运行数据安全风险评估项目：统一组织，统筹开展

1、研究评估方法

针对数据安全风险评估实践参考相对缺失的痛点，数据集团通过研究国家标准、提炼评估方法、输出指标体系，确保评估工作“有依据、有方法、有指标”。制定《数据安全风险评估方法与指标研究推进表》，推动研究成果按计划输出；形成《数据安全风险评估全要素矩阵表》，实现评估工作有载体支撑。

2、组建评估团队

针对数据安全风险评估组织开展相对复杂的难点，数据集团组建了多部门拉通、多角色参与的数据安全风险评估团队，确保评估工作的代表性、充分性和有效性。具体地，由数据集团安全管理部门牵头，明确被评估方、评估方构成。被评估方为数据业务部门从事具体数据业务的各关键岗位人员；评估团队为非业务和非利益相关方，包括数据集团安全管理部门的数据安全专职人员、数据业务部门的安全岗位人员、所属企业的数据安全专家人员，既考虑评估人员的独立性，又兼顾业务活动的熟悉度。

3、强化评估管理

针对数据安全风险评估任务配置相对弹性的特点，数据集团全面引入项目管理方法，采用全要素拆解、全过程跟踪的项目化运作模式，确保关键事项及时推进、重要节点按时达成。制定《网络数据安全风险评估试点项目化管理表》，探索和应用风险评估辅助工具，将试点各个阶段和目标进行拆分，形成一条条具体的工作项、里程碑、责任人，保障了试点工作全面落地、按期完成。