4. 数据安全风险评估
数据安全风险评估，说白了就是给企业的数据资产做一次“全身体检”。你得知道哪里最薄弱，哪里最容易出问题，然后才能对症下药。我做了这么多年安全，见过太多公司上来就买一堆设备，结果核心数据还是裸奔——这就是没做好风险评估的后果。
4.1 风险评估框架：DSMM 与其它主流模型
聊框架之前，我先说说我的习惯。我个人比较推崇 DSMM（数据安全能力成熟度模型），因为它不光看技术，还看流程、人员和组织。你想想看，光有防火墙，员工随手把数据拷到 U 盘带回家，那有啥用？
DSMM 把数据安全能力分成 5 个级别：
| 成熟度等级 | 核心特征 | 典型表现 |
|---|---|---|
| L1 非正式执行 | 凭经验、无规范 | 安全靠个人自觉，出了事才补救 |
| L2 计划跟踪 | 有制度、能执行 | 制定了数据分类分级制度，但执行不到位 |
| L3 充分定义 | 标准化、可复制 | 所有数据安全流程都有文档，新人也能上手 |
| L4 量化控制 | 可度量、可预测 | 用 KPI 监控安全水位，风险能提前预警 |
| L5 持续优化 | 自适应、智能化 | 安全体系能自动应对新型威胁 |
除了 DSMM，还有 NIST 的网络安全框架、ISO 27001 的 PDCA 循环。但我建议你从 DSMM 入手，因为它更贴合国内的数据安全法规要求。我在项目中遇到过一家金融公司，他们一开始想直接上 NIST，结果发现跟等保对不上，最后又回头补 DSMM 的功课。
4.2 评估流程：从启动到闭环
评估流程其实不复杂，但很多人把它搞复杂了。我一般分 5 步走：
- 定范围 —— 哪些业务系统、哪些数据资产要评估？别想一口吃成胖子，先挑核心的来。
- 摸家底 —— 数据在哪里？谁在用？流向哪里？这一步最费时间，但也是最关键的。
- 找风险 —— 用框架对照现状，找出差距。比如你们的数据加密做到什么程度？访问控制有没有最小权限？
- 算损失 —— 风险一旦发生，会造成多大损失？这个后面会细说。
- 定方案 —— 根据风险等级，制定整改计划。优先级怎么排？看量化结果。
我曾经帮一家电商公司做评估，他们觉得自己做得挺好。结果一摸家底，发现客户数据在 3 个部门之间流转时完全没加密，中间还经过了一个外包商的服务器。嗯，这就是典型的“你以为安全了，其实漏洞百出”。
4.3 风险量化：把“可能出事”变成“多少钱的事”
风险量化，说白了就是给风险贴个价格标签。你光说“这个风险很高”，老板没感觉。你说“这个风险一旦发生，预计损失 500 万”，他立马就坐不住了。
我常用的量化公式很简单：
风险值 = 发生概率 × 影响程度但这里有个坑——概率和程度怎么定？我建议用半定量法，别搞太复杂的数学模型，否则业务部门听不懂，你也算不明白。
举个例子：
| 风险场景 | 发生概率（1-5） | 影响程度（1-5） | 风险值 | 等级 |
|---|---|---|---|---|
| 员工误操作导致数据泄露 | 4 | 3 | 12 | 高 |
| 外部黑客攻击数据库 | 2 | 5 | 10 | 中高 |
| 第三方供应商违规使用数据 | 3 | 4 | 12 | 高 |
| 内部权限滥用 | 3 | 3 | 9 | 中 |
你看，员工误操作和第三方供应商的风险值都是 12，但应对策略完全不同。前者靠培训和流程，后者靠合同约束和技术隔离。
4.4 处置策略：接受、降低、转移、规避
风险评完了，怎么处理？我一般用这四种策略：
- 降低 —— 最常见。加控制措施，比如加密、访问控制、审计日志。
- 转移 —— 买保险、外包给专业安全服务商。但注意，转移不代表完全免责。
- 接受 —— 风险很低，或者处理成本太高，那就先放着。但要记录在案，定期复查。
- 规避 —— 直接砍掉这个业务或功能。比如某个数据接口风险太高，又没法修，那就关掉。
我记得有一次，一家制造企业有个老旧系统，数据安全漏洞一堆，但业务部门死活不肯停。最后我们算了一笔账：修复成本 200 万，但风险发生后的损失可能只有 50 万。嗯，这种情况，接受风险反而是最理性的选择。
4.5 知识体系总览
下面这张图，是我自己梳理的风险评估知识体系。你把它记在脑子里，做评估的时候就不会跑偏。
这张图把风险评估拆成了四个模块。你每次做评估，就按这个结构来，不会漏也不会乱。框架选一个，流程走一遍，量化算清楚，策略定明白——闭环就形成了。