企业官网建设流程全解析

前几天，一位做企业信息化的朋友把测评报告初稿发给我，指着其中一栏问：

「这一项去年报告里没有吧？什么叫『安全数据处理』？我们防火墙、堡垒机、日志审计都配齐了，怎么这一块还是被点出来了。」

我翻了一下他手里的报告，被点出的问题其实都很基础：数据库里客户手机号、身份证号是明文落盘的；测试环境用的是生产数据的完整副本，没有人做脱敏；谁在什么时间导出了多少条数据，系统里查不出来。

这几条，过去常被算作「边界防护」或「安全管理制度」里的附带项。今年不一样了，它们被单独拎出来，成立了新的一类。

一、多出来的这一「类」，是什么

2026 年 1 月 9 日，公安部发布GA/T 2380—2026《信息安全技术 网络安全等级保护数据安全基本要求》，2026 年 6 月 1 日起实施。配套的测评要求GA/T 2394—2026《信息安全技术 网络安全等级保护数据安全测评要求》于 2026 年 2 月 28 日发布、2026 年 7 月 1 日起实施。

这两份文号的发布与实施信息，可以在公安部政务服务网的标准详情页面直接查到核实，不必依赖任何二手解读。

它带来的变化，用一句话概括：

等保原有的十个安全大类（物理环境、通信网络、区域边界、计算环境、管理中心，以及五项管理类）全部保留并细化，在此之外新增「安全数据处理」一个独立大类，形成业内说的「10 + 1」体系。

需要强调的是：GA/T 2380 属于公共安全行业推荐性标准，它不替代、也不修改 GB/T 22239—2019 的原有条款，而是在原有框架上补一块专门的拼图。

二、从「顺带一提」到「单独计分」，差别在哪

过去讲等保，话题基本围绕网络边界、主机加固、制度台账。数据安全的要求散落在各个章节里，检查时问得比较粗：防火墙有没有、备份有没有、制度有没有。

新的一类把测评视角拉到了数据本身，落点集中在四个递进的动作：

1. 数据识别 —— 先摸清家底

哪些库表存了敏感数据、哪些字段属于个人信息、重要数据落在哪台机器上，要形成一份能拿出来核对的清单。这一步做不出来，后面的分级、脱敏、审计都没有依据。三级系统以结构化的敏感数据、重要数据为主要对象。

2. 数据标记 —— 让「级别」跟着数据走

对数据类别、安全级别做标记，并要求标记随数据流转一起携带，成为访问控制、加密、脱敏、审计策略联动的依据。简单说：不能只在台账里写这是重要数据，数据本身要带着这个身份。

3. 数据脱敏 —— 把不该露的部分遮掉

测试环境、开发环境、对外共享、第三方分析这些场景，用的是什么数据？是不是生产数据的完整复制？静态脱敏产生的副本要与原始数据分开存放，操作全程要留痕。

4. 数据溯源 —— 出事之后能查得清

谁在什么时间、从哪个接口、导出了多少条数据，要有记录且不可篡改。现在很多系统只有登录日志，没有数据操作的完整审计，这一项就容易挂。

三、企业现在要先动手的三件事

不用等产品方案，下面三件事今天就能启动，成本主要在人力而不是预算：

第一件：拉一张数据资产台账。

按「系统 → 数据库/文件 → 表/字段 → 数据类别 → 是否敏感 → 责任人」六列往下填。第一轮不用追求百分之百，先把存有个人信息、业务核心数据的库表找出来。这张表后面兼做分类分级、加密改造、脱敏规则的共同起点。

第二件：排查三个高危场景。

① 生产数据有没有被直接同步到测试/开发环境；② 批量导出功能有没有审批、有没有限额、有没有记录；③ 数据库里的敏感字段是不是明文。这三项是整改里投入产出比最高的部分，一般也是最先被点出来的。

第三件：补齐操作审计。

数据库层面和应用层面的关键操作分别留痕，日志集中存储、权限最小化、留存周期满足要求。注意这里讲的日志留存与网络安全法要求的网络日志留存不少于六个月是两套口径，不要混为一谈。

四、它和密评、个人信息保护是什么关系

这三个经常被问到，用一张表分清楚：

| 事项 | 回答的问题 | 主要依据
| 等保测评 | 整个系统整体防护达不达标 | GB/T 22239—2019 及 GA/T 2380 等系列
| 商用密码应用安全性评估（密评） | 密码用得对不对、合规不合规 | GB/T 39786—2021、《商用密码应用安全性评估管理办法》
| 个人信息保护合规审计 | 个人信息处理活动合不合规 | 个人信息保护法及配套规定

它们有交集但不等同。举个例子：数据加密这一件事，等保关心「是不是密文存储」，密评关心「用的是不是合规的商用密码算法、密钥怎么管」。很多企业做完等保整改，加密也上了，但用的是自研或开源方案，算法和密钥管理没有按密评口径走，到密评这一环节还是要返工。

顺带说明我们自己的边界：商用密码应用安全性评估的报告须由具备资质的检测机构出具。我们这边能做的是密评辅导、差距分析，以及协助对接具备资质的检测机构；等保测评与整改辅导则是我们的主业。这句话该由谁出什么报告，我们不打马虎眼。

五、两个常见误区

误区一：买一台设备就能解决。

数据安全落在四个动作上，其中「摸清家底」这一步是纯治理工作，任何设备都替代不了。资产台账没拉出来就上设备，等于买了锁不知道锁哪扇门。

误区二：这是推荐标准，可以先不管。

标准属性是推荐性，但它配套了测评机构能力要求、测评要求、测评过程指南三份文件，构成「建设要求 — 机构能力 — 测评指标 — 测评流程」的闭环。是否纳入你今年的测评范围、按什么深度查，以属地公安机关的要求和你委托的测评机构实际执行口径为准，这一点建议在测评启动前的沟通会上直接问清楚，别等报告出来了才知道。

写在最后

这一类的出现，本质是监管口径的一次平移：从「你的防护设备齐不齐」转向「你的数据管得住管不住」。设备可以一次性采购，数据治理是长期工程，早动手比临测前突击从容得多。

——

留一个问题给各位：你们公司的数据资产台账，是 IT 部门单独维护的，还是业务、IT、合规三方一起维护的？欢迎在评论区说说现在的做法，我们整理后出一期实操清单。

本文所引标准信息均以公安部政务服务网公开的标准详情页为准，具体测评执行口径请以属地公安机关与你委托的测评机构要求为准。

【小安注·发布前删除】开篇场景为通用写法，建议替换为您的真实测评经历再发布；合规自查见内容包 compliance-check.md。