从管理的视角解读《网络数据安全风险评估办法》

原创

JUN哥
JUN哥

君说安全

2026年6月23日 00:00
贵州

在小说阅读器读本章

去阅读

多一度思考，见网安本质！

“从管理的视角深度解读《网络数据安全风险评估办法》！”

备注：图片来自于网络

大家好，我是Jun哥。

《网络数据安全风险评估办法》（下文称：《办法》）已于6月18日正式发布，自2026年8月20日起施行。

个人认为，《办法》是《数据安全法》《网络安全法》《网络数据安全管理条例》配套落地的强制性管理工具规范。

  01　重塑企业数据安全治理定位

《办法》的出台，把网络数据安全风险评估活动从 “可选安全动作” 升级为企业常态化管理义务。

可以用一句话来概括就是：企业数据安全风险活动，已经从 “事后追责” 转向 “风险前置管控”，这直接重塑数据安全治理在企业的定位问题。

（一）监管侧

从监管层来看，企业需制定权责分层、协同减负的治理架构，实行属地＋行业的双线管理原则。

即国家网信统筹电信、公安、行业主管建立专项评估机制；“谁管业务、谁管业务数据、谁管数据安全”的有关主管部门每年一月底上报检查计划。

网信统一协调，避免多头重复检查、且不向被检查企业收费。

《办法》从监管层面减少企业重复迎检成本，倒逼企业建立统一数据安全归口管理部门，杜绝业务、IT、法务等部门责权不清、责任真空等问题。

（二）企业侧

从企业侧来看，风险评估成为数据安全治理或者管理的 “核心抓手”。

过去，大多数企业数据安全管理停留在制度编写、等保测评、漏洞扫描等单点工作上。

而《办法》的出台，明确风险评估覆盖数据全生命周期（即收集、存储、使用、加工、传输、提供、公开、销毁），是贯穿所有数据活动的统一体检机制。

企业必须把评估嵌入年度网络数据安全规划、项目上线、业务变更、系统迭代等变更活动中来。

数据安全管理从 “技术运维附属工作” 上升为企业级或者公司级风险管理事项。

（三）合规侧

从合规的角度来看，网络数据安全风险评估闭环管理法定化，并且自评估需要指定专人负责，委托评估需明确合作方的权利、义务。

这意味着，企业无论是自评估还是第三方评估，都要完整形成“风险识别→分析评价→整改处置→报告上报→监督核验→复评更新”的闭环机制。

因此建议企业建立可追溯、可审计、可核验的数据安全内控台账、构建网数安全风险评估要求和机制、把控和监督机制。

  02　明确差异化管理周期与触发机制

《办法》划分两类数据处理者，明确差异化管理周期与触发机制，并明确了主体责任和管理责任。

《办法》以数据资产风险等级（重要数据、一般数据）划分管理强制标准，者或许直接决定企业管理层在制定年度工作计划时，要考虑安全资源投入、组织配置、年度预算的分配，是安全管理规划的核心依据。

《办法》规定重要数据等级至少每年度开展一次风险评估；一般数据等级至少每三年开展一次风险评估。

（一）重要数据处理者

这对重要数据处理者来说，每年必须开展一次全面风险评估工作，属于年度硬性合规任务。

从管理的角度来看，这或许会被纳入企业高管网络安全安全考核绩效，或者年度合规审计一票否决项。

另外，第五条也针对重要数据安全状态发生重大变化可能对数据安全造成不利影响的，要针对变化部分开展风险评估。

这形成了动态触发增量评估动作，这些动态增量场景可能包括（仅代表个人观点）：

• 业务系统重构、数据存储架构迁移、上云 / 跨地域部署；
• 重要数据范围扩容、新增对外数据共享、跨境传输；
• 组织合并拆分、第三方外包服务商更换；
• 发生数据泄露、篡改、非法访问等安全事件后；
• 监管政策、行业重要数据目录更新。

（二）一般数据处理者

对一般数据处理者，则无强制约束要求；但鼓励处理一般数据的网络数据处理者至少每3年开展一次风险评估工作。

从风险管理角度来看，笔者建议中小企业纳入三年周期安全规划，避免积累批量用户信息形成隐性的重要数据，提前规避 “误判重要数据未评估” 的合规风险。

（三）网数安管理建议

从组织权责方面，设立数据安全管理委员会（高管牵头，业务、法务、IT、风控、财务共同参与），统一审批年度评估计划、重大变更专项评估方案；

业务部门为数据安全第一责任部门；安全管理部门负责评估活动的具体实施、监督整改；法务、风控、财务等深度参与其中，明确跨部门安全责任清单或者责任矩阵，解决部分企业 “业务只管业绩、安全只管背锅” 的管理割裂。

  03　数据安全风险评估管理的落地模式

《办法》规定了网络数据安全风险评估的两种落地模式，即自评估、第三方评估。

企业管理者需要结合自身规模、数据量级平衡成本与管控力度来决定采取哪种评估模式。

（一）自评估

对于大型集团，拥有自己网络安全团队的，以内部自主评估为主，第三方评估为辅。

从管理优势上看，自评估数据不外流，规避评估过程敏感数据外泄风险；全年常态化风险监测，可嵌入日常运维，降低集中评估工作量。

但自评估需要配备具备数据分类分级、风险评估、合规法规专业能力人员；评估流程、判定标准需对齐 GB/T 45577－2025《数据安全技术 数据安全风险评估方法》的国家标准。

因此，建议企业建立内部评估标准化模板、风险分级判定矩阵、整改跟踪台账，每季度开展小规模风险抽样自查，年末汇总形成完整年度评估报告。

（二）第三方评估

对于拥有重要数据的中小型企业，由于缺乏专业的安全技术团队，建议走第三方评估方式。

对于合作的第三方评估机构，要纳入供应商管控体系。

《办法》也指出，评估机构开展风险评估应当遵守法律法规，公正客观地作出风险判断，并对所出具的风险评估报告真实性、有效性、完整性负责。

评估机构不得转委托其他机构开展风险评估，且同一评估机构及其关联机构不得连续3次以上对同一网络数据处理者开展年度风险评估。

另外，《办法》第十四条也规定第三评估过程中，对接触的数据、商业秘密、保密商务信息等依法予以保密，不得泄露或者非法向他人提供，在风险评估结束后及时删除或者按照合同约定妥善处置相关信息保密

这相当于第三方评估机构要强制轮换，并且在发现重大风险（高风险级别）时，应当及时通知网络数据处理者，同时要履行相关的保密义务。

因此，建议企业需将第三方评估机构纳入服务商安全准入、年度考核、退出管理等机制，签订专项数据保密协议，留存机构资质、人员资质档案。

（三）其他要求

风险评估报告至少保存3年，个人建议保存５年左右；

重要数据处理者应当在年度风险评估完成后的20个工作日内按照有关主管部门要求向其报送风险评估报告。因此，至少评估后十日内完成内部的审核或者核对。

主管部门不明确的，向省级网信部门或者国家网信部门报送。

网络数据处理者不得以任何方式要求或者示意评估机构出具不实或者不当的风险评估报告。

　04　写在最后

最后，建议企业安全管理者要构建从评估实施、报告编制、整改跟踪到报送归档的数据安全风险评估的全流程内控管理体系。

另外，作为网数安管理者，要对网数安的核心管理进行认知升华。

数据安全风险评估不再是技术工作，而是企业级风险管理工作。

它覆盖战略、业务、法务、IT、供应商全维度，安全负责人必须具备跨部门统筹管理能力，并具备足够的管理权限。

网络安全管理核心不是 “完成一份报告”的事情，而是通过全面评估，持续消除数据安全隐患，持续的监管和核验重点安全风险、完成风险整改的闭环处置过程。

另外《办法》也指出，有关部门在组织开展风险评估中发现重要数据处理者的重要数据处理活动可能危害国家安全、公共利益的，应当依据职责责令重要数据处理者进行整改；

对拒不整改或者未达到整改要求的重要数据处理者，可以采取要求其停止处理重要数据等措施。

可见，网络数据安全风险评估的重要性在逐渐的加强。

（全文完）

《网络数据安全风险评估办法》官方全文详见：

https://www.cac.gov.cn/2026-06/18/c\_1783525609815499.htm

全文完，喜欢请三连，这对我很重要！

-End-

**