网络安全合规常见问题与风险防范指南

一、网络安全等级保护：企业为何必须完成“强制体检”？

网络安全等级保护（等保）制度是我国网络安全领域的基础制度。依据《网络安全法》第二十一条，国家实行网络安全等级保护制度，网络运营者应当按照要求履行安全保护义务。无论是政务平台、金融机构，还是普通互联网企业，只要运营网络系统，就应确定系统安全等级并完成备案与测评。

实践中，部分中小企业误以为“不做等保最多就是整改”。但《网络安全法》第五十九条明确规定，未履行安全保护义务的，由主管部门责令改正并给予警告；拒不改正或者导致危害后果的，可以处以罚款，对直接负责的主管人员也会追责。如果因未履行等保义务导致公民个人信息泄露，还可能触及《刑法》关于侵犯公民个人信息罪的规定，面临刑事风险。

操作建议

• 对照《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019）确定系统级别，二级系统建议每两年测评一次，三级系统每一年测评一次。
• 建立定级备案档案，保存测评报告、整改记录等材料，便于监管部门检查。
• 深圳、上海等地区的网信部门和公安机关会定期开展等保专项检查，企业应提前做好自查。

二、数据分类分级：数据资产的“户籍管理”怎么建？

《数据安全法》第二十一条规定，国家建立数据分类分级保护制度，各地区、各部门负责确定重要数据具体目录。对企业而言，第一步是把持有的数据梳理清楚，区分一般数据、重要数据和核心数据，并对不同级别数据采取不同保护措施。

监管实践中，一旦发生数据泄露，监管部门首先关注的就是企业是否建立了数据分类分级制度，其次才是具体技术防护是否到位。如果企业连“自己有哪些数据、哪些属于重要数据”都无法说明，往往会被认定为未履行数据安全保护义务，面临从重处罚。

操作建议

• 建立数据资源台账，按照业务属性（用户个人信息、商业机密、运营数据）和重要程度（一般、重要、核心）两个维度划分。
• 对识别出的重要数据，在存储、传输、共享环节添加额外加密措施，并设置严格的访问权限。
• 金融、医疗、能源等关键行业，还要关注行业主管部门发布的重要数据识别指南，及时调整目录。

三、个人信息处理中的“最小必要”红线如何把握？

《个人信息保护法》第六条确立了“最小必要原则”：处理个人信息应当具有明确、合理的目的，并限于实现处理目的的最小范围。对个人权益影响应当最小，不得过度收集与业务无关的信息。

常见违规行为包括：健康类应用强制索取通讯录权限、工具类软件超范围收集位置信息、电商平台未经同意将用户数据用于个性化推荐。此类行为一旦被举报，除面临《个人信息保护法》第六十六条最高五千万元或上一年度营业额百分之五的罚款外，还可能被责令下架或暂停相关业务。

此外，依据《个人信息保护法》第十三条、第十四条，处理个人信息需要取得个人在充分知情前提下自愿、明确作出的同意；涉及生物识别、医疗健康、行踪轨迹等敏感个人信息时，还必须取得“单独同意”，并告知处理必要性及对个人权益的影响。第十七条还要求在收集前，以显著方式、清晰易懂的语言告知处理目的、方式、种类和保存期限。

合规要点

• 收集每一项个人信息前，逐项审查是否与业务直接相关，能否用替代方式实现目的。
• 营销推送属于与基础业务不同的处理目的，必须重新告知并取得单独同意。
• 定期清理长期不用的个人信息，避免“存储即合规”的误区。

四、数据出境合规：跨境流动要过哪几道“关卡”？

随着企业出海和跨国业务增多，数据出境已成为高频风险点。《数据安全法》第三十一条规定，关键信息基础设施运营者在境内收集和产生的重要数据出境，适用《网络安全法》的规定；其他数据处理者的重要数据出境安全管理办法，由国家网信部门会同国务院有关部门制定。

根据《数据出境安全评估办法》和《促进和规范数据跨境流动规定》，企业向境外提供数据前，需要判断适用以下三种路径：申报数据出境安全评估、进行个人信息保护认证，或者与境外接收方签订标准合同。2024年的新规对部分自贸区实行负面清单管理，但普通企业仍应建立内部出境数据清单，逐项记录出境数据的类型、目的和接收方。

需要特别注意的是，未依法履行出境程序即向境外传输数据，可能被认定为非法提供个人信息。《个人信息保护法》第六十六条对此设置了高额罚款，情节严重的还可以责令停业整顿、吊销相关业务许可或营业执照。

无论企业注册地在北京、上海、深圳还是其他城市，数据出境申报的审查标准基本一致，但涉及自贸区的企业可以关注当地是否有负面清单等便利化试点政策。

五、网络安全事件应急预案：如何避免“纸面合规”？

《网络安全法》第二十五条要求网络运营者制定网络安全事件应急预案，并及时处置系统漏洞、计算机病毒、网络攻击等安全风险；发生安全事件时，应当立即启动预案，采取补救措施，并按照规定向有关主管部门报告。

近年来的公开执法案例显示，监管部门对企业“有预案但不执行”的处罚力度很大。部分企业虽然制定了制度文件，但事件发生后不清楚由谁报告、何时报告、向哪个部门报告，最终被认定为未履行法定报告义务。由于个案信息需要以官方通报为准，本文不再列举具体案例，但这类执法趋势值得警惕。

操作建议

• 明确分级响应机制，约定一线人员在发现异常后30分钟内上报安全负责人，负责人再按规定时限向属地网信部门或公安机关报告。
• 保存至少6个月的访问日志和操作日志，这是《网络安全法》第二十一条明确要求的最低期限。
• 每半年开展一次攻防演练，重点测试“发现—分析—止血—恢复—上报”全流程是否顺畅。
• 深圳等城市的部分产业园区会提供应急演练辅导，企业可结合自身情况主动参与。

常见问题解答

Q1：公司没有专职安全人员，可以把网络安全服务全部外包吗？

可以外包部分技术工作，但法律义务不能转移。《网络安全法》要求网络运营者确定网络安全负责人，这是企业的法定责任。即使聘请外部服务商，内部仍应指定专人负责安全事务，并通过书面协议明确双方的安全责任边界。

Q2：收集用户手机号码用于营销推送，是否必须单独告知？

需要。营销