网信执法案例发布，企业先补4类合规证据

原创

信息安全动态

2026年10月8日 12:00
山东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

控制是否持续有效，要靠可追溯的运行证据证明；用一张责任对照表安排自查与整改。

内审通知要求提供“控制运行情况”，你打开共享盘，找到的却是制度和采购合同。安全负责人、合规和内审可以先核对4类证据，把要求、做法和责任人接起来，形成能排期、能验收的整改底账。

关键在于让规则、配置、运行记录和审批指向同一项业务。材料齐全不代表控制已执行，还要核对当时状态。

国家网信办2026年9月15日发布的执法典型案例，披露了测试数据未及时删除、安全设备失效等问题。这些是实际控制缺陷，不能降格成“少留了材料”。四类证据是本文的自查框架，并非官方分类。

盘点前圈定业务、系统、数据类别和检查期间。存在持续暴露时，先控制风险、履行适用报告义务，再整理材料。以下适合内部自查，不替代针对具体业务的义务识别。

▲ 材料收齐不等于控制已执行，还要核对当时的运行证据。

01

第1步，把规则核到测试副本

先找业务负责人核实处理事实，再找制度。优先盘点敏感个人信息、对外提供数据等高风险活动；复用现有资产台账即可，代价主要是业务人员核对事实的时间。

全国人大常委会通过的《个人信息保护法》第13条列明处理的合法性基础，第17条规定告知事项，第19条要求最短必要保存期限，法律、行政法规另有规定的除外。

据此，把实际字段、目的、接收方、期限和删除条件对应到业务编号。保留规则版本、生效日期及接口版本。依赖同意的处理，还要关联当时的告知版本与同意记录。隐私文本不能替代接口实际传输情况。

通报第3案同时涉及未授权访问漏洞和测试数据未及时删除。盘点不能只查生产库：测试副本是否还在、由谁清理，也要核实。删除范围未核清，就不要写“全部删除”。

这一步产出带业务编号和版本的处理规则记录，由业务负责人确认、合规复核。没有对应业务、版本和期间的制度，不能单独证明该项处理活动已按规则执行。

02

第2步，在线不算验收通过

通报第4案披露，医院多类安全设备因授权过期失效，复核时数据泄露风险仍未消除。这支持核查授权和功能，但不能推导成所有产品授权到期都会停机。

我不同意“买齐安全设备就完成合规”的说法。合同能证明采购，不能证明业务流量经过设备，更不能证明策略执行成功。

全国人大常委会通过的《数据安全法》第27条要求全流程制度及必要保护措施；《个人信息保护法》第51条规定相应管理、技术和权限措施。条款要求落实保护，并未统一指定产品品牌。

让运维或研发按资产编号关联配置版本、部署位置、授权状态与验证结果。授权到期的影响应按产品、版本和许可条款核实，区分功能停用与更新、支持停止。

在线状态还要与策略下发、最后回传时间交叉核对。功能失败项进入整改，并保留复测结果。

产出是带环境、时间、测试条件的控制验证记录，由安全人员复核。生产验证需批准窗口和回退安排；若只能在隔离环境测试，就写明覆盖限制，不能拿它冒充生产有效性证明。

03

第3步，沿告警编号追到关闭依据

《数据安全法》第29条要求风险监测、发现缺陷后的补救，以及事件处置和报告。批量导出日志，只能解决原始记录的一部分，不能证明问题有人处理。

美国国家标准与技术研究院的NIST SP 800-92日志管理指南将基础设施与管理流程一起讨论。这里只借鉴技术管理思路，不作为中国法定义务的依据。

从一条真实告警向后追：研判为何成立或排除，谁修复，谁复测，依据什么关闭。工单号要关联告警编号与资产编号。区分事件发生时间和采集时间，统一时区，否则可能出现“先关闭、后发现”的假顺序。

安全运营牵头形成处置记录，运维留下修复证据，复核人确认结果。有报告义务时，关联报送记录与回执；没有真实事件，就用日常检查记录，演练必须标明演练，不能补造事件。

交付时，处置记录必须能追溯到原件。保留原始记录会增加存储和权限管理成本；共享给审核者的样本应脱敏，敏感原件限权保存，不能为了便于审计再扩散数据。

▲ 关闭工单要能沿编号追溯到原始记录、修复证据和复测结果。

04

第4步，签字要跟着上线版本走

先识别法定评估义务，再安排上线。《个人信息保护法》第55条要求特定活动事前开展影响评估并记录，包括处理敏感个人信息、委托处理等情形。普通上线签字不能替代该评估。

第56条要求评估目的、方式的合法正当必要性，个人权益影响、安全风险，以及保护措施是否有效并与风险相适应。只有“风险可控”的签字页，不足以核验这些内容。

业务提交处理事实，合规核对适用性，授权负责人作出决定，研发关联发布记录。签字页要能追到当时的附件和版本。“有条件通过”还需证明条件已落实，不能只存一页同意意见。

产出是评估、审批、条件落实与上线版本之间的可追溯记录。例外审批写明期限、补偿措施和复审触发条件；业务变化触发复核会增加上线协调成本，却不能靠沿用旧签字省掉。

审批可以决定如何处理风险，不能把未履行的法定义务签成已完成。

▲ 四类证据要指向同一业务，并核对对应版本与检查期间。

05

历史缺口要披露，补证不能倒签

缺记录先分原因：控制没做，就修控制；做了没留痕，就建立后续留痕；有记录却查不到，就修索引。今天补写的情况说明，应标实际编写日期，写清缺口期间与可核验旁证。

今天的复测只能证明今天的状态，不能倒推过去一直合规。 不倒签审批、不伪造连续日志；承认缺口会增加解释成本，但比制造错误证据更可控。

也不要把所有数据永久保存。《个人信息保护法》第56条的“至少保存三年”，针对影响评估报告和处理情况记录，不是全部数据的统一期限。逐类确定留存期限和访问权限；另有调查保全要求的，先核实，不能机械清理。

06

抽样能复核，整改才能销项

从高风险业务抽样，用同一业务或资产编号核对四类证据。先记录抽样理由和范围。要求适用、版本对应、期间覆盖，才有核验基础；不适用项写理由，不能直接留空。用审核者实际权限打开链接，避免“索引还在，原件已过期”的假完整。

缺项填明责任人、期限和临时措施。文件上传不等于整改完成；高风险问题只排期、未控制，不能据此宣布合规。必要时限制或暂停相关处理，抽样通过也不等于全面合规认证。

把盘点纳入月度运营，由安全负责人组织，优先复用工单和版本系统。授权到期、业务变更、关键故障则即时复核。月度是内部管理建议；《个人信息保护法》第54条要求定期合规审计，盘点不能替代审计。

下面这张表每项业务复制一份，填明业务编号、检查期间和具体姓名，缺口沿用同一整改编号跟踪。如果内审现在抽走一张已关闭工单，你能找到对应的原始告警和复测结果吗？留言指出最容易断在哪一环。

推荐阅读

▸ AI Agent接入业务系统前，身份与权限要管住哪6件事

▸ 信息安全等级保护安全整改方案模版

▸ EDR没有告警，边界设备失陷为什么仍可能被漏掉？

— END —

信息安全动态

面向企业安全负责人与安全工程师的专业号：把等保、数据安全合规和安全运营落到可执行的清单和方案。