检测范围
面向应用系统、数据平台、移动产品和企业数据处理活动，梳理数据目录、处理目的、流转链路、访问权限、存储期限与对外提供情况。通过数据分类分级、个人信息影响评估、控制措施核查和证据抽样，形成数据风险清单与整改验证记录。
数据资产与流转
建立数据项、来源、处理目的、系统节点、接收方和存储位置之间的对应关系。
对象与条件
网站、移动应用、小程序和业务系统 数据中台、数据库、接口和文件交换平台 个人信息、重要数据及业务敏感数据处理活动 数据采集、使用、共享、委托处理和删除流程
需要注意的限制
技术和文档评估不替代法律意见或监管认定，跨境和行业特殊要求需结合实际业务确认。 安全测试按约定范围与时间点实施；高风险变更和持续监测纳入专项计划，法律合规事项按适用法规同步审查 网络安全、数据安全与人工智能结论对应受检样品、约定区域或班次、规定条件和已核对资料，报告记录抽样、保存运输、工况、数据来源和标准版本 网络安全、数据安全与人工智能出现配方、材料来源、工艺、批次、使用环境、法规、目标市场或检查目的变更时，按变更内容更新样品和项目组合
检测时需要注意什么
实施流程
1. 按系统和业务场景建立数据资产、字段、接口与接收方目录；2. 绘制采集、使用、共享、存储、备份和删除的数据流转图；3. 执行分类分级、个人信息影响和控制措施评估；4. 抽查权限、日志、接口、导出、脱敏和删除操作；5. 汇总风险、责任系统、证据位置和整改验证结果
数据字段与业务目的对应
每个采集字段记录来源、使用功能、接收系统和保存期限，避免目录只列字段名称而缺少处理关系。
权限核查落到实际账户
权限矩阵与系统实配、审批记录和访问日志交叉检查，重点查看管理员、运维和批量导出账户。
评估依据覆盖处理全程
GB/T 43697用于分类分级，GB/T 39335用于个人信息影响评估，GB/T 41479用于网络数据处理安全检查。
适用产品和使用场景
数据安全、隐私保护与合规评估适用于以下产品、业务阶段和质量问题。
适用产品和常见问题
- 网站、移动应用、小程序和业务系统
- 数据中台、数据库、接口和文件交换平台
- 个人信息、重要数据及业务敏感数据处理活动
- 数据采集、使用、共享、委托处理和删除流程
样品和资料要求
提交产品阶段、目标市场、样品批次、技术规范、已有数据和当前质量问题。
- 01
数据目录、字段字典、处理流程图和接口清单
- 02
隐私政策、授权文本、合同及数据处理规则
- 03
账户角色、权限矩阵、访问日志和操作记录
- 04
脱敏样例、备份记录、删除记录和事件处置资料
数据目录、字段字典、处理流程图和接口清单 隐私政策、授权文本、合同及数据处理规则 账户角色、权限矩阵、访问日志和操作记录 脱敏样例、备份记录、删除记录和事件处置资料
数据资产目录、数据流转图和接收方清单 数据分类分级与个人信息影响评估表 访问控制、接口、日志和删除验证记录 数据安全风险清单与整改验证报告
检测与分析项目
数据资产与流转
建立数据项、来源、处理目的、系统节点、接收方和存储位置之间的对应关系。
分类分级
依据数据属性、影响对象和泄露后果划分类别与级别，核对目录标识和控制要求。
个人信息影响评估
分析处理目的、必要性、个人权益影响和安全措施，记录高风险场景与处置结果。
访问与使用控制
检查账户、角色、最小权限、审批、导出、共享和特权操作，抽查实际权限与日志。
存储、传输与删除
核对加密、脱敏、备份、跨系统传输、保存期限和删除机制，执行样本数据验证。
监测与事件处置
检查异常访问监测、告警、调查、通报、恢复和复盘记录，验证处置链条可追溯。
检测流程
标准与技术依据
以下是本页引用的标准与方法资料。具体项目是否适用、采用哪个版本及如何判定，需结合对象、条件和委托要求确认。
共 5 项
碳足迹、环境声明、循环材料、数字化和新型能源项目需要明确核算或评价边界、数据质量、技术对象、适用方法、验证规则和结果用途。
核算、验证、声明、合规或安全结论的适用范围，应以委托目标、组织或产品边界、数据来源、标准版本、审定或认证规则和实际技术状态为准。
国家发展和改革委员会报告和检测数据
技术和文档评估不替代法律意见或监管认定，跨境和行业特殊要求需结合实际业务确认。
安全测试按约定范围与时间点实施；高风险变更和持续监测纳入专项计划，法律合规事项按适用法规同步审查
网络安全、数据安全与人工智能结论对应受检样品、约定区域或班次、规定条件和已核对资料，报告记录抽样、保存运输、工况、数据来源和标准版本
网络安全、数据安全与人工智能出现配方、材料来源、工艺、批次、使用环境、法规、目标市场或检查目的变更时，按变更内容更新样品和项目组合
常见问题
01数据安全评估从数据目录还是业务流程开始？
先按业务流程识别实际处理活动，再把字段、系统、接口、接收方和存储位置录入数据目录。
02个人信息影响评估需要准备哪些系统证据？
准备字段字典、页面截图、授权记录、接口文档、权限日志、共享合同、保存期限和删除记录。
03数据分类分级怎样避免同一字段在不同系统等级不一致？
使用统一数据标识关联各系统字段，按业务影响和聚合规模记录等级，并同步到接口与权限规则。
04数据访问权限核查为什么要抽查实际账户？
制度和权限矩阵不能反映临时授权、历史残留和特权账户，实际账户抽查可发现配置偏差。
05数据脱敏效果怎样进行样本验证？
选取不同字段类型和调用场景，对比原始值、展示值、导出值和接口返回，检查可逆性与关联识别风险。
06个人信息删除机制会检查备份数据吗？
删除验证覆盖业务库、缓存、搜索索引、日志和备份策略，并记录各存储副本的处置时间。
07向外部合作方提供数据时怎样形成可追溯记录？
将数据项、目的、接收方、接口、频次、审批、合同和传输日志关联到同一共享活动编号。
08数据安全整改验证为什么要保留责任系统和完成时间？
责任系统和完成时间可把风险项、配置变更、验证证据和后续监测串联，便于持续追踪。