IT互联网行业的 数据安全 风险评估 参考案例 -摘录数据安全风险评估白皮书

本文基于学习数据安全治理之数据安全风险评估白皮书 2021 的内容进行整理，希望加深自身对数据安全评估体系的认识，也希望对不了解数据安全风险评估的任何人有所帮助，如存在版权问题，请及时联系我进行删除

背景

IT互联网行业由于自身业务发展的需要，会收集、存储、加工和使用大量个人数据。面对国家法律法规和监管机构相关的要求，个人数据在数据处理活动过程中合法合规的满足情况，是IT互联网企业当前面临的重要问题。特别是《网络数据安全管理条例（征求意见稿）》中对互联网平台运营者义务的要求，是IT互联网企业在数据安全管理工作中的重点。
互联网企业信息化程度高，新技术运用充分，其中大量使用个人数据来处理相关业务。大型互联网平台在发展的过程中，对于个人数据的使用和处理，已经融入用户的日常生活中。

面临的挑战

伴随着IT信息化建设和互联网企业的高速发展，互联网企业利用海量个人数据，进行业务分析与业务运营的工作已经成为了互联网行业高速发展的推进剂。但其中也不乏，前期法律法规不完善与行业高速发展过程中，遇到的违规问题，造成大量损害互联网用户的行为，如：大数据杀熟、用户数据滥用等行为。《网络数据安全管理条例（征求意见稿）》中第五十四条，“互联网平台运营者利用人工智能、虚拟现实、深度合成等新技术开展数据处理
活动的，应当按照国家有关规定进行安全评估。”

数据安全风险评估实施

参照大型互联网企业数据安全管理实践经验与本白皮书提供的数据安全风险评估方法，针对“互联网企业数据使用”数据处理活动场景实施数据安全风险评估工作。

核心要素分析

• 数据处理角色：
  数据主体：互联网企业C端自然人用户；
  数据控制者：互联网企业；
  数据处理者：互联网企业内执行数据处理工作的组织或员工。
• 数据处理过程：
  数据处理环境：互联网企业内部使用数据的环境，包括：数据查询平台、数据提取平台、客户端App用户数据展示等。
• 数据处理方式：
  通过数据服务API接口执行相关数据操作；
  通过内部数据提取流程获取用户相关数据。
• 数据处理操作：
  互联网企业内部员工通过数据查询API接口，执行用户数据查询操作，获取用户数据，开展业务活动；
  互联网企业内部员工通过数据提取流程，提交用户数据获取申请，审批后通过数据提取平台获取用户数据，执行业务活动；
  客户端App软件，通过数据服务API接口，获取用户数据，展示
  在App显示页面上，供互联网企业C端用户使用数据。
• 处理范围：
  数据类型：个人信息、业务信息；
  数据量级：依据业务开展的用户数决定；
  数据主体范围：中华人民共和国境内用户信息；成人信息或者未成年人信息；
• 处理目的和结果
  处理目的的实现：
  互联网企业内部员工通过数据服务API接口，执行数据相关操作，使用相关数据开展业务活动；
  互联网企业内部员工，通过数据提取流程，获取到数据后，在
  本地终端中执行相关数据分析和存储后，使用相关数据执行业务活动；
  互联网企业C端客户，通过客户端软件，执行个人数据查询操作，获取存储在互联网企业内的用户个人数据。
  数据状态发生变化：可能存在使用范围状态（超范围使用）、使用目的状态（超目的使用）、时间状态（过期使用）、地域状态（跨境使用）、内容状态（脱敏或加密到明文）、物理状态（服务器存储-终端存储）等发生变化。

数据处理活动合法合规评估

互联网企业数据管理部门，需要记录企业内部员工获取数据的操作请求等，需要对数据使用目的进行合法合规性校验，需要对数据使用种类、数量、范围等进行最小原则校验，需要对数据是否需要跨境使用执行审计，需要对数据使用场景是否与用户同意使用场景相符合，执行检查操作等；
互联网企业内部员工，需要依法依规依据业务需求最小原则，使用数据。使用数据过程中，不允许出境使用，不允许擅自变更用户同意使用场景，不允许将获取的用户数据转作其他目的使用；
互联网企业C端客户，向互联网企业申请使用个人数据时，需提供具有可鉴别身份和目的的数据主体相关信息。数据使用过程中，须符合国家法律法规的要求。

数据处理活动安全性评估

处理方式安全评估：
使用权限安全风险：使用方式提权、使用范围提权、使用类型提权等；
使用角色安全风险：角色冒用等；
使用服务可用性安全风险：查询服务被拒绝服务攻击等；
数据传输安全风险：数据窃取和监听、数据明文传输等；
API数据服务接口安全风险：接口未鉴权、接口存在水平越权等；
处理操作安全评估：
操作越权安全风险：数据使用未授权、数据使用范围未授权；
操作抵赖安全风险：数据操作行为冒充；
操作滥用安全风险：数据被滥用、数据操作冒充他人等；
操作泄漏安全风险：数据使用过程中恶意留存、恶意篡改数据等。

解决方案：

在互联网企业数据使用场景下，依据上面评估识别的数据安全风险情况，具体的解决方案分为合法合规解决方案和安全性解决方案。

• 合法合规解决方案
  针对内部数据使用场景的合法性风险，需要采取一系列审批、监控、审计等手段，对使用数据的内部员工的处理行为进行监测。包括：数据获取请求审批、数据使用合法性审批、数据跨境使用审批、数据超范围使用审批等。
  针对使用过程中，需要执行全程监测和事后审计，包括：使用范围、使用场景、使用目的、是否存在出境访问等。针对使用服务的C端客户，需校验客户身份的有效性，保证不出现非授权访问的情况。
• 安全性解决方案
  针对互联网企业数据使用场景下的安全性风险，主要包括：处理环境、处理方式、处理操作等安全性风险。以上风险需要与已有安全防护措施相结合，需要考虑的数据安全技术手段包括但不限于：
  传统终端安全与Web网络安全；
  文件交换安全；
  数据使用身份鉴权；
  数据分类分级；
  数据服务接口鉴权；
  数据脱敏/加密后应用（消除个人身份特征）；
  数据传输加密；
  数据使用操作监控和审计，并保存相关操作记录；
  做好自身服务的网络安全防控，预防服务被攻击不可用的风险；
  终端需要App加固、反破解反爬虫。

实践总结

互联网企业在利用新技术、大数据分析等高新技术方面，促进了互联网业务的极大发展，但也不可忽视高速发展过程中，对于数据安全管理的要求，特别是在内部数据使用和第三方数据共享与使用过程中，需要密切关注国家、行业等监管合规机构的要求，在切实提升用户服务质量的同时，减少对用户的影响，特别是用户个人数据滥用以及违法违规业务经营上的问题。
本文基于学习数据安全治理之数据安全风险评估白皮书 2021 的内容进行整理，希望加深自身对数据安全评估体系的认识，也希望对不了解数据安全风险评估的任何人有所帮助，如存在版权问题，请及时联系我进行删除