數據識別主要分析識別數據分類(lèi)（含子類(lèi)）、數據項名稱(chēng)、數據屬性與要素（數據來(lái)源、數據規模、數據用途、數據存儲位置、數據共享情況、數據是否出境等）、數據分級等，并形成數據目錄清單。

數據處理活動(dòng)識別主要圍繞數據采集、數據傳輸、數據存儲、數據處理、數據交換、數據銷(xiāo)毀等全生命周期，結合組織業(yè)務(wù)流程、系統功能實(shí)現等情況，識別數據處理活動(dòng)以及個(gè)人信息處理活動(dòng)，并進(jìn)行記錄。

數據安全威脅識別主要包括威脅的來(lái)源、主體、種類(lèi)、動(dòng)機、頻率、時(shí)機等。威脅來(lái)源包括環(huán)境、意外、人為三類(lèi)，根據威脅來(lái)源不同，進(jìn)一步劃分威脅的種類(lèi)與威脅來(lái)源的主體、動(dòng)機，威脅頻率應根據經(jīng)驗和有關(guān)的統計數據來(lái)進(jìn)行判斷。最終結合威脅的行為能力、威脅發(fā)生時(shí)機，通過(guò)威脅發(fā)生的頻率給出威脅賦值。

數據安全脆弱性識別主要可從技術(shù)和管理兩方面進(jìn)行審視。技術(shù)脆弱性包括數據處理活動(dòng)過(guò)程中所涉及的技術(shù)性安全問(wèn)題或隱患。管理脆弱性包括組織數據處理活動(dòng)過(guò)程中，組織管理體系中的責權劃分、應急處置、運行維護等管理制度的完備程度與可行程度。最終根據數據安全脆弱性危害程度給出數據安全脆弱性指數賦值。

安全措施可以分為預防性安全措施和保護性安全措施兩種。預防性安全措施可以降低威脅利用脆弱性的可能，保護性安全措施可以降低數據安全事件發(fā)生后造成的影響。安全措施識別應充分考慮數據對象安全等級所對應的安全需求。

風(fēng)險分析與評價(jià)主要圍繞數據、數據處理活動(dòng)，對已識別的數據安全威脅、脆弱性、安全措施，綜合運用數據安全風(fēng)險分析與評價(jià)模型，給出定性與定量相結合的風(fēng)險分析與評價(jià)結果，并明確風(fēng)險接受程度以及風(fēng)險處置措施。

■  提供全面的風(fēng)險認知：通過(guò)評估，組織可以全面了解其信息資產(chǎn)所面臨的威脅和風(fēng)險，從而制定相應的防護措施；

■  優(yōu)化資源分配：評估結果可以幫助組織更好地分配資源，將有限的安全預算用于最需要的領(lǐng)域，提高整體安全性能；

■  合規要求滿(mǎn)足：許多行業(yè)和法規對數據安全有明確的要求，通過(guò)評估，組織可以確保其符合相關(guān)合規標準。