南京证券信息安全分类

    上图为我国目前有关个人信息保护的发文2021年《个人信息保护法》第五十四条***次在法律层面确立个人信息处理者的合规审计义务，但当时缺乏具体操作指引。这一空白在2025年得以填补——《网络数据安全管理条例》《未成年人网络保护条例》及《个人信息保护合规审计管理办法》相继开始实施，构建了层次分明、覆盖完整的监管框架。原文参考：《个人信息保护法》第五十四条个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。第六十四条履行个人信息保护职责的部门在履行职责中，发现个人信息处理活动存在较大风险或者发生个人信息安全事件的，可以按照规定的权限和程序对该个人信息处理者的法定代表人或者主要负责人进行约谈，或者要求个人信息处理者委托机构对其个人信息处理活动进行合规审计。个人信息处理者应当按照要求采取措施，进行整改，消除**。《网络数据安全管理条例》第二十七条网络数据处理者应当定期自行或者委托机构对其处理个人信息遵守法律、行政法规的情况进行合规审计。《未成年人网络保护条例》第三十七条个人信息处理者应当自行或者委托机构每年对其处理未成年人个人信息遵守法律、行政法规的情况进行合规审计。而合规审计的重要价值，就是提前 “扫描” 这些风险点，让企业从 “被动整改” 转向 “主动预防”。南京证券信息安全分类

    2025伊始，DeepSeek横空出世，这令持续日久的AI热潮再添薪火，一时间举国范围掀起了大模型部署与探索的“**运动”。挑战与机遇并存，置身其中，网络安全业界怎会无动于衷？作为追风使者和传播达人，安在新媒体于2025年3月创新推出***">“AI安·在”探索计划，旨在携安在行业影响、业界资源和能力，以企业调查、笔会众智、社群协作、媒体传播、价值对接等多种途径和方式，邀各界合作，借大模型安全“推波助澜”，为网安业界发展不懈助力。现如今，两个多月过去，“AI安·在”探索计划的首份成果即将落地，那就是，国内***份以用户视角***洞察AI大模型在各行业探索实践的应用场景和安全需求的调查报告——《2025人工智能企业实践及安全需求用户调查报告》。企业AI实践及安全需求调查背景自2025年3月末开始，安在新媒体策划**并发起专项，基于诸子云社群（由**各地各行各业企业**网络安全业者汇聚而成的网安甲方社群）做问卷调查，结合重点对象**访谈，历时2个月，共计采集1023份有效样本，**终完成《2025人工智能企业实践及安全需求用户调查报告》。上海个人信息安全介绍有效的个人信息保护合规审计，并非简单的 “查文件、找问题”，而是一套 “全流程、深穿透” 的系统化工作。

    其中具备高等个人信息保护合规审计人员能力的人员不少于1人、具备中级个人信息保护合规审计人员能力的人员不少于3人；Ø处理超过100万、不超过1000万人个人信息的个人信息处理者开展个人信息保护合规审计，应至少具备5名个人信息保护合规审计人员，其中具备中级以上个人信息保护合规审计人员能力的人员不少于2人。***梳理个人信息处理活动相关的事实：个人信息处理者的基本情况：•特殊主体（CIIO、超大平台等）•处理个人信息规模•业务的性质（特殊资质）个人信息的类型：•一般个人信息与敏感个人信息•特殊个人信息（人脸识别信息、儿童个人信息、医疗**信息）•特殊主体的个人信息（未成年人、弱势群体等）个人信息处理活动环节：•收集、存储、对外传输、境外传输、删除、自动化决策、公开等个人信息保护合规机制：•个人信息保护负责人制度、个保影响评估制度、个人信息主体权利响应制度、应急响应机制等（是否具备、是否符合要求、落实情况、控制有效性）个人信息保护安全措施：•界面去标识化展示、敏感操作审批、访问权限控制、日志记录等5.审计人员能力要求审计人员按照能力维度从知识域法规理解、合规审计能力、沟通与协调和报告与文档四个方面来划分。

    比如：工业和信息化领域的《工业领域数据安全风险评估规范》、金融行业的《银行保险机构数据安全管理办法》、电信行业的《电信领域数据安全风险评估规范》等。新发布的GB/T45577-2025国家标准，也正是**落实法律要求的具体体现。数据安全风险评估的重要性02数据安全风险评估是企业数据安全管理的基石，其重要性不言而喻。一方面，它能帮助企业***识别数据安全风险。通过系统的评估，企业可以深入了解自身数据在存储、传输、使用等各个环节中可能面临的威胁，如数据被篡改、泄露、丢失等风险，从而做到心中有数，有的放矢地制定防范措施。开展科学评估能帮助企业：▪精细掌握数据安全总体状况；▪提前发现数据安全**和薄弱环节；▪提出的管理和技术防护措施建议；▪***提升防攻击、防破坏、防窃取、防泄露、防滥用能力。另一方面，数据安全风险评估有助于企业满足合规要求。国标明确规定重要数据处理者需每年开展评估，《数据安全法》中也已明确规定重要数据的处理者未对数据处理活动定期开展风险评估，主管部门会被罚款5万-50万元，直接责任人员可被罚款1万-10万元，风险评估已从“选择项”变为“必答题”。此外，有效的风险评估还能提升企业的竞争力。个人信息保护合规审计正成为企业穿越监管迷雾、抵御数据风险的关键抓手。

    信息安全标准是由相关机构制定的一系列关于信息安全管理的规则、要求和指南，如ISO/IEC27001等。这些标准规定了信息安全管理的目标、原则、框架和具体要求，为不同组织的信息安全管理工作提供了统一的规范和衡量尺度。组织在建设信息安全管理体系时，以信息安全标准为依据，能够确保体系的科学性、合理性和有效性，使信息安全管理工作有章可循、有法可依。人为操作失误是导致信息安全事故发生的重要原因之一，如误删重要数据、泄露敏感信息等。定期开展信息安全培训，能不断强化员工的安全意识，使其时刻保持警惕。培训中通过案例分析、模拟操作等方式，让员工深刻认识到人为操作失误可能带来的严重后果，掌握正确的操作方法和流程。随着员工安全素养的提升，在日常工作中能更加规范地操作，从而有效降低因人为操作不当引发的安全事故发生率。 数据泄露的渠道已从传统的外部攻击向多元化发展。上海个人信息安全介绍

安言咨询，深耕网络信息安全与风险领域，凭借专业的服务和深厚的积累，成为国内专业的服务提供商。南京证券信息安全分类

    对数据处理活动进行深入分析，识别数据生命周期每个环节可能存在的风险点。同时，对现有的技术防护措施进行核查，检查这些措施是否能够有效保障数据安全，是否存在漏洞或薄弱环节。第三阶段：风险识别——精细定位病灶依据标准要求，风险识别阶段需重点聚焦四大领域，精细定位潜在的数据安全风险。在数据安全管理方面，审查企业的制度体系是否健全，**架构是否合理，人员管理是否规范。在数据处理活动安全方面，对数据全生命周期各环节进行细致排查，如传输过程中是否采取了有效的加密措施等。在数据安全技术方面，检查网络安全防护是否到位，访问控制是否严格等。在个人信息保护方面，审查企业是否遵循处理原则，是否充分履行告知同意义务等内容。具体评估内容看以下图片：第四阶段：风险分析与评价——科学诊断风险分析与评价阶段是对识别出的风险进行科学诊断的重要环节。首**行危害程度分析，评估风险一旦发生可能对数据的保密性、完整性、可用性造成的影响程度。其次进行发生可能性评估，综合考虑威胁出现的频率以及企业现有的防护能力，判断风险发生的概率。在此基础上，划分风险等级，将风险划分为重大、高、中、低、轻微五级。南京证券信息安全分类