このホワイトペーパーでは、データ資産の分類、データ セキュリティ リスク評価、データ セキュリティ リスクの処理などのデータおよびデータ処理アクティビティに基づいたデータ セキュリティ ガバナンスのフレームワークを提案します。
このデータ セキュリティ ガバナンス フレームワークの内容は、企業のデータ資産自体から出発し、企業の生産および運用活動の各段階で経験されるデータ処理活動のさまざまな内容に基づいて、法律の要件に厳密に従うことに重点を置いています。企業の法的かつ準拠した運営と生産活動のリスクの安全性と制御可能な要件を解決するための規制、業界規範など。データおよびデータ処理アクティビティに基づくデータ セキュリティ ガバナンスのフレームワークは、次の 3 つの側面で構成されます。
1) データ資産の分類。企業のデータ資産インベントリとデータの分類と格付けのための実践的なガイドラインを提供します。
2）データセキュリティリスク評価は、企業のデータ資産仕分け作業の内容に基づいて、企業のさまざまなデータ処理活動におけるデータセキュリティリスク評価方法の実装に関するガイダンスを提供し、データセキュリティリスク評価作業を実施します。
3) データセキュリティリスク評価の結果に基づき、国内法規制、業界規範、その他の要件を参照し、データセキュリティ管理、データを通じて、さまざまな開発段階と生産および運用の問題解決の優先順位に応じてデータセキュリティリスクを処理します。オントロジー保護、データセキュリティ管理と制御、データリスクモニタリング、および企業が保護管理責任を果たし、継続的なセキュリティステータスを確保する能力を向上させるその他の手段。
「中華人民共和国データセキュリティ法」の定義を参照すると、データセキュリティリスク評価の中核となる内容は、データ資産に基づいて、データ処理活動におけるリスクと対策を特定することです。このうち、データ処理活動とは、データ処理を行う事業者の事業活動を指します。データの収集、保管、使用、処理、送信、提供、開示などのデータ処理。この記事に含まれるデータ セキュリティ リスクとは、通常、法令順守リスクと技術的セキュリティ リスクの両方を含む広義のリスクを指します。
情報セキュリティリスク評価手法とは、情報システムのライフサイクルの各段階における実施のポイントと作業形態をまとめたもので、評価の準備、リスクの特定、リスク分析、リスク評価の4つの部分で構成されます。オリジナルの情報セキュリティ リスク評価方法を参照することに基づいて、データ セキュリティ リスク評価方法では、データ資産と関連するデータ処理活動で直面するリスクにさらに注意を払います。
さまざまな種類のデータに対する法規制の要件と処理活動におけるコンプライアンスポイントの要件を完全に特定したことに基づいて、データ資産とデータ処理活動の要素を整理し、既存のコンプライアンス対策と組み合わせることで、法的コンプライアンスを完了します。データセキュリティ分析の。データ資産とデータ処理活動の要素を整理し、既存の技術的セキュリティ対策と組み合わせ、データ資産の価値、処理活動の脆弱性、脅威の特定などの要素を参照することで、完全な技術的脆弱性と脅威の分析を行い、データ セキュリティ イベントを形成します。分析。包括的なデータ セキュリティ法令順守分析とデータ セキュリティ イベント分析を行い、最終的にデータ セキュリティ リスク値を形成します。
評価の準備：現在、企業や組織は国内法規制、業界監督、ビジネス需要評価、その他の関連要件に基づいてリスク評価作業を実施し、リスク評価結果が企業に与える影響を戦略レベルから検討しています。データセキュリティリスク評価の準備の内容には主に、評価対象、評価範囲、評価境界、評価チームの編成、評価基準、評価基準、評価計画の策定、管理サポートの取得などが含まれます。
リスクの特定: 主に、資産価値の特定、データ処理活動要素の特定、法令順守の特定、脅威の特定、脆弱性の特定、および既存のセキュリティ対策の特定が含まれます。
リスク分析：資産価値の特定、処理活動要素の特定、法令順守の特定、既存のセキュリティ対策の特定、脅威の特定、脆弱性の特定を完了した後、適切な方法とツールを採用することで、企業が直面する法的リスクを取得できます。データ セキュリティ インシデントの可能性と、データ セキュリティ インシデントが組織に及ぼす影響を利用して、データ セキュリティ リスク値を取得できます。
リスク評価: データセキュリティリスク分析を実行した後、企業はリスク値計算方法を通じてリスク値の分布を取得し、リスクレベルを高、中、低の 3 つのレベルに分類します。リスク評価におけるリスク値のレベルに応じて、リスク評価結果の内容が明確になります。
企業はデータ セキュリティ リスク評価に合格し、最終的に企業リスク評価の結果を取得します。リスク評価レベルと企業が直面する生産活動の実際の状況に基づいて、フォローアップのデータセキュリティリスク管理および制御戦略を策定し、データセキュリティリスクの処理を実行します。