5.4 風險源識別

風險源識別是為了分析個人信息處理活動面臨哪些威脅源，是否缺乏足夠的安全措施，導致存在脆弱性而引發安全事件。決定個人信息安全事件發生的要素很多，就威脅源而言，有內部威脅源，也有外部威脅源，有惡意人員導致的數據被竊取等事件，也有非惡意人員無意中導致的數據泄露等事件；就脆弱性而言，有物理環境影響導致的數據毀損，有技術因素導致的數據泄露、篡改、丟失等事件，也有管理不當引起的濫用等事件。

GB/T 20984 中所描述的威脅識別和脆弱性識別方法均可用于對個人信息安全事件的分析過程。為進一步簡化個人信息安全事件可能性的分析過程，將與個人信息安全事件可能性相關的要素歸納為以下四個方面：

a)網絡環境和技術措施。評估時關注的要素包括但不限于：

1)處理個人信息的信息系統所處網絡環境為內部網絡還是互聯網，不同的網絡環境其面臨的威脅源不同，連接互聯網的信息系統面臨的風險更高；

2)處理個人信息的信息系統與其他系統的交互方式，比如是否采用網絡接口進行數據交互，是否嵌人可收集個人信息的第三方代碼、插件等，通常情況下數據交互越多，需采取更加全面的安全措施防止信息泄露、竊取等風險；

3)個人信息處理過程中是否實施嚴格的身份鑒別、訪問控制等措施；

4)是否在網絡邊界部署了邊界防護設備，配置了嚴格的邊界防護策略，實施了數據防泄露技術措施；

5)是否監測和記錄網絡運行狀態，是否標記、分析個人信息在內部或與第三方交互時的狀態，及時發現異常流量和違規使用情況；

6)是否采取了防范病毒和木馬后門攻擊、端口掃描、拒絕服務攻擊等網絡人侵行為的技術措施；

7)是否采用加密傳輸、加密存儲等措施對個人敏感信息進行額外保護；

8)是否對個人信息收集、保存、傳輸、使用、共享等各階段的個人信息處理活動進行審計，并對異常操作行為進行報警；

9)是否建立了完備的網絡安全事件預警、應急處置、報告機制；

10)是否對信息系統進行定期安全檢查、評估、滲透測試，并及時進行補丁更新和安全加固；

11)是否對數據存儲介質加強安全管理，是否具備對數據進行備份和恢復的能力；

12)其他必要的網絡安全技術保障措施。

&注1：如果組織參照其他網絡安全、數據安全相關國家標準建立成熟的安全防護體系，可基于其已有基礎進行分析評估。

b)個人信息處理流程。評估時關注的要素包括但不限于：

1)個人敏感信息的判定是否準確；

2)收集個人信息的目的是否正當、合法；

3)從第三方獲得的數據是否得到正式的處理授權；

4)告知方式和告知的內容是否友好可達，是否所有的處理活動都征得了用戶同意；

5)是否定義了個人信息最小元素集，是否超范圍收集了個人信息；

6)變更個人信息使用目的是否對個人信息主體產生影響；

7)是否提供便捷有效的個體參與的機制，包括查詢、更正、刪除、撤回同意、注銷賬號等；

8)接收個人信息的第三方是否會變更目的使用個人信息；

9)個人信息的保存時間是否最小化，超出期限的刪除等機制是否合理；

10)是否對用戶畫像機制進行限制，避免精確定位到特定個人；

11)是否為個性化展示提供用戶可控制、可退出或關閉的機制；

12)匿名化機制是否有效，去標識化后的個人信息是否能夠被關聯分析等，導致可重新識別個人信息主體身份；

13)是否提供及時有效的安全事件通知機制和應急處置機制；

14)是否提供有效的投訴和維權渠道等；

15)是否未經用戶同意向第三方共享、轉讓個人信息；

16)是否散播不準確的數據或不完整的誤導性數據；

17)是否誘導或強迫個人提供過多個人信息；

18)是否過多地追蹤或監視個人行為；

19)是否無根據地限制個人控制其個人信息的行為等；

20)其他個人信息處理流程的規范性。

注2：對個人信息處理流程規范性的分析可參照GB/T35273-2020相應內容。

c)參與人員與第三方。評估時關注的要素包括但不限于：

1)是否任命個人信息保護負責人或個人信息保護工作機構，個人信息保護負責人是否由具有相關管理工作經歷和個人信息保護專業知識的人員擔任；

2)是否依據業務安全需求，制定并執行個人信息安全管理的方針和策略；

3)是否制定涉及個人信息處理各環節的安全管理制度，并提出具體的安全管理要求；

4)是否與從事個人信息處理崗位上的相關人員簽署保密協議，并對大量接觸個人敏感信息的人員進行背景審查；

5)是否明確內部涉及個人信息處理不同崗位的安全職責，并建立發生安全事件的處罰、問責機制；

6)是否對個人信息處理崗位上的相關人員開展個人信息安全專業化培訓和考核，并確保相關人員熟練掌握隱私政策和相關規程；

7)是否明確可能訪問個人信息的外部服務人員需遵守的個人信息安全要求，并進行監督；

8)是否與第三方簽署有約束力的合同等文件，約定個人信息傳輸至第三方后的處理目的、方式、數據留存期限、超出期限后的處理方式；

9)是否對第三方處理個人信息的行為進行定期檢查、審計，確保其嚴格執行合同等約定；

10)其他方面的必要措施。

注3：如果組織參照其他網絡安全、數據安全相關國家標準建立成熟的安全管理體系，可基于其已有基礎進行分析評估。

d)業務特點和規模及安全態勢。評估時關注的要素包括但不限于：

1)業務對個人信息處理的依賴性；

2)業務處理或可能處理個人信息的數量、頻率、用戶規模、用戶峰值等；

3)是否曾經發生過個人信息泄露、篡改、毀損、丟失等事件；

4)個人信息保護相關執法監管動態；

5)近期內遭受網絡攻擊或發生安全事件的情況；

6)近期收到過或公開發布的安全相關的警示信息。

組織在對以上維度的相應內容進行充分了解后，通過調研訪談、查閱支撐性文檔、功能檢查、技術測試等方式，識別已采取的措施與當前的狀態。針對5.5中對個人權益影響分析的不同維度，從以上四方面對安全事件發生的可能性等級進行綜合評價。

注4：安全事件可能性等級評估可參考附錄D中D.1。