网络安全合规体系整合文档

涵盖四份核心文档：

第一部分：总览与关系

一、一句话定位

二、四者关系图

┌─────────────────────────────────────┐
│ 《网络安全法》 │
│ 《数据安全法》 │
│ 《个人信息保护法》 │
│ 《密码法》 │
│ 《反电信网络诈骗法》 │
└──────────┬────────────┬──────────────┘
│ │
┌──────────────────┘ └──────────────────┐
▼ ▼
┌──────────────────┐ ┌──────────────────┐
│ 等保2.0 (系统) │ │ 双新评估 (业务) │
│ 法定强制 │ │ 行业合规指引 │
│ 定期测评 │ │ 上线前/变更触发 │
└────────┬─────────┘ └────────┬─────────┘
│ │
┌────────┴─────────┐ ┌─────────┴─────────┐
│ 密码应用 39786 │ │ 数据分类分级 │
│ 密码怎么用 │ │ 数据怎么分 │
│ 与等保等级对应 │ │ 识别重要/核心数据 │
│ 等保的密码专项 │ │ 等保的数据专项 │
└──────────────────┘ └───────────────────┘

关系解读：

• 等保2.0 = 系统安全的"骨架"，密码和分级是它的"专项深化"
• 双新评估 = 业务层面的"安检门"，与等保是"系统vs业务"互补关系
• 密码应用39786 = 等保中密码部分的"细化标准"
• 数据分类分级 = 数据安全法的"落地规则"，也是等保数据安全的"前提"

第二部分：🏰 等保2.0 GB/T 22239-2019

2.1 最新法律法规体系（2020年至今）

法律（上位法）

行政法规（重点）

• ★《关键信息基础设施安全保护条例》（国务院令745号，2021.9.1）：关基识别认定、运营者双重保护义务
• ★《网络数据安全管理条例》（国务院令790号，2025.1.1施行·最新）：数据处理者义务、重要数据目录、数据出境
• 《商用密码管理条例》（2023修订，2023.7.1施行）
• 《网络安全等级保护条例》（征求意见稿阶段）

部门规章与规范性文件

• 数据跨境：数据出境安全评估办法(2022)、个人信息出境标准合同办法(2023)、促进和规范数据跨境流动规定(2024)
• 网络安全审查办法(2022.2.15)、网络产品安全漏洞管理规定(2021.9.1)
• AI治理：生成式AI服务管理暂行办法(2023.8.15)、深度合成管理规定(2023.1.10)、算法推荐管理规定(2022.3.1)
• 行业：汽车数据安全管理若干规定(试行，2021)

2.2 五级保护等级（能力要求）

等级越高：应对威胁源越强、监测处置要求越高、灾后恢复越迅速完整

2.3 双轨结构

等保2.0 = 安全通用要求 + 安全扩展要求

安全通用要求：共性需求，任何形态都必须按等级满足
安全扩展要求：按"等级 + 特定技术/场景"选择性实现
├── 云计算扩展要求
├── 移动互联扩展要求
├── 物联网扩展要求
└── 工业控制系统扩展要求

2.4 十大分类（结构骨架）

技术5类

管理5类

2.5 十大分类 → 防护措施 → 对应安全设备

安全物理环境

安全通信网络

安全区域边界

安全计算环境

安全管理中心

安全管理（管理与管控）

• 机构：成立网络安全领导、三岗分离、安全管理员专职
• 制度体系：安全策略→管理制度→操作规程→记录表单 四层
• 人员：录用审查+保密协议、离岗承诺、培训考核、外部人员控制
• 建设：定级备案、安全方案、产品合规采购、第三方监理、等级测评、供应链/外包管理
• 运维：应急预案（含演练）、变更管理、漏洞与风险管理、密码合规

2.6 各等级保护要点与对应设备

第三级（最常测评）

要点：身份鉴别双因子（含密码）；数据完整性+保密性+本地/异地备份+热备；边界应用内容控制+内外攻击检测；计算环境安全标记+剩余信息+个人信息保护+可信动态验证；管理三员分离+集中管控+备案

典型设备：

防火墙 + IPS/WAF
日志审计 + 态势感知
堡垒机
双因子认证
备份 + 灾备
漏洞扫描
防病毒/EDR

第四级（国家层面）

双门禁加固、强制访问控制+统一安全标记、可信计算（TCB）、密码技术强支撑、双因子普及

2.7 扩展场景对应的安全设备

2.8 合规实操流程

定级(GB/T 22240) → 专家评审 → 备案(报公安机关网安)
→ 差距分析与安全整改 → 委托资质机构等级测评(GB/T 28448)
→ 监管监督检查与持续整改 → 密评与定期测评

常言：“定级是前提，备案是条件，测评是抓手，整改是核心”

2.9 责任与红线

⚠️ 实操：等保测评管理类比重高，只上技术设备而管理文档缺失，仍评不过

第三部分：🔐 密码应用 GB/T 39786-2021

3.1 标准基本信息

与其他标准关系

3.2 核心术语

3.3 总体框架

框架图

┌─────────────────────────────────────────────────────────────────┐
│ 信息系统密码应用基本要求 │
├──────────────────────────────────┬──────────────────────────────┤
│ 技术要求 │ 管理要求 │
│ ┌────────────────────────────┐ │ ┌────────────────────────┐ │
│ │ ① 物理和环境安全 │ │ │ ① 管理制度 │ │
│ │ ② 网络和通信安全 │ │ │ ② 人员管理 │ │
│ │ ③ 设备和计算安全 │ │ │ ③ 建设运行 │ │
│ │ ④ 应用和数据安全 │ │ │ ④ 应急处置 │ │
│ └────────────────────────────┘ │ └────────────────────────┘ │
├──────────────────────────────────┴──────────────────────────────┤
│ 等级划分：第一级 → 第二级 → 第三级 → 第四级 │
│ （第五级仅含通用要求，具体要求略） │
└─────────────────────────────────────────────────────────────────┘

核心思想

四个技术层面 × 四个安全功能维度 × 四个管理维度 → 四个安全等级

四个安全功能维度

🔐 机密性 ← 加密（对称/非对称）
📋 完整性 ← MAC、数字签名、哈希
👤 真实性 ← 动态口令、MAC、数字签名
🚫 不可否认性 ← 数字签名

技术要求保护对象

机密性保护对象：身份鉴别信息、密钥数据、传输的重要数据、存储的重要数据

完整性保护对象（10类）：身份鉴别信息、密钥数据、日志记录、访问控制信息、重要信息资源安全标记、重要可执行程序、视频监控音像记录、电子门禁系统进出记录、传输的重要数据、存储的重要数据

真实性应用场景（6类）：进入重要物理区域人员身份鉴别、通信双方身份鉴别、网络设备接入身份鉴别、重要可执行程序来源真实性、登录操作系统和数据库系统的用户身份鉴别、应用系统的用户身份鉴别

不可否认性保护对象：数据原发行为的不可否认性、数据接收行为的不可否认性

3.4 等级划分

各等级一句话

等级演进脉络（必背）

第一级 第二级 第三级 ⭐ 第四级
─────── ─────── ───────── ─────────
身份鉴别 可 宜 应 应
传输加密 可 宜 应 应
存储加密 可 宜 应 应
数据完整性 可 可/宜 宜 应
不可否认性 — — 宜 应
密评 可 宜 应 应
密码产品等级 — 一级+ 二级+ 三级+

通用要求（所有等级必须遵守）

a) 密码算法应符合法律、法规的规定和密码相关国标、行标要求
b) 密码技术应遵循密码相关国标和行标
c) 密码产品、密码服务应符合法律法规的相关要求

等级选择建议

• 一般业务系统 → 第一级/第二级
• 等保三级系统 → 第三级（最常见等级）
• 等保四级系统 → 第四级
• 极高安全要求 → 第五级（参考通用要求）

3.5 技术要求四个层面

3.5.1 物理和环境安全

说明：第三级起视频监控引入完整性要求；第四级所有项均为"应"

3.5.2 网络和通信安全

关键点：第三级开始身份鉴别和机密性从"宜"升级为"应"；第四级双向身份鉴别、数据完整性和访问控制信息完整性均升级为"应"

3.5.3 设备和计算安全

关键点：第三级新增远程管理通道安全（应）、重要可执行程序完整性（宜）；第四级所有项均为"应"

3.5.4 应用和数据安全

关键点：第三级身份鉴别、机密性两项升级为"应"，新增不可否认性（宜）；第四级所有项均为"应"

3.6 管理要求四个维度

3.6.1 管理制度

3.6.2 人员管理

第三级关键岗位要求：

• 设置密钥管理员、密码安全审计员、密码操作员三类关键安全岗位
• 关键岗位建立多人共管机制
• 密码安全审计员不可与密钥管理员、密码操作员兼任
• 设备与系统账号不得多人共用

第四级新增要求：

• 密钥管理员、密码安全审计员、密码操作员应由本机构内部员工担任
• 任前应进行背景调查

3.6.3 建设运行

关键点：第一~二级密评为"可/宜"（鼓励）；第三级起必须进行密评，评估通过后方可正式运行；第三级起定期开展评估和攻防对抗演习

3.6.4 应急处置

关键点：第二级起必须制定应急策略；第三级起事件发生后立即处置并向主管部门报告；第三级起处置完成后向密码管理部门报告

3.7 附录A：等级要求汇总表

技术要求汇总

管理要求汇总

3.8 附录B：密钥生存周期管理

10个环节

产生 → 分发 → 存储 → 使用 → 更新 → 归档 → 撤销 → 备份 → 恢复 → 销毁

各环节要点

黄金原则

• 一钥一用：每个密钥一般只有单一用途
• 不存明文：密钥不以明文方式存储在密码产品外部
• 合规产生：密钥在符合GB/T 37092的密码产品中产生
• 全程审计：归档、备份、恢复等关键操作生成审计信息
• 不可逆销毁：销毁后无法恢复

3.9 密评实操指南

密评流程

系统定级 → 密码应用方案 → 建设实施 → 密码应用安全性评估 → 运行维护 → 持续改进

各等级密码产品选型

常见密码产品与实现方式

常见密评薄弱点（TOP10）

第四部分：📊 数据分类分级

4.1 法律基础知识与依据

4.2 核心术语

4.3 基本原则（五个）

4.4 数据分类规则

分类框架：两条主线

分类方法：四个步骤

示例：钢铁研发设计数据标识为"工业数据-原材料数据-钢铁数据-业务数据-研发设计数据"

4.5 数据分级规则（重点中的重点）

分级框架

从高到低三级：核心数据 → 重要数据 → 一般数据

依据：数据在经济社会发展中的重要程度 × 一旦泄露/篡改/损毁/非法获取/非法使用/非法共享对国家安全、经济运行、社会秩序、公共利益、组织权益、个人权益造成的危害程度

八个分级要素

影响对象（6类）

国家安全 / 经济运行 / 社会秩序 / 公共利益 / 组织权益 / 个人权益

影响程度（3档）

特别严重危害 → 严重危害 → 一般危害

判断基准：

• 影响对象是国家安全/经济运行/社会秩序/公共利益时，以国家/社会/行业整体利益为基准
• 仅涉及组织或个人时，以组织/个人权益为基准

影响对象 × 影响程度 = 级别矩阵（★必背）

注：影响大规模个人/组织权益时，影响对象可能超出个人/组织权益，波及更上层

6.5 级别确定规则

符合以下任一条件 → 核心数据（7项）：

符合以下任一条件 → 重要数据（7项）：

未识别为核心、重要的 → 一般数据

6.6 综合确定级别规则

4.7 数据分类分级流程

行业领域主管部门（两步）

处理者流程（六步：梳-编-布-级-报-更）

4.8 重要数据识别指南（附录G 18类）

识别重要数据，应满足6.5 b)基础上同时具备附录G之一要素数据

关键词：领土/战略储备/军事 / 关键基础设施运行与供应链 / 未公开攻击方法·攻击工具·重大漏洞 / 资源储备 / 生态环境 / 核材料核设施 / 海外利益 / 太空深海极地 / 生物遗传资源·微生物 / 全局性经济金融·产业竞争力 / 群体健康·疾控·食品药品 / 以及"影响国土军事文化社会科技…AI等安全"的兜底及对经济/社会/公共利益的严重危害数据

4.9 关键附录速查

第五部分：🧪 双新评估 YD/T 3169-2020

5.1 标准基础信息

配套标准体系

评估定位

• 触发场景：业务试点/试商用上线前、业务重大变更前
• 实施主体：支持企业内部自评，也可委托第三方机构
• 效力边界：仅电信行业内部合规材料；不能替代等保测评、不能替代网信办数据出境安全评估、不能替代166号文年度整体数据安全评估

5.2 核心术语

⚠️ 面试高频区分点：匿名化≠去标识化，很多评估报告容易混淆

5.3 评估启动4类条件（满足任意一条即启动）

什么算重大变更？ 架构重构、新增开放API接口、新增数据采集字段、新增跨境传输能力、用户规模量级翻倍、新增码号/短信外呼能力。普通页面UI改版不算。

5.4 评估三阶段完整实施流程

阶段一：评估准备

• 组建评估工作组（业务、研发、运维、安全、法务共同参与）
• 文档资料收集梳理（业务需求文档、架构图、数据流图、业务流程、接口清单、制度流程、应急预案等）
• 业务实地调研（访谈业务负责人、开发运维人员，梳理全部功能点）

阶段二：组织实施（核心执行阶段）

四种评估手段组合使用：

文档审查 + 人员访谈 + 现场查验 + 技术测试核验

执行内容：

• 开展业务安全风险评估，识别业务固有的安全风险点
• 对照安全基线开展企业安全保障能力评估
• 区分风险等级：高风险、中风险、低风险
• 输出风险清单（风险描述、风险等级、整改建议）
• 完整留存全部访谈记录、测试记录、证据材料

⚠️ 实操重点：不是有风险就判定业务不能上线，要看保障能力是否足够抵消风险

阶段三：评估总结

• 组织专家评审评估结果与风险清单
• 核查风险整改落实情况（高风险必须闭环；中风险限期整改；低风险持续监控）
• 编制正式《互联网新技术新业务安全评估报告》

报告强制4个必备章节：

5.5 评估总体分析思路

核心逻辑

固有业务风险 + 企业安全保障能力 = 综合风险结果

第一步：业务安全风险评估，客观识别业务本身自带的固有风险
第二步：企业安全保障能力评估，对照基线检查现有技术、管理制度能否抵消固有风险

• 保障措施完备 → 综合风险可控
• 保障措施缺失/不足 → 风险升高，必须整改

四大风险维度（17个模块）

5.6 业务固有风险识别详细要点

5.6.1 业务应用安全风险

用户维度：用户规模越大风险越高；未落实实名制，账号冒用、盗号、养号风险突出；公众账号无资质审核带来虚假信息风险

信息载体维度：图片、短视频、音视频、小语种文本，机器识别难度高，违法内容容易规避审核

信息传播维度：点对多点广播、群组聊天、网状转发、消息实时推送，会成倍扩大违法信息传播速度与范围

信息留存维度：操作日志、内容日志、账号行为日志保存周期不足，出现安全事件后无法溯源取证

5.6.2 业务平台安全风险

• 服务器跨境内外部署：造成个人信息、重要数据无意识跨境泄露
• 云虚拟化、动态IP、动态域名：资源动态变化，监管定位违法业务源头难度加大
• 第三方合作业务、开放API接口：接口鉴权不足，第三方越权调取数据；接口被诈骗分子利用

5.6.3 业务运行安全风险（反诈模块，运营商评估重中之重）

业务逻辑安全风险：业务办理缺少二次确认，验证码防护薄弱，登录校验存在缺陷，容易被黑产批量利用

通讯信息管理安全风险：

• 400号码、一号通、语音专线、中继码号资源，渠道管控/实名制落实不到位，被诈骗团伙租用
• 号码传送链路缺少主叫鉴权，支持篡改、伪造主叫号码
• 违法信息、骚扰呼叫处置能力不足，业务沦为诈骗工具通道

5.6.4 数据全生命周期固有风险

5.7 企业安全保障基线（核查核心清单）

5.7.1 业务应用安全保障基线

• 用户管理：落实实名核验；账号/群组分级权限；公众账号上线资质审核；违规账号注销处置；举报投诉闭环机制
• 内容安全管理：违法违规信息监测识别处置；维护违规内容样本库；完整留存内容日志；诈骗工具类信息专项拦截
• 即时交互业务：后台实名前台自愿；群组人数上限；转发权限管控；即阅即删消息业务侧仍需留存取证日志
• 事件处置：支持溯源定位、跨平台联动处置；7×24小时应急联络接口；具备限流/关停的技术能力

5.7.2 业务平台安全保障基线

• 机房、IP地址、链路资源向主管部门报备
• 境内业务产生的个人信息、重要数据应在境内存储；确需出境必须依法评估
• 计算、存储、IP、域名资源做安全监控，完整留存操作日志
• 开放API接口：接口鉴权、权限最小化；接口访问行为安全审计；严格控制敏感信息通过接口输出

5.7.3 业务运行安全保障基线（反诈重点核查项）

针对重点电信业务（语音专线、400、商务总机）：

• 业务准入：禁止个人办理，只允许自有实体营业厅受理，严禁代理渠道代办
• 实名制管控：一证5卡管控；建立完整业务台账；号码真实性核验；外呼业务上线审批流程
• 合同约束：明确禁止码号资源转租转售；业务使用情况动态监测；合作方资质失效立即关停
• 内部运维管理：关键业务操作双人操作，完整审计记录

业务逻辑安全通用基线：

• 业务办理开通增加二次确认机制；验证码附带安全风险提醒；端口短信强制添加发送方签名
• 账号登录安全：密码复杂度策略；异地登录识别；频繁试错自动锁定；异常登录通知用户

号码传送安全基线：

• 语音专线强制开启主叫鉴权，全部未通过鉴权的呼叫直接拦截
• 执行外呼白名单制度；拦截虚假主叫、空号、禁显号码
• 部署不良呼叫号码监测处置系统，识别高频骚扰、诈骗呼叫

5.7.4 数据安全保障基线

组织制度管理：设立专门的数据安全管理部门；建立数据分类分级制度、个人信息保护管理制度；定期开展人员培训

数据全生命周期技术管理：

• 采集：合法、正当、最小必要；记录数据来源溯源；完成数据分级标识
• 存储：访问权限最小化；敏感信息、重要数据加密存储；定期备份恢复；重要数据访问操作需审批+审计
• 传输：使用SSL/IPSec/VPN加密传输；重要数据建议专线加密传输
• 加工：加工后重新判定数据安全级别；重要数据加工成果对外发布需经主管部门同意
• 转移共享：对外提供数据前评估合作方安全能力；签署数据安全协议；建立合作方安全信用档案
• 删除销毁：到期数据删除同步清理所有备份副本；重要/核心数据销毁必须不可恢复

个人信息保护专项基线（高频核查）：

• 收集：最小必要；敏感个人信息获取明示同意；14岁以下未成年人个人信息必须取得监护人明示同意
• 存储：存储时间最短化；对个人信息开展去标识化处理；企业终止运营应删除或匿名化处理
• 使用：内部访问权限最小；超出收集目的使用必须重新获取用户同意
• 共享转让：不随意共享转让；共享敏感信息必须取得用户明示同意；千万级规模个人信息需对合作方现场安全审查
• 用户权利保障：提供访问、更正、删除、撤回同意、注销账号、获取副本能力；30日内响应
• 人员机构：企业从业人员>200人，或处理个人信息>50万条，应设专职个保负责人
• 安全管理：签署保密协议；定期安全审计；编制个人信息泄露应急预案；发生泄露上报主管部门并告知用户；每年至少1次个保评估

5.8 等保2.0 vs 双新评估 对比

相同共性：

通俗理解：等保给底层系统做周期性全身体检；3169给新增业务做上线前专项风控检查，两者互补，谁也不能代替谁

5.9 涉诈评估补充：YD/T 4582-2023

说明：YD/T 3169包含业务运行安全反诈模块但粒度较粗；YD/T 4582-2023是针对通信资源涉诈风险的专项细化标准

与3169的差异

典型电信业务高频涉诈风险清单

• 电话卡业务：支持批量开卡、一证多卡管控失效、静默回收号码复开、异地高频外呼
• 物联网卡：没有绑定限定设备、业务流向个人用户、支持批量入网开户
• 数字中继、400业务：中继呼叫没有频次上限；存在伪造主叫漏洞
• 短信端口：无限制批量群发，被用于发送钓鱼诈骗短信

5.10 运营商三类评估辨析（面试高频考点）

三者互相独立，不可互相替代；3169识别的风险可作为另外两项评估的输入素材

5.11 高频发现典型风险（实操案例）

第六部分：横向对比分析

6.1 基础属性对比

6.2 等级体系对比

6.3 技术层面对比

6.4 管理层面对比

6.5 评估/测评对比

6.6 共同点

6.7 不同点

第七部分：整合记忆框架

7.1 四维记忆法

┌─────────────────────────────────────────────────────┐
│ 网络安全合规 │
├──────────┬──────────┬──────────┬────────────────────┤
│ 🏰 等保 │ 🔐 密码 │ 📊 数据 │ 🧪 双新 │
│ 系统安全 │ 加密安全 │ 数据安全 │ 业务安全 │
│ │ │ │ │
│ 5级 │ 5级 │ 3级 │ 3级风险 │
│ 全行业 │ 全行业 │ 全行业 │ 通信行业 │
│ 第三方测 │ 可自评 │ 自评上报 │ 可自评 │
│ 定期 │ 建设+定期 │ 每年 │ 上线前触发 │
└──────────┴──────────┴──────────┴────────────────────┘

7.2 数字记忆口诀

等保： 1中心 + 3重防护 + 10大类
密码： 4层面 × 4功能 × 4管理 = 4等级
数据分级：3级(核心/重要/一般) + 8要素 + 6步流程
双新评估：4启动条件 + 4风险维度 + 17模块 + 3阶段

7.3 面试速查表

7.4 速记口诀

等保系统密码密，数据分类双新评
一个中心三重护，等保十大类要记清
密码四层四功能，四个管理逐级升
三级分水岭最重，身份机密必须应

数据三级分核心，重要一般要分清
矩阵就高从严定，八大要素记在心
双新业务上线前，四大风险十七项
反诈重点是红线，个保合规不能忘

等保测评第三方，密码评估能自评
数据分级自己分，双新自评第三方
系统业务要分清，等保双新不替代
密码密评三级起，数据分类年年做