电信行业数据安全风险评估案例 - 数据安全治理之数据安全风险评估白皮书

本文基于学习数据安全治理之数据安全风险评估白皮书 2021 的内容进行整理，希望加深自身对数据安全评估体系的认识，也希望对不了解数据安全风险评估的任何人有所帮助，如存在版权问题，请及时联系我进行删除

背景

为更好落实数据安全管理工作，近年工信部、通信管理局等监管单位针对电信企业数据安全提出了合规性安全要求，并组织开展数据安全管理工作专项行动。2020年，工业和信息化部办公厅发布了《关于做好电信和互联网行业网络数据安全管理工作的通知》，全面开展网络数据安全合规性评估，评估要点主要围绕基础性、数据生命周期及技术能力三方面，同时将数据安全合法合规性评估作为基础电信企业省级公司和专业公司网络与信息安全工作考核要点之一。 面临的挑战电信行业运营商从2018年至2021年，每年都会组织数据安全合规性评估，一方面由于电信行业从业企业属于国家关键基础设施运营者，需要满足《关键信息基础设施安全保护条例》（以下简称《关基条例》）中的合规要求，另一方由于电信行业业务中包含大量关键基础设施数据（重要数据、个人信息），一旦发生数据泄露，可能对国计民生等都会造成重大影响。
《关基条例》第十七条中要求，“运营者应当自行或者委托网络安全服务机构对关键信息基础设施每年至少进行一次网络安全检测和风险评估，对发现的安全问题及时整改，并按照保护工作部门要求报送情况。”对电信行业运营商在风险评估中的落地执行和报送有明确要求。
但在实际落地关基风险评估，以及数据安全风险评估工作的过程中，可参照实施的指导方案和执行工具均处于摸索阶段，造成评估工作执行落地困难，很多地方均需耗费大量资源，投入产出比低效。

数据安全风险评估实施

参照信息安全风险评估方法以及本白皮书提出的数据安全风险评估方法，针对“某运营商某客服系统数据收集、存储、使用”数据应用场景，执行数据安全风险评估工作，评估流程如下：

核心要素分析

• 数据处理角色：
  数据主体：运营商自然人用户；
  数据控制者：运营商；
  数据处理者：运营商内执行数据处理工作的组织或员工。

• 数据处理过程： 数据处理环境：客服系统业务服务提供过程中需要的环境，包括：客服统一门户网站（包括：SDK、API接口等）、直播平台、小程序及相关网络环境等。

• 数据处理方式：
  系统数据收集方式主要通过客服远程柜台、支撑平台，收集用户手机号、身份证号、免冠照、手持身份证照、音视频录音录像等信息，未收集外部数据源；
  收集数据信息通过网络环境传输至客服系统服务端环境，并存储在业务系统数据库；
  数据使用场景一般为运营商内部其它部门向业务责任部门申请清单级数据、日常生产运营统计数据报表等。

• 数据处理操作：
   在数据收集环节，门户网站、直播平台及小程序通过让用户明示同意隐私政策的方式，获取用户相关个人信息、业务信息等数据；
   收集到的数据通过https方式传输回业务服务的服务器端；
   在数据使用环节，业务系统提供API接口（token方式鉴权）、SFTP等服务方式，对企业内部各类数据使用场景进行共享。

• 处理范围：
  数据类型：业务数据包括会话编号、服务日期、服务工号、聊天内容等，用户个人信息包括手机号、身份证号、身份证照片、免冠照、手持身份证照等敏感信息；
  数据量级：依据业务开展的用户数决定；
  数据主体范围：中华人民共和国境内用户信息，主要为成人信息。
   处理目的和结果
  处理目的的实现：通过向用户明示隐私政策协议内容，用户主动勾
  选授权同意后，提供客户服务，在服务过程中，视频通话将收集用
  户手机号、设备系统、网络通讯、摄像头、麦克风、扬声器、相册、
  地理位置等信息，实名认证将收集用户姓名、身份证号、身份证照
  片、免冠照等；
  数据流通关系变化：用户业务与个人信息使用权，从用户变动到业
  务系统责任部门；
  数据状态发生变化：可能存在时间状态（过期存储）、地域状态（跨
  境）、内容状态（客户数据值等）等发生变化。

数据处理活动合法合规评估

本文基于学习数据安全治理之数据安全风险评估白皮书 2021 的内容进行整理，希望加深自身对数据安全评估体系的认识，也希望对不了解数据安全风险评估的任何人有所帮助，如存在版权问题，请及时联系我进行删除
 运营商客服门户网站、小程序数据收集、存储及使用场景下的合法合规评估
合法合规评估：
《中华人民共和国个人信息保护法》要求，数据处理活动中，需要明示数据采集目的、采集数据类型、存储位置、获取用户授权等情况；
通过小程序客户端所提供的服务，执行隐私政策确认工作，不允许替用户默认勾选。这个过程中，涉及合规性风险里，违规采集风险；
记录用户的确认授权收集操作，保存确认记录以备查阅；收集到的用户数据需要境内存储，收集数据需遵循最小化原则；

提供的隐私政策协议，需要包含：收集目的、用途、数据类型等相关信息。涉及合法合规性风险有：明示采集目的、最小采集权限、不允许跨境传输、传输保护等；
门户网站、小程序提供的查询服务，展示的数据，需保证是经过用户授权的数据；这些数据需要保证是通过合法合规的渠道收集的；
业务系统数据需采取定期数据备份恢复机制，确保数据可用可恢复；涉及合法合规性风险有：数据保护管理责任明确落实。

数据处理活动安全性评估

 运营商客服门户网站、小程序数据收集、存储和使用场景下的安全性风险评估
处理方式安全评估
使用权限安全风险：处理方式提权、处理范围提权、使用类型提权等；
数据传输安全风险：数据窃取和监听、数据明文传输等；
数据存储安全风险：数据明文存储、数据有效性未校验等；
数据使用安全风险：服务接口被DDos攻击、数据非授权访问、数据越权访问等；
API数据接口安全风险：接口非授权数据访问、接口非授权数据爬取等。
处理操作安全评估
操作越权安全风险：数据使用未授权、数据使用范围未授权；
操作抵赖安全风险：数据操作行为冒充；
操作滥用安全风险：数据被滥用、数据操作冒充他人等；操作泄漏安全风险：数据使用过程中恶意留存、恶意篡改数据等。

解决方案：

在运营商客服系统数据收集、存储及使用场景下，依据上面评估识别的数据安全风险情况，具体的解决方案分为合法合规解决方案和安全性解决方案。

合法合规解决方案

针对《中国人民共和国个人信息保护法》、《关基条例》等相关要求，在数据收集环节，需对数据采集目的、采集类型、存储位置等信息，可通过隐私政策明示授权的方式获得用户的许可，且不可默认替用户勾选。针对用户数据中涉及操作和存储合法性风险，需保证中华人民共和国境内数据存储，数据收集最小化，并保存隐私协议授权记录、采集记录和相关操作记录，以备后续检查机构核查。针对门户网站、小程序等展示用户数据，需符合隐私政策要求，保证数据收集渠道的合法性；针对数据存储环节，制定数据备份与恢复操作规程，定期开展数据备份及数据恢复性测试工作，保存测试记录。

安全性解决方案

针对运营商客服系统数据收集、存储及使用场景下的安全性风险，主要包括：处理环境、处理方式、处理操作等安全性风险。以上风险需要与已有安全防护措施相结合，需要考虑的数据安全技术、管理手段包括但不限于：
采用数据证书实现抗抵赖；
采用数字水印实现溯源；
数据网络传输加密；
敏感数据本体传输加密；
敏感数据加密存储；
网络安全域配置访问控制策略；
数据处理权限最小配置；
数据处理操作权限定期审计；
数据分类分级及差异化保护措施；
数据传输接口鉴权；
数据使用去标识化处理；
做好自身服务的网络安全防控；
预防业务被攻击不可用的风险；
与系统运维支撑人员签订数据安全保密协议；
数据使用、导出审批机制；
数据安全事件应急响应、处置机制；
第三方合作方数据安全管理评估。

实践总结

电信行业运营商面临着新老系统并存等问题，同时也面临国家、行业等一系列针对安全生产，特别是数据安全保护责任落实等新的问题。在执行风险评估工作，特别是数据安全风险评估的过程中，缺乏有效便捷的工具支撑，造成严重的人力物力的浪费。在具体的实践落地过程中，电信运营商企业急切需要可实施落地的数据安全风险评估服务。
本文基于学习数据安全治理之数据安全风险评估白皮书 2021 的内容进行整理，希望加深自身对数据安全评估体系的认识，也希望对不了解数据安全风险评估的任何人有所帮助，如存在版权问题，请及时联系我进行删除