專家解讀｜實施網絡數據安全風險評估辦法 加強國家網絡數據安全能力建設

《中共中央關于制定國民經濟和社會發展第十五個五年規劃的建議》明確要求，加強網絡、數據等新興領域國家安全能力建設。近日，國家互聯網信息辦公室發布了《網絡數據安全風險評估辦法（征求意見稿）》（以下簡稱《辦法》），標志著我國在網絡數據安全制度體系建設方面又邁出重要一步，對于加強國家網絡數據安全能力建設具有重要意義。

一、《辦法》是以底線思維保障國家數據安全的重要舉措

當前，數據依賴度提升帶來的系統性風險加劇，國家數據安全底線面臨更為復雜的考驗。底線思維的核心要求是“防患于未然”。《辦法》明確了安全評估的主管部門、數據處理者、第三方機構的各自責任，確保守牢國家數據安全底線。

關于主管部門的責任。明確了“誰管業務、誰管業務數據、誰管數據安全”的原則。一是加強統籌協調，明確國家網信部門在國家數據安全工作機制指導下，統籌開展風險評估，避免重復評估、重復檢查。二是報送工作計劃，要求各有關主管部門定期組織本行業、本領域的風險評估，并于每年1月底前向國家網信部門報送年度計劃。三是報告抽查核驗，明確省級以上網信部門和有關部門可對網絡數據處理者的評估報告真實性、準確性進行抽查核驗。四是開展指定評估，明確省級以上網信部門和有關部門在風險評估報告核驗、監督等工作中發現存在較大安全風險等情形時，應當要求其委托通過認證的評估機構開展風險評估。五是提出整改和停止處理，要求有關部門在組織風險評估工作中發現存在可能危害國家安全、公共利益的網絡處理活動，應當責令整改；對整改不到位、拒不整改的網絡數據處理者，可以采取要求其停止處理重要數據等措施。六是加強信息共享和協同處置，要求各地區、各部門應當加強風險信息共享和協同處置，及時處置發現的風險和問題，并按照有關規定及時報告。

關于網絡數據處理者的責任。一是評估的組織方式，明確網絡數據處理者可以自行或者委托第三方評估機構開展風險評估。二是評估的具體內容，要求風險評估工作應當按照有關法律法規要求和國家標準開展，另有規定的從其規定。三是評估的時間周期，要求處理重要數據處理者應當每年度開展風險評估，重要數據狀態發生重大變化或者對數據安全造成不利影響，應當及時開展，并鼓勵一般數據處理者至少每三年開展一次。四是評估報告的撰寫，要求應當按照《辦法》提供的模板編制評估報告，另有規定的從其規定。五是評估報告的報送，要求在年度風險評估完成后的10個工作日內按照有關部門要求報送。報送部門不明確的，向省級網信部門或者國家網信部門報送。六是配合指定評估，要求網絡數據處理者按照要求委托評估機構評估的，應當履行為評估機構提供必要支持等各項義務。

關于第三方評估機構的責任。一是資質獲得，明確經國務院認證認可監督管理部門依法批準的具有數據安全服務認證資質的認證機構，可按照《數據安全技術 數據安全評估機構能力要求》（GB/T 45389）等有關國家標準、行業標準對評估機構開展認證。二是工作原則，要求應當遵守法律法規、公正客觀地作出風險判斷，并對所出具的風險評估報告真實性、有效性、完整性負責。三是報告責任，要求評估機構在風險評估過程中發現網絡數據處理活動存在重大數據安全風險的，應當及時通報網絡數據處理者，并按照有關規定向省級以上網信部門、有關主管部門報告。四是保密責任，要求評估機構及其工作人員應當對在風險評估過程中獲得的數據、商業秘密、保密商務信息等依法予以保密。

二、《辦法》是以系統思維助力數據安全合規的關鍵環節

網絡數據安全風險評估與網絡安全等級保護測評、數據安全管理認證、個人信息保護合規審計、商用密碼應用安全性評估等，共同構成了網絡數據安全合規的制度體系。《辦法》制定中充分考慮了這些制度的內在邏輯關系。

一方面，這些制度各司其職、各有側重。其中，數據安全風險評估聚焦風險識別與預判，針對數據處理全生命周期開展風險排查，目標是識別數據泄露、篡改、濫用等潛在風險，提出管控建議；網絡安全等級保護測評針對網絡設施、信息系統按等級開展安全測評，目標是確保網絡系統具備符合等級要求的安全防護能力；數據安全管理認證聚焦組織管理體系合規性，由第三方機構對組織的數據安全管理體系，進行審核認證，目標是驗證組織是否建立了符合國家標準的數據安全管理機制并有效運行；個人信息保護合規審計聚焦個人信息處理合規性，對個人信息處理活動開展審計，目標是監督組織是否遵守個人信息保護相關法律法規；商用密碼應用安全性評估聚焦密碼技術應用合規性與有效性，針對網絡與信息系統中商用密碼的應用開展評估，目標是驗證密碼應用是否符合國家標準、是否能有效保障數據機密性、完整性和可用性。

另一方面，這些制度遞進支撐、互補聯動。其中，數據安全風險評估是安全決策的核心依據，貫穿數據處理的全流程，形成的評估結果可為其他評測提供風險導向；網絡安全等級保護測評是數據安全的基礎前提，是數據安全風險評估、數據安全管理認證有效實施的基礎；數據安全管理認證是風險管控的體系保障，它將風險評估、等保測評的“技術要求”轉化為“管理規范”，形成長效機制；個人信息是數據的重要組成部分，個人信息保護合規審計對數據處理者個人信息合規情況進行監督審計，審計結果為數據安全風險評估等提供個人信息侵權風險校驗；商用密碼應用安全性評估為其他機制提供加密防護支撐，數據安全風險評估中識別的泄露、篡改風險，最終需依托密碼技術實現防護，在數據安全管理認證中，密鑰管理制度、密碼設備運維流程是管理體系的重要組成部分。

值得注意的是，《辦法》明確，上述制度實施時內容重合的，相關結果可以互相采信，避免重復評估、審計、認證，這將進一步加強這些制度之間的相互支撐和配合。

三、《辦法》是以創新思維提升數據治理能力的重大突破

《辦法》在全面總結以往網絡數據安全制度建設經驗的基礎上，結合網絡數據安全監管的行業特點，圍繞新一輪科技革命和產業變革給數據安全帶來的挑戰，進行了大膽創新。

在制度設計上，實現授權用權制權相統一。為加強和完善評估過程中權力配置運行的制約和監督機制，《辦法》通過“精準授權、規范用權、有效制權”的邏輯閉環，實現三者統一。授權層面，明確“誰主管業務、誰管業務數據、誰管數據安全”，明確監管權限。同時，僅授權具備數據安全服務資質的認證機構開展認證，確保評估行為“有權必有責”。用權層面，規范評估流程與標準，要求按照《網絡數據安全管理條例》有關要求和《數據安全技術 數據安全風險評估方法》（GB/T 45577）有關國家標準開展，實現“用權受監督”。制權層面，建立評估結果應用與責任追溯機制，評估發現的風險需限期整改，對未按要求評估或整改不到位的主體追責，同時監管部門對評估活動全程監督，形成“制權有閉環”。三者相互支撐，既保障評估權依法依規行使，又通過風險管控實現數據安全與利用的平衡。

在方式方法上，實現內部外部監督相結合。為確保評估過程的公正性、專業性和合規性，提升評價結果的可信度和行業整體服務質量，《辦法》通過“內部自控+外部監管”的雙重機制，實現內外監督相統一。內部監督層面，要求網絡數據處理者指定專人負責，建立健全內部質量管控體系，對評估過程和結果進行自我約束。外部監督層面，要求網絡數據處理者按照模板完成評估報告并報送主管部門。監管部門依法對評估報告真實性和準確性進行抽查核驗。同時暢通社會監督渠道，明確任何組織、個人有權對風險評估中的違法違規活動向有關部門進行投訴舉報。內部監督聚焦評估過程的細節規范，外部監督強化整體合規性把控，且外部監管發現的問題可倒逼評估主體優化內部管控，內部自控結果也為外部監督提供核查依據。這種雙向聯動既保障評估行為的規范性，又提升監督效能，筑牢數據安全評估的合規防線。

在目標對象上，實現全周期多要素全覆蓋。為有效應對人工智能、大數據、區塊鏈等新技術給數據安全帶來的挑戰，《辦法》提供了評估報告模板，通過“全生命周期貫穿+多要素整合”，構建全覆蓋的評估體系。全周期層面，辦法將評估嵌入數據處理各環節，包括數據收集階段評估來源合法性與合規性，存儲階段核查加密措施與容災備份能力，使用和加工階段檢測訪問權限管控與算法推薦情況，傳輸階段驗證傳輸途徑和方式及節點，刪除階段檢查清除流程與殘留風險，形成“收集－存儲－使用－加工－傳輸－提供－公開－刪除”的閉環評估鏈。多要素層面，涵蓋技術、管理、人員、制度等維度。技術上評估安全防護有效性，管理上審查制度流程與執行情況，人員上核查職務角色與任務分工等。這種全周期與多要素的深度融合，實現了數據安全風險評估的立體化覆蓋，為數據安全保障提供全面支撐。

總之，《辦法》的發布標志著我國 網絡 數據安全管理進入系統部署、多方協同的新階段，對提升數據安全治理能力，促進數據要素安全有序利用具有重要意義。

作者：王志成　中央網信辦數據與技術保障中心副主任

來源：“網信中國”微信公眾號

編輯：趙文婷

監審：張效婧

終審：吳 濤

關注我們 了解更多

發布網信政務信息

解讀網信政策法規