数据安全风险评估实操:数据安全管理工作规划或工作方案制定情况
- 2026-11-10 20:49:43
要求原文：
A.1.1 安全管理制度A.1.1.1 数据安全制度体系…… b) 数据安全管理工作规划或工作方案制定情况; |
判断组织是否将数据安全总体策略转化为具体工作任务，是否建立持续推进数据安全治理的工作机制。
评估项目 | 具体评估内容 |
规划制定 | 是否制定中长期数据安全建设规划或年度工作计划 |
工作任务 | 是否明确数据资产梳理、分类分级、风险评估、制度建设、技术防护、监测审计等任务 |
实施安排 | 是否明确各项任务的责任部门、责任人、完成时间和交付成果 |
资源保障 | 是否配置必要的人员、经费、技术工具和外部服务资源 |
进度管理 | 是否建立任务跟踪、阶段检查和进度报告机制 |
绩效评价 | 是否建立工作完成情况评价、问题整改和持续优化机制 |
变化管理 | 是否根据法律法规、业务变化、数据规模变化及安全事件调整工作计划 |
评估方法：
1.文件审查：检查年度数据安全工作计划、专项工作方案、项目实施计划。
2.任务核查：随机抽取工作任务，检查是否有责任人、时间节点和交付成果。
3.访谈核查：询问各部门是否了解自身承担的工作任务。
4.记录抽查：检查会议纪要、工作报告、任务工单、整改台账等。
5.结果验证：对照规划目标，检查实际完成情况，而不是只看计划是否编制。
评估记录：
·工作规划或方案名称、制定时间、审批情况。
·工作任务分解表及责任部门。
·任务完成期限及交付成果。
·人员、经费和技术资源配置情况。
·任务完成率及未完成任务清单。
·延期原因、影响分析和补救措施。
·年度总结、检查及改进记录。
理想预期
组织建立年度或中长期数据安全工作规划，规划内容与组织数据安全总体目标相一致。工作任务能够分解到部门和岗位，明确责任人、时间节点、交付成果及资源保障。定期跟踪工作进度，对未完成任务进行分析和整改，并根据业务和风险变化及时调整规划。
重点风险：
工作方案只是为了应付检查而编制；计划任务没有责任部门；规划没有预算和人员保障；连续多年重复制定计划，却没有实际成果。
往期回顾
数据安全风险评估系列
数据安全风险评估实操：数据安全总体策略、方针、目标和原则制定情况
新时代网络空间安全综合系列
等保、关保、数保、个保，网络安全与数据治理“四位一体”的体系化制度框架
网络安全等保系列
等级保护建设参考系列
关基保护系列
数据安全系列
结构化数据（Structured Data）与非结构化数据（Unstructured Data）
医疗机构数据安全和个人信息保护自查简表（基于最新医疗机构管理办法）
个人信息保护系列
