| 评估维度 | 硬性指标 | 操作流程 | 验收规范 |
|---|---|---|---|
| 数据分类分级 | 覆盖全部业务字段，分类准确率≥98% | 采用自动化扫描+人工复核双机制，每季度更新一次分类清单 | 输出经签章确认的《数据资产分类分级表》，留存审计日志不少于180天 |
| 访问控制 | 实现最小权限原则，权限颗粒度至API接口级 | 部署RBAC模型，结合动态令牌验证，关键操作需双因素认证 | 权限申请与审批记录完整可追溯，异常登录实时告警并阻断 |
| 加密保护 | 静态数据AES-256加密，传输数据TLS 1.2+ | 密钥由HSM设备托管，轮换周期不超过90天，禁用硬编码密钥 | 通过密码应用安全性评估（GM/T 0054）检测报告作为佐证材料 |
| 日志审计 | 记录覆盖身份认证、数据读写、配置变更等关键行为 | 日志集中采集至SIEM平台，保留时间不少于180天 | 支持按时间、用户、操作类型三维检索，响应时间≤5秒 |
| 数据出境 | 跨境传输须通过国家网信部门安全评估或认证 | 开展PIA（隐私影响评估），签署标准合同条款并备案 | 建立出境数据台账，包含目的、类型、接收方、保护措施四项要素 |
所有评估活动应形成《数据安全自评估报告》，由法定代表人或授权负责人签字确认，并在结果生成后10个工作日内上传至行业监管平台。
| 高频问题 | 执行痛点 | 标准化对策 |
|---|---|---|
| 历史数据分类困难 | 存量数据缺乏元数据描述，自动化识别准确率低 | 分阶段推进：优先处理近一年活跃数据；对冷数据采用抽样标注+机器学习泛化方法；建立数据主人责任制，由业务方协助确认敏感属性 |
| 第三方组件风险不可控 | 开源中间件存在已知漏洞，供应商不配合升级 | 建立SBOM（软件物料清单）管理制度；将YD/T 4562要求写入采购合同；对高风险组件实施网络微隔离与运行时防护 |
| 多云环境策略不一致 | AWS、Azure与私有云权限模型差异导致策略错配 | 部署统一云安全策略编排引擎，将本地规则翻译为各平台原生语言（如IAM Policy、Azure RBAC）；每日执行策略一致性校验 |
| 评估结果难以量化 | 主观判断占比高，无法支撑管理层决策 | 引入DSMM（数据安全成熟度模型）评分机制；设置可测量KPI：如“高危漏洞修复率≥95%”、“越权访问阻断成功率100%” |
| 跨境合规复杂度高 | 同一服务面向多国用户提供，法律适配成本大 | 实施地理围栏策略，基于IP+GPS双重定位实施差异化控制；在欧盟、东南亚等地设立本地化节点，实现数据本地化存储与处理 |
对于未覆盖新型技术形态（如Serverless、AI训练数据集）的情形，应参照本标准第4.2条风险导向原则，组织专家评审会制定补充控制措施，并报上级主管部门备案。
| 标准号 | 标准名称 | 状态 | 发布日期 | 实施日期 |
|---|---|---|---|---|
| YD/T 3542-2019 | 云服务开通过程运维管理技术要求 | 现行 | 2019-11-11 | 2020-01-01 |
| YD/T 3471-2019 | 公有云服务安全运营技术要求 | 现行 | 2019-08-27 | 2020-01-01 |
| YD/T 3470-2019 | 面向公有云服务的文件数据安全标记规范 | 现行 | 2019-08-27 | 2020-01-01 |
| YD/T 3157-2016 | 公有云服务安全防护要求 | 现行 | 2016-07-11 | 2016-10-01 |
| YD/T 3158-2016 | 公有云服务安全防护检测要求 | 现行 | 2016-07-11 | 2016-10-01 |
| YD/T 3748-2020 | 公有云服务安全运行可视化管理规范 | 现行 | 2020-08-31 | 2020-10-01 |
| YD/T 3671-2020 | 公有云服务平台安全运维管理要求 | 现行 | 2020-04-16 | 2020-07-01 |
| YD/T 3863-2021 | 视频云服务平台技术要求 | 现行 | 2021-03-05 | 2021-04-01 |
| YD/T 4562-2023 | 电信网和互联网云服务数据安全评估指南 | 现行 | 2023-12-20 | 2024-04-01 |
| YD/T 4122-2022 | 智能型通信网络 支持云服务的技术要求 | 现行 | 2022-09-30 | 2023-01-01 |