前几天一位做企业信息化的朋友把测评报告初稿发给我指着其中一栏问「这一项去年报告里没有吧什么叫『安全数据处理』我们防火墙、堡垒机、日志审计都配齐了怎么这一块还是被点出来了。」我翻了一下他手里的报告被点出的问题其实都很基础数据库里客户手机号、身份证号是明文落盘的测试环境用的是生产数据的完整副本没有人做脱敏谁在什么时间导出了多少条数据系统里查不出来。这几条过去常被算作「边界防护」或「安全管理制度」里的附带项。今年不一样了它们被单独拎出来成立了新的一类。一、多出来的这一「类」是什么2026 年 1 月 9 日公安部发布GA/T 2380—2026《信息安全技术 网络安全等级保护数据安全基本要求》2026 年 6 月 1 日起实施。配套的测评要求GA/T 2394—2026《信息安全技术 网络安全等级保护数据安全测评要求》于 2026 年 2 月 28 日发布、2026 年 7 月 1 日起实施。这两份文号的发布与实施信息可以在公安部政务服务网的标准详情页面直接查到核实不必依赖任何二手解读。它带来的变化用一句话概括等保原有的十个安全大类物理环境、通信网络、区域边界、计算环境、管理中心以及五项管理类全部保留并细化在此之外新增「安全数据处理」一个独立大类形成业内说的「10 1」体系。需要强调的是GA/T 2380 属于公共安全行业推荐性标准它不替代、也不修改 GB/T 22239—2019 的原有条款而是在原有框架上补一块专门的拼图。二、从「顺带一提」到「单独计分」差别在哪过去讲等保话题基本围绕网络边界、主机加固、制度台账。数据安全的要求散落在各个章节里检查时问得比较粗防火墙有没有、备份有没有、制度有没有。新的一类把测评视角拉到了数据本身落点集中在四个递进的动作1. 数据识别 —— 先摸清家底哪些库表存了敏感数据、哪些字段属于个人信息、重要数据落在哪台机器上要形成一份能拿出来核对的清单。这一步做不出来后面的分级、脱敏、审计都没有依据。三级系统以结构化的敏感数据、重要数据为主要对象。2. 数据标记 —— 让「级别」跟着数据走对数据类别、安全级别做标记并要求标记随数据流转一起携带成为访问控制、加密、脱敏、审计策略联动的依据。简单说不能只在台账里写这是重要数据数据本身要带着这个身份。3. 数据脱敏 —— 把不该露的部分遮掉测试环境、开发环境、对外共享、第三方分析这些场景用的是什么数据是不是生产数据的完整复制静态脱敏产生的副本要与原始数据分开存放操作全程要留痕。4. 数据溯源 —— 出事之后能查得清谁在什么时间、从哪个接口、导出了多少条数据要有记录且不可篡改。现在很多系统只有登录日志没有数据操作的完整审计这一项就容易挂。三、企业现在要先动手的三件事不用等产品方案下面三件事今天就能启动成本主要在人力而不是预算第一件拉一张数据资产台账。按「系统 → 数据库/文件 → 表/字段 → 数据类别 → 是否敏感 → 责任人」六列往下填。第一轮不用追求百分之百先把存有个人信息、业务核心数据的库表找出来。这张表后面兼做分类分级、加密改造、脱敏规则的共同起点。第二件排查三个高危场景。① 生产数据有没有被直接同步到测试/开发环境② 批量导出功能有没有审批、有没有限额、有没有记录③ 数据库里的敏感字段是不是明文。这三项是整改里投入产出比最高的部分一般也是最先被点出来的。第三件补齐操作审计。数据库层面和应用层面的关键操作分别留痕日志集中存储、权限最小化、留存周期满足要求。注意这里讲的日志留存与网络安全法要求的网络日志留存不少于六个月是两套口径不要混为一谈。四、它和密评、个人信息保护是什么关系这三个经常被问到用一张表分清楚| 事项 | 回答的问题 | 主要依据| 等保测评 | 整个系统整体防护达不达标 | GB/T 22239—2019 及 GA/T 2380 等系列| 商用密码应用安全性评估密评 | 密码用得对不对、合规不合规 | GB/T 39786—2021、《商用密码应用安全性评估管理办法》| 个人信息保护合规审计 | 个人信息处理活动合不合规 | 个人信息保护法及配套规定它们有交集但不等同。举个例子数据加密这一件事等保关心「是不是密文存储」密评关心「用的是不是合规的商用密码算法、密钥怎么管」。很多企业做完等保整改加密也上了但用的是自研或开源方案算法和密钥管理没有按密评口径走到密评这一环节还是要返工。顺带说明我们自己的边界商用密码应用安全性评估的报告须由具备资质的检测机构出具。我们这边能做的是密评辅导、差距分析以及协助对接具备资质的检测机构等保测评与整改辅导则是我们的主业。这句话该由谁出什么报告我们不打马虎眼。五、两个常见误区误区一买一台设备就能解决。数据安全落在四个动作上其中「摸清家底」这一步是纯治理工作任何设备都替代不了。资产台账没拉出来就上设备等于买了锁不知道锁哪扇门。误区二这是推荐标准可以先不管。标准属性是推荐性但它配套了测评机构能力要求、测评要求、测评过程指南三份文件构成「建设要求 — 机构能力 — 测评指标 — 测评流程」的闭环。是否纳入你今年的测评范围、按什么深度查以属地公安机关的要求和你委托的测评机构实际执行口径为准这一点建议在测评启动前的沟通会上直接问清楚别等报告出来了才知道。写在最后这一类的出现本质是监管口径的一次平移从「你的防护设备齐不齐」转向「你的数据管得住管不住」。设备可以一次性采购数据治理是长期工程早动手比临测前突击从容得多。——留一个问题给各位你们公司的数据资产台账是 IT 部门单独维护的还是业务、IT、合规三方一起维护的欢迎在评论区说说现在的做法我们整理后出一期实操清单。本文所引标准信息均以公安部政务服务网公开的标准详情页为准具体测评执行口径请以属地公安机关与你委托的测评机构要求为准。【小安注·发布前删除】开篇场景为通用写法建议替换为您的真实测评经历再发布合规自查见内容包 compliance-check.md。