企业如何做 GB/T 45577—2025 数据安全风险评估

原创

We12
We12

安全info

2026年11月10日 16:28
四川

去阅读

点击上方蓝字关注我们

重要声明

随着网络安全越来越重要，“安全info”将定期分享实用安全技术、最新行业动态、案例分析，实战技巧等。鉴于网络安全法的基础文章内容仅供学习，不做其他任何用处！

2025 年 11 月 1 日起，一份新的推荐性国家标准正式实施。它给企业留出了一年多的准备期，但监管要求已经把这件事从\"可选项\"变成了\"必答题\"。

一、背景：一份已经生效的国家标准

GB/T 45577—2025《数据安全技术 数据安全风险评估方法》（英文名 Data security technology — Risk assessment method for data security）：

它虽然是推荐性标准，但配套的监管要求把它变成了硬约束。国家网信办等三部门公布的《网络数据安全风险评估办法》明确要求：

• • 重要数据处理者应当每年至少开展一次数据安全风险评估；
• • 一般数据处理者鼓励至少每三年开展一次；
• • 评估报告保存期限不少于三年；
• • 第三方评估机构不得转委托，同一机构及关联机构不得连续三次以上对同一处理者开展年度评估。

对企业的含义非常直接：过去可以\"有空再做\"的数据安全工作，现在有了明确的周期、明确的方法、明确的报告模板。

二、这份报告要求企业做什么

2.1 评估什么：四个方面、82 个条款、400 条核查要点

标准的核心是附录 A（规范性附录）数据安全风险识别内容，它把数据安全拆成四个方面：

这 400 条核查要点就是标准的\"最小检查单位\"。例如 A.1.1.1「数据安全制度体系」下包含：总体策略方针目标原则的制定情况、管理工作规划或方案的制定情况、分类分级/安全评估/访问权限/全生命周期/应急响应/合作方管理/脱敏/加密/审计/资产管理等制度或要求的建设情况、关键岗位操作规程建设情况、制度内容与法律法规及监管要求的符合情况——共 5 条要点。

2.2 怎么评价风险：两级矩阵，不靠拍脑袋

标准给出了一条可复算、可追溯的评价链路：

1. 1. 风险类型（附录 B 表 B.1，共 23 类）：数据泄露风险、数据篡改风险、数据破坏风险、数据丢失风险、数据滥用风险，以及违法违规获取/出售/保存/利用/提供/公开数据风险、超范围处理数据风险、App 违法违规收集使用个人信息风险、数据不可控风险、数据推断风险等。
2. 2. 危害程度（表 2，5 级）：很高 / 高 / 较高 / 中 / 低，每一级都有明确的判定口径（如\"很高\"指一旦发生，对国家安全、经济运行造成严重或特别严重危害）。
3. 3. 发生可能性（表 3，3 级）：高 / 中 / 低。同样给出可判断的描述（是否涉及违法违规行为、安全措施是否明显不足、同类业务单位是否高频发生同类事件等）。
4. 4. 风险评价（表 4 矩阵）：危害程度 × 发生可能性 → 风险等级，共 5×3 = 15 种组合，每种组合的结果都是固定的。
5. 5. 风险等级（9.3，5 级）：重大安全风险 / 高安全风险 / 中安全风险 / 低安全风险 / 轻微安全风险，并给出每一级的释义。
6. 6. 风险清单（9.4 表 5）：把前面所有结论收敛成一张表——序号、对应条款、风险类型、风险描述、涉及的数据及类型级别、涉及的数据处理活动、危害程度、发生可能性、风险等级、整改建议。

附录 D 另提供了量化分析路径（百分制，风险分值 R\_i = √σ\_i × V\_i），可作为矩阵法之外的补充。实际工作中绝大多数场景用表 4 矩阵即可闭环。

2.3 大概怎么做：五个阶段

标准给出的评估手段有四种：人员访谈、文档查阅、工具扫描、渗透测试——这也是为什么评估不是纯案头工作，工具扫描那一项天然需要系统支撑。

2.4 最终交什么：附录 E 报告模板

附录 E（资料性附录）给出了数据安全风险评估报告模板，结构为：

封面 → 声明 → 基本信息表（附录 E.2）→ 正文（评估概述 / 评估工作情况 / 数据和处理活动识别 / 风险识别 / 风险分析与评价 / 风险清单形成 / 风险处置建议 / 评估总结）

也就是说，企业最终要交付三样东西：

• • 一份核查底稿：82 个条款、400 条要点的逐条判定与证据
• • 一张风险清单：表 5，每个风险都有类型、等级、涉及数据与处理活动
• • 一份报告：按附录 E 模板成稿，带风险处置建议和残余风险分析

2.5 企业真正的痛点在哪

方法论是清晰的，但落到日常执行，企业的实际困难集中在这四点：

• • 工作量：82 条款、400 条要点，纯用 Word 表格人工判定，光底稿就要几周；漏判一条，整份报告的完整性就站不住。
• • 评级易错：5 级危害程度 × 3 级可能性 = 15 种组合，人工查表容易算错、算漏，且难以复核。
• • 数据资产情况对不上：3.3 要求写清数据资产情况，资产数量、分类分级覆盖率、敏感字段数靠人工统计，与实际台账经常不一致。
• • 每年重来一遍：上一年的核查结论、证据材料、整改情况无法沉淀，复评等于从零开始。

三、MDCGS 系统怎么操作

MDCGS（数据分类分级系统）把 GB/T 45577—2025 的评估框架完整内置，把\"填表 — 核查 — 评级 — 成稿\"压缩成一条流水线。评估框架以只读常量的形式内置在后端（82 个条款与 400 条要点的标准原文、23 类风险类型、表 2/表 3/表 4 的原始口径），不提供任何修改入口，保证系统里的评估内容与国家标准一致。

第 1 步：进入报告中心，新建评估

菜单路径：报告中心 → 「数据安全风险评估报告」页签 → 新建评估。

列表页顶部直接展示标准徽标 GB/T 45577—2025 和四个统计卡：评估条款 82 / 核查要点 400 / 风险类型 23 / 评估记录数。表格里每条评估都带进度条与状态（草稿 / 生成中 / 已生成报告 / 生成失败），操作列是\"编辑 / 生成报告 / 下载报告 / 删除\"。

第 2 步：填写基本信息（附录 E.2 + 第 7 章）

编辑器分成三步，步骤条可点击跳转。基本信息这一步有五张卡片：

1. 1. 被评估方信息（附录 E.2 基本信息表）：单位名称、统一社会信用代码、单位地址、邮政编码、单位性质、所属行业领域、人员/业务规模、数据安全负责人、评估对象、评估对象说明。
2. 2. 联系人信息：姓名、联系方式、职务/职称、所属部门。
3. 3. 评估队伍：评估单位名称/地址/邮编/联系人/联系方式、评估组长、审核人、评估组长日期、审核人日期、评估日期。
4. 4. 信息调研情况（第 7 章）：7.2 业务和信息系统情况、7.3 数据资产情况、7.4 数据处理活动情况、7.5 安全防护措施情况。
5. 5. 评估概述与结论（第 9 章 / 第 10 章）：1.1 评估目的、1.2 评估依据、1.4 评估结论概要、10.2 风险处置建议、10.3 残余风险分析。其中 1.1 / 1.2 / 1.4 若留空，系统会按标准自动成文。
6. 

这里是最有价值的一步：7.3 数据资产情况支持「按系统数据填充」。

一键把系统里已有的资产台账与分类分级成果写进报告：

• • 数据库资产 / 数据库实例数、数据表数、字段数
• • 已确认分类分级字段数，以及分类分级覆盖率
• • 敏感字段数
• • 分类节点数、数据类型数、分级体系级数
• • 非结构化侧：文件资产数、文件数、内容块数、含敏感内容的内容块数、涉及文件数

这意味着报告里的 3.3 不再是人工估的数字，而是与系统里实际台账、实际分类分级结果口径一致的数字——这正是 2.5 节说的\"数据资产情况对不上\"的根治办法。

第 3 步：逐项检查（附录 A，82 条款 / 400 要点）

• • 顶部工具条：已判定数与进度条、结论分布图例、\"筛选结论\"下拉（全部条款 / 未判定 / 按结论筛选）。
• • 四个维度 tab（A.1 ~ A.4），每个 tab 标注条款数量。
• • 条款折叠面板列表头：条款编号 / 条款名称 / 要点数量 / 核查结论 / 风险等级。
• • 展开条款后，标准原文只读展示：条款说明段落 + a) b) c) 核查要点，逐条列出，避免因理解偏差导致漏项。
• • 四个结论按钮：符合 / 部分符合 / 不符合 / 不适用。
• • 两个文本域：核查情况 / 证据、整改建议。

• • 选\"部分符合\"或\"不符合\"时，风险信息区自动展开：

• • 风险类型（多选，附录 B 表 B.1 的 23 类）

• • 涉及的数据及类型、级别
• • 风险描述、风险源描述、涉及的数据处理活动

• • 风险危害程度（表 2，5 级） 与 风险发生可能性（表 3，3 级）——选完之后，风险等级由系统实时按表 4 矩阵算出，五色区分（重大 / 高 / 中 / 低 / 轻微），不需要人工查表，也不会算错。

• • 再次点击已选中的结论 = 取消判定，该条记录整条作废，回到\"未判定\"状态。

• 

第 4 步：汇总与报告

三张卡片，一次看完全局：

1. 1. 核查情况汇总表：按方面统计条款数、核查要点数、符合 / 部分符合 / 不符合 / 不适用，含合计行——这就是给领导看的那张\"体检表\"。
2. 2. 数据安全风险清单（9.4 表 5）：序号、条款、风险类型、风险描述、危害程度、可能性、风险等级，与标准表 5 字段一一对应。
3. 3. 生成报告：

• • 完整性检查：信息未填完时不允许生成，并列出具体缺失项（例如\"10.2 风险处置建议：A.2.4.1 xxx：未判定\"），缺失标签可点击直达对应条款或表单项，不用来回翻找。
• • 格式 PDF / HTML 二选一，可自定义报告标题。
• • 生成后可在页面内直接预览，也可一键下载。

生成的报告写入报告中心，全过程记审计日志（模块、操作人、报告编号、IP、时间）。

第 5 步：报告成品长什么样

按附录 E 模板渲染的完整目录：

声明
数据安全风险评估报告基本信息
一、评估概述
    1.1 评估目的   1.2 评估依据   1.3 评估对象和范围   1.4 评估结论概要
二、评估工作开展情况
    2.1 评估人员情况   2.2 评估时间安排情况   2.3 评估工具和环境情况
三、信息调研情况
    3.1 数据处理者基本情况   3.2 业务和信息系统情况   3.3 数据资产情况
    3.4 数据处理活动情况     3.5 安全措施情况
四、数据安全风险识别
    4.1 数据安全管理   4.2 数据处理活动   4.3 数据安全技术   4.4 个人信息保护
五、风险分析与评价
    5.1 风险分析   5.2 风险评价   5.3 整改建议   5.4 风险处置与残余风险分析
附录一  评估条款核查结果清单（评估底稿汇总）
附录二  数据安全风险源清单
附录三  数据安全风险评估实施流程与要素关系

其中 1.1 评估目的、1.2 评估依据、1.3 评估对象和范围、1.4 评估结论概要、5.1 风险分析、5.3 整改建议由系统按标准自动生成，且所有数字都来自实际判定结果——已核查条款数、形成的风险项数、最高风险等级、风险等级分布——不是模板套话，改不动、改不错。

仅仅贴了部分内容，想要完整报告样本的可以直接加我获取

四、系统到底解决了什么

五、适用场景

• • 重要数据处理者的年度数据安全风险评估
• • 一般数据处理者的周期性（至少三年）评估
• • 迎接网信部门、主管部门的数据安全检查
• • 第三方评估机构的作业底稿
• • 企业内部的数据安全自查与年度复评

结语

GB/T 45577—2025 把\"数据安全风险评估\"从一次性专项，变成了一项常态化工作。标准的方法论其实是清晰的——四个方面、82 个条款、400 条要点、23 类风险类型、一张 5×3 的矩阵、一份风险清单、一套报告模板。

真正的难点从来不在理解标准，而在于：能不能在一个评估周期内，把 82 个条款逐条核查、逐条取证、逐条评级，并且把结论规范地成稿、留存、可复评。

MDCGS 做的，就是把这条最容易塌方的执行链固化下来——标准框架内置、数据自动带入、评级自动计算、完整性自动校验、报告自动成稿。

让企业把有限的评估人员，放在真正需要专业判断的地方，而不是花在填表上。

参考资料

• • GB/T 45577—2025《数据安全技术 数据安全风险评估方法》标准目次与正文要点（clearsec 标准与规范库 ｜ 标准信息检索）
• • 《网络数据安全风险评估办法》答记者问（中国新闻网 ｜ 中国经济网）
• • 标准基本信息（csres 标准信息 ｜ 百度百科）