數(shù)據(jù)識(shí)別主要分析識(shí)別數(shù)據(jù)分類（含子類）、數(shù)據(jù)項(xiàng)名稱、數(shù)據(jù)屬性與要素（數(shù)據(jù)來源、數(shù)據(jù)規(guī)模、數(shù)據(jù)用途、數(shù)據(jù)存儲(chǔ)位置、數(shù)據(jù)共享情況、數(shù)據(jù)是否出境等）、數(shù)據(jù)分級(jí)等，并形成數(shù)據(jù)目錄清單。

數(shù)據(jù)處理活動(dòng)識(shí)別主要圍繞數(shù)據(jù)采集、數(shù)據(jù)傳輸、數(shù)據(jù)存儲(chǔ)、數(shù)據(jù)處理、數(shù)據(jù)交換、數(shù)據(jù)銷毀等全生命周期，結(jié)合組織業(yè)務(wù)流程、系統(tǒng)功能實(shí)現(xiàn)等情況，識(shí)別數(shù)據(jù)處理活動(dòng)以及個(gè)人信息處理活動(dòng)，并進(jìn)行記錄。

數(shù)據(jù)安全威脅識(shí)別主要包括威脅的來源、主體、種類、動(dòng)機(jī)、頻率、時(shí)機(jī)等。威脅來源包括環(huán)境、意外、人為三類，根據(jù)威脅來源不同，進(jìn)一步劃分威脅的種類與威脅來源的主體、動(dòng)機(jī)，威脅頻率應(yīng)根據(jù)經(jīng)驗(yàn)和有關(guān)的統(tǒng)計(jì)數(shù)據(jù)來進(jìn)行判斷。最終結(jié)合威脅的行為能力、威脅發(fā)生時(shí)機(jī)，通過威脅發(fā)生的頻率給出威脅賦值。

數(shù)據(jù)安全脆弱性識(shí)別主要可從技術(shù)和管理兩方面進(jìn)行審視。技術(shù)脆弱性包括數(shù)據(jù)處理活動(dòng)過程中所涉及的技術(shù)性安全問題或隱患。管理脆弱性包括組織數(shù)據(jù)處理活動(dòng)過程中，組織管理體系中的責(zé)權(quán)劃分、應(yīng)急處置、運(yùn)行維護(hù)等管理制度的完備程度與可行程度。最終根據(jù)數(shù)據(jù)安全脆弱性危害程度給出數(shù)據(jù)安全脆弱性指數(shù)賦值。

安全措施可以分為預(yù)防性安全措施和保護(hù)性安全措施兩種。預(yù)防性安全措施可以降低威脅利用脆弱性的可能，保護(hù)性安全措施可以降低數(shù)據(jù)安全事件發(fā)生后造成的影響。安全措施識(shí)別應(yīng)充分考慮數(shù)據(jù)對(duì)象安全等級(jí)所對(duì)應(yīng)的安全需求。

風(fēng)險(xiǎn)分析與評(píng)價(jià)主要圍繞數(shù)據(jù)、數(shù)據(jù)處理活動(dòng)，對(duì)已識(shí)別的數(shù)據(jù)安全威脅、脆弱性、安全措施，綜合運(yùn)用數(shù)據(jù)安全風(fēng)險(xiǎn)分析與評(píng)價(jià)模型，給出定性與定量相結(jié)合的風(fēng)險(xiǎn)分析與評(píng)價(jià)結(jié)果，并明確風(fēng)險(xiǎn)接受程度以及風(fēng)險(xiǎn)處置措施。

■  提供全面的風(fēng)險(xiǎn)認(rèn)知：通過評(píng)估，組織可以全面了解其信息資產(chǎn)所面臨的威脅和風(fēng)險(xiǎn)，從而制定相應(yīng)的防護(hù)措施；

■  優(yōu)化資源分配：評(píng)估結(jié)果可以幫助組織更好地分配資源，將有限的安全預(yù)算用于最需要的領(lǐng)域，提高整體安全性能；

■  合規(guī)要求滿足：許多行業(yè)和法規(guī)對(duì)數(shù)據(jù)安全有明確的要求，通過評(píng)估，組織可以確保其符合相關(guān)合規(guī)標(biāo)準(zhǔn)。