数据安全是大数据发展的基石。“十四五”规划提出完善适用于大数据环境的数据分类分级保护制度；加强数据安全评估，推动数据跨境安全有序流动。《中华人民共和国数据安全法》（以下简称《数据安全法》）明确国家建立集中统一、高效权威的数据安全风险评估、报告、信息共享、监测预警机制；重要数据的处理者应当定期开展风险评估，并向有关主管部门报送风险评估报告。
目前国家对于数据安全风险评估缺乏相关标准，而数据安全风险评估又是数据安全领域的基础工程，也是数据治理工作的核心任务，其目的在于及时评估数据安全风险状态，并监测、处置数据安全风险，为数据的保护和充分利用奠定基础。随着大数据技术的广泛应用，有效识别和处理风险将是数字经济发展的必经之路。因此，本文尝试建立基于业务、围绕数据本身和所处数据处理活动的全流程风险评估方法，从评估原理、评估模型、评估场景、评估控制点等方面进行研究，探索数据安全风险评估的实践路径。一、数据安全风险定义
《数据安全法》第三条第二款、第三款规定了：数据处理，包括数据的收集、存储、使用、加工、传输、提供、公开等；数据安全，是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。而在2018年2月，ISO发布了《ISO 31000：2018（en）Risk management-Guidelines》，将“风险”定义为“不确定性对目标的影响”，即所有类型和规模的组织都面临内部和外部的、使组织不能确定是否及时实现其目标的因素和影响。这种不确定性所具有的对组织目标的影响就是“风险”。
基于此，本文对“数据安全风险”的概念作如下定义：是指数据在收集、存储、使用、加工、传输、提供、公开等数据处理活动中，由于自然因素、人为因素、技术漏洞和管理缺陷造成其完整性、保密性、可用性被破坏，导致被泄露、窃取、篡改、毁损、丢失、非法使用等，进而对国家安全、公共利益或者组织、个人的合法权益造成影响。2021年12月22日，工业和信息化部发布了《工业和信息化领域数据安全风险信息报送与共享工作指引（试行）（征求意见稿）》，明确指出数据安全风险包括但不限于数据泄露、数据篡改、数据滥用、违规传输、非法访问、流量异常等。
二、数据安全风险评估的研究
（一）评估原理
根据相关的国际和国内标准以及数据安全研究成果，建立数据安全风险评估关系模型。主要围绕数据、数据应用场景、数据安全威胁、数据安全脆弱性和安全措施5个评估要素展开。
数据安全风险评估的核心是数据，数据流转于各应用场景。脆弱性是数据本身的属性，在应用场景中，由各主体在数据处理活动中形成不同的数据行为，可能存在管理和技术方面的脆弱性，从而导致了数据安全风险。安全措施的实施可以降低数据脆弱性被利用的困难程度，抵御威胁，以实现对数据的保护。
（二）评估模型
为落实数据安全风险评估所涉及的各项工作，需要建立一套完备且系统的、可行的、适用于数据风险评估的评估模型，如图1所示。
