数据安全管理能力提升专项行动 ·基线：从“查了”到“起效”

原创

Richard
Richard

方桥安全漏洞防治中心

2026年7月7日 07:18
上海

在小说阅读器读本章

去阅读

本文约两千字，读完约4分钟

一、困局

二、暴露

三、看见

一、困局

科技部门对照58项数据安全技术保护基线逐项核查。结果29项不符合或部分符合，有一半不过关。

29项列在表里，有点无从下手。

二、暴露

逐项分析后发现，这29项可以分成两类：6项\"易查易罚\"，23项\"出事必查\"。性质不同，整改思路也不同。

6项是高频罚点

数据库审计、日志脱敏、硬编码密钥、测试数据脱敏、密码策略、离职账号清理——这6项，易查易罚。（为了好记，不妨称之为\"六必罚\"。）

数据库审计未开启，发生泄露无法追溯源头，很可能被判定\"管理存在系统性缺陷\"。

日志脱敏没做，到处是明文身份证和手机号——日志本身变成了泄露源。

硬编码密钥，拿到源码就拿到密钥，买一送一。

测试环境用真实数据，安全等级低保护不足，攻击者一进来就能拿到客户信息，做梦都会笑醒。

密码策略没落实，总有弱密码，暴力破解易如反掌。

离职账号不清理，作为前员工还能登录系统导出数据，很考验人性。

\"难\"是现实问题，却有办法解决；\"查不查\"是监管检查抽样的概率问题，不在掌控范围。

2026年上半年，银行数据安全罚单56张，罚款超7000万，已接近2025年全年两倍。某农商行因违反数据安全管理规定被罚164.83万。湖南某公司因未采取加密脱敏措施、未按法律规定留存网络日志，被罚15万。贵州某政务服务系统未留存日志、未处置漏洞，遭网络攻击造成群众财产损失400余万——运营方、承建方、运维方全部被罚。

这些案例里，违规项几乎都涉及这6项中至少1项。

23项是出事必查

审计日志缺失或者要素不完整，数据泄露后无法追溯，拿不出证据来争取\"尽职免责\"——难逃处罚。

备份策略不执行，被勒索病毒攻击后数据恢复不了——业务中断。

API无认证，越权漏洞，SQL注入等等一旦被利用，大量数据被窃取。

为什么容易忽视？因为\"以前一直这样也没出事啊！\"。根本原因还是认识有偏差——\"没出事就是安全\"、\"没出事就代表安全做得好\"。

不出事很可能只是运气不错。

一旦出事，既有偶然，也有必然。而监管只关注必然。

三、看见

29项不符合，先改哪个？

两类问题的整改逻辑不一样。6项很紧迫——高频罚点，必须在检查前完成。23项出事倒查——不出事还好，一旦出事，就成\"明知故犯\"。这两类问题不能用同一套整改思路。

按难度排？

科技部门把不符合项按难度分了三档：配置修改型1周（密码策略、root登录限制、审计开启），流程补充型2-4周（SBOM清单、MDM策略、备份策略），架构改造型1-3月（KMS部署、脱敏工具、集中日志平台）。

这是一种实用的策略——先做容易的。

但执行起来经常出问题。盯着容易的整改完，发现没有足够的时间处理难度高的。比如：日志没脱敏是明摆着的漏洞，但整改要排计划，要动代码，要测试，要投产，没有3~4周做不完。

那先做难的总可以了吧？结果时间耗尽好不容易整改了几项，却发现还有一堆容易整改的还没处理。比如：密码策略改改配置就好，用不了多久，偏偏一直没排进变更计划，到头来也没改。

按风险排？

高危1周（存储加密、硬编码密钥、SQL注入、越权漏洞），中危1月（密码策略、传输加密、日志集中），低危2月（SBOM、镜像扫描、MDM）。

这也好理解——高危意味着高风险。把高危的问题先解决，就有效地降低了风险。

可惜，这个认识并不完整。风险不仅看漏洞，还要看资产价值和被利用的可能性。能列入数据安全技术保护基线中，说明整体评估下来风险都不低。既然都不低，按风险排就变成了\"都先做\"——等于没有优先级。

那怎么办？

建议：按后果排。

6项高频罚点要考虑的问题不是\"难不难\"，而是\"查不查\"。既然易查易罚，监管没理由不查，查到了也不可能不罚，这里没有侥幸空间。

整改思路：不管难不难，检查前必须做完。做不了的，要有替代方案和书面说明——做了没来得及做完，和没做，是两回事。

23项出事必查要考虑的问题就不是\"查不查\"，而是\"出不出事\"。不出事是隐患，出了事就是明洞。

整改思路：不是眉毛胡子一把抓，是优先\"降低出事概率\"和\"避免后果恶化\"。审计日志先集中存储，至少保证出事能追溯；备份策略先执行起来，至少保证出事能恢复。

6项和23项是两类问题，两套逻辑，不能简单地放在一起排优先级。否则，该快的没快，该稳的不稳，到头来西瓜没保住，芝麻也丢了。

本文是这个系列的第5篇。这篇留下三个问题，笔者还没有很好的答案，想听听你的想法：

\"六必罚\"全整改好了吗？万一还有遗留问题，你的B计划是啥？

上面关于优先级的建议在贵单位也许落实不了。那按什么排才真正管用？你有什么好办法？

日志留存——6个月是底线，1年更好。但留存是手段，不是目的。怎么把日志留存从\"负担\"转变成\"能力\"？你有什么想法？

符合基线要求不代表安全，只是有了保障安全的基础。不挨罚是单位的现实期望，数据安全风险可控是长期努力的目标。贵单位的数据安全技术保护基线有多少项没通过核查？改了几项？欢迎留言说说。

下一篇：培训篇——意识提升与岗位摘录卡的场景化应用