4、风险评估方法：等保风险分析、GDPR数据保护影响评估(DPIA)、实操步骤
风险评估，说白了就是回答三个问题：哪些东西值钱？会被谁破坏？破坏后能忍吗？ 等保和GDPR在这点上思路一致，但尺子和砝码不同。我做合规这么多年，见过太多企业把评估当成填空题——填完表格就完事。结果审计一来，漏洞全漏了。
这一章，我把两套方法的实操拆开揉碎，再告诉你什么时候该用哪套，以及两套怎么串起来用。
4.1 等保风险分析方法
等保的风险分析，依据的是GB/T 20984《信息安全风险评估规范》。核心公式只有一条：
风险值 = 资产价值 × (威胁发生可能性 × 脆弱性严重程度)
或者你更喜欢看矩阵：
风险等级 = f(资产重要性, 威胁等级, 脆弱性等级)
我个人习惯把这三个要素先单独列出来打分，再套公式。你想想看，如果资产价值是5，但周围威胁几乎是0，风险自然不高。反过来，一个内部系统虽然资产等级不高，可漏洞堆成山，威胁天天有——那风险就得标红。
打分标准（我常用的简化版）
| 维度 | 低 (1-2) | 中 (3-4) | 高 (5) |
|---|---|---|---|
| 资产价值 | 公开信息、临时数据 | 内部业务数据、配置 | 核心业务、个人敏感信息 |
| 威胁可能性 | 偶发、需要高级权限 | 常见攻击、弱口令 | 自动化攻击、内部泄露 |
| 脆弱性严重程度 | 配置建议、版本非最新 | 已知未修复漏洞 | 远程代码执行、0day |
打分之后，把三个分数相乘，对照等级表：
- 1-8分：低风险（记录但可不立即处理）
- 9-27分：中风险（限期整改）
- 28-125分：高风险（立即整改，必要时下线）
等保测评机构最终会输出一份《风险评估报告》，里面每个资产都有风险排序。我建议你拿到报告后，先看“高风险”那几项——那才是真正要命的。
4.2 GDPR数据保护影响评估（DPIA）
DPIA和等保风险分析不一样，它不光看“是否安全”，更看“是否尊重数据主体权利”。说白了，就算你的系统固若金汤，但如果你在用户不知情的情况下用他的生物特征做广告——DPIA就会判定为高风险。
GDPR第35条说得很清楚：如果数据处理活动“可能对自然人的权利和自由产生高风险”，就必须做DPIA。 哪些情况算“高风险”？
- 大规模处理特殊类别数据（健康、基因、生物特征）
- 系统化监控公共区域（人脸识别、行为分析）
- 对个人进行自动化决策（信用评分、雇佣决策）
- 处理易受侵害群体的数据（儿童、患者）
DPIA的九步流程（我自己的实操模板）
- 描述处理活动： 什么数据？谁负责？用什么技术？
- 评估必要性： 有没有更少侵害的方式？
- 识别风险： 对数据主体的风险，不只是对企业的风险。
- 评价现有措施： 已经做了哪些保护？（加密、匿名化、访问控制）
- 分析剩余风险： 即使有措施，还有哪些隐患？
- 制定风险处置方案： 新增措施、流程调整、技术变更。
- 征求数据保护官（DPO）意见： 必须留档。
- 记录决策： 接受、减轻、还是停止处理？
- 定期复核： 环境变了，DPIA也要跟着变。
我在给一家电商平台做DPIA时发现，他们把用户浏览记录和购买记录长期存着做“AI推荐”。从安全角度没问题，但从隐私角度，用户根本不知道。我们最后加了：☑️ 声明弹窗 ☑️ 90天自动删除 ☑️ 用户可导出。这才通过DPIA。
4.3 等保风险分析 vs DPIA：到底有啥区别？
| 维度 | 等保风险分析 | DPIA |
|---|---|---|
| 法律依据 | 网络安全法、GB/T 20984 | GDPR 第35条、EDPB指南 |
| 保护对象 | 信息系统、基础设施 | 个人数据、数据主体权利 |
| 风险类型 | 机密性、完整性、可用性 | 隐私侵害、歧视、身份盗用 |
| 分析方法 | 打分矩阵 + 计算 | 定性分析 + 问卷调查 |
| 输出文档 | 风险评估报告 | DPIA报告 + 咨询记录 |
| 频率 | 每两年或系统变更时 | 新处理活动前 + 定期复核 |
但别把两者割裂开。我实际操作时，会把等保的资产清单直接拿来当DPIA的“处理活动清单”，把等保的脆弱性结果当作DPIA中“技术风险”的一部分。这样一次调研，两份成果。
4.4 实操步骤：把两套方法拧成一股绳
下面是我自己在跨国合规项目里用的“双轨实操法”。你照着走，能省至少30%的重复工作。
Step 1：确定评估范围
先画边界。等保侧：哪些系统、网段、设备。DPIA侧：哪些数据处理活动、数据类别、业务场景。一般情况下，核心业务系统 = 两者重叠区域，优先做。
Step 2：建立资产/处理活动清单
把等保资产清单扩展一列“是否涉及个人数据”，涉及的就标记DPIA。我在项目中习惯用Excel模板，加个条件格式，自动标红。
Step 3：分别做风险识别
- 等保：威胁来源（黑客、内部、物理、环境）→ 对应脆弱性（漏洞、配置、物理防护）→ 打分
- DPIA：数据主体风险（泄露、滥用、无法访问）→ 评价现有措施 → 剩余风险
这里有个技巧：等保里的“可用性中断”在DPIA里可能变成“用户无法访问自己的数据”，本质同一件事。你可以用同一个风险描述，只是评价标准不同。
Step 4：综合风险评级与处置
制作一张联合风险矩阵：纵轴等保风险（高/中/低），横轴DPIA风险（高/中/低）。
| 等保 \ DPIA | DPIA高 | DPIA中 | DPIA低 |
|---|---|---|---|
| 等保高 | 紧急处理 | 高优先级 | 中优先级 |
| 等保中 | 高优先级 | 中优先级 | 低优先级 |
| 等保低 | 中优先级 | 低优先级 | 可接受 |
落在“紧急处理”格子的，通常是同时涉及核心业务和大量敏感数据的系统——比如医疗记录数据库、支付系统。这类系统必须同时满足等保三级和DPIA的“广泛公共关注”要求。
Step 5：输出报告与记录留档
两份报告可以分开写，但必须交叉引用。等保报告里提到“个人数据泄露风险”时，要注明《DPIA第X节》。DPIA报告里提到“技术控制措施不足”时，要引用等保脆弱性编号。我之前因为没做交叉引用，审计时被问“你们等保和DPIA是不是各自为战？”——很尴尬。