辽宁省地方标准：个人信息安全风险管理指南

"DB21/T 1628.5-2014 信息安全 第5部分：个人信息安全风险管理指南" 这篇文档是辽宁省地方标准，专注于个人信息安全风险管理，旨在指导个人信息管理者识别、分析和处理可能威胁个人信息及其主体权益的风险。该标准遵循了GB/T1.1—2009《标准化工作导则第1部分：标准的结构与编写》的规范，是DB21/T1628系列标准的第五部分，该系列还包括个人信息保护规范、管理体系实施指南、数据库管理指南、文档管理指南、安全技术实施指南以及内审实施指南等。 标准中详细阐述了以下几个关键知识点： 1. **风险管理概述**：明确了风险因素，包括技术和人为因素，以及风险的分类，如技术风险、操作风险等。同时，规定了风险管理的职责，如风险管理部门的设立和职责分配，以及风险管理的实施流程。 2. **个人信息安全风险管理过程**：这一过程包括风险识别、风险分析、风险判定和风险处理。风险管理应覆盖所有涉及个人信息的资源和活动。 3. **风险评估**：风险评估包含四个主要步骤。首先，根据资源（如硬件、软件、数据）进行风险识别，包括资源风险的确认和描述，并对风险进行持续跟踪。其次，识别管理体系中的风险，以及可能的约束条件。然后，进行风险分析，评估风险的可能性和影响程度。最后，根据判定原则确定风险等级。 4. **风险处理**：风险处理遵循一定的原则，包括风险接受原则，即基于风险接受基准来决定是否接受风险。此外，区分不同类型的可接受风险，并通过风险缓解、风险转移或风险避免等方式来处理风险。处理后，可能会存在残余风险，需要进一步管理和控制。 5. **风险控制**：风险控制要求建立有效的风险监控机制，确保个人信息安全管理体系的有效运行。这包括定期的内部审计和文档管理，以确保风险管理的合规性和持续改进。 此标准对于个人信息安全管理具有重要意义，它提供了一个全面的方法框架，帮助组织在处理个人信息时，能够系统地识别、评估和控制风险，从而保护个人隐私，维护信息安全。