行业动态
如果说过去几年企业做数据安全，多少还带着"应付检查"的意味，那么从2025年到2026年，法规的密度和罚则的硬度把这件事推到了台前：《网络数据安全管理条例》2025年1月1日施行，《个人信息保护合规审计管理办法》2025年5月1日施行，新修改的《网络安全法》2026年1月1日施行——三份文件叠在一起，"加密、备份、访问控制、安全认证"这几个词，已经从技术建议变成了法定义务。
这一轮变化的核心不是多了几部法，而是责任落到了具体的人、具体的记录、具体的罚款上。企业最需要准备的，不是法条摘抄，而是能拿给检查方看的材料。这篇按"法规说什么—材料怎么备—企业怎么做"的顺序，把落地点讲清。
一、三份新规，改变了什么
《网络数据安全管理条例》（国务院令第790号，2025年1月1日施行）全文九章六十四条，最关键的是第九条：网络数据处理者应当在网络安全等级保护的基础上，加强网络数据安全防护，建立健全网络数据安全管理制度，采取加密、备份、访问控制、安全认证等技术措施和其他必要措施，保护网络数据免遭篡改、破坏、泄露或者非法获取、非法利用，处置网络数据安全事件，并对所处理网络数据的安全承担主体责任。
这句话的分量在于：加密、备份、访问控制、安全认证被并列写成了法定义务，"主体责任"四个字意味着追责不再只停留在单位层面。条例同时把分类分级写进第五条，把重要数据处理者的风险评估写进第三十三条——处理重要数据的企业，每年要报送风险评估报告，报告内容里明确包含"加密、备份、标签标识、访问控制、安全认证等技术措施和其他必要措施及其有效性"。也就是说，技术措施有没有做、做得有没有效，是要写在纸面上交给主管部门的。
《个人信息保护合规审计管理办法》（2025年5月1日施行）把审计从原则要求变成了可执行的动作：定期开展合规审计、审计机构的选择标准、审计报告的留存要求，都有明确规则。配合条例第二十八条，处理1000万人以上个人信息的企业，还要额外遵守重要数据处理者的部分规定。数据量大到一定规模的企业，审计从"可以做"变成了"必须做"。
新修改的《网络安全法》（2026年1月1日施行）全面强化了法律责任，并与数据安全法、个人信息保护法、民法典、行政处罚法衔接优化。重点强化网络安全法律责任，对拒不履行安全义务、违规处理敏感数据等加大惩处力度。
《商业秘密保护规定》（2026年6月1日施行）是另一条并行的线，罚则明确：一般侵权罚款10万至100万元，情节严重100万至500万元；第九条把权限分级、数据脱敏、操作日志留痕、加密隔离列为法定保密措施。
把四份文件叠起来看，执法逻辑已经成形：制度没建、措施没做、日志没有，是可以被逐条对照认定的事实。
二、企业要准备的六类材料
合规检查和内部审计看的东西高度一致，主要是这六类。备齐它们，等于把"我们做了防护"从口头承诺变成可查验的事实。
一、网络数据安全管理制度文本。不是一份安全承诺书，而是一套可运行的制度：数据分类分级目录与定密标准（哪些是核心数据、谁是涉密岗位）、权限审批流程、外发与共享规则、离职交接流程、密钥与账号管理制度、事件响应与报告流程。检查方看的是制度是否覆盖了条例第九条列举的各项措施，而不是制度文件有多少页。
二、分类分级清单与重要数据识别申报材料。条例第五条、第二十九条要求对数据分类分级并识别、申报重要数据。企业至少要有一份数据资产清单，标明每类数据的责任人、密级、存储位置、流向范围。如果有数据属于重要数据，相关的申报材料、告知文件要留存。
三、技术措施的有效性证明。这是最需要动手准备、也最容易被跳过的一块。加密要能说清楚加密范围、算法强度、密钥管理方式；备份要有备份策略、执行记录、恢复演练报告；访问控制要有权限矩阵、审批留痕；日志要有留存策略和实际日志样本。技术措施不能只写在方案里，要能拿出运行证据——什么时候加密的、覆盖了哪些终端、密钥存在哪里、能不能恢复，这些都要有据可查。
四、操作日志与审计记录。条例第九条列举的保密措施里，操作日志留痕是硬要求。日志要能追溯到人：谁访问了什么数据、导出到哪个设备、外发给谁、什么时候操作的。留存周期建议不少于180天，核心岗位更长。这份材料在不出事的时候是成本，在出事或检查的时候是唯一能把话说清楚的东西。
五、个人信息保护合规审计报告。审计报告、整改记录、跟踪复查结论要成套归档；处理1000万人以上个人信息的企业，还要按条例第二十八条执行更严格的要求。审计发现的问题如果不闭环，报告本身会变成一个新的把柄。
六、安全事件处置与报告记录。条例第十一条要求建立健全应急预案、发生事件立即启动预案、按规定报告，并及时通知利害关系人。企业要有真实的演练记录和真实的处置流程，不能只有一份模板预案。涉事的还涉及报告时限——条例第十条对涉及危害国家安全、公共利益的风险漏洞设了24小时报告的要求。
| 条例第九条那串"加密、备份、访问控制、安全认证"，看着像技术清单，读起来其实是材料清单——每一项都要有文本、有记录、有运行证据。 |
三、落到实处：三件马上能做的事
第一，做一次真实的资产盘点，而不是填一张表。拿出企业近三个月内实际发生的数据流转记录——外发的邮件、共享出去的文档、导出到移动介质的文件——反推哪些是核心数据、哪些路径是敞开的。盘点做实了，分类分级和权限设计自然就有了依据；只填表不核对数据，系统里全是过期信息。
第二，把"加密"从模糊要求变成可验证的技术指标。法规写的是"采取加密措施"，检查时要问的是：加密落在哪一层、覆盖哪些终端和哪些文件类型、离开内网是否失效、密钥存在哪里、能否应急恢复。这几条对应的正是文件级加密、磁盘加密、透明加密三种不同路线（具体原理差别，可另文展开）。选型时如果厂商答不上"文件拷到U盘带出内网之后会怎样"，这个方案就不能进生产。安秉网盾这类驱动层透明加密方案的特点是保存即加密、离开受控环境自动失效、授权可绑定到人和设备，能直接回应检查时的技术质询。
第三，把日志和审计做成常态动作。一次性整改应付不过连续检查。建议至少建立三条固定机制：涉密操作日志集中留存并定期抽查；外发审批与数据导出记录季度复核；每半年一次覆盖核心部门的权限清理和离职人员核查。频率不必高，但必须有。
结语
这一轮法规变化给企业的信号很明确：数据安全不再是IT部门的内部事务，而是有明确条款、明确罚则、明确检查方式的责任。《网络数据安全管理条例》第九条那串"加密、备份、访问控制、安全认证"，看着像技术清单，读起来其实是材料清单——每一项都要有文本、有记录、有运行证据。
合规这件事的门槛不在于买了多贵的产品，而在于能不能拿出六类材料、并且材料之间彼此印证。制度先行、措施落地、日志说话，这三条做到了，法规带来的就不是压力，而是一道让企业敢接大单、敢签客户的门槛。
本文来源：企业安全中心，企业数据安全官
主笔专家：陈学斌
责任编辑：编辑部-李书涵
最后更新时间：2026年10月21日
