数据安全的评估（数据安全评估标准）

本文目录一览：

• 1、数据安全能力成熟度(DSMM)评估的五要素
• 2、解读|DSMM数据安全能力成熟度模型评估
• 3、数据安全风险评估应遵循哪些原则
• 4、数据安全法规定,个人信息安全评估应当由谁进行
• 5、《数据出境安全评估办法》

数据安全能力成熟度(DSMM)评估的五要素

1、数据安全能力成熟度（DSMM）评估的五要素包括：战略规划、治理体系、技术能力、运营管理和监督审计。战略规划 战略规划是数据安全的顶层设计，要求企业将数据安全纳入整体发展战略，明确数据保护的优先级、资源投入和长期目标。这一要素的核心在于确保数据安全与企业战略的一致性，以及为数据安全提供持续的资源支持。

2、DSMM以组织的数据为中心，围绕数据的全生命周期（采集、传输、存储、处理、交换、销毁）进行安全能力的评估，旨在帮助组织识别数据安全风险，提升数据安全防护水平。DSMM模型结构 DSMM模型从组织建设、制度流程、技术工具、人员能力四个能力维度出发，按照1-5级成熟度对组织的数据安全能力进行评价。

3、级-量化控制：数据安全工作实现量化管理和控制，能够准确评估和改进数据安全能力。5级-持续优化：数据安全工作达到持续优化阶段，能够不断适应新的安全威胁和挑战。合适群体 DSMM标准的适用范围非常广泛，没有行业的限制。对数据安全有需求、关注自身数据安全能力建设情况的组织均适合申请DSMM。

4、人员能力：评估数据安全人员所具备的安全技能是否满足复合型能力要求，以及数据安全意识和关键数据安全岗位员工的数据安全能力培养情况。评估涵盖5个成熟度级别、30个数据安全能力过程域和576个基本实践，以确保评估的全面性和准确性。

5、DSMM（数据安全能力成熟度模型）的评估方式及方法主要围绕组织建设、制度流程、技术工具和人员能力四大核心维度展开，结合多种技术手段和管理流程进行综合验证。

解读|DSMM数据安全能力成熟度模型评估

DSMM（Data Security capability Maturity Model）认证是我国首个依据国家标准《信息安全技术数据安全能力成熟度模型》（GB/T 37988-2019）开展的数据安全认证。

企业的数据安全管理人员是否具备实现企业数据安全目标的能力要求。数据安全意识和数据安全技术是否得到定期培训和人才培养。数据安全能力成熟度DSMM认证具体评估内容 DSMM认证主要评估以下两个方面：数据生命周期流转过程是否安全 数据生命周期包括数据采集、传输、存储、处理、交换和销毁等阶段。

DSMM（Data Security Maturity Model）即数据安全能力成熟度模型，是由阿里巴巴联合中国电子技术标准化研究院、国家信息安全工程技术研究中心、中国信息安全测评中心等业内权威机构联合编写的国家标准《信息安全技术 数据安全能力成熟度模型》（GB/T 37988-2019）。

DSMM以组织的数据为中心，围绕数据的全生命周期（采集、传输、存储、处理、交换、销毁）进行安全能力的评估，旨在帮助组织识别数据安全风险，提升数据安全防护水平。DSMM模型结构 DSMM模型从组织建设、制度流程、技术工具、人员能力四个能力维度出发，按照1-5级成熟度对组织的数据安全能力进行评价。

DSMM（Data Security Maturity Model），即《信息安全技术 数据安全能力成熟度模型》（GB/T 37988-2019），于2019年正式成为国标并对外发布，并于2020年3月起正式实施。

DSMM数据安全能力成熟度模型 DSMM（Data Security Capability Maturity Model）数据安全能力成熟度模型，是由阿里巴巴作为主要起草单位编制的一份关于数据安全管理的标准。

数据安全风险评估应遵循哪些原则

1、数据安全风险评估应遵循以下原则：基础方法论原则科学性原则：评估需基于科学方法与数据，采用合理模型和工具，确保结果客观可信。例如，通过定量分析工具量化风险概率与影响程度，避免主观臆断。

2、数据出境安全评估坚持事前评估和持续监督相结合、风险自评估与安全评估相结合的原则，旨在防范数据出境安全风险，保障数据依法有序自由流动。触发条件 数据出境的触发条件包括：数据向境外转移存储，以及境外机构、组织、个人访问查看境内数据（公开信息、网页访问除外）。

3、风险评价应遵循科学性、系统性、综合性和适用性的原则。

数据安全法规定,个人信息安全评估应当由谁进行

1、个人信息安全评估的责任主体包括个人信息处理者、专门的数据安全评估机构或监管部门，具体由法规要求、业务场景及评估需求决定。个人信息处理者根据《中华人民共和国个人信息保护法》第五十五条，个人信息处理者在特定场景下必须自行开展个人信息保护影响评估。

2、个人信息安全评估的执行主体主要包括个人信息处理者自身、专门的数据安全评估机构以及监管部门，具体取决于场景和法规要求。个人信息处理者自身根据《中华人民共和国个人信息保护法》及相关法规，在特定场景下，个人信息处理者需自行开展个人信息安全评估。

3、个人信息处理者根据《中华人民共和国个人信息保护法》，个人信息处理者在特定场景下需主动承担评估责任。例如，处理敏感个人信息、利用个人信息进行自动化决策、向境外提供个人信息等对个人权益有重大影响的活动中，个人信息处理者必须事前开展个人信息保护影响评估，并记录处理情况。

4、个人信息处理者，处理敏感个人信息。处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。利用个人信息进行自动化决策。应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。

5、客户信息保护影响评估通常由境内信息处理者发起并开展自评估。依据《个人信息保护法》第55条，在涉及向境外提供个人信息等多种对个人权益有重大影响的个人信息处理活动时，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录。

《数据出境安全评估办法》

1、《数据出境安全评估办法》于2022年5月19日经国家互联网信息办公室审议通过，自2022年9月1日起施行。该办法旨在规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，促进数据跨境安全、自由流动。

2、《数据出境安全评估办法》（以下简称《办法》）的公布，标志着我国在数据出境安全监管方面迈出了重要一步。该《办法》旨在进一步规范数据出境活动，确保国家数据安全和个人信息保护。

3、解读《数据出境安全评估办法》背景与目的 2022年7月7日，国家互联网信息办公室发布了《数据出境安全评估办法》（以下简称《评估办法》），该办法旨在规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，并促进数据的跨境安全、自由流动。

4、安全评估结果自通过之日起两年内有效，两年后仍有数据出境活动的，需在评估结果期满前60个工作日重新申报。《办法》给予尚未进行安全评估的企业6个月的整改期限，要求落入适用范围的企业在《办法》生效之日起6个月内完成整改。

5、《数据出境安全评估办法》正式施行 以经验谱写行动指南 2022年9月1日，国家互联网信息办公室公布的《数据出境安全评估办法》（以下简称《办法》）正式施行。《办法》旨在进一步规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，促进数据跨境安全、自由流动。

6、年7月7日，国家互联网信息办公室公布了《数据出境安全评估办法》（以下简称《办法》），该《办法》将于2022年9月1日起正式施行。《办法》的出台背景与目的 随着数字经济的蓬勃发展，数据跨境活动日益频繁，数据处理者的数据出境需求快速增长。