常見數(shù)據(jù)安全風(fēng)險(xiǎn)清單
| 序號 | 風(fēng)險(xiǎn)類別 | 描述 |
| 1 | 數(shù)據(jù)泄露風(fēng)險(xiǎn) | 由于數(shù)據(jù)竊取、爬取、脫庫、撞庫等安全威脅，或者缺乏有效的安全措施、人員操作失誤或有意盜取等，導(dǎo)致數(shù)據(jù)泄露、惡意竊取、未授權(quán)訪問等影響數(shù)據(jù)保密性的風(fēng)險(xiǎn)。 |
| 2 | 數(shù)據(jù)篡改風(fēng)險(xiǎn) | 由于數(shù)據(jù)注入、中間人攻擊等安全威脅，或者缺乏有效的安全措施、人員有意或無意操作等，導(dǎo)致數(shù)據(jù)被未授權(quán)篡改等影響數(shù)據(jù)完整性的風(fēng)險(xiǎn)。 |
| 3 | 數(shù)據(jù)破壞風(fēng)險(xiǎn) | 由于拒絕服務(wù)攻擊、自然災(zāi)害、嵌入惡意代碼、數(shù)據(jù)污染、設(shè)備故障等安全威脅，或者缺乏有效的安全措施、人員有意或無意操作等，導(dǎo)致數(shù)據(jù)被破壞、毀損、數(shù)據(jù)質(zhì)量下降等影響數(shù)據(jù)可用性的風(fēng)險(xiǎn)。 |
| 4 | 數(shù)據(jù)丟失風(fēng)險(xiǎn) | 由于數(shù)據(jù)過載、軟硬件故障、備份失效、鏈路過載等問題，或者缺乏有效的安全措施、人員有意或無意操作等，導(dǎo)致數(shù)據(jù)丟失、難以恢復(fù)等安全風(fēng)險(xiǎn)。 |
| 5 | 數(shù)據(jù)濫用風(fēng)險(xiǎn) | 由于缺乏授權(quán)訪問控制、權(quán)限管控等有效的安全管控措施、人員有意或無意操作等，導(dǎo)致數(shù)據(jù)被未授權(quán)或超出授權(quán)范圍使用、加工的風(fēng)險(xiǎn)。 |
| 6 | 數(shù)據(jù)偽造風(fēng)險(xiǎn) | 由于數(shù)據(jù)源欺騙、深度偽造等安全威脅，或者缺乏有效的安全措施、人員有意或無意操作等，導(dǎo)致數(shù)據(jù)或數(shù)據(jù)源被偽造、數(shù)據(jù)主體被仿冒等安全風(fēng)險(xiǎn)。 |
| 7 | 違法違規(guī)獲取數(shù)據(jù) | 違反法律、行政法規(guī)等有關(guān)規(guī)定，非法或違規(guī)獲取、收集數(shù)據(jù)的風(fēng)險(xiǎn)。 |
| 8 | 違法違規(guī)出售數(shù)據(jù) | 違反法律、行政法規(guī)等有關(guān)規(guī)定，非法或違規(guī)向他人出售、交易數(shù)據(jù)的風(fēng)險(xiǎn)。 |
| 9 | 違法違規(guī)保存數(shù)據(jù) | 違反法律、行政法規(guī)等有關(guān)規(guī)定，非法或違規(guī)留存數(shù)據(jù)的風(fēng)險(xiǎn)，如逾期留存、違規(guī)境外存儲等。 |
| 10 | 違法違規(guī)利用數(shù)據(jù) | 違反法律、行政法規(guī)等有關(guān)規(guī)定，非法或違規(guī)使用、加工、委托處理數(shù)據(jù)的風(fēng)險(xiǎn)。 |
| 11 | 違法違規(guī)提供數(shù)據(jù) | 違反法律、行政法規(guī)等有關(guān)規(guī)定，非法或違規(guī)向他人提供、共享、交換、轉(zhuǎn)移數(shù)據(jù)的風(fēng)險(xiǎn)。 |
| 12 | 違法違規(guī)公開數(shù)據(jù) | 違反法律、行政法規(guī)等有關(guān)規(guī)定，非法或違規(guī)公開數(shù)據(jù)的風(fēng)險(xiǎn)。 |
| 13 | 違法違規(guī)購買數(shù)據(jù) | 違反法律、行政法規(guī)等有關(guān)規(guī)定，非法或違規(guī)購買、收受數(shù)據(jù)的風(fēng)險(xiǎn)。 |
| 14 | 違法違規(guī)出境數(shù)據(jù) | 違反法律、行政法規(guī)等有關(guān)規(guī)定，非法或違規(guī)向境外提供數(shù)據(jù)的風(fēng)險(xiǎn) |
| 15 | 超范圍處理數(shù)據(jù) | 數(shù)據(jù)處理活動違反必要性原則，超范圍或過度收集使用個(gè)人信息或重要數(shù)據(jù)的風(fēng)險(xiǎn)。 |
| 16 | 數(shù)據(jù)處理缺乏正當(dāng)性 | 違正當(dāng)性原則，數(shù)據(jù)處理活動缺乏明確、合理的處理目的。 |
| 17 | 未有效保障個(gè)人信息主體權(quán)利 | 由于未采取有效的個(gè)人信息保護(hù)措施、人員操作或外部威脅等，導(dǎo)致未能有效保障個(gè)人信息主體的知情權(quán)、決定權(quán)、限制或者拒絕個(gè)人信息處理等個(gè)人信息主體合法權(quán)利。 |
| 18 | App 違法違規(guī)收集使用個(gè)人信息 | App 違反個(gè)人信息監(jiān)管政策或標(biāo)準(zhǔn)規(guī)范，存在違法違規(guī)收集使用個(gè)人信息行為的風(fēng)險(xiǎn)。 |
| 19 | 數(shù)據(jù)處理缺乏公平公正 | 由于缺乏安全管控措施、人員有意或無意操作等，導(dǎo)致數(shù)據(jù)處理違反公平公正、誠實(shí)守信原則，侵犯其他組織或個(gè)人合法權(quán)益的風(fēng)險(xiǎn)。 |
| 20 | 數(shù)據(jù)處理抵賴風(fēng)險(xiǎn) | 由于外部攻擊威脅、缺乏有效安全管控措施、人員有意或無意操作等，導(dǎo)致處理者或第三方否認(rèn)數(shù)據(jù)處理行為或繞過數(shù)據(jù)安全措施等風(fēng)險(xiǎn)。 |
| 21 | 數(shù)據(jù)不可控風(fēng)險(xiǎn) | 由于第三方數(shù)據(jù)安全能力不足、缺乏有效的第三方管控措施、合同協(xié)議缺失、外包人員操作等，導(dǎo)致委托處理或合作的第三方違反法律法規(guī)或合同協(xié)議約定處理數(shù)據(jù)，造成第三方超范圍處理數(shù)據(jù)、逾期留存數(shù)據(jù)、違規(guī)再轉(zhuǎn)移等數(shù)據(jù)不可控風(fēng)險(xiǎn)。 |
| 22 | 數(shù)據(jù)推斷風(fēng)險(xiǎn) | 由于未考慮數(shù)據(jù)之間的關(guān)聯(lián)關(guān)系，導(dǎo)致從公開數(shù)據(jù)可推斷出核心數(shù)據(jù)、重要數(shù)據(jù)、未公開的個(gè)人數(shù)據(jù)等，包括但不限于面向人工智能模型的推理攻擊、面向基礎(chǔ)設(shè)施的跨域推斷攻擊等。 |
| 23 | 其他風(fēng)險(xiǎn) | 其他可能影響國家安全、公共利益或組織、個(gè)人合法權(quán)益的數(shù)據(jù)安全風(fēng)險(xiǎn)。 |
數(shù)據(jù)來源于TC260-PG-20231A《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)險(xiǎn)評估實(shí)施指引》