2026-10-19 20:01:51 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

cover_image

医疗行业数据安全风险评估工作探讨六

原创

草根老烦
草根老烦

老烦的草根安全观

2026年8月14日 10:00
广东

在小说阅读器读本章

去阅读

本篇为本文最后一部分内容，附录不再公众号中发布。自本文最后发布日起5日内征集本手册的冠名商和印刷版赞助商。全文234页（含附录、目录页），10万字，也敬请有兴趣的出版商洽谈印刷出版事宜。

谨以此文致敬8月20日正式执行的《网络数据安全风险评估办法》

数据安全风险评估基本的技能需求与素养

7.1 GB/T 45389-2025 数据安全技术数据安全评估机构能力要求解析

GB/T 45389-2025 《数据安全技术数据安全评估机构能力要求》是为了落实网络数据安全风险评估工作，开发而成的一套国家推荐性标准，该标准规定了数据安全评估机构的能力要求，包括基础条件、管理能力、技术能力、人力资源能力、场所与设备资源能力。标准在范围中声明了文件的适用范围，针对数据安全评估机构自身能力建设，以及对数据安全评估机构的能力评价，也可为数据处理者选择第三方数据安全评估机构提供参考。

该标准通过数据安全评估机构能力要求框架（如图33）定义了数据安全评估机构的能力要求，包括：机构的基础条件、管理能力、技术能力、人力资源能力和场所与设备资源能力做出规范要求。

图33 数据安全评估机构能力要求框架图

7.2 GB-T 45389-2025 数据安全技术数据安全评估机构人员能力要求解析

国标GB/T 45389-2025除了对数据安全评估机构能力给出要求，同样对人员能力也做出相应要求，包括：

1.应熟悉数据安全、个人信息保护相关的法律法规和标准规范。

2.应熟练掌握数据安全风险评估方法，包括但不限于：

i. 根据数据处理者提供的信息，识别、验证数据处理活动，核查数据资产；

ii. 根据法律法规、标准规范在实际评估过程中判断数据合法利用相关问题，能够发现数据处理活动相关信息系统可能存在的管理和技术方面问题；

iii. 熟悉数据分类分级有关标准中关于数据类别、级别的规范及对应的可能危害影响，能够根据实际评估场景中的问题对应的数据属性进行判断；

iv. 了解数据收集、存储、使用、加工、传输、提供、公开、删除等活动的保护措施，能够根据实际评估场景判断对应活动环节保护措施的有效性、适当程度；

v. 依据数据安全风险评估方法，从风险发生的危害影响和可能性方面客观判断数据处理活动相关环节的风险区间。

3.应具有数据安全相关标准应用实践经验或具有数据安全相关项目研究或应用经验，能够根据评估结果做出专业判断并出具评估报告。

4.应掌握访谈、验证、技术检测等测评方法，对于实施技术查验和测试的人员还应具备熟练使用网络安全测试、数据安全评估等工具的能力。

5.应经过数据安全评估相关培训，并取得相关资质。

标准对数据安全评估人员要求做出了相关约定，标准中要求经过数据安全评估相关培训并取得相关资质。目前我国官方发布的数据安全评估工程师认证主要有中国网络安全审查认证和市场监管大数据中心推出的“数据安全评估师证书”（Data Security Assessor Certificate - CCRC），该认证依据国家标准《网络安全从业人员能力基本要求》（GB/T 42446）相关要求，面向开展数据安全检测和风险评估、数据出境风险评估以及提供数据安全咨询服务的相关评估人员系列证书之一。【1】

7.3 基于NICE的数据安全风险评估人员能力要求

2018年美国NIST发布了SP800-181 全国网络安全教育倡议（NICE）网络安全劳动力框架，然后在2020年2022年连续对该标准进行了更新和迭代，最终形成全美网络安全人员岗位聘用和培训教育的基础依据。NICE 框架支持网络安全领域的人员以及那些可能希望进入网络安全领域的人员，以探索网络安全类别和工作角色中的任务。它还协助那些支持这些工作者的人员，如人力资源配备专家和指导顾问，帮助求职者和学生了解哪些网络安全工作的作用以及哪些相关的知识，技能和能力正在被雇主重视，用于未定义的网络安全工作和职位。

知识，技能和能力（KSAs）是执行工作角色所需要的属性，通常通过相关的经验，教育或培训来证明。

l知识是直接应用于功能表现的一组信息。

l技能通常被定义为执行可观察到的学习型心理行为的能力。心理领域的技能描述了物理操纵工具或手段的能力，如手或锤子。网络安全所需的技能应该少依赖于对工具和工具的物理操纵，更多地依靠对组织或个人的网络安全状况产生影响的工具，框架，流程和控制。

l 能力是执行可观察行为或导致可观察到产品行为的能力。

本节从NICE中摘取测试评估、数据管理、法律咨询和倡导以及漏洞评估和管理5个专业域中基于KSA（知识、技能和能力）三个维度定义数据安全评估工程师的技能要求。参见表

数据安全风险评估是一项团队工作而不是个人能力的体现，因此，本表所列的知识、技能和任务可以弹性的分配给团队中的不同成员而非个人能力的总和。

表29 数据安全风险评估工程师KSA一览表


专业域	K知识
测试与评估	计算机网络概念和协议知识，以及网络安全方法。
风险管理流程（例如评估和减轻风险的方法）知识。
与网络安全和数据安全以及个人信息保护相关的法律，法规，政策和道德准则等知识。
网络安全和隐私原则知识。
网络威胁和漏洞知识。
网络安全失效的具体运营影响相关知识。
了解组织的企业信息安全架构。
了解组织的评估和验证要求。
有关安全评估和授权过程的知识。
了解网络安全和隐私原则以及组织要求（与机密性，完整性，可用性，认证，不可否认性相关）。
了解网络硬件设备和功能。
系统管理概念的知识。
系统测试和评估方法的知识。
了解系统工程过程。
对解释和编译的计算机语言的了解。
供应链风险管理实践知识
了解信息技术（IT）供应链安全和供应链风险管理政策，要求和程序。
使用设计时没有考虑系统安全的信息通信技术的关键基础设施系统的知识。
了解网络安全体系结构概念，包括拓扑，协议，组件和原理（例如应用纵深防御）。
安全模型的知识（例如Bell-LaPadula模型，Biba完整性模型，Clark-Wilson完整性模型）。
了解支持网络安全的软件产品。
有关学习者测试和评估流程的知识。
了解个人信息保护相关数据安全标准。
了解个人健康信息（PHI）数据安全标准。
了解行业数据分类分级程序和数据安全事件管理程序。
网络协议的知识，如TCP / IP，动态主机配置，域名系统（DNS）和目录服务。
技能
进行评估活动的技能。
在设计数据分析结构（即评估必须产生的数据类型以及如何分析数据）方面的技能。
确定给定系统的适当评估严格等级的技能。
熟练开发基于操作的评估场景。
开展系统集成评估的技能。
编写评估计划的技巧。
熟练评估测试计划的适用性和完整性。
设计和记录整体方案测试和评估策略的技能。
识别测试和评估基础设施（人员，范围，工具，仪器）要求的技能。熟练管理测试资产，测试资源和测试人员，以确保有效完成测试事件。熟练准备测试和评估报告。
提供测试和评估资源估算的技能。
将网络安全和隐私原则应用于组织要求（与机密性，完整性，可用性，认证，不可否认性相关）的技能。
能力
分析评估数据的能力。
能够收集，验证和验证评估数据。
能够将数据和测试结果转化为评估结论。
能够将网络安全和隐私原则应用于组织需求（与机密性，完整性，可用性，身份验证和不可否认性相关）。
数据管理	知识
计算机算法知识。
计算机编程原理知识
了解数据管理和数据标准化政策。
有关数据挖掘和数据仓库原理的知识。
了解数据库管理系统，查询语言，表关系和视图。
了解企业消息传递系统和相关软件。
了解网络访问，身份和访问管理（例如公钥基础结构，Oauth，OpenID，SAML，SPML）。
操作系统相关知识。
了解基于策略和风险的自适应访问控制。
了解编程语言结构和逻辑。
查询语言的知识，如SQL（结构化查询语言）。
了解组织数据资产的来源，特征和用途。
了解与用于组织和管理信息的各种技术（例如，数据库，书签引擎）相关的能力和功能。
有关命令行工具的知识（例如，mkdir，mv，ls，passwd，grep）。对解释和编译的计算机语言的了解。
了解数据库中的高级数据修复安全功能。
了解数据库访问应用程序编程接口（例如，Java数据库连接[JDBC]）。
了解可以记录错误，异常和应用程序故障和日志记录的应用程序。
数据库理论知识。
技能
熟练进行查询和开发算法来分析数据结构的技能。
熟练掌握数据挖掘技术（如搜索文件系统）和分析。
熟练开发数据字典的技能。
熟练开发数据模型。
数据预处理（例如，插补，降维，归一化，转换，提取，过滤，平滑）的技巧。
识别隐藏模式或关系的技巧。
执行格式转换来创建数据的标准表示的技能。
熟练使用数据分析工具（如Excel，STATA SAS，SPSS）。
识别组织数据资产的来源，特征和用途的技能。
能力
能够构建复杂的数据结构和高级编程语言。
能够剖析问题并检查可能不相关的数据之间的相互关系。
能够准确完整地获取情报，评估和/或计划产品中使用的所有数据。
法律咨询和倡导	知识
了解适用的业务流程和客户组织的运作相关知识。
隐私影响评估的知识。
有关适用法律，法规的知识《网络安全法》《数据安全法》《个人信息保护法》等；法规《关键信息基础设施保护条例》《网络数据安全管理条例》，行政部门指导方针和/或行政/刑事法律指导方针和程序。《网络数据安全风险评估办法》《数据出境管理办法》
了解什么构成对网络的“威胁”。
了解谁是组织的运营规划人员，联系方式和在哪能联系到，以及他们的期望。
了解无线技术（例如，蜂窝，卫星，GSM）的知识包括现代无线通信系统的基本结构，体系结构和设计。
根据现行法律了解隐私披露声明。
技能
有能力制定反映企业核心隐私目标的政策。
谈判供应商协议和评估供应商隐私惯例的技巧。
熟练与包括网络安全领导小组成员在内的所有管理层进行沟通（例如，人际交往技巧，可接近性，有效的倾听技巧，适合听众的风格和语言）。
能力
能够制定明确的方向和网络安全相关立法宣贯学习材料。
能够根据支持组织网络活动的法律，法规，政策和标准制定政策，计划和战略。
能够开发，更新和/或维护标准操作程序（SOP）。
能够根据客户的理解水平定制技术和计划信息。
能够监控信息隐私法律的进步，以确保组织的适应性和合规性。
能够跨部门和业务单位工作，实施组织的隐私原则和计划，并将隐私目标与安全目标保持一致。
能够监控信息隐私技术的进步，以确保组织的适应性和合规性。
能够确定安全事件是否违反隐私原则或需要特定法律行动的法律标准。
能够跨部门和业务单位工作，实施组织的隐私原则和计划，并将隐私目标与安全目标保持一致。
根据现行法律撰写隐私披露声明的能力。
漏洞管理	知识
了解应用程序漏洞相关知识。
密码学知识和加密密钥管理概念
了解数据备份和恢复。
主机/网络访问控制机制知识（例如，访问控制列表，功能列表）。
了解网络安全和隐私原则以及组织要求（与机密性，完整性，可用性，认证，不可否认性相关）。
了解网络访问，身份和访问管理（例如公钥基础结构，Oauth，OpenID，SAML，SPML）。
了解流经网络（如传输控制协议[TCP]和Internet协议[IP]，开放系统互连模型[OSI]，信息技术基础设施库，当前版本[ITIL]）的流量。
了解系统和应用程序安全威胁和漏洞（例如缓冲区溢出，移动代码，跨站点脚本，程序语言/结构化查询语言[PL / SQL]和注入，竞争条件，隐蔽通道，重放，面向返回的攻击，恶意代码）。
系统诊断工具和故障识别技术的知识。
了解构成网络攻击和网络攻击与威胁和漏洞之间关系的因素。
了解不同类型的攻击（例如，被动，主动，内部人员，近距离，分布式攻击）。
网络攻击者的知识（例如脚本小子，内部威胁，非国家战士，国家战士）。
了解系统管理，网络和操作系统强化技术。
了解网络攻击各阶段（例如侦察，扫描，枚举，获得访问权限，提升权限，维护访问途径，网络渗透，清除痕迹）。
了解网络安全体系结构概念，包括拓扑，协议，组件和原理（例如应用纵深防御）。
了解数据备份和恢复概念。
熟悉操作系统的系统管理概念，例如但不限于Unix / Linux，IOS，Android和Windows操作系统。
了解基础设施支持信息技术（IT）的安全性，性能和可靠性。
使用适当的工具（例如Wireshark，tcpdump）了解数据包级分析。
密码学知识。
网络协议的知识，如TCP / IP，动态主机配置，域名系统（DNS）和目录服务。
渗透测试原理，工具和技术的知识。
了解组织的威胁环境。
了解应用程序安全风险知识（例如，OWASP TOP 10）
技能
在进行漏洞扫描和识别安全系统漏洞方面的技能。
通过入侵检测技术（例如Snort）检测基于主机和网络的入侵的技巧。模仿威胁行为的技能。
熟练使用渗透测试工具和技术。
熟练使用社会工程技术。（例如，钓鱼，诱饵，尾随等）。
使用网络分析工具识别漏洞的技巧。（例如，fuzzing，nmap等）。
审查日志以确定过去入侵的证据的技能。
进行应用程序漏洞评估的技能。
执行影响/风险评估的技能。
熟练掌握组织威胁环境的背景知识
将网络安全和隐私原则应用于组织要求（与机密性，完整性，可用性，认证，不可否认性相关）的技能。
能力
能够根据漏洞和配置数据的分析识别系统安全问题。
能够应用编程语言结构（例如源代码审查）和逻辑。
能够分享有关组织威胁环境背景的有意义的见解，从而改善其风险管理姿态。
能够将网络安全和隐私原则应用于组织需求（与机密性，完整性，可用性，身份验证和不可否认性相关）。

7.4 数据安全风险评估人员素养

以下是作为长期工作实践中总结出来的有关数据安全风险评估人员应具备的素养的意见，仅供参考：

l 遵循国家法律法规，具有良好的自我修养，不受利益的诱因出卖客户信息和公司秘密；

l 基于自身的专业知识和能力形成与客户的沟通能力；对专业不卑不亢，对业务虚心求教；

l 良好的自学能力，能够在不熟悉的环境，通过交流、不耻下问、资料学习快速融入用户的业务体系和管理模式中，从甲方的视角考虑解决问题，从专业的乙方角度分析威胁与脆弱性；

l 敢于直言，不屈服于任何外界压力，在适当的场合披露发现的问题及不足；

l 公正、专业；不因商业利益刻意夸大用户风险，增大用户的投资，能够为用户未来的数据安全趋势提出自己的见解，不去追捧和抄袭；

l 最后，能够基于用户的行业现状，不仅为用户提供最终的技术收益，还应该为用户提供良好的绩效收益。

总结

数据安全风险评估是一项系统性工程，尤其在医疗行业，其复杂性远超传统网络安全评估。本文通过梳理立法要求、行业痛点、常见误区与实践方法，试图为从业者勾勒出一幅相对完整的认知地图。

核心结论可以浓缩为以下几点：

1.评估的出发点是业务，而非简单的技术。脱离业务谈数据纯属空中楼阁，业务流是数据流转的基础。

2.评估的目的是发现问题，而非单纯应对合规。“表面合规”是行业顽疾，但监管趋势已从“口头提倡”升级为“硬性指标”。

3.评估无法低价复制。医疗行业的业务逻辑、组织架构、技术实现各不相同，高度定制化是必然选择。

4.评估人员的核心素养是业务理解力。不懂业务的评估就是走过场，3至5年的行业沉淀是基本要求。

5.数据安全将不再局限于纯技术职业，而是演变为基于业务的综合能力的价值体现。

“发现问题”是任何风险评估工作存在的根本价值。当评估报告写完，风险却未有效识别、解决——这应是能力短板，而不应是态度问题。医疗数据安全风险评估必须建立行业特有的危机基础之上-医疗数据安全问题可能导致患者生命安全问题的高危思维。愿每一位从业者都能守住底线，敢说真话，真正为医疗数据安全筑起一道坚实的防线。

【1】 https://www.isccc.gov.cn/wlaqrz/shyjcypx/sjaqpgs/