钱伟峰-个人信息安全影响评估实践分享（11页）.pdf

《钱伟峰-个人信息安全影响评估实践分享（11页）.pdf》由会员分享，可在线阅读，更多相关《钱伟峰-个人信息安全影响评估实践分享（11页）.pdf（11页珍藏版）》请在三个皮匠报告上搜索。

1、钱伟峰钱伟峰安言 副总经理（照片部分由主办方添加）个人信息安全影响分析实践分享目录个人金融信息保护合规要求总览个人信息/隐私影响分析标准简介个人信息安全影响评估实践分享常见个人信息安全保护合规要求法律法规网络安全法数据安全法（待颁布）个人信息保护法（待颁布）最高法、最高检关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释App违法违规收集使用个人信息行为认定方法关于加强银行卡安全管理预防和打击银行卡犯罪的通知个人信息和重要数据出境安全评估办法（征求意见稿）个人信息出境安全评估办法（征求意见稿）行业合规要求银行业金融机构数据治理指引商业银行信息科技风险管理指引银行业金融机构信息科技外包风险监

2、管指引中国人民银行关于进一步加强银行卡风险管理的通知标准层面GB/T 35273-2020 个人信息安全规范GB/T 22239-2019 网络安全等级保护基本要求GB/T 39335-2020信息安全技术 个人信息安全影响评估指南JR/T 0171-2020 个人金融信息保护技术规范JR/T 0197-2020 金融数据安全 数据安全分级指南GB/Z 28828-2012 信息安全技术公共及商用服务信息系统个人信息保护指南个人信息安全部影响评估参考标准ISO 29134:2017 Information technology-Security techniques-Guidelines fo

3、r privacy impact assessmentGB/T 39335:2020信息安全技术 个人信息安全影响评估指南ISO 29134 快速解读确定PIA必要性（阈值分析）阶段PIA 准备阶段PIA执行阶段PIA跟进阶段评估PII受侵害后的影响分析现有控制的符合程度选定PII相关控制识别PIIPIA结果回顾报告编制实行隐私风险处理计划风险处理措施设计隐私风险处理准备设立PIA小组准备PIA计划并确定执行PIA的资源可用性描述评估内容确定评估流程当组织或项目涉及以下情景时，需要开展PIA：开发或处理PII的信息系统进行重大改变时，应该进行PIA；任何新项目的启动都应触发阈值分析，以确定是否

4、需要进行PIA；进行涉及PII资产和处理PII的所有系统的资产清单的建立、维护和更新时，需要参考PIA报告；开发和维护库存时，需要从PIAS中提取关于信息系统处理PII 的信息元素；当组织正在处理PII，组织应该建立进行PIA所需的程序；为确保与PII处理相关的计划和服务符合隐私保护要求，组织应该执行PIA并实施所产生的隐私处理计划；识别现有控制措施何时需要做个人信息安全影响评估本次介绍的PIA工具适用于：合规要求（包括但不限于）：ISO/IEC 27701:2019 隐私信息管理体系 GB/T 35273:2020 个人信息安全规范 ISO/IEC 29151:2017 个人身份信息保护实践

5、指南 落地要求：评估用于保护个人信息主体的各项控制措施的有效性，并根据评估结果改进控制措施，降低各项活动对个人信息主体权益造成的影响。触发时机（合规要求）：每年一次 PII处理场景新增或发生变更时 内外部环境发生变化时 当发生重大个人信息安全事件时 信息安全领导小组确定有必要时（*注：不同的合规要求中，对“PII”的命名方式可能不同，实施时需根据实际情况调整）实施方法与步骤 PIA评估的不再是个人信息（PII数据）本身，而是对个人信息主体（PII主体）权益的影响。在一个完整的PIA中，对PII主体权益的影响有两部分组成：1.数据处理活动本身对PII主体权益造成的影响；2.数据受泄露、篡改、不可

6、用、非授权访问的威胁时，对PII主体权益造成的影响。针对PII处理活动，评估用于保护PII主体的各项控制措施的有效性，以判断其对PII主体合法权益造成损害的各种影响。PII处理场景PII数据PII数据类型PII数据泄露、篡改、不可用、非授权访问的可能性PII数据受到以上威胁后对PII主体权益的影响完整的PIAPII处理活动控制PII处理活动的控制措施有效性控制不足时对PII主体权益的影响当前工具所进行的PIA个人信息安全影响评估方法 Step 1：识别PII处理场景，识别各个场景下的PII字段、数据量、涉及的第三方