风险评估怎么做
重要数据处理者应定期开展数据安全风险评估并向主管部门报送报告：评估覆盖数据处理活动的合法性、安全措施的有效性、风险识别与处置计划。实操分五步——梳理处理活动（数据类型、规模、流向、共享与出境）、对照法规与行业规定做合规性检查、核查安全措施有效性、识别并分级风险、形成整改与处置计划并按时报送。
基本信息
| 依据 | 数据安全法（风险评估与报送要求） |
|---|---|
| 评估对象 | 重要数据处理活动与相关系统 |
| 内容框架 | 活动梳理、合规对照、措施有效性、风险与处置 |
| 频度口径 | 以国家规定与行业要求为准，常见为每年至少一次 |
| 报送要求 | 形成报告并按期报送主管部门 |
| 整改要求 | 评估发现的措施缺口要闭环 |
典型使用场景
- 年度数据安全风险评估的组织
- 重要数据识别后的首次评估
- 新增数据共享或出境场景前的评估
- 监管报送材料的准备
- 评估发现问题的整改跟踪
评估内容框架
评估内容框架
# 1 数据处理活动梳理（数据类型、规模、流向、共享与出境）
# 2 合规性对照（数据安全法、个保法、行业规定）
# 3 安全措施有效性（访问、加密、审计、备份）
# 4 风险识别与分级（泄露、滥用、中断）
# 5 整改与处置计划
# 6 形成报告并按期报送评估维度与证据
| 维度 | 评估内容 | 支撑材料 |
|---|---|---|
| 活动梳理 | 数据种类、规模与流向 | 数据清单与流向图 |
| 合规对照 | 义务履行情况 | 制度文件与运行记录 |
| 措施有效性 | 技术与管理措施是否落地 | 配置与审计记录 |
| 风险识别 | 泄露、滥用、中断风险 | 风险清单与分级 |
| 处置计划 | 措施、责任人与时限 | 整改台账 |
评估频度与报送要求以国家规定和行业主管部门要求为准，常见做法是每年至少一次并按行业时限报送。
评估报告只写成绩不写风险，报送材料反而不被采信：真实的风险项与处置计划才是这份报告的核心内容。