数据安全工程技术人员（初级）三色笔记

发现高危漏洞应遵循约定报告流程及时告知委托方，并协助修复，防止风险扩大。擅自公开披露可能被恶意利用，违反保密义务和勤勉尽责要求。

保密义务不因离职而免除，离职后仍需对在职期间知悉的商业秘密、敏感数据等保密。未经客户授权，不得将数据用于个人用途，也不得以同事同意替代客户授权。

存在可能影响公正性的利益关系时，应主动申报并回避，这是职业规范对客观公正和廉洁自律的基本要求。泄露报价信息、暗中打分均属违规。

数据分级主要依据数据安全事件可能影响的对象的范围以及造成危害的程度，而不是数据容量、时间或文件格式。

数据资产盘点是分类分级的基础环节，只有先查清数据在哪里、由谁管理、包含什么内容、如何流转使用，才能准确分类定级。

按用户、商品、交易、物流、客服等业务条线划分，属于依据数据来源和业务属性进行分类，便于落实业务部门的数据管理责任。

数据分类分级是数据安全风险评估的基础。不同级别数据的安全要求、评估频率和评估深度不同，先明确数据级别，才能合理确定评估范围和评估强度。

数据安全风险评估一般按照评估准备、风险识别、风险分析、风险评价、评估总结与报告等步骤开展，评估准备之后进入风险识别阶段。

弱口令、未开启审计日志属于系统或管理上的弱点，可能被威胁源利用并导致数据安全事件，因此应归类为脆弱性。