【 3-6 】
数据安全风险测试与安全措施验证
第3.6章 数据安全风险测试与安全措施验证
本章内容依据《数据安全工程技术人员（初级）第3模块零基础详细学习教材》整理，系统讲解数据安全风险测试与安全措施验证。
6.1 风险测试的四个问题
风险是否存在？
↓
控制是否已经部署？
↓
控制是否真正有效？
↓
问题是否完成整改和复测？
↓
控制是否已经部署？
↓
控制是否真正有效？
↓
问题是否完成整改和复测？
6.2 从数据资产出发开展测试
1. 确定重要数据、所在系统和使用角色。
2. 确定收集、存储、使用、传输和备份路径。
3. 列出每条路径的风险和现有控制。
4. 选择配置核验、日志检查、权限验证和恢复测试。
5. 记录实际结果、证据、缺陷和责任。
6. 整改完成后复测并关闭问题。
6.3 常用工具类别
| 工具类别 | 典型用途 | 复核重点 |
|---|---|---|
| 漏洞扫描 | 识别主机、Web 和组件漏洞 | 资产范围、误报、等级和修复状态 |
| 配置核查 | 核验系统、数据库和中间件基线 | 适用版本、例外项和责任人 |
| 日志分析 | 汇聚和检索访问、操作和告警 | 时间同步、字段完整和规则有效 |
| 数据库审计 | 记录查询、导出和变更 | 覆盖、策略命中和日志完整 |
| 数据发现分类 | 发现敏感字段和分布 | 准确性、业务复核和标签更新 |
| 数据防泄露 | 控制终端、邮件、Web 和介质外发 | 边界、误拦截、例外和处置 |
6.4 工具结果为什么要人工复核
工具根据规则和特征判断，可能出现误报、漏报或场景理解错误。例如字段名 code 可能代表验证码、课程代码或地区编码。扫描发现后需要技术和业务共同确认。
复核原则：工具输出是线索和证据来源，最终判断应结合业务用途、数据内容、系统版本、配置例外和风险影响。
6.5 安全措施验证清单
| 措施 | 验证重点 | 通过表现 |
|---|---|---|
| 身份认证 | 账号唯一、口令策略、管理账号保护 | 无默认弱口令，管理操作可追溯 |
| 访问控制 | 岗位匹配、授权流程、定期复核 | 无无效权限，敏感访问受控 |
| 脱敏 | 页面、报表、接口和导出一致性 | 未授权角色看不到完整字段 |
| 审计 | 日志范围、字段、查询和期限 | 关键操作可定位账号和时间 |
| 备份恢复 | 频率、加密、隔离和演练 | 恢复满足完整性和时效 |
| 告警处置 | 阈值、通知、分工和闭环 | 异常可发现、分派、处置和关闭 |
6.6 缺陷等级基础判断
| 等级 | 判断思路 | 示例 |
|---|---|---|
| 高 | 可直接导致大规模泄露、越权或不可恢复损失 | 普通账号可导出全部身份证号 |
| 中 | 存在明确风险，需要一定条件或范围有限 | 日志缺少来源地址，追溯不足 |
| 低 | 影响较小，主要为规范或可管理性问题 | 非关键提示信息不统一 |
缺陷等级应依据组织标准，并结合数据级别、影响范围、利用条件、暴露时间和补偿控制。
6.7 整改闭环
发现问题 → 登记缺陷与证据 → 评估等级和影响
↓
确定措施、责任人和期限 → 实施整改 → 复测验证
↓
关闭问题并更新基线、文档和测试用例
↓
确定措施、责任人和期限 → 实施整改 → 复测验证
↓
关闭问题并更新基线、文档和测试用例
本节自测
1. 为什么扫描结果不能直接作为最终结论？
2. 控制“已部署”和“有效”有什么区别？
3. 整改完成后为什么需要复测？