数据安全风险辨识评估方法

安全岗最常卡住的一步不是「修」，而是「不知道自己有多少东西要修」：模型接口开着、日志在飞、第三方中转在跑，真出事时说不清哪条链路最关键。这篇给一套能照着走的辨识与评估流程——先盘清数据和流向，再按影响面和暴露面定级，最后落到可复查的记录上，顺手把复查节奏定下来，避免报告写完就进抽屉。

安全岗卡住的地方往往不是修不了，而是不知道有多少东西要修。模型接口开着、日志在往外飞、第三方中转在替你把请求送出去，真出问题时才发现说不清哪条链路最关键、哪份数据最值钱。所以这篇不讲概念，只讲一套能照着走的动作：先盘资产和流向，再看威胁和暴露面，然后粗分排序，最后落到能复查、能交接的记录上。

整条流程的核心判断只有一句：定级看影响面，不看数据条数。一套五人的小团队可能只有一张总表，一家多业务线的公司就得按线拆开，但动作顺序是一样的。下面按四步走，每步都给出什么情况下不适用，免得生搬硬套。

第一步不是打分，是先把家底盘清

盘家底别一上来就发问卷，问卷收回来的是大家以为自己有什么，不是实际有什么。正确做法是对着账号、云盘、日志、第三方接口挨个核一遍，边核边填三列：数据存在哪、谁能碰、流向哪。这三列填不满的格子，就是后面评估一定会漏的地方。

• 链路图画到「谁调谁」为止，包括人、脚本、外部平台，别只画服务之间的调用
• 没画出来的那段，就是后面评估会漏掉的那段，宁可画得啰嗦也别留白
• 团队少于十来人、业务线单一，可以只做一张总表，但要在表头写清覆盖范围
• 多业务线必须按线拆表，否则一张表会糊成摆设，谁都不认领里面的条目

威胁从哪来、暴露面在哪：对着清单问四句话

家底有了，接下来不是马上打分，而是对着清单逐条问四个问题，答案落到格子里再谈评分。这四个问题问完，你会发现大部分条目的优先级其实自己浮出来了，不需要复杂模型。

1. 问动机谁有动机拿它：内部误操作、离职带走、外部扫接口，三类动机对应完全不同的暴露面，别混在一起写。
2. 问暴露它现在暴露在哪：公网接口、共享链接、日志、第三方托管，逐个标成「可直接读」「需授权读」「不可读」。
3. 问后果出问题的影响面是什么，看涉及人数和字段敏感度，而不是看数据条数。
4. 问边界这条判断在什么情况下不成立，写下来，下次换人接手时不用重推一遍。

一个常见的误判是把条数当严重度。条数多但全是脱敏字段，风险等级完全可以降下来；条数不多但包含能定位到具体人的字段，反而要往上提。判断标准是「能不能据此识别或影响到具体的人或业务」，不是「量有多大」。

打分别追求精确，追求能排序

内部评估不需要精确到小数点，需要的是两件事：同一批人排出来的顺序大致一致，换一批人排出来也不会差太远。所以用「影响 × 可能性」两维粗分就够，关键是评分口径要写下来，别只留在某个人的脑子里。

影响

出事之后能牵连到多少人、多少业务，按量级分档而不是按条数

可能性

现有控制措施下被触发的难易程度，有监控和限权的项可以往下压

口径

分档的定义和采样方式写清楚，对不上口径的两个分数没有比较意义

责任人

每条都要有名字，没有责任人的条目基本等于没评

• 把「修起来最贵」和「风险最高」分成两列：高影响但难修的项，先配监控和限权，别硬等一次性整改
• 整改项写清动作、负责人、复查时间点，三样缺一样这条就会被遗忘
• 想对齐评估口径，可以先到 /tools/speed-test 看我们怎么做采样和判定，把内部打分也按同样思路先定口径再算
• 评分表别用太多档位，档位一多就会有人纠结边界，反而排不出顺序

报告怎么写才有用，复查按什么节奏

很多评估报告写完就进抽屉，原因通常是结构里只有结论没有理由。固定成四段就能避免：资产与链路、威胁与暴露面、定级与理由、整改与复查时间。第三段最容易被省，但恰恰是下次别人认不认你结论的关键。

复查节奏按变更触发，不按日历触发。新接一个外部服务、开放一个新接口、出现人员变动，都要重跑一遍相关条目。想把复查做细，可以到 /price-watch 看价格与配置变化的追踪方式，思路一样：变化点才是重跑点。

交接时把评分口径和未整改项一起交出去，只交结论等于让下一个人从零重新猜。这条在多业务线的团队里尤其重要，因为接手的人往往不在原来的沟通链路里。想对照外部服务当前的口径和可用性，可以去 /sites 和 /rankings 核对当时的数字，再决定哪些条目要重跑。

评估的价值不在于分数多准，而在于半年后换个人接手，还能顺着你的记录把同一件事讲清楚。