别等监管约谈！数达安全等保复测+数据合规评估，应对网络监管常态化核查

前言

最近网信、公安公开了不少网络和数据安全的处罚案例。很多企业踩了同类坑：系统漏洞长期不修复、重要数据没有防护、对外随便共享数据，做完一次等保测评之后就不再跟进后续维护。

现在监管检查不再是搞一次专项活动就结束，对企业网络安全持续运维、重要数据保护、安全事件处置都提出实实在在的硬性要求。

不少企业的现状是：拿到等保证书之后就放下这件事，系统更新迭代，漏洞越积越多；搞不清楚自己手里到底有哪些重要数据，没有做数据安全评估；安全制度写在文档里，实际系统没有对应的管控手段。一旦监管上门现场检查，很容易被责令限期整改，甚至面临行政处罚，严重的还会影响业务正常运行。

本文结合真实监管案例，梳理核查重点、企业实际遇到的堵点，介绍数达安全的一体化服务方案，以及企业落地的实操步骤。

一、监管典型案例 + 网络安全常态化核查重点解读

1、执法案例反映出来的常见违规问题

1）日常网络运维不到位。系统高危漏洞长期搁置不处理，系统内存在大量弱口令，账号权限分配混乱。黑客很容易利用这些缺口入侵系统，造成数据被盗。
2）重要数据防护缺位。不知道哪些数据属于重要数据，没有做识别梳理，数据库明文存储，缺少加密和访问管控，就算发生数据泄露，也查不到到底是哪个环节出的问题。
3）数据处理不合规。企业和外部合作，对外传输、共享数据，没有走内部审批流程，缺少合作约束协议，高风险业务也没有做数据安全评估。
4）业务更新之后合规跟不上。上线新功能、升级系统版本，没有同步复核网络安全、数据安全风险。老一套的防护措施，已经适配不了新业务场景。

2、监管现场检查主要查什么

1）等级保护不是拿证就完事。重点看账号权限管理、漏洞修复、入侵防范、安全日志审计这些工作，是不是在日常工作中坚持做，而不是测评的时候临时补材料。
2）重要数据全流程防护。核查重要数据识别、分类分级，从数据收集、存储、使用传输到销毁，每一步有没有落实对应的防护措施。
3）技术措施和管理制度双向核对。安全制度、操作流程、风险评估报告、漏洞整改记录、事件处置台账，这些纸质材料要齐全，现场可以随时调阅。
4）安全事件处置能力。发生网络攻击、数据泄露，企业有没有对应的发现、处置、上报流程，事件处理流程是否符合监管要求。

3、监管趋势

现在监管已经改变过去 “一测拿证万事大吉” 的模式，改成等级保持续运维加上重要数据安全保护联合检查。就算手上有等保证书，如果没有复测、没有做好数据安全管控，依旧有很大概率被处罚。

二、企业做合规，实际碰到四大难题

1、多个安全项目分开做。等保复测、重要数据评估分头找服务商，资产反复梳理，调研工作重复，各个制度文档互相不兼容，既增加工作量，也抬高整体成本。
2）说不清自己的重要数据。很多企业没有盘点过内部数据，分不清普通业务数据和重要数据，分类分级工作无从下手。
3）技术改造和管理制度脱节。漏洞修复、安全设备部署都做完，但没有配套的管理流程。监管检查的时候，拿不出书面材料证明防护工作落地。
4）缺少长期持续的安全检查。整改完成就束之高阁。后续新增系统、业务调整、数据流转场景变化，安全防护能力快速失效，应付不了监管不定期抽查。

三、数达安全：等保复测 + 数据合规评估一体化解决方案

数达安全把等保持续复测加固和重要数据合规评估合并开展，一套服务同时满足等级保护、《数据安全法》的法规要求，解决执法案例中暴露出的各类现实风险。

模块一：等保复测与安全加固，夯实网络基础安全

1）现状差距摸排。把企业全部业务系统、服务器、安全设备梳理一遍，对照等保要求逐项核对技术、管理现状，输出漏洞和风险清单。
2）落地安全加固工作：
①账号权限梳理：清理长期闲置的冗余账号，落实最小权限原则，整改弱口令，部署多因素身份认证，防范暴力破解攻击。
②系统风险整改：修复各类高危漏洞，调整入侵检测、访问控制策略，加固网站防护，降低被黑客入侵的可能性。
③补齐日志审计：完善用户操作、访问行为、安全事件日志留存，保证日志保存时长，满足事后溯源审计的需要。
3）测评全程配合。先做内部预测评，提前发现问题整改，再全程配合第三方等保测评机构，帮助企业顺利拿到测评结论。

模块二：数据合规评估，覆盖重要数据全生命周期

1）盘点数据资产。遍历各个业务系统和数据库，识别出企业内部的重要数据，完成数据分类分级，梳理清楚数据在内部流转、对外交换的完整流向。
2）对照法规排查合规缺口。对标《数据安全法》以及实际执法标准逐项核查：

•         收集环节：业务采集数据是否恪守最小必要，采集范围和实际业务需求是否匹配；

•         存储环节：重要数据加密保护、存储周期管控、访问权限隔离是否做到位；

•         使用与对外共享：向外提供数据有没有签署安全协议，高风险业务场景是否完成数据安全评估；

•         销毁环节：系统下线、业务停用之后，数据删除销毁流程是否完整。
3）出具数据安全评估报告。针对高风险的数据处理业务输出评估报告，这份报告可以直接用于监管迎检。
4）完成审计整改闭环。针对评估发现的风险，给出可落地的整改方案。一边做技术层面优化，一边补齐文档，包括数据安全管理制度、分级规范、对外共享审批流程等。

模块三：统一制度文档与人员培训，支撑现场监管检查

1）整合全套合规文档。把等级保护和数据安全两套管理文件合并编写，避免制度之间互相矛盾，监管人员现场调阅材料更方便。
2）安全培训落地。面向开发、运维、业务岗位员工开展培训，讲清楚等保持续运维、数据安全法规的实际要求，提升内部人员的合规意识。
3）完善安全事件应急预案。梳理网络入侵、数据泄露等事件的完整处置流程，明确事件研判、处置、上报要求，满足监管对于安全事件处置的核查标准。

模块四：常态化安全运营，保障长期合规状态

1）定期复核检查。每季度做漏洞风险巡检；每年开展等保复测和数据合规复审。遇到系统升级、新业务上线，第一时间研判合规变化。
2）迎检专项支持。面对监管抽查、现场检查，我方技术人员可以到场陪同，协助答疑、解读相关材料。

四、企业一体化合规落地五步实操路径

1.       第一步：梳理资产，划定评估范围
把所有业务系统、门户网站、数据库、第三方对接业务全部梳理清楚，标记出存储重要数据的系统，确定等保复测、数据合规评估的覆盖边界。

2.       第二步：同步开展现状风险评估
数达安全同时做等保现状调研和数据合规评估，一次性找出网络漏洞和数据合规问题，合并输出风险清单，划分风险等级，确定整改的先后顺序。

3.       第三步：落实安全加固，编制配套制度
优先处理高危风险，比如高危系统漏洞、弱口令、重要数据明文存储、越权访问等；完成网络安全技术加固和数据防护；同步编写全套等保、数据安全制度、应急预案、各类评估报告。

4.       第四步：内部复查闭环
完成内部预测评和复查，所有高风险问题全部整改完毕，整理完整成套迎检材料包。

5.       第五步：正式测评取证，建立常态化运营
配合第三方测评机构完成正式等保测评，拿到测评结果；建立定期安全评估机制，应对监管常态化抽查。

结语

从各地网信、公安公开的处罚案例不难看出，网络与数据安全监管已经是常态化工作。企业不要等到监管上门约谈、收到处罚文书才着手补救。一旦被罚，不仅要交罚款，业务运转、企业品牌都会蒙受实实在在的损失。

等保复测加固解决网络入侵、系统层面的安全隐患；数据合规评估解决重要数据全流程处理当中的合规漏洞。两件事不要分开单独建设，放在一起统一规划落地效率更高。数达安全这套一体化合规服务，帮助企业补齐网络安全和数据安全两块短板，提前做好迎检准备，降低公安、网信检查带来的合规风险。