先弄清为什么要评估
评估不是重新建设一遍系统。
小白
“前面的工程已经验收了，为什么还要评估？”
师傅
“因为措施建好了，还要检查有没有真正执行。”
小白
“比如权限制度写了，但实际账号可能没有按制度配置？”
师傅
“对。还要看技术措施有没有持续有效。”
【 第 1 步 】
评估项目启动室
师傅：“尼娅面包厂的数据安全工程已经建起来，也经历了开发、运维和一次异常事件处置。现在工厂要换一个角度：不是继续增加措施，而是检查现有做法到底做得怎么样。这就是数据安全评估。
今天先认识三类基础评估：合规性评估回答‘现有做法是否符合要求’，风险评估回答‘哪些问题可能造成多大影响’，数据出境安全评估则关注是否存在境外接收方、境外访问和相应处理路径。
整个评估都不能只听工作人员怎么说，而要沿着业务、系统、数据、人员和第三方收集证据，再形成问题、风险和整改结论。”
01 · 现场对话
评估项目启动室的知识任务
分清三类评估
不同评估回答不同问题。
师傅
“如果我们检查会员数据保存期限有没有按制度执行，属于什么？”
小白
“合规性评估。”
师傅
“测试库保存完整会员资料，想判断后果有多严重呢？”
小白
“做风险评估。”
师傅
“境外运维人员远程查看工厂日志呢？”
小白
“先纳入数据出境识别。”
评估要看真实状态
制度只是其中一种材料。
小白
“工厂已经有数据安全制度，可以直接判断符合吗？”
师傅
“不能。”
小白
“还要看配置和日志？”
师傅
“对。制度说明应该怎么做，配置和日志告诉我们实际怎么做。”
小白
“测试结果还能证明措施是否有效。”
评估最后要形成结果
不能只指出问题。
师傅
“发现问题以后要留下什么？”
小白
“证据、问题描述和风险。”
师傅
“然后呢？”
小白
“提出整改措施、责任人、期限和验证方法。”
师傅
“整改后还要复核，评估才能真正闭环。”
02 · 小白做现场笔记
重要概念及注释
数据安全评估
- 正式含义
- 围绕数据处理活动、管理制度、技术措施、人员职责、第三方合作和持续运营开展调查、分析和评价。
评估既要看：有没有制度 ↓ 制度有没有执行 ↓ 技术措施有没有生效 ↓ 发现的问题有没有整改 ↓ 整改以后能不能验证教材把业务系统、数据处理活动、接口、第三方合作和组织管理体系都列为评估对象。
数据安全评估，就是检查“说要做到的事情，实际上到底有没有做到”。
合规性评估
- 正式含义
- 判断数据处理活动是否符合适用规则、组织制度、合同和其他要求。
- 面包厂场景
- 工厂制度规定：离职账号应及时停用评估时不能只看制度。
还要检查：离职人员名单 ↓ 系统账号 ↓ 实际停用时间 ↓ 操作记录
合规性评估主要回答：现在的做法符不符合要求。
风险评估
- 正式含义
- 识别资产、威胁、脆弱性、影响和现有控制，并据此确定风险等级。
- 面包厂场景
- 资产 会员数据 ↓ 脆弱性 测试人员权限过大 ↓ 威胁 账号滥用或被盗 ↓ 影响 大量会员资料泄露
风险评估主要回答：这个问题到底有多危险。
数据出境安全评估
- 正式含义
- 识别是否存在数据出境活动，并进一步检查数据、接收方、目的、方式、地点、期限和保护措施。
- 面包厂场景
- 例如：境外邮件服务 境外云服务 境外运维人员远程访问都需要先进入数据出境识别范围。
数据出境评估先回答：数据有没有被境外主体访问或处理。
三类评估的区别
- 核心内容
- 合规性评估 → 是否符合要求 风险评估 → 风险有多大 数据出境评估 → 是否存在出境，以及应该怎样继续判断这是第五模块要求首先建立的三个判断方向。
一个看“合不合规”，一个看“危不危险”，一个看“有没有出境”。
评估证据
- 正式含义
- 用于支持评估事实、判断和结论的文件、配置、日志、测试记录等材料。
- 面包厂场景
- 客服主管说：“批量导出都经过审批。”这句话只能先作为线索。
还要找：审批单 + 角色权限配置 + 导出日志
评估不能只听别人说什么，还要找得到证据证明什么。
评估闭环
- 基本路线
- 确定范围 ↓ 收集证据 ↓ 分析事实 ↓ 形成问题和风险 ↓ 提出整改 ↓ 验证整改 ↓ 复核归档教材对第五模块评估流程的概括也是“目标委托、计划范围、证据访谈、业务分析、问题风险、整改建议、验证归档”。
找到问题不是评估终点，整改验证以后才真正闭环。
03 · 经验和难点
小结
这一站，小白认识了数据安全评估，并区分了合规性评估、风险评估和数据出境安全评估。最值得记住的经验是：评估不是只看有没有制度，而是用证据检查制度、技术和实际操作是否一致。初学者最容易遇到的难点，是把检查发现直接当成最终结论，却没有继续分析证据、风险和整改要求。