一、新规到底改了啥？
- 标准名称与编号明确：新实施的标准为 GA/T 2380-2026《信息安全技术 网络安全等级保护数据安全基本要求》，由公安部发布，属于公共安全行业标准 。
- 核心保护对象扩展：在原有 GB/T 22239-2019 等级保护基本要求基础上，新增“安全数据处理”专项要求，首次将数据安全作为独立体系纳入等保框架 。
- 合规判定方式调整：配合新规，2025 年 3 月起已启用《网络安全等级测评报告模板 (2025 版)》，测评结果从“百分制得分”转向“符合率判定”，企业不再单纯追求分数，而需确保各项指标达标 。
二、企业自查重点有哪些？
- 数据分级须落到存储层：
- 不同安全级别的数据需存放在隔离的存储池或卷组中，高级别数据存储卷应启用静态加密 。
- 访问策略需与数据级别绑定，密钥应由独立服务管理，避免手动配置绕过 。
- 内部流量微隔离管控：
- 虚拟机或容器之间需有独立的安全组策略，不能共享同一网络平面，防止单点被攻破后内网自由横移 。
- 支持在不重建网络的情况下追加微隔离策略，且策略变更需有审计记录 。
- 特权账号操作可追溯：
- 特权账号（如 root、admin）的登录会话需有完整操作记录，关键场景需操作录像而非仅文本日志 。
- 审计数据应存放在与被审计系统隔离的存储中，且留存周期满足监管要求，不得由管理员自行删改 。
- 数据流向网络层管控：
- 需具备基于目的地 IP 段对出站流量的识别和管控能力，尤其是出境方向，管控动作需在网络层完成 。
- 阻断行为需有日志记录供审计，不能仅依赖应用层合规声明 。
- 备份数据独立加密：
- 备份数据应独立加密，加密密钥不与生产数据共用同一套密钥体系，确保生产环境失陷时备份仍安全 。
- 备份存储需与生产存储隔离，建议与厂商确认密钥隔离的具体实现方式 。
三、测评与合规有啥变化？
- 测评机构能力要求提升：同步实施的还有 GA/T 2381-2026《信息安全技术 网络安全等级保护数据安全测评机构能力要求》，测评机构需依据新标准提升专业能力 。
- 全流程安全管控强化：新标准覆盖数据收集、存储、使用、加工、传输、提供、公开、销毁全链条，每个环节均有明确安全要求 。
- 责任落实更清晰：明确了组织架构、制度流程与人员责任，实现全流程操作可审计、风险可发现、责任可追溯 。
分享本文