评估项清单思维导图

如有建立其中是否明确本单位的数据安全责任人

是否明确数据安全工作人员及职责

是否明确接收用户投诉和举报处理机制，包括渠道，负责人，联系方式等关键信息

是否公布接受投诉、举报的联系方式

是否符合职责分离、专人专岗等原则

是否照测评报告要求，开展整改建设工作

规范中是否有明确的审批制度、流程、管理范围

明确组织结构和职责、预防和预警机制、事件分级和分类、应急处置和保障措施等。

制度中是否明确要求出现数据安全事件时，向网信部门和有关部门及时报告数据安全保护和事件处置的方式、时间、处置报告流程等相关细则，及时处理和应对安全威胁

是否印发数据安全风险评估制度

是否定期开展风险评估工作

是否对数据处理关键岗位人员的数据安全意识或者专业能力进行考核

数据安全管理制度中是否明确了数据分类管理、分级保护策略，数据访问权限申请、保护措施部署中是否落实了数据分类分级保护措施。

是否对建立的资产清单定期的进行更新

是否通过数据资产管理等工具对数据资产清单及时更新、维护

是否建立分类分级策略

是否监督合作方人员的日常服务安全管理

是否对合作方接入的系统、使用的技 术工具进行了技术检测，避免引入木马、后门等

对合作方人员数据导出操作或数据外发操作是否具备监督管理。

远程运维的审批、管理和安全防护措施是否按照相关要求进行规范

处理政务数据是否有相应的批准程序。

是否有委托处理政务数据

是否建立个人信息安全事件应急预案

是否建立便捷的数据安全相关投诉举报渠道

是否以显著方式、清晰易懂的语言真实、准确、完整地公开个人信息处理规则

是否公开个人信息保护负责人的联系方式

是否明确了收集数据的目的和用途

是否通过合同协议等合法方式，约定从外部机构收集的数据范围、收集方式、使用目的和授权同意

是否明确个人信息收集的目的、方式和范围，并经被收集者同意

是否涉及收集不满十四周岁未成年人个人信息

个人信息处理活动应具备《个人信息保护法》规定的合法性事由

制度中是否规范存储介质使用、购买、标识和报废流程

是否对数据跨境传输进行安全评估

是否制定数据跨组织传输管理规则

是否建立跨组织数据传输安全技术措施

如建立，数据使用正当性管理制度能否保证数据在数据清洗、转换、建模、分析、挖掘等加工过程中可以得到保护

是否进行严格的导出权限管理

存在委托加工数据，是否明确约定了受托方的安全保护义务

安全保护义务是否能够约束受托方非法留存、扩散数据

是否存在委托第三方处理个人信息

是否制定数据提供内容、范围、安全管理制度

明确数据提供者与数据共享使用者的数据保护责任

是否开展安全评估

对数据公开业务合规性是否进行了严格审核

是否明确了删除对象和流程

是否建立了数据删除审批机制

如有相应策略和操作规程，相应策略和操作规程中是否明确各类介质的销毁流程、方式和要求

是否依据存储内容重要性、存储介质使用寿命，明确存储介质销毁方法

是否对销毁的存储介质进行妥善处置

制度中是否明确用户账号分配、开通、使用、变更、注销等安全保障要求

是否对数据权限申请和变更进行审核

是否严格控制管理员权限账号数量

是否建立数据访问权限与访问者的身份、用户角色关联

是否对离职人员账号、沉默账号及时回收

对数据批量复制、下载、导出、修改、删除等数据敏感操作是否采取多人审批授权或操作监督

是否建立个人信息保护内部操作规程

对采集终端是否会进行漏洞检测

客户端完成相关业务后，是否会对缓存数据进行清理，清理策略如何

缓存数据中是否留存敏感个人信息或重要数据

是否对检测到的安全漏洞进行修复、处置

是否存在未授权访问、超范围授权、权限未及时收回、特权账号设置不合理等情况

是否对敏感操作（如：批量传输、下载、导出等）具备安全监控和分析能力

是否对数据异常访问和操作进行告警

是否具备对存储载体性能监控措施，包括使用历史、性能指标、错误或损坏情况

是否对超过安全阈值的存储载体进行预警

如有期限，期限到期后是否会按期删除数据

是否定期执行数据备份和恢复

在共享数据过程是否进行监控审计

是否对导入导出的终端、用户或服务组件等执行身份鉴别

对导出数据的存储介质是否有严格的加密、使用、销毁要求

身份标识是否具有唯一性

鉴别信息是否具有复杂度要求并定期更换

是否对测试数据和测试结果进行控制

是否有对真实数据进行去标识化、脱敏处理（测试确需信息除外）

规范中是否明确数据传输安全要求

对敏感个人信息和重要数据在传输中是否进行加密

数据加工过程中是否对个人信息、重要数据等敏感数据的操作行为记录、定期审计

对外提供的数据是否会包括敏感数据

接口调用方（内外部）是否明确数据的使用目的、供应方式、保密约定及数据安全责任等情况

是否对接口访问进行日志记录

是否具备接口认证鉴权与安全监控能力、限制违规接入

是否对接口调用进行必要的自动监控和处理

是否满足敏感数据在传输、共享、发布等环节敏感信息隐藏、模糊化处理要求

是否验证开发测试、人员信息公示等应用场景的数据脱敏效果

数据接口安全制度中是否明确规定服务接口的安全限制和安全控制措施

个人信息收集是否限定实现处理目的的最小范围

是否存在过度收集个人信息行为

是否可以及时提供个人信息查阅

是否为个人提供请求个人信息更正，补充的途径

是否指定个人信息保护负责人，并公开联系方式

是否遵守重要数据处理者相关规定

个人信息处理规则是否告知个人行使《个人信息保护法》规定权利的方式和程序

是否对个人信息处理情况进行记录

是否开展个人信息保护影响评估

是否对敏感个人信息进行处理

物理销毁时如何处置销毁的存储介质

简单介绍一下事件的处置、记录、整改和上报情况

核查有哪些网络安全设备，部署位置、设备类型、功能等情况

是否有相关措施减少互联网的出口数

是否对邮件、终端等关键环节进行安全监控

对敏感信息外发是否有报告预警

网络安全监控日志是否留存6月以上

是否具备对数据交换、共享网络流量进行安全监控和分析能力

是否设置网络边界防护措施

是否根据不同网络区域间实施访问控制