网络数据安全风险评估实施指引（二）

评估手段是多种多样的。信息安全风险评估可以用各种不同的方式识别资产脆弱性和攻击路径，数据安全风险评估也包含但不限于以下措施：

人员访谈：对相关人员进行访谈，核查制度规章、防护措施、安全责任落实情况；

文档查验：查验安全管理制度、风险评估报告、等保测评报告等有关材料及制度落实情况的证明材料；

安全核查：核查网络环境、数据库和大数据平台等相关系统和设备安全策略、配置、防护措施情况；

技术测试：应用技术工具、渗透测试等手段查看数据资产情况、检测防护措施有效性。

评估报告内容：
评估手段是多种多样的。信息安全风险评估可以用各种不同的方式识别资产脆弱性和攻击路径，数据安全风险评估也包含但不限于以下措施：

人员访谈：对相关人员进行访谈，核查制度规章、防护措施、安全责任落实情况；

文档查验：查验安全管理制度、风险评估报告、等保测评报告等有关材料及制度落实情况的证明材料；

安全核查：核查网络环境、数据库和大数据平台等相关系统和设备安全策略、配置、防护措施情况；

技术测试：应用技术工具、渗透测试等手段查看数据资产情况、检测防护措施有效性。
网络数据安全风险评估，现在依然是一个新兴领域。传统的信息安全风险评估方法可以作为参考，但由于数据和数据处理过程的特殊性，对于风险的分析和威胁识别也会有一定的差异。而反过来说，其共性也可以利用。譬如信息安全风险评估可以利用等级保护作为脆弱性识别手段，在网络数据安全保护的过程中也会用到传统的防护措施和技术。总而言之，网络安全和数据安全不完全相同，也不是孤立的概念。接下来的文章中，我们还会通过典型数据安全风险的分析，助力广大客户群体识别安全风险，降低风险等级。