评估项目复盘

完整评估路线

核心内容

评估委托和目标 ↓ 确定评估范围 ↓ 制定评估计划 ↓ 建立证据清单 ↓ 问卷与访谈 ↓ 证据核验 ↓ 业务数据处理分析 ↓ 接口分析 ↓ 数据识别 ↓ 合规性评估 ↓ 风险评估 ↓ 风险处置 ↓ 数据出境识别 ↓ 境外接收方审查 ↓ 整改 ↓ 验证 ↓ 复核归档

数据安全评估从确定“查什么”开始，到证明“问题确实改好了”结束。

第五模块八类关键成果

核心内容

01 评估计划和范围说明 02 证据清单和访谈记录 03 业务数据处理分析表 04 接口数据采集分析表 05 合规差距清单 06 风险登记表 07 数据出境活动清单 08 整改跟踪表和复核计划

这些也是教材综合实训明确要求形成的主要成果。

评估不只产生一份报告，还会留下整套可以继续追踪的问题和证据材料。

证据判断路线

核心内容

别人怎么说 ↓ 先作为线索 ↓ 找到文件、配置、日志和测试 ↓ 检查真实性 ↓ 检查完整性 ↓ 检查有效性 ↓ 检查一致性 ↓ 检查充分性 ↓ 形成结论

评估结论不是“听出来”的，而是“证据一步一步支撑出来”的。

业务判断九问

核心内容

谁的数据 ↓ 从哪里来 ↓ 为什么处理 ↓ 处理哪些字段 ↓ 怎样处理 ↓ 谁能使用 ↓ 流向哪里 ↓ 保存多久 ↓ 怎样保护

教材将这九问作为业务分析的核心记忆路线。

一项业务如果这九个问题都说不清，数据安全评估通常也很难做清楚。

风险判断路线

核心内容

资产 ↓ 遇到什么威胁 ↓ 存在什么脆弱性 ↓ 可能造成什么影响 ↓ 现在有什么控制 ↓ 判断可能性 ↓ 判断影响 ↓ 形成风险等级 ↓ 选择处置方式

风险不是一个孤立的问题，而是一条有原因、有后果的关系链。

整改判断路线

核心内容

发现问题 ↓ 写清对象 ↓ 提出具体措施 ↓ 确定责任人 ↓ 确定期限 ↓ 确定验证方法 ↓ 实施整改 ↓ 重新检查 ↓ 通过才关闭

整改的核心不是“有人说改了”，而是“重新检查以后能够证明改好了”。

三个最容易混淆的关系

问卷回答 ≠ 评估证据充分

“我们有审批” ↓ 只是线索 ↓ 还要看审批单 + 配置 + 日志

口头说明不能单独支撑重要结论。

第五模块最终记忆

核心内容

范围 → 决定查什么 证据 → 证明实际发生什么 业务分析 → 理清数据怎样被处理 合规评估 → 判断符不符合要求 风险评估 → 判断问题有多严重 整改 → 把问题改掉 复核 → 证明真的改好了

数据安全评估，就是用证据看清真实的数据处理活动，判断哪里不符合、哪里有风险，再把问题一直跟到整改验证完成。