数据安全风险评估应该覆盖哪些内容

安全团队被问到「风险评估做了没」时，最容易卡在两件事：一是说不清范围到底该划多大，二是做完只交了一份表格，回头看不知道该查什么。这篇给一份照着走就能用的范围清单：先定边界，再逐项排检查要点，最后把结论落到可复核的记录上。适合准备开评估、或者被上一轮评估结论含糊坑过的人。

安全团队被问到「风险评估做了没」，最容易卡在两件事：一是说不清范围该划多大，二是做完只交了一份表格，回头看不知道该查什么。这两个毛病其实是一个根：一开始没定边界，后面所有检查项都是散的。

下面这份清单的思路是先定边界，再按资产与数据流排检查要点，最后把结论落到可复核的记录上。适合准备开评估、或者被上一轮含糊结论坑过的人照着走。

先划边界：哪些数据、哪些系统、哪些环节算在范围内

边界不要按部门画圈。按「数据分类分级 + 系统承载 + 流转环节」三张表交叉取交集，判断类数据只要有过一次跨系统流转，就要纳入。这样出来的范围能覆盖实际风险，而不是覆盖组织结构图。

• 容易漏的三类：测试与仿真环境里的数据副本、外包和第三方的接口对端、日志与备份里的留存数据。这三类通常不在业务负责人的视野里，但出事概率不低。
• 简化处理的适用情况：纯内部无对外接口、且数据未出过单一物理边界的离线系统，可以只做简化记录，但简化理由要写下来。
• 边界写下来要能回答一句话：这次评估里具体哪几条数据流是被看过的，没被看的为什么可以先不看。回答不了，说明范围还是虚的。

资产与数据流：把「数据从哪来到哪去」画成一张能对照的表

数据流图不是画着好看，是要能一行一行对照查。每一条数据流至少记四列：起点系统、经过的组件（含中转、缓存、消息队列）、落地的存储位置、责任人和授权方式。列不全，后面查控制项就没有落点。

提示词、上下文、日志这三类最容易在链路里被忽略。画链路审计时可以先到 安全与合规（/safety） 分区把同类文章过一遍，避免重复劳动，也避免漏掉已经被讲透的检查项。

1. 正向走一遍从数据产生的那一步开始，逐跳记录经过的组件与落地位置，每一跳标上责任人。
2. 反向核对从每个存储位置往回推，看能不能解释每一条数据的来源。推不通的那个点，就是这次评估的重点。
3. 确认覆盖把反向核对通过的链路和范围声明里的数据流对一遍，对不上的补进范围或写明排除理由。

控制项检查：权限、加密、脱敏、日志、留存各查什么

控制项不用贪多，五个方向查细就够。权限、加密、脱敏、日志、留存，每一项都要能回答「查什么、拿什么证明」。只写制度文本的检查等于没查。

权限

看三件事：谁能读、读多少（字段级还是全表）、多久失效一次；只写角色的团队要补一份实际授权清单。

加密与脱敏

分开判断。加密解决「被拿走也看不懂」，脱敏解决「日常使用不必看到原件」，边界不清时到 安全与合规（/safety） 分区找分工说明。

日志

重点查会不会把敏感字段原样落盘、留存周期与访问权限是否匹配；日志本身也是数据资产，要一起进范围。

留存

备份与分析副本的保留时长、销毁方式、谁能恢复，这三条要能拿出配置或流程记录。

不适用的情况也要写清楚：已经完成去标识化且不可复原的数据集，控制项可以降级，但降级依据必须写在报告里。否则复查时没人知道当时为什么跳过了。

结论怎么落：报告结构、留证颗粒度与复查节奏

报告按「范围声明—发现项—风险判断—整改动作—责任人—复查时间」六段写。发现项要能指向具体资产或数据流，不写「加强管理」这类动词，那种写法等于没写。

• 留证颗粒度到可复核：截图带时间与账号、配置导出带版本、访谈结论带受访角色。举证材料的整理方式可到 安全与合规（/safety） 分区对照留存类文章。
• 复查节奏按变动触发：数据流新增、系统架构调整、第三方更换时重跑对应片段，而不是等下一个固定周期。
• 接口与密钥类风险可以先到 中转站真假在线实测（/tools/verify） 做一次现状摸底，把外部依赖的真实情况先固定下来再写结论。
• 报告里的每个发现项都要标上对应的控制项方向和责任角色，方便下次按同一个骨架复用。

这样一轮走下来，范围有出处、发现项有落点、留证能复核。下次被问「上次评估到底查了什么」，直接翻范围声明和发现项对应关系就行，不用靠回忆。