数据安全威胁来自哪些方面

做数据安全自查时最常见的卡点是：清单写得很长，却分不清哪些威胁来自外部攻击、哪些其实是自己人带出去的。这篇不铺概念，而是按「来源」把威胁拆成几条线：外部入侵、内部人员与权限、第三方与供应链、技术与流程缺口，每条给判断标准和清点动作，最后给一个能照着走的排查顺序。适合要写风险评估报告或做年度安全盘点的负责人。

做数据安全自查时最常见的卡点不是清单不够长，而是清单里混着两种东西：一种是外面有人想进来，一种是自己人把东西带出去了。这两种威胁的责任人、处置动作、验证方式都不一样，混在一张表里写，最后谁都不好认领。所以第一步不是往下加条目，而是先按来源分堆。

这篇按四条线拆：外部入侵、内部人员与权限、第三方与供应链、技术缺陷与流程缺口。每条给判断标准和清点动作，最后一节给一个能照着走的排查顺序。适合要写风险评估报告或做年度安全盘点的负责人，也适合刚开始搭安全流程的小团队按图索骥。

先把威胁按来源分堆，别按后果分

按后果分（泄露、篡改、丢失）看起来很直观，但有个硬伤：它只统计已经造成损失的事，尚未冒烟的隐患会被自动过滤掉。按来源分则相反，每一条来源都对应一类具体的责任人和一种可验证的动作，盘点时不容易糊过去。

• 同一件事可能跨两堆，比如外包运维既算第三方也算权限问题，落到清单里只挂一个主责人，别两边都写导致没人管
• 每堆下面先写「我们有没有这类资产」，再写「有没有人负责」，最后写「有没有验证手段」
• 分堆之后再做一次去重，把重复条目合并到主责那一堆，附注里提一句涉及另一堆即可

外部入侵：先数清楚你有多少个能被敲的门

外部入侵的第一步不是买防护设备，而是搞清楚自己有多少个入口暴露在公网上。很多团队连自己有几个测试环境还开着公网都不知道，这时候谈加密和防护都是空的。清点暴露面这件事，半小时就能出第一版。

1. 列暴露面把业务接口、后台登录、测试环境、对象存储、Webhook 回调、管理端口逐项写出来，标注是否公网可达
2. 标凭据入口把密钥、令牌、账号密码单独列一张小表，记录谁持有、多久轮换一次，凭据类原则可到 /guides/key-safety 看原则
3. 做关闭复核每季度对暴露面做一次「能不能关掉」的复核，关不掉的补访问控制；验证方式是随机挑一个入口，从外网实际访问一次
4. 记泄露影响面每个凭据标注一旦泄露会影响到哪些数据，处置节奏走泄露应急类清单

内部人员与权限：最难承认的一堆

这一堆的难点不在技术，在于承认。很多团队写风险评估时下意识跳过内部威胁，结果真出事时才发现权限体系从头就没立起来。内部威胁要先分成两类：无意的（误发、误配共享链接、把数据贴到外部工具）和有意的（离职前导出、越权查询）。这两类防护手段完全不同，混着写等于没写。

• 无意类：靠默认设置和提示，比如共享链接默认过期、外部粘贴告警；验证方式是抽查最近一批共享链接的权限
• 有意类：靠权限审计和日志留痕，重点是能不能查到谁在什么时候访问了什么
• 权限是否长期只增不减：岗位变了权限没回收，是最常见的实际缺口
• 三个必须触发权限回收的节点：离职、转岗、外包退场，交接流程按最小权限原则走
• 适用边界：人数很少、所有人权限本来相同的团队，这一堆的重点放在误操作而非越权

第三方与供应链：你没法直接管的那部分

第三方是四条线里最容易被低估的一条。你管不了别人的机房，但你能管合同、管接入方式、管退出条款。清点第三方威胁，先做台账再谈条款，顺序反了会变成一堆空泛的保密约定。

模型与工具类第三方要单独看，因为提示词、日志、会话记录都可能落到对方侧。具体留存口径和数据处理方式，别凭印象判断，去站内相关页面对照当时的说明核对。合同层面，重点写两件事：变更通知义务，以及退出时的数据删除要求。只写保密条款是不够的。

技术缺陷与流程缺口：不冒烟但会一直漏

这一类不冒烟，不出事的时候几乎没人注意，但它是四条线里覆盖面最广的。技术侧和流程侧要分开清点，因为修复方式一个是改代码，一个是改习惯。

• 技术侧常见：日志里明文记录敏感字段、备份未加密、测试环境直接用生产数据、脱敏只做了一层
• 流程侧常见：没有变更审批、没有定期权限复核、出事没有留证习惯
• 清点方法：拿一条真实业务链路走一遍，从采集、传输、存储、使用到删除，每一步问「这一步谁看得见」
• 验证方式：抽一条最近的变更记录，看是否有审批、有回滚方案、有操作日志
• 适用边界：这条对刚起步的小团队更有价值，成熟团队可以只挑变更与留证两项复用

走链路这个方法听着笨，但效果好。很多团队就是在这一步发现自己以为脱敏了的数据，其实下游接口里还是原文。走一遍比开三次会管用。

威胁清单的价值不在于写全，而在于每条都能落到一个具体的人和一次具体的验证动作。

最后给一个排查顺序：先铺来源分类的框架，再补外部暴露面，接着过权限和第三方台账，最后走一遍业务链路。这个顺序的好处是从能快速得出结果的开始，先建立判断基础，再去碰那些需要跨部门协调的部分。