网络安全法律法规速览：等保2.0、网安法、数据安全法一次看懂

一、写在前面

很多技术人员把"合规"当成法务或甲方的事，自己只管挖洞和修漏洞。这种割裂在 2026 年会越来越危险：一方面，等保 2.0、数据安全法、个人信息保护法已经把安全要求写成了法定义务；另一方面，安全从业者本身也踩在多条合规红线上——未经授权测试、越权采集数据、违规出境，都可能从"技术问题"变成"法律责任"。懂法不是背条文，而是知道边界在哪、风险在哪、落地怎么做。

本文用一篇文章把几部核心法律法规和等保 2.0 串起来：讲清《网络安全法》《数据安全法》《个人信息保护法》各自管什么、责任主体是谁；拆解等保 2.0 的核心变化、五级划分、一个中心三重防护、扩展要求与测评流程；补充关基保护条例、密码法与密评、数据出境合规；最后给出常见误区、企业落地路线图与个人合规红线。读完你能建立一张"法律—标准—落地"的完整认知框架，并在工作中避开最常见的合规坑。

需要提示：本文是科普与梳理，不构成法律意见；涉及具体合规判定，请以主管部门与测评机构要求为准。

二、法律法规全景与监管框架

我国网络安全领域的顶层法律框架，常被概括为"三法+条例+标准"：

• 三法：《网络安全法》（2017-06-01 施行）、《数据安全法》（2021-09-01 施行）、《个人信息保护法》（2021-11-01 施行）。
• 条例：《关键信息基础设施安全保护条例》（2021-09-01 施行）、《密码法》（2020-01-01 施行）配套规则。
• 标准：以 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》为核心的等保 2.0 系列标准。

三者关系可以这么理解：《网络安全法》是总纲，确立网络运营者的安全保护义务；《数据安全法》把"数据"单独拎出来，管数据的分类分级与流转；《个人信息保护法》专门保护"个人信息"这一特殊数据。等保 2.0 则是把法律里的"应当做安全保护"具体化成可测评的技术与管理要求。下面用关系图表示。

#mermaid-svg-2Y5SnmV2TQh1lv6D{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-2Y5SnmV2TQh1lv6D .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-2Y5SnmV2TQh1lv6D .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-2Y5SnmV2TQh1lv6D .error-icon{fill:#552222;}#mermaid-svg-2Y5SnmV2TQh1lv6D .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-2Y5SnmV2TQh1lv6D .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-2Y5SnmV2TQh1lv6D .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-2Y5SnmV2TQh1lv6D .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-2Y5SnmV2TQh1lv6D .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-2Y5SnmV2TQh1lv6D .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-2Y5SnmV2TQh1lv6D .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-2Y5SnmV2TQh1lv6D .marker{fill:#333333;stroke:#333333;}#mermaid-svg-2Y5SnmV2TQh1lv6D .marker.cross{stroke:#333333;}#mermaid-svg-2Y5SnmV2TQh1lv6D svg{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-2Y5SnmV2TQh1lv6D p{margin:0;}#mermaid-svg-2Y5SnmV2TQh1lv6D .label{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;color:#333;}#mermaid-svg-2Y5SnmV2TQh1lv6D .cluster-label text{fill:#333;}#mermaid-svg-2Y5SnmV2TQh1lv6D .cluster-label span{color:#333;}#mermaid-svg-2Y5SnmV2TQh1lv6D .cluster-label span p{background-color:transparent;}#mermaid-svg-2Y5SnmV2TQh1lv6D .label text,#mermaid-svg-2Y5SnmV2TQh1lv6D span{fill:#333;color:#333;}#mermaid-svg-2Y5SnmV2TQh1lv6D .node rect,#mermaid-svg-2Y5SnmV2TQh1lv6D .node circle,#mermaid-svg-2Y5SnmV2TQh1lv6D .node ellipse,#mermaid-svg-2Y5SnmV2TQh1lv6D .node polygon,#mermaid-svg-2Y5SnmV2TQh1lv6D .node path{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-2Y5SnmV2TQh1lv6D .rough-node .label text,#mermaid-svg-2Y5SnmV2TQh1lv6D .node .label text,#mermaid-svg-2Y5SnmV2TQh1lv6D .image-shape .label,#mermaid-svg-2Y5SnmV2TQh1lv6D .icon-shape .label{text-anchor:middle;}#mermaid-svg-2Y5SnmV2TQh1lv6D .node .katex path{fill:#000;stroke:#000;stroke-width:1px;}#mermaid-svg-2Y5SnmV2TQh1lv6D .rough-node .label,#mermaid-svg-2Y5SnmV2TQh1lv6D .node .label,#mermaid-svg-2Y5SnmV2TQh1lv6D .image-shape .label,#mermaid-svg-2Y5SnmV2TQh1lv6D .icon-shape .label{text-align:center;}#mermaid-svg-2Y5SnmV2TQh1lv6D .node.clickable{cursor:pointer;}#mermaid-svg-2Y5SnmV2TQh1lv6D .root .anchor path{fill:#333333!important;stroke-width:0;stroke:#333333;}#mermaid-svg-2Y5SnmV2TQh1lv6D .arrowheadPath{fill:#333333;}#mermaid-svg-2Y5SnmV2TQh1lv6D .edgePath .path{stroke:#333333;stroke-width:2.0px;}#mermaid-svg-2Y5SnmV2TQh1lv6D .flowchart-link{stroke:#333333;fill:none;}#mermaid-svg-2Y5SnmV2TQh1lv6D .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-2Y5SnmV2TQh1lv6D .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-2Y5SnmV2TQh1lv6D .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-2Y5SnmV2TQh1lv6D .labelBkg{background-color:rgba(232, 232, 232, 0.5);}#mermaid-svg-2Y5SnmV2TQh1lv6D .cluster rect{fill:#ffffde;stroke:#aaaa33;stroke-width:1px;}#mermaid-svg-2Y5SnmV2TQh1lv6D .cluster text{fill:#333;}#mermaid-svg-2Y5SnmV2TQh1lv6D .cluster span{color:#333;}#mermaid-svg-2Y5SnmV2TQh1lv6D div.mermaidTooltip{position:absolute;text-align:center;max-width:200px;padding:2px;font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:12px;background:hsl(80, 100%, 96.2745098039%);border:1px solid #aaaa33;border-radius:2px;pointer-events:none;z-index:100;}#mermaid-svg-2Y5SnmV2TQh1lv6D .flowchartTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-2Y5SnmV2TQh1lv6D rect.text{fill:none;stroke-width:0;}#mermaid-svg-2Y5SnmV2TQh1lv6D .icon-shape,#mermaid-svg-2Y5SnmV2TQh1lv6D .image-shape{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-2Y5SnmV2TQh1lv6D .icon-shape p,#mermaid-svg-2Y5SnmV2TQh1lv6D .image-shape p{background-color:rgba(232,232,232, 0.8);padding:2px;}#mermaid-svg-2Y5SnmV2TQh1lv6D .icon-shape .label rect,#mermaid-svg-2Y5SnmV2TQh1lv6D .image-shape .label rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-2Y5SnmV2TQh1lv6D .label-icon{display:inline-block;height:1em;overflow:visible;vertical-align:-0.125em;}#mermaid-svg-2Y5SnmV2TQh1lv6D .node .label-icon path{fill:currentColor;stroke:revert;stroke-width:revert;}#mermaid-svg-2Y5SnmV2TQh1lv6D :root{–mermaid-font-family:\”trebuchet ms\”,verdana,arial,sans-serif;}

网络安全法 总纲

数据安全法 数据维度

个人信息保护法 个人维度

等保2.0 落地标准

关基条例

密码法

理解这张图很关键：法律定"义务"，标准定"怎么做才算尽到义务"。技术人员日常打交道最多的，往往不是法条本身，而是把法条翻译成具体控制的等保标准。所以本文后半段花大篇幅讲等保 2.0，因为它是技术落地最直接的抓手。

三、法律框架原理与对照

3.1 三法管什么

三法并非并列无关，而是层层聚焦：网络是载体，数据是对象，个人信息是数据里最需要精细保护的那部分。实务中三者常叠加适用——比如一个 App 既受网安法（作为网络运营者）约束，又受数安法（处理数据）和个保法（处理个人信息）约束。

3.2 为什么技术人必须懂

因为这些法律的义务最终都落在技术动作上：等保要求你做访问控制与审计，个保法要求你对个人信息做去标识化与加密，数安法要求你对重要数据做分级管控。不懂法，就容易"做了技术却踩了线"，或者"知道要做却说不清依据"。在面试和工作中，"这个要求的依据是什么"是区分初级与中级的试金石。

四、网络安全法要点与责任主体

《网络安全法》是我国网络安全领域的基础性法律，确立了"网络安全等级保护制度"的法律地位，并规定了网络运营者的一系列义务。

4.1 责任主体：网络运营者

"网络运营者"是个宽口径概念，指网络的所有者、管理者和网络服务提供者。也就是说，只要你的单位对外提供网站、App、云服务、甚至是内部网络服务，基本都算网络运营者，都要履行对应义务。这意味着合规不是大厂的专属课题，中小企业同样在义务范围内。

4.2 关键义务要点

• 落实等级保护：相关条款要求网络运营者按照等级保护制度履行安全保护义务，这是等保 2.0 的上位法依据。
• 实名认证：为用户办理入网、提供信息发布等服务时，应要求用户提供真实身份信息。
• 日志留存：相关条款要求采取监测、记录网络运行状态和安全事件的技术措施，并按规定留存相关网络日志不少于六个月。
• 数据安全与个人信息保护：应采取技术措施和其他必要措施，保障数据安全，防止个人信息泄露、损毁、丢失。
• 应急处置：制定网络安全事件应急预案，发生危害时采取相应补救措施并按规定报告。
• 关键信息基础设施：相关条款对关基运营者提出更高要求（采购审查、容灾、专人负责制等），在第八章展开。

4.3 违规后果

相关条款对未履行义务的设定了责令改正、警告、罚款，乃至暂停相关业务、停业整顿、关闭网站、吊销许可或营业执照等责任；构成犯罪的依法追究刑事责任。这意味着合规不是"建议"，而是底线。对企业而言，一次因未履行等保义务导致的事故，可能同时触发行政处罚、民事赔偿与声誉损失三重后果。

五、数据安全法：分类分级与重要数据

《数据安全法》把"数据"作为独立保护对象，核心是数据分类分级保护（Data Classification and Grading）。

5.1 核心制度

• 分类分级：国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，确定分级。
• 重要数据（Important Data）：一旦泄露可能直接影响国家安全、经济运行、社会稳定等的数据，被单列管控，其目录由各地区、各部门确定。
• 风险监测与应急：数据处理者应加强风险监测，发现风险立即补救并报告。
• 数据出境：关键信息基础设施运营者和处理达到一定规模个人信息的数据处理者，向境外提供数据应遵守安全评估等规定。
• 数据安全保护义务：相关条款要求建立健全全流程数据安全管理制度，组织开展教育培训，采取技术措施保障数据安全。

5.2 为什么分级是第一步

分级决定了后面投入多少保护资源。把普通公开数据和重要数据一视同仁是浪费，把重要数据当普通数据管是失职。下面给出一段可落地的分类分级判定脚本，帮助团队把"定性要求"变成"可执行规则"。

#!/usr/bin/env python3
# -*- coding: utf-8 -*-
"""数据分类分级辅助判定（示意逻辑，实际以本单位目录为准）"""

def grade_data(name, contains_pii, impact_if_leak):
"""
name: 数据名称
contains_pii: 是否含个人信息
impact_if_leak: 泄露影响级别 1一般/2较大/3重大
"""
if impact_if_leak >= 3:
level = "重要数据/核心数据"
elif contains_pii and impact_if_leak >= 2:
level = "敏感个人信息-二级"
elif contains_pii:
level = "个人信息-一级"
elif impact_if_leak == 2:
level = "一般数据-二级"
else:
level = "一般数据-一级"
return f"{name} -> 建议定级：{level}"

if __name__ == "__main__":
print(grade_data("用户手机号表", True, 2))
print(grade_data("城市电网拓扑", False, 3))
print(grade_data("公开公告", False, 1))

5.3 常见误区

误区一：只有"大数据"才要管数据。错，任何数据处理活动都受数安法约束。误区二：重要数据目录是统一公开的。实际由各行业、各地区分别编制，需关注本行业指引。误区三：数据只要不出境就安全。错，内部滥用、未授权加工同样违法。

六、个人信息保护法：处理规则与个人权利

《个人信息保护法》（PIPL）是我国个人信息保护领域的专门法，对标国际通行规则，对"个人信息处理者"提出严格要求。

6.1 处理规则要点

• 合法、正当、必要：处理个人信息应具有明确、合理的目的，限于实现处理目的的最小范围。
• 告知—同意：处理前应向个人告知处理目的、方式、种类等，并依法取得同意；敏感个人信息需单独同意。
• 敏感个人信息：一旦泄露易致人格尊严受损或人身财产危害的（如生物识别、宗教、医疗、金融账户、行踪轨迹等），适用更严格规则。
• 去标识化与加密：相关条款要求采取加密、去标识化等安全技术措施。
• 自动化决策：相关条款要求保证决策的透明与公平，个人有权拒绝"大数据杀熟"式的自动化决策。
• 大型平台义务：达到一定规模的平台需成立独立监督机构、定期发布保护社会责任报告。

6.2 个人的权利

个人对自己的信息享有知情权、决定权、查阅复制权、更正补充权、删除权、可携带权等。技术系统必须能支撑这些权利的行使——比如用户要求删除时，你的系统要真能删（包括备份与日志中的关联项），而不是只在前台隐藏。

6.3 对安全建设的映射

• 收集最小化 → 表单字段审计，删掉非必要采集。
• 加密与去标识化 → 数据库落库加密、接口返回脱敏。
• 权利响应 → 建立"数据主体请求（DSAR）"处理流程与后台能力。
• 单独同意 → 敏感信息采集走独立授权弹窗，不可一揽子勾选。

七、等保2.0：核心变化、五级划分与测评流程

等保 2.0 指以 GB/T 22239-2019 为核心的等级保护标准体系，相对 1.0 有本质升级。

7.1 核心变化

• 从"信息安全"到"网络安全"，范围扩展到全社会大系统。
• 对象扩展：不再只管传统信息系统，覆盖云计算、移动互联、物联网、工业控制、大数据等新型对象。
• 框架升级：从 1.0 的"被动防御"转向"一个中心、三重防护"的主动体系。
• 要求结构：分为安全要求（GB/T 22239）、设计技术要求（GB/T 25070-2019）、测评要求（GB/T 28448-2019），定级依据为 GB/T 22240。

7.2 五级划分

绝大多数企业业务系统落在第二、三级；关基相关多为三级及以上。级别越高，测评频次与整改强度越高。

7.3 一个中心三重防护

等保 2.0 的技术框架是"一个中心，三重防护"：

• 一个中心：安全管理中心，统一做系统管理、安全管理、审计管理。
• 三重防护：安全计算环境（主机、应用、数据）、安全区域边界（边界访问控制与检测）、安全通信网络（传输加密与可信接入）。

用思维导图展开如下：

#mermaid-svg-GQbHAGvcIGHXR3WR{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-GQbHAGvcIGHXR3WR .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-GQbHAGvcIGHXR3WR .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-GQbHAGvcIGHXR3WR .error-icon{fill:#552222;}#mermaid-svg-GQbHAGvcIGHXR3WR .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-GQbHAGvcIGHXR3WR .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-GQbHAGvcIGHXR3WR .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-GQbHAGvcIGHXR3WR .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-GQbHAGvcIGHXR3WR .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-GQbHAGvcIGHXR3WR .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-GQbHAGvcIGHXR3WR .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-GQbHAGvcIGHXR3WR .marker{fill:#333333;stroke:#333333;}#mermaid-svg-GQbHAGvcIGHXR3WR .marker.cross{stroke:#333333;}#mermaid-svg-GQbHAGvcIGHXR3WR svg{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-GQbHAGvcIGHXR3WR p{margin:0;}#mermaid-svg-GQbHAGvcIGHXR3WR .edge{stroke-width:3;}#mermaid-svg-GQbHAGvcIGHXR3WR .section–1 rect,#mermaid-svg-GQbHAGvcIGHXR3WR .section–1 path,#mermaid-svg-GQbHAGvcIGHXR3WR .section–1 circle,#mermaid-svg-GQbHAGvcIGHXR3WR .section–1 polygon,#mermaid-svg-GQbHAGvcIGHXR3WR .section–1 path{fill:hsl(240, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .section–1 text{fill:#ffffff;}#mermaid-svg-GQbHAGvcIGHXR3WR .node-icon–1{font-size:40px;color:#ffffff;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-edge–1{stroke:hsl(240, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .edge-depth–1{stroke-width:17;}#mermaid-svg-GQbHAGvcIGHXR3WR .section–1 line{stroke:hsl(60, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled circle,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:lightgray;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:#efefef;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-0 rect,#mermaid-svg-GQbHAGvcIGHXR3WR .section-0 path,#mermaid-svg-GQbHAGvcIGHXR3WR .section-0 circle,#mermaid-svg-GQbHAGvcIGHXR3WR .section-0 polygon,#mermaid-svg-GQbHAGvcIGHXR3WR .section-0 path{fill:hsl(60, 100%, 73.5294117647%);}#mermaid-svg-GQbHAGvcIGHXR3WR .section-0 text{fill:black;}#mermaid-svg-GQbHAGvcIGHXR3WR .node-icon-0{font-size:40px;color:black;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-edge-0{stroke:hsl(60, 100%, 73.5294117647%);}#mermaid-svg-GQbHAGvcIGHXR3WR .edge-depth-0{stroke-width:14;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-0 line{stroke:hsl(240, 100%, 83.5294117647%);stroke-width:3;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled circle,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:lightgray;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:#efefef;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-1 rect,#mermaid-svg-GQbHAGvcIGHXR3WR .section-1 path,#mermaid-svg-GQbHAGvcIGHXR3WR .section-1 circle,#mermaid-svg-GQbHAGvcIGHXR3WR .section-1 polygon,#mermaid-svg-GQbHAGvcIGHXR3WR .section-1 path{fill:hsl(80, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .section-1 text{fill:black;}#mermaid-svg-GQbHAGvcIGHXR3WR .node-icon-1{font-size:40px;color:black;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-edge-1{stroke:hsl(80, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .edge-depth-1{stroke-width:11;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-1 line{stroke:hsl(260, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled circle,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:lightgray;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:#efefef;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-2 rect,#mermaid-svg-GQbHAGvcIGHXR3WR .section-2 path,#mermaid-svg-GQbHAGvcIGHXR3WR .section-2 circle,#mermaid-svg-GQbHAGvcIGHXR3WR .section-2 polygon,#mermaid-svg-GQbHAGvcIGHXR3WR .section-2 path{fill:hsl(270, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .section-2 text{fill:#ffffff;}#mermaid-svg-GQbHAGvcIGHXR3WR .node-icon-2{font-size:40px;color:#ffffff;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-edge-2{stroke:hsl(270, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .edge-depth-2{stroke-width:8;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-2 line{stroke:hsl(90, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled circle,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:lightgray;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:#efefef;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-3 rect,#mermaid-svg-GQbHAGvcIGHXR3WR .section-3 path,#mermaid-svg-GQbHAGvcIGHXR3WR .section-3 circle,#mermaid-svg-GQbHAGvcIGHXR3WR .section-3 polygon,#mermaid-svg-GQbHAGvcIGHXR3WR .section-3 path{fill:hsl(300, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .section-3 text{fill:black;}#mermaid-svg-GQbHAGvcIGHXR3WR .node-icon-3{font-size:40px;color:black;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-edge-3{stroke:hsl(300, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .edge-depth-3{stroke-width:5;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-3 line{stroke:hsl(120, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled circle,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:lightgray;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:#efefef;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-4 rect,#mermaid-svg-GQbHAGvcIGHXR3WR .section-4 path,#mermaid-svg-GQbHAGvcIGHXR3WR .section-4 circle,#mermaid-svg-GQbHAGvcIGHXR3WR .section-4 polygon,#mermaid-svg-GQbHAGvcIGHXR3WR .section-4 path{fill:hsl(330, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .section-4 text{fill:black;}#mermaid-svg-GQbHAGvcIGHXR3WR .node-icon-4{font-size:40px;color:black;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-edge-4{stroke:hsl(330, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .edge-depth-4{stroke-width:2;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-4 line{stroke:hsl(150, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled circle,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:lightgray;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:#efefef;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-5 rect,#mermaid-svg-GQbHAGvcIGHXR3WR .section-5 path,#mermaid-svg-GQbHAGvcIGHXR3WR .section-5 circle,#mermaid-svg-GQbHAGvcIGHXR3WR .section-5 polygon,#mermaid-svg-GQbHAGvcIGHXR3WR .section-5 path{fill:hsl(0, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .section-5 text{fill:black;}#mermaid-svg-GQbHAGvcIGHXR3WR .node-icon-5{font-size:40px;color:black;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-edge-5{stroke:hsl(0, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .edge-depth-5{stroke-width:-1;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-5 line{stroke:hsl(180, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled circle,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:lightgray;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:#efefef;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-6 rect,#mermaid-svg-GQbHAGvcIGHXR3WR .section-6 path,#mermaid-svg-GQbHAGvcIGHXR3WR .section-6 circle,#mermaid-svg-GQbHAGvcIGHXR3WR .section-6 polygon,#mermaid-svg-GQbHAGvcIGHXR3WR .section-6 path{fill:hsl(30, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .section-6 text{fill:black;}#mermaid-svg-GQbHAGvcIGHXR3WR .node-icon-6{font-size:40px;color:black;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-edge-6{stroke:hsl(30, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .edge-depth-6{stroke-width:-4;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-6 line{stroke:hsl(210, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled circle,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:lightgray;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:#efefef;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-7 rect,#mermaid-svg-GQbHAGvcIGHXR3WR .section-7 path,#mermaid-svg-GQbHAGvcIGHXR3WR .section-7 circle,#mermaid-svg-GQbHAGvcIGHXR3WR .section-7 polygon,#mermaid-svg-GQbHAGvcIGHXR3WR .section-7 path{fill:hsl(90, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .section-7 text{fill:black;}#mermaid-svg-GQbHAGvcIGHXR3WR .node-icon-7{font-size:40px;color:black;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-edge-7{stroke:hsl(90, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .edge-depth-7{stroke-width:-7;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-7 line{stroke:hsl(270, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled circle,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:lightgray;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:#efefef;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-8 rect,#mermaid-svg-GQbHAGvcIGHXR3WR .section-8 path,#mermaid-svg-GQbHAGvcIGHXR3WR .section-8 circle,#mermaid-svg-GQbHAGvcIGHXR3WR .section-8 polygon,#mermaid-svg-GQbHAGvcIGHXR3WR .section-8 path{fill:hsl(150, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .section-8 text{fill:black;}#mermaid-svg-GQbHAGvcIGHXR3WR .node-icon-8{font-size:40px;color:black;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-edge-8{stroke:hsl(150, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .edge-depth-8{stroke-width:-10;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-8 line{stroke:hsl(330, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled circle,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:lightgray;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:#efefef;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-9 rect,#mermaid-svg-GQbHAGvcIGHXR3WR .section-9 path,#mermaid-svg-GQbHAGvcIGHXR3WR .section-9 circle,#mermaid-svg-GQbHAGvcIGHXR3WR .section-9 polygon,#mermaid-svg-GQbHAGvcIGHXR3WR .section-9 path{fill:hsl(180, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .section-9 text{fill:black;}#mermaid-svg-GQbHAGvcIGHXR3WR .node-icon-9{font-size:40px;color:black;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-edge-9{stroke:hsl(180, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .edge-depth-9{stroke-width:-13;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-9 line{stroke:hsl(0, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled circle,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:lightgray;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:#efefef;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-10 rect,#mermaid-svg-GQbHAGvcIGHXR3WR .section-10 path,#mermaid-svg-GQbHAGvcIGHXR3WR .section-10 circle,#mermaid-svg-GQbHAGvcIGHXR3WR .section-10 polygon,#mermaid-svg-GQbHAGvcIGHXR3WR .section-10 path{fill:hsl(210, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .section-10 text{fill:black;}#mermaid-svg-GQbHAGvcIGHXR3WR .node-icon-10{font-size:40px;color:black;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-edge-10{stroke:hsl(210, 100%, 76.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .edge-depth-10{stroke-width:-16;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-10 line{stroke:hsl(30, 100%, 86.2745098039%);stroke-width:3;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled circle,#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:lightgray;}#mermaid-svg-GQbHAGvcIGHXR3WR .disabled text{fill:#efefef;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-root rect,#mermaid-svg-GQbHAGvcIGHXR3WR .section-root path,#mermaid-svg-GQbHAGvcIGHXR3WR .section-root circle,#mermaid-svg-GQbHAGvcIGHXR3WR .section-root polygon{fill:hsl(240, 100%, 46.2745098039%);}#mermaid-svg-GQbHAGvcIGHXR3WR .section-root text{fill:#ffffff;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-root span{color:#ffffff;}#mermaid-svg-GQbHAGvcIGHXR3WR .section-2 span{color:#ffffff;}#mermaid-svg-GQbHAGvcIGHXR3WR .icon-container{height:100%;display:flex;justify-content:center;align-items:center;}#mermaid-svg-GQbHAGvcIGHXR3WR .edge{fill:none;}#mermaid-svg-GQbHAGvcIGHXR3WR .mindmap-node-label{dy:1em;alignment-baseline:middle;text-anchor:middle;dominant-baseline:middle;text-align:center;}#mermaid-svg-GQbHAGvcIGHXR3WR :root{–mermaid-font-family:\”trebuchet ms\”,verdana,arial,sans-serif;}

等保2.0 技术框架

一个中心

系统管理

安全管理

审计管理

安全计算环境

身份鉴别

访问控制

入侵防范

安全区域边界

边界防护

访问控制

恶意代码防范

安全通信网络

通信传输

可信验证

7.4 管理要求同样重要

技术之外，等保 2.0 的管理要求涵盖五大块：安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。很多单位重技术轻管理，结果测评在"制度文档"和"人员职责"上大量丢分。技术人参与等保时，至少应能把"我们怎么管"说清楚并形成文档。

7.5 扩展要求

针对不同技术形态，等保 2.0 在标准主体之外给出扩展要求，覆盖五大场景：

7.6 测评流程

等保落地按"定级—备案—建设整改—等级测评—监督检查"五步推进，用流程图表示：

#mermaid-svg-pIifGPojKwaoVBJ0{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-pIifGPojKwaoVBJ0 .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-pIifGPojKwaoVBJ0 .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-pIifGPojKwaoVBJ0 .error-icon{fill:#552222;}#mermaid-svg-pIifGPojKwaoVBJ0 .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-pIifGPojKwaoVBJ0 .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-pIifGPojKwaoVBJ0 .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-pIifGPojKwaoVBJ0 .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-pIifGPojKwaoVBJ0 .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-pIifGPojKwaoVBJ0 .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-pIifGPojKwaoVBJ0 .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-pIifGPojKwaoVBJ0 .marker{fill:#333333;stroke:#333333;}#mermaid-svg-pIifGPojKwaoVBJ0 .marker.cross{stroke:#333333;}#mermaid-svg-pIifGPojKwaoVBJ0 svg{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-pIifGPojKwaoVBJ0 p{margin:0;}#mermaid-svg-pIifGPojKwaoVBJ0 .label{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;color:#333;}#mermaid-svg-pIifGPojKwaoVBJ0 .cluster-label text{fill:#333;}#mermaid-svg-pIifGPojKwaoVBJ0 .cluster-label span{color:#333;}#mermaid-svg-pIifGPojKwaoVBJ0 .cluster-label span p{background-color:transparent;}#mermaid-svg-pIifGPojKwaoVBJ0 .label text,#mermaid-svg-pIifGPojKwaoVBJ0 span{fill:#333;color:#333;}#mermaid-svg-pIifGPojKwaoVBJ0 .node rect,#mermaid-svg-pIifGPojKwaoVBJ0 .node circle,#mermaid-svg-pIifGPojKwaoVBJ0 .node ellipse,#mermaid-svg-pIifGPojKwaoVBJ0 .node polygon,#mermaid-svg-pIifGPojKwaoVBJ0 .node path{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-pIifGPojKwaoVBJ0 .rough-node .label text,#mermaid-svg-pIifGPojKwaoVBJ0 .node .label text,#mermaid-svg-pIifGPojKwaoVBJ0 .image-shape .label,#mermaid-svg-pIifGPojKwaoVBJ0 .icon-shape .label{text-anchor:middle;}#mermaid-svg-pIifGPojKwaoVBJ0 .node .katex path{fill:#000;stroke:#000;stroke-width:1px;}#mermaid-svg-pIifGPojKwaoVBJ0 .rough-node .label,#mermaid-svg-pIifGPojKwaoVBJ0 .node .label,#mermaid-svg-pIifGPojKwaoVBJ0 .image-shape .label,#mermaid-svg-pIifGPojKwaoVBJ0 .icon-shape .label{text-align:center;}#mermaid-svg-pIifGPojKwaoVBJ0 .node.clickable{cursor:pointer;}#mermaid-svg-pIifGPojKwaoVBJ0 .root .anchor path{fill:#333333!important;stroke-width:0;stroke:#333333;}#mermaid-svg-pIifGPojKwaoVBJ0 .arrowheadPath{fill:#333333;}#mermaid-svg-pIifGPojKwaoVBJ0 .edgePath .path{stroke:#333333;stroke-width:2.0px;}#mermaid-svg-pIifGPojKwaoVBJ0 .flowchart-link{stroke:#333333;fill:none;}#mermaid-svg-pIifGPojKwaoVBJ0 .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-pIifGPojKwaoVBJ0 .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-pIifGPojKwaoVBJ0 .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-pIifGPojKwaoVBJ0 .labelBkg{background-color:rgba(232, 232, 232, 0.5);}#mermaid-svg-pIifGPojKwaoVBJ0 .cluster rect{fill:#ffffde;stroke:#aaaa33;stroke-width:1px;}#mermaid-svg-pIifGPojKwaoVBJ0 .cluster text{fill:#333;}#mermaid-svg-pIifGPojKwaoVBJ0 .cluster span{color:#333;}#mermaid-svg-pIifGPojKwaoVBJ0 div.mermaidTooltip{position:absolute;text-align:center;max-width:200px;padding:2px;font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:12px;background:hsl(80, 100%, 96.2745098039%);border:1px solid #aaaa33;border-radius:2px;pointer-events:none;z-index:100;}#mermaid-svg-pIifGPojKwaoVBJ0 .flowchartTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-pIifGPojKwaoVBJ0 rect.text{fill:none;stroke-width:0;}#mermaid-svg-pIifGPojKwaoVBJ0 .icon-shape,#mermaid-svg-pIifGPojKwaoVBJ0 .image-shape{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-pIifGPojKwaoVBJ0 .icon-shape p,#mermaid-svg-pIifGPojKwaoVBJ0 .image-shape p{background-color:rgba(232,232,232, 0.8);padding:2px;}#mermaid-svg-pIifGPojKwaoVBJ0 .icon-shape .label rect,#mermaid-svg-pIifGPojKwaoVBJ0 .image-shape .label rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-pIifGPojKwaoVBJ0 .label-icon{display:inline-block;height:1em;overflow:visible;vertical-align:-0.125em;}#mermaid-svg-pIifGPojKwaoVBJ0 .node .label-icon path{fill:currentColor;stroke:revert;stroke-width:revert;}#mermaid-svg-pIifGPojKwaoVBJ0 :root{–mermaid-font-family:\”trebuchet ms\”,verdana,arial,sans-serif;}

复测/变更

定级: 编写定级报告

备案: 公安机关审核

建设整改: 对照要求补缺

等级测评: 测评机构打分

监督检查: 持续运维

各步说明：

下面给出一组 Linux 安全基线的核查命令，对应"安全计算环境"的访问控制与审计要求，可直接用于整改自查：

# 检查空密码账户（应为空，否则高危）
awk -F: '($2==""){print $1}' /etc/shadow

# 检查密码最长使用期限（建议 <= 90 天）
grep "^PASS_MAX_DAYS" /etc/login.defs

# 检查 SSH 是否允许 root 直接登录（应设为 no）
grep -i "PermitRootLogin" /etc/ssh/sshd_config

# 检查审计服务是否运行（等保要求开启 auditd）
systemctl is-active auditd

# 检查关键文件权限（passwd/shadow 不应被组/其他写）
stat -c "%a %n" /etc/passwd /etc/shadow

八、关基保护条例、密码法与数据出境合规

8.1 关键信息基础设施保护条例

《关键信息基础设施安全保护条例》对关基（CII）运营者提出高于一般网络运营者的要求：包括采购网络产品和服务需通过安全审查、开展网络安全检测评估、设置专门安全管理机构等。关基一旦认定，合规强度明显上台阶。技术侧要特别关注"供应链安全"——一个未经审查的组件可能直接卡住合规。

8.2 密码法与商用密码应用安全性评估

《密码法》（2020-01-01 施行）把密码分为核心密码、普通密码和商用密码。对大多数企业，重点是商用密码（Commercial Cryptography）的应用合规，以及商用密码应用安全性评估（密评）。相关条款要求关键信息基础设施等使用商用密码保护系统，并开展密评。密评与等保常同步推进，重点看密码算法是否合规、密钥管理是否到位、密码使用场景是否覆盖身份鉴别、访问控制、数据传输与存储加密。

8.3 数据出境合规

向境外提供数据，依场景走不同路径：重要数据与达阈值个人信息出境需通过国家网信部门安全评估；其他情形可采用标准合同备案或个人信息保护认证。流程选择如下图所示：

#mermaid-svg-1pGYhWplIN8zwche{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-1pGYhWplIN8zwche .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-1pGYhWplIN8zwche .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-1pGYhWplIN8zwche .error-icon{fill:#552222;}#mermaid-svg-1pGYhWplIN8zwche .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-1pGYhWplIN8zwche .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-1pGYhWplIN8zwche .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-1pGYhWplIN8zwche .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-1pGYhWplIN8zwche .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-1pGYhWplIN8zwche .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-1pGYhWplIN8zwche .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-1pGYhWplIN8zwche .marker{fill:#333333;stroke:#333333;}#mermaid-svg-1pGYhWplIN8zwche .marker.cross{stroke:#333333;}#mermaid-svg-1pGYhWplIN8zwche svg{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-1pGYhWplIN8zwche p{margin:0;}#mermaid-svg-1pGYhWplIN8zwche defs #statediagram-barbEnd{fill:#333333;stroke:#333333;}#mermaid-svg-1pGYhWplIN8zwche g.stateGroup text{fill:#9370DB;stroke:none;font-size:10px;}#mermaid-svg-1pGYhWplIN8zwche g.stateGroup text{fill:#333;stroke:none;font-size:10px;}#mermaid-svg-1pGYhWplIN8zwche g.stateGroup .state-title{font-weight:bolder;fill:#131300;}#mermaid-svg-1pGYhWplIN8zwche g.stateGroup rect{fill:#ECECFF;stroke:#9370DB;}#mermaid-svg-1pGYhWplIN8zwche g.stateGroup line{stroke:#333333;stroke-width:1;}#mermaid-svg-1pGYhWplIN8zwche .transition{stroke:#333333;stroke-width:1;fill:none;}#mermaid-svg-1pGYhWplIN8zwche .stateGroup .composit{fill:white;border-bottom:1px;}#mermaid-svg-1pGYhWplIN8zwche .stateGroup .alt-composit{fill:#e0e0e0;border-bottom:1px;}#mermaid-svg-1pGYhWplIN8zwche .state-note{stroke:#aaaa33;fill:#fff5ad;}#mermaid-svg-1pGYhWplIN8zwche .state-note text{fill:black;stroke:none;font-size:10px;}#mermaid-svg-1pGYhWplIN8zwche .stateLabel .box{stroke:none;stroke-width:0;fill:#ECECFF;opacity:0.5;}#mermaid-svg-1pGYhWplIN8zwche .edgeLabel .label rect{fill:#ECECFF;opacity:0.5;}#mermaid-svg-1pGYhWplIN8zwche .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-1pGYhWplIN8zwche .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-1pGYhWplIN8zwche .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-1pGYhWplIN8zwche .edgeLabel .label text{fill:#333;}#mermaid-svg-1pGYhWplIN8zwche .label div .edgeLabel{color:#333;}#mermaid-svg-1pGYhWplIN8zwche .stateLabel text{fill:#131300;font-size:10px;font-weight:bold;}#mermaid-svg-1pGYhWplIN8zwche .node circle.state-start{fill:#333333;stroke:#333333;}#mermaid-svg-1pGYhWplIN8zwche .node .fork-join{fill:#333333;stroke:#333333;}#mermaid-svg-1pGYhWplIN8zwche .node circle.state-end{fill:#9370DB;stroke:white;stroke-width:1.5;}#mermaid-svg-1pGYhWplIN8zwche .end-state-inner{fill:white;stroke-width:1.5;}#mermaid-svg-1pGYhWplIN8zwche .node rect{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-1pGYhWplIN8zwche .node polygon{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-1pGYhWplIN8zwche #statediagram-barbEnd{fill:#333333;}#mermaid-svg-1pGYhWplIN8zwche .statediagram-cluster rect{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-1pGYhWplIN8zwche .cluster-label,#mermaid-svg-1pGYhWplIN8zwche .nodeLabel{color:#131300;}#mermaid-svg-1pGYhWplIN8zwche .statediagram-cluster rect.outer{rx:5px;ry:5px;}#mermaid-svg-1pGYhWplIN8zwche .statediagram-state .divider{stroke:#9370DB;}#mermaid-svg-1pGYhWplIN8zwche .statediagram-state .title-state{rx:5px;ry:5px;}#mermaid-svg-1pGYhWplIN8zwche .statediagram-cluster.statediagram-cluster .inner{fill:white;}#mermaid-svg-1pGYhWplIN8zwche .statediagram-cluster.statediagram-cluster-alt .inner{fill:#f0f0f0;}#mermaid-svg-1pGYhWplIN8zwche .statediagram-cluster .inner{rx:0;ry:0;}#mermaid-svg-1pGYhWplIN8zwche .statediagram-state rect.basic{rx:5px;ry:5px;}#mermaid-svg-1pGYhWplIN8zwche .statediagram-state rect.divider{stroke-dasharray:10,10;fill:#f0f0f0;}#mermaid-svg-1pGYhWplIN8zwche .note-edge{stroke-dasharray:5;}#mermaid-svg-1pGYhWplIN8zwche .statediagram-note rect{fill:#fff5ad;stroke:#aaaa33;stroke-width:1px;rx:0;ry:0;}#mermaid-svg-1pGYhWplIN8zwche .statediagram-note rect{fill:#fff5ad;stroke:#aaaa33;stroke-width:1px;rx:0;ry:0;}#mermaid-svg-1pGYhWplIN8zwche .statediagram-note text{fill:black;}#mermaid-svg-1pGYhWplIN8zwche .statediagram-note .nodeLabel{color:black;}#mermaid-svg-1pGYhWplIN8zwche .statediagram .edgeLabel{color:red;}#mermaid-svg-1pGYhWplIN8zwche #dependencyStart,#mermaid-svg-1pGYhWplIN8zwche #dependencyEnd{fill:#333333;stroke:#333333;stroke-width:1;}#mermaid-svg-1pGYhWplIN8zwche .statediagramTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-1pGYhWplIN8zwche :root{–mermaid-font-family:\”trebuchet ms\”,verdana,arial,sans-serif;}

数据是否出境

判断

|重要数据/达阈值|

向网信部门申报

|一般个人信息|

签订并备案

|认证场景|

第三方认证

注意：具体阈值与适用条件以《数据出境安全评估办法》及主管部门最新要求为准，本文不替代逐项判定。技术侧要做的是：梳理出境数据清单、标注类型与规模、在系统里留好合规审计痕迹。

九、常见合规误区、企业落地路线图与个人红线

9.1 五个高频误区

9.2 企业落地路线图

9.3 个人从业者合规红线

• 任何测试必须书面授权，禁止对未授权目标动手。
• 不越权采集、留存个人信息，不把测试数据带出环境。
• 不协助数据违规出境，不绕过安全审查。
• 发现漏洞按合规渠道上报，不公开细节、不利用牟利。
• 不在审计/渗透中破坏业务可用性，守住"不影响生产"底线。

十、高频面试题 FAQ

Q1：等保 2.0 和 1.0 最大区别是什么？
从对象到框架都升级：对象扩展到云、移、物、工、大；框架变为"一个中心三重防护"；要求拆为标准、设计、测评三件套。

Q2：三级系统必须做等保测评吗？
三级及以上系统依法应当进行等级测评并持续合规，二级通常建议测评、按地区要求执行。

Q3：云上系统谁负责等保？
责任共担：云平台负责底层基础设施，租户负责自身应用、数据与管理配置，双方都要在各自责任范围内合规。

Q4：数安法和个保法什么关系？
数安法管"全部数据"的分类分级，个保法是其中"个人信息"的专门细化法，二者叠加适用。

Q5：密评和等保是一回事吗？
不是。等保看整体安全体系，密评专门评估商用密码应用的合规性与有效性，但在实践中常同步规划。

Q6：安全测试怎样才不违法？
取得明确书面授权、限定范围与目标、不触碰非授权数据、发现问题走上报渠道，是底线。

Q7：重要数据目录去哪查？
由各行业主管部门与地区分别编制，应关注本行业、本地区公开发布的指导文件，以官方发布为准。

十一、真实场景复盘：一次等保整改全过程

讲一个脱敏的甲方整改案例，帮助理解标准如何落地。某中型 SaaS 企业有一套二级系统，因客户要求需通过等保测评。最初他们以为"装个防火墙、买套 WAF 就行"，结果测评机构第一轮就指出大量问题。

技术侧丢分点：审计日志只保留 30 天（要求不少于六个月）；SSH 允许 root 直接登录且用密码；重要配置文件权限过宽；未对管理后台做双因素认证。这些恰好对应第七章的核查命令——如果他们提前跑一遍，就能自查出来。

管理侧丢分点：没有成文的网络安全管理制度，安全职责挂在运维头上无专岗，新员工无安全意识培训记录。管理要求（7.4）在这里直接体现。

整改动作：技术上一周内改完 SSH 策略、补齐日志保留周期、上线双因素；管理上用两周补出制度文档、设安全专岗、做全员培训并留档。复测通过。

这个案例说明三件事：第一，等保不是"买设备"，而是"体系+运行"；第二，技术人提前做基线自查能省掉大量返工；第三，管理文档不是形式主义，是测评的硬指标。对乙方安全服务人员和甲方运维，这都是日常。

十二、合规落地自查清单与实操模板

前十一章讲的是"规则是什么、边界在哪里"。这一章换成"怎么做"，给出可以直接拿去用的检查清单与记录模板。需要说明的是，以下内容属于通用实践整理，涉及具体判定时必须结合行业要求、主管部门意见与测评机构结论，不能作为法律意见使用。

12.1 数据分类分级落地四步

数据安全的基础动作是分类分级，但很多组织卡在"不知道从哪下手"。可行的路径是四步：

#mermaid-svg-bZsiV3cnDDXT9xku{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-bZsiV3cnDDXT9xku .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-bZsiV3cnDDXT9xku .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-bZsiV3cnDDXT9xku .error-icon{fill:#552222;}#mermaid-svg-bZsiV3cnDDXT9xku .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-bZsiV3cnDDXT9xku .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-bZsiV3cnDDXT9xku .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-bZsiV3cnDDXT9xku .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-bZsiV3cnDDXT9xku .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-bZsiV3cnDDXT9xku .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-bZsiV3cnDDXT9xku .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-bZsiV3cnDDXT9xku .marker{fill:#333333;stroke:#333333;}#mermaid-svg-bZsiV3cnDDXT9xku .marker.cross{stroke:#333333;}#mermaid-svg-bZsiV3cnDDXT9xku svg{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-bZsiV3cnDDXT9xku p{margin:0;}#mermaid-svg-bZsiV3cnDDXT9xku .label{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;color:#333;}#mermaid-svg-bZsiV3cnDDXT9xku .cluster-label text{fill:#333;}#mermaid-svg-bZsiV3cnDDXT9xku .cluster-label span{color:#333;}#mermaid-svg-bZsiV3cnDDXT9xku .cluster-label span p{background-color:transparent;}#mermaid-svg-bZsiV3cnDDXT9xku .label text,#mermaid-svg-bZsiV3cnDDXT9xku span{fill:#333;color:#333;}#mermaid-svg-bZsiV3cnDDXT9xku .node rect,#mermaid-svg-bZsiV3cnDDXT9xku .node circle,#mermaid-svg-bZsiV3cnDDXT9xku .node ellipse,#mermaid-svg-bZsiV3cnDDXT9xku .node polygon,#mermaid-svg-bZsiV3cnDDXT9xku .node path{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-bZsiV3cnDDXT9xku .rough-node .label text,#mermaid-svg-bZsiV3cnDDXT9xku .node .label text,#mermaid-svg-bZsiV3cnDDXT9xku .image-shape .label,#mermaid-svg-bZsiV3cnDDXT9xku .icon-shape .label{text-anchor:middle;}#mermaid-svg-bZsiV3cnDDXT9xku .node .katex path{fill:#000;stroke:#000;stroke-width:1px;}#mermaid-svg-bZsiV3cnDDXT9xku .rough-node .label,#mermaid-svg-bZsiV3cnDDXT9xku .node .label,#mermaid-svg-bZsiV3cnDDXT9xku .image-shape .label,#mermaid-svg-bZsiV3cnDDXT9xku .icon-shape .label{text-align:center;}#mermaid-svg-bZsiV3cnDDXT9xku .node.clickable{cursor:pointer;}#mermaid-svg-bZsiV3cnDDXT9xku .root .anchor path{fill:#333333!important;stroke-width:0;stroke:#333333;}#mermaid-svg-bZsiV3cnDDXT9xku .arrowheadPath{fill:#333333;}#mermaid-svg-bZsiV3cnDDXT9xku .edgePath .path{stroke:#333333;stroke-width:2.0px;}#mermaid-svg-bZsiV3cnDDXT9xku .flowchart-link{stroke:#333333;fill:none;}#mermaid-svg-bZsiV3cnDDXT9xku .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-bZsiV3cnDDXT9xku .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-bZsiV3cnDDXT9xku .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-bZsiV3cnDDXT9xku .labelBkg{background-color:rgba(232, 232, 232, 0.5);}#mermaid-svg-bZsiV3cnDDXT9xku .cluster rect{fill:#ffffde;stroke:#aaaa33;stroke-width:1px;}#mermaid-svg-bZsiV3cnDDXT9xku .cluster text{fill:#333;}#mermaid-svg-bZsiV3cnDDXT9xku .cluster span{color:#333;}#mermaid-svg-bZsiV3cnDDXT9xku div.mermaidTooltip{position:absolute;text-align:center;max-width:200px;padding:2px;font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:12px;background:hsl(80, 100%, 96.2745098039%);border:1px solid #aaaa33;border-radius:2px;pointer-events:none;z-index:100;}#mermaid-svg-bZsiV3cnDDXT9xku .flowchartTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-bZsiV3cnDDXT9xku rect.text{fill:none;stroke-width:0;}#mermaid-svg-bZsiV3cnDDXT9xku .icon-shape,#mermaid-svg-bZsiV3cnDDXT9xku .image-shape{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-bZsiV3cnDDXT9xku .icon-shape p,#mermaid-svg-bZsiV3cnDDXT9xku .image-shape p{background-color:rgba(232,232,232, 0.8);padding:2px;}#mermaid-svg-bZsiV3cnDDXT9xku .icon-shape .label rect,#mermaid-svg-bZsiV3cnDDXT9xku .image-shape .label rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-bZsiV3cnDDXT9xku .label-icon{display:inline-block;height:1em;overflow:visible;vertical-align:-0.125em;}#mermaid-svg-bZsiV3cnDDXT9xku .node .label-icon path{fill:currentColor;stroke:revert;stroke-width:revert;}#mermaid-svg-bZsiV3cnDDXT9xku :root{–mermaid-font-family:\”trebuchet ms\”,verdana,arial,sans-serif;}

第一步 数据资产盘点

第二步 定分类分级规则

第三步 打标与归位

第四步 差异化保护与定期复核

梳理系统 表 接口 文件的字段清单

明确来源 用途 责任部门 流转路径

按敏感程度定级: 公开 内部 敏感 核心

按合规要求定类: 个人信息 重要数据 业务数据

把规则落到字段级并标注责任人

输出数据地图, 让流转可见

权限 加密 脱敏 审计 按级差异化

业务或结构变化时触发复评

图 1：数据分类分级落地四步法

12.2 个人信息处理自查十日清单

下面这份清单适合做成一次为期两周的内部自查，每一项都对应可核查的证据，而不是"感觉做了"。

使用建议：把每一行的"证据"当成检查时唯一认可的东西。能拿出材料就打勾，拿不出来就是待整改项，直接进台账并指定责任人与完成时间。

12.3 等保整改的优先级怎么排

测评之后往往会拿到一份很长的问题清单，资源有限时必须排优先级。建议按"四象限"处理：

排序时有两个常见误判：一是按"技术难度"排序，结果把容易修的高风险问题拖到后面；二是把"文档类问题"全部视为不重要，但在测评与监管视角下，管理制度与记录恰恰是"是否真的在做"的直接证据。合理做法是技术与管理两条线并行，技术问题按风险排，文档问题按"是否已有事实基础"排——事实做了只缺记录，就快速补齐；事实没做，那它其实是技术或管理缺失，需要真整改。

12.4 合规台账与证据留存的模板结构

合规工作的核心是"可核查"。建议所有合规活动都落到一个统一台账里，结构如下：

# 合规整改台账（结构示例）
items:
– id: SEC–2026–001
source: 等级测评报告 / 内部自查 / 监管通知
category: 技术要求–安全计算环境
description: 某系统数据库存在多余的高权限账号
risk_level: 高 # 高 / 中 / 低
evidence: 账号清单截图与核查记录 # 问题证据
owner: 数据库管理员 + 系统负责人 # 双责任人
due_date: 2026-10-15
action: 清理多余账号，改为专用低权限账号并按需授权
status: 进行中 # 待处理 / 进行中 / 已完成 / 已复测
verification: 复查账号清单 + 权限矩阵确认
records: # 证据材料，缺一不可
– 整改前截图
– 变更审批记录
– 整改后截图
– 复测结论

为什么记录要这么细：监管与测评看的不只是"你说修好了"，而是"你能证明修好了，并且当时经过审批、事后经过验证"。缺少任何一环，下次检查时这条都会被重新提出来。

12.5 常见问题速答

12.6 管理制度怎么落地：三层结构法

合规工作里最容易"写一套、做另一套"的就是制度。制度写得很漂亮，但没人执行、没有记录、没有检查。解决办法是把它拆成三层，每层都有明确产出：

判定制度是否真正落地的三个问题：

12.7 一次合规工作的完整时间线

把零散的动作拼成一条时间线，会更容易理解合规工作为什么是"持续"的而不是"一次性的"：

#mermaid-svg-dmAQpOGXb5Dpi0w4{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-dmAQpOGXb5Dpi0w4 .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .error-icon{fill:#552222;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .marker{fill:#333333;stroke:#333333;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .marker.cross{stroke:#333333;}#mermaid-svg-dmAQpOGXb5Dpi0w4 svg{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-dmAQpOGXb5Dpi0w4 p{margin:0;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .label{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;color:#333;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .cluster-label text{fill:#333;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .cluster-label span{color:#333;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .cluster-label span p{background-color:transparent;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .label text,#mermaid-svg-dmAQpOGXb5Dpi0w4 span{fill:#333;color:#333;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .node rect,#mermaid-svg-dmAQpOGXb5Dpi0w4 .node circle,#mermaid-svg-dmAQpOGXb5Dpi0w4 .node ellipse,#mermaid-svg-dmAQpOGXb5Dpi0w4 .node polygon,#mermaid-svg-dmAQpOGXb5Dpi0w4 .node path{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .rough-node .label text,#mermaid-svg-dmAQpOGXb5Dpi0w4 .node .label text,#mermaid-svg-dmAQpOGXb5Dpi0w4 .image-shape .label,#mermaid-svg-dmAQpOGXb5Dpi0w4 .icon-shape .label{text-anchor:middle;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .node .katex path{fill:#000;stroke:#000;stroke-width:1px;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .rough-node .label,#mermaid-svg-dmAQpOGXb5Dpi0w4 .node .label,#mermaid-svg-dmAQpOGXb5Dpi0w4 .image-shape .label,#mermaid-svg-dmAQpOGXb5Dpi0w4 .icon-shape .label{text-align:center;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .node.clickable{cursor:pointer;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .root .anchor path{fill:#333333!important;stroke-width:0;stroke:#333333;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .arrowheadPath{fill:#333333;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .edgePath .path{stroke:#333333;stroke-width:2.0px;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .flowchart-link{stroke:#333333;fill:none;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-dmAQpOGXb5Dpi0w4 .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-dmAQpOGXb5Dpi0w4 .labelBkg{background-color:rgba(232, 232, 232, 0.5);}#mermaid-svg-dmAQpOGXb5Dpi0w4 .cluster rect{fill:#ffffde;stroke:#aaaa33;stroke-width:1px;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .cluster text{fill:#333;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .cluster span{color:#333;}#mermaid-svg-dmAQpOGXb5Dpi0w4 div.mermaidTooltip{position:absolute;text-align:center;max-width:200px;padding:2px;font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:12px;background:hsl(80, 100%, 96.2745098039%);border:1px solid #aaaa33;border-radius:2px;pointer-events:none;z-index:100;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .flowchartTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-dmAQpOGXb5Dpi0w4 rect.text{fill:none;stroke-width:0;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .icon-shape,#mermaid-svg-dmAQpOGXb5Dpi0w4 .image-shape{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .icon-shape p,#mermaid-svg-dmAQpOGXb5Dpi0w4 .image-shape p{background-color:rgba(232,232,232, 0.8);padding:2px;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .icon-shape .label rect,#mermaid-svg-dmAQpOGXb5Dpi0w4 .image-shape .label rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-dmAQpOGXb5Dpi0w4 .label-icon{display:inline-block;height:1em;overflow:visible;vertical-align:-0.125em;}#mermaid-svg-dmAQpOGXb5Dpi0w4 .node .label-icon path{fill:currentColor;stroke:revert;stroke-width:revert;}#mermaid-svg-dmAQpOGXb5Dpi0w4 :root{–mermaid-font-family:\”trebuchet ms\”,verdana,arial,sans-serif;}

现状调研范围与边界确认

差距分析对照要求找缺口

方案与预算排优先级定责任人

整改实施技术与管理并行

自查与预评估先自己当一次考官

正式测评或审计配合与举证

问题闭环整改台账逐条销项

持续运行定期复评与例行检查

图 2：合规工作的完整闭环

一句话总结这一章：合规的本质不是"应付检查"，而是用一套可核查的方式证明你的安全措施真的在运行。把所有活动都变成"有责任人、有记录、有验证"的动作，检查只是顺带的结果，而不是终点。

12.8 给个人从业者的三条底线提醒

对安全从业者个人而言，合规不只是给组织准备的材料，也是保护自己的护栏。三条必须守住的底线：第一，只在授权范围内做事，测试、取证、数据调取都要有书面依据，口头同意不算；第二，不带走、不私存任何数据，即便为了验证漏洞真实存在也不要把真实数据留在自己设备上；第三，如实记录与如实上报，出现了误操作或数据影响要第一时间上报，掩盖往往比事故本身后果更严重。这三条在任何公司、任何项目里都成立，也是职业信誉的根基。

十三、小结

网络安全合规不是法务必修课，而是技术人的边界地图。《网络安全法》确立等保义务与网络运营者责任，《数据安全法》以分类分级管好"数据"，《个人信息保护法》以处理规则守护"个人信息"，三者与关基条例、密码法、数据出境规则共同构成框架；等保 2.0（GB/T 22239-2019 等）把法律义务落成为可测评的技术与管理要求，核心是五级划分与"一个中心三重防护"，流程为定级—备案—建设整改—测评—监督检查。落地要避开"上云即合规""买设备即合规"等误区，把合规嵌入研发运营。对个人，书面授权、最小采集、合规上报是绝不能碰的红线。