炼石图解：网络安全等级保护数据安全基本要求等四项标准 V1.0

来源与版权：本页为本地转换稿（源文件 炼石-图解网络安全等级保护数据安全基本要求等四项标准V1.0.pdf，共 203 页），版权归标准发布机构所有，仅供学习与测评工作参考，正式引用请核对官方发布版本。详见 版权声明。

图解 网络安全等级保护数据安全基本要求等四项标准

炼石网络 2026年6月

炼石 CipherGateway

等保四项数据安全标准关系一览

四项标准构建了“建设要求-测评指标-实施过程-机构能力”的完整标准体系，填补等保2.0在数据安全领域的细化要求空白。这意味着从企业怎么建、第三方怎么测、过程怎么管、机构资质怎么审，全部有章可循，有标可依。

GB/T 28449-2019 网络安全等级保护测评过程指南

规范测评全流程，以数据流动为主线，从“查系统”转向“查数据”，标志等保测评范式转型。

GB/T 36959-2018 网络安全等级保护测评机构能力要求和评估规范

严格规范测评机构人员资质、质量体系、保密管理等四个维度提出强制性能力要求，确保测评专业、公正、可信。

GA/T 2381-2026 网络安全等级保护数据安全测评机构能力要求

实施方案

机构能力

等保对象数据安全建设

建设要求

测评指标

GA/T 2394-2026 网络安全等级保护数据安全测评要求

统一测评指标与判定规则，明确符合/部分符合/不符合判定基准，确保全国测评尺度一致。

GB/T 28448-2019 网络安全等级保护测评要求

GA/T 2380-2026 网络安全等级保护数据安全基本要求

企业数据安全建设、自查、整改的直接依据，在等保2.0基础上新增独立数据安全域(全生命周期)，明确1-4级逐级增强要求。

GB/T 22239-2019 网络安全等级保护基本要求

1. GA/T2380-2026《信息安全技术 网络安全等级保护数据安全基本要求》

2. GA/T2394—2026《信息安全技术 网络安全等级保护数据安全测评要求》

3. GA/T2395—2026《信息安全技术网络安全等级保护数据安全测评过程指南》

4. GA/T2381—2026《信息安全技术网络安全等级保护数据安全测评机构能力要求》

5. 免改造数据安全实践

标准在网络安全等级保护框架下，进一步细化数据安全保护要求

2026年1月9日，公安部发布2026年第1号公告，批准GA/T 2380—2026《信息安全技术 网络安全等级保护数据安全基本要求》，该标准于2026年6月1日实施。标准是等保框架下围绕数据安全保护要求进行专项细化的重要行业标准。

GA

中华人民共和国公共安全行业标准

ICS 35.040 CES 11.180

GA/T ××××—××××

信息安全技术 网络安全等级保护数据安全基本要求

Information security technology—Baseline for data security for classified protection of cybersecurity

（报批稿）

××××-××-××发布　××××-××-××实施

中华人民共和国公安部　发布

GA/T 2380-2026是等保2.0体系下首个数据安全专项标准。为落实《数据安全法》规定，加强数据安全综合治理和安全监管，标准依托网络安全等级保护制度，面向网络运营者，在数据安全相关法律法规和政策要求及GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》中的数据保护相关要求基础上，提出与网络安全等级保护定级对象相适应的增强和细化的数据安全保护要求，强化在数据处理全流程对相关数据处理活动的数据保护。

标准实施后，将与GA/T 2381—2026《信息安全技术 网络安全等级保护数据安全测评机构能力要求》等配套标准形成衔接，推动等保体系下数据安全建设、测评和监管从原则性要求向可操作、可核查、可落地的控制项体系延伸。

GA/T 2380-2026数据安全基本要求核心框架

GA/T 2380-2026 网络安全等级保护数据安全基本要求

GB/T 43697-2024 数据安全技术 数据分类分级规则

数据分类分级

核心数据

重要数据

一般数据

第五级

第四级

第三级

第二级

第一级

严格

一般

分级保护

数据安全基本要求

扩展/细化

新增

安全物理环境

安全通信网络

……

安全运维管理

安全数据处理

十个安全大类

GB/T 22239-2019 网络安全等级保护基本要求

敏感个人信息管控要求

体现

GB/T 45574-2025 敏感个人信息处理安全要求

GB/T 35273-2020 个人信息安全规范

GA/T 2380—2026《网络安全等级保护数据安全基本要求》总结构

网络安全等级保护数据安全基本要求

1 范围

2 规范性引用文件

3 术语和定义

4 第一级 系统数据安全基本要求

4.1 一般规定

4.2 安全计算环境

4.3 安全数据处理

4.4 安全管理制度

4.5 安全管理机构

4.6 安全管理人员

4.7 安全建设管理

4.8 安全运维管理

5 第二级 系统数据安全基本要求

5.1 一般规定

5.2 安全物理环境

5.3 安全计算环境

5.4 安全数据处理

5.5 安全管理制度

5.6 安全管理机构

5.7 安全管理人员

5.8 安全建设管理

5.9 安全运维管理

6 第三级 系统数据安全基本要求

6.1 一般规定

6.2 安全物理环境

6.3 安全通信网络

6.4 安全区域边界

6.5 安全计算环境

6.6 安全数据处理

6.7 安全管理中心

6.8 安全管理制度

6.9 安全管理机构

6.10 安全管理人员

6.11 安全建设管理

6.12 安全运维管理

7 第四级 系统数据安全基本要求

7.1 一般规定

7.2 安全物理环境

7.3 安全通信网络

7.4 安全区域边界

7.5 安全计算环境

7.6 安全数据处理

7.7 安全管理中心

7.8 安全管理制度

7.9 安全管理机构

7.10 安全管理人员

7.11 安全建设管理

7.12 安全运维管理

8 第五级系统数据安全基本要求

等保标准体系演进：从制度确立、法律固化到数据安全专项深化

回顾我国等级保护制度建设历程，等保体系并非单一技术标准，而是在法律制度、管理规范、技术标准和行业实践持续完善过程中逐步形成的基础性网络安全制度体系，并不断从通用安全要求向新技术场景和专项安全能力延伸。

制度奠基与管理规范形成

我国等级保护制度可追溯至1994年《计算机信息系统安全保护条例》确立的信息系统安全保护思路。2007年，《信息安全等级保护管理办法》发布实施，明确国家通过统一管理规范和技术标准，对信息系统实行分等级保护和监督管理，标志着“等保1.0”制度框架基本确立。

法律固化与2.0框架完善

2017年施行的《网络安全法》明确规定“国家实行网络安全等级保护制度”，使等保从管理制度上升为基本法律制度。随后，GB/T 22239-2019、GB/T 28448-2019、GB/T 25070-2019 、GB/T 22240-2020等一系列标准陆续发布实施，形成覆盖定级、建设、测评、设计、监管等环节的等保2.0核心标准框架。

面向新技术场景持续扩展

进入等保2.0阶段后，保护对象不再局限于传统信息系统，而是进一步覆盖云计算、移动互联、物联网、工业控制系统、大数据等新技术新场景。等保标准体系也由“通用安全要求”向“通用要求和扩展要求”演变，增强对复杂网络环境和新型业务形态的适配能力。

聚焦数据安全专项深化

在《数据安全法》《个人信息保护法》等法律法规相继实施后，数据安全已成为等保体系必须回应的重要议题。GA/T 2380—2026在等保框架下专门细化数据安全保护要求，推动等保体系从以系统安全为主，进一步向系统安全与数据安全并重发展。

主要内容：在等保框架下形成数据安全建设控制项

分级保护更加细化

标准共8章，在GB/T 22239—2019基础上，对第一级至第四级等级保护对象的数据安全保护要求进行细化，第五级要求不在本文件中展开。其核心不是另起一套体系，而是在等保既有框架内，将数据安全要求转化为不同等级对象下可执行的技术和管理控制项。

数据对象更为清晰

标准吸收数据分类分级、敏感个人信息保护等相关标准要求，围绕一般数据、重要数据、核心数据等不同对象提出差异化保护思路。特别是在第三级、第四级要求中，重要数据处理系统和核心数据处理系统成为重点保护对象，体现了分类分级结果对安全策略配置和保护强度确定的牵引作用。同时与GB/T 45574—2025《敏感个人信息处理安全要求》、GB/T 35273—2020《个人信息安全规范》有效衔接，强化了敏感个人信息全流程安全管控。

全流程保护全面落地

标准围绕数据处理全流程，细化身份鉴别、访问控制、安全审计、完整性、保密性、备份恢复、数据溯源、数据识别、数据标记、数据脱敏、集中管控、资产管理、介质管理、变更管理、事件处置、应急管理和数据销毁等要求，将《数据安全法》《个人信息保护法》等原则性要求进一步转化为可建设、可测评、可整改的具体要求。

贯彻上位法，确定范围及规范性引用文件

1.范围

2.规范性引用文件

3.术语和定义

4.第一级系统数据安全基本要求

5.第二级系统数据安全基本要求

6.第三级系统数据安全基本要求

7.第四级系统数据安全基本要求

8.第五级系统数据安全基本要求

范围

本文件在GB/T 22239—2019的基础上，规定了第一级到第四级等级保护对象的数据安全保护基本要求。本文件适用于指导网络运营者实现数据安全保护，安全建设方和监督管理机构参照使用。

注：第五级等级保护对象的数据安全保护基本要求不在本文件中进行描述。

规范性引用文件

GB 17859—1999 计算机信息系统安全保护等级划分准则

GB/T 22239—2019 信息安全技术 网络安全等级保护基本要求

GB/T 22240—2020 信息安全技术 网络安全等级保护定级指南

GB/T 25069—2022 信息安全技术 术语

GB/T 43697—2024 数据安全技术 数据分类分级规则

GB/T 45574—2025 数据安全技术 敏感个人信息处理安全要求

明确重要术语的基础概念

GB 17859—1999、GB/T 22239—2019、GB/T 22240—2020、GB/T 25069—2022、GB/T 43697—2024、GB/T 45574—2025等界定的以及下列术语和定义适用于本文件。

1.范围

2.规范性引用文件

3.术语和定义

4.第一级系统数据安全基本要求

5.第二级系统数据安全基本要求

6.第三级系统数据安全基本要求

7.第四级系统数据安全基本要求

8.第五级系统数据安全基本要求

数据安全 data security

通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。 [来源：GB/T 41479—2022，3.4]

重要数据 key data

特定领域、特定群体、特定区域或达到一定精度和规模的，一旦被泄露或篡改、损毁，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据。 注：仅影响组织自身或公民个体的数据一般不作为重要数据。[来源：GB/T 43697—2024，3.2]

核心数据 core data

对领域、群体、区域具有较高覆盖度或达到较高精度、较大规模、一定深度的，一旦被非法使用或共享，可能直接影响政治安全的重要数据。 注：核心数据主要包括关系国家安全重点领域的数据，关系国民经济命脉、重要民生、重大公共利益的数据，经国家有关部门评估确定的其他数据。[来源：GB/T 43697—2024，3.3]

一般数据 general data

核心数据、重要数据以外的其他数据。 [来源：GB/T 43697—2024，3.4]

数据血缘 data lineage

数据在产生、处理到消亡的流转过程中构建的一种类似于人类社会血缘（如父子关系等）的关系，可在数据融合处理后进行数据溯源。 [来源：GB/T 39477-2020，3.9，有修改]

敏感数据 sensitive data

一旦泄露、非法提供或滥用可能危害网络安全的数据。 注1：敏感数据包括敏感业务数据、敏感个人信息及敏感数据等。 注2：敏感全数据包括口令、密钥、关键配置信息等。 [来源：GB 40050-2021，3.4，有修改]

数据处理 data processing

数据的收集、存储、使用、加工、传输、提供、公开等。 [来源：GB/T 41479—2022，3.3]

数据供应链 data supply chain

为满足数据供应关系，通过资源和过程将数据提供方、数据接收方相互关联的结构。 [来源：GB/T 37988-2019，3.14，有修改]

制定第一级系统数据安全基本要求

炼石 CipherGateway

1.范围 2.规范性引用文件 3.术语和定义 4.第一级系统数据安全基本要求 5.第二级系统数据安全基本要求 6.第三级系统数据安全基本要求 7.第四级系统数据安全基本要求 8.第五级系统数据安全基本要求

1. 一般规定 | 2. 安全计算环境 | 3. 安全数据处理 | 4. 安全管理制度 | 5. 安全管理机构 | 6. 安全管理人员 | 7. 安全建设管理 | 8. 安全运维管理

一般规定

第一级系统数据安全除应满足GB/T 22239-2019的第6章要求外，还应满足4.2～4.8的要求。

安全计算环境

如需要在开发环境、测试环境使用个人信息，应对其中的敏感个人信息进行去标识化。

安全数据处理

应根据法律法规的相关规定和个人信息的使用目的，在界面展示环节对敏感个人信息进行脱敏。

安全管理制度

应制定覆盖全流程数据处理活动的安全管理制度。

安全管理机构

岗位设置：宜设立数据库管理员岗位，定义岗位的职责。

授权和审批：宜明确数据处理授权审批事项、审批部门、审批人等。

安全管理人员

应对全员开展数据安全培训，加强数据安全保护意识教育。

安全建设管理

应采取措施约束数据供应链相关方对数据的收集、使用、提供符合国家法律法规要求。

安全运维管理

应规范介质使用管理，避免介质内数据被违规留存或还原。

二级系统要求采取校验技术保护物理环境安全

炼石 CipherGateway

1.范围 2.规范性引用文件 3.术语和定义 4.第一级系统数据安全基本要求 5.第二级系统数据安全基本要求 6.第三级系统数据安全基本要求 7.第四级系统数据安全基本要求 8.第五级系统数据安全基本要求

1. 一般规定 | 2. 安全物理环境 | 3. 安全计算环境 | 4. 安全数据处理 | 5. 安全管理制度 | 6. 安全管理机构 | 7. 安全管理人员 | 8. 安全建设管理 | 9. 安全运维管理

1.一般规定

第二级系统数据安全除应满足GB/T 22239-2019的第7章要求外，还应满足5.2～5.9的要求。

2.安全物理环境

物理访问控制

应采取校验技术保护电子门禁系统物理访问控制记录数据、视频监控数据在存储过程中的完整性。

机房监测数据保护

应采取校验技术保护机房环境监测数据在存储过程中的完整性。

身份鉴别、访问控制、安全审计三要素并行，保障计算环境安全

炼石 CipherGateway

1.范围 2.规范性引用文件 3.术语和定义 4.第一级系统数据安全基本要求 5.第二级系统数据安全基本要求 6.第三级系统数据安全基本要求 7.第四级系统数据安全基本要求 8.第五级系统数据安全基本要求

1. 一般规定 | 2. 安全物理环境 | 3. 安全计算环境 | 4. 安全数据处理 | 5. 安全管理制度 | 6. 安全管理机构 | 7. 安全管理人员 | 8. 安全建设管理 | 9. 安全运维管理

3.安全计算环境

1 身份鉴别

身份鉴别要求包括：

a) 宜对登录的程序或应用进行身份标识和鉴别，身份鉴别信息具有复杂度要求并定期更换；

b) 应能对系统中运行的数据处理工具进行身份鉴别。

2 访问控制

访问控制要求包括：

a) 应在通信前对参与数据流动的内外部接口进行授权；

b) 应对数据源和数据存储系统的访问，以及数据导入导出、数据备份和恢复等操作采取访问控制措施；

c) 应定期对数据处理全流程使用的各类账号进行识别、梳理及分类，防止非法账号、闲置账号、过期账号存在；

d) 应对数据处理活动使用的数据收集、数据脱敏、数据共享、数据发布、数据销毁等工具的访问、操作和运行进行权限控制。

3 安全审计

安全审计要求包括：

a) 应对数据收集、存储、使用、加工、传输、提供、公开、销毁等数据处理活动的重要操作过程和安全事件进行安全审计；

b) 数据传输、提供活动的审计记录应包含数据对象描述、数据发送方（如 IP、端口、程序或应用）、数据接收方（如 IP、端口、程序或应用）、传输协议、传输时间、数据量、传输是否成功等内容。

保障数据完整性和保密性，加强个人信息保护

炼石 CipherGateway

1.范围 2.规范性引用文件 3.术语和定义 4.第一级系统数据安全基本要求 5.第二级系统数据安全基本要求 6.第三级系统数据安全基本要求 7.第四级系统数据安全基本要求 8.第五级系统数据安全基本要求

1. 一般规定 | 2. 安全物理环境 | 3. 安全计算环境 | 4. 安全数据处理 | 5. 安全管理制度 | 6. 安全管理机构 | 7. 安全管理人员 | 8. 安全建设管理 | 9. 安全运维管理

3.安全计算环境

4 恶意代码防范

应在数据收集、存储、使用和加工环节进行恶意代码检测和防范。

5 数据完整性

应采用校验技术保护数据在传输过程中的完整性，包括但不限于鉴别数据、业务数据、审计数据、配置数据、网络访问控制数据、溯源数据、系统资源访问控制数据和个人信息等。

6 数据保密性

应采取必要措施保护鉴别数据在存储和网络传输过程中的保密性。

7 数据备份恢复

数据备份恢复要求包括：

a) 应提供异地数据备份功能，利用通信网络将重要的数据定时批量备份至备份场地；

b) 应支持选择全部或部分备份数据，以及不同备份时间点的备份数据进行恢复；

c) 应确保数据恢复过程中的完整性，并在检测到完整性受到破坏时采取必要的数据恢复措施。

8 个人信息保护

个人信息保护要求包括：

a) 如需要在开发环境、测试环境使用个人信息，应对其中的敏感个人信息进行去标识化；

b) 应对个人信息批量查询、高频次查询进行限制。

采用数据溯源和脱敏技术，强化数据处理安全，同步建立安全管理制度

炼石 CipherGateway

1.范围 2.规范性引用文件 3.术语和定义 4.第一级系统数据安全基本要求 5.第二级系统数据安全基本要求 6.第三级系统数据安全基本要求 7.第四级系统数据安全基本要求 8.第五级系统数据安全基本要求

1. 一般规定 | 2. 安全物理环境 | 3. 安全计算环境 | 4. 安全数据处理 | 5. 安全管理制度 | 6. 安全管理机构 | 7. 安全管理人员 | 8. 安全建设管理 | 9. 安全运维管理

4.安全数据处理

1 数据溯源

宜采取技术措施（如水印技术）实现敏感数据在数据展示环节的可追溯性。

2 数据脱敏

应根据数据的使用目的，采取相应的数据脱敏技术、数据脱敏规则和数据脱敏策略对敏感数据进行脱敏。

5.安全管理制度

1 安全策略

安全策略要求包括：

a) 应制定数据安全工作的总体方针和安全策略，阐明组织数据安全工作的目标、范围、原则和安全框架等相关内容；

b) 应依据数据分类分级要求建立符合业务规则的数据安全策略，如授权、溯源、流程控制、不一致处理等策略；

c) 数据安全策略应覆盖数据处理全流程，内容至少包括目的、范围、岗位、责任、管理层承诺、内外部协调机制及合规性目标等。

2 管理制度

管理制度要求包括：

a) 应制定覆盖全流程数据处理活动的安全管理制度；

b) 应对数据管理人员或操作人员执行的日常管理建立操作规程。

明确安全管理机构职责与安全管理人员要求

炼石 CipherGateway

1.范围 2.规范性引用文件 3.术语和定义 4.第一级系统数据安全基本要求 5.第二级系统数据安全基本要求 6.第三级系统数据安全基本要求 7.第四级系统数据安全基本要求 8.第五级系统数据安全基本要求

1. 一般规定 | 2. 安全物理环境 | 3. 安全计算环境 | 4. 安全数据处理 | 5. 安全管理制度 | 6. 安全管理机构 | 7. 安全管理人员 | 8. 安全建设管理 | 9. 安全运维管理

6.安全管理机构

1 岗位设置

应设立数据安全负责人、数据安全管理员、数据安全审计员等数据安全关键岗位，定义岗位的工作职责。

2 授权和审批

a) 应明确数据处理授权审批事项、审批部门、审批人等；

b) 应针对数据收集环节建立审查审批程序，保证数据来源、收集范围和方式符合法律法规规定以及合同约定；

c) 应针对数据加工、共享交换、批量导入导出、公开发布、销毁等事项建立审批程序，按照审批程序执行授权审批。

3 审核和检查

应开展日常数据安全检查，主要内容包括数据平台运行情况、数据库漏洞、数据安全审计日志等。

7.安全管理人员

1 人员录用

数据相关管理员岗位人员应签署保密协议并通过相关数据安全考试。

2 安全意识教育和培训

应对全员开展数据安全培训，加强数据安全保护意识教育。

3 外部人员访问管理

应在外部人员接入受控网络访问数据资源前先提出书面或电子化方式申请，明确访问的数据资源及权限，批准后由专人开设账户、分配权限，并登记备案。

细化供应链安全管理要求

炼石 CipherGateway

1.范围 2.规范性引用文件 3.术语和定义 4.第一级系统数据安全基本要求 5.第二级系统数据安全基本要求 6.第三级系统数据安全基本要求 7.第四级系统数据安全基本要求 8.第五级系统数据安全基本要求

1. 一般规定 | 2. 安全物理环境 | 3. 安全计算环境 | 4. 安全数据处理 | 5. 安全管理制度 | 6. 安全管理机构 | 7. 安全管理人员 | 8. 安全建设管理 | 9. 安全运维管理

8.安全建设管理

1 供应链管理要求包括：

合法性约束

a) 应采取措施约束数据供应链相关方对数据的收集、使用、提供符合国家法律法规要求；

安全管理规范

b) 应制定数据供应链安全管理规范，明确数据供应链安全目标、原则和范围、数据供应链相关方的选择和管理等；

明确数据来源及身份审核

c) 应要求数据提供方说明数据来源，并对数据提供方的身份进行审核，留存审核记录；

明确责任义务

d) 应签署合作协议明确数据供应链相关方的责任和义务，包括数据供应链中数据的使用目的、供应方式、保密约定、有效期等内容，确保数据供应链相关数据服务真实可用。

建立数据资产安全管理制度，规范介质、变更、应急、销毁机制

炼石 CipherGateway

1.范围 2.规范性引用文件 3.术语和定义 4.第一级系统数据安全基本要求 5.第二级系统数据安全基本要求 6.第三级系统数据安全基本要求 7.第四级系统数据安全基本要求 8.第五级系统数据安全基本要求

1. 一般规定 | 2. 安全物理环境 | 3. 安全计算环境 | 4. 安全数据处理 | 5. 安全管理制度 | 6. 安全管理机构 | 7. 安全管理人员 | 8. 安全建设管理 | 9. 安全运维管理

9.安全运维管理

1 资产管理

a) 应建立数据资产安全管理制度，覆盖数据资产的全生命周期工作内容，定义数据资产相关角色定位和职责，明确数据资产登记机制、数据资产管理范围和属性、数据分类分级和标识方法等，确保组织内部数据资产已有明确的管理者和责任部门；

b) 应根据数据资产安全管理制度识别数据并编制数据资产清单，包括数据类别、数据量、数据级别、数据资产责任部门和所处位置等内容；

c) 应对数据进行标识管理，根据数据资产的重要程度实施必要的安全管理策略和保障措施。

2 介质管理

a) 应规范介质使用管理，避免介质内数据被违规留存或还原；

b) 应对存储介质进行标记，明确介质存储的数据对象，并对介质访问和使用行为进行记录和审计；

c) 含有存储介质的设备在报废或重用前，应进行完全清除或被安全覆盖，保证该设备上的敏感数据无法被恢复重用。

3 变更管理

a) 应明确数据资产变更需求，编制数据资产变更方案，变更方案经过评审、批准后才能执行；

b) 应对数据资产变更进行记录，并通知相关数据使用方。

4 应急预案管理

应建立数据安全事件应急响应机制。

5 数据销毁

a) 应建立数据销毁安全管理制度，明确销毁对象和销毁程序、不同类别级别数据的销毁方式和销毁要求等；

b) 应建立数据销毁审批机制，设置销毁相关监督角色，监督操作过程；

c) 应对闪存、硬盘、磁带、光盘等存储介质中的数据进行销毁时，应采用难以恢复的数据销毁方法（如重复清除与覆盖）；

d) 数据销毁过程应保留有关记录，记录至少应包括销毁内容、销毁方式与时间、销毁人签字、监督人签字等内容。

三级系统要求全面升级，要求采用密码技术保障物理环境安全

炼石 CipherGateway

1.范围 2.规范性引用文件 3.术语和定义 4.第一级系统数据安全基本要求 5.第二级系统数据安全基本要求 6.第三级系统数据安全基本要求 7.第四级系统数据安全基本要求 8.第五级系统数据安全基本要求

1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理

1.一般规定

第三级系统数据安全应满足GB/T 22239-2019的第8章要求外，还应满足6.2～6.12的要求。

2.安全物理环境

1 物理访问控制

应采用校验技术或密码技术保护电子门禁系统物理访问控制记录数据、视频监控数据在传输和存储过程中的完整性；应采用密码技术保护电子门禁系统的鉴别数据和生物特征信息的保密性，生物特征信息包括：指纹信息、人脸信息、声纹信息、虹膜信息、指静脉信息等。

2 机房监测数据保护

应采用校验技术或密码技术保护机房环境监测数据传输和存储过程的完整性。

3.安全通信网络

对于重要数据处理系统，网络架构要求包括：

a) 重要数据所在的存储区域与公共信息网络之间应采取可靠的逻辑隔离措施；

b) 应采取必要的技术或管理措施，保证境内用户访问境内网络的，其流量不会被路由至境外。

4.安全区域边界

应采取技术措施控制对重要数据所在存储区域的访问。

重要数据处理系统，要求采用密码技术对数据处理程序或应用进行身份鉴别

炼石 CipherGateway

1.范围 2.规范性引用文件 3.术语和定义 4.第一级系统数据安全基本要求 5.第二级系统数据安全基本要求 6.第三级系统数据安全基本要求 7.第四级系统数据安全基本要求 8.第五级系统数据安全基本要求

1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理

5.安全计算环境

1 身份鉴别

1、对于一般数据处理系统，身份鉴别要求包括：

a) 应对登录的程序或应用进行身份标识和鉴别，身份鉴别信息具有复杂度要求并定期更换；

b) 应对数据处理活动中使用的工具，如用于收集、脱敏、管理等工具账户与使用者账户分别进行身份标识和鉴别；

c) 应通过统一的登录管理平台对数据系统登录账号进行鉴别；

d) 宜对程序或应用进行身份鉴别。

2、对于重要数据处理系统，除满足 6.5.1.1 要求，还应采用口令、密码技术组合的鉴别技术对数据处理程序或应用进行身份鉴别。

2 访问控制

1、对于一般数据处理系统，访问控制要求包括：

a) 应在通信前对参与数据流动的内外部接口进行授权；

b) 应对数据源和数据存储系统的访问，以及数据导入导出、数据备份和恢复等操作采取访问控制措施；

c) 应对数据访问接口、数据服务的调用以及用户对敏感数据的操作行为进行访问控制；

d) 应基于数据分类分级结果配置主体对客体的访问控制策略，访问控制的粒度应达到主体为用户级或进程级，客体为接口、应用功能、文件、数据库表级等；

e) 应定期对数据处理全流程使用的各类账号进行识别、梳理及分类，防止非法账号、闲置账号、过期账号存在；

f) 应对数据处理活动使用的数据收集、数据脱敏、数据共享、数据发布、数据销毁等工具的访问、操作和运行进行权限控制；

g) 应通过统一权限管理平台对各类数据系统的访问权限进行管理。

2、对于重要数据处理系统，除满足 6.5.2.1 要求外，还应对数据访问接口、数据服务的调用以及用户的查询、修改、删除、导出、共享、交换、备份、恢复等操作进行访问控制。

全链路审计结合行为异常检测，保障计算环境安全

导航标签： 1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 | 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理

左侧目录： 1.范围 | 2.规范引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求

（当前高亮：5.安全计算环境 / 6.第三级系统数据安全基本要求）

5.安全计算环境

3 安全审计

1、对于一般数据处理系统，安全审计要求包括：

a) 应对数据收集、存储、使用、加工、传输、提供、公开、销毁等数据处理活动的重要操作过程和安全事件进行安全审计；

b) 数据交换环节的审计记录应包含数据发送方（如 IP、端口、程序或应用）、数据接收方（如IP、端口、程序或应用）、传输协议、传输时间、数据量、数据对象描述、传输是否成功等；

c) 应对数据访问接口、数据服务的调用以及用户对敏感数据的操作行为进行安全审计。

2、对于重要数据处理系统，除满足 6.5.3.1 要求外，还应对数据访问接口、数据服务的调用以及用户的收集、查询、修改、删除、更新、导入、导出、共享、交换、备份、恢复等操作进行安全审计，数据操作审计记录包括日期和时间、用户或进程、操作类型、操作对象、操作结果等内容。

4 入侵防范

入侵防范要求包括：

a) 应能够检测到针对存储数据或数据库的入侵行为和异常数据访问行为，并在发生严重入侵行为时进行阻断并报警；

b) 应能够通过用户行为分析，对突发调取、违规外传重要数据或大量敏感数据，以及账号异常高频操作等可疑行为进行检测并报警。

采用密码技术保障数据保密性和完整性

导航标签： 1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 | 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理

左侧目录： 1.范围 | 2.规范引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求

（当前高亮：5.安全计算环境 / 6.第三级系统数据安全基本要求）

5.安全计算环境

5 恶意代码防范

应在数据收集、存储、使用和加工环节进行恶意代码检测和防范。

7 数据保密性

数据保密性要求包括：

a) 应采用密码技术保护重要数据和敏感数据及其备份数据在远程导入以及在数据收集、使用、加工、提供等活动涉及的数据传输过程的保密性；

b) 应采用密码技术保护重要数据和敏感数据在存储过程中的保密性，包括但不限于鉴别数据、敏感业务数据和敏感个人信息等，以及这些数据的备份；

c) 应采用不可逆的数据清除技术或工具执行重要数据和敏感数据销毁操作，防止数据被恢复，造成数据泄露。

6 数据完整性

1、对于一般数据处理系统，数据完整性要求包括：

a) 应采用校验技术或密码技术保护数据在传输过程中的完整性，包括但不限于鉴别数据、业务数据、审计数据、配置数据、访问控制数据、溯源数据和个人信息等；

b) 应采用校验技术或密码技术保护数据在存储过程中的完整性，包括但不限于鉴别数据、业务数据、审计数据、配置数据、访问控制数据、溯源数据和个人信息等；

c) 应定期对鉴别数据、重要的业务数据、审计数据、配置数据、访问控制数据、溯源数据等数据存储完整性进行检测验证。

2、对于重要数据处理系统，除满足 6.5.6.1 要求外，还应采用密码技术保护从外部数据源导入重要数据在存储过程中的完整性。

落实数据备份恢复、剩余信息保护要求

导航标签： 1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 | 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理

左侧目录： 1.范围 | 2.规范引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求

（当前高亮：5.安全计算环境 / 6.第三级系统数据安全基本要求）

5.安全计算环境

8 数据备份恢复

数据备份恢复要求包括：

a) 应提供异地数据备份功能，利用通信网络将重要的业务数据及其相关的溯源数据实时备份至备份场地；

b) 应支持选择全部或部分备份数据，以及不同备份时间点的备份数据进行恢复；

c) 在数据恢复过程中应进行数据完整性校验，并在检测到完整性受到破坏时采取必要的数据恢复措施；

d) 应设置数据恢复策略，结构化数据可采用数据库回滚和数据文件备份恢复相结合方式恢复数据，非结构化数据可采用日志备份恢复和文件系统备份恢复相结合方式恢复数据。

9 剩余信息保护

1、对于一般数据处理系统，应保证在数据导入导出完成后对数据导入导出通道缓存的数据进行清除且保证不能被恢复。

2、对于重要数据处理系统，除满足 6.5.9.1 要求外，还应保证存有重要数据和敏感数据的存储空间被释放或重新分配前得到完全清除。

细化三级系统个人信息保护要求

导航标签： 1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 | 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理

左侧目录： 1.范围 | 2.规范引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求

（当前高亮：5.安全计算环境 / 6.第三级系统数据安全基本要求）

5.安全计算环境

10 个人信息保护

个人信息保护要求包括：

a) 如需要在开发环境、测试环境使用个人信息，应对其中的敏感个人信息进行去标识化；

b) 应对个人信息批量查询、高频次查询进行限制；

c) 个人信息的保存期限应不超过个人信息主体授权的时间，法律法规、主管监管部门另有要求的，从其规定；

d) 个人账户注销后应进行个人信息的删除或匿名化处理，法律法规、主管监管部门另有要求的，从其规定；

e) 应将可用于恢复识别个人的信息与去标识化后的个人信息分开存储，将个人生物识别信息与个人身份信息分开存储。

数据溯源、数据识别、数据标记、数据脱敏要求覆盖数据处理全过程¹

导航标签： 1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 | 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理

左侧目录： 1.范围 | 2.规范引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求

（当前高亮：6.安全数据处理 / 6.第三级系统数据安全基本要求）

6.安全数据处理

1 数据溯源

1、对于一般数据处理系统，数据溯源要求包括：

a) 应采取技术措施（如水印技术）实现敏感数据在数据展示环节的可追溯性；

b) 应采取技术措施（如数据标记、数据血缘分析）实现对导入或收集数据的数据溯源溯源；

c) 应采取技术措施（如水印、签名技术）实现数据在数据导出、共享环节的可追溯性，水印应具备隐蔽性。

2、对于重要数据处理系统，除满足 6.6.1.1 要求外，水印还应具备健壮性、安全性等能力。

2 数据识别

数据识别要求包括：

a) 宜能够在网络边界处识别出流出数据中的结构化重要数据和敏感数据；

b) 应能够识别出数据存储中的结构化重要数据和敏感数据。

数据溯源、数据识别、数据标记、数据脱敏要求覆盖数据处理全过程²

导航标签： 1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 | 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理

左侧目录： 1.范围 | 2.规范引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求

（当前高亮：6.安全数据处理 / 6.第三级系统数据安全基本要求）

6.安全数据处理

3 数据标记

1、对于一般数据处理系统，数据标记要求包括：

a) 应能够对结构化数据的元数据、数据类别级别、数据源等进行标记，并采取技术措施保护标记数据不被非授权修改；

b) 应依据数据分类分级结果对识别出的敏感个人信息进行数据标记。

2、对于重要数据处理系统，除满足 6.6.3.1 要求外，还应对重要数据进行数据标记。

4 数据脱敏

数据脱敏要求包括：

a) 应根据法律法规的相关规定和数据的使用目的，采取相应的数据脱敏技术、数据脱敏规则和数据脱敏策略对敏感数据进行脱敏；

b) 应对特定的数据使用场景实现数据静态脱敏或数据动态脱敏，包括但不限于开发测试、数据分析、数据应用、数据交换等；

c) 静态脱敏后的数据应与其原始数据分开存储，分别存储在不同的数据库中。

落实一般和重要数据处理系统的集中管控要求

导航标签： 1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 | 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理

左侧目录： 1.范围 | 2.规范引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求

（当前高亮：7.安全管理中心 / 6.第三级系统数据安全基本要求）

7.安全管理中心

1 一般数据处理

对于一般数据处理系统，集中管控要求包括：

a) 应对数据的分类分级、溯源、脱敏、访问控制等数据安全策略进行统一管理；

b) 应对收集、存储、加工、使用、提供、公开等数据处理活动中的数据资产进行统一管理；

c) 应对数据流转情况、数据处理进程或应用的运行状况、数据存储空间等进行集中监测；

d) 应对数据导入导出接口进行流量过载监测，确保海量数据导入导出过程安全可控。

2 重要数据处理

对于重要数据处理系统，除满足 6.7.1 要求外，集中管控要求还包括：

a) 应集中监测用户或程序对重要数据的访问和操作，针对越权访问、高频访问、恶意操作等异常的数据获取或使用行为进行实时告警；

b) 应对重要数据跨境传输业务进行识别、监测和管控。

制定数据安全工作的总体方针和安全策略，并覆盖数据处理全流程

导航标签： 1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 | 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理

左侧目录： 1.范围 | 2.规范引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求

（当前高亮：8.安全管理制度 / 6.第三级系统数据安全基本要求）

8.安全管理制度

1 安全策略

安全策略要求包括：

a) 应制定数据安全工作的总体方针和安全策略，阐明组织数据安全工作的目标、范围、原则和安全框架等相关内容；

b) 应制定数据安全战略规划，并确保与组织的数据战略相符；

c) 应依据数据分类分级要求建立符合业务规则的数据安全策略，如授权、溯源、流程控制、不一致处理等策略；

d) 数据安全策略应覆盖数据处理全流程，内容至少包括目的、范围、岗位、责任、管理层承诺、内外部协调机制及合规性目标等。

明确一般和重要数据处理系统安全制度要求

导航标签： 1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 | 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理

左侧目录： 1.范围 | 2.规范引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求

（当前高亮：8.安全管理制度 / 6.第三级系统数据安全基本要求）

8.安全管理制度

2 管理制度

1、对于一般数据处理系统，管理制度要求包括：

a) 应制定覆盖全流程数据处理活动的安全管理制度；

b) 应对数据管理人员或操作人员执行的日常管理建立操作规程；

c) 应制定数据接口的全生命周期管理制度，对使用数据接口的申请、审批、开放、变更、注销等全生命周期进行管控和定期审计；

d) 应制定数据接口安全控制策略和数据接口安全规范，明确规范使用数据接口的安全限制和安全控制措施，如身份鉴别、访问控制、授权策略、安全协议、接口名称、接口参数等；

e) 如存在数据跨境业务，应制定数据跨境传输管理制度并符合国家相关法律法规和主管部门的要求。

2、对于重要数据处理系统，除满足 6.8.2.1 要求外，管理制度要求还包括：

a) 重要数据安全管理制度应覆盖全部重要数据处理活动，并分发至数据处理相关部门、岗位和人员；

b) 应制定重要数据安全风险评估制度，并明确安全评估周期、内容以及风险处置的实施细则；

c) 当组织架构发生重大调整或业务发生重大变化时，或因合并、分立、解散、被宣告破产等原因需要转移重要数据时，应及时评估和修订数据安全管理制度和安全策略。

明确数据安全管理职能部门及安全负责人，细化授权和审批分级要求

导航标签： 1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 | 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理

左侧目录： 1.范围 | 2.规范引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求

（当前高亮：9.安全管理机构 / 6.第三级系统数据安全基本要求）

9.安全管理机构

1 岗位设置

1、对于一般数据处理系统，岗位设置要求包括：

a) 应明确数据安全管理职能部门，指定数据安全负责人；

b) 应设立数据安全负责人、数据安全管理员、数据安全审计员等数据安全关键岗位，定义岗位的工作职责。

2、对于重要数据处理系统，除满足 6.9.1.1 要求外，还应明确数据安全负责人和管理机构，落实数据安全保护责任。

2 授权和审批

1、对于一般数据处理系统，授权和审批要求包括：

a) 应明确数据处理授权审批事项、审批部门、审批人等；

b) 应针对数据收集环节建立审查审批程序，保证数据来源、收集范围和方式符合法律法规规定以及合同约定；

c) 应针对数据加工、共享交换、批量导入导出、公开发布、销毁等事项建立审批程序，按照审批程序执行授权与审批，审批内容包括涉及的数据内容、数据量、交接方式、应用范围、加工深度、必要性和安全性等；

d) 应针对数据对外开放、公开发布和跨境等场景建立授权与审批程序，审批前应进行安全评估，包括但不限于接收方评估、个人信息保护影响评估、数据安全风险评估等。

2、对于重要数据处理系统，除满足 5.3.9.2.1 要求外，授权和审批要求还包括：

a) 应建立并实施重要数据使用或加工审批程序，对可能改变用途、范围的使用和加工等处理活动进行评估和审批；

b) 针对重要数据的批量处理、对外提供、公开发布和跨境等场景，一次授权与审批应仅针对一次数据输出，数据若需输出给其他接收方应发起新授权与审批流程；

c) 应对数据批量查询、批量修改、批量导出等高风险操作建立多层次的审批程序。

细化一般和重要数据处理系统的审核和检查要求

1.范围

2.规范性引用文件

3.术语和定义

4.第一级系统数据安全基本要求

5.第二级系统数据安全基本要求

6.第三级系统数据安全基本要求

7.第四级系统数据安全基本要求

8.第五级系统数据安全基本要求

1.一般规定　2.安全物理环境　3.安全通信网络　4.安全区域边界　5.安全计算环境　6.安全数据处理

7.安全管理中心　8.安全管理制度　9.安全管理机构　10.安全管理人员　11.安全建设管理　12.安全运维管理

9.安全管理机构

③ 审核和检查

1、对于一般数据处理系统，审核和检查要求包括：

a) 应开展日常数据安全检查，主要内容包括数据平台运行情况、数据库漏洞、数据安全审计日志等；

b) 应定期开展数据安全检查，主要内容包括对数据全生命周期的安全防护措施有效性、数据安全防护策略、数据安全管理制度等方面的执行情况、公开发布的数据中是否含有不应公开的信息等进行检查；

c) 应制定数据安全检查表格，实施数据安全检查，汇总数据安全检查数据，形成数据安全检查报告。

2、对于重要数据处理系统，除满足 6.9.3.1 要求外，审核和检查要求还包括：

a) 应每年开展一次数据安全评估，按规定提交年度评估报告，报告留存不少于三年；

b) 数据安全评估结果应符合共享、交易、委托处理、向境外提供数据处理活动的规定。

完善人员录用、离岗、培训及外部人员访问要求1

1.范围

2.规范性引用文件

3.术语和定义

4.第一级系统数据安全基本要求

5.第二级系统数据安全基本要求

6.第三级系统数据安全基本要求

7.第四级系统数据安全基本要求

8.第五级系统数据安全基本要求

1.一般规定　2.安全物理环境　3.安全通信网络　4.安全区域边界　5.安全计算环境　6.安全数据处理

7.安全管理中心　8.安全管理制度　9.安全管理机构　10.安全管理人员　11.安全建设管理　12.安全运维管理

10.安全管理人员

① 人员录用

1、对于一般数据处理系统，人员录用要求包括：

a) 应明确机构数据安全关键岗位，数据安全关键岗位人员应签署岗位责任协议；

b) 数据相关管理员岗位人员应签署保密协议并通过相关数据安全考试。

2、对于重要数据处理系统，除满足 6.10.1.1 要求外，人员录用要求还包括：

a) 数据安全关键岗位人员录用或上岗前应进行背景审查，审查通过方可录用和任职；

b) 应定期对数据处理人员进行评估和考核，依据评估考核结果确定任职资格，保证数据处理人员符合相关的法律法规要求。

② 人员离岗

在人员离岗时，应及时终止并收回其对数据的访问权限，明确并告知其继续履行有关信息的保密义务要求，并签订保密承诺书。

完善人员录用、离岗、培训及外部人员访问要求2

1.范围

2.规范性引用文件

3.术语和定义

4.第一级系统数据安全基本要求

5.第二级系统数据安全基本要求

6.第三级系统数据安全基本要求

7.第四级系统数据安全基本要求

8.第五级系统数据安全基本要求

1.一般规定　2.安全物理环境　3.安全通信网络　4.安全区域边界　5.安全计算环境　6.安全数据处理

7.安全管理中心　8.安全管理制度　9.安全管理机构　10.安全管理人员　11.安全建设管理　12.安全运维管理

10.安全管理人员

③ 安全意识教育和培训

安全意识教育和培训要求包括：

a) 应对全员开展数据安全培训，加强数据安全保护意识教育；

b) 应制定数据安全相关岗位人员的安全培训计划，定期开展数据安全方面的法律法规、行业制度规范、技术标准等方面的培训；

c) 应建立人力资源考核制度，明确数据安全管理考核指标和问责机制，并定期开展对数据安全相关岗位人员的技能考核。

④ 外部人员访问管理

外部人员访问管理要求包括：

a) 应在外部人员接入受控网络访问数据资源前先提出书面或电子化方式申请，明确访问的数据资源及权限，批准后由专人开设账户、分配权限，并登记备案；

b) 应要求外部人员签署保密协议，明确数据安全责任与义务。

制定供应链管理要求

1.范围

2.规范性引用文件

3.术语和定义

4.第一级系统数据安全基本要求

5.第二级系统数据安全基本要求

6.第三级系统数据安全基本要求

7.第四级系统数据安全基本要求

8.第五级系统数据安全基本要求

1.一般规定　2.安全物理环境　3.安全通信网络　4.安全区域边界　5.安全计算环境　6.安全数据处理

7.安全管理中心　8.安全管理制度　9.安全管理机构　10.安全管理人员　11.安全建设管理　12.安全运维管理

11.安全建设管理

供应链管理

供应链管理要求包括：

a) 应采取措施约束数据供应链相关方对数据的收集、交换、使用符合国家法律法规要求；

b) 应制定数据供应链安全管理规范，明确数据供应链安全目标、原则和范围、数据供应链相关方的选择和管理等；

c) 应要求数据提供方说明数据来源，并对数据提供方的身份进行审核，留存审核记录；

d) 应签署合作协议明确数据供应链相关方的责任和义务，包括数据供应链中数据的使用目的、供应方式、保密约定、有效期等内容，确保数据供应链相关数据服务真实可用；

e) 应通过管理数据供应链目录和相关数据源数据字典，能够及时查看供应链的整体情况，并用于事后追踪分析数据供应链合规情况。

分级规范资产管理及介质管理要求

炼石 Cipher Gateway

1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理

左侧目录：1.范围 | 2.规范性引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求（当前高亮） | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求

12.安全运维管理

1 资产管理

1、对于一般数据处理系统，资产管理要求包括：

a) 应建立数据资产安全管理制度，覆盖数据资产的全生命周期工作内容，定义数据资产相关角色定位和职责，明确数据资产登记机制，数据资产管理范围和属性、数据分类分级和标识方法等，确保组织内部数据资产已有明确的管理者和责任部门；

b) 应建立工具化的数据资产识别能力，形成数据资产清单，包括数据类别、数据量、数据级别、数据资产责任部门和所处位置等内容；

c) 应对数据进行标识管理，根据数据资产的重要程度实施必要的安全管理策略和保障措施。

2、对于重要数据处理系统，除满足6.12.1.1要求外，资产管理要求还应包括：

a) 应制定重要数据清单管理程序，规定清单的编制、审核、维护、更新等要求；

b) 应根据数据分类分级要求，采用技术工具对数据资产进行登记、分类分级和标识，根据标识可对数据安全等级进行识别，并实施相应的安全管理策略和保障措施。

2 介质管理

1、对于一般数据处理系统，介质管理要求包括：

a) 应规范介质使用管理，避免介质内数据被违规留存或还原；

b) 应对存储介质进行标记，明确介质存储的数据对象，并对介质访问和使用行为进行记录和审计；

c) 应对数据存储介质销毁操作过程进行记录；

d) 含有存储介质的设备在报废或重用前，应进行完全清除或被安全覆盖，保证该设备上的敏感数据无法被恢复重用。

2、对于重要数据处理系统，除满足6.12.2.1要求外，含有存储介质的设备带出工作环境时，相关的重要数据还应进行加密或脱敏处理。

确定变更管理要求及重要数据处理系统安全事件处置要求

炼石 Cipher Gateway

1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理

左侧目录：1.范围 | 2.规范性引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求（当前高亮） | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求

12.安全运维管理

3 变更管理

变更管理要求包括：

a) 应明确数据资产变更需求，编制数据资产变更方案，变更方案经过评审、批准后才能执行；

b) 应建立数据资产变更控制程序，对包括数据收集、数据分类分级、数据外部供方变化、数据使用方式变化、数据汇聚融合、数据对外提供、数据脱敏机制变化等重要环节进行变更控制，记录变更过程，确保变更过程可追溯；

c) 在法律法规有新的要求时，或在业务模式、信息系统、运行环境发生重大变更时，或发生重大数据安全事件时，应进行数据安全风险评估；

d) 应对数据资产变更进行记录，并通知相关数据使用方。

4 安全事件处置

对于重要数据处理系统，安全事件处置要求包括：

a) 发生重要数据或者十万人以上个人信息泄露、毁损、丢失等数据安全事件时，应按规定上报，在事件处置完毕后按规定提交事件调查评估报告；

b) 数据安全事件涉嫌犯罪的，网络运营者应当按规定向公安机关报案。

建立数据安全事件应急响应机制及数据销毁机制

炼石 Cipher Gateway

1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理

左侧目录：1.范围 | 2.规范性引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求（当前高亮） | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求

12.安全运维管理

5 应急预案管理

应急预案管理要求包括：

a) 应建立数据安全事件应急响应机制，根据数据安全事件的等级，制定数据安全事件应急预案，应急预案应明确应急组织机构及职责、应急监测技术和工具、应急处置流程和保障措施等内容；

b) 应根据应急预案进行数据安全事件处置，评估事件造成的影响，涉及个人信息主体的类型、数量、内容、性质等总体情况，采取必要措施控制事态，消除隐患，对于可能造成影响的事件应及时上报。

6 数据销毁

1、对于一般数据处理系统，数据销毁要求包括：

a) 应建立数据销毁安全管理制度，明确销毁对象和销毁流程、不同类别级别数据的销毁方式和销毁要求等；

b) 应建立数据销毁审批机制，设置销毁相关监督角色，监督操作过程；

c) 对闪存、硬盘、磁带、光盘等存储介质中的数据进行销毁时，应采用难以恢复的数据销毁方法（如重复清除与覆盖）；

d) 数据销毁过程应保留有关记录，记录至少应包括销毁内容、销毁方式与时间、销毁人签字、监督人签字等内容。

2、对于重要数据处理系统，除满足 6.12.6.1 要求外，还应采取重复清除、覆盖与消磁、粉碎等相结合的数据销毁方法，防止数据被复原、重关联或非授权使用和泄露等。

确立第四级系统数据安全基本要求，要求采用密码技术保障物理环境安全

炼石 Cipher Gateway

1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理

左侧目录：1.范围 | 2.规范性引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求（当前高亮） | 8.第五级系统数据安全基本要求

1.一般规定

第四级系统数据安全除应满足 GB/T 22239-2019 的第 9 章要求外，还应满足 7.2 ～ 7.12 的要求。

2.安全物理环境

1 物理访问控制

物理访问控制要求包括：

a) 应采用密码技术保护电子门禁相关的物理访问控制记录数据、视频监控数据等数据在传输和存储过程中的完整性；

b) 应采用密码技术保护电子门禁系统的鉴别数据和生物特征信息的保密性，生物特征信息包括：指纹信息、人脸信息、声纹信息、虹膜信息、指静脉信息等。

2 机房监测数据保护

应采用密码技术保护机房环境监测数据在传输和存储过程中的完整性。

3.安全通信网络

对于重要数据处理系统和核心数据处理系统，网络架构要求包括：

a) 重要数据和核心数据所在的存储区域与公共信息网络之间应采取可靠的逻辑隔离措施；

b) 应采取必要的技术或管理措施，保证境内用户访问境内网络的，其流量不会被路由至境外。

4.安全区域边界

应采取技术措施控制对重要数据和核心数据所在存储区域的访问。

采用口令和密码技术组合的鉴别技术对不同级别数据进行身份鉴别

炼石 Cipher Gateway

1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理

左侧目录：1.范围 | 2.规范性引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求（当前高亮） | 8.第五级系统数据安全基本要求

5.安全计算环境

1 身份鉴别

1、对于一般数据处理系统，身份鉴别要求包括：

a) 应对登录的程序或应用进行身份标识和鉴别，身份鉴别信息具有复杂度要求并定期更换；

b) 应采用口令和密码技术组合的鉴别技术对核心数据、重要数据和敏感数据处理程序或应用进行身份鉴别；

c) 应对数据处理活动使用的工具，如用于收集、脱敏、共享、管理等的工具账户与使用者账户分别进行身份标识和鉴别；

d) 应通过统一的登录管理平台对数据系统登录账号进行鉴别；

e) 根据不同的数据访问和数据操作场景，应能基于口令、密码技术、生物识别技术等鉴别技术，结合访问时间、访问源 IP、访问终端、操作行为等多种条件，形成动态、组合鉴别策略进行身份鉴别。

2、对于重要数据处理系统和核心数据处理系统，除满足 7.5.1.1 要求外，还应采用口令、密码技术组合的鉴别技术对数据处理程序或应用进行身份鉴别。

明确一般、重要和核心数据处理系统的访问控制要求

炼石 Cipher Gateway

1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理

左侧目录：1.范围 | 2.规范性引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求（当前高亮） | 8.第五级系统数据安全基本要求

5.安全计算环境

2 访问控制

对于一般数据处理系统，访问控制要求包括：

a) 应在通信前对参与数据流动的内外部接口进行授权；

b) 应对数据源和数据存储系统的访问，以及数据导入导出、数据备份和恢复等操作采取访问控制措施；

c) 应对数据访问接口、数据服务的调用以及用户对敏感数据的操作行为进行访问控制；

d) 应基于数据分类分级结果配置主体对客体的访问控制策略，访问控制的粒度应达到主体为用户级或进程级，客体为接口、应用功能、文件、数据库表级等；

e) 应定期对数据处理全流程使用的各类账号进行识别、梳理及分类，防止非法账号、闲置账号、过期账号存在；

f) 应对数据处理活动使用的数据收集、数据脱敏、数据共享、数据发布、数据销毁等工具的访问、操作和运行进行权限控制；

g) 应通过统一的权限管理平台对各类数据系统的访问权限进行管理。

2、对于重要数据处理系统和核心数据处理系统，除满足 7.5.2.1 要求外，访问控制要求还包括：

a) 应对数据访问接口、数据服务的调用以及用户的查询、修改、删除、导出、共享、交换、备份、恢复等操作进行访问控制；

b) 应能根据主体身份、鉴别方式、访问环境、访问行为、操作敏感性等因素，实现动态、细粒度的访问控制。

明确一般、重要及核心数据处理系统安全审计和入侵防范要求

（页眉导航：1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 | 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理）

（左侧目录：1.范围 | 2.规范性引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求）

5.安全计算环境

③ 安全审计

1、对于一般数据处理系统，安全审计要求包括：

a) 应对数据收集、存储、使用、加工、传输、提供、公开、销毁等数据处理活动的重要操作过程和安全事件进行安全审计；

b) 数据交换环节的审计记录应包含数据发送方（如IP、端口、程序或应用）、数据接收方（如IP、端口、程序或应用）、传输协议、传输时间、数据量、数据对象描述、传输是否成功等内容；

c) 应对数据访问接口、数据服务的调用以及用户对敏感数据的操作行为进行安全审计。

2、对于重要数据处理系统和核心数据处理系统，除满足7.5.3.1要求外，还应对数据访问接口、数据服务的调用以及用户的收集、查询、修改、删除、更新、导入、导出、共享、交换、备份、恢复等操作进行安全审计，数据操作审计记录包括日期和时间、用户或进程、操作类型、操作对象、操作结果等内容。

④ 入侵防范

1、对于一般数据处理系统和重要数据处理系统，入侵防范要求包括：

a) 能够检测到针对存储数据、数据库的入侵行为和异常数据访问行为，并在发生严重入侵行为时进行阻断并报警；

b) 能够通过用户行为分析，对突发调取、违规外传重要数据或大量敏感数据，以及账号异常高频操作等可疑行为进行检测并报警。

2、对于核心数据处理系统，除满足7.5.4.1要求外，入侵防范要求还包括：

a) 应采取技术措施对跨主体数据传输进行实时监测和内容检测，发现数据异常传输行为时进行实时阻断；

b) 应采取技术措施对数据访问接口、数据服务调用进行实时监测和内容检测，发现接口或服务被盗用、滥用等恶意行为及时阻断并报警。

一般、重要及核心数据处理系统应采用密码技术保护数据完整性

（页眉导航：1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 | 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理）

（左侧目录：1.范围 | 2.规范性引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求）

5.安全计算环境

⑤ 恶意代码防范

应在数据收集、存储、使用和加工环节进行恶意代码检测和防范，防止收集、执行恶意数据。

⑥ 数据完整性

1、对于一般数据处理系统，数据完整性要求包括：

a) 应采用密码技术保护数据在传输过程中的完整性，包括但不限于鉴别数据、业务数据、审计数据、配置数据、访问控制数据、溯源数据和个人信息等；

b) 应采用密码技术保护数据在存储过程中的完整性，包括但不限于鉴别数据、业务数据、审计数据、配置数据、访问控制数据、溯源数据和个人信息等；

c) 应定期对鉴别数据、重要的业务数据、审计数据、配置数据、访问控制数据、溯源数据等数据存储完整性进行检测验证。

2、对于重要数据处理系统和核心数据处理系统，除满足7.5.6.1要求外，数据完整性要求还包括：

a) 应采用密码技术保护从外部数据源导入重要数据在存储过程中的完整性；

b) 在可能涉及法律责任认定的应用中，应采用密码技术提供数据原发证据和数据接收证据，实现数据原发行为的抗抵赖和数据接收行为的抗抵赖。

采用密码技术保护核心数据、重要数据和敏感数据的保密性

（页眉导航：1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 | 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理）

（左侧目录：1.范围 | 2.规范性引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求）

5.安全计算环境

⑦ 数据保密性

数据保密性要求包括：

a) 应采用密码技术保护核心数据、重要数据和敏感数据及其备份数据在远程导入以及在数据收集、使用、加工、提供等活动涉及的数据传输过程的保密性；

b) 应采用密码技术保护核心数据、重要数据和敏感数据在存储过程中的保密性，包括但不限于鉴别数据、敏感业务数据和敏感个人信息等，以及这些数据的备份；

c) 应采用不可逆的数据清除技术或工具执行核心数据、重要数据和敏感数据销毁操作，防止数据被恢复，造成数据泄密；

d) 宜采取技术措施保护敏感数据在提供给第三方机构进行数据处理的过程中始终以密文形态出现。

⑧ 数据备份恢复

a) 应提供异地数据备份功能，利用通信网络将重要的业务数据及其相关的溯源数据实时备份至备份场地；

b) 应支持选择全部或部分备份数据，以及不同备份时间点的备份数据进行恢复；

c) 在数据恢复过程中应进行数据完整性校验，并在检测到完整性受到破坏时采取必要的数据恢复措施；

d) 应设置数据恢复策略，结构化数据可采用数据库回滚和数据文件备份恢复相结合方式恢复数据，非结构化数据可采用日志备份恢复和文件系统备份恢复相结合的方式恢复数据。

细化不同级别数据的剩余信息保护要求及个人信息保护要求

（页眉导航：1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 | 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理）

（左侧目录：1.范围 | 2.规范性引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求）

5.安全计算环境

⑨ 剩余信息保护

1、对于一般数据处理系统，应保证在数据导入导出完成后对数据导入导出通道缓存的数据进行清除且保证不能被恢复。

2、对于重要数据处理系统和核心数据处理系统，除满足7.5.9.1要求外，还应保证存有核心数据、重要数据和敏感数据的存储空间被释放或重新分配前得到完全清除。

⑩ 个人信息保护

个人信息保护要求包括：

a) 如需要在开发环境、测试环境使用个人信息，应对其中的敏感个人信息进行去标识化；

b) 应对个人信息批量查询、高频次查询进行限制；

c) 个人信息的保存期限应不超过个人信息主体授权的时间，法律法规、主管监管部门另有要求的，从其规定；

d) 个人账户注销后应进行个人信息的删除或匿名化处理，法律法规、主管监管部门另有要求的，从其规定；

e) 应将可用于恢复识别个人的信息与去标识化后的个人信息分开存储，将个人生物识别信息与个人身份信息分开存储。

明确一般、重要和核心数据处理系统的数据处理要求¹

（页眉导航：1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 | 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理）

（左侧目录：1.范围 | 2.规范性引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求）

6.安全数据处理

① 数据溯源

1、对于一般数据处理系统，数据溯源要求包括：

a) 应采取技术措施（如水印技术）实现敏感数据在数据展示环节的可追溯性；

b) 应采取技术措施（如数据标记、数据血缘分析）实现对导入或收集数据的数据源头和处理过程的溯源；

c) 应采取技术措施（如水印、签名技术）实现数据在数据导出、共享环节的可追溯性，水印应具备隐藏性。

2、对于重要数据处理系统和核心数据处理系统，除满足7.6.1.1要求外，水印还应具备健壮性、安全性等能力。

② 数据识别

数据识别要求包括：

a) 宜能够在网络边界处识别出流出数据中的结构化和非结构化的核心数据、重要数据和敏感数据；

b) 应能够识别出数据存储中的结构化和非结构化核心数据、重要数据和敏感数据；

c) 宜采用自动化工具实现对核心数据、重要数据和敏感数据的识别。

明确一般、重要和核心数据处理系统的数据处理要求²

（页眉导航：1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 | 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理）

（左侧目录：1.范围 | 2.规范性引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求）

6.安全数据处理

③ 数据标记

1、对于一般数据处理系统，数据标记要求包括：

a) 应能够对结构化和非结构化数据的元数据、数据类别级别、数据源等进行标记，并采取技术措施保护标记数据不被非授权修改；

b) 应依据数据分类分级结果对识别出的敏感个人信息进行数据标记。

2、对于重要数据处理系统和核心数据处理系统，除满足7.6.3.1要求外，还应对重要数据和核心数据进行数据标记。

④ 数据脱敏

数据脱敏要求包括：

a) 应根据法律法规的相关规定和数据的使用目的，采取相应的数据脱敏技术、数据脱敏规则和数据脱敏策略对敏感数据进行脱敏；

b) 应对特定的数据使用场景实现数据静态脱敏或数据动态脱敏，包括但不限于开发测试、数据分析、数据应用、数据交换等；

c) 静态脱敏后的数据应与其原始数据分开存储，分别存储在不同的数据库中。

明确一般、重要和核心数据处理系统的集中管控要求

（页眉导航：1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 | 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理）

（左侧目录：1.范围 | 2.规范性引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求）

7.安全管理中心

① 一般数据

对于一般数据处理系统，集中管控要求包括：

a) 应对数据的分类分级、溯源、脱敏、访问控制等数据安全策略进行统一管理；

b) 应对收集、存储、加工、使用、提供、公开等数据处理活动中的数据资产进行统一管理；

c) 应对数据流转情况、数据处理进程或应用的运行状况、数据存储空间等进行集中监测；

d) 应对数据导入导出接口进行流量过载监测，确保海量数据导入导出过程安全可控；

e) 宜对数据的收集、处理、存储等数据处理活动的位置、操作、风险及威胁等进行展示。

② 重要数据

对于重要数据处理系统和核心数据处理系统，除满足7.7.1要求外，集中管控要求还包括：

a) 应集中监测用户或进程对数据的访问和操作，针对越权访问、高频访问、恶意操作等异常的数据获取或使用行为进行实时告警；

b) 应对核心数据、重要数据跨境传输业务进行识别、监测和管控；

c) 宜监测、分析、预测数据安全整体态势。

制定数据安全工作的总体方针和安全策略，细化分级数据管理制度要求

（页眉导航：1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 | 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理）

（左侧目录：1.范围 | 2.规范性引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求）

8.安全管理制度

① 安全策略

安全策略要求包括：

a) 应制定数据安全工作的总体方针和安全策略，阐明组织数据安全工作的目标、范围、原则和安全框架等相关内容；

b) 应制定数据安全战略规划，并确保与组织的数据战略相符；

c) 应依据数据分类分级要求建立符合业务规则的数据安全策略,如授权、溯源、流程控制、不一致处理等策略；

d) 数据安全策略应覆盖数据处理全流程，内容至少包括目的、范围、岗位、责任、管理层承诺、内外部协调机制及合规性目标等。

② 管理制度

1、对于一般数据处理系统，管理制度要求包括：

a) 应制定覆盖全流程数据处理活动和数据全生命周期的安全管理制度；

b) 应对数据管理人员或操作人员执行的日常管理建立操作规程；

c) 应制定数据接口的全生命周期管理制度，对使用数据接口的申请、审批、开放、变更、注销等全生命周期进行管控和定期审计；

d) 应制定数据接口安全控制策略和数据接口安全规范,明确规定使用数据接口的安全限制和安全控制措施，如身份鉴别、访问控制、授权策略、安全协议、接口名称、接口参数等；

e) 如存在数据跨境业务，应制定数据跨境传输管理制度并符合国家相关法律法规和主管部门的要求。

2、对于重要数据处理系统和核心数据处理系统，除满足7.8.2.1要求外，管理制度要求还包括：

a) 数据安全管理制度应覆盖全部重要数据处理活动，并分发至数据处理相关部门、岗位和人员；

b) 应制定数据安全风险评估制度，并明确安全评估周期、内容以及风险处置的实施细则；

c) 当组织架构发生重大调整或业务发生重大变化时，或因合并、分立、解散、被宣布破产等原因需要转移核心数据或重要数据时，应及时评估和修订数据安全管理制度和安全策略。

重要和核心数据处理系统，应明确数据安全负责人和管理机构

（页眉导航：1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 | 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理）

（左侧目录：1.范围 | 2.规范性引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求）

9.安全管理机构

① 岗位设置

1、对于一般数据处理系统，岗位设置要求包括：

a) 应明确数据安全管理职能部门，指定数据安全负责人；

b) 应设立数据安全负责人、数据安全管理员、数据安全审计员等数据安全关键岗位，定义岗位的工作职责。

2、对于重要数据处理系统和核心数据处理系统，除满足7.9.1.1要求外，还应明确数据安全负责人和管理机构，落实数据安全保护责任。

② 人员配备

数据安全关键事务岗位（如特权账户所有者、关键数据处理与交换岗位等）应配备多人共同管理。

重要和核心数据处理系统每年开展一次安全评估，报告留存不少于三年

（页眉导航：1.一般规定 | 2.安全物理环境 | 3.安全通信网络 | 4.安全区域边界 | 5.安全计算环境 | 6.安全数据处理 | 7.安全管理中心 | 8.安全管理制度 | 9.安全管理机构 | 10.安全管理人员 | 11.安全建设管理 | 12.安全运维管理）

（左侧目录：1.范围 | 2.规范性引用文件 | 3.术语和定义 | 4.第一级系统数据安全基本要求 | 5.第二级系统数据安全基本要求 | 6.第三级系统数据安全基本要求 | 7.第四级系统数据安全基本要求 | 8.第五级系统数据安全基本要求）

9.安全管理机构

③ 授权和审批

1、对于一般数据处理系统，授权和审批要求包括：

a) 应明确数据处理授权审批事项、审批部门、审批人等；

b) 应针对数据收集环节建立审查审批程序，保证数据来源、收集范围和方式符合法律法规规定以及合同约定；

c) 应针对数据加工、共享交换、批量导入导出、公开发布、销毁等事项建立审批程序，按照审批程序执行授权与审批，审批内容应涉及的数据内容、数据量、交接方式、应用范围、加工深度、必要性和安全性等；

d) 应针对数据对外提供、公开发布和跨境等场景建立授权与审批程序，审批前应进行安全评估，包括但不限于接收方评估、个人信息保护影响评估、数据安全风险评估等。

2、对于重要数据处理系统和核心数据处理系统，除满足7.9.3.1要求外，授权和审批要求还包括：

a) 应建立并实施重要数据使用或加工审批程序，对可能改变用途、范围的使用和加工等处理活动进行评估和审批；

b) 针对重要数据的批量处理、对外提供、公开发布和跨境等场景，一次授权与审批应仅针对一次数据传输输出，数据若需输出给其他接收方应发起新的授权与审批流程；

c) 应对数据的批量查询、批量修改、批量导出等高风险操作建立多层次的审批程序。

④ 审核和检查

1、对于一般数据处理系统，审核和检查要求包括：

a) 应开展日常数据安全检查，主要内容包括数据平台运行情况、数据库漏洞、数据安全审计日志等；

b) 应定期开展数据安全检查，主要内容包括对数据全生命周期的安全防护措施有效性、数据安全防护策略、数据安全管理制度等方面的执行情况、公开发布的数据中是否含有不应公开的信息等进行检查；

c) 应制定数据安全检查表格，实施数据安全检查，汇总数据安全检查数据，形成数据安全检查报告。

2、对于重要数据处理系统和核心数据处理系统，除满足7.9.4.1要求外，审核和检查要求还包括：

a) 应每年开展一次数据安全评估，按规定提交年度评估报告，报告留存不少于三年；

b) 数据安全评估结果应符合共享、交易、委托处理、向境外提供数据等处理活动的规定。

明确一般、重要和核心数据处理系统的人员录用及离岗要求

1.一般规定　2.安全物理环境　3.安全通信网络　4.安全区域边界　5.安全计算环境　6.安全数据处理 7.安全管理中心　8.安全管理制度　9.安全管理机构　10.安全管理人员　11.安全建设管理　12.安全运维管理

10.安全管理人员

1 人员录用

1、对于一般数据处理系统，人员录用要求包括：

a) 应明确机构数据安全关键岗位，数据安全关键岗位人员应签署岗位责任协议；

b) 数据相关管理岗位人员应签署保密协议并通过相关数据安全考试。

2、对于重要数据处理系统和核心数据处理系统，除满足 7.10.1.1 要求外，人员录用要求还包括：

a) 数据安全关键岗位人员录用或上岗前应进行背景审查，审查通过方可录用和任职；

b) 应定期对数据处理人员进行评估和考核，依据评估考核结果确定任职资格，保证数据处理人员符合相关的法律法规要求。

2 人员离岗

人员离岗要求包括：

a) 在人员离岗时，应及时终止并收回其对数据的访问权限，明确并告知其继续履行有关信息的保密义务要求，并签订保密承诺书；

b) 应在数据安全关键岗位员工离职前对其在职期间数据处理活动进行内部审计。

重要和核心数据处理的技术和管理人员每年安全培训时间不少于 20h

1.一般规定　2.安全物理环境　3.安全通信网络　4.安全区域边界　5.安全计算环境　6.安全数据处理 7.安全管理中心　8.安全管理制度　9.安全管理机构　10.安全管理人员　11.安全建设管理　12.安全运维管理

10.安全管理人员

3 安全意识教育和培训

1、对于一般数据处理系统，安全意识教育和培训要求包括：

a) 应对全员开展数据安全培训，加强数据安全保护意识教育；

b) 应制定数据安全相关岗位人员的安全培训计划，定期开展数据安全方面的法律法规、行业制度规范、技术标准等方面的培训；

c) 应建立人力资源考核制度，明确数据安全管理考核指标和问责机制，并定期开展对数据安全相关岗位人员的技能考核。

2、对于重要数据处理系统和核心数据处理系统，除满足 7.10.3.1 要求外，重要数据和核心数据处理相关的技术和管理人员每年安全培训时间还应不少于 20h。

4 外部人员访问管理

外部人员访问管理要求包括：

a) 应在外部人员接入受控网络访问数据资源前先提出书面或电子化方式申请，明确访问的数据资源及权限，批准后由专人开设账户、分配权限，并登记备案；

b) 应要求外部人员签署保密协议，明确数据安全责任与义务。

定期对供应链上下游数据处理活动安全风险和数据安全管理能力进行评估

1.一般规定　2.安全物理环境　3.安全通信网络　4.安全区域边界　5.安全计算环境　6.安全数据处理 7.安全管理中心　8.安全管理制度　9.安全管理机构　10.安全管理人员　11.安全建设管理　12.安全运维管理

11.安全建设管理

供应链管理要求

供应链管理要求包括：

a) 应采取措施约束数据供应链相关方对数据的收集、交换、使用符合国家法律法规要求；

b) 应制定数据供应链安全管理规范，明确数据供应链安全目标、原则和范围、数据供应链相关方的选择和管理等；

c) 应要求数据提供方说明数据来源，并对数据提供方的身份进行审核，留存审核记录；

d) 应签署合作协议明确数据供应链相关方的责任和义务，包括数据供应链中数据的使用目的、供应方式、保密约定、有效期等内容，确保数据供应链相关数据服务真实可用；

e) 应通过管理数据供应链目录和相关数据源数据字典，能够及时查看供应链的整体情况，并用于事后追踪分析数据供应链合规情况；

f) 应定期对数据供应链上下游数据处理活动安全风险和数据安全管理能力进行评估。

制定重要数据和核心数据清单管理程序，建立数据资产地图

1.一般规定　2.安全物理环境　3.安全通信网络　4.安全区域边界　5.安全计算环境　6.安全数据处理 7.安全管理中心　8.安全管理制度　9.安全管理机构　10.安全管理人员　11.安全建设管理　12.安全运维管理

12.安全运维管理

1 资产管理

1、对于一般数据处理系统，资产管理要求包括：

a) 应建立数据资产安全管理制度，覆盖数据资产的全生命周期工作内容，定义数据资产相关角色定位和职责，明确数据资产登记机制、数据资产管理范围和属性、数据分类分级和标识方法等，确保组织内部数据资产已有明确的管理者和责任部门；

b) 应建立工具化的数据资产识别能力，形成数据资产清单，包括数据类别、数据量、数据级别、数据资产责任部门和所处位置等内容；

c) 应对数据进行标识管理，根据数据资产的重要程度实施必要的安全管理策略和保障措施。

2、对于重要数据处理系统和核心数据处理系统，除满足 7.12.1.1 要求外，资产管理要求还包括：

a) 应制定重要数据和核心数据清单管理程序，规定清单的编制、审核、维护、更新等要求；

b) 应按照数据分类分级要求，采用技术工具对数据资产进行登记、分类分级和标识，根据标识可对数据安全等级进行识别，并实施相应的安全管理策略和保障措施；

c) 应建立数据资产地图，对特定数据对象进行标记和跟踪，构建和维护数据血缘关系。

含有存储介质的设备带出工作环境时，重要数据应进行加密或脱敏处理

1.一般规定　2.安全物理环境　3.安全通信网络　4.安全区域边界　5.安全计算环境　6.安全数据处理 7.安全管理中心　8.安全管理制度　9.安全管理机构　10.安全管理人员　11.安全建设管理　12.安全运维管理

12.安全运维管理

2 介质管理

1、对于一般数据处理系统，介质管理要求包括：

a) 应规范介质使用管理，避免介质内数据被违规留存或还原；

b) 应对存储介质进行标记，明确介质存储的数据对象，并对介质访问和使用行为进行记录和审计；

c) 应对数据存储介质销毁操作过程进行记录；

d) 含有存储介质的设备在报废或重用前，应进行完全清除或被安全覆盖，保证该设备上的敏感数据无法被恢复重用。

2、对于重要数据处理系统和核心数据处理系统，除满足 7.12.2.1 要求外，含有存储介质的设备带出工作环境时，相关的重要数据还应进行加密或脱敏处理。

3 变更管理

变更管理要求包括：

a) 应明确数据资产变更需求，编制数据资产变更方案，变更方案经过评审、批准后才能执行；

b) 应建立数据资产变更控制程序，对包括数据收集、数据分类分级、数据外部供应方变化、数据使用方式变化、数据汇聚融合、数据对外提供、数据脱敏机制变化等重要环节进行变更控制，记录变更过程，确保变更过程可追溯；

c) 在法律法规有新的要求时，或在业务模式、信息系统、运行环境发生重大变更时，或发生重大数据安全事件时，应进行数据安全风险评估；

d) 应对数据资产变更进行记录，并通知相关数据使用方。

明确重要和核心数据处理系统的安全事件处置要求

1.一般规定　2.安全物理环境　3.安全通信网络　4.安全区域边界　5.安全计算环境　6.安全数据处理 7.安全管理中心　8.安全管理制度　9.安全管理机构　10.安全管理人员　11.安全建设管理　12.安全运维管理

12.安全运维管理

4 安全事件处置

对于重要数据处理系统和核心数据处理系统，安全事件处置要求包括：

a) 发生重要数据或者十万人以上个人信息泄露、毁损、丢失等数据安全事件时，应按规定上报，在事件处置完毕后按规定提交事件调查评估报告；

b) 数据安全事件涉嫌犯罪的，网络运营者应当按规定向公安机关报案。

5 应急预案管理

应急预案管理要求包括：

a) 应建立数据安全事件应急响应机制，根据数据安全事件的等级，制定数据安全事件应急预案，应急预案应明确应急组织机构及职责、应急监测技术和工具、应急处置流程和保障措施等内容；

b) 应根据应急预案进行数据安全事件处置，评估事件造成的影响，涉及个人信息主体的类型、数量、内容、性质等总体情况，采取必要措施控制事态，消除隐患，对于可能造成影响的事件应及时上报。

重要和核心数据采取重复清除、覆盖与消磁、粉碎等相结合的数据销毁方法

1.一般规定　2.安全物理环境　3.安全通信网络　4.安全区域边界　5.安全计算环境　6.安全数据处理 7.安全管理中心　8.安全管理制度　9.安全管理机构　10.安全管理人员　11.安全建设管理　12.安全运维管理

12.安全运维管理

6 数据销毁

1、对于一般数据处理系统，数据销毁要求包括：

a) 应建立数据销毁安全管理制度，明确销毁对象和销毁程序、不同类别级别数据的销毁方式和销毁要求等；

b) 应建立数据销毁审批机制，设置销毁相关监督角色，监督操作过程；

c) 对闪存、硬盘、磁带、光盘等存储介质中的数据进行销毁时，应采用难以恢复的数据销毁方法（如重复清除与覆盖）；

d) 数据销毁过程应保留有关记录，记录至少应包括销毁内容、销毁方式与时间、销毁人签字、监督人签字等内容。

2、对于重要数据处理系统和核心数据处理系统，除满足 7.12.6.1 要求外，还应采取重复清除、覆盖与消磁、粉碎等相结合的数据销毁方法，防止数据被复原、重关联或非授权使用和泄露等。

第五级数据安全保护基本要求，不在本文件中进行描述

1.范围 2.规范性引用文件 3.术语和定义 4.第一级系统数据安全基本要求 5.第二级系统数据安全基本要求 6.第三级系统数据安全基本要求 7.第四级系统数据安全基本要求 8.第五级系统数据安全基本要求

略。

参考文献

1.范围 2.规范性引用文件 3.术语和定义 4.第一级系统数据安全基本要求 5.第二级系统数据安全基本要求 6.第三级系统数据安全基本要求 7.第四级系统数据安全基本要求 8.第五级系统数据安全基本要求

[1] GB/T 35273—2020 信息安全技术 个人信息安全规范

[2] GB/T 35274—2017 信息安全技术 大数据服务安全能力要求

[3] GB/T 37932—2019 信息安全技术 数据交易服务安全要求

[4] GB/T 37973—2019 信息安全技术 大数据安全管理指南

[5] GB/T 37988—2019 信息安全技术 数据安全能力成熟度模型

[6] GB/T 39477—2020 信息安全技术 政务信息共享 数据安全技术要求

[7] GB 40050-2021 网络关键设备安全通用要求

[8] GB/T 41479—2022 信息安全技术 网络数据处理安全要求

[9] NIST Special Publication 800-53 Security and Privacy Controls for Federal Information Systems and Organizations

1. GA/T2380-2026《信息安全技术 网络安全等级保护数据安全基本要求》

2. GA/T2394—2026 《信息安全技术 网络安全等级保护数据安全测评要求》

3. GA/T2395—2026《信息安全技术网络安全等级保护数据安全测评过程指南》

4. GA/T2381—2026《信息安全技术网络安全等级保护数据安全测评机构能力要求》

5. 免改造数据安全实践

《信息安全技术 网络安全等级保护数据安全测评要求》

左侧：标准封面（GA）

ICS 35.030

CCS L 80

GA

中华人民共和国公共安全行业标准

GA/T XXXX—XXXX

信息安全技术 网络安全等级保护数据安全测评要求

Information security technology—Evaluation requirements for data security for classified protection of cybersecurity

（报批稿）

XXXX - XX - XX 发布　　　　XXXX - XX - XX 实施

中华人民共和国公安部　发　布

右侧：《信息安全技术 网络安全等级保护数据安全测评要求》

主要内容

本文件在GB/T 28448—2019的基础上，规定了第一级到第四级等级保护对象的数据安全测评要求。

适用范围

• 网络安全测评服务机构对等级保护对象的数据安全进行测评并提供依据
• 数据的运营使用单位开展数据安全自评估并提供指南
• 网络安全职能部门进行网络安全等级保护数据安全监督检查时参照使用

关联标准（下方四个绿色框）

仅影响组织或公民个体的数据一般不作为重要数据

注1：仅影响组织或公民个体的数据一般不作为重要数据。

注2：核心数据主要包括关系国家安全重点领域的数据，关系国民经济命脉、重要民生、重大公共利益的数据，经国家有关部门评估确定的其他数据。

注3：敏感数据包括敏感业务数据、敏感个人信息和敏感安全数据等。敏感安全数据包括口令、密钥、关键配置信息等。

左侧目录：

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

数据安全测评需运用规范手段获取证据，判定是否达到特定安全保护能力

顶部导航条

概述　　数据安全专项测评　　数据安全扩展测评

框图

数据安全测评

├── 数据安全专项测评

└── 数据安全扩展测评

总体要求

数据安全测评实施过程中，需要采用相关的测评手段，遵从一定的测评规程，获取需要的证据，给出是否达到特定安全保护能力的评判。

参考框架

本文件遵循GB/T 28448—2019的等级测评框架

注意事项

• 针对每一个要求项的测评构成一个测评单元（测评单元按照附录A进行编码），测评单元中的测评指标项来自GA/T 2380-2026，针对某个测评指标的所有具体测评内容构成测评实施。
• 当测评GA/T 2380-2026中的一般规定时，应采用GB/T 28448—2019的测评实施。
• 在测评实施时，可能用到访谈、核查和测试三种测评方法中的一种或多种。

左侧目录：

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

数据安全专项测评针对指定数据，发现全生命周期安全风险并评价其保护水平

顶部导航条

概述　　数据安全专项测评　　数据安全扩展测评

数据安全专项测评是专门针对数据开展的测评活动，测评对象为指定的数据，测评目的是发现数据全生命周期中存在的安全风险，给出数据安全保护水平评价。数据安全专项测评应按照图1的流程实施。

框图（图1）

• 被测数据 —（数据生命周期）→ 系统1 / 系统2 / … / 系统n
• 系统1 —根据→ 数据等级 / 网络安全保护等级 / 涉及的数据处理活动
• 系统2 —根据→ 数据等级 / 网络安全保护等级 / 涉及的数据处理活动
• 系统n —根据→ 数据等级 / 网络安全保护等级 / 涉及的数据处理活动
• →选取→ 指标集合 —开展→ 数据安全测评
• →分析汇总→ 数据安全专项测评结果

如图所示：首先根据被测数据的全生命周期确定本次测评所包含的系统，然后依据被测数据等级、每个系统的网络安全保护等级和涉及的数据处理活动选取测评指标和对应的测评单元，最后按照测评单元开发测评指导书，开展数据安全测评。数据处理活动与测评单元的对应关系可参考附录B。当被测系统未定级或所定等级低于处理被测数据所需的最低等级时，重要数据系统至少按照第三级要求选取测评指标和测评单元，核心数据处理系统至少按照第四级要求选取测评指标和测评单元。数据安全专项测评的结果按照【数据安全专项测评】的要求综合分析得出。

左侧目录：

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

数据安全扩展测评随等保测评同步开展，评价指定系统的数据安全保护能力

顶部导航条

概述　　数据安全专项测评　　数据安全扩展测评

数据安全扩展测评是网络安全等级保护测评的扩展补充，与网络安全等级保护测评同时进行，测评对象为指定的系统，测评目的是发现被测系统中存在的与数据相关的安全风险，给出被测系统数据安全保护能力评价。数据安全扩展测评应按照图2的流程实施。

框图（图2）

• 被测系统 —（承载的数据）→ 数据1 / 数据2 / … / 数据n
• 数据1 —根据→ 数据等级 / 网络安全保护等级 / 涉及的数据处理活动
• 数据2 —根据→ 数据等级 / 网络安全保护等级 / 涉及的数据处理活动
• 数据n —根据→ 数据等级 / 网络安全保护等级 / 涉及的数据处理活动
• →选取→ 指标集合 —开展→ 数据安全测评
• →分析汇总→ 数据安全扩展测评结果

如图所示：首先根据被测系统的作用和功能梳理出其所承载的所有种类数据，然后依据承载数据的等级、被测系统的网络安全保护等级和涉及的数据处理活动选取测评指标和对应的测评单元，最后按照测评单元开发测评指导书，开展数据安全测评活动。数据处理活动与测评单元的对应关系可参考附录B。当被测系统未定级或所定等级低于处理被测数据所需的最低等级时，重要数据系统至少按照第三级要求选取测评指标和测评单元，核心数据处理系统至少按照第四级要求选取测评指标和测评单元。数据安全扩展测评的结果按照【数据安全扩展测评】的要求综合分析得出。

左侧目录：

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

在界面展示环节对敏感个人信息进行脱敏

顶部导航条

一般规定　　安全技术测评　　安全管理测评

一般规定　　安全计算环境　　安全数据处理

第一级系统数据安全测评除应满足GB/T28448—2019的第6章要求外，还应满足6.2～6.8的要求。

左侧目录：

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

应制定覆盖全流程数据处理活动的安全管理制度

顶部导航条

一般规定　　安全技术测评　　安全管理测评

安全管理制度　　安全管理机构　　安全管理人员　　安全建设管理　　安全运维管理

左侧目录：

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

应对全员开展数据安全培训，加强数据安全保护意识教育

顶部导航条

一般规定　　安全技术测评　　安全管理测评

安全管理制度　　安全管理机构　　安全管理人员　　安全建设管理　　安全运维管理

左侧目录：

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

应在通信前对参与数据流动的内外部接口进行授权

顶部导航条

一般规定　　安全技术测评　　安全管理测评

一般规定　　安全物理环境　　安全计算环境　　安全数据处理

第二级系统数据安全测评除应满足GB/T 28448—2019的第7章要求外，还应满足7.2 ～ 7.9的要求。

左侧目录：

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

应采用校验技术保护数据在传输过程中的完整性

顶部导航条

一般规定　　安全技术测评　　安全管理测评

一般规定　　安全物理环境　　安全计算环境　　安全数据处理

左侧目录：

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

应制定数据安全工作的总体方针和安全策略

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

安全管理制度 | 安全管理机构 | 安全管理人员 | 安全建设管理 | 安全运维管理

应制定数据供应链安全管理规范

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

安全管理制度 | 安全管理机构 | 安全管理人员 | 安全建设管理 | 安全运维管理

应建立数据销毁安全管理制度

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

安全管理制度 | 安全管理机构 | 安全管理人员 | 安全建设管理 | 安全运维管理

应采取技术措施控制对重要数据所在存储区域的访问

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

一般规定 | 安全物理环境 | 安全通信网络 | 安全区域边界 | 安全计算环境 | 安全数据处理

第三级系统数据安全测评除应满足GB/T 28448—2019的第8章要求外，还应满足8.2 ～ 8.12的要求。

应基于数据分级分类结果配置访问控制策略

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

一般规定 | 安全物理环境 | 安全通信网络 | 安全区域边界 | 安全计算环境 | 安全数据处理

应能够检测针对存储数据和数据库的入侵行为

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

一般规定 | 安全物理环境 | 安全通信网络 | 安全区域边界 | 安全计算环境 | 安全数据处理

个人账户注销后应进行个人信息的删除或匿名化处理

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

一般规定 | 安全物理环境 | 安全通信网络 | 安全区域边界 | 安全计算环境 | 安全数据处理

应能够识别出数据存储中的结构化重要数据和敏感数据

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

一般规定 | 安全物理环境 | 安全通信网络 | 安全区域边界 | 安全计算环境 | 安全数据处理

应对数据分类分级、溯源、脱敏等策略统一管理

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

安全管理中心 | 安全管理制度 | 安全管理机构 | 安全管理人员 | 安全建设管理 | 安全运维管理

应制定数据跨境传输管理制度并符合法律法规

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

安全管理中心 | 安全管理制度 | 安全管理机构 | 安全管理人员 | 安全建设管理 | 安全运维管理

应设立数据安全负责人等数据安全关键岗位

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

安全管理中心 | 安全管理制度 | 安全管理机构 | 安全管理人员 | 安全建设管理 | 安全运维管理

应每年开展一次数据安全评估并提交年度评估报告

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

安全管理中心 | 安全管理制度 | 安全管理机构 | 安全管理人员 | 安全建设管理 | 安全运维管理

数据安全关键岗位人员录用前应进行背景审查

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

安全管理中心 | 安全管理制度 | 安全管理机构 | 安全管理人员 | 安全建设管理 | 安全运维管理

应要求数据提供方说明数据来源并对其身份审核

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

安全管理中心 | 安全管理制度 | 安全管理机构 | 安全管理人员 | 安全建设管理 | 安全运维管理

应建立工具化的数据资产识别能力并形成数据资产清单

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

安全管理中心 | 安全管理制度 | 安全管理机构 | 安全管理人员 | 安全建设管理 | 安全运维管理

重要数据或十万人以上个人信息泄露应按规定上报

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

安全管理中心 | 安全管理制度 | 安全管理机构 | 安全管理人员 | 安全建设管理 | 安全运维管理

核心和重要数据存储区域与公共网络应可靠逻辑隔离

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

一般规定 | 安全物理环境 | 安全通信网络 | 安全区域边界 | 安全计算环境 | 安全数据处理

第四级系统数据安全测评除应满足GB/T 28448—2019的第9章要求外，还应满足9.2 ～ 9.12的要求。

应采用口令和密码技术组合的鉴别技术进行身份鉴别

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

一般规定 | 安全物理环境 | 安全通信网络 | 安全区域边界 | 安全计算环境 | 安全数据处理

应采用密码技术保护数据在传输过程中的完整性

炼石 CipherGateway

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

一般规定 | 安全物理环境 | 安全通信网络 | 安全区域边界 | 安全计算环境 | 安全数据处理

应采用密码技术保护核心、重要和敏感数据存储保密性

炼石 CipherGateway

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

一般规定 | 安全物理环境 | 安全通信网络 | 安全区域边界 | 安全计算环境 | 安全数据处理

应识别出存储中结构化和非结构化的核心和重要数据

炼石 Cipher Gateway

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

一般规定 | 安全物理环境 | 安全通信网络 | 安全区域边界 | 安全计算环境 | 安全数据处理

应对数据流转、处理运行状况、存储空间等集中监测

炼石 Cipher Gateway

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

安全管理中心 | 安全管理制度 | 安全管理机构 | 安全管理人员 | 安全建设管理 | 安全运维管理

应制定数据安全风险评估制度并明确评估周期与内容

炼石 Cipher Gateway

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

安全管理中心 | 安全管理制度 | 安全管理机构 | 安全管理人员 | 安全建设管理 | 安全运维管理

数据安全关键事务岗位应配备多人共同管理

炼石 Cipher Gateway

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

安全管理中心 | 安全管理制度 | 安全管理机构 | 安全管理人员 | 安全建设管理 | 安全运维管理

核心和重要数据处理人员每年安全培训不少于20h

炼石 Cipher Gateway

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

安全管理中心 | 安全管理制度 | 安全管理机构 | 安全管理人员 | 安全建设管理 | 安全运维管理

应定期对数据供应链上下游安全风险进行评估

炼石 CipherGateway

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

安全管理中心 | 安全管理制度 | 安全管理机构 | 安全管理人员 | 安全建设管理 | 安全运维管理

含存储介质设备带出工作环境时数据应加密或脱敏

炼石 CipherGateway

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

安全管理中心 | 安全管理制度 | 安全管理机构 | 安全管理人员 | 安全建设管理 | 安全运维管理

应采用重复清除、覆盖与消磁、粉碎等相结合销毁数据

炼石 CipherGateway

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

一般规定 | 安全技术测评 | 安全管理测评

安全管理中心 | 安全管理制度 | 安全管理机构 | 安全管理人员 | 安全建设管理 | 安全运维管理

第五级系统数据测评要求：略

对所有系统等级测评结果和数据安全测评结果综合分析

炼石 CipherGateway

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

数据安全专项测评 | 数据安全扩展测评

① 单项测评（对涉及的每个系统）

② 风险分析与评价（不符合 / 部分符合项）

③ 综合分析（所有系统结果汇总）

④ 测评结论（符合 / 基本符合 / 不符合）

风险分析与评价 分析数据安全问题被威胁利用的可能性，判断被威胁利用后对被测数据安全造成影响的程度，综合评价其安全风险；再对所有系统的等级测评结果、数据安全测评结果进行综合分析。

a. 符合

• 安全问题：等级测评结果和数据安全测评结果中未发现安全问题
• 统计结果：所有测评项的单项测评结果中部分符合和不符合项的统计结果全为0
• 高等级安全风险：—（未发现安全问题，不涉及）
• 综合得分：综合得分为 100 分

b. 基本符合

• 安全问题：等级测评结果和数据安全测评结果中存在安全问题
• 统计结果：部分符合和不符合项的统计结果不全为0
• 高等级安全风险：不会导致被测数据面临高等级安全风险
• 综合得分：综合得分不低于阈值

c. 不符合

• 安全问题：等级测评结果和数据安全测评结果中存在安全问题
• 统计结果：部分符合项和不符合项的统计结果不全为0
• 高等级安全风险：会导致被测数据面临高等级安全风险
• 综合得分：综合得分低于阈值

判定关系：「基本符合」需各条件同时满足；「不符合」= 面临高等级安全风险 或 综合得分低于阈值（满足其一即判定）。

对系统等级测评结果和所有数据安全测评结果综合分析

炼石 CipherGateway

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

数据安全专项测评 | 数据安全扩展测评

① 单项测评（对系统承载的每类数据）

② 风险分析与评价（不符合 / 部分符合项）

③ 综合分析（系统承载的所有数据）

④ 测评结论（符合 / 基本符合 / 不符合）

风险分析与评价 分析数据安全问题被威胁利用的可能性，判断被威胁利用后对被测系统安全造成影响的程度，综合评价其安全风险；再对系统的等级测评结果、所有数据的安全测评结果进行综合分析。

a. 符合

• 安全问题：等级测评结果和数据安全测评结果中未发现安全问题
• 统计结果：所有测评项的单项测评结果中部分符合和不符合项的统计结果全为0
• 高等级安全风险：—（未发现安全问题，不涉及）
• 综合得分：综合得分为 100 分

b. 基本符合

• 安全问题：等级测评结果和数据安全测评结果中存在安全问题
• 统计结果：部分符合和不符合项的统计结果不全为0
• 高等级安全风险：不会导致被测系统面临高等级安全风险
• 综合得分：综合得分不低于阈值

c. 不符合

• 安全问题：等级测评结果和数据安全测评结果中存在安全问题
• 统计结果：部分符合项和不符合项的统计结果不全为0
• 高等级安全风险：会导致被测系统面临高等级安全风险
• 综合得分：综合得分低于阈值

附录A（规范性）　测评单元编码规则

测评单元编码由安全保护等级、安全类、应用场景、序号等部分构成。编码编制形式应与图A.1相符，编码代号应符合表A.1规定。

图A.1 编码编制形式：　L〔安全保护等级〕-〔安全类〕〔应用场景〕-〔序号〕

表A.1 编码代号

示例：测评单元编号为L2-PES7-01，代表源自数据安全测评要求部分的第二级安全物理环境类的第1个指标。

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

附录B（资料性）　数据处理活动与测评单元对应关系

数据处理活动与测评单元对应关系可参考表B.1。

表B.1 数据处理活动与测评单元对应表（第1页/共5页）

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

表B.1 数据处理活动与测评单元对应表（第2页/共5页）

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

表B.1 数据处理活动与测评单元对应表（第3页/共5页）

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

表B.1 数据处理活动与测评单元对应表（第4页/共5页）

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

表B.1 数据处理活动与测评单元对应表（第5页/共5页）

1.术语和定义

2.测评概述

3.第一级系统安全测评要求

4.第二级系统安全测评要求

5.第三级系统安全测评要求

6.第四/五级系统安全测评要求

7.风险分析和评价

8.附录

参考文献

[1]GB/T 18336.1—2024 信息技术 安全技术 信息技术安全评估准则 第1部分：简介和一般模型

[2]GB/T 18336.2—2024 信息技术 安全技术 信息技术安全评估准则 第2部分：安全功能组件

[3]GB/T 18336.3—2024 信息技术 安全技术 信息技术安全评估准则 第3部分：安全保障组件

[4]GB/T 20269—2006 信息安全技术 信息系统安全管理要求

[5]GB/T 20270—2006 信息安全技术 网络基础安全技术要求

[6]GB/T 20271—2006 信息安全技术 信息系统通用安全技术要求

[7]GB/T 20272—2019 信息安全技术 操作系统安全技术要求

[8]GB/T 20273—2019 信息安全技术 数据库管理系统安全技术要求

[9]GB/T 20282—2006 信息安全技术 信息系统安全工程管理要求

[10]GB/T 35273—2020 信息安全技术 个人信息安全规范

[11]GB/T 35274—2023 信息安全技术 大数据服务安全能力要求

[12]GB/T 37932—2019 信息安全技术 数据交易服务安全要求

[13]GB/T 37973—2019 信息安全技术 大数据安全管理指南

[14]GB/T 37988—2019 信息安全技术 数据安全能力成熟度模型

[15]GB/T 41479—2022 信息安全技术 网络数据处理安全要求

[16]ISO/IEC 27001:2022 Information Security, Cybersecurity and Privacy Protection —Information Security Management Systems – Requirements

[17]ISO/IEC 27002:2022 Information Security, Cybersecurity and Privacy Protection —Information Security Controls

[18]NIST Special Publication 800-53 Security and Privacy Controls for Federal Information Systems and Organizations

[19]NIST Special Publication 800-53A： Assessing Security and Privacy Controls in Federal Information Systems and Organizations

1. GA/T2380-2026《信息安全技术 网络安全等级保护数据安全基本要求》

2. GA/T2394—2026《信息安全技术 网络安全等级保护数据安全测评要求》

3. GA/T2395—2026 《信息安全技术网络安全等级保护数据安全测评过程指南》

4. GA/T2381—2026《信息安全技术网络安全等级保护数据安全测评机构能力要求》

5. 免改造数据安全实践

《信息安全技术 网络安全等级保护数据安全测评过程指南》发布

1.范围

2.规范性引用文件

3.术语和定义

4.数据安全测评框架

5.测评准备活动

6.方案编制活动

7.现场测评活动

8.报告编制活动

附录ABC

GA

中华人民共和国公共安全行业标准

信息安全技术 网络安全等级保护 数据安全测评过程指南

Information security technology—Testing and evaluation process guideline for data security of classified protection of cybersecurity

中华人民共和国公安部 发布

范围

本文件给出网络安全等级保护数据安全测评的方法和流程，提出了数据安全测评实施流程、测评方法等内容，明确了各个实施活动的工作流程、主要任务、主要文档以及测评机构和被测单位双方职责。

本文件适用于指导测评机构开展数据安全测评工作。数据安全主管部门以及数据处理者数据安全检查或自查时参照使用。

规范性引用文件

下列文件中内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T 20984 信息安全技术 信息安全风险评估方法

GB/T 22239 信息安全技术 网络安全等级保护基本要求

GB/T 25069—2022 信息安全技术 术语

GA/T 2380-2026 信息安全技术 网络安全等级保护数据安全基本要求

GA/T 2394—2026 信息安全技术 网络安全等级保护数据安全测评要求

术语和定义

GB/T 25069—2022界定以及下列术语和定义适用于本文件。

数据 data

任何以电子或者其他方式对信息的记录。

[来源：GB/T 45577—2025，3.1]

数据安全 data security

通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。

[来源：GB/T 45577—2025，3.2]

以等保为基础的数据安全测评框架

| 1.范围 | 数据安全测评聚焦数据和数据处理活动，发现数据安全隐患，提出数据安全防护措施建议，提升数据安全整体防护能力。但数据由不同安全保护等级的系统承载，因此数据安全测评在相应系统完成网络安全等级测评后开展，网络安全等级测评是数据安全测评的前提。图1给出了数据安全测评内容框架。 |

2.规范性引用文件

3.术语和定义

4.数据安全测评框架

5.测评准备活动

6.方案编制活动

7.现场测评活动

8.报告编制活动

附录ABC

数据安全测评

数据安全通用要求

• 安全物理环境
• 安全通信网络
• 安全区域边界
• 安全计算环境
• 安全管理中心
• 安全管理制度
• 安全管理机构
• 安全管理人员
• 安全建设管理
• 安全运维管理

数据处理活动要求

• 数据收集
• 数据传输
• 数据存储
• 数据使用和加工
• 数据提供和公开
• 数据删除与销毁

网络安全等级测评

系统/平台1 | 系统/平台2 | …… | 系统/平台n

图1 数据安全测评框架

等保测评结论在数安测评中的复用

1.范围

2.规范性引用文件

3.术语和定义

4.数据安全测评框架

5.测评准备活动

6.方案编制活动

7.现场测评活动

8.报告编制活动

附录ABC

数据安全测评建立在网络安全等级测评的基础上开展

网络安全等级测评

网络安全等级保护测评主要是承载数据的系统/平台按照 GB/T 22239 开展等级测评，复用其等级测评结论。如果测评对象涉及多个系统/平台，建议复用多个系统/平台的测评结论；

数据安全测评

数据安全测评包含数据安全通用要求和数据处理活动要求。其中，数据处理活动要求为GA/T2380-2026中针对不同数据处理活动提出的要求；数据安全通用要求包含GA/T2380-2026中明确指出按照GB/T 22239实现的安全要求和通用类的要求（含技术和管理要求，不是针对数据处理活动的要求），其中要求按照GB/T 22239实现的安全要求可直接复用等级测评结果。

注：数据安全测评部分的内容除了GA/T2380-2026中要求外，若有行业性要求或者其他数据安全要求同样适用该方法。数据安全测评工作流程宜符合附录A规定，以网络安全等级保护测评过程为基础，但数据安全测评过程和网络安全等级测评过程相比，还具有数据安全测评特有内容（见附录B）。

炼石 CipherGateway

数据安全测评准备阶段的实施要点

1.范围

2.规范性引用文件

3.术语和定义

4.数据安全测评框架

5.测评准备活动

6.方案编制活动

7.现场测评活动

8.报告编制活动

附录ABC

工作流程

数据安全测评准备活动中明确测评范围和目标是所有工作的前提； 此外，在数据调研和分析阶段，数据调研建议围绕数据的处理活动收集被测数据调研信息，提前了解数据基本情况，识别潜在的安全风险和问题。

数据安全测评准备活动工作流程图

明确测评范围和目标 → 组建团队与项目启动 → 数据调研和分析 → 工具和文档准备

在进行数据安全测评前，测评机构首先明确被测单位的测评范围和目标，确定数据安全测评的需求、目标以及测评范围。

►输入： 委托测评协议书/数据安全测评合同。

►任务描述：

a）在进行数据安全测评前，测评机构结合与被测单位签署的数据安全测评合同，并被测单位沟通确认测评需求、目标以及测评范围；

b）根据数据安全测评实际需求和目标，明确数据测评范围。

►输出/产品： 数据安全测评目标及测评范围。

在组建团队与项目启动任务中，测评机构组建数据安全测评项目组，根据测评目标、测评范围等，获取被测单位及被测数据的基本情况，明确人员安排和时间计划。

►输入： 委托测评协议书/数据安全测评合同，数据安全测评目标及测评范围。

►任务描述：

根据测评双方签订的委托测评协议书/数据安全测评合同，测评机构组建测评项目组，从人员方面做好准备，编制项目计划书，准备数据调查表格。其中，项目计划书至少包括：见下页

炼石 CipherGateway

组建团队与项目启动测评阶段的实施要点

1.范围

2.规范性引用文件

3.术语和定义

4.数据安全测评框架

5.测评准备活动

6.方案编制活动

7.现场测评活动

8.报告编制活动

附录ABC

明确测评范围和目标 → 组建团队与项目启动 → 数据调研和分析 → 工具和文档准备

测评人员：明确测评人员角色、数量、工作安排等要求，以及各角色的职责，并明确具体人员安排清单；

测评要点列表：根据本次测评目标、范围以及被测单位业务特点等实际情况，确定本次测评要点，并明确相应测评判定准则；

结果预期：根据本次测评目标、范围以及被测单位业务特点等实际情况，明确本次测评工作的主要预期工作成果，并明确各项工作成果的主要交付物及其交付形式、主要结论及预期达到的效果等内容；

方法、技术和工具：根据测评要点及判定准则，确定主要测评方法、技术以及工具，并形成方法、技术和工具清单；

涉及的配合人员：根据测评要点，明确涉及的配合人员或角色；

时间计划：根据测评目标及测评要点，拆分测评任务，明确各项测评任务的主要内容、时间分配等，并形成具体的时间计划清单。

炼石 CipherGateway

测评机构数据调查表格要求

1.范围

2.规范性引用文件

3.术语和定义

4.数据安全测评框架

5.测评准备活动

6.方案编制活动

7.现场测评活动

8.报告编制活动

附录ABC

明确测评范围和目标 → 组建团队与项目启动 → 数据调研和分析 → 工具和文档准备

测评机构准备数据调查表格，内容包括但不限于被测单位的基本信息、业务基本情况、数据基本情况、数据处理活动基本情况、数据流转情况、数据流转的系统对应的网络拓扑图和设备资产情况、数据安全相关制度等。 其中，数据基本情况至少包括数据名称、数据类别、数据描述、数据流转涉及系统、网络安全保护等级、涉及的数据处理活动、数据存储位置、数据量、数据安全级别（根据GA/T2380-2026中的级别要求定义）、是否涉及数据出境等，数据基本情况调研可参照表1示例。

►输出/产品： 项目计划书、空的数据调查表格。

表 1 数据基本情况调研示例

炼石 CipherGateway

数据调研和分析、工具文档准备测评阶段的实施要点

1.范围

2.规范性引用文件

3.术语和定义

4.数据安全测评框架

5.测评准备活动

6.方案编制活动

7.现场测评活动

8.报告编制活动

附录ABC

明确测评范围和目标 → 组建团队与项目启动 → 数据调研和分析 → 工具和文档准备

测评机构将数据调查表格发至被测单位填写，根据被测单位填写的数据调查表，结合被测数据所涉及的系统/平台的等级测评报告结果，初步了解被测单位数据情况。

输入： 项目计划书，数据调查表格。

任务描述：

a）测评机构将空的调研表发至被测单位，并指导被测单位填写数据调研表；

b）测评机构将数据调查表格以及最近等级测评的情况提交给被测单位；

c）测评机构收回填写完成的调查表格，分析调查结果，结合被测数据所涉及的系统/平台的等级测评情况，了解被测数据的基本情况。

输出/产品： 填好的调查表格，等级测评相关材料。

测评项目组成员在进行现场数据安全测评之前，调试测评工具、准备相关文档等。

输入： 填好的数据调查表格，等级测评相关材料。

任务描述：

a）测评人员调试本次测评过程中将用到的测评工具，包括数据检测工具、分析工具等；

注： 建议工具的选取采用经过检测后无漏洞危害的工具或具有相关检测资质证书的工具。

b）测评人员准备测评指导书，在模拟环境中对测评工具进行检测，对工具进行必要的风险评估；

c）准备测评授权书等文档，主要包括：测评授权书、验证测试授权书、文档交接单等，以备开展现场测评前由被测单位签字确认。

输出/产品： 选用的测评工具清单，测评授权书等文档。

炼石 CipherGateway

测评准备活动主要文档及其内容

1范围

任务 输出文档 文档内容 2.规范性引用文件 明确测评范围和目标 数据安全测评范围清单 数据安全测评需求和目标、测评范围

3术语和定义

项目计划书主要包括项目概述、工作依据、技术思路、工作内容和测评人员和计划 项目计划书、空的数据调查 等;数据调查表格设计内容包括但不限于被测单位的基本信息、业务基本情况、数 组建团队与项目启动 4.数据安全测评框架 表格 据基本情况、数据处理活动基本情况、数据流转情况、数据流转的系统对应的网络 拓扑图和设备资产情况、数据安全相关制度等

5测评准备活动

被测单位填好的数据调查表格,内容包括但不限于被测单位的基本信息、业务基本 6.方案编制活动 数据调研和分析 数据调查表格 情况、数据基本情况、数据处理活动基本情况、数据流转情况、数据流转的系统对 应的网络拓扑图和设备资产情况、数据安全相关制度等

7现场测评活动

数据安全测评工具清单、测 数据安全测评工具清单包括现场测评使用的工具名称、版本号等内容;测评授权书 8.报告编制活动 工具和文档准备 评授权书等文档 等表单包括测评授权书、验证测试授权书、文档交接单等 附录ABC 表2测评准备活动文档及其内容

测评机构和被测单位的职责

1范围

测评机构职责 被测单位职责 2.规范性引用文件 组建数据安全测评项目组,制定项目计划书; 向测评机构介绍本单位的数据运行情况、数据处理 3.术语和定义 列出被测单位提供的基本资料; 活动的安全措施、所涉及系统的等级测评情况,明 准备被测数据调查表格,提交给被测单位,并 确被测数据涉及的权属关系等; 4.数据安全测评框架 指导被测单位填写数据调查表格; 填写数据调查表格,列出测评机构需要相关资料;

5测评准备活动

了解被测单位的数据基本情况以及系统等级测 为测评人员的数据调研工作提供支持和协调; 评等情况; 根据被测数据的具体情况,如业务运行高峰期、数 6.方案编制活动 准备数据安全测评工具和测评授权书等文档, 据流动高峰期、网络部署情况等,为测评时间安排 7.现场测评活动 提前向被测单位介绍数据安全测评工作流程和 提供适宜的建议; 方法,以及测评工作可能带来的风险和规避方 制定数据安全应急预案。 8.报告编制活动 法。 附录ABC

方案编制活动包括八项工作流程

1范围

方案编制活动活动工作流程包括数据对象确定、数据处理活动确定、数据所属系统确定、数据安全级别确定、测评指 标和内容确定、工具测试方法确定、测评指导书开发及测评方案及计划编制等任务,工作流程见图3。 2.规范性引用文件 3.术语和定义 数据对象确定 数据处理活动确定 数据所属系统确定 数据安全级别确定 4.数据安全测评框架

5测评准备活动

测评指标和内容确定 工具测试方法确定 测评指导书开发 6.方案编制活动 7.现场测评活动 测评方案及计划编制 8.报告编制活动 图3方案编制活动工作流程 附录ABC

数据对象及处理活动确定 1.范围 数据对象确定 数据处理活动确定 2.规范性引用文件 根据数据调查结果,确定被测数据名称、数据类别、安 结合调查表中的业务流程梳理出被测数据涉及的数据处 全级别、数据流向等内容。 理活动。 3.术语和定义 输入:填好的调查表格,与被测数据相关的技术资料。 输入:填好的数据调查表格,与被测数据相关的技术 任务描述: 4.数据安全测评框架 资料。 。根据调查表格获得的被测数据的基本情况,识别出被 任务描述:

5测评准备活动

测数据名称、数据类别、安全级别、数据流向等; 结合调查表中的数据流转情况梳理出被测数据涉及的数 ·确定测评的数据对象。由于数据是流动的,可能流经 据处理活动。若调研阶段发现数据在多个定级系统中流 6.方案编制活动 多个定级系统,若调研阶段发现数据在多个定级系统 动时,建议明确在不同系统中涉及的数据处理活动。 中流动时,测评对象建议涵盖所有涉及的系统,其中 7.现场测评活动 输出产品:数据以及相关数据处理活动列表。 相关的对象可根据等级测评抽选原则按类别抽选; 描述测评数据对象。描述被测数据的数据名称、数据 8.报告编制活动 类别、安全级别、数据流向等内容。 输出/产品:测评方案的测评对象部分。 附录ABC

数据所属系统和安全级别确定 1.范围 数据所属系统确定 数据安全级别确定 2.规范性引用文件 根据数据调查表格中具体的数据处理活动、数据流转情 根据数据调查表格中确定好的数据对象,和被测单位确 况,确定出本次测评的数据涉及的系统/平台。 定数据的安全级别。 3.术语和定义 输入:填好的数据调查表格、确定的数据对象、数据 输入:填好的数据调查表格、确定的数据对象、数据 以及相关数据处理活动列表。 以及相关数据处理活动列表、承载数据的系统/平台。 4.数据安全测评框架 任务描述: 任务描述:

5测评准备活动

根据具体的数据处理活动、数据流经的系统,确定本次 根据确定的数据对象、数据以及相关数据处理活动列表 测评相关数据涉及的系统/平台。 、承载数据的系统/平台,和被测单位确定数据的安全 6.方案编制活动 输出/产品:确定的数据承载系统/平台。 级别。原则上数据安全级别和承载数据的系统/平台级 别保持一致,或者承载数据的系统[平台不得承载高于 7.现场测评活动 其安全等级的数据对象。 输出/产品:被测数据的安全级别。 8.报告编制活动 附录ABC

测评指标内容和工具测试方法确定

1.范围 2.规范性引用文件 3.术语和定义 4.数据安全测评框架 5.测评准备活动 6.方案编制活动 7.现场测评活动 8.报告编制活动 附录ABC

测评指标和内容确定

根据被测数据安全级别和承载数据的系统/平台级别，确定出本次测评的测评指标和内容，具体可参照GA/T2380-2026中数据分级保护原则确定测评指标，并根据被测评单位、被测数据对象及数据安全测评对象自身需求确定出本次测评的特殊测评指标。

输入：确定的数据对象、数据处理活动以及承载数据的系统/平台、GB/T 22239、GA/T2380-2026、行业规范、业务需求文档。

任务描述：

• 根据被测数据安全级别和承载数据的系统/平台级别，从GB/T 22239、GA/T2380-2026、其他数据安全规范标准中选择相应等级的安全要求作为测评指标，具体指标选择参见GA/T2380-2026.4.2；
• 根据被测数据对象及承载数据的系统/平台实际情况，确定不适用测评指标；
• 根据被测评单位、被测数据对象及承载数据的系统/平台自身需求确定出本次测评的特殊测评指标；
• 按照数据安全通用要求和针对数据处理活动的相关要求，明确测评指标。若调研阶段发现数据在多个定级系统中流动时，建议根据在不同系统中涉及的数据处理活动，覆盖所有的测评指标；
• 对确定的基本测评指标和特殊测评指标进行描述，并给出测评实施的内容。

输出/产品：测评方案的测评指标和内容部分。

工具测试方法确定

在测评中，使用测试工具进行测试，测试人员可根据实际需求选择相关的测试工具。

输入：测评方案的测评实施部分、GB/T 22239、GA/T2380-2026 、GA/T2380-2026、选用的测评工具清单。

任务描述：

• 确定工具测试环境，根据被测系统的实时性要求，可选择生产环境或与生产环境各项安全配置相同的备份环境、生产验证环境或测试环境作为工具测试环境；
• 确定需要进行测试的测评对象；
• 选择测试路径，测试工具的接入根据检测分析工具的具体检测范围选择测试路径，确定测试工具的接入点。如渗透测试工具、传输协议检测工具等，采取从外到内，从其他网络到本地网络的逐步逐点接入；
• 结合网络拓扑图，描述测试工具的接入点、测试目的、测试途径和测试对象等相关内容。

输出/产品：测评方案的工具测试方法及内容。

测评指导书开发及测评方法计划编制

1.范围 2.规范性引用文件 3.术语和定义 4.数据安全测评框架 5.测评准备活动 6.方案编制活动 7.现场测评活动 8.报告编制活动 附录ABC

测评指导书开发

测评指导书是具体指导测评人员如何进行测评活动的文档，尽可能详实、充分。

输入：测评方案的测评指标、工具测试方法及内容部分。

任务描述：

• 根据GB/T 22239、GA/T2380-2026、GA/T2394—2026的测评实施确定测评活动，包括测评项、测评方法、操作步骤和预期结果等四部分；
• 根据测评指导书，形成测评结果记录表格。

输出/产品：测评指导书，测评结果记录表格。

测评方案及计划编制

数据安全测评方案包括但不限于以下内容：项目概述、数据测评对象及数据处理活动、测评指标、测评方法、工具测试方案、风险及规避措施等。

输入：委托测评协议书、填好的调查表格、各种与被测范围相关技术资料、GB/T 22239、GA/T2394—2026或行业规范中相应等级的基本要求、确定的数据对象、数据处理活动、承载数据的系统/平台、测评方案的测评指标、工具测试方法及内容等。

任务描述：

a) 根据委托测评协议书和填好的调查表，提取项目来源、被测单位整体信息化建设情况、被测数据对象、数据处理活动、承载数据的系统/平台等；

b) 根据数据安全测评过程中的测评实施要求，罗列测评活动所依据的标准；

c) 参阅委托测评协议书和被测对象情况，估算现场测评工作量。工作量根据测评对象的数量和工具测试的接入点及测试内容等情况进行估算；

d) 根据测评项目组成员安排，编制工作安排情况；

e) 根据以往测评经验以及被测对象规模，编制具体测评计划，包括现场工作人员的分工、时间安排和配合需求等；

f) 汇总a) ~e) 内容及方案编制活动的其他任务获取的内容形成测评方案文稿和测评计划；

g) 审评和提交测评方案，测评方案初稿首先通过测评项目组全体成员评审，修改完成后形成提交稿。测评方案提交给被测评单位签字认可；

h) 根据测评方案制定风险规避实施方案。

输出/产品：经过评审和确认的测评方案文本及风险规避实施方案文本。

方案编制活动的输出文档及其内容

1.范围 2.规范性引用文件 3.术语和定义 4.数据安全测评框架 5.测评准备活动 6.方案编制活动 7.现场测评活动 8.报告编制活动 附录ABC

表3 方案编制活动文档及其内容

测评机构与被测单位的相关职责

1.范围 2.规范性引用文件 3.术语和定义 4.数据安全测评框架 5.测评准备活动 6.方案编制活动 7.现场测评活动 8.报告编制活动 附录ABC

测评机构职责

• 详细分析被测单位的数据类别、数据处理活动、承载数据的系统/平台、数据流转情况及其安全等级测评情况等；
• 初步判断被测评数据的薄弱点；
• 分析确定测评对象、测评指标和内容、工具测试方法；
• 编制测评方案文本，并对其进行内部评审；
• 制定风险规避实施方案。

被测单位职责

• 为测评机构完成测评方案提供有关信息和资料；
• 确认测评方案文本以及测评机构提供的风险规避实施方案；
• 若确定不在生产环境开展测评，则部署配置与生产环境或与生产环境各项安全配置相同、数据传输类别相同的备份环境、生产验证环境或测试环境作为工具测试环境。

主要任务之现场测评准备

1.范围 2.规范性引用文件 3.术语和定义 4.数据安全测评框架 5.测评准备活动 6.方案编制活动 7.现场测评活动 8.报告编制活动 附录ABC

现场测评准备 | 现场测评和结果记录 | 结果确认和资料归还

现场测评准备工作是测评机构顺利实施数据测评的基础。

▶ 输入：经过评审和确认的数据安全测评方案文本、风险规避实施方案文本、授权书、现场测评工作计划。

▶ 任务描述：

• 被测单位对授权书签字确认，了解数据安全测评过程中存在的安全风险，做好相应的应急和备份工作；
• 测评机构介绍现场测评目标和现场测评范围，确定本次测评所涉及的数据、产品、服务、信息系统、人员等，并明确现场测评工作计划安排；
• 被测单位根据测评范围及工作计划安排确认现场测评需要的各种资源，包括测评配合人员和需要提供的测评环境等；
• 测评机构根据沟通结果，对测评结果记录表单和测评程序进行必要的更新；
• 测评机构根据本次测评目标、范围以及被测单位业务特点等实际情况，明确本次测评工作的主要工作成果预期，并明确各项工作成果的主要交付物及其交付形式、主要结论及预期达到的效果等内容。

输出/产品：被测单位签字确认的现场测评授权书、确认的测评计划及人员配合清单等。

主要任务之现场测评和结果记录

1.范围 2.规范性引用文件 3.术语和定义 4.数据安全测评框架 5.测评准备活动 6.方案编制活动 7.现场测评活动 8.报告编制活动 附录ABC

现场测评准备 | 现场测评和结果记录 | 结果确认和资料归还

本任务主要是测评人员按照数据安全测评指导书实施测评，并将测评过程中获取的证据源进行详细、准确记录。

▶ 输入：现场测评工作计划、现场测评授权书、测评指导书、测评结果记录表格。

▶ 任务描述：

• 被测单位在数据安全测评前备份系统和数据；
• 测评人员根据数据安全测评指导书实施现场测评，获取相关证据和信息。这里需注意的是现场测评需围绕数据和数据处理活动进行评估；
• 测评结束后，测评人员与被测单位配合人员及时确认测评工作是否对数据造成不良影响，承载数据的系统/平台是否运行正常。

在数据安全测评实施活动中，遵循客观性和公正性、经济性和可重用性、可重复性和可再现性、结果完善性的原则。此外，测评对象的选取要确保恰当选取与强度适配。恰当选取是指对具体测评对象的选择要恰当，既要避免重要的对象、可能存在安全隐患的对象没有被选择，也要避免过多选择，使得工作量增大，确保能够覆盖重要数据类别、重点关注可能成为攻击目标或存在安全隐患的数据存储和传输环节，并合理界定测评范围，避免不必要的重复测评。强度适配是对被测对象实施与其等级相适应的测评强度，对不同安全级别的数据按照GA/T2380-2026中相应等级的测评标准开展，并包括被测对象所有的数据处理环节。

▶ 输出/产品：测评结果记录。

主要任务之结果确认和资料归还

现场测评准备 | 现场测评和结果记录 | 结果确认和资料归还

本任务主要是将数据安全测评过程中得到的证据源记录进行确认，并将测评过程中借阅的文档归还。

• 输入： 各类测评结果记录、工具测试完成后的电子输出记录。

• 任务描述：

  a) 测评人员在现场测评完成之后，汇总现场测评的测评记录，对漏掉和需要进一步验证的内容实施补充测评；

  b) 测评双方对测评过程中得到的证据源记录进行现场沟通和确认；

  c) 测评机构归还测评过程中借阅的所有文档资料，并由被测评单位文档资料提供者签字确认。

• 输出/产品： 经过被测评单位确认的测评证据和证据源记录、被测评单位签字确认的文档交接单。

1.范围

2.规范性引用文件

3.术语和定义

4.数据安全测评框架

5.测评准备活动

6.方案编制活动

7.现场测评活动

8.报告编制活动

附录ABC

现场测评活动的输出文档及其内容

本任务主要是测评人员按照测评指导书实施测评，并将测评过程中获取的证据源进行详细、准确。数据安全现场测评活动主要文档及其内容如表4所示。

1.范围

2.规范性引用文件

3.术语和定义

4.数据安全测评框架

5.测评准备活动

6.方案编制活动

7.现场测评活动

8.报告编制活动

附录ABC

测评机构职责和被测单位职责

测评机构职责

• 测评人员开展测评前确认被测数据及其处理活动具备测评工作开展的条件，承载数据的系统/平台运行正常；
• 测评人员综合利用访谈、核查、测试等方法开展现场测评工作，并获取相关证据；
• 初步分析系统的安全状况。

被测单位职责

• 了解测评工作基本情况，签署现场测评授权书，对风险进行签字确认；
• 安排测评配合人员，配合测评工作的开展，数据安全测评前备份系统和数据；
• 配合人员协助测评人员完成数据相关内容的问询、验证和测试，提供测评机构需要的相关资料，并对证据和证据源进行确认。

1.范围

2.规范性引用文件

3.术语和定义

4.数据安全测评框架

5.测评准备活动

6.方案编制活动

7.现场测评活动

8.报告编制活动

附录ABC

报告编制包括的工作流程

报告编制活动包括数据处理活动结果分析、数据安全通用要求结果分析、数据承载系统/平台等级测评结论和安全问题分析、数据安全问题风险分析、数据安全测评结论形成、测评报告编制等主要任务。工作流程见图5。

数据处理活动结果分析 | 数据安全通用要求结果分析 | 数据承载系统/平台等级测试结论和安全问题分析

↓

数据安全问题风险分析

↓

数据安全测评结论形成

↓

测评报告编制

图5 报告编制活动工作流程

1.范围

2.规范性引用文件

3.术语和定义

4.数据安全测评框架

5.测评准备活动

6.方案编制活动

7.现场测评活动

8.报告编制活动

附录ABC

测评结果判定

| 1.范围 | | 2.规范性引用文件 | | 3.术语和定义 | | 4.数据安全测评框架 | | 5.测评准备活动 | | 6.方案编制活动 | | 7.现场测评活动 | | 8.报告编制活动 | | 附录ABC |

本活动任务主要是针对数据为测评对象，分别从数据处理活动、数据安全通用要求两个方面进行客观、准确地分析测评证据，并结合被测数据所承载的系统/平台的等级测评结果，形成初步测评结果。

输入

经过被测单位确认的测评证据和证据源记录，测评指导书。

任务描述

• 分析数据处理活动测评结果、数据安全通用要求测评结果两个方面的测评证据，并与测评要求内容的预期测评结果相比较，给出数据处理活动、数据安全通用要求两个方面的测评结果和符合程度；
• 查阅被测数据所涉及的系统/平台的等级测评报告中相关的等级测评结论和发现的安全问题，综合a）的分析结果，形成初步测评结果。

输出/产品

测评报告的测评结果部分。

数据安全问题风险分析

| 1.范围 | | 2.规范性引用文件 | | 3.术语和定义 | | 4.数据安全测评框架 | | 5.测评准备活动 | | 6.方案编制活动 | | 7.现场测评活动 | | 8.报告编制活动 | | 附录ABC |

测评人员依据数据安全相关规范和标准，采用风险分析方法，并对安全问题进行关联分析，发现多个安全问题组合可能引起的数据安全风险，综合分析判断测评结果中存在的安全问题可能对被测对象安全造成的影响。

输入

• 填好的调查表、测评报告的测评结果。

任务描述

• 针对测评结果中部分符合项或不符合项所产生的安全问题，结合关联测评对象和威胁（数据安全常见安全威胁见附录C）以及数据流动可能带来的风险，综合分析可能对国家安全或地区安全、国计民生，社会秩序、公共利益，公民、法人和其他组织的合法权益造成的危害程度；
• 根据最大安全危害严重程度进一步确定测评对象面临的风险等级，结果为“高”、“中”或“低”。

输出/产品

• 测评报告的安全问题风险分析部分。

数据安全测评结论形成

| 1.范围 | | 2.规范性引用文件 | | 3.术语和定义 | | 4.数据安全测评框架 | | 5.测评准备活动 | | 6.方案编制活动 | | 7.现场测评活动 | | 8.报告编制活动 | | 附录ABC |

测评人员在数据安全问题风险分析的基础上，找出与GB/T 22239、GA/T2380-2026以及所依据的其他标准之间的差距，并形成测评结论。

输入

• 测评报告的数据安全问题风险分析部分。

任务描述

• a）测评人员在初步针对数据处理活动、数据安全通用要求进行判定后，并结合所承载的系统/平台等级测评的结果，进行评估，发现可能存在的数据安全风险和安全隐患，形成数据安全测评结论。其中数据安全通用要求中明确指出符合GB/T 22239实现的安全要求可直接复用相关的等级测评结果；所承载数据的系统/平台等级测评的结果直接复用相关系统的测评报告结论和发现的主要安全问题；
• b）数据安全测评结论判定依据原则上和计算规则原则上和网络安全等级测评保持一致。

输出/产品

• 测评报告的数据安全等级测评结论部分。

测评报告编制

| 1.范围 | | 2.规范性引用文件 | | 3.术语和定义 | | 4.数据安全测评框架 | | 5.测评准备活动 | | 6.方案编制活动 | | 7.现场测评活动 | | 8.报告编制活动 | | 附录ABC |

测评报告建议在等级测评的基础上，以系统为单位，聚焦数据和数据处理活动出具数据安全测评报告，但考虑到被测单位需求，也可同一数据安全级别或者业务等方式出具数据报告。

输入

• 测评方案，《网络安全等级保护数据安全测评报告模板》，测评结果及测评结果分析内容。

任务描述

• 测评人员整理前面几项任务的输出/产品，按照《网络安全等级保护数据安全测评报告模板》编制测评报告相应部分；
• 针对测评发现的安全隐患，从数据安全角度提出相应的改进建议，编制测评报告的问题处置建议部分；
• 测评报告编制完成后，让被测单位对测评原始记录和其他辅助信息进行确认；
• 报告评审通过后，由项目负责人及其审核人签字确认并提交给被测单位。

输出/产品

• 经过评审和确认的等级保护数据安全测评报告。

报告编制活动的输出文档及其内容

| 1.范围 | | 2.规范性引用文件 | | 3.术语和定义 | | 4.数据安全测评框架 | | 5.测评准备活动 | | 6.方案编制活动 | | 7.现场测评活动 | | 8.报告编制活动 | | 附录ABC |

测评机构职责与被测单位职责

| 1.范围 | | 2.规范性引用文件 | | 3.术语和定义 | | 4.数据安全测评框架 | | 5.测评准备活动 | | 6.方案编制活动 | | 7.现场测评活动 | | 8.报告编制活动 | | 附录ABC |

测评机构职责

• 分析并判定测评结果；
• 分析评价测评对象存在的风险情况，并对安全问题进行关联分析后综合判断测评结果中存在的安全问题可能对被测对象安全造成的影响；
• 根据测评结果形成网络安全等级保护数据安全测评结论；
• 编制网络安全等级保护数据安全测评报告，说明测评对象存在安全隐患和缺陷，给出改进建议；
• 评审网络安全等级保护数据安全测评报告，并将评审通过的报告交付给被测单位；
• 将生成的过程文档（包括电子文档）归档保存，并将测评过程中在测评用介质和测试工具中生成或存放的所有电子文档清除。

被测单位职责

被测单位职责包括：

• 签收测评报告；
• 向主管部门备案测评报告。

附录A（规范性）数据安全测评工作流程

| 1.范围 | | 2.规范性引用文件 | | 3.术语和定义 | | 4.数据安全测评框架 | | 5.测评准备活动 | | 6.方案编制活动 | | 7.现场测评活动 | | 8.报告编制活动 | | 附录ABC |

图A.1 数据安全测评流程

数据安全测评可分为测评准备活动、方案编制活动、现场测评活动和测评报告编制活动，具体流程与与图A.1相符。

① 测评准备活动

明确测评范围目标

并行：

• 组建团队与项目启动
• 数据调研和分析
• 工具和文档准备

信息汇总及补充调研

② 方案编制活动

并行：

• 数据对象确定
• 数据处理活动确定
• 数据所属系统确定
• 数据安全级别确定
• 测评指标和内容确定

并行：

• 工具测试方法确定
• 测评指导书开发

测评方案及计划编制

③ 现场测评活动

现场测评准备

并行：

• 人员访谈
• 文档核验
• 基线核查
• 测试验证

现场测评和结果记录、结果确认和资料归还

④ 测评报告编制活动

并行：

• 数据处理活动结果分析
• 数据安全通用要求结果分析
• 数据承载系统/平台等级测评结论和安全问题分析

数据安全问题风险分析

数据安全测评结论形成

测评报告编制

各阶段工作文档（贯穿全流程，对应表2~表5）：

工具和文档 | 数据调研表 | 数据安全测评方案 | 测评过程文档 | 测评分析结果文档 | 数据安全测评报告 | 其他工作文档

全过程贯穿：沟通与洽谈

附录B（资料性）数据安全测评过程和等级测评过程对比

| 1.范围 | | 2.规范性引用文件 | | 3.术语和定义 | | 4.数据安全测评框架 | | 5.测评准备活动 | | 6.方案编制活动 | | 7.现场测评活动 | | 8.报告编制活动 | | 附录ABC |

附录B（资料性）　右栏＝数据安全测评特有内容

数据安全测评过程和等级测评过程对比见表B.1。

表B.1　数据安全测评过程和等级测评过程对比

① 测评准备活动

等级测评：a）工作启动 b）信息收集和分析 c）工具和表单准备

数据安全测评・特有内容：a）明确需求和目标；b）数据信息收集和分析：输出《数据清单》

② 方案编制活动

等级测评：a）测评对象确定 b）测评指标确定 c）测评内容确定 d）工具测试方法确定 e）测评指导书开发 f）测评方案编制

数据安全测评・特有内容：a）数据对象确定；b）数据处理活动确定；c）数据所属系统确定；d）数据类别、级别确定；e）数据安全测评指标确定；

③ 现场测评活动

等级测评：a）现场测评准备 b）现场测评和结果记录 c）结果确认和资料归还

数据安全测评・特有内容：现场测评：围绕数据和数据处理活动进行评估

④ 报告编制活动

等级测评：a）单项测评结果判定 b）单元测评结果判定 c）整体测评 d）系统安全保障评估 e）安全问题风险分析 f）等级测评结论形成 g）测评报告编制

数据安全测评・特有内容：a）数据处理活动结果判定；b）数据安全通用要求结果判定；c）承载数据系统/平台的等级测评结果判定

附录C（资料性）数据安全常见威胁

| 1.范围 | | 2.规范性引用文件 | | 3.术语和定义 | | 4.数据安全测评框架 | | 5.测评准备活动 | | 6.方案编制活动 | | 7.现场测评活动 | | 8.报告编制活动 | | 附录ABC |

数据处理活动① 数据收集　　8 类过程威胁 ＋ 管理 ＋ 平台

威胁方面：收集过程

| 恶意攻击 | 恶意代码注入、数据无效写入、账号操控 | | 数据泄露 | 敏感数据丢失 | | 无作为或操作失误 | 数据无效写入 | | 篡改 | 数据污染 | | 越权或滥用 | 数据分类分级或标记错误、采集数据过度获取 | | 抵赖 | 采集数据难以追溯定责 | | 管理不到位 | 数据采集频次未限定、内容混乱 | | 社会工程学 | 网络钓鱼 |

威胁方面：安全管理

管理不到位

人员误操作、提供虚假数据、未取得采集对象同意、未申明采集数据使用范围等；其他方面可参考等级测评（管理内容）的结果

威胁方面：承载数据系统/平台

软硬件故障、物理环境影响等

采集设备、采集接口等脆弱性被利用；其他方面可参考等级测评的结果

附录C（资料性）数据安全常见威胁｜数据传输

| 1.范围 | | 2.规范性引用文件 | | 3.术语和定义 | | 4.数据安全测评框架 | | 5.测评准备活动 | | 6.方案编制活动 | | 7.现场测评活动 | | 8.报告编制活动 | | 附录ABC |

数据处理活动② 数据传输　　3 类过程威胁 ＋ 管理 ＋ 平台

威胁方面：传输过程

| 数据泄露 | 数据窃取、旁路攻击、网络监听、数据从高安全区域传输到低安全区域、重要数据明文传输 | | 篡改 | 数据篡改、数据传输缺乏完整性验证 | | 恶意攻击 | 传输两端发起端与接收端不一致、病毒感染、网络拒绝、传输数据劫持、伪造网络凭证、窃取应用程序访问令牌、使用替代身份验证材料、撞库攻击 |

威胁方面：安全管理

管理不到位

运维管理人员误操作等；其他可参考等级测评（管理内容）的结果

威胁方面：承载数据系统/平台

软硬件故障、物理环境影响等

网络堵塞、终端拒绝、缺乏冗余线路设计、未使用加密通道传输数据、使用弱加密算法加密，其他方面可参考等级测评、密码评估和风险评估的（技术内容）结果

附录C（资料性）数据安全常见威胁｜数据存储

1.范围

2.规范性引用文件

3.术语和定义

4.数据安全测评框架

5.测评准备活动

6.方案编制活动

7.现场测评活动

8.报告编制活动

附录ABC

数据处理活动 ③ 数据存储

5类过程威胁＋管理＋平台

威胁方面：存储过程

| 数据泄露 | 数据窃取、数据不可控、存储数据丢失 | | 篡改 | 数据篡改、数据破坏 | | 越权或滥用 | 数据分类或标记错误、权限滥用、过多特权账号 | | 恶意攻击 | 恶意代码执行、SQL注入、盗取应用程序访问令牌、撞库攻击 | | 抵赖 | 审计线索不足 |

威胁方面：安全管理

管理不到位

内部人员误操作、存储平台权限管理失效等；其他可参考等级测评（管理内容）的结果

威胁方面：承载数据系统/平台

软硬件故障、物理环境影响等

物理环境及设备故障、缺乏存储容错与灾备机制等；其他方面可参考等级测评、密码评估和风险评估的（技术内容）结果

附录C（资料性）数据安全常见威胁｜数据使用和加工

1.范围

2.规范性引用文件

3.术语和定义

4.数据安全测评框架

5.测评准备活动

6.方案编制活动

7.现场测评活动

8.报告编制活动

附录ABC

数据处理活动 ④ 数据使用和加工

5类过程威胁＋管理＋平台

威胁方面：使用和加工过程

| 恶意攻击 | 注入攻击、恶意盗取、中间人攻击 | | 抵赖 | 数据抵赖 | | 越权或滥用 | 使用权限混乱、数据过度获取、信任滥用威胁、分析结果滥用、违规操作 | | 数据泄露 | 数据不可控、敏感元数据未脱敏使用 | | 无作为或操作失误 | 错误处理敏感数据 |

威胁方面：安全管理

管理不到位

内部人员误操作、恶意授权等；其他可参考等级测评（管理内容）的结果

威胁方面：承载数据系统/平台

软硬件故障、物理环境影响等

数据处理设备故障等；其他方面可参考等级测评、密码评估和风险评估的（技术内容）结果

附录C（资料性）数据安全常见威胁｜数据提供和公开、删除与销毁

1.范围

2.规范性引用文件

3.术语和定义

4.数据安全测评框架

5.测评准备活动

6.方案编制活动

7.现场测评活动

8.报告编制活动

附录ABC

数据处理活动 ⑤ 数据提供和公开

5类过程威胁＋管理＋平台

威胁方面：提供和公开过程

| 数据泄露 | 交换数据未脱敏 | | 越权或滥用 | 共享权限混乱、数据过度获取、数据不可控 | | 恶意攻击 | 中间人攻击、篡改攻击、重放攻击、数据信息监听、资源劫持、网络拒绝、撞库攻击 | | 篡改 | 数据篡改 | | 恶意代码和病毒 | 恶意加密（勒索病毒等）、病毒横向蠕动 |

威胁方面：安全管理

管理不到位

内部人员权限管理失效、访问控制失效等；其他可参考等级测评（管理内容）的结果

威胁方面：承载数据系统/平台

软硬件故障、物理环境影响等

终端拒统、数据未加密、数据交换设备故障等；其他方面可参考等级测评、密码评估和风险评估的（技术内容）结果

数据处理活动 ⑥ 数据删除与销毁

1类过程威胁＋管理＋平台

威胁方面：删除与销毁过程

| 数据泄露 | 数据到期未删除与销毁、数据未正确删除与销毁、残余数据利用、残余介质利用、资源劫持、容器和资源发现 |

威胁方面：安全管理

管理不到位

缺少数据删除机制等；其他可参考等级测评（管理内容）的结果

威胁方面：承载数据系统/平台

软硬件故障、物理环境影响等

数据删除或销毁设备故障等；其他方面可参考等级测评、密码评估和风险评估的（技术内容）结果

参考文献

[1] GB/T 22240—2020 信息安全技术 网络安全等级保护定级指南

[2] GB/T 30279—2020 信息安全技术 网络安全漏洞分类分级指南

[3] GB/T 37988—2019 信息安全技术 数据安全能力成熟度模型

[4] GB/T 39335—2020 信息安全技术 个人信息安全影响评估指南

[5] GB/T 45577—2025 信息安全技术 数据安全风险评估方法

[6] JR/T 0223—2021 金融数据安全 数据生命周期安全规范

[7] YD/T 3801—2020 电信网和互联网数据安全风险评估实施方法

1. GA/T2380-2026《信息安全技术 网络安全等级保护数据安全基本要求》

2. GA/T2394—2026《信息安全技术 网络安全等级保护数据安全测评要求》

3. GA/T2395—2026《信息安全技术网络安全等级保护数据安全测评过程指南》

4. GA/T2381—2026 《信息安全技术网络安全等级保护数据安全测评机构能力要求》

5. 免改造数据安全实践

《信息安全技术 网络安全等级保护数据安全测评机构能力要求》发布

ICS 18.310

CCS A 90

GA

中华人民共和国公共安全行业标准

GA/T XXXXX—XXXX

信息安全技术 网络安全等级保护数据安全测评机构能力要求

Information security technology - Data security assessment capability of assessment organization for classified protection of cybersecurity

（点击此处添加与国际标准一致性程度的标识）

（送审讨论稿）

在提交反馈意见时，请将您知道的相关专利及支持性文件一并列上。

XXXX - XX - XX 发布　　　　XXXX - XX - XX 实施

中华人民共和国公安部　发布

数据安全法

“第二十七条…利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务”。

网络数据安全管理条例

“第九条网络数据处理者应当依照法律、行政法规的规定和国家标准的强制性要求，在网络安全等级保护的基础上，加强网络数据安全防护…"。

为深入落实《网络安全法》、《数据安全法》、《个人信息保护法》等法律法规要求，填补等级保护体系中数据安全专项标准空白，公安部于2026年1月9日发布28项公共安全行业标准，其中GA/T 2381-2026《信息安全技术 网络安全等级保护数据安全测评机构能力要求》，于2026年6月1日正式施行。

本文件依托网络安全等级保护制度，在GB/T 36959《信息安全技术 网络安全等级保护测评机构能力要求和评估规范》基础上，针对数据安全测评工作，提出网络安全等级保护测评机构应具备的组织管理能力、测评实施能力、设施和设备安全与保障能力、保证能力、风险控制能力等能力要求。

适用于等保测评机构数据安全测评能力建设和规范化管理、测评能力评价

1.范围

2.规范性引用文件

3.术语和定义

4.概述

5.基本条件

6.能力要求

7.行为规范要求

附录A

参考文献

范围

本文件规定了网络安全等级保护数据安全测评机构能力要求。

本文件适用于网络安全等级保护测评机构数据安全测评能力建设和规范化管理，也适用于网络安全等级保护测评机构数据安全测评能力评价，还可为主管部门对等级保护测评机构数据安全测评活动的监督管理提供参考。

规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T 25069 信息安全技术 术语

GB/T 36959信息安全技术 网络安全等级保护测评机构能力要求和评估规范

GB/T 28449信息安全技术 网络安全等级保护测评过程指南

GA/T 2380-2026信息安全技术 网络安全等级保护数据安全基本要求

GA/T 2394—2026信息安全技术 网络安全等级保护数据安全测评要求

GA/T 2395—2026信息安全技术 网络安全等级保护数据安全测评过程指南

明确四大术语和定义

GB /T36959、GB/T 28449、GA/T AAAAA界定的术语和定义适用于本文件。

1.范围

2.规范性引用文件

3.术语和定义

4.概述

5.基本条件

6.能力要求

7.行为规范要求

附录A

参考文献

数据 data

任何以电子或者其他方式对信息的记录。

重要数据 key data

特定领域、特定群体、特定区域或者达到一定精度和规模，一旦遭篡改、破坏、泄露或非法获取、利用，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据。

数据安全 data security

通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。

[来源：GA/T AAAAA-AAAA 定义3.2]对一下条款

数据处理活动 data processing activities

数据生命周期中网络运营者对数据进行收集、存储、使用、加工、传输、提供、公开、删除、销毁等活动。

[GA/T AAAAA-AAAA定义3.5]

概述：能力框架与划分逻辑（与 GB/T 36959 配套）

1.范围

2.规范性引用文件

3.术语和定义

4.概述

5.基本条件

6.能力要求

7.行为规范要求

附录A

参考文献

本文件是与GB/T 36959配套使用，在网络安全等级保护测评机构能力基础之上提出针对数据安全测评的能力要求，因此，在能力划分方法上与GB/T 36959保持一致。

GB/T 36959 · 七项能力划分

组织管理能力

测评实施能力

设施和设备安全与保障能力

保证能力

风险控制能力

质量管理能力

可持续发展能力

后两项内容未变 不再重复说明

本文件 · 五项能力要求

组织管理能力

测评实施能力

设施和设备安全与保障能力

保证能力

风险控制能力

▼这五项能力，可划分两类能力域

第一类｜测评能力

主线：测评活动

目标：确保测评结果准确性、客观性

性质：技术和管理要求

第二类｜保障能力

主线：测评机构

目标：确保测评工作稳定性和成熟度

性质：保障性要求

具体能力的分类和分布详见附录A（下页）

附录A： 网络安全等级保护数据安全测评机构能力要求分类说明

炼石 CipherGateway

1.范围

2.规范性引用文件

3.术语和定义

4.概述

5.基本条件

6.能力要求

7.行为规范要求

附录A

参考文献

组织管理能力、测评实施能力、保证能力、风险控制能力、质量管理能力、可持续发展能力、设施和设备安全与保障能力

图A.1 网络安全等级保护数据安全测评机构能力要求分类图

表A.1 网络安全等级保护数据安全测评机构能力要求条款分布表

具备等级保护测评机构能力基础上，还应具备五大条件

炼石 CipherGateway

目录侧栏： 1.范围 | 2.规范性引用文件 | 3.术语和定义 | 4.概述 | 5.基本条件 | 6.能力要求 | 7.行为规范要求 | 附录A | 参考文献

从事数据安全测评活动的网络安全等级保护测评机构，在具备等级保护测评机构能力基础上，还应具备以下条件：

组织管理能力

炼石 CipherGateway

目录侧栏： 1.范围 | 2.规范性引用文件 | 3.术语和定义 | 4.概述 | 5.基本条件 | 6.能力要求 | 7.行为规范要求 | 附录A | 参考文献

本文所规定的能力要求是在 GB/T 36959 基础上新增的数据安全测评能力要求。

组织管理能力

• 管理者掌握法规政策：测评机构管理者应掌握数据安全相关法律、法规和政策文件，熟悉相关的标准规范。
• 明确部门团队与岗位：测评机构应明确从事数据安全测评业务的部门或团队，确定相关岗位职责以满足测评活动的人力资源配置要求。
• 配备胜任管理人员：测评机构应具有胜任数据安全测评工作相关的管理人员。删除技术
• 配备专业技术人员：测评机构应配备满足数据安全测评实施工作需要的专业技术人员，如数据安全测评人员、数据安全测评项目负责人、数据安全技术主管等。
• 健全制度与程序：测评机构应制定完备的、符合数据安全测评活动管理要求的制度、程序，主要应包括数据安全测评工作的组织形式、工作职责，测评各阶段工作内容和流程管理要求等。

测评实施能力-人员能力

炼石 CipherGateway

目录侧栏： 1.范围 | 2.规范性引用文件 | 3.术语和定义 | 4.概述 | 5.基本条件 | 6.能力要求 | 7.行为规范要求 | 附录A | 参考文献

基础要求

• 测评机构从事数据安全测评工作的专业技术人员应掌握国家法律政策、相关技术标准和规范，具备数据安全保护、个人信息保护、密码技术应用、大数据安全等领域相关专业知识和工作技能，熟悉数据安全测评技术工具、方法、流程和工作要求。
• 测评机构应组织本机构等级测评师进行数据安全测评工作岗前培训，考核通过后予以授权上岗。

数据安全测评人员、数据安全测评项目负责人、数据安全技术主管三类岗位还应具备相应条件或能力：

测评实施能力-测评能力

炼石 CipherGateway

目录侧栏： 1.范围 | 2.规范性引用文件 | 3.术语和定义 | 4.概述 | 5.基本条件 | 6.能力要求 | 7.行为规范要求 | 附录A | 参考文献

总体要求

测评机构应确保其有足够能力来满足数据安全测评工作要求，测评实施能力应以等级保护数据安全技术标准和规范为基础，覆盖安全技术测评实施能力、安全管理测评实施能力、安全测试与分析能力、测评结果综合分析能力、风险分析能力、测评结论判定能力和测评过程控制能力，具体体现在以下方面：

依据测评工作流程，有计划、按步骤地开展数据安全测评工作

炼石 CipherGateway

目录侧栏： 1.范围 | 2.规范性引用文件 | 3.术语和定义 | 4.概述 | 5.基本条件 | 6.能力要求 | 7.行为规范要求 | 附录A | 参考文献

流程： 1 测评准备 → 2 方案编制 → 3 现场测评 → 4 报告编制

应依据测评工作流程，有计划、按步骤地开展数据安全测评工作，并保证测评活动的每个环节都得到有效的控制，具体要求如下：

1 测评准备

• ① 准备测评报告：被测评数据所涉及的系统/平台的等级测评报告
• ② 掌握相关情况：结合①的报告，掌握数据资产情况、数据安全保护级别、涉及的数据处理活动和等级测评情况以及责任部门相关情况等，为编写测评方案、开展现场测评和安全评估工作奠定基础，应确保调研内容的完整全面。
• ③ 熟悉各种表单：应在进行测评之前，熟悉数据资产、测试测评工具、编制调研表等各种表单。

2 方案编制

• ① 确定：数据保护对象、数据处理活动、数据安全保护级别、各处理活动涉及的系统、测评指标、测评内容、测评方法
• ② 完成：测评指导书开发、测评方案编制和评审等工作
• ③ 确保：测评指标和测评对象的选择全面合理。

3 现场测评

• ① 执行并记录：严格执行测评方案和测评指导书中的内容和要求，并依据操作规程熟练地使用测评设备和工具，规范、准确、完整地记录测评结果
• ② 取证：获取足够证据，客观、真实、科学地反映被测评数据和数据处理活动的安全状况
• ③ 监督：应对测评人员和测评过程予以监督并记录。

4 报告编制

• ① 汇总分析：应汇总分析现场测评结果（或称测评证据）
• ② 形成结论并编制报告：结合所承载的系统/平台等级测评的结果，评估并形成数据安全测评结论，并编制测评报告。
• ③ 撰写要求：测评报告应依据主管部门统一制订数据安全测评报告模版的格式和内容要求编写。
• ④ 评审：测评报告应通过评审并有相关记录。

设施和设备安全与保障能力

| 1.范围 | | 2.规范性引用文件 | | 3.术语和定义 | | 4.概述 | | 5.基本条件 | | 6.能力要求 | | 7.行为规范要求 | | 附录A | | 参考文献 |

检测/分析工具与作业平台

• 配备检测/分析工具与作业平台：测评机构应配备满足数据安全测评工作需要的检测工具、分析工具和作业平台，在测试过程中辅助发现和验证安全问题。

• 测试设备和工具应通过检测认证：测试设备和工具应通过检测认证，并确保商业工具的合法版权且授权在有效期内；自主研发或开源工具需经过功能性、安全性验证，并保留验证材料。（与系列标准内容一致）

机房、设备与实验环境

• 测评机构应具备符合相关要求的机房以及必要的软、硬件设备，应搭建基础实验环境以满足数据安全测评、技术培训和验证测试的需要。

保证能力

| 1.范围 | | 2.规范性引用文件 | | 3.术语和定义 | | 4.概述 | | 5.基本条件 | | 6.能力要求 | | 7.行为规范要求 | | 附录A | | 参考文献 |

保证能力（环形图，中心为"保证能力”）

【合规要求】 测评机构开展数据安全测评活动应满足国家法律、行政法规对重要数据处理的管理要求。

【管理要求】 测评机构应制定程序，保证与数据安全测评工作相关的所有工作程序、测评指导书、标准规范、工作表格、核查记录表等现行有效并便于测评人员获得。

【安全要求】 测评机构应采取技术和管理措施来确保测评相关数据安全、保密和可控，这些信息包括但不限于：

• a) 被测评单位相关数据信息，包括测评过程涉及的各类、各级数据和有关资料等；
• b) 数据安全测评活动生成的数据和记录；
• c) 依据上述信息做出的分析、专业判断和结果等；
• d) 测评过程中收集掌握的数据处理过程中的安全事件、问题隐患、涉及的信息系统漏洞、恶意代码、网络入侵攻击等网络安全信息。

风险控制能力

| 1.范围 | | 2.规范性引用文件 | | 3.术语和定义 | | 4.概述 | | 5.基本条件 | | 6.能力要求 | | 7.行为规范要求 | | 附录A | | 参考文献 |

测评机构应能在测评过程中识别测评对象存在的数据安全相关法律合规风险。

评估风险 ⟷ 相互对应 ⟷ 规避和控制风险

评估风险

测评机构应充分估计测评工作可能带来的风险，风险包括但不限于以下方面：

• 测评过程中可能发生的被测评数据信息泄露的风险等；—— 数据泄露
• 测评过程中测评数据被篡改、破坏和丢失的风险；—— 数据篡改破坏
• 测评过程中存在因数据安全测评工具异常或误报，导致测评结论偏离的风险；—— 工具异常误报
• 测评活动可能对测评对象数据处理活动造成影响的风险；测评数据和被测评数据，名称统一；—— 影响处理活动
• 测评活动残留数据被利用的风险；—— 残留数据被利用
• 测评活动完成之后被测评单位否认、抵赖测评结果的风险。—— 单位否认抵赖

规避和控制风险

测评机构应通过多种措施对上述可能存在的风险加以规避和控制，包括但不限于以下方面：

• 需要授权：测评机构未经授权不得收集、存储、使用、加工、传输、提供、公开处理被测评单位的数据信息；
• 技术措施保障：测评机构应通过技术措施确保测评数据的完整性，并及时进行备份保存；
• 工具安全性：测评机构应确保测评工具的安全性，定期对测评工具安全验证和升级维护，并归档相关记录；
• 书面授权：测评机构应告知被测评单位测评活动给数据处理活动带来风险，在采取风险规避措施并得到被测评单位书面形式正式授权后方可实施；
• 完成后及时清除：测评活动完成后，测评机构应及时清除残留的数据信息并进行过程记录；
• 存证固证：测评活动完成后，所有测评相关数据需保存归档，并通过存证、固证技术，确保测评过程记录、测评结果报告等各类数据的真实可信、不被篡改。

测评机构应制定应急预案，对测评过程中发生或发现安全事件进行及时的响应和处置

按照规定及时告知用户并向有关主管部门报告。

强调四项行为规范性要求

| 1.范围 | | 2.规范性引用文件 | | 3.术语和定义 | | 4.概述 | | 5.基本条件 | | 6.能力要求 | | 7.行为规范要求 | | 附录A | | 参考文献 |

测评机构应当按照法律、法规的规定和合同约定履行数据安全保护义务，遵守商业道德和职业道德，诚实守信，不得从事下列活动：

参考文献

炼石 CipherGateway

1.范围

2.规范性引用文件

3.术语和定义

4.概述

5.基本条件

6.能力要求

7.行为规范要求

附录A

参考文献

[1] 《中华人民共和国网络安全法》

[2] 《中华人民共和国数据安全法》

[3] 《中华人民共和国个人信息保护法》

[4] （GB/T 37988-2019） 信息安全技术 数据安全能力成熟度模型

[5] （GB/T 36073-2018） 数据管理能力成熟度评估模型

[6] （ISO/IEC17020:2012） CNAS-CI01 检验机构能力认可准则

炼石 CipherGateway

1. GA/T2380-2026《信息安全技术 网络安全等级保护数据安全基本要求》

2. GA/T2394—2026《信息安全技术 网络安全等级保护数据安全测评要求》

3. GA/T2395—2026《信息安全技术 网络安全等级保护数据安全测评过程指南》

4. GA/T2381—2026《信息安全技术 网络安全等级保护数据安全测评机构能力要求》

05. 免改造数据安全实践

安全需求：“风险与合规"共同驱动数据安全建设

炼石 CipherGateway

内在风险：数据风险如影随形伴生数据处理

数据安全产业发展阶段性（先发展再治理，迎来拐点）、行业特殊性（经济学外部效应带来密集法律法规），塑造实战防护与合规需求

2025年

台湾省超2357万条公民数据在暗网的持续流通，从全名、家庭关系到实际住址，被黑产团伙接力售卖

2025年

一家中国IoT灯具公司1.17TB大规模数据泄露，暴露中国数十亿条物联网记录

2025年

江苏某地方农商银行因违反网络安全与数据安全管理规定等被警告，并被罚款114.5万元。

2024年

某国有股份制商业银行因数据安全管理等问题被金监局罚款160万元

2024年

上海市网信办会同市市场监管局、市国资委依法联合约谈某大型地铁集团及三家运营企业

2023年

浙江某科技公司为浙江县级市政府开发运维信息管理系统，私自迁移数据，造成严重数据泄露，被罚款100万元。

外部合规：“五法一典"过程与结果双合规

宪法相关法律

《国家安全法》

2015年7月1日起施行

维护国家总体安全的基本法律

民法商法

《民法典》

2021年1月1日起施行

提出自然人的个人信息受法律保护

经济法

《网络安全法》

2017年施行，新修订版2026年1月1日施行

规定网络安全治理道路

经济法

《数据安全法》

2021年9月1日正式施行

提升国家数据安全保障能力

行政法

《密码法》

2020年1月1日起施行，提出数据保护技术手段

经济法

《个人信息保护法》

2021年11月1日正式施行

加速个人信息法制化进程

网络信息安全

内容控制

网络运行安全

等级保护

安全风险处置

网络实名制

网络产品/服务

关键信息基础设施

数据本地化与跨境

网络安全审查和供应链安全

核心数据严格管理

重要数据风险评估

分类分级

配合调取数据

数据交易中介

特殊类型数据

汽车数据

健康医疗数据

……

跨境

敏感个人信息

儿童个人信息

权利响应

HWN

信创

《数据安全法》《个人信息保护法》技术要求原文

炼石 CipherGateway

《网络数据安全管理条例》技术要求原文

炼石 CipherGateway

落地痛点：安全建设从网络到数据，安全和业务纽结缠绕难以改造

炼石 CipherGateway

[框图，按视觉布局转录框内文字：以数据为中心的安全（绿色标题，向上绿色箭头）；绿色竖排箭身自上而下：数据态势、解密细控、泄露检测、数据审计、数据鉴权、存储加密、通信加密、身份鉴别、密级标识、数据分类；蓝色椭圆环（左侧）：沙箱检测、终端管控、移动安全、反病毒、VPN；蓝色椭圆环（右侧）：零信任网络、SIEM、端点安全、IDS、防火墙；左下深蓝箭头指向环外，右下深蓝箭头标注"以网络为中心的安全”；底部蓝色文字：数据安全成为当前建设重点]

[框图，按视觉布局转录框内文字：中心红色圆"重要数据”；环绕小圆顺时针自上而下：访问审计、数据加密、防止篡改、权限控制、脱敏、水印追溯、数字签名、风险监测；外围矩形风险项与对应连线：数据访问内控风险（深绿，上）、未授权的数据访问风险（紫，右上）、运维人员内控风险（绿，右）、业务人员越权访问风险（绿，右下）、数据外发合规风险（蓝，下）、数据违规外发风险（品红，左下）、业务操作身份风险（深蓝，左）、数据过量访问风险（青，左上）]

数据安全建设面临"两难"：

• 数据保护体现为面向应用的功能型安全需求，要在应用中融合实现，但改造存量应用成本高、风险大、周期长，新应用的业务开发与安全排期也不匹配，安全机制总是滞后或缺失
• 而数据保护不落实，则合规风险越来越大、因泄露导致的业务风险会快速累积

产品体系：免改造平台打造实战化数据保护体系

炼石 CipherGateway

[框图，按视觉布局转录框内文字：三个相互交叠的圆环，自左至右排布，下方为一个灰色长椭圆底座]

密评整改产品

一站式密改套餐敏捷交付

免改造密改产品

（密改设备图片）

70分密改套餐

应用和数据安全密码模块

信源加密与身份鉴别

关基免改造密码机

协同签名系统

服务器密码机

软件密码模块

密码卡

左圆与中圆交叠区：数据库加密、文件加密、密钥管理系统、密码套件

数评整改产品

密码安全一体化+事前事中事后全防护

免改造数据安全平台

（数据安全平台设备图片）

事前：数据发现识别、分类分级、静态脱敏、动态脱敏、细粒度访问控制

事中：数据访问检测响应、终端安全沙箱

事后：访问审计、水印追溯

数据流通安全产品

基于TEE技术的跨域数据管控

跨域数据管控平台

（跨域管控设备图片）

跨域信源传输加密　存储加密

基于TEE的可信数据运算

跨域数据解密 DBA工具/SDK　　跨域数据审计追溯

融合AI的免改造技术底座

兼容Java、C/C++、Python等的免改造插件模块

兼容主流应用框架、数据库的轻改造SDK模块

兼容MySQL、SQLServer、Mongo等的免改造代理模块

敏捷部署：旁路平台结合主路控制面，免改造应用落地保护

炼石 CipherGateway

[框图，按视觉布局转录框内文字：左侧纵向坐标轴自上而下标注：公开、提供、传输、加工、使用、存储、收集]

[框图，按视觉布局转录框内文字：用户（人像图标）→ 绿色宽箭头"用户访问" → 右侧浅灰大框"应用"（内含 前台系统、后台系统、……、CRM，其中含标注 CipherSuite）→ 绿色箭头"访问 DB" → 主路设备（AOE 代理）→ 绿色箭头"DB 代理" → 浅灰大框"文件系统/数据库"（内含 hadoop HDFS、MySQL 图标，标注 结构化数据；左邻 非结构化数据 框，含文档图标（W）、VIDEO 图标）]

[框图，按视觉布局转录蓝色标注气泡文字：终端安全沙箱 可信工作空间；终端探针 无感式数据发现；隐写水印 结合上下文泄漏追溯；数据安全SDK 集成安全能力；AOE插件模块 保护结构化数据；AOE代理模块 保护结构化数据；TFE模块 保护非结构化数据；UDF/TDE模块 保护结构化数据]

[框图，按视觉布局转录旁路侧设备与连线文字：数据资产管理系统、数据审计追溯系统（紫色线相连，并接入 数据安全管理平台）；数据安全管理平台（绿色线放射连接各模块，紫色线连接 KMS密管系统）；KMS密管系统]

场景之一：服务端存储加密、使用解密/脱敏

炼石 CipherGateway

结构化数据

支持ABAC的访问控制策略，实现用户与字段文档级防护

主体到人 → 细粒度访问控制 → 客体到字段

用户1

用户2

用户3

应用服务器 | AOE插件 | 数据库 | 窃取数据

面向用户侧动态脱敏

面向服务侧存储加密

密钥管理系统　数据安全管理平台

非结构化数据

TFE文件安全模块

明文 →（应用程序1　应用程序2　应用程序3）→ 密文

用户态 | TFE安全模块 | 内核态 | OS

授权进程可读取文件明文

未授权进程只能读密文

数据安全管理平台

密钥管理系统

密文 ↔ 磁盘存储密文

不影响业务人员使用、不影响DBA运维

示例：应用查看脱敏后数据

示例：应用看到密文

示例：DBA工具查看脱敏数据（工具栏：模式 | PSS | 表 | NOTIFY_RECORD）

示例：DBA工具查看密文（工具栏：模式 | PSS | 表 | NOTIFY_RECORD）

规模部署案例-72个业务系统（50家软件厂商），免开发改造敏捷交付

炼石 CipherGateway

项目背景介绍

客户：某政务平台

项目名称：数据安全密码防护项目

复杂数据处理流程的统一防护能力：

针对某政务平台复杂业务系统（包括44个生产系统、23个管理系统和5个外网系统），采用商用密码技术对敏感个人信息和重要数据进行加密保护，实现了字段级的数据加密，有效提升了数据安全性。通过统一集中式管控，能够集中管理各个系统中的加密策略，确保数据安全防护的一致性和高效性。

跨厂商与技术的高效兼容能力：

项目涉及50家软件厂商，涵盖了多种编程语言（JAVA、.net、C++等8种）和数据库（Oracle、Mysql、PolarDB等9种），产品跨异构系统的集成能力确保了数据安全防护方案能够无缝融入现有系统，无需对应用开发进行大规模改造。

敏捷实施与快速落地能力：

项目通过1个项目经理在6个月内实现了敏捷实施和快速上线。免应用开发改造的技术优势大幅缩短实施周期，保障数据安全防护方案能够迅速落地并满足合规要求。

外网系统（5个）

管理系统（23个）